por Vicente | Feb 11, 2018 | Internet de las cosas
Estados Unidos realizó un programa experimental para prevenir la obesidad entre sus soldados, entregándoles unos relojes deportivos con los que medir su actividad.
Los soldados los utilizan diariamente cuando se van a correr. El problema ha venido cuando muchos de ellos lo han conectado con una aplicación social que permite “compartir con el mundo” las rutas (aunque sea de manera anónima).
Los responsables de la app han elaborado un “mapa de calor” destacando las rutas “populares”. Esta funcionalidad ha permitido detectar algunas bases secretas de los Estados Unidos, precisamente porque muchos soldados convertían en “populares” las pistas de las bases secretas de Irak y Afganistán.
Es una de las primeras consecuencias del “internet de las cosas”: Cada vez hay más y más datos que no teclea ninguna persona, sino que se obtienen de los dispositivos conectados (relojes, pulseras, coches, routers, sensores industriales, sensores domésticos…) y que se utilizan con finalidades distintas a la que imaginaba el propietario del dispositivo.
Fuente del artículo: http://cadenaser.com/ser/2018/01/29/ciencia/1517211676_231203.html
por Vicente | Feb 1, 2018 | laboral, Reglamento Protección de Datos
¿Debería pagar una empresa por los actos de sus empleados?
Casos como este han ocurrido varias veces en los últimos años:
- Una clienta compra un producto a una tienda online en la que confía.
- La tienda online contrata el envío con una empresa de logística.
- Un empleado de la empresa de logística entrega el paquete a la clienta.
- Al poco tiempo después, el empleado utiliza los datos de la clienta para ponerse en contacto con ella vía whatsapp para «ligar con ella».
Este es un claro ejemplo de mal uso de los datos de carácter personal.
La clienta entregó sus datos a la tienda online con una finalidad: Comprar un producto que le interesaba.
La tienda online encargó el tratamiento de los datos de su clienta a una empresa de logística con una finalidad: Que le entregasen el producto que la clienta había comprado.
Si la clienta se siente molesta con el «empleado ligón» y denuncia estos hechos a la Agencia de Protección de Datos, el resultado previsto es el siguiente:
1) Si la empresa a la que la clienta compró (la tienda online) puede acreditar que tiene debidamente implantada la protección de datos, tendrá firmado un contrato de «Encargado del Tratamiento» con la empresa de logística, pudiendo derivar la responsabilidad hacia esta última. De no ser así la tienda online se enfrenta a una importante sanción.
2) Si la empresa de logística puede acreditar que tiene debidamente implantada la protección de datos, tendrá un documento de confidencialidad y tratamiento de datos firmado por el «empleado ligón» (y por todos los demás) y le podrá demostrar a la AGPD que el único responsable de esa acción es el «empleado ligón». La empresa deberá sancionarlo por la vía disciplinaria laboral (con amonestación o despido), pero la empresa no debería recibir ninguna sanción, puesto que ha tomado las medidas necesarias ANTES de que ocurriera. De no ser así, la empresa logística se enfrenta a una importante sanción.
Este tratamiento indebido de datos acabará mal para el infractor directo (el «empleado ligón»), y puede acabar mal también para otras dos empresas: Su empleador (la empresa de logística) y la tienda online donde la clienta realizó la compra, si no tienen bien implantado un sistema de gestión de la protección de datos.
Un buen sistema de gestión de la protección de datos es la única manera de poner cortafuegos ante las acciones de «empleados ligones», «empleados cotillas», «empleados desleales» y otras especies similares.
por Vicente | Ene 23, 2018 | PROTECCION DATOS
Esta semana han contactado con nosotros varios clientes preocupados porque han recibido una llamada como esta:
– Hola, le llamo del Centro de Estafas Formativas, para ver si ya tienen hecho el curso de Delegado de Protección de Datos.
– ¿Cómo? ¿De qué curso me habla?
– Este año entra en vigor el Nuevo Reglamento de Protección de Datos y todas las empresas han de formar a alguno de sus empleados para que sea el Delegado de Protección de Datos, y si no lo hacen serán sancionadas. Afortunadamente, le podemos vender un cursito bonificado que solucionará todos sus males, y le saldrá gratis….
Pues bien, lo que dice el artículo 37.1 del Reglamento Europeo de Protección de datos, es esto:
El responsable y el encargado del tratamiento designarán un delegado de protección de datos siempre que:
a) el tratamiento lo lleve a cabo una autoridad u organismo público, excepto los tribunales que actúen en ejercicio e su función judicial;
b) las actividades principales del responsable o del encargado consistan en operaciones de tratamiento que, en razón de su naturaleza, alcance y/o fines, requieran una observación habitual y sistemática de interesados a gran escala, o
c) las actividades principales del responsable o del encargado consistan en el tratamiento a gran escala de categorías especiales de datos personales con arreglo al artículo 9 y de datos relativos a condenas e infracciones penales a que se refiere el artículo 10.
¿Observación habitual y sistemática de interesados a gran escala?
