Cómo proteger los datos personales durante el teletrabajo – Empresas

La crisis provocada por el COVID-19 ha supuesto que muchas empresas se vean obligadas a implantar el teletrabajo. Pero este escenario no puede afectar a la Protección de Datos. La necesidad de dar respuesta urgente a la situación ha llevado a la AEPD a publicar unas «recomendaciones para proteger los datos personales en situaciones de movilidad y teletrabajo«. En este post nos vamos a centrar en las recomendaciones dirigidas a responsables del tratamiento. Estas son:

Ejemplo de teletrabajo en casa. Foto de Julia M Cameron en Pexels
Ejemplo de teletrabajo

Definir una política de Protección de Datos para situaciones de la información para situaciones de movilidad.

El responsable del tratamiento de datos debe definir una política específica para la situaciones de movilidad o teletrabajo. Se debe tener en cuenta las necesidades y los riesgos concretos de dar acceso a los recursos corporativos desde el exterior con el fin de que la protección de datos no se vea afectada.

Dentro de esta política de teletrabajo se debe establecer:

  • la manera en la que se va a permitir el acceso remoto,
  • el tipo de dispositivos validos y el nivel de acceso,
  • las responsabilidades y obligaciones que asumen los empleados.

Con respecto a los empleados, la empresa debe tener en cuenta:

  • proporcionarles una guía con las directrices establecidas y un contacto
  • las principales amenazas que pueden afectar a su trabajo
  • las consecuencias de no seguir las directrices de la empresa.
  • alcanzar un acuerdo donde se especifique los compromisos adquiridos durante el teletrabajo.

Elegir soluciones y prestadores de servicio confiables y con garantías

Evitar el uso de aplicaciones o soluciones de teletrabajo que no ofrezcan garantías y que pueda causar una exposición de los datos personales con lo que trabaja la empresa. Por ello se recomienda recurrir a proveedores con soluciones acreditadas.

Restringir el acceso a la información

Los perfiles y roles dentro de las organización deben configurase en función de cada empleado, incluso de una manera más restrictiva que si se accediera desde la propia red de la organización.

Igualmente, para implementar más restricciones se debe tener en cuenta el tipo de dispositivos o la ubicación desde la que se accede a la información.

Configurar periódicamente los equipos y dispositivos utilizados en las situaciones de movilidad

Se debe revisar los servidores de acceso remoto y comprobar que están completamente actualizados y configurados, así como el control de los perfiles de acceso definidos.

Por otro lado, los equipos corporativos empleados como clientes tienen que: estar actualizados, tener desahibilitados los servicios que no sean necesarios, tener una configuración por defecto de mínimos privilegios, solamente tener las aplicaciones autorizadas por la organización, un antivirus actualizado, disponer de un cortafuegos local activados, incorporar mecanismos de cifrado de la información,tener activado únicamente las comunicaciones y puertos necesarios.

Se debe limitar el uso de los dispositivos personales de los empleados para llevar acabo el teletrabajo. En el caso de que sea necesario se deben exigir que tenga un sistema operativo y software original y actualizado.

Desde DPD aconsejamos consultar el informe CCN-CERT BP/18 Recomendaciones de seguridad para situaciones de
teletrabajo y refuerzo en vigilancia
realizado por el Centro Criptológico Nacional (CCN-CERT).

Ejemplo de dispositivos protegidos, en este caso mediante una cadena física para representar la seguridad. Foto de Pixibay en Pexels.
Protección de los dispositivos

Monitorizar los accesos realizados a la red corporativa desde el exterior

La monitorización permite identificar patrones anormales de comportamiento con el objetivo de evitar la propagación de malware por la red corporativa o el acceso y uso no autorizado de los recursos.

Si se produce una brecha de seguridad se deben comunicar a la Autoridad de Control y a los interesados.

Se debe informar a los trabajadores sobre las actividades de control y supervisión que puede ejercer la organización.

Estas actividades de monitorización deben respetar los derechos digitales establecidos en la LOPDGDD, particularmente los artículos 87 y 88 sobre el derecho a la intimidad y uso de dispositivos digitales en el ámbito laboral y el derecho a la desconexión digital en el ámbito laboral, respectivamente.

Gestionar racionalmente la protección de datos y la seguridad

Se debe realizar un análisis de riesgos a partir del cual se defina la política de teletrabajo de la organización que establezca las medidas y garantías necesarias, así como contemplar los procedimientos internos para garantizar la seguridad.

Se debe valorar el riesgo de perdida de un dispositivo cliente y la exposición o acceso no autorizado a la información. De esta manera se puede valorar su restricción de acceso a la información.

