#RETOBLOG: Harry Potter y sus hechizos para cumplir la LOPD.

Dicen las malas lenguas que para cumplir con la normativa de protección de datos necesitas ser más espabilado que Harry Potter en busca de los Horrocruxes. La diferencia es que Harry los encontró, se enfrentó al malo y ganó (así contado por encima) y en esto de la protección de datos, los Horrocrouxes son...cómo decirlo...INTERMINABLES. Por eso, para que puedas enfrentarte a cada peligro, te voy a dar un manual imprescindible: una lista de hechizos Harry-Potteros para que puedas entender un poco de qué va la LOPD y defenderte cuando EL QUE NO DEBE SER NOMBRADO venga a por nosotros. 

Vamos a ello...

Hechizo Calvorio - Deja calvo al recibidor del hechizo durante varios minutos.

Este es el que va a usar la AEPD como te coja desprevenido: vas a acabar desplumado. Y es seria la cosa; las multas por incumplir la LOPD van desde 900 euros a 600.000 euros. Eso sí, al igual que las multas, los efectos del hechizo también son graduables: dependiendo de cómo te pille el tema puedes quedarte tipo bola de billar o look Anasagasti, por lo que te aconsejo que vayas cuidando tu melena (y tu gestión de los datos personales) para que, en caso de que te lancen este hechizo, tengas recursos para defenderte. 

Priori Incantatem - Hace que puedas ver el último hechizo conjurado por la varita.

Mucho ojo con este también: como no tengas una contraseña lo suficientemente fuerte, este hechizo puede ser tu ruina. Con él, el Mortífago puede entrar en el corazón de tu empresa y acceder a todo lo que guardas en tus dispositivos/varitas, por lo que haz el favor de utilizar contraseñas robustas y aléjate del 1234 o el 0000 que no traen más que penurias.

Hechizo Fermaportus - Cierra o sella una puerta mágicamente.

Este es el que debes usar para cancelar los datos. Con él, los datos quedarán perfectamente bloqueados, a excepción de que Administraciones públicas, Jueces o Tribunales, te los pidan para la atención de las posibles responsabilidades nacidas del tratamiento que hayas realizado sobre ellos. Eso sí, este hechizo funciona sólo durante el plazo de prescripción de dichas responsabilidades, por lo que, pasado ese tiempo, deberás usar el siguiente que te pongo.

Reducto - Hace que el objeto, al que se apunta, se rompa o destruya.

Efectivamente, este hechizo es el que debes usar para suprimir los datos tras el período de bloqueo. Con él, no quedará ni rastro de los datos, por lo que sé muy cauteloso y cuidadoso de usarlo sólo cuando debas y asegúrate de que has ensayado muy bien el hechizo para que no haya forma humana (ni mágica) de que pueda accederse a los datos que has destruido.

Cistem Aperio - Crea fuertes sacudidas en un objeto hasta hacer que se abra o rompa.

Este hechizo es otro con bastante probabilidad de que lo usen contra ti los horribles Mortífagos, por lo que debes estar preparado. Protege tus datos personales y los sistemas que los contienen para que seas inmune a este hechizo; te voy a dar varios conjuros para que puedas protegerte bien:

Cave Inimicum - Hechizo de protección, avisa cuando llegan los enemigos.

Ferma -  Cierra objetos cerrables, como ventanas, libros o cajones.

Mago precavido vale por dos; tener mecanismos de prevención de ataques nos hará ser más fuertes y menos vulnerables a los ataques de los malos. Nuestros datos estarán más seguros y podremos responder a los ataques que nos lancen (incluso preverlos con antelación para minimizar sus efectos). 

Geminio - Duplica objetos, aunque los objetos duplicados no tienen las propiedades mágicas que los originales.

Este es la pera limonera de los hechizos, ya que es tu particular inversión en tranquilidad: tener una copia de seguridad de los datos personales es una garantía de seguridad adicional a los hechizos que acabamos de ver. Así que venga, a practicar con la varita (como poco, una vez a la semana).

Partis Temporus - Crea temporalmente una barrera mágica de protección

Ideal cuando sacas soportes con datos de la empresa, algo que es muy común: una carpeta con documentación, el portátil, la tablet... Antes de salir de las instalaciones, dale al Partis Temporus para proteger todo lo que quieras sacar, que nunca se sabe cuando van a aparecer los Mortífagos. 

Y hasta aquí llega la clase de iniciación del curso en Hogwarts; espero que a final del mismo os salgan los conjuros a la primera y paséis el examen de la asignaturas de Hechizos LOPD con toda facilidad. Eso sí, antes de irte... ¡tendrás que saber a qué escuela vas! Tira para el salón que Dumbledore está de los nervios. ;-)

Feliz inicio de cole y...¡BIENVENIDOS A HOGWARTS!

Ni Mamá, ni Papá: Di "Hola Mundo"

¡Hola de nuevo!

