Dictamen europeo sobre técnicas de anonimización

El 10 de abril de 2014, el Grupo de Trabajo sobre Protección de Datos del Artículo 29 (WP29) de la Comisión Europea publicó el documento "Anonymisation Techniques onto the web" que fue adoptado como "Opinion 05/2014 on Anonymisation Techniques".  Ahora tenemos disponible la versión es español de este documento.

Dictamen 05/2014 - Español

La justificación de este informe es muy interesante (y acertada, desde mi punto de vista), ya que parte del concepto de «datos abiertos» y de los beneficios que la liberación y reutilización de datos pueden aportar a los ciudadanos y a la sociedad, para reconocer la importancia de aplicar las técnicas de anonimización adecuadas que garanticen un tratamiento correcto de los datos de carácter personal.

Segun la normativa europea de protección de datos, la anonimización "es el resultado de un tratamiento de los datos personales realizado para evitar de forma irreversible su identificación".  La cuestión principal es, aquí, que el proceso debe ser «irreversible», es decir que para cualquier fichero o tratamiento de datos sea imposible determinar la identidad del interesado.

Acceso diercto al documento [PDF, 42 pags] en la web de la Comisión Europea

Aunque la legislación europea en ningún momento establece cuáles son las técnicas de anonimización que deben emplearse, el dictamen del WP29 propone algunas técnicas y métodos teniendo en cuenta los tres riesgos clave de la anonimización:

• Singularización: posibilidad de extraer registros que identifiquen a personas.
• Vinculabilidad: capacidad de vincular dos registros distintos que están asignados a la misma persona /grupo de personas (correlación).
• Inferencia: posibilidad de deducir el valor de un atributo a partir de otros.

El Grupo de Trabajo advierte que no hay ninguna técnica infalible, aunque "una estrategia que prevenga estos tres riesgos tendrá la solidez necesaria para impedir la reidentificación de los datos mediante los medios más probables y razonables".  En el informe se describen las ventajas e inconvenientes de cada una de las técnicas, enumerando al final una serie de «buenas prácticas» para su implementación.  La clasificación de técnicas de anonimización realizada es la siguiente:

• Basadas en Aleatorización:
• Adición de ruído
• Permutación
• Privacidad diferencial
• Basadas en generalización:
• Agregación y anonimato k
• Diversidad l, proximidad t

Finalmente, dedica un apartado a analizar las técnicas de seudoanonimización, mostrando sus vulnerabilidades y concluyendo que, si bien puede tratarse de una medida de seguridad útil (cifrado de clave secreta, hash, etc.), no puede considerarse un método de anonimización válido.

El dictamen incluye un Anexo técnico de 12 páginas titulado "Manual de técnicas de anonimización" donde se describe con más detalle cada una de las técnicas citadas, con interesantes ejemplos y casos prácticos.  Muy útil para quienes no tienen un conocimiento previo en esta materia.

El WP29 insiste es que "han de definirse con claridad los requisitos previos (el contexto) y los objetivos del proceso para obtener la anonimización deseada al mismo tiempo que se generan datos útiles" al tiempo que aclara que "la solución óptima debe decidirse caso por caso y puede conllevar la combinación de diversas técnicas".

Retomando el enfoque práctico desde una perspectiva de la protección de datos personales, podemos concluir que un fichero resultante de un adecuado proceso de anonimización (con las garantías suficientes de que no se pueda identificar a los interesados) quedaría excluido del ámbito de aplicación de la Directiva 95/46/CE sobre protección de datos de carácter personal, sin embargo "aunque los datos anonimizados se encuentren fuera del alcance de la legislación sobre protección de datos, es posible que los interesados tengan derecho a protección en virtud de otras disposiciones legales (como las que protegen la confidencialidad de las comunicaciones)"

Contenido completo del "Dictamen sobre Anonimización" descargable aquí [PDF, 42 págs.]: 

http://ec.europa.eu/justice/data-protection/article-29/documentation/opinion-recommendation/files/2014/wp216_es.pdf

Privacy and Body Scanners at EU Airports

¿Escáneres que nos muestran desnudos?

