Dictamen europeo sobre técnicas de anonimización

El 10 de abril de 2014, el Grupo de Trabajo sobre Protección de Datos del Artículo 29 (WP29) de la Comisión Europea publicó el documento "Anonymisation Techniques onto the web" que fue adoptado como "Opinion 05/2014 on Anonymisation Techniques".  Ahora tenemos disponible la versión es español de este documento.

Dictamen 05/2014 - Español

La justificación de este informe es muy interesante (y acertada, desde mi punto de vista), ya que parte del concepto de «datos abiertos» y de los beneficios que la liberación y reutilización de datos pueden aportar a los ciudadanos y a la sociedad, para reconocer la importancia de aplicar las técnicas de anonimización adecuadas que garanticen un tratamiento correcto de los datos de carácter personal.

Segun la normativa europea de protección de datos, la anonimización "es el resultado de un tratamiento de los datos personales realizado para evitar de forma irreversible su identificación".  La cuestión principal es, aquí, que el proceso debe ser «irreversible», es decir que para cualquier fichero o tratamiento de datos sea imposible determinar la identidad del interesado.

Acceso diercto al documento [PDF, 42 pags] en la web de la Comisión Europea

Aunque la legislación europea en ningún momento establece cuáles son las técnicas de anonimización que deben emplearse, el dictamen del WP29 propone algunas técnicas y métodos teniendo en cuenta los tres riesgos clave de la anonimización:

• Singularización: posibilidad de extraer registros que identifiquen a personas.
• Vinculabilidad: capacidad de vincular dos registros distintos que están asignados a la misma persona /grupo de personas (correlación).
• Inferencia: posibilidad de deducir el valor de un atributo a partir de otros.

El Grupo de Trabajo advierte que no hay ninguna técnica infalible, aunque "una estrategia que prevenga estos tres riesgos tendrá la solidez necesaria para impedir la reidentificación de los datos mediante los medios más probables y razonables".  En el informe se describen las ventajas e inconvenientes de cada una de las técnicas, enumerando al final una serie de «buenas prácticas» para su implementación.  La clasificación de técnicas de anonimización realizada es la siguiente:

• Basadas en Aleatorización:
• Adición de ruído
• Permutación
• Privacidad diferencial
• Basadas en generalización:
• Agregación y anonimato k
• Diversidad l, proximidad t

Finalmente, dedica un apartado a analizar las técnicas de seudoanonimización, mostrando sus vulnerabilidades y concluyendo que, si bien puede tratarse de una medida de seguridad útil (cifrado de clave secreta, hash, etc.), no puede considerarse un método de anonimización válido.

El dictamen incluye un Anexo técnico de 12 páginas titulado "Manual de técnicas de anonimización" donde se describe con más detalle cada una de las técnicas citadas, con interesantes ejemplos y casos prácticos.  Muy útil para quienes no tienen un conocimiento previo en esta materia.

El WP29 insiste es que "han de definirse con claridad los requisitos previos (el contexto) y los objetivos del proceso para obtener la anonimización deseada al mismo tiempo que se generan datos útiles" al tiempo que aclara que "la solución óptima debe decidirse caso por caso y puede conllevar la combinación de diversas técnicas".

Retomando el enfoque práctico desde una perspectiva de la protección de datos personales, podemos concluir que un fichero resultante de un adecuado proceso de anonimización (con las garantías suficientes de que no se pueda identificar a los interesados) quedaría excluido del ámbito de aplicación de la Directiva 95/46/CE sobre protección de datos de carácter personal, sin embargo "aunque los datos anonimizados se encuentren fuera del alcance de la legislación sobre protección de datos, es posible que los interesados tengan derecho a protección en virtud de otras disposiciones legales (como las que protegen la confidencialidad de las comunicaciones)"

Contenido completo del "Dictamen sobre Anonimización" descargable aquí [PDF, 42 págs.]: 

http://ec.europa.eu/justice/data-protection/article-29/documentation/opinion-recommendation/files/2014/wp216_es.pdf

La AEPD abre un procedimiento sancionador a Google por su política de privacidad

En octubre de 2012, la Agencia Española de Protección de Datos (AEPD) publicó, en nota de prensa, el documento "Política de Privacidad de Google.  Principales conclusiones y recomendaciones" que recogía las recomendaciones que el Grupo de Trabajo del Artículo 29 (GT29) transmitía a Google tras analizar la modificación de las políticas de privacidad de todos sus servicios en marzo de 2012.