¿Tratamiento a gran escala de categorías especiales de datos.. y de datos relativos a condenas e infracciones penales?
Menos del 1% de las empresas lo necesitarán.
Y los que lo necesiten, no podrán formar a cualquiera con un cursito bonificado. Tendrán que contratar un experto en plantilla, o contratar el servicio con una empresa especializada.
por Vicente Ribes | May 2, 2017 | AGPD, Reglamento Protección de Datos
El 25 DE MAYO 2018 entrará en vigor el Reglamento Europeo de Protección de Datos, que armoniza la legislación en todos los estados de la Unión Europea bajo un mismo marco común.
Este nuevo reglamento que afecta a todas las empresas, empresarios individuales y organizaciones, y conlleva una serie de cambios respecto de la actual legislación:
OBLIGACIÓN DE REALIZAR UN ANÁLISIS DE RIESGOS. Identificando los tratamientos que realiza una empresa, los riesgos que pueden presentarse, y adoptando unas medidas.
CONSENTIMIENTO EXPRESO Y CLÁUSULAS INFORMATIVAS. Deja de permitirse el consentimiento tácito obligando a las empresas a revisar el conjunto de cláusulas informativas y rehacerlas.
NUEVOS DERECHOS DE LOS CIUDADANOS: Derecho a la portabilidad, derecho de supresión, derecho al olvido…
NOTIFICACIÓN DE BRECHAS DE SEGURIDAD. El responsable tendrá que notificar los fallos de seguridad a la Agencia Española y a los afectados en un plazo de 72 horas. Cada empresa tendrá que «auto-acusarse» así como informar a sus clientes de si sus datos han sido pirateados.
FORMACIÓN. Educación y sensibilización de los empleados que tratan datos en la aplicación de las nuevas obligaciones del RGPD.
CONTRATOS CON TERCEROS: Nuevas cláusulas que concretan el alcance de la relación entre el Responsable del Fichero y el Encargado del Tratamiento.
CREACIÓN DE LA FIGURA DEL DELEGADO DE PROTECCIÓN DE DATOS. El DPO (Data Protection Officer) tiene responsabilidad compartida y va a tener que identificar los riesgos y buscar las soluciones para solventarlos. Será obligatorio si están manejando grandes cantidades de datos sensibles o monitorizan el comportamiento de muchos consumidores.
En Adelopd estamos pendientes de todas las guías, orientaciones y directrices que va publicando la Agencia de Protección de Datos, modificando y adaptando nuestro sistema informatizado, para que el 25 de mayo de 2018, todos nuestros clientes, sigan cumpliendo la legislación de protección de datos.
por Vicente | Abr 25, 2016 | PROTECCION DATOS
Hoy hemos recibido un correo «sospechoso».
Al seguir el enlace, además de confirmar a los hackers que tu dirección de correo electrónico es buena, el sistema te redirige a un dominio falso de correos:
Una vez insertas el capcha, el sistema te descarga un fichero .zip
El fichero ejecutable, lo hemos extraido al escritorio y lo hemos pasado por el antivirus AVAST actualizado. Este antivirus NO ha detectado que ese fichero es un troyano:
Lógicamente hemos eliminado el fichero sin ejecutarlo.
Si lo hubiesemos hecho, habríamos instalado Cryptolocker en el ordenador, y el programa hubiese encriptado todos los ficheros de ofimática (e incluso otras extensiones de programas conocidos de contabilidad…) tanto del ordenador local, como del servidor (si este equipo hubiese tenido acceso al servidor).
Nos hubiesen exigido un rescate de unos 2500 euros, pagaderos en bitcoins no traceables.
Y da igual si pagas como si no, estás igual de fastidiado, porque lo normal es que ni siquiera pagando te envíen el programa de desencriptado.
Tienes más información de este troyano aquí: https://es.wikipedia.org/wiki/CryptoLocker
MORALEJA:
Ni siquiera el antivirus actualizado te protegerá de amenazas como esta.
La solución pasa por tener empleados formados, que sepan identificar un correo falso, que sepan que no se deben descargar, ni mucho menos ejecutar programas no autorizados.
Si ello lo complementamos con medidas técnicas (filtrado de correos electrónicos, políticas de seguridad que impidan la instalación de software…) mejor que mejor.
por Vicente | Feb 19, 2016 | PROTECCION DATOS
A veces ocurre que como profesional tienes una dirección profesional distinta de la de tu domicilio personal.
En la información que facilitas a los clientes (y a otras personas que te puedan facilitar datos personales, como por ejemplo la que te entrega un CV), específicamente debes informarles de sus derechos de acceso, rectificación, cancelación y oposición. En esa información tienes que indicar una dirección postal a donde puedan dirigirse para ejercerlos.
¿Qué ocurre si un buen día decides cambiar de dirección? ¿Cómo pueden saber las personas que te facilitaron sus datos cómo contactar contigo para ejercer sus derechos?
