martes, 22 de junio de 2010

ESTUDIO DE INTECO SOBRE LA SEGURIDAD EN REDES WIFI Y MOVILES

ESTUDIO SOBRE LA SEGURIDAD DE LAS COMUNICACIONES MOVILES E INALAMBRICAS EN LOS HOGARES ESPAÑOLES (INFORME 2009)

El Observatorio de la Seguridad de la Información de INTECO hace públicos los resultados del Estudio sobre la seguridad de las comunicaciones móviles e inalámbricas en los hogares españoles (Informe anual 2009).

El informe constituye un diagnóstico de los hábitos de uso de los dispositivos móviles y redes Wi-Fi, las herramientas y buenas prácticas de seguridad adoptadas y las incidencias de seguridad declaradas por los usuarios de la telefonía móvil, entre otros indicadores. Todo ello con una perspectiva evolutiva, a lo largo de las cuatro lecturas trimestrales realizadas durante 2009.

Disponible el informe completo y reseña del estudio en castellano.

INFORME COMPLETO Y RESEÑA

2.000 € DE MULTA POR ENVIO DE EMAIL A 1.000 DIRECCIONES SIN COPIA OCULTA

LA AEPD IMPONE A BANKINTER UNA MULTA POR UN ENVIO MASIVO DE EMAILS SIN COPIA OCULTA

La AEPD sanciona el envio masivo de correos electrónicos en los que se puede ver las direcciones del resto de los clientes a los cuales se les ha mandado la misma comunicación. La cuenta de correo electrónico la facilitó el afectado de forma voluntaria a la entidad financiera.
Posteriormente la entidad financiera se pone en contacto con el afectado pidiendole disculpas y reconociendo su error, error de un empleado para ofrecer un producto específico.

La AEPD sanciona un incumplimiento del deber de secreto que establece el artículo 10 de la LOPD, aunque califica la infracción como leve.

Procedimiento Nº PS/00553/2009

jueves, 17 de junio de 2010

MULTA DE 60.101,21 € POR CEDER UNA DEUDA INEXISTENTE


LA AEPD IMPONE UNA MULTA DE ALGO MAS DE 60.000 € A UNA ENTIDAD FINANCIERA POR CEDER UNA DEUDA INEXISTENTE

PROD. Nº PS/00467/2009

La AEPD impone una multa a la entidad financiera B.B.B. que cede una de empresa encargada de gestionar deudas los datos de una persona,  que simplemente es autorizada en la cuenta corriente del deudor. La entidad gestora de deudas LINK FINANZAS S.L. se ponen en contacto con el supuesto deudor para reclamarle la deuda y le notifica que le van a incluir en un fichero de solvencia patrimonial y crédito. El afectado constata, tras ver como le deniegan una operación financiera por aparecer en el fichero de solvencia patrimonial y crédito SNEF, que es cierto, que la entidad financiera B.B.B. ha cedido sus datos personales a la gestora de deudas LINK FINANZAS S.L., sin tener ningún tipo de deuda con la citada entidad.

Tal y como establece la norma, para poder ceder los datos de una persona a un fichero sobre solvencia patrimonial y crédito, es necesario que se trate de una deuda cierta, exigida y vencida, teniendo a mayores la obligación de notificar al afectado por escrito la inclusión de sus datos personales en el citado fichero.

En este caso, si bien la deuda es cierta, esta exigida y ha vencido su plazo para la reclamación el titular de la deuda no es la persona a la cual se ha incluido en el fichero de morosos, simplemente es un autorizado para operar en la cuenta corriente del deudor.

miércoles, 16 de junio de 2010

ESTUDIO DE LA UNIVERSIDAD DE TWENTE SOBRE "EL DESVANECIMIENTO" DE LOS DATOS EN INTERNET

LA UNIVERSIDAD DE TWENTE PROPONE QUE LOS DATOS EN LA RED SE DESVANEZCAN CON EL PASO DEL TIEMPO

Esta sería una alternativa a la situación actual en la cual los datos perduran de forma indefinida en la red, sin poder establecer ningún método para proteger la privacidad y los derechos de las personas sobre las cuales verse la información.

Un estudio del Departamento de Telemática y Tecnología de la Información de la citada universidad, establece que una alternativa para proteger los derechos de las personas sería que los datos se degradasen de forma progresiva en la red, ya que tal y como indica el director del estudio, Harold Van Heerde, en la actualidad existen tantos agujeros en la seguridad que no se puede garantizar que los datos de los usuarios no corran peligro, enfatizando que en la mayoría de los casos no existen razones objetivas para conservar los datos de los usuarios. La forma de degradación de los datos consistiría por ejemplo en que los datos de una localización por GPS en un primero momento se muestre toda la información precisa, pero que con el paso del tiempo se degrade de forma progresiva, mostrado solo la calle, el barrio, la ciudad...

Para concluir, este experto considera que las políticas de privacidad en la red son demasiado débiles, por ello esta puede ser una solución para mejorar la privacidad de los internautas.

martes, 15 de junio de 2010

NOTA DE PRENSA SOBRE EL USO INDEBIDO DE LA IDENTIDAD DE LA AEPD

NOTA DE PRENSA 15/06/2010

La Agencia Española de Protección de Datos ha emitido en el día de hoy una nota de prensa en la que alerta a los responsables de los ficheros y al público en general sobre el uso de una "suplantación de personalidad" que determinadas empresas o entidades hacen de la imagen e identidad de la propia agencia.

