La definición de “comunicación comercial“ se ha traído directamente de la Directiva de Comercio Electrónico:

“Se considera comunicación comercial todas las formas de comunicación destinadas a proporcionar directa o indirectamente bienes o servicios o imagen de una empresa…”

Pero tiene dos excepciones  (Letra F del Anexo de la LSSI):

1. No se consideran comunicaciones comerciales los datos que permitan acceder directamente a la actividad de una empresa, organización o persona, (concretamente el nombre de dominio o la dirección de correo electrónico), lo que permite que en todos los casos en los que un mensaje -que puede tener un contenido, por lo menos indirectamente publicitario, pero que lo que hace es señalar un enlace al que el usuario, si quiere, va o no va- está excluido del ámbito de aplicación de este sistema de garantías reforzadas de la LSSI.
2. Y otra, que es una excepción muy relevante (…) se podrán realizar comunicaciones comerciales electrónicas a aquellas personas que hayan sido clientes de una organización siempre que se trate de productos y servicios de la misma empresa y similares a los que se contrató. (…) y con el ejercicio de un derecho de oposición en el momento de facilitar los datos o en las sucesivas comunicaciones que se vayan haciendo a aquellas personas.

En cambio, en los borradores del Reglamento de “ePrivacy”, no se contempla ninguna de dichas excepciones. Lo que no quiere decir que, en su redacción final, sí tengan cabida.

PRESTE MUCHA ATENCIÓN AL REDACTADO DE  SU POLÍTICA DE COOKIES EN SU SITIO WEB. Y AL REDACTADO DEL BANNER INICIAL DE COOKIES

El redactado legal informativo de las cookies en su sitio web no es un tema baladí; y la aceptación en bloque de todas ellas no sólo no es correcto, sino que puede ser sancionable. Aquello de: “…si sigue usted navegando por él, entenderemos que acepta” en el banner inicial es incorrecto.

La Agencia Española de Protección de Datos ha emitido el pasado mes de septiembre la Resolución de dar por terminado el procedimiento sancionador contra Vueling, al constatar que:

“…si se accede a la segunda capa, el consentimiento a que se cedan datos a terceros a través de cookies es implícito, ya que en ningún momento da la opción de poder oponerse a la instalación de éstas en el dispositivo o de cualquier otra cookie, sino que se remite a la configuración de los navegadores para eliminarlas o bloquearlas, no ofreciendo la posibilidad de denegar el consentimiento para el uso de cookies o de retirar el prestado, si no es a través de las opciones del navegador”.

https://www.aepd.es/resoluciones/PS-00300-2019_ORI.pdf

REVISE SU POLÍTICA DE COOKIES, O CONSÚLTENOS SOBRE CÓMO NO INFRINGIR LAS NORMATIVAS QUE REGULAN SU USO

Tanto si ya ha finalizado el proceso de adecuación del nuevo Reglamento europeo de protección de datos (RGPD), como si está en plena fase de implantación, o todavía lo tiene en cartera , le interesará saber que:

Los días 29 y 30 de octubre impartiremos 4 sesiones de Formación-Información RGPD

sobre la realidad del día a día de las empresas conviviendo con el Reglamento (UE) 2016/679 de protección de datos (RGPD). 15 meses después de su plena aplicación.

Martes 29 ( 09:30 a 11:00 ó 11:30 a 13:00 ) –

Miércoles 30 ( 09:30 a 11:00 ó 11:30 a 13:00 )

Reserve ya su plaza para cualquiera de las cuatro sesiones aquí indicándonos a cuál de ellas quiere asistir.

¿Qué ha supuesto para las empresas?.

Dudas y dificultades habituales a la hora de la implantación efectiva y cómo solventarlas – Si su empresa está al día, pero en la anterior LOPD ¿tienes que hacer “borrón y cuenta nueva”? – La responsabilidad proactiva en el nuevo Reglamento – Análisis de riesgos y evaluaciones de impacto – ¿Tengo que nombrar a un Delegado de Protección de Datos? – ¿Qué es “obligado” y qué es “depende de” en el RGPD? – ¿Qué hay que tener en cuenta de la nueva LOPDGDD a la hora de implementar el RGPD? – Sanciones de la Agencia Española de Protección de Datos ya con el RGPD y la LOPDGG

