Source: http://www.dpoitlaw.com/category/proteccion-de-datos/
Timestamp: 2020-07-12 11:51:32+00:00

Document:
Protección de datos - DPO & it law
GUÍA CORONAVIRUS Recomendaciones en materia de protección de datos [Pandemia COVID-19]
By administrador No comments yet Coronavirus
Ante la situación excepcional que nos está tocando vivir causada por la pandemia de la COVID-19, el equipo de trabajo de DPO&it law continúa prestando todos sus servicios profesionales con normalidad. A través de la presente nota informativa, DPO&it law ha recopilado una serie de recomendaciones que, bajo el formato de preguntas y respuestas, pretenden aclarar aquellas dudas relacionadas con la protección de datos de carácter personal que ha suscitado en la empresa la situación excepcional provocada por el CORONAVIRUS.
Antes de proceder a dicho desarrollo conviene aclarar, que la Agencia Española de Protección de Datos (AEPD) ha emitido un informe de su Gabinete Jurídico (Ref. 0017/2020) aclarando, con carácter general, que la normativa de protección de datos personales, en tanto que, dirigida a salvaguardar un derecho fundamental, se aplica en su integridad a la situación actual, dado que no existe razón alguna que determine la suspensión de derechos fundamentales, ni que por el momento dicha medida ha sido adoptada.
EN EL ÁMBITO DE PREVENCIÓN DE RIESGOS LABORALES
¿Necesita la empresa el consentimiento del trabajador para el tratamiento de los datos personales de los trabajadores afectados por el COVID-19?
No, ya que conforme a la normativa sanitaria, laboral y en particular de Prevención de Riesgos Laborales (PRL) la empresa podrá tratar los datos del personal necesarios para garantizar la salud de los afectados y la del resto del personal, adoptando las medidas necesarias para evitar los contagios en el seno de la empresa y/o centros de trabajo que puedan propagar la enfermedad al conjunto de la población.
Siguiendo el documento publicado por el Ministerio de Sanidad denominado: “Procedimiento de actuación para los Servicios de Prevención de Riesgos Laborales (SPRL) frente a la exposición al SARS-CoV-2” en el que establece:
“El servicio sanitario del SPRL debe evaluar la presencia de PERSONAL TRABAJADOR ESPECIALMENTE SENSIBLE en relación a la infección de coronavirus SARS‐CoV‐2, establecer la naturaleza de especial sensibilidad de la persona trabajadora y emitir informe sobre las medidas de prevención, adaptación y protección. Para ello, tendrá en cuenta la existencia o inexistencia de unas condiciones que permitan realizar el trabajo sin elevar el riesgo propio de la condición de salud de la persona trabajadora.
Con la evidencia científica disponible a fecha 23 de marzo de 2020 y ratificada a 8 de abril de 2020, el Ministerio de Sanidad ha definido como grupos vulnerables para COVID‐19 las personas con diabetes, enfermedad cardiovascular, incluida hipertensión, enfermedad hepática crónica, enfermedad pulmonar crónica, enfermedad renal crónica, inmunodeficiencia, cáncer en fase de tratamiento activo, embarazo y mayores de 60 años. Para calificar a una persona como especialmente sensible para COVID‐19, debe aplicarse lo indicado en el párrafo anterior”.
Al respecto, DPO&it law ha preparado dos modelos de escritos para ayudar a la empresa al cumplimiento de dichas obligaciones.
Un primer documento para remitir a los proveedores que subcontraten servicios aportando personal con acceso a las instalaciones, así como a las empresas de trabajo temporal -ETT- cuyos servicios también deben ser prestados en las instalaciones de la empresa (Modelo a proveedores y ETT COVID-19).
Un segundo documento para remitir al personal de la empesa (Modelo PRL trabajadores COVID-19).
¿Puede informar la empresa a todos los trabajadores de quien ha sido afectado por el COVID-19?
Si en su empresa se ha dado algún caso de contagio por el coronavirus COVID-19, esta información puede proporcionarse al personal de la empresa sin identificar a la persona afectada a fin de mantener su privacidad. En todo caso, podría ser proporcionada al personal de la empresa, y en concreto al personal que haya podido tener contacto, si el trabajador presta de forma voluntaria su consentimiento para revelar dicha información. En cualquier caso, esta información podrá transmitirse a requerimiento de las autoridades competentes, en particular las sanitarias.