Las formas son similares, simulación del logotipo de la AEPD, denominaciones sociales similares, membretes que simulan los requerimientos de la AEPD,escritos con formatos simulando los de la propia agencia... Estas comunicaciones suelen presentarse como un espectacular gancho comercial, la propia agencia te informa de la ley de protección de datos y su régimen sancionador, lógicamente ofreciendo un asesoramiento posterior de como adaptarse a la LOPD.

Para finalizar la propia agencia anuncia que no hace requerimientos de esas caracteristicas, y que en cualquier caso adoptará las medidas legales precisas para luchar contra estas empresas que simulan un sello oficial para poder aumentar su cuota de mercado.

jueves, 3 de junio de 2010

MEMORIA 2009 PROTECCION DE DATOS


LA AGENCIA ESPAÑOLA DE PROTECCION DE DATOS HA PUBLICADO SU MEMORIA DEL AÑO 2009.



Entre las principales conclusiones que resumen la memoria 2009, podemos indicar el aumento en la concienciación de los ciudadanos, el mayor conocimiento del derecho fundamental a la protección de datos y sus derechos accesorios, el aumento de las tutelas de derechos y de la inscripción de ficheros en el Registro General de la Agencia Española de Protección de Datos.


Con respecto a los procedimientos sancionadores, las telecomunicaciones, la videovigilancia, las entidades financieras y las comunicaciones electrónicas no deseadas, ocupan la parte alta de la lista de resoluciones sancionadoras por sector de actividad. En cambio la difusión de datos en Internet, la videovigilancia y la inclusión en listas de morosidad los principales motivos de denuncia en 2009.


MEMORIA 2009

miércoles, 19 de mayo de 2010

LA AEPD ABRE UNA INVESTIGACION A GOOGLE


LA AEPD ABRE UNA INVESTIGACION A GOOGLE POR LA CAPTACION DE REDES INALAMBRICAS EN ESPAÑA


(Madrid, 19 de mayo de 2010). El director de la Agencia Española de Protección de Datos, Artemi Rallo, ha ordenado que se inicien actuaciones de investigación para determinar si Google ha vulnerado la normativa española de protección de datos, y los derechos de los ciudadanos al captar y almacenar sin consentimiento datos de localización de redes WI-FI y datos de tráfico asociados a esas redes (datos transferidos mediante las mismas).

Google ha reconocido recientemente que, mediante los coches que ha utilizado y utiliza para fotografiar las calles de distintas ciudades del mundo, para la aplicación Street View, ha recopilado datos de localización de las redes WI-FI, -datos SSID (identificador de la Red que, en ocasiones, coincide con el nombre real del abonado de la red), y las direcciones MAC, (los números que identifican la dirección fija de los dispositivos router)-. Asimismo, el pasado fin de semana Google ha reconocido además, públicamente en su blog corporativo, la captación “por error”, de datos de tráfico asociados a las redes WI-FI (datos transferidos mediante redes abiertas).

En España el servicio Street View de Google inició la toma de datos en 2008. Para la AEPD, los hechos reconocidos por la propia compañía podrían constituir una vulneración de la Ley Orgánica de Protección de Datos.

NOTICIA

martes, 18 de mayo de 2010

SANCIONES POR AUSENCIA DE CONSENTIMIENTO

PROCEDIMIENTOS SANCIONADORES RELACIONADOS CON LA INFRACCIÓN DEL ART.6.1 LOPD, AUSENCIA DE RECOGIDA DEL CONSENTIMIENTO DEL AFECTADO


ART "....."
Artículo 6. Consentimiento del afectado
1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa.

En esta entrada de blog se relacionan dos procedimiento sancionadores, con resultado de sendas multas de 60.101,21 € por manejar datos personales sin contar con el consentimiento del afectado.

- 60.101,21 € por cargar servicios en una cuenta bancaria sin contar con el consentimiento del titular. La empresa ARBALEX CONSULTING JURIDICO SL, realizo en la cuenta bancaria del denunciante un cargo de 111,36 € sin contar con el consentimiento del titular y sin poder acreditar de ninguna forma su consentimiento para manejar sus datos personales. Procedimiento Sancionador PS/00045/2010.

- 60.101,21 por alta en la empresa de gas sin su consentimiento. La empresa de gas y electricidad ENDESA ENERGIA SA dio de alta a un nuevo usuario sin que el mismo firmase ningún contrato ni contase con su consentimiento para realizar cargos bancarios, cargos que se produjeron y fueron rechazados por el afectado. Se le multa por manejar los datos personales del afectado sin contar con su consentimiento expreso e inequívoco. Procedimiento Sancionador R/00634/2010.

lunes, 17 de mayo de 2010

PROCEDIMIENTOS SANCIONADORES AEPD


RESOLUCIONES DESTACADAS DE LA AGENCIA ESPAÑOLA DE PROTECCION DE DATOS EN PROCEDIMIENTOS SANCIONADORES


Estas son las resoluciones mas destacadas de los últimos procedimientos sancionadores instruidos por la Agencia Española de Protección de Datos, sobre temas de primera actualidad que son realizados bajo denuncia de interesado y que dan lugar a multas con diferentes cuantías:

- 30.0001€ por el envío de correos comerciales tras baja. El Directo de la AEPD acuerda la imposición de 30.001 € de multa a una empresa de internet (ADLINK MEDIA SL) por enviar a una serie de correos electrónicos con información comercial que no son de interes para el receptor. La cuantia de la multa se establece por la infracción grave del Art. 34/2002, mas conocida como la LSSI-CE. Resolución procedimiento PS/00311/2009.