El post de esta semana sigue la senda que he tomado desde hace algún tiempo: la Privacidad de los menores. Parece que cada vez estamos más concienciados de su importancia, de las indeseables consecuencias que puede tener una gestión "imprudente" de la misma, y nos damos cuenta poco a poco de que este tipo de actuaciones las podemos hacer cualquiera de nosotros, la mayoría de veces, de forma involuntaria, eso sí. Es hora ya de que entendamos que realmente no es una cuestión sólo de papis y mamis; la infancia debe ser objeto prioritario de protección para tíos, primos, profesores, el kioskero, el florista o para el vecino del quinto; al menos en mi opinión. Aunque no soy especialmente niñera, tengo claro que la infancia debe tener Pole Position en las prioridades de toda Sociedad. Y sobre esta base, lanzo una reflexión al aire: 

Europa... ¿qué narices haces dejando que seres humanos agonicen en tus fronteras? Es imposible permanecer impasible viendo las imágenes de l@s que se juegan su vida para huir de la maldad, del infierno de las armas y de la crueldad, y que, al llegar a la Europa de los sueños, se encuentran con un muro infranqueable de incomprensión. Esta no es la Europa que nos vendieron; nunca nos dijeron que las fronteras iban a caer para el dinero y los datos personales, pero no para las personas. Tampoco imaginé una Europa tan egoísta, tan clasista y tan desmemoriada. 

Tras este alegato pro-personas que no he podido evitar (ni he querido, no voy a mentir a estas alturas) , voy a intentar retomar el post. Me ha llamado la atención esta noticia:  UC Baby shuts down ultrasound video service due to lack of security y he pensado que sería un tema interesante para escribir sobre él. Voy a resumir un poco la situación para que os hagáis una idea, pero lo voy a hacer a la manera #iurisfriking para hacerlo un poco ameno ;-). 

"Jacinta y Agripino (el de la infografía de la doble vida que podéis ver aquí), van a tener un bebé. Están tan contentos que deciden ir a una clínica que les ofrece hacer un vídeo en 3D de su pequeñín dentro de la tripa de Jacinta. El servicio incluye un vídeo molón para verle la carita antes de que nazca y la posibilidad de compartir las primeras imágenes del bebé en movimiento con amigos y familiares. Ambos creen que es una gran idea "presentar" al peque antes de que nazca y están tan entusiasmados que deciden hacerlo. A los pocos días de la cita en la clínica, les avisan de que el vídeo está listo y pueden acceder a él introduciendo en la web de la empresa un ID que les han proporcionado más un correo electrónico y una contraseña. 

El problema llega cuando a los pocos días se enteran de que no son los únicos que pueden conocer a su bebé ya que el vídeo está a la vista del mundo entero por una incidencia de seguridad en la web de la clínica y, para más inri, resulta que, además del vídeo, se pueden ver también otros datos, como el nombre de la familia, ciudad o pueblo y la hora y el día que se realizó el vídeo. Por lo que parece, la clínica no tomó las precauciones debidas para proteger sus servidores y lleva funcionando desde el año 2005, sin que se hayan preocupado por mantener y actualizar las medidas de seguridad casi desde entonces". 

Toda una "negligencia", ¿no creéis?

Pues esto es lo que sucede cuando nos quedamos obsoletos en temas de privacidad y seguridad; cuando nos aferramos al Windows 95 y nos despreocupamos por estar al día en estos temas. Es como llevar un bikini en pleno invierno. Porque la obsolescencia no afecta sólo a las máquinas, también nos afecta a nosotros: es como algún que otro cabestro que a estas alturas de la peli se empeña en no llevar puesto el cinturón de seguridad en el coche. Oiga, que no es sólo ya por su propia seguridad, es que si tampoco le pone el cinturón al niño está poniendo en riesgo otra vida más por su indefendible cabezonería. 

Os planteo unas cuestiones sobre la noticia: 

1) ¿La imprudencia ha sido sólo de la clínica, de los padres o de ambas partes?

2) ¿Qué peligros y consecuencias pueden derivarse de este tipo de sucesos? ¿Qué implicaciones veis tanto para el pequeñín como para los propios padres?

3) Acorde a la Normativa Española... ¿las imágenes del pequeñín se podrían proteger con la LOPD en la mano?

A ver qué es lo que pensáis; me interesan mucho vuestros puntos de vista. Podéis compartir vuestras respuestas en mi perfil de twitter . 

Y hasta aquí llega el post de hoy; muchas gracias por pasar por este rinconcito de la Red y que tengáis un estupendo fin de semana.

 

PDT: Por cierto, Feliz San Patricio a todos los irlandeses de corazón como yo. #IrishFriki 
;-)

¡I love Ireland!

Entrevista con los Reyes Magos sobre Protección de Datos.

Hola a tod@s!