Ejemplo de teletrabajo desde la terraza de una cafetería, para ejemplificar otro tipo de teletrabajo. Foto de Andrea Piacquadio en Pexels
Teletrabajo desde una terraza pública

Facilita_RGPD La herramienta de ayuda al cumplimiento del RGPD de la Agencia Española de Protección de Datos

Como tratábamos en la entrada anterior, el Reglamento General de Protección de Datos (RGPD) se aplica desde el 25 de mayo de 2018. Por ello la AEPD puso a disposición de empresas y profesionales que tratan datos personales de escaso riesgo una herramienta sencilla y gratuita. Esta es Facilita_RGPD.

Se consideran datos personales de escaso riesgo datos de clientes, proveedores o recursos humanos, por ejemplo.

A través de tres pantallas se deben contestar a preguntas muy concretas, esto permite valorar la situación respecto al tratamiento de datos personales, bien se adapta a los requisitos necesarios para utilizar Facilita_RGPD o si se debe analizar de riesgos. Facilita_RGPD no puede emplearse para tratamiento de datos que impliquen un riesgo alto para los derechos y libertades de personas.

Facilita_RGPD genera una serie de documentos adaptados a la empresa o usuario que ha realizado la consulta. Estos incluyen cláusulas informativas que deben incluir en sus formularios o contratos, el registro de tratamiento o una relación con medidas de seguridad orientativas.

Tutorial de Facilita_RGPD elaborado por la AEPD.

¿Cumples con la LOPD 3/2018 y el RGPD? Si tienes dudas, contacta con dpd y nosotros te ayudamos.

La LOPD 3/2018 y el RGPD. Un año después.

Hace poco más de un año entró en vigor, 5 de diciembre de 2018, entró en vigor la Ley Orgánica 3/2018 de Protección de Datos y Garantía de los Derechos Digitales, LOPD 3/2018, con nuevos aspectos que afecta tanto a ciudadanos como al sector público y privado. Esta ley nace al amparo del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento General de Protección de Datos -RGPD) por lo que la aplicación se hace manera conjunta.

Los nuevos cambios de la LOPD 3/2018 y el RGPD

Uno de los cambios que ha incluido la LOPD 3/2018 es la figura del Delegado de Protección de Datos obligatoria en aquellas organizaciones que realicen tratamientos de grandes cantidades de datos que necesiten un seguimiento habitual y sistemática por parte de los ciudadanos; o que traten categorías especiales de datos personales; o condenas e infracciones penales, etc. Como recoge la LOPD 3/2018 en su artículo 34, algunas entidades que tienen la obligación de designar a un Delegado de Protección de Datos son: Los colegios profesionales, centros docentes, entidades que exploten redes y presten servicios de comunicaciones electrónicas, prestadores de servicios de la sociedad de la información, entidades financieras, de inversión y de crédito, entidades aseguradoras, eléctricas y gas natural, publicitarias, sanitarias, seguridad privada, etc.

Otros cambios recogidas en la LOPD 3/2018 y en el RGPD:
• La responsabilidad de realizar evaluaciones de impacto sobre la privacidad para determinar los riesgos específicos inherentes al tratamiento de datos de carácter personales y el establecimiento de medidas para aplacar o eliminar dichos riesgos.
• La creación de la “ventanilla única” para las empresas multinacionales.
• La obligación de informar de brechas de seguridad a las autoridades de control tan pronto como sea posible, teniendo como plazo máximo 72 horas.
• Los datos especialmente protegidos o sensibles se amplían incluyendo los datos genéticos y biométricos, así como las infracciones y condenas penales.
• El encargado del tratamiento debe ser alguien que aporte las garantías necesarias para el cumplimiento normativo.
• Garantías adicionales para las transferencias internacionales de datos con mecanismos de seguimiento.
• No es obligatorio inscribir ficheros, estos son sustituidos por un control interno que debe incluir qué datos recoge, con qué fin se tratan, a quién o quiénes se comunican, si se transfieren a terceros países, qué medidas técnicas y organizativas se aplicarán para preservar su seguridad, y cuándo podrán ser suprimidos.
• Las sanciones pueden llegar a un máximo de 20 millones de euros o al 4% del volumen de negocio total anual global del ejercicio financiero anterior.

La ayuda de la Agencia Española de Protección de Datos con la LOPD 3/2018 y el RGPD

Para facilitar la adaptación de la LOPD 3/2018 y del RGPD por parte de las empresas del sector privado, la Agencia Española de Protección de Datos una infografía que se muestra a continuación

Infografía elaborada por la AEPD sobre la adaptación del RGPD y la LOPD 3/2018
Infografía elaborada por la AEPD sobre la adaptación del RGPD.

Y tu empresa, ¿cumple con la LOPD 3/2018 y el RGPD? Si tienes dudas, contacta con dpd y nosotros te ayudamos.