El año pasado, en el número 217 (mayo-junio) de la revista Novática se publicó un artículo mío titulado "Privacidad en los escáneres corporales en los aeropuertos de la U.E." [consulta el artículo].

Ahora, se acaba de publicar un número especial de Novática en inglés que lleva por título "Privacy and New Technologies" que incluye mi artículo (revisado y  actualizado).  Esta edición, realizada en colaboración con Privacy International, es de acceso es libre y gratuito.



En el artículo repaso aspectos como:

• análisis de las diferentes tecnologías de escaneo existentes,
• marco normativo europeo,
• nivel de adopción de estos dispositivos en los distintos países de la UE, 
• impacto de estas medidas de seguridad sobre la privacidad de los usuarios.

Puesto que había transcurriso casi un año desde la publicación del artículo original (y un año y medio desde la investigación que dió lugar al artículo) mientras realizaba la traducción aproveché para actualizar el contenido del mismo ya que en este periodo ha habido algunos cambios en relación a la implantación de los escáneres corporales en los aeropuertos europeos.

A continuación copio el abstract del artículo y los enlaces al contenido completo del mismo en la web de ATI (Asociación de Técnicos de Informática).

 
Acceso al número especial de Novática: http://www.ati.es/novatica/2013/ASA/nvS2013sum.html
Acceso al artículo (PDF, 6pág., 280 KB, Inglés): http://www.ati.es/novatica/2013/ASA/NvS2013-49.pdf 
Acceso al artículo original, en español: http://blog.joanfi.net/2012/09/privacidad-en-los-escaneres-corporales.html 
  

At the beginning of 2010, with the aim of improving aviation security controls, some airports started to use full-body security scanners, also known as body scanners or  security scanners. Body scanners make a full body screening of passengers, producing detailed images of the screened person’s body in order to detect both metallic and non metallic  objects that might be concealed under the clothes.   
  

Deployment of such scanners may entail an invasion of people’s privacy since they produce a detailed display of the passenger’s  body with no clothing, revealing anatomical details and private parts, including medical prostheses.   
 

This article will analyse the currently existing screening technologies (millimetre wave systems -active or passive- and X-ray backscatter systems) as well as their level of deployment at EU airports, focusing on the impact they may have on passengers’ privacy. In order to  harmonize the various national regulations, the European Commission has passed a proposal on the use of body scanners at European airports, scanners which shall only be used under  specific conditions.

Estrategia Europea de Ciberseguridad

Un mes después de la puesta en marcha del Centro Europeo de Ciberdelincuencia (EC3), la Comisión Europea ha publicado (febrero 2013) el Plan de Ciberseguridad de la UE para "proteger una red abierta plena de libertad y de oportunidades en línea".

Según el comunicado de prensa de la Comisión:

«La estrategia de ciberseguridad, "Un ciberespacio abierto, protegido y seguro", representa la visión de conjunto de la UE sobre cómo prevenir y resolver mejor las perturbaciones de la red y los ciberataques. El objetivo consiste en impulsar los valores europeos de libertad y democracia y velar por un crecimiento seguro de la economía digital. Se prevén una serie de medidas específicas para reforzar la ciberresiliencia de los sistemas informáticos, reduciendo la delincuencia en la red y fortaleciendo la política de ciberseguridad y ciberdefensa internacional de la UE».

El documento destaca el enorme impacto de Internet (y el ciberespacio en general) en la sociedad actual, tanto para ciudadanos, empresas y organismos públicos.  Los avances a nivel social y económico dependen de un buen funcionamiento conjunto de las tecnologías de la información y de la comunicación.  En este contexto la estrategia propone un marco común en los Estados miembros para garantizar un entorno digital seguro y confiable, incluyendo, para ello, la propuesta de Directiva de la Comisión sobre la seguridad de las redes de la información (NIS, en sus siglas en inglés).

