Preguntas Frecuentes

Riesgos y ventajas de registrarse con una cuenta de Google, Facebook o Twitter

Miguel Urrea · 18/02/2021 · Dejar un comentario

Hoy en día existen páginas web, aplicaciones, foros y demás plataformas que permiten a los usuarios registrarse utilizando su cuenta de Google, Facebook o Twitter, entre otras. Los usuarios que optan por esta vía de registro se ahorran tener que recordar un nuevo nombre de usuario y contraseña. Pero ¿cómo funciona este proceso de autenticación?, ¿es seguro? ¿existe algún riesgo para tu cuenta de Google, Facebook o Twitter?.

OAuth (Open standard for authorization – Estándar abierto de autorización)

La opción de registro mediante el proceso OAuth es aquella en la que no tienes que crear un nuevo usuario y contraseña, sino que utilizas tu nombre de usuario de Facebook, Google u otra plataforma para registrarte en una página web, aplicación o servicio. Este proceso funciona de la siguiente forma:

Cuando nos registramos en una plataforma a través de una cuenta de Google, Facebook, Twitter o Apple, lo que estamos haciendo es pedir a una de estas plataformas que avale nuestra identidad ante el prestador del servicio al que queremos acceder (la página web o aplicación en cuestión). Además de validar nuestra identidad, estas plataformas también comparten cierta información del usuario con el prestador del servicio.

¿Es seguro registrarse en una página web o app mediante el proceso OAuth? ¿existe algún riesgo para tu cuenta de Facebook, Google o Twitter?

Si utilizas la opción de registro a través de una cuenta de Facebook, Google o Twitter, el proceso de autenticación OAuth garantiza que determinada información de tu perfil no se comparta con la web o aplicación en la que te estás registrando.

No obstante, conviene tener presente que la página web o aplicación en cuestión podrá acceder a cierta información pública de tu perfil de la red social o plataforma que utilices para realizar el registro (Google, Facebook, Twitter…), pero en ningún caso tendrá acceso a la totalidad de tu información ni a tu contraseña. Estos datos que Facebook, Google, Twitter y etc. pueden llegar a compartir con la página web o aplicación serían:

Perfil público del usuario
Correo electrónico del usuario
Teléfono del usuario
Contactos del usuario
Visitas y actividad del usuario
Capacidad del usuario para realizar publicaciones en su muro o perfil.

Como vemos, utilizar el proceso de autenticación OAuth implica que algunos de tus datos personales se compartan entre la plataforma que utilizas para registrarte y la página web o aplicación en la que te estás registrando. Para evitar que se comparta parte de esta información debes configurar las opciones de seguridad y privacidad de la plataforma que utilizas para autenticar tu identidad (Facebook, Google, Twitter…).

Dejando de un lado los datos personales que pueden compartirse por defecto cuando utilizas el proceso de autenticación OAuth, tenemos que destacar que las plataformas como Facebook, Google y Twitter disponen de mayores medidas de seguridad y privacidad que una página web o aplicación media. Y es que estas grandes empresas tecnológicas dedican una gran cantidad de recursos para proteger sus datos y, por ende, los de sus usuarios, de posibles ciberataques o brechas de seguridad.

Por tanto, si configuras correctamente las opciones de seguridad y privacidad de la plataforma principal (Google, Facebook, Twitter…) son más las ventajas que los inconvenientes de utilizar el proceso de autenticación OAuth.

Ventajas:

Mayor seguridad de tu cuenta: Ya que estas plataformas permiten utilizar el sistema de verificación en dos pasos y, como se ha comentado, invierten una gran cantidad de recursos en desarrollar y aplicar medidas de seguridad cada vez mayores.

Mayor control de tu cuenta: Podrás revocar la autenticación con Google, Facebook o Twitter en cualquier momento, desde su panel de configuración, para cerrar definitivamente la cuenta en la página web o app.

Mayor privacidad: La plataforma principal (Facebook, Google, Twitter y etc.) compartirá cierta información pública de tu perfil con la página web o aplicación. Pero, no compartirá determinada información o datos personales como por ejemplo tu información bancaria o contraseña. Por tanto, si «hackean» la página web o aplicación no conseguirían tus datos bancarios ni tu contraseña de la plataforma principal ya que esta información se almacena en el servidor de la plataforma principal y no en el de la página web o aplicación en cuestión.

Desventajas:

Dependes de una sola cuenta: Si te “hackean” la cuenta de la plataforma principal podrán acceder a todas las cuentas en las que te hayas registrado con esa plataforma. Por ello, es muy recomendable que la cuenta de la plataforma principal tenga una contraseña robusta y activado el sistema de verificación en dos pasos.

