Elece Legal

Novedades

¿Es seguro usar Wetransfer para compartir archivos?

¿Cuántas veces nos hemos encontrado en la situación de querer enviar a un cliente un archivo que ocupa demasiado para enviarlo por correo electrónico? Seguramente muchas. Es entonces cuando recurrimos a plataformas en la nube para compartir archivos pesados, como Dropbox, Wetransfer o Mega, entre muchas otras.

Utilizamos estas herramientas para compartir todo tipo de información, desde fotografías y videos familiares, hasta información de proyectos, lista de clientes, tarifas de precios, contratos, vídeos de juicios y vistas, documentación procesal, planos, etc.

Pero siempre nos queda la duda…¿es seguro compartir archivos utilizando estas herramientas? Y más aún, ¿estaremos incumpliendo el Reglamento Europeo de Protección de Datos al hacerlo?

Hay muchas cuestiones a tener en cuenta para valorar si estos servicios se ajustan a la actual normativa de protección de datos, pero nos centrarnos en 3 de ellas: (i) contrato de encargado del tratamiento, (ii) posibles transferencias internacionales y (iii) seguridad de la información enviada.

Vamos a descubrir las respuestas y hoy empezaremos hablando de Wetransfer.

Todos conocemos la famosa plataforma, siendo una de las más fáciles de utilizar por cuanto te permite enviar archivos de hasta 2 GB sin tener que registrarte. Asimismo, cuenta con una versión de pago que te permite enviar hasta 20 GB y una mayor capacidad de almacenamiento.

En primer lugar, consultamos la página web de Wetransfer para ver su Política de privacidad, que aparece en inglés (un punto negativo, ya que dificulta el derecho de información para todos aquellos usuarios que no dominan este idioma).

  • En cuanto a la existencia de un contrato de encargado del tratamiento, sus cláusulas no aparecen por defecto en las condiciones del servicio, sino que nos indica que debemos dirigirnos a una dirección de correo electrónico para solicitar una copia del mismo (lo que la mayoría de usuarios probablemente no harán). Hemos hecho la prueba de solicitar una copia del contrato de encargado del tratamiento y hemos comprobado gratamente que nos lo han enviado en cuestión de minutos y es un contrato bien redactado.
  • Por otro lado, es importante conocer dónde se encuentran los servidores de este tipo de servicios ya que, si están ubicados fuera del Espacio Económico Europeo, estaríamos realizando una transferencia internacional de datos. Y, para que la transferencia fuera lícita, deberíamos ver si existen garantías adecuadas y suficientes (país con nivel de protección similar, firma de cláusulas tipo, Privacy Shield, etc).

En el caso de Wetransfer, su Política de privacidad nos informa de que si los archivos los subimos desde la UE (lo que podrán saber por nuestra dirección IP) los servidores utilizados serán los europeos; no existiendo, en consecuencia, tal transferencia internacional.

  • Finalmente, una de las cuestiones más importantes a tener en cuenta es la seguridad de la información que enviamos. ¿Está a salvo la información que envío por Wetransfer? La respuesta es no, al menos con su versión gratuita (la de pago refuerza la seguridad mediante el uso de contraseñas para abrir los archivos).

Existen múltiples recursos en Internet que te enseñan cómo acceder fácilmente a los archivos compartidos a través de Wetransfer. Sólo hay que seguir dos simples pasos:

  1. Poner en la barra de navegación “site:wetransfer.com/Downloads”
  2. Y clickar sobre “repetir la búsqueda e incluir los resultados que se han omitido”.

Por tanto, debemos evitar usar la versión gratuita de Wetransfer  ya que, no sólo estaremos poniendo en peligro la reputación de nuestro negocio; sino que, si los archivos compartidos contienen datos personales (de trabajadores, de clientes…), estaremos incumpliendo con el Reglamento General de Protección de Datos al no garantizar debidamente la seguridad en su tratamiento.     Haciendo esto nos aparecerán los enlaces de descarga de los archivos compartidos con Wetransfer, por lo que sólo tenemos que ir abriéndolos hasta elegir aquello que nos interesa cotillear.