Ante la nula respuesta de Google a estas recomendaciones (le otorgaron un plazo de 4 meses), las Autoridades Europeas de Protección de Datos, con el CNIL francés a la cabeza y el apoyo de Alemania, Italia, Holanda, Reino Unido y España han decidido actuar haciendo uso de sus competencias sancionadoras en sus respectivos países.

En España, la AEPD ayer (20/06/203) publicó una nota de prensa en la que informaba de la apertura de un expediente sancionador a Google por la presunta comisión de 5 infracciones graves y una leve, sancionables con multas de 40.001 a 300.000 euros cada una de las graves y de 900 a 40.001 la leve (sin duda "calderilla" para Google).

Las posibles infracciones serían por no informar claramente sobre el uso de los datos que recoge, por tratamiento de datos más allá de la finalidad para la que se recogieron, tratamiento desproporcionado o conservación de los mismos durante un periodo de tiempo indeterminado o injustificado.

A continuación transcribo el contenido de la nota de prensa de la AEPD. 

Documento original en el portal de la AEPD: http://www.agpd.es/portalwebAGPD/revista_prensa/revista_prensa/2013/notas_prensa/common/junio/130620_NP_PS_GOOGLE.pdf

Nota informativa de 20 de junio de 2013

La AEPD abre un procedimiento sancionador a Google por su política de privacidad

• El inicio de este procedimiento se produce tras finalizar las investigaciones previas realizadas por la AEPD, que han permitido constatar la existencia de varios indicios de infracción
• La falta de información clara, la ausencia de finalidades específicas para varios servicios, el tratamiento desproporcionado de los datos de los usuarios o la conservación de datos por tiempo indeterminado o injustificado son algunos de ellos
• Esta acción tiene lugar en el marco de una actuación coordinada con las Autoridades de Protección de Datos de Alemania, Francia, Holanda, Italia y Reino Unido

Nuevas guías de la Agencia Española de Protección de Datos

El pasado viernes, 26 de abril, se celebró en Madrid la "5ª Sesión Anual Abierta de la AEPD" en cuyo programa ya se anunciaba la presentación de la guía y directrices sobre cloud computing, y la inminente publicación de una nueva guía sobre la regulación de las cookies.

Así fue.  La guía sobre cloud computing se divide en dos documentos, el primero dirigido a los clientes que contraten servicios en la nube ("Guía para clientes que contraten servicios de cloud computing") y el segundo dirigido a los proveedores que prestan dichos servicios ("Orientaciones para prestadores de servicios de cloud computing").

Enlaces a las guías (PDF) desde la web de la AEPD:

• Guía para clientes que contraten servicios de cloud computing
• Orientaciones para prestadores de servicios de cloud computing

Sobre la guía para clientes, en palabras del Director de la Agencia, José Luis Rodríguez Álvarez, "hemos optado por una guía eminentemente práctica que, sin prescindir del rigor técnico, facilite incluso a los no iniciados el conocimiento sobre qué es el cloud computing, cuáles son los elementos de riesgo que se deben tener en cuenta y qué garantías se deben recabar y asegurar en el momento de la contratación".

En el mismo acto se anunció que el lunes 29 de abril se presentaría la "Guía sobre el uso de las cookies" que pretende "ofrecer orientaciones sobre cómo cumplir con las obligaciones previstas en el apartado segundo del artículo 22 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico (LSSI), tras su modificación por el Real Decreto-Ley 13/2012, de 30 de marzo".

