Nuevas guías de la Agencia Española de Protección de Datos

El pasado viernes, 26 de abril, se celebró en Madrid la "5ª Sesión Anual Abierta de la AEPD" en cuyo programa ya se anunciaba la presentación de la guía y directrices sobre cloud computing, y la inminente publicación de una nueva guía sobre la regulación de las cookies.

Así fue.  La guía sobre cloud computing se divide en dos documentos, el primero dirigido a los clientes que contraten servicios en la nube ("Guía para clientes que contraten servicios de cloud computing") y el segundo dirigido a los proveedores que prestan dichos servicios ("Orientaciones para prestadores de servicios de cloud computing").

Enlaces a las guías (PDF) desde la web de la AEPD:

• Guía para clientes que contraten servicios de cloud computing
• Orientaciones para prestadores de servicios de cloud computing

Sobre la guía para clientes, en palabras del Director de la Agencia, José Luis Rodríguez Álvarez, "hemos optado por una guía eminentemente práctica que, sin prescindir del rigor técnico, facilite incluso a los no iniciados el conocimiento sobre qué es el cloud computing, cuáles son los elementos de riesgo que se deben tener en cuenta y qué garantías se deben recabar y asegurar en el momento de la contratación".

En el mismo acto se anunció que el lunes 29 de abril se presentaría la "Guía sobre el uso de las cookies" que pretende "ofrecer orientaciones sobre cómo cumplir con las obligaciones previstas en el apartado segundo del artículo 22 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico (LSSI), tras su modificación por el Real Decreto-Ley 13/2012, de 30 de marzo".

Enlace a la guía (PDF) desde la web de la AEPD:

• Guía sobre el uso de las cookies

En la guía se hace referencia al dictámen 4/2012 del Grupo de Trabajo del Artículo 29, al que -en su momento- dedicamos un post en este blog.

Día Europeo de la Protección de Datos

Hoy, 28 de enero, se celebra el Día Europeo de la Protección de Datos.  47 países, así como diversas instituciones y organismos celebran este día organizando diversos actos para promover y concienciar sobre el derecho a la protección de datos.  La fecha conmemora la aprobación del Convenio (108) del Consejo de Europa, para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, de 28 de enero de 1981.

La Agencia Española de Protección de Datos (AEPD) ha organizado para hoy una jornada conmemorativa de los "20 Años de Protección de Datos en España", en la que participan diversas personalidades y expertos que representan a todos los agentes que han participado activamente en el desarrollo de este derecho fundamental en nuestra sociedad (ver programa).

APEP, la Asociación Profesional Española de Privacidad, que participa en la jornada de la AEPD, ha publicado en su web una serie de interesantes artículos sobre los retos y oportunidades de la protección de datos personales.  Los artículos, firmados por los miembros de su Junta Directiva, pueden consultarse aquí:

• Artículos APEP en el Día PD 2013: http://www.apep.es/category/dia-pd-2013/

Listado de artículos:

• Día de la Protección de Datos en Europa: retos para los profesionales de la privacidad (Ricard Martínez, Presidente APEP).
• Tratamientos de datos de menores.  Un reto presente y futuro para los profesionales de la privacidad (Miguel Geijo, Junta Directiva).
• La reciente jurisprudencia del tribunal constitucional sobre el derecho fundamental a la protección de datos (Cecilia Álvarez, Vicepresidenta APEP).
• La protección de datos personales en las administraciones públicas: retos (Carmen Sánchez, Tesorera Junta Directiva).
• Un año conociendo al Delegado de Protección de Datos (Marcos Mª Judel, Junta Directiva).
• Profesionales del Derecho de la Privacidad: futuro, retos y oportunidades (Jordi Saldaña, Junta Directiva).
• Las certificaciones en privacidad (Eduard Chaveli, Vicepresidente y Carmen Sánchez, Tesorera).
• …veinte años no es nada. Tango, arrebato y malevaje (Javier Peris, Consejero Delegado APEP).
• La protección de datos personales: un reto y una oportunidad (Cristina Atienza, Junta Directiva).
• Cookies y su nueva regulación (Santiago Bermell, Secretario APEP)

