Protección de datos personales en Internet

Aspectos legislativos del ecommerce
Protección de datos personales (España)

© TONI MARTIN-AVILA 2009

Protección de Datos Personales
LORTAD

Directiva Europea 95/46
Protección Datos Personales

LOPD 13 dic 99

Real Decreto 994/1999
Reglamento de Medidas de Seguridad

Real Decreto 1720/2007
Reglamento de desarrollo de la LOPD


A quien afecta la Ley
• La LOPD afecta a cualquier empresa, autónomo, asociación,
administración pública, etc. que trate datos de personas físicas
(de clientes, de proveedores e incluso de los propios empleados).
• Esto, en la práctica, implica que la LOPD afecta a prácticamente
todo tipo de organizaciones.
• No afecta a ficheros personales o domésticos.
• Sólo afecta a los datos de personas físicas, no de personas
jurídicas, pero sí afecta a los datos de personas físicas que
trabajen en empresas, etc. Ejemplo: el nombre de un comercial de
una empresa que nos vende productos sí es un dato personal a
proteger, pero no así el nombre de la empresa.


Datos Personales =


• Ente de Derecho público, personalidad jurídica propia, actúa con
independencia de las Administraciones Públicas y vela por el
cumplimiento de la LOPD
• Se financia de las sanciones que impone (totalmente desde 2003)
• Se apoya en un órgano consultivo
• Se relaciona con el gobierno a través del Ministerio de Justicia
• Actúa de oficio y por denuncias mediante un cuerpo de inspectores
• Son ya 13 años de historia
• Organización de 109 empleados con presupuesto interno de 5.5
millones para 2006 (dic 2005)
• Realiza estudios de sectores: concursos de TV, hoteles, agencias
de viajes, ...


AEPD Sanciones
Las empresas e instituciones que manejan datos con carácter
personal -incluidos los especialmente protegidos, así como los
Responsables de Ficheros y Responsables de Seguridad, pueden
incurrir en tres tipos de infracciones a los que corresponden
distintos niveles de sanción:
Tipo de
Sanción en pesetas Sanción en euros
Infracción
Leve 100.000 a 10 millones 600 a 60.000
10 millones a 50
Grave 60.000 a 300.500
millones 100
50 millones a
Muy Grave 300.500 a 601.000
millones


Conceptos básicos
• Dato personal
– cualquier dato concerniente a personas físicas (identificadas o
identificables), por pequeño que sea (incluso nombres de
personas de contacto de empresas, datos de los propios
empleados, etc.)
• Fichero
– conjunto de datos estructurado, pero desde un punto de vista
conceptual. Por tanto, puede estar formado por diversos
archivos informáticos y/o manuales. La división de todos los
conjuntos de datos en ficheros admite variantes (por finalidad,
usuarios, etc.).
– Ejemplos: clientes, proveedores, encuestas, evaluación
proveedores, contabilidad, nóminas, formación, gestión de la
calidad, etc.


Conceptos básicos (II)
• Niveles de Seguridad: La normativa distingue 3 niveles (o
tipos) de datos (que implicarán medidas de seguridad diferentes):
– Alto
• Ideología, afiliación sindical, religión, creencias, origen
racial, salud, vida sexual.
En especial, la cuota sindical y el porcentaje de minusvalía
en la nómina (salud) llevan a muchas empresas a tener
ficheros de nivel alto.
– Medio
• Comisión de infracciones administrativas o penales,
Hacienda Pública, servicios financieros, evaluación de la
personalidad (como CV), etc.
– Básico
• El resto: nombre, dirección, datos bancarios, sueldo, etc.