¿Se puede solicitar información relacionada con el COVID-19 al personal o a terceros que acceden a la empresa?
En principio está justificada la solicitud de información sobre síntomas o factores de riesgos sin necesidad de pedir su consentimiento explícito, si bien, ésta ha de responder al principio de proporcionalidad, resultando contrario al principio de minimización de datos la utilización de cuestionarios extensos y detallados, o que incluyan preguntas no relacionadas con la enfermedad.
Si el trabajador está en su domicilio bajo el “permiso retribuido recuperable” y se contagia por el COVID-19, ¿tiene la obligación de comunicarlo a la empresa?
Ante una baja laboral por enfermedad, el trabajador no tiene la obligación de comunicar a la empresa el motivo. Sin embargo, en el caso de haberse contagiado por el COVID-19, sí está obligado a comunicárselo a la empresa para que ésta pueda adoptar las medidas oportunas de cara a proteger la salud del resto de los trabajadores.
Igualmente, si el trabajador está aislado por posible contagio del COVID-19 pero no está diagnosticado como tal, también tiene la obligación de comunicarlo a la empresa.
¿Se puede tomar la temperatura a las personas trabajadoras y terceros que acceden a la empresa?
Aunque esta función debería recaer en el personal sanitario de la empresa, si ésta carece de ese personal, esta función podría realizarse, por el personal de seguridad debiendo respetar la confidencialidad del dato obtenido y su finalidad deberá limitarse exclusivamente a evitar la propagación del COVID-19 y durante el tiempo estrictamente necesario. Además el personal de seguridad se encuentra sometido por el art 30.10 de la Orden INT/318/2011 de 1 de febrero sobre personal de seguridad privada, a una rigurosa reserva profesional sobre los hechos que conozca en el ejercicio de sus funciones.
¿Debo mantener abierta la empresa?
El Real Decreto-ley 10/2020, de 29 de marzo establece un “permiso retribuido recuperable” para trabajadores por cuenta ajena que no presten servicios esenciales, con el fin de reducir la movilidad de la población en el contexto de la lucha contra el coronavirus, de aplicación para trabajadores que no tengan suspendido su contrato o puedan continuar prestando servicios a distancia.
La empresa debe mantenerse abierta si se trata de un servicio esencial y puede continuar la actividad empresarial si ésta no es considerada esencial, pero se puede realizar a distancia, aquella actividad que no exija desplazamiento de los trabajadores.
En la Orden SND/307/2020, 30 de marzo, se adjunta un modelo de declaración responsable a emitir para los trabajadores por cuenta ajena que no deban acogerse al “permiso retribuido recuperable” recogido en el citado Real Decreto-ley.
EN EL ÁMBITO DEL TELETRABAJO
Una de las medidas más utilizadas por las empresas para seguir desempeñando sus labores profesionales ha sido adoptar sistemas de teletrabajo, debido a las restricciones de movimiento adoptadas por diferentes Decretos del Gobierno de España, así como por recomendaciones previas a estas prohibiciones de diferentes organismos y autoridades.
Aspectos jurídicos del teletrabajo:
¿Puede obligarse al trabajador a realizar teletrabajo?
Por norma general no se puede, pues esto conllevaría una modificación de las condiciones de trabajo no recogida en el contrato de trabajo. La medida debería por tanto ser pactada entre el trabajador y la empresa de forma voluntaria, y formalizada por escrito. Sin embargo, dada esta situación excepcional, el Real Decreto-Ley 8/2020, de 17 de marzo, establece en su artículo 5 el carácter preferente del trabajo a distancia, estableciendo que deberán tomarse las medidas oportunas para mantener la actividad, siempre que ello sea técnica y razonablemente posible, y el esfuerzo de adaptación necesario no resulte desproporcionado. Además, establece que en todo caso el teletrabajo debe ser prioritario frente a la cesación temporal o la reducción de la actividad.
¿Puede el trabajador exigirlo?