Consulta los artículos en la web de APEP:

http://www.apep.es/category/dia-pd-2013/

Utilización del Cloud Computing por los Despachos de Abogados

Mediante nota de prensa del 14/06/2012, la AEPD (Agencia Española de Protección de Datos) y el CGAE (Consejo General de la Abogacía Española) nos comunican la presentación del Informe "Utilización del cloud computing por los despachos de abogados y protección de datos de carácter personal", elaborado por ambas instituciones.

El informe establece orientaciones y aclara conceptos para que los despachos de abogados puedan elegir el servicio de Cloud Computing. También establece los requisitos que se deben observar a la hora de contratar un servicio de estas características en su gestión como profesionales.

El secreto profesional es uno de los principios esenciales de un despacho de abogados, y la protección y seguridad de los datos une exigencia legal que se debe cumplir y garantizar.  El informe desarrolla los tres aspectos claves en la contratación de servicios de Cloud:

• La responsabilidad del despacho sobre el tratamiento de los datos y la normativa y jurisdicción aplicable.
• La seguridad y confidencialidad de los datos.
• Aspectos esenciales del contrato de servicios que debe firmarse, tanto desde el punto de vista técnico como jurídico.

El Informe (de 19 páginas) está dividido en 5 capítulos:

1. Introducción. El concepto del Cloud Computing y los servicios para los despachos de Abogados
2. Aplicación de la normativa sobre protección de datos
3. Territorialidad y jurisdicción aplicable
4. La seguridad y confidencialidad de los datos: el secreto profesional
5. Aspectos esenciales del contrato de servicios que debe firmarse, tanto desde el punto de vista técnico como jurídico

DESCARGAR el informe:
Descarga del Informe "Utilización del Cloud Computing por los despachos de abogados"
Descarga del Díptico "Todo lo que siempre quiso saber sobre el Cloud Computing"

APEP manifiesta su malestar ante el Convenio de asesoramiento en protección de datos suscrito por la Federación de Municipios de Castilla la Mancha

APEP (Asociación Profesional Española de Privacidad) ha mostrado su rechazo frente al anuncio del Convenio de asesoramiento en materia de LOPD que ha firmado la Federación de Municipios y Provincias de Castilla-La Mancha.  Este desafortunado convenio alienta la práctica fraudulenta conocida como "LOPD a Coste Cero" que desde la Asociación hace tiempo venimos denunciando.

Bajo esta denominación se incluyen las prácticas de ofrecer servicios gratuitos de implantación de LOPD,  financiados con las subvenciones que ofrece la Fundación Tripartita para la formación de los trabajadores.  La propia Fundación Tripartita reconoció estos hechos como constitutivos de fraude (Ver nota informativa de la Fundación Tripartita del 14/04/2010).

Tras conocerse la notícia de la firma del convenio, en la que se hace referencia a la implantación gratuita de la LOPD, APEP publicó una "Carta abierta a la Federación de Municipios y Provincias de Castilla-La Mancha y la Fundación Tripartita" (12/06/2012) mostrando su preocupación por la licitud del objeto del convenio:

Estimados señores:

Leemos con enorme interés la nota de prensa publicada por ABC, así como la nota en la propia web de la Federación, en relación con el convenio de asesoramiento en protección de datos con una conocida empresa. Es positivo que empresas y administraciones se acerquen y hay que felicitarse por ello. Sin embargo, una frase citada entrecomillada, y por tanto no imputable al periodista, nos ha llamado poderosamente la atención: «y todo ello, a coste cero». Bajo ese epígrafe “LOPD a coste cero” se han desarrollado actividades de asesoramiento y consultoría “disfrazadas” de formación y con cargo a la Fundación Tripartita, prácticas que esta Fundación ha considerado fuera de los fines por los cuales se conceden las subvenciones. El expuesto en su comunicado ¿es otro “coste cero” distinto de aquel contra el que la Fundación Tripartita ha advertido en dos ocasiones (http://www.fundaciontripartita.org/index.asp?MP=4&MS=105&TR=A&IDR=11&id=458 y http://www.fundaciontripartita.org/index.asp?MP=4&MS=105&TR=A&IDR=11&id=576)?

