El blog de DPD
Estamos viviendo unos momentos muy duros, pero juntos saldremos adelante. Desde dpd queremos aprovechar estas fechas navideñas para expresarte nuestros mejores deseos y agradecerte la confianza depositada en nosotros.
¡FELIZ NAVIDAD Y PROSPERO AÑO NUEVO!
P.d: Aprovecharemos unos días para descansar. No obstante, nos puedes localizar en nuestro teléfono habitual 900 288 488 y en nuestro e-mail: dpd@d-pd.com.
Como contamos en la entrada anterior, la crisis provocada por el COVID-19 ha supuesto que muchas empresas se vean obligadas a implantar el teletrabajo. La necesidad de dar respuesta sobre la protección de datos en esta situación ha llevado a la AEPD a publicar unas «recomendaciones para proteger los datos personales en situaciones de movilidad y teletrabajo«. En este caso nos vamos a centrar en las recomendaciones dirigidas a los trabajadores.
Estas políticas, como ya se indico en el anterior post, deben estar recogidas en guías de protección de datos y seguridad de la información en situaciones de movilidad de la organización. Además, se deben tener otras normas que se puedan desarrollar relativas a la confidencialidad del trabajador en relación a los datos personales a los que tuviera contacto en el desempeño de sus funciones.
La crisis provocada por el COVID-19 ha supuesto que muchas empresas se vean obligadas a implantar el teletrabajo. Pero este escenario no puede afectar a la Protección de Datos. La necesidad de dar respuesta urgente a la situación ha llevado a la AEPD a publicar unas «recomendaciones para proteger los datos personales en situaciones de movilidad y teletrabajo«. En este post nos vamos a centrar en las recomendaciones dirigidas a responsables del tratamiento. Estas son:
El responsable del tratamiento de datos debe definir una política específica para la situaciones de movilidad o teletrabajo. Se debe tener en cuenta las necesidades y los riesgos concretos de dar acceso a los recursos corporativos desde el exterior con el fin de que la protección de datos no se vea afectada.
Dentro de esta política de teletrabajo se debe establecer:
Con respecto a los empleados, la empresa debe tener en cuenta:
Evitar el uso de aplicaciones o soluciones de teletrabajo que no ofrezcan garantías y que pueda causar una exposición de los datos personales con lo que trabaja la empresa. Por ello se recomienda recurrir a proveedores con soluciones acreditadas.
Los perfiles y roles dentro de las organización deben configurase en función de cada empleado, incluso de una manera más restrictiva que si se accediera desde la propia red de la organización.
Igualmente, para implementar más restricciones se debe tener en cuenta el tipo de dispositivos o la ubicación desde la que se accede a la información.
Se debe revisar los servidores de acceso remoto y comprobar que están completamente actualizados y configurados, así como el control de los perfiles de acceso definidos.
Por otro lado, los equipos corporativos empleados como clientes tienen que: estar actualizados, tener desahibilitados los servicios que no sean necesarios, tener una configuración por defecto de mínimos privilegios, solamente tener las aplicaciones autorizadas por la organización, un antivirus actualizado, disponer de un cortafuegos local activados, incorporar mecanismos de cifrado de la información,tener activado únicamente las comunicaciones y puertos necesarios.
Se debe limitar el uso de los dispositivos personales de los empleados para llevar acabo el teletrabajo. En el caso de que sea necesario se deben exigir que tenga un sistema operativo y software original y actualizado.
Desde DPD aconsejamos consultar el informe CCN-CERT BP/18 Recomendaciones de seguridad para situaciones de
teletrabajo y refuerzo en vigilancia realizado por el Centro Criptológico Nacional (CCN-CERT).
La monitorización permite identificar patrones anormales de comportamiento con el objetivo de evitar la propagación de malware por la red corporativa o el acceso y uso no autorizado de los recursos.
Si se produce una brecha de seguridad se deben comunicar a la Autoridad de Control y a los interesados.
Se debe informar a los trabajadores sobre las actividades de control y supervisión que puede ejercer la organización.
Estas actividades de monitorización deben respetar los derechos digitales establecidos en la LOPDGDD, particularmente los artículos 87 y 88 sobre el derecho a la intimidad y uso de dispositivos digitales en el ámbito laboral y el derecho a la desconexión digital en el ámbito laboral, respectivamente.