- 3.000 € por el envío de correo electrónico sin copia oculta a multiples destinatarios. El Director de la AEPD acuerda la imposición de una multa de 3.000 € a la empresa SANCHEZ ROMERO GRUPO INMOBILIARIO INMOBILIARIA S.L., por la infracción del Art. 10 de la LOPD, por el envío de un correo electrónico desde la citada empresa con copia de mas de 2.000 cuentas de correo electrónico sin utilizar el sistema de copia oculta. Resolución Procedimiento PS/00679/2009.

- Archivo de actuaciones por baja en la SNEF tras el plazo de una semana desde el ingreso de la deuda. El Director de la AEPD acuerda el archivo de las actuaciones contra la empresa Telefonica de España S.A.U., por haber dado de baja en el plazo de una semana a un cliente que estaba incluido en un fichero de morosos. Resolución Procedimiento PS/00393/2009.

- 2.000 € a una pagina web de menores sin control de edad. El Director de la AEPD, acuerda la imposición de una multa de 2.000 € a la página web www.boombang.tv, de la empresa BOOMBANG GAMES SL, por infracción de Art. 6.1 de la LOPD, previa denuncia de un padre que ha constatado que su hija menor de 14 años tiene acceso a la citada web sin solicitar el control paterno, y sin comprobar de modo efectivo la edad de la menor. Resolución Procedimiento PS/00468/2010.

60.101,21 € por el envío de publiciad tras revocación del consentimiento. El Director de la AEPD acuerda la imposición de una multa de mas de 60.00 €, a la entidad financiera FINANMADRID, ENTIDAD FINANCIERA DE CREDITO S.A., por una infracción de Art. 6.1 de la LOPD, por una falta tipificada como grave, tras solicitar un derecho de cancelación de sus datos y continuar recibiendo comunicaciones comerciales. Resolución Procedimiento PS/00274/2010.

lunes, 15 de marzo de 2010

ABSUELTO EL MEDICO CONDENADO POR CEDER DATOS RESERVADOS











FUENTE: http://www.felixharo.es/
¿Recuerdan al médico que fue condenado el año pasado a prisión por un delito relacionado con esto de la protección de datos? En la condena inicial figuraba como probado que éste había accedido al historial clínico de un compañero en varias ocasiones, la primera por sí mismo el 6 de octubre de 2005, y la segunda a través de su enfermera el 20 de abril de 2006, consultando a través del programa informático que tiene instalado el IB-Salut, y obteniendo el nombre del médico de cabecera de aquél. Todo esto, sin conocimiento ni autorización suya, claro está, ni que existiese relación asistencial alguna. Le fueron impuestos ni más ni menos que 3 años y 3 meses de prisión, multa de 21 meses a razón de 6€ de cuota diaria e inhabilitación absoluta por 9 años. Ahí es nada.


El Tribunal Supremo anuló la sentencia el pasado 30 de diciembre, y cabe destacar que su línea argumental es bastante interesante. Sin entrar en mucho detalle:
1.- No quedó acreditado que el condenado accediese a ningún dato más que el nombre del médico de cabecera de su compañero.
2.- Ese dato es totalmente inocuo dentro del historial clínico de un paciente, y no puede equipararse este acceso al conocimiento de un dato médico.
3.- El acceso a ese dato no ha producido perjuicio alguno a su titular

En concreto declara que:

"el dato del médico de cabecera no es un dato que el hombre medio de nuestra cultura considera “sensible” por ser inherente al ámbito de su intimidad más estricta, dicho de otro modo, un dato perteneciente al reducto de los que, normalmente, se pretende no trasciendan fuera de la esfera en que se desenvuelve la privacidad de la persona y de su núcleo familiar, pues es un dato de conocmiiento público, al menos potencial -y no inherente a la intimidad, dato administrativo al alcance de todos los empleados del Centro- y no se trata de un dato personal secreto como “ámbito propio y reservado” frente a la acción y conocimiento de los demás"


Este es el link de la sentencia:
http://www.felixharo.es/wp-content/uploads/documents/STS%20Sala%20de%20lo%20Penal%2030Dic09.pdf

jueves, 11 de marzo de 2010

DERECHO DE OPOSICION A GOOGLE (Fuente: Elpais.com 11/03/2010)

Protección de Datos ordena al buscador que borre noticias sobre un artista



La Agencia Española de Protección de Datos (AEPD) ha instado a Google a impedir que aparezcan en el buscador datos de la vida privada de un ciudadano sin su consentimiento. La resolución considera que le ampara el llamado derecho de oposición previsto en la Ley Orgánica de Protección de Datos y que el afectado tiene "motivos fundados y legítimos relativos" para reclamar esa privacidad porque en el buscador aparecen dos noticias que no guardan relación con su actividad profesional de músico.