Hace cosa de un mes y medio recibí un email que me extrañó muchísimo. En el asunto ponía en mayúsculas "CONFIDENCIAL: a la atención exclusiva de Iurisfriki". Al principio pensé que era SPAM pero algo dentro de mí me hizo no enviarlo a la papelera de primeras. Al final del día me armé de valor y decidí abrirlo. Y menos mal. En el cuerpo del mensaje me encontré con un escueto "Se acepta su solicitud, la entrevista  será "X" día a "X" hora". De inmediato, cogí mi móvil y llamé a mi contacto para agradecerle el favor: gracias a sus gestiones, Sus Majestades los Reyes Magos de Oriente habían accedido a responderme a unas preguntas, y no sólo eso: tenía su ok para publicarlo en el blog y compartirlo con mis queridos lectores. Así, que, queridos amig@s, en este post os voy a trasladar la pequeña charla que pude mantener con tan ilustres y mágicos personajes.

Llegado el día "D", estaba tan nerviosa que no acertaba ni a encender el pc. Tal y como me habían pedido, busqué un sitio seguro en el que estar sola y que nadie más pudiera escucharme. Cogí el pendrive que me había entregado un amable mensajero un par de días antes de la cita y lo inserté en el equipo. Al momento, se me empezó a instalar en mi equipo el programa que sería la herramienta para mantener la charla con ellos: una especie de Skype mágico que se autoborraría nada más terminar la charla. Y doy fe de que así fue: tanto el pendrive como el programa han desaparecido de mis equipos y de mi vista!

Finalizada la instalación del programa y su configuración (que debo decir que fue bastante rápido), por fín estaba en línea, esperando la llamada mágica de Oriente. Y a los pocos minutos, se produjo...

 

De repente, apareció en la pantalla un Paje Real que, con cierto semblante serio, me dijo que Sus Majestades se conectarían enseguida. Y así fue: al ratito, tenía 3 hombres mayores al otro lado de la pantalla mirándome con una dulce sonrisa. Y empezó la charla..

Todo fue muy rápido; Sus Majestades me explicaron que estaban especialmente ocupados con todos los encargos que habían recibido para Reyes, por lo que quise ser directa y clara para no "robarles" demasiado tiempo. Mi primera pregunta era obvia: ¿cómo gestionan toda la información que reciben de los niños españoles?

Fue Gaspar el que rompió el hielo con un tajante: "Pues aplicando las máximas pautas de seguridad combinando las ideas que cogemos de la normativa en protección de datos y la magia, que es la base de nuestra actividad". Obviamente, mi cara fue un poema pero es que claro, no me veía con legitimidad para cuestionar a tan ilustres personas los motivos por los que, como entendí entre líneas, no cumplían escrupulosamente los preceptos de la LOPD. Al final no hizo falta decir nada: Melchor tomó la iniciativa y me explicó que, ante las dudas sobre si debían aplicar la normativa vigente en Protección de Datos dado su carácter marcadamente mágico, habían decidido consultar directamente a la AEPD y la respuesta había sido negativa dado que no encajan en los supuestos obligados por sus especiales características y además, según les indicaron en la propia AEPD su actividad podría encajarse tanto en la llamada "excepción doméstica" como en la prevista en el art. 1.c de la LOPD. No seré yo quien cuestione a la excelentísima AEPD y menos hablando de cuestiones "mágicas". ;-)

Mi siguiente pregunta fue que me indicaran algunos preceptos de la normativa que aplicaran en sus actividades, a lo que Baltasar me respondió lo siguiente: "Lo primero que queremos que quede claro es que, a grosso modo, cumplimos con los Principios de la LOPD y con las medidas de seguridad del Reglamento, aunque a "nuestra manera". Voy a ser más concreto: En relación a los datos que manejamos, la mayoría provienen de las cartas que nos envían los niños cada año, por lo que sólo los conservamos "vivos" desde que llegan las cartas hasta el día 13 de enero. Es verdad que solemos dar un plazo extra de una semana por si nos hemos equivocado en el reparto o el niño no está contento con lo que le hemos dejado. Pasado ese tiempo, las cartas pasan a una sala mágica en la que quedan protegidos bajo un hechizo durante un plazo máximo de 5 años. A esa sala sólo podemos acceder nosotros, ya que la puerta  que la custodia sólo es visible con nuestros poderes, por lo que, en cierto modo, usamos una especie de "biometría mágica". Además, el hechizo lo cambiamos como mínimo una vez al año. Lo del hechizo es un lío, ya que la magia no evita los achaques propios de la edad y es Melchor el que la lía siempre: se le olvida de un día para otro y bloquea el sistema mágico: ¡tenemos un registro de incidencias enorme por su culpa!"

Me interesaba mucho conocer la relación con los pajes reales: cómo trasladan las obligaciones y responsabilidades a sus "empleados" (por llamarles de alguna manera) en materia de protección de datos. La respuesta de Gaspar no se hizo esperar: "Esta parte ha sido auténticamente complicada precisamente porque nuestros pajes reales tienen una especial relación con nosotros: no son ni trabajadores al uso ni, como les llamáis vosotros si mal no recuerdo, autónomos. Lo que hemos previsto al final es un contrato inspirado en el artículo 12 de la LOPD. Además, se les imparte un curso formativo cuando entran a colaborar con nosotros y anualmente, más o menos en verano, se les realiza otro curso de recuerdo. Nuestros pajes manejan información muy importante y no queremos dejar ningún fleco suelto. Los traslados de las cartas de sus buzones a nosotros son escrupulosamente seguros: utilizamos un doble hechizo y así, las cartas quedan perfectamente protegidas hasta que llegan a nosotros".