Luces y sombras de la nueva LOPD

Después de casi un año de tramitación y más de 300 enmiendas, el pasado 18 de octubre el Congreso de los Diputados aprobó por unanimidad el proyecto de Ley Orgánica de Protección de Datos Personales y Garantía de Derechos Digitales, o más comúnmente conocida como ‘nueva LOPD’. Llegar hasta aquí no ha sido tarea fácil y aún queda el trámite del Senado, pero el proyecto ya se va perfilando y podemos hacernos una idea de cómo será el texto definitivo.

Apuesta por el DPD

Entre los aspectos positivos, cabe destacar la clara apuesta por la figura del Delegado de Protección de Datos (DPD). Por un lado, el proyecto clarifica aquellos supuestos en los que la designación de esta figura resulta obligatoria, arrojando algo de luz sobre la vaga regulación del Reglamento General de Protección de datos (RGPD) en este aspecto. En este sentido, la normativa española obligará a designar un Delegado de Protección de Datos, entre otros, a los centros docentes que ofrezcan enseñanzas reguladas, a las universidades públicas y privadas, a las federaciones deportivas, cuando traten datos de menores de edad, o a los centros sanitarios –salvo en el caso de profesionales de la salud que ejerzan su actividad a título individual–.

Por otro lado, esta figura cobra especial protagonismo en los procedimientos de investigación y sanción. Así, las reclamaciones que los interesados deseen interponer ante la Agencia Española de Protección de Datos deberán pasar primero por las manos del DPD, apostando por la mediación frente a la sanción. Asimismo, se introduce como uno de los criterios de graduación de las sanciones la designación voluntaria de un Delegado de Protección de Datos; de tal manera, que aquellas organizaciones que lo hayan nombrado libremente podrán beneficiarse en un eventual procedimiento sancionador.

Algunas zonas grises

Sin embargo, no todo son aciertos en la regulación del proyecto. En este sentido, se desaprovecha la oportunidad de incluir una lista de supuestos en los que la Evaluación de Impacto en la Protección de Datos resultaría obligatoria, como ya han hecho numerosas autoridades de control europeas. Asimismo, da la impresión de que se ha aprovechado la tramitación del proyecto para introducir subrepticiamente un título entero dedicado a la garantía de los derechos digitales, entre los que cabe destacar el derecho a la intimidad y a la desconexión digital en el trabajo.

Esta materia, aunque estrechamente relacionada con la protección de datos, debería haber sido objeto de una regulación separada, mucho más meditada y previo debate de los grupos de interés afectados. En cualquier caso, habrá que estar pendientes de la tramitación del proyecto en el Senado, ya que aún puede haber cambios en el articulado; si bien se espera que el texto definitivo –que se suponía que entraría en vigor a la vez que el RGPD– se apruebe antes de final de año.

Artículo completo en www.heraldo.es

Protección de datos: la importancia de la formación

Estudios recientes demuestran que un alto porcentaje de los incumplimientos en esta materia proviene del desconocimiento y la falta de formación a empleados.

 

Está claro, la imperiosa necesidad de adaptar la actividad empresarial al Reglamento Europeo de Protección de Datos (RGPD) no ha escapado este año a los oídos de nadie. El error, comúnmente extendido, es pensar que una vez que los abogados hacen entrega del informe de adaptación junto con sus anexos, la empresa queda ‘blindada’ frente a posibles sanciones de la Agencia Española de Protección de Datos (AEPD) y es que, estudios recientes demuestran que un alto porcentaje de los incumplimientos en materia de protección de datos proviene del desconocimiento y la falta de formación a empleados.

Merece la pena recordar a estos efectos que el Gobierno central inició su periodo vacacional el pasado 30 de julio con un Real Decreto de medidas urgentes de adaptación al ordenamiento español del RGPD para que la AEPD dispusiera de facultades de inspección y sancionadoras efectivas. De esta forma, el peligro de multas administrativas ahora ya sí es real (pudiendo alcanzar las mismas hasta 20 millones de euros). Por esta razón, resulta muy recomendable que los empresarios apuesten por formar a sus empleados y directivos en RGPD.

