Monografía sobre "Privacidad y nuevas tecnologías" en Novática

Hace unas semanas recibí en casa el número 217 de la revista Novática.  Como socio de ATI (Asociación de Técnicos de Informática) recibo todas las entregas de Novática, siempre con artículos de gran calidad y de interesante lectura.  En esta ocasión, me ha hecho especial ilusión recibir la revista, no solo porque el tema central del número "Privacidad y nuevas tecnologías" sea de gran interés para mí, sino porque en la monografía se ha incluido un artículo mío ;-) 

 

Quiero agradecer, desde aquí, al coordinador de la revista, Llorenç Pagés, y a los editores invitados de la monografía sobre privacidad, Gemma Galdón y Gus Hosein, que hayan contado conmigo y hayan incluido mi articulo "Privacidad en los escáneres corporales en los aeropuertos de la U.E." en la misma.

 

Novática, fundada en 1975 y decana de la prensa informática española, es la revista de la Asociación de Técnicos de Informática, organización que edita también la revista REICIS (Revista Española de Innovación, Calidad e Ingeniería del Software).

 

 

(Portada del nº 217 de Novática, "La casa durmiente" - Concha Arias Pérez © 2012 ATI)

 

El contenido completo de Novática 217 está disponible en la Intranet de ATI accesible solo para socios, mientras que en la parte pública se pueden consultar los resúmenes y el bloque editorial:
http://www.ati.es/novatica/2012/217/nv217sum.html

El índice de la monografía sobre "Privacidad y nuevas tecnologías" es el siguiente:

Presentación. Privacidad y nuevas tecnologías: redes sociales, datos personales y tecnologías de vigilancia ante el reto del respeto a los derechos de las personas Gemma Galdon Clavell, Gus Hosein [contenido completo en formato PDF] La protección de datos en Europa y la inquietante presencia de la privacidad Gloria González Fuster, Rocco Bellanova [resumen] Tecnología de vigilancia y controles territoriales: Gobernanza y el pulso de la privacidad Darren Palmer, Ian Warren [resumen] Google: Navegando entre la seguridad, el derecho de información y la privacidad Cristina Blasi Casagran, Eduard Blasi Casagran [resumen] Rastros humanos en Internet: privacidad y seguimiento online en sitios web populares del Brasil Fernanda Glória Bruno, Liliane da Costa Nascimento, Rodrigo José Firmino, Marta M. Kanashiro, Rafael Evangelista [resumen] Las redes sociales y la tutela de la privacidad. Cuando la privacidad no se contempla como un derecho Massimo Ragnedda [resumen] Privacidad en los escáneres corporales en los aeropuertos de la U.E. Joan Figueras Tugas [resumen]

El contenido completo del artículo "Privacidad en los escáneres corporales de la U.E." en el próximo post.

BYOD (o TSPD "Traiga su propio dispositivo")

A raíz de uno de los encuentros Picnic4Working organizados por ATI Catalunya, ya cité en un post anterior el concepto de consumerización (fenómeno por el cual las nuevas tecnologías de la información surgen primero en el mercado de consumo y después se implantan en las empresas). Ahora, con la consumerización nos ha llegado un nuevo concepto: BYOD (Bring your own device), al que aquí podríamos llamar TSPD (Traiga su propio dispositivo) ¿no?.

Recuerdo reuniones para redactar las políticas de seguridad de las empresas en las que era usual incluir una cláusula mediante la cual se prohibía el uso (o la conexión) de cualquier dispositivo ajeno a la compañía. “- Por motivos de seguridad” intentaba explicarles, aunque Dirección solo viera en ello una manera de impedir que los empleados utilizaran esos recursos para cuestiones extralaborales. No les negaré sus razones, ya que en una ocasión recibí una petición de un usuario (formal, eso sí, siguiendo todo el circuito) solicitando acceso a la Wi-Fi corporativa ¡para la PSP!.

Pues bien, actualmente en el mismo tipo de reuniones se genera un controvertido debate sobre si autorizar a los usuarios a utilizar sus propios dispositivos (generalmente smartphones, tablets y notebooks). Aunque con conclusiones diversas - según la tipología de la empresa - observo una tendencia generalizada a permitir el uso de smartphones y tablets personales. Eso, claro está, para los que han debatido esta cuestión; muchas empresas ni siquiera se lo han planteado y de repente se encuentran con que los usuarios están utilizando sus propios BYOD sin ningún control.

#limpiandomisfavoritos 3

Esta es una recopilación de enlaces a vídeos de eventos, cursos o jornadas que me han interesado.  Espero que os puedan ser de ayuda.