Lugar: ESPAI 114 c/. Francesc Layret, 114 – BADALONA

Precio por asistente: 95 euros +IVA

El art. 35 del Reglamento General de Protección de Datos (RGPD) establece la obligación de realizar Evaluaciones de Impacto de Protección de Datos (EIPD). Será necesaria llevarla a cabo sobre aquellos tratamientos que puedan entrañar un alto riesgo para los derechos y libertades de las personas físicas -en particular si utilizan nuevas tecnologías-, por su naturaleza, alcance, contexto o fines. En cualquier caso, será imprescindible siempre que el tratamiento consista en:

1. La evaluación sistemática y exhaustiva que se base en un tratamiento automatizado de aspectos personales de personas físicas, como la elaboración de perfiles, y sobre cuya base se tomen decisiones que produzcan efectos jurídicos para las personas físicas o que les afecten significativamente de modo similar;
2. El tratamiento a gran escala de las categorías especiales de datos o de los datos personales relativos a condenas e infracciones penales,
3. La observación sistemática a gran escala, mediante sistemas audiovisuales, de una zona de acceso público.

Las excepciones con respecto a los tratamientos de datos de salud, o de condenas e infracciones penales, se establecen en el Considerando 91 del RGPD:

“No se considerará un tratamiento a gran escala, el tratamiento de datos de salud (…) por un médico u otro profesional de la salud, a título de autónomo o empresario individual, o los datos de condenas e infracciones penales (…) por un solo abogado, quedando estas actividades de tratamiento exentas de realizar la Evaluación de Impacto.”

Del mismo modo, la AEPD ha publicado un listado de tratamientos que no requieren de EIPD en el que incluyen esta excepción del mencionado Considerando 91, eximiendo de realización de EIPD a médicos, profesionales de salud o abogados autónomos en el ejercicio de su labor profesional, siempre que estos tratamientos no cumplan con dos o más criterios derivados del listado de actividades del tratamiento que requieren de EIPD publicada por la misma AEPD.

Por lo tanto, en lo relativo al resto de tratamientos de datos realizados por médicos, profesionales de la salud o abogados autónomos, y que puedan entrañar un alto riesgo para los derechos y libertades de las personas físicas, la EIPD continuará siendo obligatoria, del mismo modo que la realización del análisis de riesgos que determinará la necesidad o no de realizar dichas EIPD.

Los tratamientos que requerirán de EIPD en cualquier caso, ya se realicen por médicos, abogados o cualquier otro profesional podrán ser, por ejemplo: los sistemas de identificación y control horario mediante huella dactilar o reconocimiento facial (tratamiento de datos biométricos); el tratamiento de datos genéticos; el tratamiento automatizado de datos para la toma de decisiones sobre los sujetos interesados; la aplicación de sistemas o aplicaciones que requieran de nuevas tecnologías que resulten invasivas (como la teleconsulta); así como el resto de tratamientos incluidos en los listados de la Agencia Española de Protección de Datos u otras Autoridades de Protección de Datos Europeas.

No dudes en contactar con nosotros para cualquier consulta al respecto (correo electrónico a consultor@logicdataconsulting.com )

0-day (vulnerabilidad no conocida): Vulnerabilidad que permite a un atacante el acceso a los datos en la medida en que es una vulnerabilidad desconocida. Esta vulnerabilidad estará disponible hasta que el fabricante o desarrollador la resuelva.

APT (ataque dirigido): Se refiere a diferentes tipos de ataques dirigidos normalmente a recabar información fundamental que permita continuar con ataques más sofisticados. En esta categoría se encuadraría por ejemplo una campaña de envío de email con software malintencionado a empleados de una empresa hasta conseguir que alguno de ellos lo instale en su equipo y proporcione una puerta de entrada al sistema.

Denegación de servicio (DoS/DDoS): Consiste en inundar de tráfico un sistema hasta que no sea capaz de dar servicio a los usuarios legítimos del mismo.

Acceso a cuentas privilegiadas: El atacante consigue acceder al sistema mediante una cuenta de usuario con privilegios avanzados, lo que le confiere libertad de acciones. Previamente deberá haber conseguido el nombre de usuario y contraseña por algún otro método, por ejemplo un ataque dirigido.

