Mostrando entradas con la etiqueta Privacidad. Mostrar todas las entradas
Mostrando entradas con la etiqueta Privacidad. Mostrar todas las entradas

lunes, 24 de noviembre de 2014

El derecho al olvido, un aliado para la reputación online

La privacidad en Internet y la reputación online cuentan desde el pasado mes de Mayo con un nuevo aliado en una normativa europea que se ha acordado en llamar como derecho al olvido (conoce todos los detalles en www.derechoolvido.es).

El Tribunal de Justicia de la Unión Europea (TJUE) publicó el 13 de Mayo de 2014 (ver nota informativa de la Agencia Española de Protección de datos sobre esta sentencia) una sentencia donde se reconoce a los ciudadanos europeos su derecho a pedir a los buscadores de Internet (Google, Bing, Yahoo!...) la retirada de determinados enlaces a informaciones que consideran perjudiciales para su imagen. Los responsables de los buscadores atienden cada una de estas peticiones de manera individualizada y, si cumplen ciertos requisitos, pueden proceder a la supresión del enlace solicitado.

Siguiendo con esta lógica se puede definir el derecho al olvido como «el derecho de una persona física a bloquear o suprimir cierta información personal que se considera obsoleta, carente de interés o que afecta al libre desarrollo de alguno de sus derechos fundamentales». Es conveniente aclarar que la información propiamente dicha no se elimina, solo se suprime el acceso a la misma a través de los buscadores de Internet eliminando el enlace de la correspondiente página de resultados.


Los buscadores como Google, Bing o Yahoo! disponen de un formulario de solicitud para que los ciudadanos que lo deseen puedan solicitar el bloqueo de los enlaces que estimen perjudiciales para su privacidad y de esta manera proteger su reputación online. Como hemos dicho, no todas las peticiones son aceptadas ni tenidas en cuenta por los buscadores.

Una primera limitación de este derecho al olvido es que solo es aplicable a personas físicas por lo que ni empresas ni organizaciones pueden acogerse al mismo. Google cuenta con un comité de expertos que asesoran a la compañía en este tema (conoce al Comité de expertos de Google) y han establecido algunos motivos para rechazar las solicitudes. De esta manera, el buscador más popular en nuestro país no acepta las solicitudes referentes a personajes públicos, las relacionadas con asuntos de corrupción política o financiera o aquellas peticiones que hagan referencia a una información vigente y actual.

En el caso de que una solicitud sea rechazada por el buscador, el solicitante siempre tiene la opción de recurrir a la Agencia Española de Protección de Datos (AEPD) para que sea este organismo el que decida si procede o no la supresión del enlace solicitado y en el caso de que proceda requerir al buscador que lleve a cabo esta acción.

Este derecho al olvido se ha convertido en una útil herramienta para defender la reputación online de los ciudadanos aunque la sentencia del Tribunal de Justicia de la Unión Europea no es bien vista por todo el mundo. Existe una importante corriente de opinión que considera que este derecho vulnera la libertad de expresión e información y puede utilizarse como un mecanismo de censura.

Realmente aún es demasiado pronto para conocer si el derecho al olvido se utiliza como medio para proteger la imagen en la Red de los ciudadanos o si, como argumentan sus detractores, se hace un uso abusivo de la medida. Para resolver estas dudas, desde la Unión Europea se trabaja en la redacción de un protocolo de actuación ante solicitudes relacionadas con el derecho al olvido pero mientras se publica el mismo, la polémica es la tónica habitual ante esta normativa.

viernes, 21 de junio de 2013

La AEPD abre un procedimiento sancionador a Google por su política de privacidad

En octubre de 2012, la Agencia Española de Protección de Datos (AEPD) publicó, en nota de prensa, el documento "Política de Privacidad de Google.  Principales conclusiones y recomendaciones" que recogía las recomendaciones que el Grupo de Trabajo del Artículo 29 (GT29) transmitía a Google tras analizar la modificación de las políticas de privacidad de todos sus servicios en marzo de 2012.

Ante la nula respuesta de Google a estas recomendaciones (le otorgaron un plazo de 4 meses), las Autoridades Europeas de Protección de Datos, con el CNIL francés a la cabeza y el apoyo de Alemania, Italia, Holanda, Reino Unido y España han decidido actuar haciendo uso de sus competencias sancionadoras en sus respectivos países.