SEGURIDAD:

Una interesantísima charla de Andrés Velázquez (www.crimendigital.com) en la Campus Party México sobre "Cómputo Forense Reloaded (porque todo deja rastro)".

http://youtu.be/fZ2kPqtFBEs

Desde GlobbTV podemos revisionar la mesa redonda moderada por Security By Default en la NoConName que trató el tema ¿Se toman en serio la seguridad las empresas?

http://www.globbtv.com/49/microsite/1535/no-con-name-se-toman-en-serio-la-seguridad-las-empresas

En marzo de 2012 asistí al congreso de seguridad informática /RootedCON.  En su página web han publicado los vídeos de las ponencias:

http://www.rootedcon.es/index.php/videos-de-rooted-con-2012/

INTECO organizó el seminario técnico "Navega a través del interior del DNIe" de forma presencial y on-line.  El webcast del seminario ya está disponible:

http://zonatic05.webcastlive.es/

DERECHO Y TIC:

El 29 de junio de 2012 se celebro el Digital Law World Congress (http://www.digitallawworldcongress.com/) en el ICAB (Barcelona).  En la web de Nubbius disponemos de los vídeos de las ponencias:

http://nubbius.com/blog/digital-law-world-congress


Y, para finalizar, en la web de la AEPD (www.agpd.es) están disponibles los vídeos de la 4º Sesión Anual Abierta de la Agencia Española de Protección de Datos, celebrada en Madrid en enero de 2012:

http://www.agpd.es/portalwebAGPD/jornadas/4_sesion_abierta_2011/index-ides-idphp.php

Utilización del Cloud Computing por los Despachos de Abogados

Mediante nota de prensa del 14/06/2012, la AEPD (Agencia Española de Protección de Datos) y el CGAE (Consejo General de la Abogacía Española) nos comunican la presentación del Informe "Utilización del cloud computing por los despachos de abogados y protección de datos de carácter personal", elaborado por ambas instituciones.

El informe establece orientaciones y aclara conceptos para que los despachos de abogados puedan elegir el servicio de Cloud Computing. También establece los requisitos que se deben observar a la hora de contratar un servicio de estas características en su gestión como profesionales.

El secreto profesional es uno de los principios esenciales de un despacho de abogados, y la protección y seguridad de los datos une exigencia legal que se debe cumplir y garantizar.  El informe desarrolla los tres aspectos claves en la contratación de servicios de Cloud:

• La responsabilidad del despacho sobre el tratamiento de los datos y la normativa y jurisdicción aplicable.
• La seguridad y confidencialidad de los datos.
• Aspectos esenciales del contrato de servicios que debe firmarse, tanto desde el punto de vista técnico como jurídico.

El Informe (de 19 páginas) está dividido en 5 capítulos:

1. Introducción. El concepto del Cloud Computing y los servicios para los despachos de Abogados
2. Aplicación de la normativa sobre protección de datos
3. Territorialidad y jurisdicción aplicable
4. La seguridad y confidencialidad de los datos: el secreto profesional
5. Aspectos esenciales del contrato de servicios que debe firmarse, tanto desde el punto de vista técnico como jurídico

DESCARGAR el informe:
Descarga del Informe "Utilización del Cloud Computing por los despachos de abogados"
Descarga del Díptico "Todo lo que siempre quiso saber sobre el Cloud Computing"

APEP manifiesta su malestar ante el Convenio de asesoramiento en protección de datos suscrito por la Federación de Municipios de Castilla la Mancha

APEP (Asociación Profesional Española de Privacidad) ha mostrado su rechazo frente al anuncio del Convenio de asesoramiento en materia de LOPD que ha firmado la Federación de Municipios y Provincias de Castilla-La Mancha.  Este desafortunado convenio alienta la práctica fraudulenta conocida como "LOPD a Coste Cero" que desde la Asociación hace tiempo venimos denunciando.

Bajo esta denominación se incluyen las prácticas de ofrecer servicios gratuitos de implantación de LOPD,  financiados con las subvenciones que ofrece la Fundación Tripartita para la formación de los trabajadores.  La propia Fundación Tripartita reconoció estos hechos como constitutivos de fraude (Ver nota informativa de la Fundación Tripartita del 14/04/2010).