Compartes cierta información personal: La página web o app en la que te hayas registrado podrá acceder a determinados datos públicos de tu perfil de la plataforma principal. Aunque, tal y como decíamos unas líneas mas arriba, puedes configurar las opciones de seguridad y privacidad de la plataforma principal para limitar la información que se comparte con las páginas web o apps en las que te registres.

Si te ha gustado este artículo, no olvides seguirnos en LinkedIn, Facebook o Twitter para estar siempre al día con nuestras publicaciones.

Si necesitas asesoramiento en materia de protección de datos, desde Qualgest podemos ayudarte. Contacta con nosotros y te ofreceremos una solución a medida para que cumplas con todas las obligaciones exigidas en la normativa de protección de datos.

Entradas relacionadas:

¿Qué datos comparte Whatsapp con Facebook?

Miguel Urrea · 25/01/2021 · Dejar un comentario

Hace escasos días algunos usuarios de Whatsapp empezaron a recibir un aviso a través de la plataforma en el que se advertía sobre los cambios en el servicio en lo referente a la recopilación y tratamiento de datos personales de los usuarios. Algunos de estos cambios afectan a la forma en la que Whatsapp y Facebook comparten tus datos personales. En ese mismo aviso se especificaba que para poder seguir usando el servicio de mensajería, los usuarios debían aceptar los cambios antes del 8 de febrero.

Este hecho generó cierto revuelo en las redes, bastante desinformación sobre el alcance de los cambios en la política de privacidad de Whatsapp y que muchos se preguntasen que datos comparte o compartirá Whatsapp con Facebook. Todo ello causó que un elevado número de usuarios decidiese abandonar la aplicación y empezar a utilizar alguna aplicación alternativa (a destacar, Telegram, Signal y Line).

En consecuencia, el pasado 15 de enero Whatsapp anunció a través de Twitter que habían decidido aplazar la entrada en vigor de su nueva política de privacidad hasta el 15 de mayo de 2021 y que iban a esforzarse para que sus usuarios conozcan y comprendan los cambios que conlleva la nueva política de privacidad. En el mismo comunicado Whatsapp aclaró que a partir del 8 de febrero no se borraría ni suspendería ninguna cuenta de Whatsapp.

¿Qué datos personales o información proporcionamos a Whatsapp?

Whatsapp Ireland Limited, recopila una serie de información de sus usuarios (Región Europea) con el fin de poder operar, proporcionar, mejorar, personalizar y promocionar sus servicios. El tipo de información que recopila Whatsapp depende de la forma en que sus usuarios usan el servicio.

Según la actual política de privacidad de Whatsapp, sus usuarios proporcionan la siguiente información:

Información sobre su cuenta: número de teléfono móvil, nombre, correo electrónico, foto de perfil y demás información que hayas incluido en tu perfil.

Sus mensajes: Whastapp asegura que los mensajes que envían y reciben sus usuarios se eliminan de sus servidores, junto con toda la información relacionada (fotos, videos, ubicación…), una vez han sido entregados. No obstante, si el mensaje no se puede entregar de inmediato, Whastapp lo almacena por un plazo máximo de 30 días para intentar entregarlo, si no se entrega dentro de dicho plazo se elimina automáticamente. Si se trata de un mensaje, foto, video o audio que se está compartiendo de forma multitudinaria o viralizando Whatsapp se reserva el derecho de conservar ese contenido en sus servidores durante más de 30 días, sin especificar durante cuanto tiempo como máximo. Whatsapp también asegura que los mensajes que envían sus usuarios están protegidos, de forma predeterminada, con un cifrado de extremo a extremo que impide que sean leídos por Whatsapp o por terceros. Hecho que parece contradecir lo expresado en el punto anterior sobre mensajes que se viralizan.

Sus conexiones: las listas de difusión o grupos que crean sus usuarios y en las que son añadidos, el nombre de dichos grupos o listas y las fotos o descripción que tengan asociadas y los contactos de la agenda del teléfono del usuario que tengan Whatsapp.

El uso dado a los servicios de pago: información sobre compras y transacciones de aquellos usuarios que utilicen sus servicios de pago.

Soporte técnico: la información relacionada con incidencias técnicas o mejoras que los usuarios facilitan a Whatsapp para su resolución o implementación.

Además de la información anteriormente detallada, Whastapp recopila automáticamente la siguiente información de sus usuarios:

Información sobre uso y registros.
Información sobre el dispositivo y la conexión.
Información de ubicación.
Cookies

¿Qué información comparte Whastapp con Facebook?