Enlace a la guía (PDF) desde la web de la AEPD:

• Guía sobre el uso de las cookies

En la guía se hace referencia al dictámen 4/2012 del Grupo de Trabajo del Artículo 29, al que -en su momento- dedicamos un post en este blog.

Día Europeo de la Protección de Datos

Hoy, 28 de enero, se celebra el Día Europeo de la Protección de Datos.  47 países, así como diversas instituciones y organismos celebran este día organizando diversos actos para promover y concienciar sobre el derecho a la protección de datos.  La fecha conmemora la aprobación del Convenio (108) del Consejo de Europa, para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, de 28 de enero de 1981.

La Agencia Española de Protección de Datos (AEPD) ha organizado para hoy una jornada conmemorativa de los "20 Años de Protección de Datos en España", en la que participan diversas personalidades y expertos que representan a todos los agentes que han participado activamente en el desarrollo de este derecho fundamental en nuestra sociedad (ver programa).

APEP, la Asociación Profesional Española de Privacidad, que participa en la jornada de la AEPD, ha publicado en su web una serie de interesantes artículos sobre los retos y oportunidades de la protección de datos personales.  Los artículos, firmados por los miembros de su Junta Directiva, pueden consultarse aquí:

• Artículos APEP en el Día PD 2013: http://www.apep.es/category/dia-pd-2013/

Listado de artículos:

• Día de la Protección de Datos en Europa: retos para los profesionales de la privacidad (Ricard Martínez, Presidente APEP).
• Tratamientos de datos de menores.  Un reto presente y futuro para los profesionales de la privacidad (Miguel Geijo, Junta Directiva).
• La reciente jurisprudencia del tribunal constitucional sobre el derecho fundamental a la protección de datos (Cecilia Álvarez, Vicepresidenta APEP).
• La protección de datos personales en las administraciones públicas: retos (Carmen Sánchez, Tesorera Junta Directiva).
• Un año conociendo al Delegado de Protección de Datos (Marcos Mª Judel, Junta Directiva).
• Profesionales del Derecho de la Privacidad: futuro, retos y oportunidades (Jordi Saldaña, Junta Directiva).
• Las certificaciones en privacidad (Eduard Chaveli, Vicepresidente y Carmen Sánchez, Tesorera).
• …veinte años no es nada. Tango, arrebato y malevaje (Javier Peris, Consejero Delegado APEP).
• La protección de datos personales: un reto y una oportunidad (Cristina Atienza, Junta Directiva).
• Cookies y su nueva regulación (Santiago Bermell, Secretario APEP)

Consulta los artículos en la web de APEP:

http://www.apep.es/category/dia-pd-2013/

Opinión del Supervisor Europeo de Protección de Datos sobre Cloud Computing

El 27 de septiembre, la Comisión Europea publicó el Informe "Liberar el potencial  de la computación en la nube en Europa" [sic] (Unleashing the Potential of Cloud Computing in Europe) donde se expone la estrategia de la Comisión para acelerar e incrementar el uso del cloud computing en Europa.

Como respuesta a este informe el Supervisor Europeo de Protección de Datos (EDPS), por iniciativa propia, acaba de publicar una Opinión sobre la relación entre el cloud computing y la protección de datos personales, aunque no se limita exclusivamente al contenido del citado Informe.  Conviene recordar que la Comisión consultó "informalmente" al EDPS antes de publicar el Informe y que algunos de esos comentarios "informales" fueron tomados en consideración en el Informe final.

(Enlaces a los documentos al final del post)

La Opinión se centra en tres aspectos principales:

• Destacar la importancia de la privacidad y la protección de datos en las iniciativas actuales de entornos en la nube (en particular, que el nivel de protección en la nube no debe ser inferior al que le correspondería en cualquier otro contexto de tratamiento de datos).
• Los retos que derivan para determinar sin ambigüedades las responsabilidades que corresponden a cada una de las partes implicadas.
• Identificar que acciones serán necesarias, por parte de los estamentos europeos, para dar apoyo al despliegue de los servicios en la nube en Europa (guías, estándares, certificaciones, modelos contractuales, etc).