Al mismo tiempo, mientras el mundo digital aporta grandes beneficios, se muestra claramente vulnerable a las ciberamenzas.  Los incidentes de ciberseguridad van en aumento, ya sean intencionados (con fines criminales, terroristas, políticos, ...) o accidentales; las instituciones y compañías de los países de la UE están siendo víctimas de ataques cibercriminales: intrusión, robo de datos, ataques a sistemas, ciberespionaje, cibersabotaje, intentos de control de infraestructuras críticas, etc.  En este sentido, el Foro Económico Mundial (WEF) afirmó que en los siguientes 10 años existe una probabilidad del 10% de que haya una gran crisis de Infraestructuras de la Información Críticas con unos posibles daños económicos de más de 250 billones de dólares.

Por todo ello, la estrategia se articula en torno a cinco prioridades:

• la ciberresiliencia;
• la reducción drástica de la delincuencia en la red;
• el desarrollo de una política de ciberdefensa y de las capacidades correspondientes en el ámbito de la Política Común de Seguridad y Defensa (PCSD);
• el desarrollo de los recursos industriales y tecnológicos necesarios en materia de ciberseguridad;
• el establecimiento de una política internacional coherente del ciberespacio en la Unión Europea y la promoción de los valores europeos esenciales.

La Directiva propuesta permitirá desarrollar estos aspectos en todos los Estados miembros.  Entre las medidas de la propuesta cabe destacar:

• Los Estados deberán adoptar una estrategia de ciberseguridad y designar a una autoridad competente para la prevención, la gestión y la resolución de riesgos e incidentes.
• Creación de un mecanismo de cooperación entre los Estados miembros y la Comisión que permitirá difundir alertas tempranas sobre riesgos e incidentes.
• Los operadores de infraestructuras críticas, los proveedores de servicios de la sociedad de la información y las administraciones públicas deben adoptar prácticas de gestión de riesgos y comunicar los incidentes significativos de seguridad.

Documentos para descargar (PDF, en inglés):

1. Cybersecurity Strategy of the European Union: An Open, Safe and Secure Cyberspace - JOIN(2013) 1 final - 7/2/2013
2. Proposal for a Directive of the European Parliament and of the Council concerning measures to ensure a high common level of network and information security across the Union - COM(2013) 48 final - 7/2/2013

Día Europeo de la Protección de Datos

Hoy, 28 de enero, se celebra el Día Europeo de la Protección de Datos.  47 países, así como diversas instituciones y organismos celebran este día organizando diversos actos para promover y concienciar sobre el derecho a la protección de datos.  La fecha conmemora la aprobación del Convenio (108) del Consejo de Europa, para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, de 28 de enero de 1981.

La Agencia Española de Protección de Datos (AEPD) ha organizado para hoy una jornada conmemorativa de los "20 Años de Protección de Datos en España", en la que participan diversas personalidades y expertos que representan a todos los agentes que han participado activamente en el desarrollo de este derecho fundamental en nuestra sociedad (ver programa).

APEP, la Asociación Profesional Española de Privacidad, que participa en la jornada de la AEPD, ha publicado en su web una serie de interesantes artículos sobre los retos y oportunidades de la protección de datos personales.  Los artículos, firmados por los miembros de su Junta Directiva, pueden consultarse aquí:

• Artículos APEP en el Día PD 2013: http://www.apep.es/category/dia-pd-2013/

Listado de artículos:

• Día de la Protección de Datos en Europa: retos para los profesionales de la privacidad (Ricard Martínez, Presidente APEP).
• Tratamientos de datos de menores.  Un reto presente y futuro para los profesionales de la privacidad (Miguel Geijo, Junta Directiva).
• La reciente jurisprudencia del tribunal constitucional sobre el derecho fundamental a la protección de datos (Cecilia Álvarez, Vicepresidenta APEP).
• La protección de datos personales en las administraciones públicas: retos (Carmen Sánchez, Tesorera Junta Directiva).
• Un año conociendo al Delegado de Protección de Datos (Marcos Mª Judel, Junta Directiva).
• Profesionales del Derecho de la Privacidad: futuro, retos y oportunidades (Jordi Saldaña, Junta Directiva).
• Las certificaciones en privacidad (Eduard Chaveli, Vicepresidente y Carmen Sánchez, Tesorera).
• …veinte años no es nada. Tango, arrebato y malevaje (Javier Peris, Consejero Delegado APEP).
• La protección de datos personales: un reto y una oportunidad (Cristina Atienza, Junta Directiva).
• Cookies y su nueva regulación (Santiago Bermell, Secretario APEP)