Me interesaba saber cómo actúan en relación al tema del consentimiento, algo que a las empresas les suele costar cuadrar. En esta ocasión, fue Melchor el que respondió a mis dudas: "A ver, lo del consentimiento es un poco "especial"..Nosotros no usamos formularios de contacto: los datos que nos llegan son básicamente por las cartas de los niños. Claro, la ventaja de llevar haciendo esto tanto tiempo es que cualquiera que nos escribe la carta sabe las cosas obligatorias que tiene que poner en ella: Su nombre, su dirección, si ha sido bueno o no y los regalos que le gustaría recibir. Visto esto, el resto no es relevante para nosotros, aunque cada carta es un mundo y muchos suelen pedirnos deseos para otras personas: Padres, Madres, Tíos, Abuelos, Vecinos o hasta Compañeros de clase. Esto choca con el art.13.2 del Reglamento, lo sabemos, pero creemos que la buena intención de las cartas puede compensarlo. Sólo usamos esa información para hacer felices y repartir ilusión, lo que es una finalidad clara del tratamiento que realizamos. No es necesario un formulario ni profundizar más en ello; no queremos tener problemas con la AEPD, como entenderás..Apunta ahí que no cedemos datos a nadie: que los encargos y demás los hacemos nosotros mismos, por lo que a nuestros vendedores sólo les trasladamos la lista de regalos, sin que sepan para quién es cada uno". Dicho queda. ;-)

No quería robarles mucho tiempo ya que estamos en fechas muy ocupadas para ellos, pero me quise portar un poco mal y decidí preguntarles por esos chivatazos que sabemos que les llegan sobre si los niños se portan bien o mal durante el año: su peculiar sistema de vigilancia que algunos gobiernos envidiarían, por cierto. La respuesta me dejó auténticamente impresionada: "Mira, Iuris, no te podemos dar muchos datos sobre este tema. Nosotros durante el año es verdad que recibimos chivatazos y que, incluso, podemos ver y saber el momento exacto en el que el niño se porta mal, pero no podemos precisarte demasiado sobre ello ya que no lo vas a poder entender; date cuenta que la Magia es un instrumento muy poderoso, y que nosotros "somos de los buenos". Sólo podemos decirte que nuestros oídos y ojos están muy protegidos y no pueden ser hackeados por nadie, así que estad tranquilos por esto".

Les pedí para finalizar la entrevista una frase final a cada uno de ellos para los lectores de este humilde blog. Accedieron enseguida, pidiéndome que trasladara el literal de lo que dijeran. Aquí os dejo los mensajes finales:

Melchor: "Quiero pedirles a tus lectores que entiendan la necesidad de proteger los datos personales tanto suyos como de sus clientes: que tomen medidas, que se formen, que se interesen y que piensen que, si unos ancianos como nosotros estamos concienciados, ellos tienen más motivos para estarlo".

Gaspar: "Yo lo que pediría a los lectores es que dejen de vivir al margen de la ley y de la Sociedad y que tomen medidas, especialmente con los niños. Nosotros no podemos estar todo el año encima del buen uso o mal uso de los regalos que dejamos; eso es responsabilidad de los padres. Hagan el favor de implicarse y protejan a los menores: sean responsables, y si no pueden comprometerse a esto, que no nos pidan determinados regalos".

Baltasar: "Comparto 100% lo que han puesto mis colegas, por lo que lo único que quiero añadir es lo siguiente: Se puede recibir carbón por no portarse bien, como saben todos, pero lo de "portarse bien" también incluye cumplir con las normativas. No sólo pueden recibir una multa, también carbón para el año que viene, avisados están".
 

Y hasta aquí llegó mi privilegiada charla sobre protección de datos con los Reyes Magos de Oriente. Espero que la hayáis encontrado interesante y sirva para concienciarnos un poco más sobre la importancia de nuestros datos personales. Un saludo a todos y FELIZ AÑO 2016! (qué mejor manera de empezarlo que con esta "visita mágica").

Un día en la vida de Jorge: el cuento de las migas de pan (versión 2015).

Hola a tod@s!

Esta semana quiero hacer un post ilustrativo de cómo todos los días cada uno de nosotros versionamos aquel cuento que hablaba de un personaje que dejaba migas de pan por el camino que recorría para poder seguirlo después y volver a casa (no recuerdo si el cuento era Hansel y Grettel o Pulgarcito... será la edad). Mi peculiar versión 2015 de este cuento la va a protagonizar Jorge, un empleado de una inmobiliaria que vive en una gran ciudad y comparte su vida con Miguel, con quien tiene 2 preciosas niñas. Jorge es un joven de su tiempo: vive conectado a Internet y es usuario de redes sociales y múltiples aplicaciones (tanto desde el móvil como desde su tablet y, a veces también desde el pc). Vamos a ver cómo transcurre un día normal en la vida de Jorge.