Recordemos que el pasado 2014 Facebook adquirió la compañía de mensajería instantánea Whatsapp por una multimillonaria cifra. Actualmente, y desde el 2016, Whatsapp comparte los siguientes datos con las empresas de Facebook:

Información de registro de cuenta (incluyendo el número de teléfono).
Datos de operaciones.
Información relacionada con el servicio.
Información sobre como interactúas con los demás.
Información sobre tu dispositivo móvil y dirección IP.
Algún otro dato de los detallados en su política de privacidad, concretamente en el apartado “información que recopilamos”.

¿Qué hace Facebook y sus empresas con esta información que le proporciona Whatsapp?

WhatsApp trabaja y comparte información con las demás empresas de Facebook a cambio de servicios, como infraestructura, tecnología y sistemas.

Facebook y sus empresas utilizan esta información sobre todo para optimizar sus servicios y funciones publicitarias y de marketing, y para asegurarse de que Whatsapp funciona sin incidencias técnicas o de seguridad.

Entonces, si Whatsapp ya comparte datos con Facebook ¿cuáles son los cambios que han generado tanto revuelo?

Los cambios en la política de privacidad de Whatsapp pretenden dar una base legal a las nuevas funcionalidades que Whatsapp quiere implementar para mejorar y fortalecer la versión de Whatsapp para empresas. Concretamente:

Habilitación del servicio de atención al cliente: Este servicio permite a las empresas que tienen una línea de Whatsapp para comunicarse con sus clientes simplificar este proceso mediante determinados productos de Facebook para empresas.

Descubrimiento de empresas: Esta función permite analizar el porcentaje de contactos vía Whatsapp que recibe un anuncio publicado en Facebook o Instagram que tenga dicha función activada. Si clickas en uno de estos anuncios para contactar vía Whatsapp con la empresa o negocio que se publicita, la información que generas podría utilizarse para personalizar los anuncios que ves en tu cuente de Facebook o de Instagram.

Experiencias de compra: Algunas empresas o negocios tienen tienda en Facebook, Instagram o Whatsapp. Esta función permite integrar las tiendas que estas empresas tienen en las plataformas de Facebook para que los clientes puedan ver los productos de una empresa en Facebook o Instagram y hacer la compra directamente en Whatsapp.

Por último, recuerda que, si tu empresa o negocio utiliza Whatsapp o alguno de los servicios de las empresas de Facebook debes informar claramente a tus usuarios en tu política de privacidad y de cookies sobre el alcance y la finalidad del tratamiento de datos personales que realizas.

Si te ha gustado este artículo no olvides seguirnos en LinkedIn para estar siempre al día con nuestras publicaciones. También puedes consultar publicaciones anteriores en nuestro blog.

¿Pueden sancionarte por tener una web no segura?

Miguel Urrea · 09/12/2020 · Dejar un comentario

Antes de analizar si pueden sancionarte por tener una web no segura, vamos a explicarte como identificar una web segura y que son los protocolos http y https.

¿Cómo saber si una web es segura?

Como usuario de internet, cuando entres a una página web es importante que te fijes si la URL empieza por https:// o si al lado aparece el símbolo de un candado, sobretodo si a través de dicha página web vas a proporcionar datos personales (tu nombre, apellidos, DNI, nº de tarjeta, domicilio, etc.).

La dirección o URL de todas las páginas web disponibles en internet siempre empieza con las siglas http:// o https://. Estas siglas hacen referencia al protocolo HTTP, en español, Protocolo de Transferencia de Hipertexto, que utiliza el servidor donde se encuentra alojada la web para comunicarse con el navegador de tu dispositivo.

¿Cuál es la diferencia entre http y https?

Las páginas web que utilizan tecnología http no cifran las transferencias de datos entre tu navegador y el servidor donde se encuentra alojada dicha página web. Por lo tanto, dichos datos podrían ser interceptados por terceros.

Por el contrario, las páginas web que utilizan el protocolo htttps cifran o encriptan las transferencias de datos entre tu navegador y el servidor donde se encuentra alojada dicha página web, de modo que resulta prácticamente imposible que estos datos puedan ser interceptados por terceros.

En consecuencia, si utilizas una página web con protocolo http y no https debes tener en cuenta que todos los datos que introduzcas en la misma (tu nombre, apellidos, DNI, nº de tarjeta, domicilio, etc.) se enviarán al servidor donde dicha web se encuentra alojada sin cifrarse, hecho que facilita la interceptación de dichos datos por parte de terceros.

Consecuencias de utilizar protocolos http en tu página web

La primera consecuencia es, tal y como se comentaba en el punto anterior, el riesgo de que los datos de tus usuarios web sean interceptados por terceros, con las implicaciones y perjuicios que este riesgo puede conllevar tanto a los titulares de los datos como al responsable de la página web, al tratarse, según lo establecido en el RGPD, de un brecha de seguridad .