Se debe realizar un análisis de riesgos a partir del cual se defina la política de teletrabajo de la organización que establezca las medidas y garantías necesarias, así como contemplar los procedimientos internos para garantizar la seguridad.
Se debe valorar el riesgo de perdida de un dispositivo cliente y la exposición o acceso no autorizado a la información. De esta manera se puede valorar su restricción de acceso a la información.
Como tratábamos en la entrada anterior, el Reglamento General de Protección de Datos (RGPD) se aplica desde el 25 de mayo de 2018. Por ello la AEPD puso a disposición de empresas y profesionales que tratan datos personales de escaso riesgo una herramienta sencilla y gratuita. Esta es Facilita_RGPD.
Se consideran datos personales de escaso riesgo datos de clientes, proveedores o recursos humanos, por ejemplo.
A través de tres pantallas se deben contestar a preguntas muy concretas, esto permite valorar la situación respecto al tratamiento de datos personales, bien se adapta a los requisitos necesarios para utilizar Facilita_RGPD o si se debe analizar de riesgos. Facilita_RGPD no puede emplearse para tratamiento de datos que impliquen un riesgo alto para los derechos y libertades de personas.
Facilita_RGPD genera una serie de documentos adaptados a la empresa o usuario que ha realizado la consulta. Estos incluyen cláusulas informativas que deben incluir en sus formularios o contratos, el registro de tratamiento o una relación con medidas de seguridad orientativas.
¿Cumples con la LOPD 3/2018 y el RGPD? Si tienes dudas, contacta con dpd y nosotros te ayudamos.
Hace poco más de un año entró en vigor, 5 de diciembre de 2018, entró en vigor la Ley Orgánica 3/2018 de Protección de Datos y Garantía de los Derechos Digitales, LOPD 3/2018, con nuevos aspectos que afecta tanto a ciudadanos como al sector público y privado. Esta ley nace al amparo del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento General de Protección de Datos -RGPD) por lo que la aplicación se hace manera conjunta.
Uno de los cambios que ha incluido la LOPD 3/2018 es la figura del Delegado de Protección de Datos obligatoria en aquellas organizaciones que realicen tratamientos de grandes cantidades de datos que necesiten un seguimiento habitual y sistemática por parte de los ciudadanos; o que traten categorías especiales de datos personales; o condenas e infracciones penales, etc. Como recoge la LOPD 3/2018 en su artículo 34, algunas entidades que tienen la obligación de designar a un Delegado de Protección de Datos son: Los colegios profesionales, centros docentes, entidades que exploten redes y presten servicios de comunicaciones electrónicas, prestadores de servicios de la sociedad de la información, entidades financieras, de inversión y de crédito, entidades aseguradoras, eléctricas y gas natural, publicitarias, sanitarias, seguridad privada, etc.
Otros cambios recogidas en la LOPD 3/2018 y en el RGPD:
• La responsabilidad de realizar evaluaciones de impacto sobre la privacidad para determinar los riesgos específicos inherentes al tratamiento de datos de carácter personales y el establecimiento de medidas para aplacar o eliminar dichos riesgos.
• La creación de la “ventanilla única” para las empresas multinacionales.
• La obligación de informar de brechas de seguridad a las autoridades de control tan pronto como sea posible, teniendo como plazo máximo 72 horas.
• Los datos especialmente protegidos o sensibles se amplían incluyendo los datos genéticos y biométricos, así como las infracciones y condenas penales.
• El encargado del tratamiento debe ser alguien que aporte las garantías necesarias para el cumplimiento normativo.
• Garantías adicionales para las transferencias internacionales de datos con mecanismos de seguimiento.
• No es obligatorio inscribir ficheros, estos son sustituidos por un control interno que debe incluir qué datos recoge, con qué fin se tratan, a quién o quiénes se comunican, si se transfieren a terceros países, qué medidas técnicas y organizativas se aplicarán para preservar su seguridad, y cuándo podrán ser suprimidos.
• Las sanciones pueden llegar a un máximo de 20 millones de euros o al 4% del volumen de negocio total anual global del ejercicio financiero anterior.
Para facilitar la adaptación de la LOPD 3/2018 y del RGPD por parte de las empresas del sector privado, la Agencia Española de Protección de Datos una infografía que se muestra a continuación
Y tu empresa, ¿cumple con la LOPD 3/2018 y el RGPD? Si tienes dudas, contacta con dpd y nosotros te ayudamos.