7;30 am. Suena la alarma del móvil. Jorge se despereza poco a poco. Como tenía problemas de insomnio, decidió instalarse una app en el móvil que le ayuda a dormir y que, para ello, emite un sonido de lluvia que le relaja. La conecta todos los días y gracias a ella, se despierta de mejor humor cada mañana. Jorge se levanta y se mete en la ducha. Media hora después está listo para desayunar.

8:00 am. Miguel ha decidido tener un detalle bonito con Jorge y le ha preparado un megadesayuno con crepes, zumo y café. Jorge no se resiste a subir una foto a sus RRSS con el detalle. Y 10 segundos después, la foto está subida a la red y empiezan los comentarios.

 

8:30 am. Tras vestirse, Jorge se dispone a coger el metro para ir a trabajar, pero antes recuerda que tiene que comprarse el abono que le ha caducado hace unos días. Se acerca a la máquina, mete la tarjeta del abono y paga con su tarjeta de crédito. Baja al andén y ve que hay un retraso en las frecuencias por lo que seguramente llegue tarde a trabajar. Decide enviar un whatsapp a su jefe avisándole de la situación. Tras ello, decide comentar en sus RRSS  también lo sucedido. 

9:30 am Por fin llega Jorge al trabajo. Nada más entrar, ficha con la tarjeta en la máquina de la puerta. Y empieza su jornada. 

Enciende el pc y se conecta a la web de música en streaming en la que se hizo cuenta unos meses atrás. Consulta su email para ver si tiene alguna cita programada y se lanza a la búsqueda de pisos de particulares para ver si puede "captar" alguno para su negocio. Durante la mañana recibe algunas visitas y hace algunas llamadas a los proveedores. Además, toca llamar a la compañía telefónica porque tienen una pequeña avería en la conexión. Aprovecha el rato sin internet en la ofi para apuntarse, mediante su móvil, a un curso de inglés que le ha llegado al mail y llama al centro de salud para concertar cita para vacunarse, como todos los años, contra la gripe. Menos mal que le ha saltado el aviso del móvil que programó hace 2 años; si no, no se hubiera acordado.

2:30 pm Hora de comer. Sale de la oficina y llama a Miguel. Quedan en el bar de la calle paralela a la oficina. Una vez allí, pide el menú del día y queda encantado, como siempre. Se conecta a su usuario en una web en la que te dan descuentos por opinar de los restaurantes que se anuncian en dicha web y les pone por las nubes. A las 16:00 pm toca volver al trabajo pero aprovecha antes para pasar por el banco y sacar algo de dinero.

7:00 pm. Hora de salir de trabajar. Llama a Miguel para avisarle de que va a pasarse por el súper a comprar algo para la cena. Esta vez se va en el bus. Mientras va en el bus, busca vuelos para las vacaciones y saca alguna foto por la ventana. Han puesto las luces de Navidad y no desaprovecha la ocasión de compartirlo en sus RRSS. Cuando llega al súper, abre la lista que elaboró en la app del móvil que instaló para no olvidarse de nada y coge un carrito. Al terminar, es hora de volver a casa.

8:30 pm. Llegada a casa. En lo que hace la cena, aprovecha para ayudar a las peques con los deberes. Tras la cena, juegan un rato online con el ordenador y les acuesta. 

10:30 pm. Toca rato de relax. Tras una charla con Miguel en lo que se cuentan mutuamente su día, enciende su libro electrónico para descargarse algo de lectura para los siguientes viajes en el metro. 

12:00 am. A la cama. Conecta la app para dormir, pone la alarma y se queda plácidamente dormido. Desea buenas noches a seguidores y amigos en las RRSS.

 

Y así es un día en la vida de Jorge. Si le cambiamos el nombre, puede ser casi un día en la vida de cualquiera. Vamos a analizar todas las miguitas que ha podido dejar durante este día:

1) La aplicación de alarma y música para dormir sabe a la hora a la que se levanta y a la que se acuesta. Y sabe también que tiene algunos problemas de sueño (que para eso la descargó, claro).

2) En sus RRSS ha compartido información de su día: desde la foto del desayuno, hasta los problemas con el transporte para llegar a su casa, las conversaciones con su jefe, con su chico, las fotos que ha hecho de la decoración navideña, ha informado de cuándo finaliza su día..En el mail ha dejado claro, además, que le interesa formarse en inglés.

3) Las llamadas podrían revelar que es proclive a coger gripe o bien, que le ha recomendado su médico vacunarse para evitarlo. Por cierto, que la app "reminder" del móvil también es depositaria de esta información, aunque incompleta, claro, porque no sabemos el motivo de que se vacune anualmente.

4) Tanto en el metro como en el bus y seguramente en el súper, su imagen probablemente ha quedado registrada en las cámaras de seguridad y su acceso ha sido "ticado" con su abono transportes. Además, al comprar el abono, el banco también sabrá que usó la tarjeta con este fin (como cuando paró a sacar dinero del cajero tras la comida), por lo que todas estas entidades pueden hacer un mapa de sus movimientos diarios. En el trabajo, el ticado lo hizo con la tarjeta de fichar, así que tanto la empresa instaladora como la de mantenimiento, además de su propia empresa, sabrán que ha llegado tarde. Sobre la comida, lo mismo: la opinión que dejó en la web, la tarjeta del banco con la que pagó..