Utilización del Cloud Computing por los Despachos de Abogados

Mediante nota de prensa del 14/06/2012, la AEPD (Agencia Española de Protección de Datos) y el CGAE (Consejo General de la Abogacía Española) nos comunican la presentación del Informe "Utilización del cloud computing por los despachos de abogados y protección de datos de carácter personal", elaborado por ambas instituciones.

El informe establece orientaciones y aclara conceptos para que los despachos de abogados puedan elegir el servicio de Cloud Computing. También establece los requisitos que se deben observar a la hora de contratar un servicio de estas características en su gestión como profesionales.

El secreto profesional es uno de los principios esenciales de un despacho de abogados, y la protección y seguridad de los datos une exigencia legal que se debe cumplir y garantizar.  El informe desarrolla los tres aspectos claves en la contratación de servicios de Cloud:

• La responsabilidad del despacho sobre el tratamiento de los datos y la normativa y jurisdicción aplicable.
• La seguridad y confidencialidad de los datos.
• Aspectos esenciales del contrato de servicios que debe firmarse, tanto desde el punto de vista técnico como jurídico.

El Informe (de 19 páginas) está dividido en 5 capítulos:

1. Introducción. El concepto del Cloud Computing y los servicios para los despachos de Abogados
2. Aplicación de la normativa sobre protección de datos
3. Territorialidad y jurisdicción aplicable
4. La seguridad y confidencialidad de los datos: el secreto profesional
5. Aspectos esenciales del contrato de servicios que debe firmarse, tanto desde el punto de vista técnico como jurídico

DESCARGAR el informe:
Descarga del Informe "Utilización del Cloud Computing por los despachos de abogados"
Descarga del Díptico "Todo lo que siempre quiso saber sobre el Cloud Computing"

APEP manifiesta su malestar ante el Convenio de asesoramiento en protección de datos suscrito por la Federación de Municipios de Castilla la Mancha

APEP (Asociación Profesional Española de Privacidad) ha mostrado su rechazo frente al anuncio del Convenio de asesoramiento en materia de LOPD que ha firmado la Federación de Municipios y Provincias de Castilla-La Mancha.  Este desafortunado convenio alienta la práctica fraudulenta conocida como "LOPD a Coste Cero" que desde la Asociación hace tiempo venimos denunciando.

Bajo esta denominación se incluyen las prácticas de ofrecer servicios gratuitos de implantación de LOPD,  financiados con las subvenciones que ofrece la Fundación Tripartita para la formación de los trabajadores.  La propia Fundación Tripartita reconoció estos hechos como constitutivos de fraude (Ver nota informativa de la Fundación Tripartita del 14/04/2010).

Tras conocerse la notícia de la firma del convenio, en la que se hace referencia a la implantación gratuita de la LOPD, APEP publicó una "Carta abierta a la Federación de Municipios y Provincias de Castilla-La Mancha y la Fundación Tripartita" (12/06/2012) mostrando su preocupación por la licitud del objeto del convenio:

Estimados señores:

Leemos con enorme interés la nota de prensa publicada por ABC, así como la nota en la propia web de la Federación, en relación con el convenio de asesoramiento en protección de datos con una conocida empresa. Es positivo que empresas y administraciones se acerquen y hay que felicitarse por ello. Sin embargo, una frase citada entrecomillada, y por tanto no imputable al periodista, nos ha llamado poderosamente la atención: «y todo ello, a coste cero». Bajo ese epígrafe “LOPD a coste cero” se han desarrollado actividades de asesoramiento y consultoría “disfrazadas” de formación y con cargo a la Fundación Tripartita, prácticas que esta Fundación ha considerado fuera de los fines por los cuales se conceden las subvenciones. El expuesto en su comunicado ¿es otro “coste cero” distinto de aquel contra el que la Fundación Tripartita ha advertido en dos ocasiones (http://www.fundaciontripartita.org/index.asp?MP=4&MS=105&TR=A&IDR=11&id=458 y http://www.fundaciontripartita.org/index.asp?MP=4&MS=105&TR=A&IDR=11&id=576)?