La AEPD asegura que "desde Google deberían haberse implementado las medidas necesarias para retirar datos de su índice e imposibilitar el acceso posterior". Google ha recurrido la decisión ante la Audiencia Nacional. Mientras tanto, ayer seguían apareciendo en el buscador las dos polémicas noticias, referidas a la condena por el impago de una pensión compensatoria a su ex mujer y a la absolución posterior por esos mismos hechos dictada por la Audiencia Provincial.

El caso data de octubre de 2008, cuando el afectado, que se niega a revelar su identidad y dar más detalles sobre la actividad que realiza, se dirigió a Google Spain SL ejercitando su derecho de oposición porque en el buscador aparecían dos noticias de un diario local que aludían al pleito por el impago de la pensión. La compañía alegó que no podía impedir esa aparición porque las informaciones de los resultados de búsqueda se encuentran en páginas web de terceros cuyo acceso es público y que para eliminarlos necesitaban la colaboración de webmaster.



Impedir el acceso
El artista acudió en abril de 2009 a la AEPD y ahora se le ha dado la razón al considerar que "desde Google deberían haberse implementado las medidas necesarias para retirar los datos de su índice e imposibilitar el acceso posterior a los mismos". José Luis Rosillo, el abogado de Barcelona que ha defendido al perjudicado, asegura que "Google no es Internet, sino un motor de búsqueda de noticias que indexa, pero al que se puede oponer cualquier ciudadano".

La resolución de la AEPD recuerda otra de 2007 dictada en un caso similar en la que se dice que ningún ciudadano que no tenga relevancia pública "tiene que resignarse a soportar que sus datos de carácter personal circulen por la red sin poder reaccionar ni corregir la inclusión ilegítima de los mismos en un sistema de comunicación como Internet".

miércoles, 10 de marzo de 2010

EL PAIS: SANCION A LA CONSEJERIA GALLEGA DE EDUCACION









Protección de Datos sanciona a Educación por revelar datos de una menor minusválida

La Agencia de Protección de Datos ha sancionado a la Consellería de Educación por revelar en 2008 datos médicos y académicos de una menor de Catoira con minusvalía, que aparecieron publicados en varios medios. La infracción, que la agencia considera "muy grave", no acarrea sanción económica. "Si fuese una empresa privada, la multa podría ir de los 300.000 a los 600.000 euros", destacó ayer Cipriano Castreje, abogado de la asociación El Defensor del Paciente, que asesoró a la familia de la menor.

Para Castreje se trata de una sanción "única en Galicia", que deriva del enfrentamiento entre la familia y la Administración, que quiso sacar a la niña del colegio en que estudiaba y llevarla a un centro de educación especial. El caso acabó en una sentencia de un juzgado de Pontevedra el mes pasado, que falló en contra de la consellería.


Los datos publicados sobre la menor partieron de la delegación de la consellería en Pontevedra, que por dos veces rechazó confirmar los requerimientos de la agencia sobre el origen de la información. "La familia reclamará responsabilidad patrimonial", avanzó el abogado. "Esperemos que tengan sensatez y no recurran; me parecería irracional", añadió. Educación acató la sentencia de febrero, y culpó a los responsables del departamento en la etapa del bipartito. Si el recurso administrativo que ahora se anuncia no prospera, la familia pasará a la vía judicial.


Según el jurista, los únicos datos identificativos que cabe aportar en supuestos como este son las iniciales del menor, pero no el historial médico. En este sentido, destaca que no sólo se reveló la minusvalía de la joven, sino también otras enfermedades que padecía y sin relación con aquélla.

Castreje entiende que "probablemente" existe un paralelismo entre este caso y el del niño obeso de Ourense, a cuyos padres les fue retirada su tutela. El delegado de la Xunta en esa provincia, Rogelio Martínez, llegó a revelar públicamente los ingresos en el hospital del menor, cuya foto sombreada apareció con reiteración en los medios.



lunes, 8 de marzo de 2010

A REQUERIMIENTO DE LA A.E.P.D. FACEBOOK CAMBIA LA EDAD MINIMA








A requerimiento de la AEPD la multinacional americana FACEBOOK ha modificado la edad minima de ingreso para poder ajustarse a la legislación española y la de otros paises de nuestro entorno. En la actualidad en Estados Unidos la edad minima para registrarse son 13 años.

La AEPD solicitó a Facebook que cambien la edad minima de ingreso a 14 tal y como establece la legislación española en las reuniones periodicas que mantiene con las diferentes redes sociales para que adecuen su privacidad a lo establecido por la Ley Orgánica de Proteccción de Datos.

LA AUDIENCIA NACIONAL RATIFICA LA SANCION A CANTABRIA

LA AUDIENCIA NACIONAL RATIFICA CANTABRIA COMETIO INFRACCION AL DIFUNDIR DATOS MEDICOS

Noticias EFE - Madrid, 8 mar (EFE).-

La Audiencia Nacional ha ratificado la resolución de la Agencia Española de Protección de Datos (AEPD) en la que se declaraba que el Servicio Cántabro de Salud había cometido una infracción al difundir datos personales de 1.748 pacientes a través de internet.