Código malicioso: piezas de software cuyo objetivo es infiltrase o dañar un ordenador, servidor u otro dispositivo de red con finalidades muy diversas. Una de las posibilidad para que el código dañino alcance a una organización es que un usuario lo instale de forma involuntaria.

Compromiso de la información: Recoge todos los incidentes relacionados con el acceso y fuga, modificación o borrado de información no pública.

Robo y/o filtración de datos: Se incluye en esta categoría la pérdida/robo de dispositivos de almacenamiento con información.

Desfiguración (Defacement): Es un tipo de ataque dirigido que consiste en la modificación de la página web corporativa con la intención de colgar mensajes reivindicativos de algún tipo o cualquier otra intención. La operativa normal de la web queda interrumpida, produciéndose además daños reputacionales.

Explotación de vulnerabilidades de aplicaciones: Cuando un posible atacante logra explotar con éxito una vulnerabilidad existente en un sistema o producto consiguiendo comprometer una aplicación de la organización.

Ingeniería social: Son técnicas basadas en el engaño, normalmente llevadas a cabo a través de las redes sociales, que se emplean para dirigir la conducta de una persona u obtener información sensible. Por ejemplo, el usuario es inducido a pulsar sobre un enlace haciéndole pensar que es lo correcto.

Fuente: AEPD

• Hackeo de la red y acceso a datos por terceros no autorizados
• Ransomware  (virus que encriptan los datos y piden un rescate por ellos)
• Malware u otro tipo de virus que puedan afectar a datos
• Que los empleados o entre compañeros se compartan contraseñas para acceder a diferentes datos a los que no todos tienen permisos o autorizaciones de acceso.
• Robo o pérdida de documentación o dispositivos (me han robado o he perdido el portátil, el Smartphone, incluidos los personales si sincronizan el correo de empresa)
• Acceso no autorizado a las oficinas o instalaciones de la empresa, con la consecuente pérdida o robo de documentación o equipos.
• Trabajar en remoto desde equipos en casa, pero que esos equipos no tengan las medidas de seguridad que hay en la empresa
• Olvidar o perder una contraseña de un dispositivo y que no se pueda recuperar la información que almacenaba (no recuerdo la contraseña de un HDD extraíble con la copia de seguridad)

Una de las novedades del Reglamento General de Protección de Datos (RGPD) es la  NOTIFICACIÓN DE BRECHAS DE SEGURIDAD (violación de la seguridad de datos personales)

• Deben notificarse a la autoridad de control, la  AEPD  (salvo que sea improbable que constituya un riesgo para los derechos y libertades de personas físicas).
• Deben notificarse a los interesados, en los casos más graves y si así lo decide la AEPD
• Hay establecido un plazo para ello: a más tardar, a las 72 horas de que se haya tenido constancia de ello.

¿Qué se considera una brecha de seguridad?  Ver enlace a nuestro sitio web

Las brechas de nuestros PROVEEDORES, que afecten a nuestros datos, también son brechas que debemos notificar.

CONSÚLTENOS en el caso de sufrir una brecha de seguridad. Les tutelaremos y acompañaremos en la valoración, documentación y posible necesidad de notificación.

¿Qué notificar?

• La naturaleza (y, si es posible, categoría y número de interesados y número de registros afectados) 
• Datos del DPD y/o de contacto
• Describir posibles consecuencias
• Describir las medidas adoptadas o propuestas
• Si todo de una vez no fuera posible, ir facilitando la información gradualmente
• Deberá documentarse cualquier violación de seguridad de datos personales notificada
• Puede llegar a tenerse que comunicarse la violación de la seguridad a los interesados afectados

La propia AEPD tiene un Formulario de notificación de brechas de seguridad, que contempla:

• Datos de la notificación
• Identificación del DPD o contacto
• Identificación del responsable del tratamiento
• Identificación del encargado del tratamiento
• Información temporal de la brecha
• Tipología de la brecha
• Información datos afectados
• Información sujetos afectados
• Posibles consecuencias
• Comunicación a interesados
• Implicaciones transfronterizas
• Documentación referida

Así como también una lista de “Criterios valorativos para la notificación de brechas de seguridad” que ayuda a la toma de decisiones relacionadas con la necesidad, o no, de notificación a la AEPD, teniendo en cuenta unos parámetros matemáticos que contemplan:

• Volumen
• Tipología
• Impacto