Consulta los artículos en la web de APEP:

http://www.apep.es/category/dia-pd-2013/

Opinión del Supervisor Europeo de Protección de Datos sobre Cloud Computing

El 27 de septiembre, la Comisión Europea publicó el Informe "Liberar el potencial  de la computación en la nube en Europa" [sic] (Unleashing the Potential of Cloud Computing in Europe) donde se expone la estrategia de la Comisión para acelerar e incrementar el uso del cloud computing en Europa.

Como respuesta a este informe el Supervisor Europeo de Protección de Datos (EDPS), por iniciativa propia, acaba de publicar una Opinión sobre la relación entre el cloud computing y la protección de datos personales, aunque no se limita exclusivamente al contenido del citado Informe.  Conviene recordar que la Comisión consultó "informalmente" al EDPS antes de publicar el Informe y que algunos de esos comentarios "informales" fueron tomados en consideración en el Informe final.

(Enlaces a los documentos al final del post)

La Opinión se centra en tres aspectos principales:

• Destacar la importancia de la privacidad y la protección de datos en las iniciativas actuales de entornos en la nube (en particular, que el nivel de protección en la nube no debe ser inferior al que le correspondería en cualquier otro contexto de tratamiento de datos).
• Los retos que derivan para determinar sin ambigüedades las responsabilidades que corresponden a cada una de las partes implicadas.
• Identificar que acciones serán necesarias, por parte de los estamentos europeos, para dar apoyo al despliegue de los servicios en la nube en Europa (guías, estándares, certificaciones, modelos contractuales, etc).

Mes Europeo de la Ciberseguridad

Durante este mes de octubre se ha llevado a cabo la campaña "Mes Europeo de la Seguridad Cibernética" organizada por la Comisión Europea, en sincronía con el National Cyber Security Awareness Month que desde 2004 se organiza cada octubre en Estados Unidos.

ENISA (European Network and Information Security Agency) ha puesto a disposición de los Estados Miembros y de los ciudadanos diverso material de apoyo con fines educativos y de concienciación: publicaciones, videoclips, posters, material gráfico, etc. disponible para su descarga gratuíta en la web: http://www.enisa.europa.eu/activities/cert/security-month/material

Con esta campaña se pretende que los ciudadanos tomen conciencia acerca de la importancia de la seguridad de la información, proporcionando unos simples consejos que les ayuden a proteger sus datos, ya sean personales, financieros o profesionales.  Concienciar y promover hábitos seguros han sido los principales objetivos de la campaña.

En España, INTECO (Instituto Nacional de Tecnologías de la Comunicación) es quien coordina los actos de esta campaña, que tuvo uno de sus grandes momentos en la celebración de la sexta edición de ENISE  (Encuentro Internacional de Seguridad de la Información) que, un año más, reunió a "profesionales del mundo de la seguridad, instituciones y administraciones públicas para debatir sobre los retos más importantes que afronta en la actualidad el sector de la ciberseguridad".

Privacidad en los escáneres corporales de los aeropuertos

En el anterior post comentaba la monografía sobre "Privacidad y nuevas tecnologías" que ha publicado Novática en la que se incluye mi artículo titulado "Privacidad en los escáneres corporales en los aeropuertos de la U.E.".  En esta entrada voy a centrarme en el contenido de este artículo, cuyo contenido completo podeis descargar más abajo, si es de vuestro interés.

 

En él analizo la situación actual de los llamados "escáneres de seguridad de cuerpo completo", conocidos también como escáneres corporales o escáneres de seguridad, desplegados en fase de pruebas en algunos aeropuertos europeos para la mejora de los controles de seguridad aérea. 

 

Estos escáneres realizan una exploración completa del cuerpo del pasajero, mostrando una imagen detallada del cuerpo humano con el fin de detectar tanto objetos metálicos como no metálicos escondidos bajo la vestimenta.  La implantación de estos escáneres puede suponer una invasión en la privacidad de las personas ya que muestra imágenes definidas del cuerpo del pasajero sin ropa, mostrando detalles anatómicos y partes íntimas, incluidas prótesis médicas.