5) En la app para la lista de la compra tiene apuntados algunos de los productos que consumen en su casa, por lo que podrían saberse algunos de sus hábitos de consumo (suyos y de su familia).

6) En el pc de casa dejó su rastro tanto en el equipo, como en la web de juegos online.

7) Finalmente, las búsquedas de libros electrónicos para la lectura en el metro también dejan "miguitas" sobre sus gustos literarios.

Ahora párate a pensar en todas las miguitas que ha ido dejando Jorge en sólo un día e imagínate toda esta información multiplicada por 10000000000000000000000000000. Simplemente en un día, generamos tanta información, así sin darnos cuenta, que en las manos equivocadas puede hacer que alguien con quien ni siquiera hayamos cruzado palabra, pueda conocer muchísimos datos de nosotros: 

- dónde hemos estado durante el día.

- problemas de salud.

- hábitos de consumo.

- gustos y aficiones.

- dónde y en qué nos gastamos el dinero.

- hora a la que nos acostamos y a la que nos levantamos. 

 

Lo malo de estas miguitas que dejamos es que no hay pájaro que se las coma y hagan que desaparezcan. No: la información permanece y debemos ser conscientes de ello y de las posibles repercusiones que esto puede tener en nuestra privacidad. Te invito desde este humilde blog a reflexionar sobre todo esto y a que mañana, cuando te levantes, te imagines las miguitas que vas dejando durante el día: ¿crees que das más info de la que te gustaría?. Las migas de pan de este cuento no son para volver a casa, son para llegar a ti: a lo que eres, a lo que haces, a lo que te gusta y a los lugares a los que vas. 

Y hasta aquí llega el post de hoy, espero que te haya gustado y te haga comerte la cabeza un ratito. La privacidad es cosa de todos, y es importante. De eso va este blog. ;-)

Un saludo y hasta la próxima!

¿Te ha gustado? Te pido dos favorcitos:
 Házmelo saber en twitter que me hará ilusión y vota en la encuesta que hay a la derecha (es una preguntita nada más) ;-)

La Protección de Datos en Europa. Conceptos Básicos.(Irlanda VS España)

Hola a tod@s!

Esta semana he querido hacer un stop en la preparación de exámenes de la UNED y lo primero que se me ha ocurrido hacer es buscar la Ley Irlandesa sobre protección de datos para ver cómo llevan en la isla verde esta temática. La elección de Irlanda como tema central de este post no es casualidad, la verdad es que tengo que reconocer que con este país me tira el corazón (confieso que estoy enamorada de este país desde que lo visité por primera vez) y, además, tiene cierto interés como “lopdera”, ya que en Irlanda se encuentra la sede Europea del ojo que todo lo ve (Mr. Google).

Lo primero que me llama la atención es que la Ley Irlandesa es de 1988 y su reglamento de 2003. Teniendo en cuenta que nuestra LOPD acaba de cumplir 15 añitos y el reglamento es de 2007, resulta interesante esta diferencia de antigüedad.

Me he detenido, para este post, en los artículos que dan las definiciones de una y otra Ley, para hacer un texto un poco general sobre las nociones clave, obviando sus respectivos reglamentos de desarrollo (aunque es verdad que en uno de los puntos hago alusión al español para no dejar coja uno de los conceptos). Mi acercamiento a la normativa irlandesa es un poco temerario, ya que es complicado traducir correctamente el sentido y los propios conceptos, así que disculpadme si hay algún error o imprecisión; mi intención es tener una idea general y ver si son muy diferentes ambas normativas en un primer vistazo.

Aquí os dejo mi cuadrito comparativo:

Conceptos	Ley Orgánica 15/1999 de 13 de Diciembre, de Protección de Datos de Carácter Personal.	Data Protection Act 1988	Comentarios:
Dato Personal VS Personal Data	Cualquier información concerniente a personas físicas identificadas o identificables.	Data: Information in a form in which it can be processed. Personal Data: Data relating to a living individual who can be identified either from the data or from the data in conjunction with other information in the possession of the data controller	La Ley Irlandesa diferencia entre “dato” y “dato personal”. Me llama la atención que los irlandeses hagan hincapié en que un dato puede ser calificado como dato personal si, en conjunto con otra información que tenga el Data Controller permite identificar a una persona viva. Conclusiones: 1) Un dato personal sólo lo será si alude a una persona viva (se excluye a los fallecidos). 2) El legislador irlandés parece querer dar un papel clave a la información que tenga el Data Controller; por lo que entiendo, si éste tiene otras informaciones sobre una persona que pueden ser “cruzadas” con otro tipo de información que tenga sobre el mismo sujeto y todo este batiburrillo acaba en que el sujeto puede ser identificado, será un dato personal.
Responsable del fichero VS Data Controller	Persona física o jurídica, de naturaleza pública o privada u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.	A person who, either alone or with others, controls the contents and use of personal data	La ley española habla de decisión sobre la finalidad mientras que la ley irlandesa usa “controls”. Por lo que he podido indagar, el sentido puede ser parecido al nuestro: su Data Controller “mandará” sobre el contenido y uso de los datos.
Encargado de Tratamiento VS Data Processor	La persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento.	A person who processes personal data on behalf of a data controller but does not include an employee of a data controller who processes such data in the course of his employment	La clave es la expresión “on behalf of”. La traducción más plausible es “para” , aunque también he visto que puede referirse a “en nombre de” o “en representación de”. Personalmente me parece que que me inclino por el significado “para”, ya que sobre entiendo que esta figura alude al que interviene en el tratamiento tal y como entendemos a nuestro querido Encargado de Tratamiento.
Afectado o Interesado VS Data Subject	Persona física titular de los datos que sean objeto del tratamiento a que se refiere el apartado c) del presente artículo	An individual who is the subject of personal data
Tratamiento VS Processing	Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.	Performing automatically logical or arithmetical operations on data and includes— (a) extracting any information constituting the data, and (b) in relation to a data processor, the use by a data controller of data equipment in the possession of the data processor and any other services provided by him for a data controller,	Aquí nuestro legislador da una lista clara de operaciones que implican un tratamiento de datos mientras que el legislador irlandés da importancia a la extracción de información de los datos (ojo, no de los datos personales exclusivamente; se refiere a los datos sobre la definición de “data” que hemos visto antes) y al “uso” del “Data Procesor” de los datos de los que dispone el “Data Controller” (entiendo que es el hecho de que haya una relación -en términos de protección de datos- entre lo que nosotros llamamos un “Responsable” y un “Encargado” ). Los irlandeses usan el concepto de “data equipment” que veremos lo que es en el siguiente punto.
Data equipment		Equipment for processing data	El legislador español en la LOPD no da una definición sobre los “equipos” utilizados para tratar datos; para encontrar algo similar a ello, tenemos que irnos al Reglamento de la LOPD, art.5.m, el que define “Sistema de información” como “conjunto de ficheros, tratamientos, programas, soportes y en su caso, equipos empleados para el tratamiento de datos de carácter personal”.
Exclusiones de la Ley Irlandesa VS exclusiones de la Ley Española	Ficheros mantenidos por personas físicas en el ejercicio de actividades exclusivamente personales o domésticas. Ficheros sometidos a la normativa sobre protección de materias clasificadas. Ficheros establecidos para la investigación del terrorismo y de formas graves de delincuencia organizada. No obstante, en estos supuestos el responsable del fichero comunicará previamente la existencia del mismo, sus características generales y su finalidad a la Agencia de Protección de Datos.	Personal data that in the opinion of the Minister or the Minister for Defence are, or at any time were, kept for the purpose of safeguarding the security of the State, (b) personal data consisting of information that the person keeping the data is required by law to make available to the public, or (c) personal data kept by an individual and concerned only with the management of his personal, family or household affairs or kept by an individual only for recreational purposes.	En este punto, tanto la Ley Irlandesa como la Ley Española hacen dos exclusiones similares: - “Ficheros” domésticos o familiares. - “Ficheros” que afecten a seguridad del estado. La diferencia más clara que veo es en el punto “b” de la norma irlandesa, el cual parece prever la entonces futura, y ahora mismo, actual, tendencia a la “transparencia”.

Conclusiones de este primer vistazo:

1. Teniendo en cuenta que la Ley Irlandesa es de 1988 y la nuestra es de 1999, me parece que los irlandeses fueron unos visionarios.
2. En los conceptos básicos que he analizado en este post no veo diferencias significativas en ambas normativas. Seguramente en el desarrollo de la normativa podremos ver diferencias más claras (mi intención es retomar esta comparativa en futuros post).

Irlanda, Cliffs of Moher (foto hecha en mi último viaje a este mágico país).

Y con este ambiente medio celta, medio español, me despido, de nuevo, deseando a tod@s una Feliz Navidad y un Feliz Año 2015. Que el nuevo año nos traiga Felicidad, Esperanza, Trabajo, Paz, Sanidad..y JUSTICIA.

Un saludo a tod@s!

Si me quieres conocer un poco más, puedes seguirme en Twitter: https://twitter.com/iurisfriki

Entendiendo la LOPD 

Capítulo I: ¿En qué situaciones debemos aplicar lo dispuesto por la LOPD? [Ámbito de aplicación]

Hola a todos.

En esta primera entrada voy a hacer una pequeña introducción de los aspectos generales que tiene nuestra legislación sobre protección de datos de carácter personal para situarnos y familiarizarnos un poco con la temática principal del blog. La LOPD podéis consultarla a la derecha, en una entrada que he denominado "material de consulta".