Formación específica

Una de las vías que está cogiendo cada vez más fuerza es confiar la formación específica a asesores especializados que preparen planes específicos, adaptados al sector y a la problemática concretos. “En nuestra experiencia, el cliente agradece que apoyemos la presentación de nuestras conclusiones con planes de formación segmentados por áreas, lo que aporta valor añadido al mismo dado que, es precisamente en estas sesiones en las que surgen y se resuelven la mayoría de dudas a los empleados”. “Aprovechamos las formaciones asimismo para enseñar a poner en práctica a trabajadores y directivos las medidas que proponemos en los informes de adaptación al RGPD, en función de sus puestos de trabajo y de sus concretas responsabilidades”, señala Marta López Alvira, abogada del área de Protección de Datos de Elece Legal.

Otra vía, perfectamente válida y compatible con la anterior, es la designación voluntaria de un delegado de Protección de Datos, puesto que la concienciación y formación del personal para velar por el cumplimiento del RGPD es uno de sus principales cometidos. En estos casos, la persona designada deberá contar con una buena base de conocimientos y experiencia previa en la materia.

Cualquiera de estas medidas será valorada de forma positiva por la AEPD al constituir una acción de diligencia que cumpliría con uno de los principios rectores del Reglamento Europeo de Protección de Datos: el Principio de Responsabilidad Proactiva o ‘Accountability’. Este implica que el empresario deberá estar en disposición de probar y acreditar ante la AEPD y el resto de autoridades de control que cumple estrictamente con la normativa y alienta a las organizaciones a poner en marcha y desarrollar una serie de buenas prácticas que garanticen una gestión respetuosa con la protección de datos personales.

Artículo completo en: https://www.heraldo.es/noticias/bc/2018/10/24/proteccion-datos-importancia-formacion-1273447-2091041.html

¿Qué es el RGPD o Reglamento General de Protección de Datos?

El Reglamento General de Protección de Datos “RGPD” es el nombre que recibe en español la nueva normativa europea conocida como “General Data Protection Regulation” o “GDPR”.

Como su propio nombre indica, se trata de un reglamento europeo que establece el nuevo marco regulatorio en materia de protección de datos de carácter personal. Constituye la norma de referencia en esta materia para todos los estados miembros ya que, a diferencia de su predecesora (la Directiva 95/46/CE), el RGPD es directamente aplicable, sin necesidad de una ley nacional que transponga sus disposiciones.

Que es RGPD o Reglamento General de Protección de Datos

¿Por qué es necesario el RGPD?

Los motivos que han llevado a la promulgación de esta nueva normativa son principalmente dos:

  1. Lograr una regulación uniforme de protección de datos a nivel europeo
  2. Dar respuesta a las oportunidades y amenazas derivadas del nuevo escenario tecnológico.

Así, por un lado, a pesar de que la Directiva del año 95 pretendía establecer una normativa común en todos los estados, lo cierto es que dejaba bastante margen a la hora de su transposición. De tal manera que el resultado fue un marco regulatorio con distintos grados de protección y distintos requisitos dentro de la propia Unión Europea.

Por este motivo, esta vez -aprendiendo de los errores pasados- se decidió utilizar la fórmula de un reglamento europeo que, como hemos adelantado, es obligatorio y directamente aplicable, sin necesidad de transposición.

Si bien es cierto que actualmente algunos países europeos están tramitando e, incluso ya han aprobado su propia ley de protección de datos, en línea con lo establecido en el RGPD. En España, de hecho, se está tramitando en la actualidad el proyecto de la nueva LOPD. No obstante lo anterior, la única finalidad de estas leyes nacionales es clarificar y complementar alguno de los puntos del Reglamento, sin perder de vista que la norma principal es, en todo caso, el RGPD.

En segundo lugar, debemos tener presente que las normas de protección de datos de los países europeos son de finales de los 90 por lo que, a la vista de la evolución tecnológica de los últimos veinte años, han quedado claramente desfasadas y obsoletas.