Sobre lo anterior, no resultaría extraño que más de un usuario web decida no poner en riesgo sus datos y opte por no comprar un determinado servicio o producto si la página web que lo oferta no utiliza una tecnología o protocolo de cifrado de datos https. Sobretodo, si tenemos en cuenta que la mayoría de los navegadores web advierten a sus usuarios si las páginas web a las que están accediendo son seguras o no. Es decir, si utilizan un certificado o protocolo no seguro (http) o bien, si utilizan un certificado o protocolo seguro (https).

La segunda consecuencia, podría llegar en forma de requerimiento o sanción de la Agencia Española de Protección de Datos (AEPD), por infracción de lo establecido en el artículo 32, sobre seguridad del tratamiento de datos personales, del Reglamento General de Protección de Datos – EU 675/2016- (RGPD).

Y es que, el artículo 32 del RGPD, dedicado a la seguridad del tratamiento de datos personales, establece que los encargados o responsables del tratamiento de datos personales deben aplicar medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo para los derechos y libertades de los titulares de los datos, teniendo en cuenta el estado de la técnica, los costes de aplicación, la naturaleza, alcance, contexto y fines del tratamiento.

Según dicho artículo, algunas de las medidas técnicas y organizativas consideradas como apropiadas para garantizar un nivel de seguridad adecuado al riesgo (cuya implementación corresponde a los responsables del tratamiento) son:

a) la seudonimización y el cifrado de datos personales;

b) la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanente de los sistemas y servicios de tratamiento;

c) la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;

d) un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento.

Como vemos el legislador no establece un listado de medidas a implementar en cada caso, limitándose a recomendar algunas consideradas como apropiadas. Y es que, el RGPD se basa en el principio de responsabilidad activa , es decir, el deber de los responsables de cumplir con la normativa sobre protección de datos y ser capaces de demostrarlo.

Por lo tanto, el responsable del tratamiento, en este caso el responsable de una página web, debe analizar el riesgo que implica, para el interesado, el tratamiento de datos que realiza a través de su web y, en consecuencia, adoptar las medidas técnicas y organizativas que garanticen un nivel de seguridad adecuado, teniendo en cuenta el estado de la técnica, los costes de aplicación, la naturaleza, alcance, contexto y fines del tratamiento.

¿Pueden sancionarte por tener una web no segura (que use http y no https)?

Antes de preguntarte si pueden sancionarte por no usar un protocolo o certificado https en tu web, es decir, que encripte o cifre la información que se transmite entre los dispositivos de tus usuarios web y el servidor donde se encuentra alojada tu web. Debes preguntarte qué datos de tus usuarios web tratas, recoges o almacenas a través de tu página web y en que país está ubicado el servidor en el que se encuentra alojada tu web, pues podría estarse produciendo una transferencia internacional de datos, hecho que según el RGPD implica mayores obligaciones para el responsable.

No es lo mismo tener una página web meramente informativa donde no se permita a los usuarios introducir datos personales, que tener una tienda online, donde los usuarios que quieran comprar productos o servicios deban facilitar sus datos de contacto y/o datos bancarios (nº de cuenta o de tarjeta).

Por lo tanto, si tu página web no permite la recogida de ningún dato personal de los usuarios que accedan a esta, en principio no estarías expuesto a una posible sanción al no transmitirse datos personales o confidenciales entre el navegador de tus usuarios y el servidor donde se almacena tu web.

Si por el contrario, tu página web permite el tratamiento de datos personales de tus usuarios web, ya sea por que contiene un formulario de contacto, permite el registro de usuarios o por tratarse de una tienda online, por poner algunos de los ejemplos más frecuentes, sí que deberías utilizar certificados o protocolos de seguridad que encripten la transferencia de datos entre los dispositivos de tus usuarios web y el servidor donde se encuentra alojada tu web (https). Si no lo haces, debes tener en cuenta que tu conducta puede considerarse como una infracción del artículo 32 del RGPD, tal y como veremos a continuación.

La AEPD sanciona a una empresa por no utilizar el protocolo https en su página web

En fecha reciente la AEPD ha impuesto una sanción de 1.000€ a una sociedad mercantil que no utilizaba un protocolo de seguridad https en su página web, por considerar que su conducta infringe el artículo 32 del RGPD.