(...)

Desde APEP, y en base a experiencias anteriores, rogamos se verifique si existe algún problema de legalidad en el citado Convenio. En caso positivo, los españoles que contribuyen con sus impuestos a la financiación de la formación laboral en España merecen alguna actuación y alguna explicación. 

  

(>> Leer el contenido completo de la "carta abierta" de la APEP)

El 15 de junio la APEP publicó la Nota de Prensa a la que hace referencia el título de este post:

"APEP manifiesta su malestar ante el Convenio de asesoramiento en protección de datos suscrito por la Federación de Municipios de Castilla la Mancha":

Nota de Prensa

Un gran número de asociados ponen en conocimiento los hechos ante la Fundación Tripartita.

El anuncio público de la firma de un Convenio celebrado por la Federación de Municipios y Provincias de Castilla la Mancha en relación con el asesoramiento en materia de LOPD ha generado una reacción de rechazo entre los profesionales de la privacidad en España.

Esta reacción sin duda se debe a que en su denominación se habla de una implantación gratuita: “Convenio de Colaboración entre la Federación de Municipios y Provincias de Castilla-La Mancha y Professional Group Conversia, SLU, sobre la implantación gratuita de la Ley de Protección de Datos en las Entidades Locales de Castilla-La Mancha”

(...)

Debe destacarse que, de acuerdo con el Real Decreto Legislativo 3/2011, de 14 de noviembre, por el que se aprueba el texto refundido de la Ley de Contratos del Sector Público, tanto cada Ayuntamiento como la Federación, esta en su consideración de poder adjudicador, se encuentran sometidos a estrictas normas de contratación cuyos objetivos son facilitar la libre concurrencia de ofertas con plena publicidad y en condiciones de igualdad para los licitadores. Cabe preguntarse si estos objetivos se logran adecuadamente con una recomendación recompensada con la gratuidad de un asesoramiento LOPD con un alcance indeterminado.

APEP se abstiene de calificar jurídicamente estos hechos, sin perjuicio de ponerlos en conocimiento de la sociedad y, en su caso, de las autoridades que pudieran ser competentes. 

(>> Leer el contenido completo de la "nota de prensa" de la APEP)

Exención de consentimiento en las cookies

El Grupo de Trabajo del Artículo 29 (Article 29 Working Party) - GT29 -, que engloba a las Autoridades Europeas de Protección de Datos, ha publicado hoy un Comunicado de Prensa para presentar su opinión sobre la exención del consentimiento informado en las «cookies».

El documento (en inglés) "Opinion 04/2012 on Cookie Consent Exemption" está disponible aquí:

http://ec.europa.eu/justice/data-protection/article-29/documentation/opinion-recommendation/files/2012/wp194_en.pdf

El Artículo 5.3 de la Directiva 2002/58/CE, revisado por la Directiva 2009/136/CE (conocida como la "Directiva de «cookies»") establecía el requisito del Consentimiento Informado, antes de que los datos sean tratados en el equipo del usuario.  En España, este apartado se recogíó en la reciente modificación de la LSSI del pasado 30 de marzo.

En virtud de ese artículo, se establecía la exención del consentimiento informado al cumplirse alguno de estos dos criterios:

• Cuando la cookie sea utilizada "al solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas".
• Cuando la cookie resulte "estrictamente necesaria para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario".

El Documento publicado por el GT29 analiza con detenimiento estos dos requisitos para determinar si una cookie está exenta o no del consentimiento informado.

Después de un análisis de las características de una cookie y de los diferentes escenarios posibles, concluye que las siguientes cookies pueden estar exentas de la obligación del consentimiento informado, bajo determinadas condiciones y siempre que no sean utilizadas para otros fines.