Como norma general, el trabajador tampoco puede exigirlo, debe ser una medida pactada entre empresario y trabajador. Sin embargo, como ya hemos indicado, el Real Decreto-ley 8/2020, de 17 de marzo, establece las medidas dirigidas a mantener la actividad económica, entre las que se encuentra el trabajo a distancia, el cual, como se ha dicho anteriormente, deberá ser prioritario frente a la cesación temporal o reducción de la actividad. Además, para facilitarlo, se prevén medidas como, por ejemplo, la autoevaluación de prevención de riesgos laborales, en los términos previstos en el artículo 16 de la Ley 31/1995, de 8 de noviembre, de Prevención de Riesgo Laborales. En definitiva, el trabajador podría exigirlo, pues debe ser una medida proporcionada y oportuna que la empresa debe adoptar, siempre y cuando la misma sea razonable y técnicamente posible, sin suponer un esfuerzo de adaptación desproporcionado. Puede acceder a un modelo de Autoevaluación de Riesgos en el siguiente enlace (Modelo de autoevaluación de Riesgos).
¿Puede monitorizarse el teletrabajo?
En principio sí se podría, conforme lo establecido en el artículo 20.3 del Estatuto de los Trabajadores. En dicho artículo el empresario podrá adoptar las medidas que considere oportunas de vigilancia y control, dentro de los límites que marca la legislación en protección de datos y el respeto a los Derechos Fundamentales de los trabajadores. Conforme a reiterada jurisprudencia de nuestro Tribunal Supremo y el TEDH, el empleador deberá emitir el juicio de proporcionalidad para el control laboral del trabajador, estableciendo que la medida es idónea, necesaria y proporcional a la medida de control establecida (Sentencia de la Sala Cuarta del Tribunal Supremo de 8 de Febrero de 2018), debiendo a su vez comunicar previamente al trabajador y la implantación de dicha medida, identificando la posibilidad y alcance de la fiscalización empresarial. Además deberá ser comunicada dicha medida a los representantes sindicales con carácter previo a la ejecución de la misma para que emitan el correspondiente informe conforme lo dispuesto por el artículo 64 del Estatuto de los Trabajadores. Por otro lado, como se estableció por el TEDH en el caso Barbulescu (caso Barbulescu vs. Rumania, STEDH de 5 de Septiembre de 2017) a los efectos de calificar la supervisión del empleador como adecuada se deberán tener en cuenta los siguientes factores:
el destino dado por la empresa al resultado del control.
la previsión de garantías para el trabajador.
Todo parece por tanto indicar, que en el presente supuesto excepcional el empresario tiene la justificación necesaria para realizar una vigilancia y control del teletrabajo, a través de la monitorización del mismo, ya que la medida de control es necesaria, adecuada y proporcional, siempre y cuando el grado de intromisión no supere los factores marcados por el TEDH y la misma sea comunicada a los representantes sindicales..
¿Debe realizarse el registro de jornada laboral preceptivo?
Si, ya que este registro es obligatorio. El registro diario de jornada, exigible en todo caso, deberá ponderarse y globalizarse a efectos de control y contabilización del tiempo de trabajo efectivo en dichas secuencias superiores a la diaria. En este sentido conviene resaltar, que existen excepciones para el personal con relaciones laborales de carácter especial y para trabajadores con un régimen específico o particular en materia de registro de jornada. Por último deberá ser comunicada dicha medida a los representantes sindicales con carácter previo a la ejecución de la misma para que emitan el correspondiente informe conforme lo dispuesto por el artículo 64 del Estatuto de los Trabajadores.
2. El Teletrabajo en la política RGPD.
La adopción del teletrabajo no puede suponer una quiebra en el cumplimiento de la normativa en materia de protección de datos, adquiriendo si cabe mayor importancia en esta situación de especial vulnerabilidad en la que nos encontramos.
En este contexto, debemos tener en cuenta varios aspectos a la hora de adecuar nuestras políticas de protección de datos a la nueva forma de trabajo a distancia adoptada por la empresa.
Si el teletrabajo no está previsto en el funcionamiento normal de la empresa, no estará incluido en el Registro de Actividades del Tratamiento, por lo que éste debe ser completado incluyendo este nuevo tratamiento o Registro de Actividad de Tratamiento de datos.