A continuación detallamos los aspectos más relevantes de dicho procedimiento sancionador:

– Procedimiento Sancionador nº: 00185/2020

– Antecedentes:

PRIMERO: Con fecha 01/05/19, tuvo entrada en esta Agencia, denuncia presentada por la reclamante en la que indicaba, entre otras, lo siguiente:

“El pasado 20 de abril detecte que la web carecía de medidas de seguridad para proteger los datos personales como (HTTPS). Además, la web carece de información respecto al procesado de los datos personales y su finalidad, así como, el periodo en el cual se almacenan. He contactado con el vendedor instando a que mejore y adapte la seguridad de su web a la legislación vigente y no ha respondido a ningún email”.

TERCERO: Con fecha 15/06/20, consultada la página web ***URL.1, se pudo constatar las siguientes características respecto a sus protocolos de seguridad, su “política de privacidad” y su “política de cookies”:

“La web denunciada comercializa placas de matrícula de vehículos, para su venta online. Para adquirir un juego de placas de matrícula, los usuarios deben introducir sus datos personales en la hoja de pedido: nombre y apellidos; DNI; matrícula del vehículo e incluso número de bastidor. Además, deben escanear y enviar en ficheros adjuntos tos, el permiso de circulación del vehículo; el DNI por ambas caras y el justificante de pago”.

Respecto de los protocolos de seguridad utilizados:

Al acceder a la página web denunciada, se comprueba que se accede a la dirección: ***DIRECCIÓN.1, con protocolo de seguridad “http”, posibilitando así, que otros usuarios puedan interceptar la información que se transfiere desde el terminal del cliente al servidor web, ya que la información que proporcionan los usuarios no se trasfiere de forma segura (encriptada).

– Hechos probados:

1º.- La página web denunciada comercializa placas de matrícula de vehículos, para su venta on-line. Para adquirir un juego de placas, los usuarios deben introducir sus datos personales en la hoja de pedido: nombre y apellidos; DNI; matrícula del vehículo e incluso número de bastidor. Además, deben escanear y enviar en ficheros adjuntos, el permiso de circulación del vehículo; el DNI por ambas caras y el justificante de pago.

2º.- Respecto de los protocolos de seguridad utilizados:

– Fallo:

PRIMERO: IMPONER a la entidad MIGUEL IBÁÑEZ BEZANILLA S.L., con CIF.: B39730973 titular de la página web ***URL.1 por Infracción de los artículos 32 y 13 del RGPD respecto de la política de seguridad y respecto de la política de privacidad respectivamente y por la infracción del artículo 22.2) de la LSSI, respecto de su Política de Cookies, una sanción de 3.000 euros (tres mil euros= 1.000 euros (art. 32 RGPD) + 1.000 euros (art. 13 RGPD) + 1.000 euros (art. 22.2 LSSI).

Esperamos que este artículo te haya sido de utilidad. Si deseas leer la sanción completa puedes hacerlo siguiendo este enlace, y si prefieres consultar más artículos como este, puedes hacerlo a través de nuestra web o a través de nuestras redes sociales: LinkedIn, Facebook y Twitter.

Si te ha quedado alguna duda o necesitas asesoramiento sobre cómo cumplir la normativa de protección de datos vigente contacta con nosotros.

¿Necesito contratar un Delegado de Protección de Datos (DPO)?

Miguel Urrea · 14/10/2020 · Dejar un comentario

¿Qué es un Delegado de Protección de Datos (en inglés, DPO)?

El Delegado de Protección de Datos, en inglés, (Data Protection Officer) es la persona encargada, en el seno de una organización, de informar, asesorar y supervisar que, en una organización, tanto el responsable como los encargados del tratamiento de datos personales cumplan con la normativa de protección de datos vigente.

Además, el DPO también será la persona encargada de actuar como punto de contacto entre la Autoridad de Control (entre otras: AEPD, APDCAT y CEPD) y la organización para aquellas cuestiones relativas al tratamiento de datos personales, tal y como dispone el articulo 39 del RGPD. Artículo en el que se describen las funciones que como mínimo debe llevar a cabo un DPO.

Por lo tanto, el DPO, se configura como uno de los elementos clave del RGPD, actuando como garante del cumplimiento de la normativa de protección de datos en el seno de una organización, pero, sin llegar a sustituir las funciones propias de las Autoridades de Control (entre otras: AEPD y APDCAT).

El DPO puede ser una persona que forme parte de la plantilla de la organización o bien, una persona externa con la que se formalice un contrato de prestación de servicios.

En cualquier caso, dicha persona debe tener conocimientos especializados en Derecho y, en especial, en materia de Protección de Datos. Además, debe ser capaz de desempeñar las funciones establecidas en el artículo 39 del RGPD.

¿En qué casos es obligatorio nombrar a un DPO?