Una sentencia de la sala de lo contencioso-administrativo de la Audiencia Nacional desestima el recurso interpuesto por el Gobierno de Cantabria contra la resolución de la AEPD de 25 de febrero de 2009.

En ella, la Agencia declaraba una infracción al Servicio Cántabro de Salud al constatar la existencia de un archivo accesible desde el programa eMule, que contenía nombres, apellidos, fechas de nacimiento, direcciones, teléfonos, sexo y, en algún caso, datos de salud tales como hipertensión o diabetes de 1.748 pacientes de localidades dependientes de la Zona Básica de Salud de Miera.

Según la AEPD, el servicio de salud de Cantabria había infringido la normativa de protección de datos al incumplir el deber de secreto al que estaba obligado, por lo que le instó a adoptar las medidas internas oportunas para impedir que volviera a repetirse una situación similar en el futuro.

La resolución recurrida consideraba que el servicio de salud de esa comunidad autónoma estaba obligado a adoptar, de manera efectiva, las medidas técnicas y organizativas necesarias previstas para ese tipo de ficheros y, entre ellas, las dirigidas a impedir el acceso a los datos contenidos en tales archivos por parte de terceros.

En el recurso, el Gobierno de Cantabria argumentó que la resolución no detallaba cuáles fueron las medidas que no se implementaron por parte del Servicio Cántabro de Salud y, además, consideraba que la conducta pudo haber sido cometida por el personal que tenía a su disposición las historias clínicas y que habría infringido el deber de secreto.

En la sentencia, la Audiencia Nacional considera que queda acreditado que el Servicio Cántabro de Salud, responsable de la custodia de los datos, vulneró el deber de secreto garantizado en la Ley Orgánica de Protección de Datos, al haber posibilitado el acceso no restringido a datos personales sin consentimiento de sus titulares.

El fallo del tribunal señala que "la efectividad de la revelación es innegable, puesto que los datos de los pacientes accedieron a internet y quedaron a disposición del público, por lo que resulta que la revelación fue efectiva, por lo que claramente debe entenderse cometida la infracción imputada por la Agencia a la entidad recurrente".

La Audiencia Nacional considera que el argumento utilizado por el Gobierno cántabro, de que hubiese sido un trabajador el que hubiera llevado a cabo la divulgación de los datos, "no deja sin efecto el hecho de que" el titular del fichero era el Servicio Cántabro de Salud.

Según la sentencia, "no basta con la aprobación formal de las medidas de seguridad", sino que "resulta exigible que aquellas se instauren y se pongan en práctica de manera efectiva".

CUIDADO CON DAR DATOS DE UN EX EMPLEADO

http://www.derecho.com/

EL RIESGO DE DAR REFERENCIAS DE UN EMPLEADO

Autor: Eric Gracia. Abogado Derecho.com.

Con la LOPD condicionando cada vez más aspectos cotidianos de nuestras vidas, muchas de las prácticas que hasta ahora nos resultaban normales e incluso socialmente aceptadas pueden llegar a convertirse en potencialmente peligrosas. Un claro ejemplo de ello lo encontramos en la entrega de referencias de un ex empleado.

Efectivamente, atender el requerimiento de otra empresa que nos pide información sobre un ex empleado nuestro, con independencia de que esas referencias vayan a ser negativas o favorables para éste, puede suponer la comisión de más de una infracción de la LOPD.
De hecho, al entregar esa información estamos realizando una cesión de datos del trabajador (art. 11 de la LOPD) para la que necesitamos su previo consentimiento. Esto es así porque dicha cesión de datos no es en absoluto necesaria para el mantenimiento o cumplimiento de la relación laboral que manteníamos con el trabajador, pues ha finalizado. Por lo tanto, a partir del momento en que finaliza la relación laboral con un trabajador, todo lo que queramos hacer con sus datos personales, a menos que esté amparado por una ley, deberá contar con su previo consentimiento.
Los riesgos concretos son los siguientes: (i) De entrada, tal y como ya he apuntado, estaríamos cometiendo una cesión ilícita de datos, tipificada como muy grave en el artículo 44.4.b) de la LOPD; (ii) La Agencia Española de Protección de Datos (AEPD) también podría calificar dicha acción como un tratamiento de datos realizado sin el consentimiento del afectado, tipificado como grave en el artículo 44.3.d) de la LOPD; (iii) Finalmente, cualquiera de las infracciones anteriores llevaría aparejada una vulneración del deber de secreto que establece el artículo 10 de la LOPD, tipificado como leve en el artículo 44.2.e) de la LOPD.

Debe tenerse en cuenta que ante situaciones similares (véase PS/00044/2009), la AEPD ha aplicado el artículo 4.4 del Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del Procedimiento para el Ejercicio de la Potestad Sancionadora, según el cual “en defecto de regulación específica establecida en la norma correspondiente, cuando de la comisión de una infracción derive necesariamente la comisión de otra u otras, se deberá imponer únicamente la sanción correspondiente a la infracción más grave cometida”.
Pero, ¿cómo evitar la comisión de dichas infracciones? Pues será necesario articular un mecanismo que permita a la empresa demostrar en caso de necesidad, que su ex empleado previamente le ha autorizado para poder facilitar información personal suya a una tercera empresa, con la finalidad concreta de dar referencias en el marco de un proceso de selección de personal.

jueves, 4 de marzo de 2010

LA LOPD Y LAS COFRADIAS DE SEMANA SANTA

Una hermandad, con independencia de sus fines de culto público y de su estación de penitencia, es al fin y al cabo un grupo, más o menos numeroso, de personas, y sus miembros, como tales, tienen datos que es necesario preservar de forma adecuada.