En España, la AEPD ayer (20/06/203) publicó una nota de prensa en la que informaba de la apertura de un expediente sancionador a Google por la presunta comisión de 5 infracciones graves y una leve, sancionables con multas de 40.001 a 300.000 euros cada una de las graves y de 900 a 40.001 la leve (sin duda "calderilla" para Google).

Las posibles infracciones serían por no informar claramente sobre el uso de los datos que recoge, por tratamiento de datos más allá de la finalidad para la que se recogieron, tratamiento desproporcionado o conservación de los mismos durante un periodo de tiempo indeterminado o injustificado.

A continuación transcribo el contenido de la nota de prensa de la AEPD. 


Nota informativa de 20 de junio de 2013

La AEPD abre un procedimiento sancionador a Google por su política de privacidad
  • El inicio de este procedimiento se produce tras finalizar las investigaciones previas realizadas por la AEPD, que han permitido constatar la existencia de varios indicios de infracción
  • La falta de información clara, la ausencia de finalidades específicas para varios servicios, el tratamiento desproporcionado de los datos de los usuarios o la conservación de datos por tiempo indeterminado o injustificado son algunos de ellos
  • Esta acción tiene lugar en el marco de una actuación coordinada con las Autoridades de Protección de Datos de Alemania, Francia, Holanda, Italia y Reino Unido

martes, 20 de noviembre de 2012

Opinión del Supervisor Europeo de Protección de Datos sobre Cloud Computing

El 27 de septiembre, la Comisión Europea publicó el Informe "Liberar el potencial  de la computación en la nube en Europa" [sic] (Unleashing the Potential of Cloud Computing in Europe) donde se expone la estrategia de la Comisión para acelerar e incrementar el uso del cloud computing en Europa.

Como respuesta a este informe el Supervisor Europeo de Protección de Datos (EDPS), por iniciativa propia, acaba de publicar una Opinión sobre la relación entre el cloud computing y la protección de datos personales, aunque no se limita exclusivamente al contenido del citado Informe.  Conviene recordar que la Comisión consultó "informalmente" al EDPS antes de publicar el Informe y que algunos de esos comentarios "informales" fueron tomados en consideración en el Informe final.
(Enlaces a los documentos al final del post)

La Opinión se centra en tres aspectos principales:
  • Destacar la importancia de la privacidad y la protección de datos en las iniciativas actuales de entornos en la nube (en particular, que el nivel de protección en la nube no debe ser inferior al que le correspondería en cualquier otro contexto de tratamiento de datos).
  • Los retos que derivan para determinar sin ambigüedades las responsabilidades que corresponden a cada una de las partes implicadas.
  • Identificar que acciones serán necesarias, por parte de los estamentos europeos, para dar apoyo al despliegue de los servicios en la nube en Europa (guías, estándares, certificaciones, modelos contractuales, etc).

miércoles, 5 de septiembre de 2012

Privacidad en los escáneres corporales de los aeropuertos

En el anterior post comentaba la monografía sobre "Privacidad y nuevas tecnologías" que ha publicado Novática en la que se incluye mi artículo titulado "Privacidad en los escáneres corporales en los aeropuertos de la U.E.".  En esta entrada voy a centrarme en el contenido de este artículo, cuyo contenido completo podeis descargar más abajo, si es de vuestro interés.
 
En él analizo la situación actual de los llamados "escáneres de seguridad de cuerpo completo", conocidos también como escáneres corporales o escáneres de seguridad, desplegados en fase de pruebas en algunos aeropuertos europeos para la mejora de los controles de seguridad aérea. 
 
Estos escáneres realizan una exploración completa del cuerpo del pasajero, mostrando una imagen detallada del cuerpo humano con el fin de detectar tanto objetos metálicos como no metálicos escondidos bajo la vestimenta.  La implantación de estos escáneres puede suponer una invasión en la privacidad de las personas ya que muestra imágenes definidas del cuerpo del pasajero sin ropa, mostrando detalles anatómicos y partes íntimas, incluidas prótesis médicas.
 