Esa circunstancia está prevista en la Ley Orgánica de Protección de Datos, y por ello, cualquier empresa o profesional, para cumplir la LOPD tiene que inscribir sus ficheros en el Registro General de Protección de Datos (que es público, y accesible desde la página web de la Agencia Española de Protección de Datos).
Si el profesional o la empresa cambian de dirección, tendrán que solicitar a la Agencia de Protección de datos una modificación de sus ficheros para que en Registro General de Protección de datos esté siempre su dirección postal actualizada.
Por ello, como profesional, si cuentas con un establecimiento distinto a tu domicilio donde atiendes a tus clientes, siempre tienes dos opciones:
1) Indicar como dirección postal la del establecimiento
2) Indicar como dirección postal la de tu domicilio.
Puedes poner la que quieras, siempre que esté «operativa» y puedas recibir correspondencia. Siempre teniendo en cuenta que la dirección que indiques será pública por imperativo legal.
por Vicente | Feb 12, 2016 | PROTECCION DATOS
Varios clientes nos han preguntado si es legal utilizar el Whatsapp como herramienta de comunicación con los clientes.
La respuesta es sencilla: NO.
Como persona física, en tu teléfono, puedes utilizar las aplicaciones que quieras. Pero whatsapp es una aplicación de una empresa americana, y la Unión Europea considera que Estados Unidos NO tiene un nivel equivalente de protección de datos, por lo que haría falta un contrato específico de tratamiento de datos (que Whatsapp no te va a firmar) y una autorización del Director de la Agencia de Protección de datos (que no te va a conceder).
Para más inri, piensa que Whatsapp te presta un servicio gratuito, y a la que no le puedes exigir ningún contrato de confidencialidad. (Puedes pedirlo si quieres, pero no se van a tomar ni la molestia de contestarte.) Piensa que en un modelo de negocio en el que no pagas nada, el producto eres tú.
Por eso no es viable «hacer oficial» el uso del Whatsapp para una actividad profesional.
por Vicente | Sep 3, 2015 | SPAM
Resulta tentadora la idea de comprar una base de datos «legal» con «licencia para enviar correos electrónicos masivos».
Pero es como si compras una pistola con el número de serie borrado. Diga lo que diga el que te la vende, es ilegal, y si te pillan, te costará caro. Aunque tengas una factura oficial del pirata que te la ha vendido.
La LSSI es clara en este sentido. En su artículo 21 establece:
1. Queda prohibido el envío de comunicaciones publicitarias opromocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas.
2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente.
En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija.
Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección.
Visto lo visto, NO se puede comprar una BD «con consentimiento para enviar publicidad». (¿cómo se podía informar sobre la identidad y el uso que le va a dar un futuro comprador aún desconocido?)
La consecuencia inevitable es que resulta imposible que exista una base de datos de correos electrónicos que se pueda usar legalmente para el envío de mensajes comerciales por parte de cualquier comprador.
por Vicente | May 29, 2015 | PROTECCION DATOS
¿Por qué tengo que firmar un contrato de encargado del tratamiento si yo me limito a asistir al cliente de forma remota y no me guardo jamás copia de sus datos?
Esa es la pregunta que planteaba recientemente un informático de un cliente nuestro al que le pedimos que firmara el contrato de confidencialidad como Encargado del Tratamiento.
La Agencia Española de Protección de Datos, lo deja totalmente claro en su informe jurídico:
la mera visualización de datos personales contenidos en archivos o documentos de un cliente constituye un tratamiento de datos personales, aunque no se efectúe copia alguna de los archivos o documentos a los que se acceda que contengan este tipo de datos. Por consiguiente, la actividad a que se refiere la consulta queda sometida a la normativa de protección de datos
por Vicente | May 18, 2015 | PROTECCION DATOS
Una duda recurrente de muchos asesores fiscales es ¿el fichero de declaraciones de renta (IRPF) se debe declarar de nivel alto o de nivel basico?
Al hacer la declaración de la renta (IRPF) el contribuyente tiene que decir si quiere asignar un porcentaje a la «Iglesia Católica», o a «Otros fines de interés social», por este motivo, muchos asesores entienden que el fichero de renta debe declararse como de nivel alto.
Puede haber opiniones en un sentido y en otro, pero al final la opinión que más nos importa es la de la AGPD, y en este informe lo dejaron muy claro.
– El ir a clase de religión (católica) no necesariamente revela que el alumno lo sea. por tanto los listados de alumnos de la asignatura de religión NO contiene datos de nivel alto.
– La preferencia de un contribuyente de asignar un porcentaje de la recaudación de sus tributos a la Iglesia NO revela necesariamente sus creencias por lo que el fichero de declaración de renta de una asesoría NO es de nivel alto sino básico.
Os pego aquí el enlace al Informe Jurídico de la Agencia para que lo tengáis de referencia.
https://www.agpd.es/portalwebAGPD/canaldocumentacion/informes_juridicos/reglamento_lopd/common/pdfs/2008-0158_La-asignaci-oo-n-tributaria-a-la-Iglesia-Cat-oo-lica-en-IRPF-no-revela-creencias-religiosas.pdf