La gestión de los archivos con la información personal de quienes forman parte de la cofradía o tienen una relación de cualquier forma con ella es uno de los retos a los que se enfrentan las hermandades en los próximos años y son pocas las que, por el momento, lo han resuelto. Los expertos advierten de que hay varios pasos imprescindibles que una entidad que maneja datos de muchos cientos de personas no puede obviar.

Antonio Adarraga, consultor y economista y especialista en este tema, cree que es fundamental que las cofradías se adapten a la ley aprobada por el Congreso de los Diputados y desarrollada después por el Gobierno mediante un reglamento, y lo es por la naturaleza de los datos que están manejando.


Referencias identificativas

«Las hermandades tienen los nombres, apellidos, direcciones, teléfonos y fechas de nacimiento de sus hermanos, además de una relación de las personas que realizan aportaciones económicas. Son muchos datos identificativos», cuenta Adarraga.

La primera medida, cuenta este experto, es la inscripción de los ficheros en la entidad competente, es decir, la Agencia Española de Protección de Datos. Existen tres niveles básicos de protección. El primero afecta a los datos identificativos, el segundo a los económico-financieros y el tercero es el de protección más alta y se centra en las creencias religiosas y políticas y en asuntos de salud.

Los datos que manejan las cofradías pueden tener cabida en los tres niveles. «Tienen los datos identificativos, pero también los económicos, porque en ocasiones se hacen listas con los hermanos que no pagan las cuotas», cuenta. En cuanto a los últimos, los ficheros de las cofradías son, por sí mismos, relaciones de personas que profesan la fe católica, pues a los nuevos miembros se les pide la partida de bautismo.

Incluso en ocasiones pueden contener datos relativos a la salud, sobre todo en los ficheros de hermanos costaleros.

No sólo se refieren a los cofrades. «Una hermandad tiene relación comercial con sus proveedores, lo que también implica el manejo de datos económicos», explica Antonio Adarraga, que trabaja para la empresa DGE Bruxelles en asuntos de adaptación a la Ley de Protección de Datos.

La solución, según él, pasa por ponerse en manos de personas que conozcan el proceso y que ayuden a las cofradías a regularizar una situación para la que la mayoría todavía no están preparadas.

Las corporaciones deberán, en primer lugar, inscribir sus ficheros, pero también elaborar un documento de seguridad que contenga las medidas que se ponen en marcha para la protección de los datos de todo tipo que la hermandad posee.

Por último también es necesario que los hermanos den su consentimiento por escrito al tratamiento de sus datos y a su incorporación a un fichero que la hermandad utilizará para los fines propios que figuran en sus reglas. «Estos datos», insistió el experto, «no pueden usarse de ninguna forma para otra finalidad». Lo deben firmar todos los hermanos, algo difícil, admite Adarraga, aunque una de las soluciones es incorporar el texto a la ficha de nuevos hermanos o de actualización de datos.

También los miembros de juntas de gobierno deben firmar documentos de confidencialidad sobre las decisiones que se tomen.

martes, 2 de marzo de 2010

NOTICIA LOPD - CAMBIO INFORMATICO EN EL SACYL

http://www.nortecastilla.es/v/20100302/valladolid/cambio-informatico-ralentiza-asistencia-20100302.html

Es un primer paso para la historia y la receta electrónica y una herramienta de gestión de las consultas médicas que aporta nuevas aplicaciones para el diagnóstico y seguimiento de los pacientes aumentando, además, la seguridad de datos y de tratamientos. El programa Medora ha llegado sin problemas a los doscientos centros de salud, la mayoría rurales, que carecían de sistema informático, pero su implantación en los que arrastraban desde la época del Insalud viejos programas ha traído serios fallos de lentitud de la aplicación y de gestión del cambio.


Los médicos, enfermeras y auxiliares administrativos, que a todos afecta, critican no sólo que tarden 20 segundos por emisión de recetas, cronometrados por el sindicato CSI-CSIF, por lo que dar al paciente cinco o diez prescripciones suma mucho tiempo, o la ralentización de la organización de las citas, sino que en el traslado de la base de datos del antiguo OMI-AP, en algunos casos, o del SIAPWIN, en los seis ambulatorios de Valladolid afectados provoca pérdidas de datos clínicos. «Diagnósticos, tratamientos de pacientes crónicos desaparecen y hay que recurrir a la memoria del paciente, médico o enfermera para reponerlos, se pierden muchos o todos los detalles de las historias clínicas», coinciden en señalar varios profesionales.

El Sindicato Médico, Cesm, destaca a este respecto que «los médicos que ya tenían informatizadas las historias clínicas tienen dos opciones: perder el historial o pasarlo a mano, lo cual requiere mucho tiempo y si un paciente cambia de facultativo, aunque no se traslade a otro centro de salud, no se puede tener acceso a su historia clínica», añaden estos representantes sindicales. Ambas centrales, CSIF y la Cesm, han canalizado las denuncias de los trabajadores y reclaman soluciones al respecto.
 