Deberá por tanto incluirse este nuevo tratamiento, además de actualizar otros documentos y anexos de la política de privacidad de la empresa para que esté recogido este nuevo tratamiento, incluida, en su caso, el Informe de aproximación al Riesgo, o la Política de Medidas Técnicas y Organizativas de Seguridad en Protección de Datos.
La situación de especial vulnerabilidad que estamos atravesando aumenta la probabilidad de sufrir una brecha de seguridad de los datos personales. La suspensión de los plazos administrativos establecida por el Real Decreto 463/2020, de 14 de marzo, nos lleva a plantearnos si sigue la obligación de notificar las brechas de seguridad producidas en el seno de una organización.
Esta duda ha sido resuelta por la AEPD, determinando que la suspensión de los plazos administrativos no afecta a la obligación de notificar las quiebras de seguridad que afecten a datos personales, por lo que los responsables están obligados a notificar ante la AEPD y los interesados.
Por lo tanto, los responsables y encargados del tratamiento deben seguir cumpliendo con sus obligaciones, debiendo notificar las brechas de seguridad en el plazo de 72 horas a la Autoridad de Control, que se podrá realizar de forma telemática a través de la sede electrónica de la AEPD.
Información Adicional a los empleados
El teletrabajo no puede ni debe ser excusa para dejar de cumplir determinadas normas y deberes por parte de los empleados, que deberán seguir las mismas medidas de seguridad que desde la empresa, por lo que resultaría conveniente recordar determinados aspectos:
Política de uso de dispositivos electrónicos, siempre que exista.
Características de las redes a las que se pueden conectar.
Uso compartido de los dispositivos.
Posibilidad o no de instalar programas. En definitiva, debe garantizarse, en la medida de lo posible, el mismo nivel de seguridad que existía antes de incorporar el teletrabajo.
¿Qué ocurre con los contratos de encargado de tratamiento de profesionales autónomos?
Normalmente, los profesionales autónomos suelen trabajar con el equipo y la red de la empresa desde las instalaciones de la empresa, debiendo suscribir el correspondiente contrato de encargado de tratamiento.
Al adoptar el teletrabajo, la situación puede variar, siendo necesario realizar nuevos contratos de encargado de tratamiento para garantizar la confidencialidad, la seguridad y el adecuado cumplimiento en materia de protección de datos.
Así, podemos encontrarnos en diferentes escenarios:
Profesionales autónomos con equipo y red de la empresa, pero siendo necesario trasladar el equipo a su propio domicilio. En este supuesto no será preciso firmar un nuevo contrato de encargado de tratamiento, pero deberá contar con la correspondiente autorización de la empresa para trasladar el equipo.
Profesionales autónomos con equipo propio y red de empresa. En este caso sí será necesario realizar un nuevo contrato de encargado del tratamiento que contemple la nueva situación y garantice la seguridad de los datos.
Profesionales autónomos con equipo y red propio. En este caso también será necesario realizar un nuevo contrato de encargado del tratamiento que contemple la nueva situación y garantice la seguridad de los datos.
En cualquiera de los escenarios descritos, no hay que olvidar el cumplimiento de las funciones y obligaciones del personal de la empresa, además de todas las normas en materia de protección de datos que garanticen el mismo nivel de seguridad presente en la empresa antes de la crisis sanitaria provocada por la COVID-19.
Política de Medidas Técnicas y Organizativas de Seguridad en Protección de Datos.
Las implicaciones que tiene el teletrabajo en la Política de Medidas de Seguridad RGPD dependerá del modelo de teletrabajo adoptado por cada empresa, en concreto, si los sistemas de información con los que se trabaja a distancia son proporcionados por la empresa o, por el contrario son propiedad del trabajador, es decir si se adopta el modelo BYOD (Bring Your Own Device, Trae Tu Propio Dispositivo):
Sistemas de Información aportados por la empresa: la empresa proporciona a los trabajadores los ordenadores y demás dispositivos necesarios para realizar el teletrabajo. Es necesario en estos casos implantar medidas técnicas y organizativas necesarias para garantizar la seguridad en el tratamiento de datos personales, ya sean medidas organizativas determinadas por normas preestablecidas (normas de uso de herramientas informáticas, política de funciones y obligaciones en protección de datos etc.) o medidas técnicas adoptadas específicamente para los casos concretos por el departamento de informática (instalación de VPNs, usuarios y contraseñas, restricciones de acceso a documentos o carpetas, registros de accesos, etc.). Este modelo de Teletrabajo afecta por tanto al tratamiento de datos y debe realizarse la correspondiente modificación del Registro de Actividades del Tratamiento, incluyendo el teletrabajo como un nuevo tratamiento de datos personales. Por otro lado, dado que el tratamiento de datos no se encuentra en la política de privacidad de la empresa, deberá comunicarse el mismo o a los empleados, en cumplimiento del Deber de información. Puede acceder a un modelo de Andenda al Contrato de trabajo que incluye todas las previsiones legales para poder redactar el mismo (Modelo de Adenda al Contrato de trabajo para Teletrabajo) sí como al modelo de comunicación a empleados en materia de protección de datos. (Modelo de comunicación Teletrabajo RGPD empleados).