Según lo establecido en el artículo 37 del RGPD, debe designarse obligatoriamente un DPO cuando:

a) el tratamiento lo lleve a cabo una autoridad u organismo público, excepto los tribunales que actúen en ejercicio de su función judicial;

b) las actividades principales del responsable o del encargado consistan en operaciones de tratamiento que, en razón de su naturaleza, alcance y/o fines, requieran una observación habitual y sistemática de interesados a gran escala, o

c) las actividades principales del responsable o del encargado consistan en el tratamiento a gran escala de categorías especiales de datos personales, tales como:

– Origen étnico o racial.

– Opiniones políticas, convicciones religiosas o filosóficas.

– La afiliación sindical.

– El tratamiento de datos genéticos o datos biométricos dirigidos a identificar a una persona física.

– Datos relativos a la salud o datos relativos a la vida sexual o la orientación sexual de una persona física.

– Condenas e infracciones penales o medidas de seguridad conexas.

Por su parte, la Ley Orgánica 3/2018 de 5 de diciembre, de Protección de Datos personales y Garantía de los Derechos Digitales (LOPDGDD) amplía el alcance de la obligación de designar un DPO a aquellas entidades enumeradas en su artículo 34. Por tanto, las siguientes entidades quedan sujetas a la obligación de nombrar un DPO:

– Los colegios profesionales y sus consejos generales.

– Los centros docentes que ofrezcan enseñanzas en cualquiera de los niveles establecidos en la legislación reguladora del derecho a la educación, así como las Universidades públicas y privadas.

– Las entidades que exploten redes y presten servicios de comunicaciones electrónicas conforme a lo dispuesto en su legislación específica, cuando traten habitual y sistemáticamente datos personales a gran escala.

– Los prestadores de servicios de la sociedad de la información cuando elaboren a gran escala perfiles de los usuarios del servicio.

– Las entidades incluidas en el artículo 1 de la Ley 10/2014, de 26 de junio, de ordenación, supervisión y solvencia de entidades de crédito.

– Los establecimientos financieros de crédito.

– Las entidades aseguradoras y reaseguradoras.

– Las empresas de servicios de inversión, reguladas por la legislación del Mercado de Valores.

– Los distribuidores y comercializadores de energía eléctrica y los distribuidores y comercializadores de gas natural.

– Las entidades responsables de ficheros comunes para la evaluación de la solvencia patrimonial y crédito o de los ficheros comunes para la gestión y prevención del fraude, incluyendo a los responsables de los ficheros regulados por la legislación de prevención del blanqueo de capitales y de la financiación del terrorismo.

– Las entidades que desarrollen actividades de publicidad y prospección comercial, incluyendo las de investigación comercial y de mercados, cuando lleven a cabo tratamientos basados en las preferencias de los afectados o realicen actividades que impliquen la elaboración de perfiles de los mismos.

– Los centros sanitarios legalmente obligados al mantenimiento de las historias clínicas de los pacientes. Se exceptúan los profesionales de la salud que, aun estando legalmente obligados al mantenimiento de las historias clínicas de los pacientes, ejerzan su actividad a título individual.

– Las entidades que tengan como uno de sus objetos la emisión de informes comerciales que puedan referirse a personas físicas.

– Los operadores que desarrollen la actividad de juego a través de canales electrónicos, informáticos, telemáticos e interactivos, conforme a la normativa de regulación del juego.

– Las empresas de seguridad privada.

– Las federaciones deportivas cuando traten datos de menores de edad.

¿Qué se entiende por tratamiento de datos a gran escala?

Ni el RGPD ni la LOPDGDD definen en cifras el concepto de tratamiento de datos a gran escala.

No obstante, el grupo de trabajo del artículo 29 (en inglés WP29), viene recomendando en sus directrices que se atienda a los siguientes factores para determinar si un procesamiento de datos se lleva a cabo a gran escala:

Número de interesados afectados
Volumen de datos que son objeto de tratamiento
Duración de la actividad de tratamiento de datos
Alcance geográfico de la actividad de tratamiento de datos

La AEPD ha publicado el siguiente listado con algunos ejemplos que constituyen un tratamiento de datos a gran escala:

– El tratamiento de datos de pacientes en el desarrollo normal de la actividad de un hospital;

– El tratamiento de datos de desplazamiento de las personas que utilizan el sistema de transporte público de una ciudad (p. ej. seguimiento a través de tarjetas de transporte);

– El tratamiento de datos de geolocalización en tiempo real de clientes de una cadena internacional de comida rápida con fines estadísticos por parte de un responsable del tratamiento especializado en la prestación de estos servicios;

– El tratamiento de datos de clientes en el desarrollo normal de la actividad de una compañía de seguros o de un banco;

– El tratamiento de datos personales para publicidad comportamental por un motor de búsqueda;

– El tratamiento de datos (contenido, tráfico, ubicación) por proveedores de servicios de telefonía o internet.