Millones de datos


Por su parte, Sacyl reconoce este problema «creado por la migración de un programa a otro porque el nuevo, Medora, ha de adaptar los datos de miles pacientes, muchos con historia clínica de toda una década, son millones de datos de diagnóstico, medicaciones, tratamientos... que la nueva aplicación no siempre puede interpretarlos correctamente, hay problemas con los datos de los desplazados... y todo ello hace realmente lento el sistema», destaca el director general de Desarrollo Sanitario, Jesús García-Cruces.

El problema afecta a unos 40 ambulatorios de toda la región. En Valladolid, son el de Huerta del Rey, Casa del Barco, Arturo Eyries, La Victoria, La Rondilla I y Plaza del Ejército los que sufren estos fallos que afectan a más de dos centenares de profesionales y a 110.000 pacientes.

Para hacer frente a los dos problemas detectados, el enlentecimiento de la organización de las consultas y la gestión del cambio. es decir, la dificultad de adaptarse a un nuevo programa, Sacyl ha puesto en marcha «un plan de choque y de formación». Después de «hacer el diagnóstico, las empresas -están implicadas media docena de alto nivel- no están viendo nada que no pueda corregirse y han puesto en marcha no sólo una nueva versión del Medora, la del 2009, sino una revisión del programa para agilizar sus funciones», explica García Cruces.

El programa se había implantado tras numerosas pruebas en las que no aparecieron los problemas actuales, además las primeras versiones se sustituyeron por la más moderna del 2009. Pese a ello, Sanidad ha tenido que poner en marcha el citado plan de revisión que «ayer mismo probamos en Parquesol con buenos resultados, ha mejorado la agilidad y que hoy llevaremos a Delicias, en estos casos lo que hacemos es poner en marcha la última versión para comparar», destaca el director de Desarrollo Sanitario.
 
Pérdida de información


En cuanto a la pérdida de datos «se ha dejado todo en 'repositorios' protegidos, se puede acceder a ellos, no se han perdido, pero no permite hacer modificaciones, es como un almacén», añade el responsable de la digitalización del sistema sanitario regional. García-Cruces destaca que «hay que comprender a los profesionales, no tienen tiempo para perderlo, pero les pedimos paciencia y tranquilidad porque estamos en ello, las pruebas de mejora están dando buen resultado y el programa es muy bueno».

«Elegimos el Medora, en lugar de acudir al mercado, porque al optar por proveedores de tecnología han diseñado un producto que responde a las necesidades de los médicos, a sus propuestas y peticiones; lo que lo convierte en una gran herramienta de gestión de consultas, tiene aplicaciones como avisar de las interacciones de los medicamentos, controla las tiras y agujas de los diabéticos o permite la petición de analíticas, pero hace falta superar esta primera etapa».

jueves, 4 de febrero de 2010

CUANDO EL COBRADOR SE CONVIERTE EN EXTORSIONADOR

LOPD AL DIA - ACTUALIDAD

CUANDO EL COBRADOR SE CONVIERTE EN EXTORSIONADOR
Fuente: Diario ABC
http://www.abc.es/20100204/sociedad-/cuando-cobrador-convierte-extorsionador-201002041255.html

ABC.es

MADRID Actualizado Jueves , 04-02-10 a las 13 : 11
Facua-Consumidores en Acción ha alertado del incremento de reclamaciones que está recibiendo contra empresas de gestión de cobros que recurren a prácticas ilegales para lograr que los usuarios paguen deudas que muchas veces, según la asociación, ni siquiera existen, han prescrito o son superiores a las realmente contraídas.

Los afectados reciben llamadas en las que les amenazan con revelar públicamente que deben determinadas cantidades si no proceden al pago de las supuestas deudas. En determinados casos, las empresas incluso facilitan esta información a familiares, amigos, vecinos y compañeros de trabajo.

También hay casos de empresas que recurren a insultos e incluso se atreven a amenazar, especialmente a ancianos, con que el impago de la supuesta deuda podría provocarles que el acreedor se quedase con su vivienda o les llevase a la cárcel.

La asociación de consumidores recuerda que la revelación a terceros de la situación de morosidad de un consumidor sin su consentimiento vulnera la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal y la Ley Orgánica 1/82, de 5 de mayo, de Protección Civil del Derecho al Honor, a la Intimidad Personal y Familiar y a la Propia Imagen.

Por ello, recomienda denunciar estas prácticas ante la Agencia Española de Protección de Datos (AEPD), que viene sancionando a empresas que incurren en ellas.

Listas de morosos
Las empresas saben que recurrir a los tribunales para lograr el pago de las supuestas deudas es un procedimiento mucho más costoso que exigirlo mediante cartas y llamadas telefónicas, método que incluso puede darles mejores resultados que la vía judicial si no disponen de pruebas suficientes de su existencia, como ocurre en muchas ocasiones, según la asociación.

