6 Claves para cumplir la normativa legal y mantener segura la información corporativa en 2013

'6 Claves para cumplir la normativa legal y mantener protegida y segura la información corporativa en 2013', por María González, asociada senior de Information Technology de ECIJA

Resumen:

Normativa sobre Cookies, Reglamento Europeo de Protección de Datos, Uso de Dispositivos Personales en el entorno laboral (BYOD), Cloud Computing, Big Data, Privacidad en la Red, aspectos que toda empresa deberá tener en cuenta durante 2013 en el desarrollo de sus negocios, cumpliendo la normativa vigente y aplicable, y manteniendo segura y protegida la información corporativa.

Durante este año 2013 recién comenzado, toda empresa que aproveche el uso de las tecnologías en el desarrollo de sus negocios, trate datos de carácter personal y tenga información corporativa que tenga que ser protegida, deberá tener en cuenta los 6 aspectos que comentamos a continuación, y que darán que hablar durante este año. Su cumplimiento y atención, supondrán, sin duda, un valor añadido, que fomentara su desarrollo y crecimiento.

1.- Reglamento Europeo de Protección de Datos La Propuesta de Reglamento Europeo que ha dado mucho que hablar durante 2012, seguirá haciéndolo durante 2013, puesto que existe una fecha límite para su aprobación Mayo de 2014 (fecha en la que concluye el mandato de la Comisión y Parlamento Europeo encargados de su aprobación), por lo que es claro que durante este año se seguirá avanzando en el texto definitivo del mismo. aunque desde los organismos comunitarios se está fomentando y exigiendo centrar esfuerzos para su definitiva aprobación lo antes posible.

El Reglamento traerá importantes novedades como:

Necesidad de contar con un DPO – Delegado de Protección de Datos. El texto del Reglamento de 2012, establece esta necesidad en empresas con más de 250 trabajadores, aunque se prevé que dicha limitación será eliminada, y la necesidad de contar con un DPO se establecerá en función del volumen y sensibilidad de los tratamientos de datos personales efectuados por las empresas.

Nuevas exigencias en materia de seguridad informática como; necesidad de informar a autoridades y afectados de brechas de seguridad en un breve plazo de tiempo, valoración de establecimiento de sistemas de gestión de seguridad de la información, etc…

Eliminación de la necesidad de inscribir ficheros ante las Autoridades, pero mayor exigencia de control de los tratamientos de datos efectuados a nivel corporativo, debiendo estar correctamente documentado, etc.

2.- Cookies La regulación legal de las cookies viene de una normativa comunitaria, en concreto la Directiva 2009/136/CE, de 25 de noviembre, por la que se regulaba el marco comunitario para permitir la utilización de este tipo de archivos informáticos con el objetivo de proteger los derechos de los usuarios, principalmente los relativos a su privacidad y su libertad en el uso de medios y servicios electrónicos. A través del RD 13/2012 de 30 de marzo, se modificaba la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y el Comercio Electrónico, incorporando en la normativa nacional el marco normativo desarrollado por la Directiva 2009/136/CE. Así, se incorporó al artículo 22 de la Ley de Servicios de la Sociedad de la Información el siguiente apartado:

“2. Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal.

Cuando sea técnicamente posible y eficaz, el consentimiento del destinatario para aceptar el tratamiento de los datos podrá facilitarse mediante el uso de los parámetros adecuados del navegador o de otras aplicaciones, siempre que aquél deba proceder a su configuración durante su instalación o actualización mediante una acción expresa a tal efecto.

Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario.”

Los principales elementos de la nueva regulación de la utilización de cookies, son claros:

- Información clara y completa: Hay que facilitar al usuario información clara y completa acerca de; los datos que van a ser almacenados en las cookies y van a ser objeto de tratamiento, así como los fines de dicho tratamiento de conformidad con la normativa sobre protección de datos de carácter personal.

- Consentimiento: El usuario ha de otorgar su consentimiento a la utilización de las cookies, al igual que la normativa sobre protección de datos personales lo exige para cualquier otra clase de tratamiento, pero; ¿Qué tipo de consentimiento es necesario? Se debate acerca de si el consentimiento puede ser tácito o debe suponer una acción expresa del usuario (consentimiento expreso) tal y como recoge el art. 22 de la LSSI en relación con la configuración de los navegadores de forma expresa por el usuario.

En cuanto a su aplicación práctica por las empresas, la AEPD – Agencia Española de Protección de Datos – ha reiterado, en los últimos eventos celebrados en materia de regulación de las cookies, y por ende de la protección de datos a finales de 2012, su trabajo, junto con las principales asociaciones empresariales, en el desarrollo y redacción de un documento que recoja las buenas prácticas a seguir en materia de utilización de las cookies, buscando la protección de la privacidad de los ciudadanos, y a su vez, el fomento de la economía digital. Por tanto, será necesario estar pendiente de la publicación de dichos trabajos, que supondrá una buena “pista” acerca de la interpretación de dichos aspectos de información y consentimiento en relación con las cookies por parte de la Agencia Española de Protección de Datos.

