Medidas de seguridad en el Reglamento Europeo

Seguridad y protección de datos

Como sabemos, el RD 1720/2007, de 21 de diciembre (Reglamento de desarrollo de la LOPD), regula un número significativo de medidas técnicas de seguridad que los responsables de fichero han de poner en práctica para hacer efectivo el Derecho a la protección de datos de carácter personal. A nadie se le escapa que dicho Derecho quedaría en nada si no viniera respaldado por un mínimo de seguridad.

Como no podía ser de otra forma, al legislador europeo también le ha preocupado especialmente este tema. Así, en el considerando 78 del nuevo Reglamento Europeo se indica que es necesaria la adopción de medidas técnicas y organizativas que garanticen el cumplimiento de los requisitos del propio Reglamento. Se hace una relación de qué tipo de medidas pueden ser estas; a saber:

  1. Reducir al máximo el tratamiento de datos personales.
  2. Seudonimizar lo antes posible los datos personales.
  3. Dar transparencia a las funciones y el tratamiento de datos personales.

El considerando 81 incide, por otro lado, en la necesidad de que el responsable de fichero que contrata a un encargado de tratamiento, recurra únicamente a encargados que ofrezcan suficientes garantías (conocimientos especializados, fiabilidad, y recursos de cara a la aplicación de medidas técnicas y organizativas propias del reglamento, entre ellas, la seguridad, por supuesto).

Además, la relación con este encargado de tratamiento (como ya dispone nuestro artículo 12 LOPD), debe constar en un contrato escrito con un contenido definido por la norma.

Por tanto, hay que ser muy cautelosos a la hora de contratar a un prestador de servicios que vaya a tratar datos de nuestros clientes (por ejemplo: un asesor fiscal), y elegir a aquellos que cumplan la normativa de protección de datos.

En el considerando 83, nos dice el Reglamento Europeo que el responsable de ficheros debe evaluar los riesgos propios del tratamiento y aplicar medidas para mitigarlos, como el cifrado, y el 85, se impone la obligación de notificar –en un plazo de 72 horas- a la autoridad de control competente las violaciones se seguridad que puedan producirse (también se habrá de notificar al propio perjudicado).

Por su parte el considerando 90 establece que en determinados casos, los responsables de fichero tendrán que realizar una evaluación de impacto sobre protección de datos para valorar la particular gravedad y probabilidad del alto riesgo.

Guia Evaluacion Impacto

Guía Evaluación Impacto Protección de Datos

Como os adelanté en mi entrada de fecha 30 de marzo, la Agencia Española de Protección de Datos, ya ha publicado de forma definitiva su GUÍA PARA UNA EVALUACIÓN DE IMPACTO EN LA  PROTECCIÓN DE DATOS PERSONALES, cuyo texto íntegro podréis descargaros en este enlace de la web de la referida Agencia:

http://www.agpd.es/portalwebAGPD/revista_prensa/revista_prensa/2014/notas_prensa/news/2014_10_29-ides-idphp.php

Ante todo, que no cunda el pánico.

Recordemos que la Evaluación de Impacto no es obligatoria por ahora según la normativa española. Aunque también es cierto que es muy probable que lo sea en el futuro, pues la propuesta de Reglamento Europeo de Protección de Datos así lo recoge.

La Guía, de 71 páginas, incluye modelos para llevar a cabo la evaluación y el detalle del procedimiento a seguir.

El Anexo I de la Guía recoge un cuestionario muy completo dirigido a determinar si en un determinado producto o servicio, se han tenido en cuenta todos los aspectos de la normativa de protección de datos de carácter personal.

Una vez realizada la Evaluación, se emitirá un informe escrito que al menos deberá incluir:

––Identificación del proyecto, persona o personas responsables de la EIPD y sus datos de contacto, la fecha de realización del informe y su número de versión.

––Resumen del informe con indicación de los resultados.

––Introducción y descripción general del proceso de evaluación.

––Resultado del análisis de necesidad de la evaluación y su justificación.

––Descripción general del proyecto.

––Descripción detallada de los flujos de datos personales.

––Riesgos identificados.

––Identificación de partes interesadas o a las que afecta el proyecto, tanto internas como externas a la organización, y resultados de las consultas llevadas a cabo con éstas.

––Análisis de cumplimiento normativo y detalle de posibles deficiencias detectadas y propuestas para su solución.

––Recomendaciones del equipo de la EIPD y medidas adoptadas o que deben adoptarse para eliminar o evitar, mitigar, transferir o aceptar los riesgos para la privacidad.

En el capítulo 6 de la Guía, se incluye un “catálogo de riesgos” cuya existencia deberá ser comprobada en relación con el producto o servicio que se quiera poner en marcha.

Evaluacion Impacto Proteccion Datos

La Agencia Española de Protección de Datos está elaborando una Guía de evaluación del impacto en la Protección de Datos (de forma abreviada: EIPD).

De hecho, incluso ha publicado hace poco un borrador de la Guía en su web, que puedes leer aquí:

http://www.agpd.es/portalwebAGPD/canaldocumentacion/publicaciones/common/Guias/GuiaEIPDPBorrador.pdf

La Guía está en fase de consulta pública, a la que se puede acceder también desde la web de la Agencia.

La idea de la Evaluación de Impacto no es otra que llevar a cabo un análisis de los riesgos que los sistemas de información, productos o servicios de una empresa, entidad o profesional, puedan suponer para el derecho fundamental de protección de datos. Con esa evaluación se quiere lograr la gestión de los riesgos, adoptando medidas para eliminarlos o mitigarlos lo más posible.

Ante todo, debe quedar claro que la EIPD no es una obligación legal en este momento en España, aunque puede serlo en el futuro, si así se aprueba finalmente en el  Reglamento General de Protección de Datos europeo. La Agencia Española de Protección de Datos lo presenta como una herramienta que puede resultar muy útil para mejorar las políticas y prácticas de protección de datos en las organizaciones, si bien no es ni mucho menos la única herramienta que puede servir a ese fin.

La forma de desarrollar esta EIPD se describe ordenada y detalladamente en la Guía, fijándose incluso cómo debe ser la estructura del informe de Evaluación de Impacto.

En palabras de la AEPD:

“La Agencia Española de Protección de Datos confía en que esta Guía promueva la concienciación de las organizaciones y que impulse y promueva la utilización de esta herramienta para conseguir que la protección de datos personales sea, cada vez más, parte indisoluble de la cultura de entidades públicas y privadas y que, de esta manera, se contribuya a la creación de confianza entre los ciudadanos, confianza que tan necesaria resulta para el despegue y correcto funcionamiento de los servicios de la Sociedad de la Información.”

 

Y como ya habrás imaginado, la idea de la EIPD viene de la preocupación creciente por la pérdida de control sobre los datos personales que pueden producirse por el uso de internet, cloud computing, transferencias internacionales de datos y el desarrollo constante de las tecnologías de la información en general.