Conceptos básicos (III)
• Responsable del fichero
– Persona física o jurídica, de naturaleza pública o privada, u
organismo administrativo que decida sobre la finalidad, contenido y
uso del tratamiento
• Responsable de seguridad
– Persona o personas que el responsable del fichero ha asignando
formalmente la función de coordinar las medidas de seguridad
aplicables
• Usuario
– Sujeto o proceso autorizado para acceder a datos o recursos
• Encargado del tratamiento
– Persona física o jurídica, autoridad pública, servicio o cualquier otro
organismo que solo, o conjuntamente, trate datos personales por
cuenta del responsable del fichero


Principios de la LOPD
• Calidad de los datos: adecuados, pertinentes y no
excesivos; exactos y puestos al día; plazos para el
bloqueo y la conservación
• Derecho de información en la recogida
• Consentimiento del afectado
• Seguridad de los datos
• Deber de secreto
• Comunicación de datos


Obligaciones legales y técnicas

IDENTIFICACIÓN DE FICHEROS

Fichero
A REGISTRAR LOS FICHEROS (AEPD)

AVISOS LEGALES Y CONTRATOS
B

C SEGURIDAD


Registro ficheros
• Fichero público
• Mediante sistema
NOTA (pdf)
• Responsable/Encargad
os
• Nivel/Tipo de
información
• Sistemas de
información


Aviso legal en página web

1. Incorporación
2. Responsable fichero
3. Finalidad
4. No cesión
5. Seguridad
6. Derecho de acceso
7. Derecho de rectificación
8. Derecho de cancelación


Cookies
• Según la AEPD son datos personales (Informe jurídico 327/03 )
• Avisar al usuario, antes de comenzar la actividad de la cookie, de
que salvo que la autorice, ésta va a ser introducida en su
ordenador;
• También se aconseja indicar qué nombre de dominio tiene el
servidor que transmite o activa la cookie
• Igualmente hay que manifestar el plazo de validez de la misma o
de efectos en el tiempo de la misma, e informar de si la
aceptación de la misma es necesaria para algo, y en qué podría
afectar la negativa a aceptarla.
• Inscripción del correspondiente fichero automatizado ante el
Registro General de Protección de Datos


Seguridad de la Información
Confidencialidad

Integridad Disponibilidad

• La confidencialidad
– garantiza la protección del acceso a la información
• La integridad
– asegura que la información no haya sido modificada
• La disponibilidad
– asegura el acceso a la información

La cara oculta del RMS
Controles y revisiones

Integridad
Medidas de seguridad

Documento de seguridad
Auditoría
Confidencialidad

Disponibilidad

Procedimientos


Obligaciones técnicas
Medida de seguridad-Procedimiento Nivel seguridad Obligaciones Doc.seguridad Control y revisión

Identificación y autenticación

Control de acceso

Control de acceso físico

Responsables de seguridad

Funciones y obligaciones del personal

Estructura de los ficheros

Gestión de soportes

Ficheros tem porales

Registro de incidencias

Copias de respaldo y recuperación de
datos
Prueba con datos reales

Registro de accesos

Acceso a datos redes
telecom unicaciones
Régim en de trabajo fuera de la
ubicación
Soporte papel

Auditoría


Ejemplo de aplicación
• Envío de publicidad de forma masiva

Envío de Persona JURÍDICA Persona FÍSICA

papel -- LOPD

fax -- LOPD

email -- LOPD

• La LOPD restringe el envío de publicidad a personas
físicas, incluso a clientes reales.
• Otras leyes restringen de otras formas determinados
envíos publicitarios.

Medidas nivel alto
• Si por ejemplo recabamos datos referentes a la salud o
vida sexual, y los mismos, en su tránsito desde el
ordenador del usuario hasta el servidor de la web que
visita, han de ir cifrados, lo cual implicaría tener que
usar lo que se llama un certificado de servidor ( un
certificado digital para sitios web o páginas web
).(podría ser también en las cookies)
• Copias de seguridad en soportes fuera de los
servidores
• Otras: Consentimiento previo explícito, registro del
fichero
• Ojo si hay Transferencia internacional el incumplimiento
podría ser total !

http://www.youtube.com/watch?v=hjc2RTXOuYU


El derecho de acceso


Protección de datos personales en Internet

Recomendados

Recomendados

Más contenido relacionado

La actualidad más candente

La actualidad más candente (9)

Similar a Protección de datos personales en Internet

Similar a Protección de datos personales en Internet (20)

Más de Toni Martin Avila

Más de Toni Martin Avila (16)

Último

Último (20)

Protección de datos personales en Internet