3.- Utilización de dispositivos personales en el entorno laboral – BYOD (Bring Your Own Device); su creciente adopción por empresas y administraciones, de múltiples sectores, dadas sus múltiples ventajas, exigen la regulación del denominado BYOD por las empresas, si éstas quieren minorar los posibles riesgos existentes y mantener los datos personales e informaciones corporativas confidenciales debidamente protegidos y seguros, independientemente de la titularidad de los dispositivos utilizados para su tratamiento. Las principales claves a tener en cuenta en la regulación del BYOD serán las siguientes:

- La adaptación de la infraestructura hardware y software que éstas ponen a disposición de sus usuarios (redes de comunicaciones, acceso a software corporativo, etc),

- la necesaria securización de infraestructura y los datos e informaciones que alberga (control de accesos, usuarios autorizados, acceso limitado a información en función de roles, perfiles, permisos, etc.), y

• el desarrollo de políticas y procedimientos personalizados que regulen su uso, así como acciones concretas de formación y concienciación de los usuarios.

4.- El Cloud Computing también continuará siendo tendencia durante 2013, en sus múltiples variantes; IaaS (Infraestructure / Hardware as a Service – Infraestructura / Hardware como Servicio), PaaS (Platform as a Service – Plataforma como Servicio), SaaS (Software as a Service – Software como Servicio), DRaaS (Disaster Recovery as a Service – Recuperación de Desastres como Servicio, o CPD de recuperación / respaldo en la nube); y en sus múltiples modelos; Pública, Privada, Híbrida y Comunitaria.

• El Cloud Computing es una herramienta necesaria y requerida en entornos corporativos que fomenten acciones como el BYOD o tiendan al ahorro de costes y el fomento de la flexibilidad y la productividad de su actividad, pero ha de ser convenientemente regulado para el cumplimiento de la normativa vigente, como la relativa a la protección de datos de carácter personal.

• En torno a la regulación del Cloud Computing en relación con el cumplimiento de la normativa de protección de datos, hay que señalar que se están llevando a cabo iniciativas comunitarias y nacionales, encabezadas por los organismos reguladores, tendentes a potenciar los servicios Cloud en entornos seguros y legales.

• A tal efecto cabe señalar la nota de prensa publicada el pasado 21 de diciembre de 2012, por el Grupo de Trabajo del Artículo 29 en la que expresa la adopción, fomento y desarrollo del uso de las BPR – Binding Processor Rules por parte de las autoridades de protección de datos a nivel comunitario a partir del 1 de enero de 2013. Las BPR se regulan en la práctica según lo establecido en el WP 195 - Working Document 02/2012 setting up a table with the elements and principles to be found in Processor Binding Corporate Rules - Documento de Trabajo 02/2012 creando una tabla con los elementos y principios que se han de regular en las normas corporativas vinculantes de los procesadores / encargados del tratamiento de datos (proveedores de servicios cloud).

• Las BPR tienen por objetivo ofrecer las garantías a presentar por un controlador (responsable del fichero y tratamiento) para la protección de datos a las Autoridades Nacionales de Protección de Datos (la Agencia Española de Protección de Datos en el caso de España (www.agpd.es) con el fin de demostrar una protección adecuada y obtener la autorización necesaria para la transferencia de sus datos personales a las diferentes entidades de sus procesadores – encargados – prestadores de servicios Cloud.

5.- Big Data:, o como tratar una ingente cantidad de información personal de los ciudadanos, obtenida de diversas fuentes, y cuyo cruce puede llegar a predecir, por ejemplo, hábitos de consumo, gustos, etc. El aumento del Big Data se verá reforzado por el denominado Internet de las Cosas, o lo que es lo mismo, el aumento de dispositivos con conexión a Internet que generan información de valor para el desarrollo de estrategias de Big Data.

• El uso de estrategias de Big Data será una absoluta prioridad para sectores como el financiero y bancario durante el 2013, pues se hace necesario conocer mejor a los clientes, proteger del fraude y mejorar los rendimientos de sus modelos.

• Así, las empresas que implementen con éxito estrategias de Big Data, serán conscientes de la importancia de mantener la información disponible, garantizar que la misma fluya dentro de la organización, y aprovechar la generación de valor aportado por el Big Data, no sólo en el desarrollo de nuevos negocios – empresas innovadoras, sino también generando nuevos servicios que permitan personalizar la experiencia del cliente y aumentar su satisfacción con el mismo. En el desarrollo de estrategias de Big Data, las organizaciones deberán crear un equilibrio y proteger en todo momento la privacidad del usuario.

6.- Privacidad en la Red: En auge servicios electrónicos, redes sociales, etc, durante el 2013 habrá que estar pendiente de los organismos administrativos y judiciales que tienen entre manos la resolución de asuntos relacionados con la Privacidad en la red y con impacto en materia de derecho, tecnología y seguridad, como aquellos relacionados con Social Media o Redes Sociales, Buscadores, etc…, que seguro que darán mucho que hablar durante el año recién comenzado.

Link al artículo: http://www.microsoft.com/business/es-es/Content/Paginas/article.aspx?cbcid=603