 
El objetivo del artículo es analizar como el uso de estos escáneres pueden afectar a nuestra privacidad.  De una parte se repasa el marco normativo en el ámbito de la U.E. y la propuesta de la Comisión Europea para regular el uso de los escáneres corporales y, de otra, para entender el funcionamiento de estos equipos, se da una pincelada técnica sobre las diferentes tecnologías de escaneo: de onda milimétrica - activas o pasivas - y de retrodispersión por rayos X.  Todo ello concluye con un análisis del nivel de implantación en los países que han optado por ello (*): Francia, Gran Bretaña, Italia, Finlandia, Países Bajos y Alemania.
(*) El artículo está redactado en febrero de 2012
 
Desde este enlace podéis descargar el artículo completo en formato PDF [283 Kb]:
http://www.joanfi.net/docs/Nv217-39_JoanFigueras.pdf
  
Y, finalmente, aquí dejo la transcripción de la referencia al artículo que los editores (Gemma Galdón y Gus Hosein) realizan en la presentación de la monografía:
 
« Joan Figueras vuelve a recordarnos que las controversias relacionadas con la tecnología, la privacidad y la seguridad no sólo se producen online, a pesar del evidente peso de los medios y redes sociales en el estudio del impacto social y sobre la privacidad de las nuevas tecnologías.

En su artículo sobre los escáneres corporales en los aeropuertos, Figueras traslada los debates abiertos por el resto de autores al espacio de la gestión de la seguridad en la aviación civil y los debates generados a nivel europeo desde la introducción de esta medida, a principios de 2010, así como la primera propuesta de marco común publicada por la Comisión Europea en 2011. 
 
En los meses de fase de pruebas, diferentes escáneres con diferentes tecnologías han sido instalados en muchos países (el autor aborda con detalle los casos de Francia, Gran Bretaña, Finlandia, Países Bajos, Italia y Alemania), y aunque la propuesta de la CE supone un primer paso hacia la homogenización y el desarrollo de un marco garantista en relación con el respeto a la privacidad y la dignidad de los usuarios, el autor identifica diferentes cuestiones aún no resueltas y que apuntan a la necesidad de un enfoque más amplio y respetuoso con los derechos fundamentales »

martes, 4 de septiembre de 2012

Monografía sobre "Privacidad y nuevas tecnologías" en Novática

Hace unas semanas recibí en casa el número 217 de la revista Novática.  Como socio de ATI (Asociación de Técnicos de Informática) recibo todas las entregas de Novática, siempre con artículos de gran calidad y de interesante lectura.  En esta ocasión, me ha hecho especial ilusión recibir la revista, no solo porque el tema central del número "Privacidad y nuevas tecnologías" sea de gran interés para mí, sino porque en la monografía se ha incluido un artículo mío ;-) 
 
Quiero agradecer, desde aquí, al coordinador de la revista, Llorenç Pagés, y a los editores invitados de la monografía sobre privacidad, Gemma Galdón y Gus Hosein, que hayan contado conmigo y hayan incluido mi articulo "Privacidad en los escáneres corporales en los aeropuertos de la U.E." en la misma.
 
Novática, fundada en 1975 y decana de la prensa informática española, es la revista de la Asociación de Técnicos de Informática, organización que edita también la revista REICIS (Revista Española de Innovación, Calidad e Ingeniería del Software).
 
 
(Portada del nº 217 de Novática, "La casa durmiente" - Concha Arias Pérez © 2012 ATI)
 

El contenido completo de Novática 217 está disponible en la Intranet de ATI accesible solo para socios, mientras que en la parte pública se pueden consultar los resúmenes y el bloque editorial:
http://www.ati.es/novatica/2012/217/nv217sum.html

El índice de la monografía sobre "Privacidad y nuevas tecnologías" es el siguiente:


Presentación. Privacidad y nuevas tecnologías: redes sociales, datos personales y tecnologías de vigilancia ante el reto del respeto a los derechos de las personas
Gemma Galdon Clavell, Gus Hosein
[contenido completo en formato PDF]

La protección de datos en Europa y la inquietante presencia de la privacidad
Gloria González Fuster, Rocco Bellanova
[resumen]

Tecnología de vigilancia y controles territoriales: Gobernanza y el pulso de la privacidad
Darren Palmer, Ian Warren
[resumen]

Google: Navegando entre la seguridad, el derecho de información y la privacidad
Cristina Blasi Casagran, Eduard Blasi Casagran
[resumen]

Rastros humanos en Internet: privacidad y seguimiento online en sitios web populares del Brasil
Fernanda Glória Bruno, Liliane da Costa Nascimento, Rodrigo José Firmino, Marta M.
Kanashiro, Rafael Evangelista
[resumen]

Las redes sociales y la tutela de la privacidad. Cuando la privacidad no se contempla como un derecho
Massimo Ragnedda
[resumen]

Privacidad en los escáneres corporales en los aeropuertos de la U.E.
Joan Figueras Tugas
[resumen]

El contenido completo del artículo "Privacidad en los escáneres corporales de la U.E." en el próximo post.

martes, 12 de junio de 2012

Exención de consentimiento en las cookies

El Grupo de Trabajo del Artículo 29 (Article 29 Working Party) - GT29 -, que engloba a las Autoridades Europeas de Protección de Datos, ha publicado hoy un Comunicado de Prensa para presentar su opinión sobre la exención del consentimiento informado en las «cookies».