 

 

El objetivo del artículo es analizar como el uso de estos escáneres pueden afectar a nuestra privacidad.  De una parte se repasa el marco normativo en el ámbito de la U.E. y la propuesta de la Comisión Europea para regular el uso de los escáneres corporales y, de otra, para entender el funcionamiento de estos equipos, se da una pincelada técnica sobre las diferentes tecnologías de escaneo: de onda milimétrica - activas o pasivas - y de retrodispersión por rayos X.  Todo ello concluye con un análisis del nivel de implantación en los países que han optado por ello (*): Francia, Gran Bretaña, Italia, Finlandia, Países Bajos y Alemania.

(*) El artículo está redactado en febrero de 2012

 

Desde este enlace podéis descargar el artículo completo en formato PDF [283 Kb]:
http://www.joanfi.net/docs/Nv217-39_JoanFigueras.pdf

  

Y, finalmente, aquí dejo la transcripción de la referencia al artículo que los editores (Gemma Galdón y Gus Hosein) realizan en la presentación de la monografía:

 

« Joan Figueras vuelve a recordarnos que las controversias relacionadas con la tecnología, la privacidad y la seguridad no sólo se producen online, a pesar del evidente peso de los medios y redes sociales en el estudio del impacto social y sobre la privacidad de las nuevas tecnologías.

En su artículo sobre los escáneres corporales en los aeropuertos, Figueras traslada los debates abiertos por el resto de autores al espacio de la gestión de la seguridad en la aviación civil y los debates generados a nivel europeo desde la introducción de esta medida, a principios de 2010, así como la primera propuesta de marco común publicada por la Comisión Europea en 2011. 

 

En los meses de fase de pruebas, diferentes escáneres con diferentes tecnologías han sido instalados en muchos países (el autor aborda con detalle los casos de Francia, Gran Bretaña, Finlandia, Países Bajos, Italia y Alemania), y aunque la propuesta de la CE supone un primer paso hacia la homogenización y el desarrollo de un marco garantista en relación con el respeto a la privacidad y la dignidad de los usuarios, el autor identifica diferentes cuestiones aún no resueltas y que apuntan a la necesidad de un enfoque más amplio y respetuoso con los derechos fundamentales »

Exención de consentimiento en las cookies

El Grupo de Trabajo del Artículo 29 (Article 29 Working Party) - GT29 -, que engloba a las Autoridades Europeas de Protección de Datos, ha publicado hoy un Comunicado de Prensa para presentar su opinión sobre la exención del consentimiento informado en las «cookies».

El documento (en inglés) "Opinion 04/2012 on Cookie Consent Exemption" está disponible aquí:

http://ec.europa.eu/justice/data-protection/article-29/documentation/opinion-recommendation/files/2012/wp194_en.pdf

El Artículo 5.3 de la Directiva 2002/58/CE, revisado por la Directiva 2009/136/CE (conocida como la "Directiva de «cookies»") establecía el requisito del Consentimiento Informado, antes de que los datos sean tratados en el equipo del usuario.  En España, este apartado se recogíó en la reciente modificación de la LSSI del pasado 30 de marzo.

En virtud de ese artículo, se establecía la exención del consentimiento informado al cumplirse alguno de estos dos criterios:

• Cuando la cookie sea utilizada "al solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas".
• Cuando la cookie resulte "estrictamente necesaria para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario".

El Documento publicado por el GT29 analiza con detenimiento estos dos requisitos para determinar si una cookie está exenta o no del consentimiento informado.

Después de un análisis de las características de una cookie y de los diferentes escenarios posibles, concluye que las siguientes cookies pueden estar exentas de la obligación del consentimiento informado, bajo determinadas condiciones y siempre que no sean utilizadas para otros fines.