Tras conocerse la notícia de la firma del convenio, en la que se hace referencia a la implantación gratuita de la LOPD, APEP publicó una "Carta abierta a la Federación de Municipios y Provincias de Castilla-La Mancha y la Fundación Tripartita" (12/06/2012) mostrando su preocupación por la licitud del objeto del convenio:

Estimados señores:

Leemos con enorme interés la nota de prensa publicada por ABC, así como la nota en la propia web de la Federación, en relación con el convenio de asesoramiento en protección de datos con una conocida empresa. Es positivo que empresas y administraciones se acerquen y hay que felicitarse por ello. Sin embargo, una frase citada entrecomillada, y por tanto no imputable al periodista, nos ha llamado poderosamente la atención: «y todo ello, a coste cero». Bajo ese epígrafe “LOPD a coste cero” se han desarrollado actividades de asesoramiento y consultoría “disfrazadas” de formación y con cargo a la Fundación Tripartita, prácticas que esta Fundación ha considerado fuera de los fines por los cuales se conceden las subvenciones. El expuesto en su comunicado ¿es otro “coste cero” distinto de aquel contra el que la Fundación Tripartita ha advertido en dos ocasiones (http://www.fundaciontripartita.org/index.asp?MP=4&MS=105&TR=A&IDR=11&id=458 y http://www.fundaciontripartita.org/index.asp?MP=4&MS=105&TR=A&IDR=11&id=576)?

(...)

Desde APEP, y en base a experiencias anteriores, rogamos se verifique si existe algún problema de legalidad en el citado Convenio. En caso positivo, los españoles que contribuyen con sus impuestos a la financiación de la formación laboral en España merecen alguna actuación y alguna explicación. 

  

(>> Leer el contenido completo de la "carta abierta" de la APEP)

El 15 de junio la APEP publicó la Nota de Prensa a la que hace referencia el título de este post:

"APEP manifiesta su malestar ante el Convenio de asesoramiento en protección de datos suscrito por la Federación de Municipios de Castilla la Mancha":

Nota de Prensa

Un gran número de asociados ponen en conocimiento los hechos ante la Fundación Tripartita.

El anuncio público de la firma de un Convenio celebrado por la Federación de Municipios y Provincias de Castilla la Mancha en relación con el asesoramiento en materia de LOPD ha generado una reacción de rechazo entre los profesionales de la privacidad en España.

Esta reacción sin duda se debe a que en su denominación se habla de una implantación gratuita: “Convenio de Colaboración entre la Federación de Municipios y Provincias de Castilla-La Mancha y Professional Group Conversia, SLU, sobre la implantación gratuita de la Ley de Protección de Datos en las Entidades Locales de Castilla-La Mancha”

(...)

Debe destacarse que, de acuerdo con el Real Decreto Legislativo 3/2011, de 14 de noviembre, por el que se aprueba el texto refundido de la Ley de Contratos del Sector Público, tanto cada Ayuntamiento como la Federación, esta en su consideración de poder adjudicador, se encuentran sometidos a estrictas normas de contratación cuyos objetivos son facilitar la libre concurrencia de ofertas con plena publicidad y en condiciones de igualdad para los licitadores. Cabe preguntarse si estos objetivos se logran adecuadamente con una recomendación recompensada con la gratuidad de un asesoramiento LOPD con un alcance indeterminado.

APEP se abstiene de calificar jurídicamente estos hechos, sin perjuicio de ponerlos en conocimiento de la sociedad y, en su caso, de las autoridades que pudieran ser competentes. 

(>> Leer el contenido completo de la "nota de prensa" de la APEP)

Exención de consentimiento en las cookies

El Grupo de Trabajo del Artículo 29 (Article 29 Working Party) - GT29 -, que engloba a las Autoridades Europeas de Protección de Datos, ha publicado hoy un Comunicado de Prensa para presentar su opinión sobre la exención del consentimiento informado en las «cookies».

El documento (en inglés) "Opinion 04/2012 on Cookie Consent Exemption" está disponible aquí:

http://ec.europa.eu/justice/data-protection/article-29/documentation/opinion-recommendation/files/2012/wp194_en.pdf

El Artículo 5.3 de la Directiva 2002/58/CE, revisado por la Directiva 2009/136/CE (conocida como la "Directiva de «cookies»") establecía el requisito del Consentimiento Informado, antes de que los datos sean tratados en el equipo del usuario.  En España, este apartado se recogíó en la reciente modificación de la LSSI del pasado 30 de marzo.

En virtud de ese artículo, se establecía la exención del consentimiento informado al cumplirse alguno de estos dos criterios:

• Cuando la cookie sea utilizada "al solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas".
• Cuando la cookie resulte "estrictamente necesaria para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario".

El Documento publicado por el GT29 analiza con detenimiento estos dos requisitos para determinar si una cookie está exenta o no del consentimiento informado.

Después de un análisis de las características de una cookie y de los diferentes escenarios posibles, concluye que las siguientes cookies pueden estar exentas de la obligación del consentimiento informado, bajo determinadas condiciones y siempre que no sean utilizadas para otros fines.