El documento (en inglés) "Opinion 04/2012 on Cookie Consent Exemption" está disponible aquí:

El Artículo 5.3 de la Directiva 2002/58/CE, revisado por la Directiva 2009/136/CE (conocida como la "Directiva de «cookies»") establecía el requisito del Consentimiento Informado, antes de que los datos sean tratados en el equipo del usuario.  En España, este apartado se recogíó en la reciente modificación de la LSSI del pasado 30 de marzo.

En virtud de ese artículo, se establecía la exención del consentimiento informado al cumplirse alguno de estos dos criterios:

  • Cuando la cookie sea utilizada "al solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas".
  • Cuando la cookie resulte "estrictamente necesaria para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario".
El Documento publicado por el GT29 analiza con detenimiento estos dos requisitos para determinar si una cookie está exenta o no del consentimiento informado.


Después de un análisis de las características de una cookie y de los diferentes escenarios posibles, concluye que las siguientes cookies pueden estar exentas de la obligación del consentimiento informado, bajo determinadas condiciones y siempre que no sean utilizadas para otros fines.

  1. "User input cookies" (cookies de sesión utilizadas típicamente cuando el usuario rellena un formulario), son temporales y se eliminan al finalizar la sesión.
  2. Cookies de autenticación, para la autenticación del usuario en un sitio web y únicamente mientras dure la sesión (no cuando se trate de cookies persistentes).
  3. Cookies de seguridad, utilizadas para prevenir abusos en la autenticación (por ejemplo, detectar repetidos intentos fallidos de validación), siempre que tengan una duración limitada y no se refiera a servicios no solicitados por el usuario.
  4. Cookies de sesión de contenido multimedia, contienen datos técnicos de la sesión para reproducir video o audio (por ejemplo de Flash Player) mientras dure la sesión.
  5. Cookies de sesión de balanceo de carga, mientras dure la sesión.
  6. Cookies para la personalización del interface - "UI customization cookies" (por ejemplo, selección del idioma), de duración determinada y no pueden estar enlazadas con cookies persistentes como el nombre de usuario.
  7. Cookies de plug-in de redes sociales - "Social plug-in content shared cookies" que identifican a los miembros de una determinada red social, siempre y cuando el usuario no haya realizado un "log-out" de la red social.
En todos los casos se trata, como vemos, de cookies de sesión  o con una duración determinada, aunque el GT29 señala que antes de entrar en cuestiones técnicas, debería analizarse la finalidad de la cookie para determinar si queda o no exenta de la obligación del consentimiento informado.  En cualquier caso, siempre será necesario obtener el consentimiento informado cuando se trate de cookies de terceros.

En relación al segundo criterio, el GT29 señala que es importante analizar lo que es "estrictamente necesario" siempre desde el punto de vista del usuario, no del proveedor de servicios.

jueves, 17 de mayo de 2012

Cuidado, Pietro Paolo ¡Cuidado!

Ya sabeis que hace tiempo que ando detrás de un tablet, aunque van pasando las semanas y no acabo de decidirme.  Mientras, cada vez que tengo ocasión aprovecho para probar y trastear cualquier tableta que se cruce en mi camino, así que el otro día estuve un buen rato probando los que tenían expuestos en esa conocida multinacional francesa del ocio y la cultura.


Tablets expuestos en un centro comercial

Estaba entretenido revisando las aplicaciones de uno de los tablets cuando, al pulsar sobre el icono del correo, ¡Zasca! se abre el buzón de Gmail del bueno de Pietro Paolo (el nombre es ficticio, pero el despreocupado usuario tenía un nombre claramente italiano, como Enzo, Francesco o Marco, y un apellido también claramente italiano, como pueden serlo Garibaldi, Rossi o Antonietti).

A mí, se me hace impensable que alguien consulte su correo personal en un ordenador de prueba de unos grandes almacenes, pero encima que cuando se vaya deje el equipo sin preocuparse de cerrar la sesión “es de ser inútiles, eh?” [sic].

Por supuesto,  no accedí a ninguno de los correos del italiano, pero estaba todo ahí, al alcance de cualquiera, y supongo que no hace falta que os cuente lo que se puede llegar a hacer teniendo acceso a una sesión iniciada en Google, ¿no?