1. "User input cookies" (cookies de sesión utilizadas típicamente cuando el usuario rellena un formulario), son temporales y se eliminan al finalizar la sesión.
2. Cookies de autenticación, para la autenticación del usuario en un sitio web y únicamente mientras dure la sesión (no cuando se trate de cookies persistentes).
3. Cookies de seguridad, utilizadas para prevenir abusos en la autenticación (por ejemplo, detectar repetidos intentos fallidos de validación), siempre que tengan una duración limitada y no se refiera a servicios no solicitados por el usuario.
4. Cookies de sesión de contenido multimedia, contienen datos técnicos de la sesión para reproducir video o audio (por ejemplo de Flash Player) mientras dure la sesión.
5. Cookies de sesión de balanceo de carga, mientras dure la sesión.
6. Cookies para la personalización del interface - "UI customization cookies" (por ejemplo, selección del idioma), de duración determinada y no pueden estar enlazadas con cookies persistentes como el nombre de usuario.
7. Cookies de plug-in de redes sociales - "Social plug-in content shared cookies" que identifican a los miembros de una determinada red social, siempre y cuando el usuario no haya realizado un "log-out" de la red social.

En todos los casos se trata, como vemos, de cookies de sesión  o con una duración determinada, aunque el GT29 señala que antes de entrar en cuestiones técnicas, debería analizarse la finalidad de la cookie para determinar si queda o no exenta de la obligación del consentimiento informado.  En cualquier caso, siempre será necesario obtener el consentimiento informado cuando se trate de cookies de terceros.

En relación al segundo criterio, el GT29 señala que es importante analizar lo que es "estrictamente necesario" siempre desde el punto de vista del usuario, no del proveedor de servicios.

Privacidad y Protección de Datos Personales (Conferencia UE/EUA)

El 19 de marzo se realizó simultáneamente en Washington y en Bruselas la conferencia de alto nivel "EU Conference: Privacy and Protection of Personal Data" en la que Viviane Reding (Comisaria de Justicia de la UE y Vicepresidenta de la Comisión) y John Bryson (Secretario de Comercio norteamericano) mostraron el compromiso de la Unión Europea y los Estados Unidos para garantizar la protección de datos personales en los intercambios comerciales.

Se trata de un acercamiento con el fin de "reforzar la confianza de los consumidores y promover un crecimiento continuo de la economía global en Internet y la evolución del mercado digital común transatlántico".

En la web de la Comisión Europea se encuentran disponibles los vídeos de las ponencias así como la transcripción de algunas de las intervenciones:

http://ec.europa.eu/justice/events/eu-us-data/index.html

En lo que va de año han sido diversas la iniciativas surgidas a ambos lados del atlántico con el ánimo de reforzar el derecho a la privacidad de los consumidores y usuarios:

Propuesta de reforma de la normativa de Protección de Datos en la Unión Europea

Viviane Reding, Comisaria de Justicia de la UE y Vicepresidenta de la Comisión, ha presentado hoy la propuesta de reforma general de la normativa de protección de datos en la Unión Europea.

La normativa actual fue aprobada en 1995 (Directiva 95/45/CE del Parlamento Europeo y del Consejo), cuando -según palabras de Viviane Reding- "menos de 1% de los europeos usaba Internet".  La nueva propuesta incluye, además de la Directiva, un Reglamento que sería de común aplicación en toda la Unión Europea.

La Comisión ha creado un mini-site para informar sobre la necesidad de esta reforma:

http://ec.europa.eu/justice/data-protection/minisite

(más información extendida: http://ec.europa.eu/justice/newsroom/data-protection/news/120125_en.htm)

Según la Nota de Prensa publicada hoy estos son los cambios esenciales de la reforma:

• Se impondrá un conjunto único de normas sobre protección de datos válido en toda la UE y se eliminarán requisitos administrativos innecesarios como los requisitos de notificación para las empresas. Esto les supondrá un ahorro cercano a 2 300 millones EUR anuales.
• En lugar de la disposición actual que obliga a todas las empresas a notificar todas las actividades de protección de datos a los supervisores de protección de datos (requisito que ha generado a las empresas trámites y costes por un valor de 130 millones EUR anuales) el Reglamento intensifica la responsabilidad y la obligación de rendir cuentas de todos aquellos que procesen datos personales.