Bring Your Own Device (BYOD): el trabajador utiliza el ordenador y otros dispositivos de su propiedad para realizar el teletrabajo. En determinados casos las empresas no pueden proporcionar a sus trabajadores dispositivos para poder realizar teletrabajo, por lo que se autoriza a que se utilicen los dispositivos de los propios empleados para realizar el trabajo desde casa. Es importante, tener en cuenta, que si esta posibilidad no se encontraba regulada a la hora de establecer la relación laboral, no puede ser de obligado cumplimiento, si el trabajador se niega a utilizar sus propios dispositivos. De la misma manera que cuando se utilizan dispositivos de la empresa, el trabajo a distancia no puede suponer un incumplimiento de la normativa en protección de datos. Esta situación provoca un problema añadido, ya que es probable que para garantizar la seguridad de los datos deban realizarse determinadas operaciones en los dispositivos del trabajador que requieren el consentimiento de éste último, como por ejemplo la instalación de VPNs, bases de datos, antivirus etc. Además, este modelo de teletrabajo entraña otra serie de riesgos como la falta de actualizaciones de seguridad, ausencia controles de seguridad del Sistema Operativo, falta de cifrado etc. Si bien no es del todo recomendable implantar este tipo de modalidad de trabajo a distancia, el empresario puede verse abocado al uso de los sistemas de información del empleado por no disponer de otras soluciones y por tanto evitar así la cesación temporal, ERTE o despido. Al igual que en el anterior modelo es necesario incluir el tratamiento de datos en la política de privacidad de la empresa, y por tanto comunicarse el mismo o a los empleados. Puede acceder en el siguiente enlace a un modelo de Adenda al Contrato de Trabajo que incluye todas las previsiones legales para poder realizar teletrabajo bajo la modalidad BYOD (Modelo de Adenda al Contrato de trabajo para Teletrabajo BYOD) así como al modelo de comunicación a empleados en materia de protección de datos (Modelo de comunicación Teletrabajo RGPD empleados BYOD). Por último es recomendable que en estos supuestos exista una Política de Uso de Dispositivos Propios en el Trabajo. Puede acceder en el siguiente enlace a un modelo de política de uso de Dispositivos Propios en el Trabajo (Modelo de Política de uso de Dispositivos Propios).
¿Es necesario realizar una evaluación de impacto?
Sí, en los supuestos en los que se monitorice el teletrabajo por el empresario se deberá realizar una Evaluación de Impacto en Protección de Datos, puesto que el derecho a la privacidad del trabajador se ve sometido al control del empresario y, por tanto, a una evaluación del rendimiento del trabajo conforme establece el artículo 28.2 d) de la LOPDGDD. Por lo tanto, es recomendable analizar los riesgos existentes y adaptar las medidas técnicas y organizativas necesarias para garantizar la privacidad del trabajador y el cumplimiento de la normativa en materia de protección de datos.
[DOC.1] Modelo PRL a proveedores y ETT COVID-19.
[DOC.2] Modelo PRL a trabajadores.
[DOC.3] Modelo Autoevaluación de riesgos del TELETRABAJO en caso de coronavirus COVID-19.
[DOC.4] Modelo Adenda al contrato trabajo para TELETRABAJO.
[DOC.5] Modelo Adenda al contrato trabajo para TELETRABAJO (BYOD).
[DOC.6] Modelo comunicacion a empleados TELETRABAJO (BYOD).