En estos casos, siempre hago la misma reflexión: los que nos dedicamos a la seguridad informática o a la privacidad damos por consabido determinados conceptos y comportamientos (que forman parte de nuestro día a día) aunque luego la realidad nos demuestra que los usuarios no están lo suficientemente concienciados en estas materias. Para ello, aquí os dejo las recomendaciones de la OSI (Oficina de Seguridad del Internauta) en relación al uso de ordenadores públicos:
Consideraciones a tener en cuenta al utilizar ordenadores públicos

Aprovechando que hoy es el “Día Mundial de la Sociedad de la Información”, más conocido como el “Día de Internet” (http://www.diadeinternet.org) dejo algunos enlaces de iniciativas relacionadas con la concienciación sobre la seguridad y la privacidad en Internet:

Pienso luego clico, campaña dirigida a jóvenes: www.piensoluegoclico.com
Menores OSI, dirigida a los más pequeños: http://menores.osi.es
Protege Tu Información, promovido por ISMS Forum: www.protegetuinformacion.com
A Internet, posa-hi seny! (en catalán), campaña del CESICAT (Centre de Seguretat de la Informació de Catalunya): http://internetambseny.cesicat.cat/

Y, por si mi "amigo" Pietro Paolo lee este post, este es el portal de seguridad Portale Sicurezza (en italiano) promovido por Infostrada: http://www.infostrada.it/it/sicurezza

martes, 27 de marzo de 2012

Privacidad y Protección de Datos Personales (Conferencia UE/EUA)

El 19 de marzo se realizó simultáneamente en Washington y en Bruselas la conferencia de alto nivel "EU Conference: Privacy and Protection of Personal Data" en la que Viviane Reding (Comisaria de Justicia de la UE y Vicepresidenta de la Comisión) y John Bryson (Secretario de Comercio norteamericano) mostraron el compromiso de la Unión Europea y los Estados Unidos para garantizar la protección de datos personales en los intercambios comerciales.

Se trata de un acercamiento con el fin de "reforzar la confianza de los consumidores y promover un crecimiento continuo de la economía global en Internet y la evolución del mercado digital común transatlántico".

En la web de la Comisión Europea se encuentran disponibles los vídeos de las ponencias así como la transcripción de algunas de las intervenciones:


En lo que va de año han sido diversas la iniciativas surgidas a ambos lados del atlántico con el ánimo de reforzar el derecho a la privacidad de los consumidores y usuarios:

martes, 24 de mayo de 2011

Cloud Computing y Protección de Datos Personales

El 19 de mayo, en el marco del I CONGRESO NACIONAL DE PRIVACIDAD organizado por APEP (Asociación Profesional Española de Privacidad), se presentó el documento de trabajo titulado "Computación en la nube y protección de datos personales: Privacidad y Web global, riesgos y recursos para los ciudadanos de la Red" elaborado conjuntamente por la European Privacy Association (EPA) y el Istituto Italiano per la Privacy (IIP).

La presentación corrió a cargo de Paolo Balboni (http://www.paolobalboni.eu/), Director Ejecutivo de la EPA, apoyado por Luca Bolognini y Pietro Paganini del IIP, los cuáles contaron con la colaboración de Cecilia Álvarez, vicepresidenta 3ª de APEP.

El documento es de gran importancia.  En estos momentos, la directiva de referencia en protección de datos, la Directiva 95/49/CE, está en fase de revisión y, sin lugar a dudas, deberá tener en cuenta el impacto de los nuevos paradigmas tecnológicos (Cloud Computing, Redes Sociales, ...) en la privacidad.

La Computación en la Nube es "un modelo que proporciona recursos informáticos bajo demanda (redes, servidores, almacenamiento, aplicaciones y servicios) que pueden ser desplegados rápidamente y de forma deslocalizada".  Una de las ventajas de este modelo es el ahorro de costes (hardware, infraestructuras, personal, mantenimiento, consumo energético).  Según un informe del Centre for Economics and Business Research, la computación en la nube ahorraría £645bn (billones de libras) a la economía europea en los próximos 5 años.

Otra de las ventajas del Cloud Computing es que, con el fin de optimizar el rendimiento de los recursos informáticos, los datos pueden ser rápidamente transferidos de un Datacenter a otro, situación que entraría en conflicto con las normativas europeas de protección de datos por lo que respecta a la transferencia de datos personales a terceros países.  ¿Podemos exigir a un proveedor de servicios de Cloud (CSP) que nos garantice que nuestros datos no saldrán del ambito de la UE?  Pues, en principio, sí, pero con un coste económico: el coste de tener los Datacenters en Europa, de tener personal cualificado, de no poder distribuir las cargas hacia otros servidores o redes fuera de nuestras fronteras, etc.