Por otra parte, Facua alerta de casos en los que los consumidores han sido incluidos en registros de morosos sin que previamente fuesen informados. De esto modo no pueden ejercer su derecho de oposición argumentando, en su caso, la inexistencia de la deuda o que su cuantía era incorrecta y por tanto estaba siendo objeto de una reclamación. La inclusión sin previo aviso en ficheros de insolvencia patrimonial también es una actuación contraria a la Ley Orgánica de Protección de Datos.

LA VIDEOVIGILANCIA EN LA LEY OMNIBUS. Ley 25/2009 de 27 de Diciembre

LOPD AL DIA - ACTUALIDAD LEY 25/2009







Con la aprobación por el Gobierno de la ley 25/2009, de 27 de diciembre se han producido una serie de modificaciones por un sistema similar al usual de la ley de acompañamiento a los Presupuesto General del Estado.

En este caso afecta, al igual que a otros colectivos, a las empresas de seguridad, ya que en la DISPOSICIÓN ADICIONAL SEXTA recoge lo siguiente:

“Disposición Adicional Sexta. Exclusión de las empresas relacionadas con equipos técnicos de seguridad:
 Los prestadores de servicios y las filiales de empresas de seguridad que vendan, entreguen, instalen o mantengan equipos técnicos de seguridad, siempre que no incluyan la prestación de servicios de conexión con centrales de alarma, quedan excluidas de la legislación de seguridad privada, siempre y cuando no se dediquen a ninguno de los otros fines definidos en el artículo 5, sin perjuicio de otras legislaciones específicas que pudieran resultarles de aplicación.”



Para comenzar, debemos de tener presente, que con la aparición de la citada norma surgieron múltiples corrientes de opinión en la materia de protección de datos, opiniones que indicaban por un lado la necesidad de recoger el consentimiento expreso e inequívoco de todas las personas que manejasen imágenes de terceros y por otro lado, y en sentido contrario, quedaba exenta la necesidad de recoger el consentimiento. Por ello, y para evitar esta confusión, la Agencia Española de Protección de Datos se ha pronunciado sobre la materia en una nota informativa, de la cual podemos sacar las siguientes conclusiones:

De esta modificación, que afecta al desarrollo de la actividad de las empresas que se dedican a la vigilancia, dejando de lado el debate abierto sobre el posible intrusismo profesional, tenemos que hacer referencia los siguientes puntos. Los primeros afectan única y exclusivamente al negocio de la seguridad y el último hace referencia al impacto que sobre la normativa de protección de datos tiene la Ley Ómnibus.

- La Ley Ómnibus determina que los particulares o empresas diferentes de las de seguridad privada pueden realizar la venta, instalación o mantenimiento de sistemas de videovigilancia, siempre que no implique la conexión con centrales de alarma.

- Se modifica la exigencia que existía hasta la aparición de la Ley Ómnibus, que consistía en que solo las empresas autorizadas por el Ministerio del Interior podían instalar cámaras de seguridad, además tenía la obligación de notificar el contrato de instalación al citado Ministerio.

- La modificación de la situación actual que afecta a las empresas de seguridad, en ningún caso afecta a la normativa establecida por la legislación en protección de datos.

Por ello, sigue vigente en todos los extremos la instrucción 1/2006 de la Agencia Española de Protección de Datos, la que establece los siguientes principios:

1.- Proporcionalidad: Las imágenes que se capten deben de ser necesarias y no excesivas para la finalidad perseguida.

2.- Deber de información a los interesados: Mediante la colocación de carteles informativos, así como con la puesta a disposición de los usuarios de impresos que detallen la información.

3.- Alta de ficheros: Notificación a la Agencia Española de Protección de Datos de la existencia de ficheros de videovigilancia.

4.- Medidas de seguridad: Implantación de las medidas de seguridad obligadas por la normativa de protección de datos.

Por lo tanto, y haciendo un breve resumen de la situación, podemos establecer que se ha modificado la situación en lo referente a las empresas de seguridad, pero que esta modificación, en ningún caso, influye o afecta a la normativa sobre protección de datos donde continua vigente la instrucción 1/2006 de la Agencia Española de Protección de Datos.

martes, 2 de febrero de 2010

EVALUA - Herramienta de la AEPD para comprobar el cumplimiento de la LOPD

La Agencia Española de Protección de Datos en aras de potenciar el cumplimiento de la normativa sobre protección de datos ha diseñado una herramienta informática que evalúa el grado de cumplimiento de los responsables del fichero en lo que a la protección de datos respecta, esta aplicación consta de dos cuestionarios, uno relativo a aspectos genéricos sobre la protección de datos y otro referente en exclusividad sobre medidas de seguridad.




Con respecto a los aspectos generales sobre la protección de datos trata los siguientes puntos:

- Registro de ficheros en la A.E.P.D.

- Obtención del consentimiento e información a los posibles afectados.

- Principios sobre protección de datos.

- Derechos ARCO.

- Relación con terceros.

- Seguridad.



En cambio con respecto a las medidas de seguridad, se asigna un nivel de seguridad y en función de ese nivel se realiza un análisis de las diferentes medidas de seguridad que tiene la obligación de cumplir el responsable del fichero.



En ambos caso se trata de formularios muy sencillos e intuitivos, por lo tanto creo que lo más correcto es felicitar a la Agencia Española de Protección de Datos por acercar de una forma tan clara la protección de datos al público en general