[DOC.7] Modelo comunicacion a empleados TELETRABAJO.
[DOC.8] Modelo Politica BYOD.
By administrador No comments yet Coronavirus, Datos Personales, Sanidad
Tras la declaración del Estado de Alarma el 14 de marzo, la lucha para frenar el coronavirus (COVID-19) se refuerza en España con la primera herramienta tecnológica en formato web: www.coronamadrid.com, que pronto contará con una versión APP en IOS y Android que se denominará COVIDAPP.
Se trata de una plataforma que lanzó la Comunidad de Madrid, el principal foco de infección en España, y que permite realizar una autoevaluación del estado de salud de los ciudadanos (mayores de 16 años) en función de sus síntomas, facilitando instrucciones y recomendaciones sobre el COVID-19. De esta manera se pretende ayudar a evitar el actual colapso del sistema sanitario y las líneas de atención telefónicas de la Comunidad de Madrid.
Uno de los aspectos que más preocupa o inquieta con este tipo de plataformas es el tratamiento de los datos de carácter personal que nos solicitan para poder acceder o, en este caso, realizar la autoevaluación.
Entre los datos que se recogen (nombre y apellidos, número de teléfono móvil -incluye un proceso de verificación de identidad con el teléfono móvil-, DNI / NIE, fecha de nacimiento, correo electrónico, dirección completa y código postal y género), parece que el más controvertido desde que se hizo pública la plataforma es la geolocalización. Si acudimos a la Política de Privacidad de la plataforma, nos indica que “en el momento de la realización de las autoevaluaciones, se guardará tu localización GPS, siempre bajo tu autorización, para saber dónde te encuentras y poder ofrecerte las mejores medidas preventivas y de evaluación en cada momento”.
Según continúa explicando la Política de Privacidad de la plataforma, estos datos son estrictamente necesarios por razones de interés público ante la actual pandemia del COVID-19.
Ante la creciente preocupación por el tratamiento de los datos personales durante la crisis del coronavirus, el pasado 12 de marzo, la AEPD se pronunció al respecto a través de un informe, estableciendo que la recogida de los datos personales cuya finalidad sea salvaguardar los intereses esenciales en el ámbito de la salud está legitimado tanto por motivos de interés público como por la protección de los intereses vitales del interesado u otras personas físicas, tal y como determina el artículo 6.1. e) y d) del RGPD.
En la misma línea, el 16 de marzo emitió el Comité Europeo de Protección de Datos una declaración sobre el tratamiento de datos personales, en la que recuerda que las normas de protección de datos no deben obstaculizar las medidas adoptadas por la pandemia del coronavirus, siempre que estas sean necesarias, apropiadas y proporcionadas.
Ante una situación de crisis como la que estamos atravesando, no solo en España sino en el resto de los países, ya sea en mayor o menor medida, se hacen necesarias actuaciones que pueden limitar la esfera de nuestra vida privada para asegurar y garantizar bienes jurídicos superiores, en este caso el derecho a la vida y a la salud colectiva, por lo que las normas de protección de datos no pueden ser una barrera para salvaguardar estos derechos, siempre que sean proporcionadas y adecuadas respecto a una situación tan excepcional como la actual.
Por último, debemos actuar con precaución ante la proliferación de numerosas páginas web y apps no oficiales que ofrecen servicios de autoevaluación respecto al coronavirus, suplantando en ocasiones al Ministerio de Sanidad, como ha podido constatar la AEPD, que ha advertido del riesgo de proporcionar datos personales a estas plataformas.
No debemos olvidar que, en ningún caso, estas plataformas pueden sustituir al servicio médico o de atención de urgencias o de prescripción de tratamiento farmacológicos, y que solamente pretenden ofrecer una orientación a los ciudadanos y evitar el colapso del sistema sanitario.
Consultor en Derecho TIC y Protección de Datos
By administrador No comments yet Ciberseguridad, Leyes
La denominada Ley de Ciberseguridad tiene por objeto regular la seguridad de las redes y sistemas de información utilizados para la provisión de los servicios esenciales y de los servicios digitales, y establecer un sistema de notificación de incidentes.
¿A qué entidades se aplica la Ley de Ciberseguridad?