(...)

Desde APEP, y en base a experiencias anteriores, rogamos se verifique si existe algún problema de legalidad en el citado Convenio. En caso positivo, los españoles que contribuyen con sus impuestos a la financiación de la formación laboral en España merecen alguna actuación y alguna explicación. 

  

(>> Leer el contenido completo de la "carta abierta" de la APEP)

El 15 de junio la APEP publicó la Nota de Prensa a la que hace referencia el título de este post:

"APEP manifiesta su malestar ante el Convenio de asesoramiento en protección de datos suscrito por la Federación de Municipios de Castilla la Mancha":

Nota de Prensa

Un gran número de asociados ponen en conocimiento los hechos ante la Fundación Tripartita.

El anuncio público de la firma de un Convenio celebrado por la Federación de Municipios y Provincias de Castilla la Mancha en relación con el asesoramiento en materia de LOPD ha generado una reacción de rechazo entre los profesionales de la privacidad en España.

Esta reacción sin duda se debe a que en su denominación se habla de una implantación gratuita: “Convenio de Colaboración entre la Federación de Municipios y Provincias de Castilla-La Mancha y Professional Group Conversia, SLU, sobre la implantación gratuita de la Ley de Protección de Datos en las Entidades Locales de Castilla-La Mancha”

(...)

Debe destacarse que, de acuerdo con el Real Decreto Legislativo 3/2011, de 14 de noviembre, por el que se aprueba el texto refundido de la Ley de Contratos del Sector Público, tanto cada Ayuntamiento como la Federación, esta en su consideración de poder adjudicador, se encuentran sometidos a estrictas normas de contratación cuyos objetivos son facilitar la libre concurrencia de ofertas con plena publicidad y en condiciones de igualdad para los licitadores. Cabe preguntarse si estos objetivos se logran adecuadamente con una recomendación recompensada con la gratuidad de un asesoramiento LOPD con un alcance indeterminado.

APEP se abstiene de calificar jurídicamente estos hechos, sin perjuicio de ponerlos en conocimiento de la sociedad y, en su caso, de las autoridades que pudieran ser competentes. 

(>> Leer el contenido completo de la "nota de prensa" de la APEP)

#limpiandomisfavoritos

Este fin de semana he decidido realizar una limpieza de mis "Favoritos" en Twitter. Cada uno le suele dar un uso distinto a la función "Favoritos", yo, particularmente, lo utilizo para marcar aquellos tuits que incorporan enlaces de mi interés y que, más tarde, aprovecho para leer con tranquilidad. Cuando los he leído, elimino el tuit favorito.

Como siempre, no tengo suficiente tiempo para leerlos todos, así que en ese apartado se van acumulando más y más tuits con otros tantos enlaces para leer.

Me propongo hacer una limpieza mensual. Los enlaces más interesantes los dejaré aquí, en el blog, a modo de resumen mensual de notícias de interés en el ámbito de la privacidad y seguridad.

Casualmente, he descubierto que introduciendo en el navegador la URL

http://www.twitter.com/<nombre_de_usuario_en_twitter>/favorites se muestra el listado de los favoritos de cada usuario.

Pues bien, aqui os dejo el primer post de #limpiandomisfavoritos

Me interesó un artículo (que me llegó vía @gongaru y @mglarragan) sobre SQL Injection, publicado por @pedrohurtado "Ataques por SQL Injection, un clásico".

También he seguido con interés los posts de @Foratinfo sobre "Viejos ordenadores que hacen grandes cosas". Hoy parece que ha publicado el último de la serie.