A la hora de conocer la legislación vigente en la temática de datos personales, hay que tener claras las referencias jurídicas que rigen en nuestro país para este campo del Derecho: La LOPD (Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal), su Reglamento de Desarrollo (Real Decreto 1720/2007, de 21 de diciembre) y la LSSI (Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico), Estas tres normativas son la base española de la protección de datos personales y privacidad que toda persona debe tener presente para adentrarse en este ámbito. A ellas se le uniría la normativa europea, en constante desarrollo de un tiempo a esta parte; aunque de momento aquí vamos únicamente a destacar la Directiva 2002/58/CE del Parlamento Europeo y del Consejo, de 12 de julio de 2002, relativa al tratamiento de los datos personales y a la protección de la intimidad en el sector de las comunicaciones electrónicas (Directiva sobre la privacidad y las comunicaciones electrónicas).

No quiero asustar a nadie; soy consciente de que con este inicio de blog alguno ya está pensando en cerrar la ventana, pero de verdad que voy a intentar hablar de la normativa con un lenguaje claro y, en la medida de lo posible, ameno.

Vamos a adentrarnos en los aspectos clave de la LOPD; para ello, me gustaría destacar las que, en mi humilde opinión, son las claves de la Ley. En este primer post intentaré explicar claramente cuándo hay que observar la disposiciones de la normativa y cuándo no. Esto es importante sea cual sea tu posición: si eres empresario afectado, sabrás que debes cumplir lo dispuesto normativamente y si eres consumidor, estás en disposición de exigir el cumplimiento de los derechos que la LOPD te otorga.

1) En qué situaciones nos afecta.

Evidentemente, para saber si debemos cumplir con cualquier normativa, debemos conocer su ámbito de aplicación. La LOPD nos da unas pautas bastante claras para saber cuándo deben observarse y aplicar sus preceptos y cuándo no, diferenciando los siguientes supuestos:

SÍ ES APLICABLE (art. 2.1 LOPD): 

"a) Cuando el tratamiento sea efectuado en territorio español en el marco de las actividades de un establecimiento del responsable del tratamiento. 

b) Cuando al responsable del tratamiento no establecido en territorio español, le sea de aplicación la legislación española en aplicación de normas de Derecho Internacional público. 

c) Cuando el responsable del tratamiento no esté establecido en territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, salvo que tales medios se utilicen únicamente con fines de tránsito". 

Vamos a concretar esto brevemente: deberás cumplir la LOPD siempre que hagas cualquier tratamiento de los datos personales en territorio español (es decir, si por ejemplo tienes una librería en la zona de Malasaña de Madrid o una tienda de ropa en plena Rambla de Barcelona o una empresa de recambios en Ponferrada). Si no realizas ningún tratamiento de los datos en territorio español, la LOPD no te afecta. Esto lo podemos entender fácilmente a la vista del punto "c" del citado artículo 2.1, el cual exceptúa la aplicación de la LOPD en los casos en los que se usen medios situados en territorio español pero sólo como "atajo" a su destino, sin que se realice otra cosa con los datos que una mera función de paso hacia su destino final. Este sería el caso de una empresa que está establecida en Canadá y almacena la información sobre sus clientes en Italia. Si los datos pasan por España pero sólo de camino a Italia (insisto, sin hacer "parada técnica" en nuestro país), la LOPD no le afectaría a la empresa canadiense. Para entenderlo claramente, voy a explicitar un poco más el ejemplo puesto: si la empresa canadiense decide que los datos sean clasificados (por ejemplo, por orden alfabético según el apellido de cada uno de sus clientes) en territorio español y que después sigan su camino a Italia: SÍ DEBERÍA CUMPLIR LA LOPD; en el caso de que, como decíamos antes, los datos "sigan su camino" sin detenerse en nuestro país, no sería necesario observar la LOPD. 

NO ES APLICABLE (art. 2.2 LOPD): 

"a) A los ficheros mantenidos por personas físicas en el ejercicio de actividades exclusivamente personales o domésticas. 

b) A los ficheros sometidos a la normativa sobre protección de materias clasificadas. 

c) A los ficheros establecidos para la investigación del terrorismo y de formas graves de delincuencia organizada. No obstante, en estos supuestos el responsable del fichero comunicará previamente la existencia del mismo, sus características generales y su finalidad a la Agencia de Protección de Datos". 

Así, como ejemplos de supuestos en los que no es exigible el cumplimiento de la LOPD tendríamos la agenda del móvil PERSONAL de cualquiera de nosotros (ojo: si eres autónomo y tienes datos de clientes en tu dispositivo, tendrás que cumplir con la LOPD), los ficheros para investigación sobre terrorismo o delincuencia organizada (generalmente ficheros de policía y Juzgados o Tribunales) y otros ficheros que contengan materias clasificadas ( sobre todo ficheros gubernamentales "top secret").

Llegados a este punto, creo que ya podemos más o menos tener claro lo que regula la LOPD: cuándo nos afecta y cuándo no. Es muy importante saber cuándo podemos y a la vez nos pueden exigir su cumplimiento a efectos de que podamos evitar las sanciones previstas por el legislador. En los siguientes posts comentaré las figuras que incluye, aclarándolas y dando ejemplos ilustrativos sobre ello; abordaremos situaciones y otras cosas que puedan ser de interés en la aplicación de la norma.

Un saludo a todos.