¿Si contrato un DPO, este pasará a ser responsable personalmente del tratamiento de datos?

En base a lo dispuesto en el RGPD, el responsable del tratamiento y el encargado del tratamiento son los responsables de aplicar las medidas necesarias, tanto de carácter técnico como de carácter organizativo, para garantizar que el tratamiento de datos personales se realiza de conformidad con la normativa.

De modo que el DPO no responderá personalmente de los incumplimientos de la normativa de protección de datos que se puedan producir en la organización para la que presta dicho servicio (el de DPO).

Sin embargo, el DPO debe realizar una serie de tareas, tal y como explicábamos al inicio de esta entrada. Entre dichas tareas, destacamos:

Informar, asesorar y supervisar el cumplimiento de la normativa de protección de datos por parte del encargado y del responsable o responsables del tratamiento de datos personales.

Actuar como punto de contacto entre la Autoridad de Control (entre otras: AEPD y APDCAT) y la organización para cuestiones relativas al tratamiento de datos personales.

¿Qué puede pasar si estoy obligado a designar un DPO y no lo hago?

Si tu negocio desarrolla alguna de las actividades previstas en el artículo 34 de la LOPDGDD (anteriormente detalladas) o si cumple alguno de los requisitos del artículo 37 del RGPD, estarás obligado a contratar un DPO, si no lo haces, te expones a una posible sanción de la Agencia Española de Protección de Datos (AEPD).

Caso Glovo

A modo de ejemplo, conviene traer a colación la reciente sanción de 25.000 euros que la AEPD ha impuesto a la empresa Glovo por no tener un DPO.

En la resolución sancionadora la AEPD sostiene que Glovo efectúa un tratamiento de datos a gran escala y que, por consiguiente, queda sujeta a la obligación de contratar un DPO establecida en el artículo 37 del RGPD.

¿Es recomendable contratar un DPO, aunque no esté obligado a ello?

Por supuesto, nadie mejor que un experto en la materia para asegurarse de que tu organización cumpla con la normativa de protección de datos.

– El papel del DPO en una organización se podría resumir de la siguiente:

– Velar por que la organización respete los principios relativos al tratamiento de datos.

– Velar por que se respeten los derechos de los interesados y atender sus solicitudes o requerimientos.

– Promover una política de protección de daños desde el diseño y por defecto.

– Mantener un registro de actividades del tratamiento.

– Promover la implementación de mejoras que garanticen un tratamiento de datos mas seguro.

– Comunicar y gestionar las fugas de datos o brechas de seguridad que pueda sufrir la organización.

Además, contar con un DPO en tu organización es garantía para tus clientes, proveedores y colaboradores de que tu organización cumple con la normativa de protección de datos.

Si dentro de tu organización hay alguien que cumpla el perfil para ser DPO, debes saber que para hacer efectivo su nombramiento deberás comunicarlo a la AEPD.

Si prefieres contratar a un profesional externo para el cargo de DPO, en Qualgest podemos prestarte un servicio a medida para tu organización, contacta con nosotros y resolveremos tus dudas sin ningún compromiso.

Información sobre cookies

ama · 10/04/2017 · Dejar un comentario

¿Qué es una cookie?

Una cookie es un fichero de texto inofensivo que se almacena en su navegador cuando visita casi cualquier página web. La utilidad de la cookie es que la web sea capaz de recordar su visita cuando vuelva a navegar por esa página. Aunque mucha gente no lo sabe las cookies se llevan utilizando desde hace 20 años, cuando aparecieron los primeros navegadores para la World Wide Web.

¿Qué NO ES una cookie?

No es un virus, ni un troyano, ni un gusano, ni spam, ni spyware, ni abre ventanas pop-up.

¿Qué información almacena una cookie?

Las cookies no suelen almacenar información sensible sobre usted, como tarjetas de crédito o datos bancarios, fotografías, su DNI o información personal, etc. Los datos que guardan son de carácter técnico, preferencias personales, personalización de contenidos, etc.

El servidor web no le asocia a usted como persona si no a su navegador web. De hecho, si usted navega habitualmente con Internet Explorer y prueba a navegar por la misma web con Firefox o Chrome verá que la web no se da cuenta que es usted la misma persona porque en realidad está asociando al navegador, no a la persona.

¿Qué tipo de cookies existen?

Cookies técnicas: Son las más elementales y permiten, entre otras cosas, saber cuándo está navegando un humano o una aplicación automatizada, cuándo navega un usuario anónimo y uno registrado, tareas básicas para el funcionamiento de cualquier web dinámica.
Cookies de análisis: Recogen información sobre el tipo de navegación que está realizando, las secciones que más utiliza, productos consultados, franja horaria de uso, idioma, etc.
Cookies publicitarias: Muestran publicidad en función de su navegación, su país de procedencia, idioma, etc.