1. "User input cookies" (cookies de sesión utilizadas típicamente cuando el usuario rellena un formulario), son temporales y se eliminan al finalizar la sesión.
2. Cookies de autenticación, para la autenticación del usuario en un sitio web y únicamente mientras dure la sesión (no cuando se trate de cookies persistentes).
3. Cookies de seguridad, utilizadas para prevenir abusos en la autenticación (por ejemplo, detectar repetidos intentos fallidos de validación), siempre que tengan una duración limitada y no se refiera a servicios no solicitados por el usuario.
4. Cookies de sesión de contenido multimedia, contienen datos técnicos de la sesión para reproducir video o audio (por ejemplo de Flash Player) mientras dure la sesión.
5. Cookies de sesión de balanceo de carga, mientras dure la sesión.
6. Cookies para la personalización del interface - "UI customization cookies" (por ejemplo, selección del idioma), de duración determinada y no pueden estar enlazadas con cookies persistentes como el nombre de usuario.
7. Cookies de plug-in de redes sociales - "Social plug-in content shared cookies" que identifican a los miembros de una determinada red social, siempre y cuando el usuario no haya realizado un "log-out" de la red social.

En todos los casos se trata, como vemos, de cookies de sesión  o con una duración determinada, aunque el GT29 señala que antes de entrar en cuestiones técnicas, debería analizarse la finalidad de la cookie para determinar si queda o no exenta de la obligación del consentimiento informado.  En cualquier caso, siempre será necesario obtener el consentimiento informado cuando se trate de cookies de terceros.

En relación al segundo criterio, el GT29 señala que es importante analizar lo que es "estrictamente necesario" siempre desde el punto de vista del usuario, no del proveedor de servicios.

Privacidad y Protección de Datos Personales (Conferencia UE/EUA)

El 19 de marzo se realizó simultáneamente en Washington y en Bruselas la conferencia de alto nivel "EU Conference: Privacy and Protection of Personal Data" en la que Viviane Reding (Comisaria de Justicia de la UE y Vicepresidenta de la Comisión) y John Bryson (Secretario de Comercio norteamericano) mostraron el compromiso de la Unión Europea y los Estados Unidos para garantizar la protección de datos personales en los intercambios comerciales.

Se trata de un acercamiento con el fin de "reforzar la confianza de los consumidores y promover un crecimiento continuo de la economía global en Internet y la evolución del mercado digital común transatlántico".

En la web de la Comisión Europea se encuentran disponibles los vídeos de las ponencias así como la transcripción de algunas de las intervenciones:

http://ec.europa.eu/justice/events/eu-us-data/index.html

En lo que va de año han sido diversas la iniciativas surgidas a ambos lados del atlántico con el ánimo de reforzar el derecho a la privacidad de los consumidores y usuarios:

Propuesta de reforma de la normativa de Protección de Datos en la Unión Europea

Viviane Reding, Comisaria de Justicia de la UE y Vicepresidenta de la Comisión, ha presentado hoy la propuesta de reforma general de la normativa de protección de datos en la Unión Europea.

La normativa actual fue aprobada en 1995 (Directiva 95/45/CE del Parlamento Europeo y del Consejo), cuando -según palabras de Viviane Reding- "menos de 1% de los europeos usaba Internet".  La nueva propuesta incluye, además de la Directiva, un Reglamento que sería de común aplicación en toda la Unión Europea.

La Comisión ha creado un mini-site para informar sobre la necesidad de esta reforma:

http://ec.europa.eu/justice/data-protection/minisite

(más información extendida: http://ec.europa.eu/justice/newsroom/data-protection/news/120125_en.htm)

Según la Nota de Prensa publicada hoy estos son los cambios esenciales de la reforma:

• Se impondrá un conjunto único de normas sobre protección de datos válido en toda la UE y se eliminarán requisitos administrativos innecesarios como los requisitos de notificación para las empresas. Esto les supondrá un ahorro cercano a 2 300 millones EUR anuales.
• En lugar de la disposición actual que obliga a todas las empresas a notificar todas las actividades de protección de datos a los supervisores de protección de datos (requisito que ha generado a las empresas trámites y costes por un valor de 130 millones EUR anuales) el Reglamento intensifica la responsabilidad y la obligación de rendir cuentas de todos aquellos que procesen datos personales.