Aquellas que presten servicios esenciales dependientes de las redes y sistemas de informacióncomprendidos en los sectores estratégicos definidos en la Ley 8/2011, de 28 de abril.
Aquellas que presenten servicios digitales que sean mercados en línea, motores de búsqueda en línea y servicios de computación en nube.
Operadores de servicios esenciales establecidos en España, además de aquellos que ofrezcan servicios esenciales a través de un establecimiento permanente situado en España.
Proveedores de servicios digitales que tengan su sede social en España y que constituya su establecimiento principal en la Unión Europea,así como los que, no estando establecidos en la Unión Europea, designen en España a su representante en la Unión para el cumplimiento de la Directiva (UE) 2016/1148.
¿A qué entidades NO se aplica la Ley de Ciberseguridad?
Operadores de redes y servicios de comunicaciones electrónicas y prestadores de servicios electrónicos de confianza que no sean designados como operadores críticos en virtud de la Ley 8/2011, de 28 de abril.
Proveedores de servicios digitales cuando se trate de microempresas o pequeñas empresas.
¿Qué supone la aplicación de la Ley de Ciberseguridad?
1. Obligaciones de seguridad
Adoptar medidas técnicas y de organización, adecuadas y proporcionadas, para gestionar los riesgos que se planteen para la seguridad de las redes y sistemas de información utilizados en la prestación de los servicios sujetos a la Ley de Ciberseguridad. Además, deberán tomar medidas adecuadas para prevenir y reducir al mínimo el impacto de los incidentes que les afecten.
Los operadores de servicios esenciales designarán y comunicarán a la autoridad competente el responsable de la seguridad de la información.
Los proveedores de servicios digitales determinarán las medidas de seguridad que aplicarán, teniendo en cuenta los avances técnicos y los siguientes aspectos: la seguridad de los sistemas e instalaciones, la gestión de incidentes, la gestión de la continuidad de las actividades, la supervisión, auditorías y pruebas, y el cumplimiento de las normas internacionales.
2. Obligación de notificar y resolver incidentes
Se impone la obligación de notificar a la autoridad competente, a través del CSIRT de referencia, los incidentes que puedan tener efectos perturbadores significativos en los servicios. En cuanto a los proveedores de servicios digitales, esta obligación se aplicará cuando se tenga acceso a la información necesaria para valorar el impacto de un incidente. También se prevé la posibilidad de realizar notificaciones voluntarias de aquellas entidades que presten servicios esenciales pero no les sea de aplicación la Ley de Ciberseguridad, que obligarán a la entidad que las efectúe a resolver el incidente.
La importancia de un incidente se determinará teniendo en cuenta, como mínimo, los siguientes factores:
Es importante recordar que esta obligación no obsta al cumplimiento de los deberes legales de denuncia de aquellos hechos que revistan caracteres de delito. Por otra parte, las notificaciones no sujetarán a la entidad que las efectúe a una mayor responsabilidad, y sus empleados y el personal no podrán sufrir consecuencias adversas en su puesto de trabajo o con la empresa, salvo que se acredite mala fe en su actuación.
La autoridad competente podrá decidir informar de modo directo al público o a terceros potencialmente interesados sobre el incidente, o exigir a las entidades que lo hagan cuando su conocimiento sea necesario para evitar nuevos incidentes o gestionar uno que ya se haya producido, o cuando la divulgación de un incidente redunde en beneficio del interés público.
Existe obligación de resolver los incidentes de seguridad y de solicitar ayuda especializada cuando no puedan resolver por sí mismos los incidentes (art. 28.1).
Si la notificación de incidentes o su gestión, análisis o resolución requiere comunicar datos personales, su tratamiento se restringirá a los que sean estrictamente adecuados, pertinentes y limitados a lo necesario en relación con la finalidad, de las indicadas, que se persiga en cada caso.
Las autoridades competentes podrán requerir alosoperadores de servicios esenciales que faciliten la información necesaria para evaluar la seguridad de las redes y sistemas de información, incluida la documentación sobre políticas de seguridad. También se puede requerir auditar o exigir al operador que someta la seguridad de sus redes y sistemas de información a una auditoría por una entidad externa, solvente e independiente. Posteriormente, la autoridad competente podrá requerir al operador que subsane las deficiencias detectadas e indicarle cómo debe hacerlo (art. 32.2).