¿Qué son las cookies propias y las de terceros?

Las cookies propias son las generadas por la página que está visitando y las de terceros son las generadas por servicios o proveedores externos como Facebook, Twitter, Google, etc.

¿Qué ocurre si desactivo las cookies?

Para que entienda el alcance que puede tener desactivar las cookies le mostramos unos ejemplos:

No podrá compartir contenidos de esa web en Facebook, Twitter o cualquier otra red social.
El sitio web no podrá adaptar los contenidos a sus preferencias personales, como suele ocurrir en las tiendas online.
No podrá acceder al área personal de esa web, como por ejemplo Mi cuenta, o Mi perfil o Mis pedidos.
Tiendas online: Le será imposible realizar compras online, tendrán que ser telefónicas o visitando la tienda física si es que dispone de ella.
No será posible personalizar sus preferencias geográficas como franja horaria, divisa o idioma.
El sitio web no podrá realizar analíticas web sobre visitantes y tráfico en la web, lo que dificultará que la web sea competitiva.
No podrá escribir en el blog, no podrá subir fotos, publicar comentarios, valorar o puntuar contenidos. La web tampoco podrá saber si usted es un humano o una aplicación automatizada que publica spam.
No se podrá mostrar publicidad sectorizada, lo que reducirá los ingresos publicitarios de la web.
Todas las redes sociales usan cookies, si las desactiva no podrá utilizar ninguna red social.

¿Se pueden eliminar las cookies?

Sí. No sólo eliminar, también bloquear, de forma general o particular para un dominio específico.

Para eliminar las cookies de un sitio web debe ir a la configuración de su navegador y allí podrá buscar las asociadas al dominio en cuestión y proceder a su eliminación.

Configuración de cookies para los navegadores más polulares

A continuación le indicamos cómo acceder a una cookie determinada del navegador Chrome. Nota: estos pasos pueden variar en función de la versión del navegador:

Vaya a Configuración o Preferencias mediante el menú Archivo o bien pinchando el icono de personalización que aparece arriba a la derecha.
Verá diferentes secciones, pinche la opción Mostrar opciones avanzadas.
Vaya a Privacidad, Configuración de contenido.
Seleccione Todas las cookies y los datos de sitios.
Aparecerá un listado con todas las cookies ordenadas por dominio. Para que le sea más fácil encontrar las cookies de un determinado dominio introduzca parcial o totalmente la dirección en el campo Buscar cookies.
Tras realizar este filtro aparecerán en pantalla una o varias líneas con las cookies de la web solicitada. Ahora sólo tiene que seleccionarla y pulsar la X para proceder a su eliminación.

Para acceder a la configuración de cookies del navegador Internet Explorer siga estos pasos (pueden variar en función de la versión del navegador):

Vaya a Herramientas, Opciones de Internet
Haga click en Privacidad.
Mueva el deslizador hasta ajustar el nivel de privacidad que desee.

Para acceder a la configuración de cookies del navegador Firefox siga estos pasos (pueden variar en función de la versión del navegador):

Vaya a Opciones o Preferencias según su sistema operativo.
Haga click en Privacidad.
En Historial elija Usar una configuración personalizada para el historial.
Ahora verá la opción Aceptar cookies, puede activarla o desactivarla según sus preferencias.

Para acceder a la configuración de cookies del navegador Safari para OSX siga estos pasos (pueden variar en función de la versión del navegador):

Vaya a Preferencias, luego Privacidad.
En este lugar verá la opción Bloquear cookies para que ajuste el tipo de bloqueo que desea realizar.

Para acceder a la configuración de cookies del navegador Safari para iOS siga estos pasos (pueden variar en función de la versión del navegador):

Vaya a Ajustes, luego Safari.
Vaya a Privacidad y Seguridad, verá la opción Bloquear cookies para que ajuste el tipo de bloqueo que desea realizar.

Para acceder a la configuración de cookies del navegador para dispositivos Android siga estos pasos (pueden variar en función de la versión del navegador):

Ejecute el navegador y pulse la tecla Menú, luego Ajustes.
Vaya a Seguridad y Privacidad, verá la opción Aceptar cookies para que active o desactive la casilla.

Para acceder a la configuración de cookies del navegador para dispositivos Windows Phone siga estos pasos (pueden variar en función de la versión del navegador):

Abra Internet Explorer, luego Más, luego Configuración
Ahora puede activar o desactivar la casilla Permitir cookies