Como cada mes, desde el otro lado del Atlántico, Andrés Velázquez en @CrimenDigital publica sus podcast, en esta ocasión sobre "Una firma digital no es una firma escaneada".  Otros podcast que también marco como "Favoritos" son los de @daboblog en DaboBlog Podcast.

Octubre ha sido un mes en el que se han celebrado varios eventos a destacar. El 18 de octubre se celebró el IV Foro del Data Privacy Institute (DPI), en Madrid. No puede asistir, pero el amigo @LuisSalvadorMon publicó un amplio resumen en el blog de "Privacidad Práctica".

Sanción de 60.000 Euros por grabar a personas en la calle

En Expansión publican la notícia "El Corte Inglés, sancionado por grabar a personas en la calle", que leo después en El País.

En fecha 10 de febrero de 2011, la Audiencia Nacional ha confirmado la multa de 60.101,21 Euros que la Agencia Española de Protección de Datos impuso a El Corte Inglés en octubre de 2009 por grabar con cámaras de videovigilancia imágenes de coches y personas que circulaban por las vías públicas colindantes a los accesos al edificio del centro comercial en la ciudad de Málaga.

Se trata de una infracción del artículo 6 de la LOPD (Consentimiento del afectado), tipificado como infracción grave según el artículo 44.3 de la misma Ley.  

El importe de la multa (60.101,21 Euros) corresponde a la cuantía mínima para las infracciones graves (de 60.101,25 a 300.506,25 Euros) según establecía el redactado original de la Ley , en pesetas en 1999: de 10.000.000 a 50.000.000 Ptas.  Recordemos que con la entrada en vigor de la Ley 2/2011, de 4 de marzo, de Economía Sostenible, en su disposición final quincuagésima sexta se modifican los importes de  las sanciones, siendo, en la actualidad, para las infracciones graves, de entre 40.001 y 300.000 Euros.

Si bien en cada uno de los accesos al edificio hay un cartel informativo de zona videovigilada, en el que se identifica al responsable del fichero ante quién pueden ejercitarse los derechos recogidos en el artículo 5 de la LOPD, los inspectores comprobaron que todas las cámaras tienen un ángulo de giro de 360º y disponen de función de "zoom" pudiendo captar imágenes de la vía pública, de las personas físicas que circulan por la acera, y de los vehículos estacionados. 

A tenor de lo dispuesto en la Ley Orgánica 4/1997, de 4 de agosto, la grabación en lugares públicos debe realizarse por las Fuerzas y Cuerpos de Seguridad del Estado, quedando limitados los usos de las cámaras de videovigilancia privada únicamente para grabar en los espacios privados objeto de la protección.  Por tanto, la captación de imágenes de la vía pública por parte del centro comercial, entraría en discrepancia con los principios de calidad y proporcionalidad establecidos en el artículo 4 de la Instrucción 1/2006 de la AEPD sobre videovigilancia. 

Finalizo con algunas afirmaciones concluyentes extraídas de los Fundamentos Jurídicos de la Sentencia (Audiencia Nacional, Sala de lo Contencioso-administrativo, Sección 1ª, Sentencia de 10 de febrero de 2011, Recurso 95/2010):

"En el caso analizado, ha quedado acreditado que el sistema de videovigilancia instalado en El Corte Inglés, permite seleccionar cualquiera de las cámaras y desplazar su enfoque 360º, alcanzando su ángulo de visión la vía pública y a las personas que circulan por la misma, realizando por tanto un tratamiento excesivo y no proporcional de las imágenes, en relación con el ámbito y las finalidades que podrían justificaban su recogida..."

 

"Por lo tanto aun cuando dicho sistema de videovigilancia haya sido instalado conforme a la normativa de seguridad, este hecho no le autoriza, a realizar grabaciones de imágenes en la vía pública, como es el caso que nos ocupa, mucho más allá de lo que resulta idóneo, adecuado y proporcional."