La cuarta revolución industrial, el big data, el internet de las cosas…han cambiado por completo el escenario en el que nos movemos, creando nuevas oportunidades pero también nuevas amenazas para la privacidad de las personas. No en vano se dice que los datos son el petróleo del  siglo XXI.

Por este motivo, se ha hecho necesaria una nueva regulación que proteja adecuadamente a las personas, que regule la forma en que las empresas tratan y comparten esos datos y que, además, sea uniforme en toda la Unión Europea.

 

¿Cuándo entra en vigor el RGPD?

El RGPD entró en vigor el pasado 25 de mayo de 2016. No obstante, se concedió un plazo de dos años para que todas las organizaciones pudieran adaptarse a sus disposiciones. Por tanto, si bien ya está en vigor desde hace casi dos años, el RGPD comenzará a ser aplicable el próximo 25 de mayo de 2018.

 

¿Dónde se aplica el RGPD?

Con carácter general, podemos afirmar que el RGPD se aplica en el ámbito de la Unión Europea.

  • Bien porque el responsable o encargado del tratamiento esté establecido en dicho territorio
  • O bien porque el tratamiento afecte a ciudadanos europeos.

Así, por un lado, el RGPD se aplica a todos aquellos tratamientos de datos personales efectuados en el contexto de cualquier establecimiento situado en la Unión Europea, con independencia de la nacionalidad o lugar de residencia de las personas cuyos datos se tratan o de si el tratamiento tienen lugar efectivamente o no en la Unión Europea.

A estos efectos, lo relevante es que dicho establecimiento lleve a cabo el ejercicio real y efectivo de una actividad, con independencia de la forma jurídica (filial, sucursal, etc.).

Asimismo, el RGPD se aplica a aquellos tratamientos de datos de ciudadanos europeos, aún cuando el responsable del tratamiento esté establecido fuera de la Unión Europea, siempre que éste las actividades del tratamiento estén relacionadas con la oferta bienes o servicios o el control de su comportamiento.

 

¿Cuáles son las principales novedades de este Reglamento?

El RGPD supone un gran cambio en la concepción de la normativa de protección de datos, por cuanto se pasa de una aproximación represiva a una aproximación proactiva. En este sentido, los dos pilares fundamentales de esta nueva regulación son:

  1. El enfoque basado en el riesgo. Hasta ahora, se establecían las medidas de seguridad a
    aplicar en función del tipo de datos (nivel básico, medio, alto) y del tipo de tratamiento
    (automatizado/ no automatizado). Ahora ya no se dispondrá de un catalogo cerrado de
    medidas de seguridad obligatorias, sino que las empresas deberán analizar qué datos tratan,
    cómo y con qué finalidad, para -en función de los riesgos de probabilidad y gravedad
    variables- establecer las medidas de seguridad apropiadas.
  2. El principio de responsabilidad activa. Al no existir un catálogo cerrado de medidas de
    seguridad, la empresa tiene que asegurarse que ha adoptado las medidas adecuadas para
    cumplir con el RGPD y además tiene que poder demostrarlo. Ello supone una actitud consciente, diligente y proactiva, incorporando a sus procesos principios como la privacidad por defecto y la privacidad desde el diseño.

Inspirados por los anteriores fundamentos, las principales novedades del RGPD son las siguientes:

  • Nuevo régimen sancionador. Las sanciones por infracciones de las obligaciones del RGPD pueden ascender hasta 10 millones de euros o el 2% de la facturación mundial anual (el que sea mayor) o hasta 20 millones de euros o el 4% de la facturación mundial anual (el que sea mayor). Como se puede apreciar, el RGPD sólo define los límites máximos de la sanción. El importe de la multa en cada caso será la que resulte de aplicar los criterios de ponderación previstos en la nueva LOPD.
  • Delegado de Protección de Datos (en inglés, Data Protection Officer – DPO). Es una figura novedosa que será obligatoria para determinadas empresas (en la nueva LOPD puedes encontrar un listado indicativo). Sus funciones son, entre otras, las de informar y asesorar a la empresa en el cumplimiento de sus obligaciones de protección de datos, supervisar el cumplimiento de lo dispuesto en la normativa y en los protocolos internos, concienciar y formar a los empleados, realizar las auditorías y ser el enlace con la Agencia Española de Protección de Datos (AEPD). Puede ser alguien interno de la organización o un experto externo, pero es imprescindible que cuente con formación y experiencia en el asesoramiento en protección de datos.
  • Reforzamiento del deber de información. Con el RGPD se amplían las cuestiones de las que la empresa debe informar a los interesados antes de llevar a cabo un tratamiento de sus datos como, por ejemplo, la identidad y datos de contacto del DPO, el plazo de conservación de los datos, si se van a hacer transferencias internacionales, los nuevos derechos de los afectados…
  • Cambios en la forma de obtención del consentimiento. El RGPD establece que, cuando el tratamiento de datos personales se base en el consentimiento del interesado, éste deberá ser claro, informado e inequívoco. Esto implica que la autorización de la persona debe provenir de una manifestación o clara acción afirmativa, quedando excluida -en consecuencia- la posibilidad de obtener consentimientos de manera tácita (lo que sí estaba permitido, en determinados casos, por la anterior LOPD).
  • Evaluación de Impacto en la Privacidad de los Datos (en inglés, Privacy Impact Assesment – PIA). En aquellos casos en los que, tras la evaluación de riesgos, se detecte que un determinado producto, servicio o proyecto conlleva un riesgo alto para la privacidad, debe realizarse una Evaluación de Impacto con carácter previo a realizar cualquier tratamiento. Lo anterior, que no es más que una determinada metodología para evaluar los riesgos asociados a un tratamiento (de todo tipo, no sólo los de cumplimiento normativo) es además obligatoria para determinados tratamientos listados en el RGPD.
  • Obligación de notificación de violaciones de la seguridad de los datos personales. Por último, en el supuesto de que se produzca una violación en la seguridad de los datos tratados por la organización, ésta deberá notificarlo en el plazo máximo de 72 horas a la AEPD y también a los afectados, cuando dicha violación suponga un riesgo alto para  su privacidad.

 

Descárgarte el Ebook – Adapta tu empresa – de la LOPD al RGPD en solo 6 pasos >>>AQUÍ

 

El Compliance en el mundo empresarial

El pasado 26 de noviembre entró en vigor el Real Decreto Ley 18/2017, un paso más en la integración del Compliance en el día a día de las empresas.

Compliance ético

Primero fue la reforma del Código penal del 2010 y 2015 con la responsabilidad penal de las personas jurídicas, luego la modificación de la Ley de Sociedades de Capital en 2014 para la mejora del gobierno corporativo, después la nueva Ley de Contratos del Sector Público con la posibilidad de levantar una prohibición de contratar implantando medidas apropiadas para evitar la comisión de futuras infracciones…

Estos son sólo algunos ejemplos de cómo, poco a poco y casi sin darnos cuenta, el Compliance ha ido calando en las empresas a golpe de legislación. El último avance lo encontramos en el Real Decreto Ley 18/2017, que viene a regular nuevas obligaciones de reporting no financiero para las grandes empresas de interés público.

Así, estas empresas deberán incluir en el informe de gestión que acompaña a sus cuentas anuales toda aquella información necesaria para comprender la evolución, resultados y situación de la organización, y el impacto de su actividad en materia medioambiental, social, de personal, de derechos humanos y en relación con  la lucha contra la corrupción y el soborno.

Entre dicha información, la organización deberá detallar las políticas de las que dispone relativas a las citadas cuestiones, incluyendo los procedimientos para la identificación y evaluación de riesgos, de verificación y de control.

Por tanto, vemos cómo progresivamente el Compliance se va integrando en diversos ámbitos del mundo empresarial obligando a las empresas a apostar por prácticas éticas y de cumplimento normativo como requisito imprescindible para mantenerse en el mercado y alcanzar el éxito.