Los principios de la protección de datos: confidencialidad, integridad y disponibilidad recaen en los proveedores CSP, en su función de Encargados del Tratamiento.  Desde este punto de vista, un Responsable no puede tener un Encargado del Tratamiento que no cumpla unas determinadas medidas de seguridad.  Ver el Dictamen 1/2010 del Grupo de Trabajo del Artículo 29.

En conclusión, según Balboni, "rapidez, escalabilidad, economía y ubicuidad de las informaciones deben conjugarse con exigencias de seguridad, privacidad, acceso y responsabilidad". 

El informe apunta distintas soluciones:
  • Avanzar en los Estándares Internaciones de privacidad según la propuesta surgida en la 31ª Conferencia Internacional de Autoridades de Protección de Datos (Madrid, 2009) e integrar éstos con las leyes nacionales de cada Estado.
  • Apoyar la adopción de Reglas Corporativas Vinculantes (Binding Corporate Rules) así como los sistemas de resolución alternativa de disputas (arbitrajes, por ejemplo).
  • Adoptar las soluciones tecnológicas que protejan la privacidad (Privacy by Design).

En definitiva, se augura un brillante futuro para la computación en la nube aunque, ante sus innumerables beneficios hay que contraponer los riegos de privacidad que lleva asociados.  Las autoridades, instituciones y los propios proveedores del servicio deben establecer conjuntamente las reglas para que, en este modelo,  queden garantizados los derechos de protección de datos y privacidad de los ciudadanos.

sábado, 14 de mayo de 2011

Etiquetas RFID para proteger las toallas de los hoteles

Me ha parecido curioso este artículo que, el gurú de la seguridad, Bruce Schneier ha publicado hoy en su blog. Más aún cuando el Grupo de Trabajo del Artículo 29 (GT 29) acaba de elaborar el dictamen 9/2011 sobre la Evaluación del Impacto sobre la Protección de Datos y la Intimidad en las Aplicaciones Basadas en RFID. Las toallas nos delatarán.

Esta es una traducción libre. Aquí tenéis el link al original en su blog (http://www.schneier.com/)


Etiquetas RFID para proteger las toallas de los hoteles
(por Bruce Schneier)

El hurto de toallas de hotel no es, ciertamente, un gran problema en el esquema de los problemas mundiales, aunque puede suponer elevados costes para los hoteles.  Si bien la conciencia moral evita que la mayoría de personas se lleven las toallas de un hotel, estos establecimientos suelen incluir su nombre o logo en las toallas, lo que suele funcionar como un sistema de seguridad reputacional: no queremos que nuestros amigos vean toallas robadas en el baño de nuestra casa,  No obstante, a veces se consigue el efecto contrario: gente que se lleva toallas y otros objetos personalizados del hotel a modo de souvenir.
 
Es cierto que va contra la ley apoderarse de las toallas de un hotel, pero salvo en casos de robo a gran escala, la justicia no perseguirá a nadie por ello (aunque esto no es cierto en todos los países, en 2010, una mujer fue condenada a tres meses de prisión por llevarse dos toallas y una plancha de un hotel en Nigeria).  La cuestión es que desaparecen más toallas de las que el hotel desearía y, para hoteles y resorts de gran categoría, estas toallas tienen un coste elevado.
 
Lo único que puede hacer el hotel es implementar sus propias medidas de seguridad.  Un sistema, que cada vez es más habitual, consiste en fijar precios para las toallas y otros complementos (suele ser muy común para los albornoces) y cargar el importe de éstos si, en el momento del checkout cliente, no están en la habitación.  Esto no siempre funciona, porque -por ejemplo- en los hoteles con piscina pueden quedar toallas de la habitación en la piscina y viceversa.
 
Un sistema más reciente, aunque aún no muy extendido, es insertar etiquetas RFID lavables en las toallas para poder realizar su seguimiento.  La única referencia que tenemos al respecto es la de un hotel de Hawai que asegura haber reducido el robo de toallas de 4.000 al mes a 750, lo que supone un ahorro de 16.000 dólares mensuales.
 
Considerando que las etiquetas RFID son relativamente económicas y pueden durar bastante, parecen una medida de seguridad bastante aceptable.