1. "User input cookies" (cookies de sesión utilizadas típicamente cuando el usuario rellena un formulario), son temporales y se eliminan al finalizar la sesión.
2. Cookies de autenticación, para la autenticación del usuario en un sitio web y únicamente mientras dure la sesión (no cuando se trate de cookies persistentes).
3. Cookies de seguridad, utilizadas para prevenir abusos en la autenticación (por ejemplo, detectar repetidos intentos fallidos de validación), siempre que tengan una duración limitada y no se refiera a servicios no solicitados por el usuario.
4. Cookies de sesión de contenido multimedia, contienen datos técnicos de la sesión para reproducir video o audio (por ejemplo de Flash Player) mientras dure la sesión.
5. Cookies de sesión de balanceo de carga, mientras dure la sesión.
6. Cookies para la personalización del interface - "UI customization cookies" (por ejemplo, selección del idioma), de duración determinada y no pueden estar enlazadas con cookies persistentes como el nombre de usuario.
7. Cookies de plug-in de redes sociales - "Social plug-in content shared cookies" que identifican a los miembros de una determinada red social, siempre y cuando el usuario no haya realizado un "log-out" de la red social.

En todos los casos se trata, como vemos, de cookies de sesión  o con una duración determinada, aunque el GT29 señala que antes de entrar en cuestiones técnicas, debería analizarse la finalidad de la cookie para determinar si queda o no exenta de la obligación del consentimiento informado.  En cualquier caso, siempre será necesario obtener el consentimiento informado cuando se trate de cookies de terceros.

En relación al segundo criterio, el GT29 señala que es importante analizar lo que es "estrictamente necesario" siempre desde el punto de vista del usuario, no del proveedor de servicios.

Cuidado, Pietro Paolo ¡Cuidado!

Ya sabeis que hace tiempo que ando detrás de un tablet, aunque van pasando las semanas y no acabo de decidirme.  Mientras, cada vez que tengo ocasión aprovecho para probar y trastear cualquier tableta que se cruce en mi camino, así que el otro día estuve un buen rato probando los que tenían expuestos en esa conocida multinacional francesa del ocio y la cultura.

Tablets expuestos en un centro comercial

Estaba entretenido revisando las aplicaciones de uno de los tablets cuando, al pulsar sobre el icono del correo, ¡Zasca! se abre el buzón de Gmail del bueno de Pietro Paolo (el nombre es ficticio, pero el despreocupado usuario tenía un nombre claramente italiano, como Enzo, Francesco o Marco, y un apellido también claramente italiano, como pueden serlo Garibaldi, Rossi o Antonietti).

A mí, se me hace impensable que alguien consulte su correo personal en un ordenador de prueba de unos grandes almacenes, pero encima que cuando se vaya deje el equipo sin preocuparse de cerrar la sesión “es de ser inútiles, eh?” [sic].

Por supuesto,  no accedí a ninguno de los correos del italiano, pero estaba todo ahí, al alcance de cualquiera, y supongo que no hace falta que os cuente lo que se puede llegar a hacer teniendo acceso a una sesión iniciada en Google, ¿no?

En estos casos, siempre hago la misma reflexión: los que nos dedicamos a la seguridad informática o a la privacidad damos por consabido determinados conceptos y comportamientos (que forman parte de nuestro día a día) aunque luego la realidad nos demuestra que los usuarios no están lo suficientemente concienciados en estas materias. Para ello, aquí os dejo las recomendaciones de la OSI (Oficina de Seguridad del Internauta) en relación al uso de ordenadores públicos:
“Consideraciones a tener en cuenta al utilizar ordenadores públicos”

Aprovechando que hoy es el “Día Mundial de la Sociedad de la Información”, más conocido como el “Día de Internet” (http://www.diadeinternet.org) dejo algunos enlaces de iniciativas relacionadas con la concienciación sobre la seguridad y la privacidad en Internet:

Pienso luego clico, campaña dirigida a jóvenes: www.piensoluegoclico.com
Menores OSI, dirigida a los más pequeños: http://menores.osi.es
Protege Tu Información, promovido por ISMS Forum: www.protegetuinformacion.com
A Internet, posa-hi seny! (en catalán), campaña del CESICAT (Centre de Seguretat de la Informació de Catalunya): http://internetambseny.cesicat.cat/

Y, por si mi "amigo" Pietro Paolo lee este post, este es el portal de seguridad Portale Sicurezza (en italiano) promovido por Infostrada: http://www.infostrada.it/it/sicurezza