La autoridad competente solo inspeccionará el cumplimiento de estas obligaciones de los servicios digitales cuando tenga noticia de algún incumplimiento, incluyendo por petición razonada de otros órganos o denuncia (art. 33.1).
¿Qué sucede si se incumple lo previsto en la Ley de Ciberseguridad? Régimen sancionador
Los responsables serán los operadores de servicios esenciales y los proveedores de servicios digitales comprendidos en el ámbito de aplicación de la Ley de Ciberseguridad.
Son infracciones muy graves, cuya comisión implica una sanción de multa de 500.001 hasta 1.000.000 euros:
La falta de adopción de medidas para subsanar las deficiencias detectadas (artículos 32.2 o 33.1) cuando éstas le hayan hecho vulnerable a un incidente con efectos perturbadores significativos en el servicio y no se hubieran atendido los requerimientos dictados por la autoridad competente con anterioridad a la producción del incidente.
El incumplimiento reiterado de la obligación de notificar incidentes con efectos perturbadores significativos (a partir del segundo incumplimiento) en el servicio.
No tomar las medidas necesarias para resolver los incidentes (artículo 28.1) cuando éstos tengan un efecto perturbador significativo.
Son infracciones graves cuya comisión implica una sanción de multa de 100.001 hasta 500.000 euros:
El incumplimiento de las instrucciones referidas a las precauciones mínimas que los operadores de servicios esenciales han de adoptar para garantizar la seguridad de las redes y sistemas de información.
La falta de adopción de medidas para subsanar las deficiencias detectadas en respuesta a un requerimiento dictado de acuerdo con los artículos 32.2 o 33.1, cuando ese sea el tercer requerimiento desatendido que se dicta en los cinco últimos años.
El incumplimiento de la obligación de notificar incidentes con efectos perturbadores significativos en el servicio.
La demostración de una notoria falta de interés en la resolución de incidentes con efectos perturbadores significativos notificados cuando dé lugar a una mayor degradación del servicio.
Proporcionar información falsa o engañosa al público sobre los estándares que cumple o las certificaciones de seguridad que mantiene en vigor.
Poner obstáculos a la realización de auditorías por la autoridad competente.
Son infracciones leves cuya comisión implica una sanción de multa de hasta 100.000 euros o amonestación:
El incumplimiento de las disposiciones reglamentarias o de las instrucciones técnicas de seguridad dictadas por la autoridad competente al amparo de este real decreto-ley, cuando no suponga una infracción grave.
La falta de adopción de medidas para corregir las deficiencias detectadas en respuesta a un requerimiento de subsanación dictado de acuerdo con los artículos 32.2 o 33.1.
No facilitar la información que sea requerida sobre sus políticas de seguridad, o proporcionar información incompleta o tardía sin justificación.
No someterse a una auditoría de seguridad según lo ordenado por la autoridad competente.
No proporcionar al CSIRT de referencia o a la autoridad competente la información que soliciten en virtud del artículo 28.2.
La falta de notificación de los sucesos o incidencias para los que exista obligación de notificación en virtud del del artículo 19.2.
No completar la información que debe reunir la notificación de incidentes o no remitir el informe justificativo sobre la imposibilidad de reunir la información.
No seguir las indicaciones que reciba del CSIRT de referencia para resolver un incidente.
Las sanciones firmes en vía administrativa por infracciones muy graves y graves podrán ser publicadas, a costa del sancionado, en el BOE y en el sitio de Internet de la autoridad competente.
Las sanciones se establecerán teniendo en cuenta los siguientes criterios:
La reincidencia, por comisión en el último año de más de una infracción de la misma naturaleza, cuando así haya sido declarado por resolución firme en vía administrativa.
El número de usuarios afectados.
El volumen de facturación del responsable.
La utilización por el responsable de programas de recompensa por el descubrimiento de vulnerabilidades en sus redes y sistemas de información.
Las acciones realizadas por el responsable para paliar los efectos o consecuencias de la infracción.
El órgano sancionador podrá establecer la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
Cuando se aprecie una cualificada disminución de la culpabilidad del imputado como consecuencia de la concurrencia significativa de varios de los criterios enunciados anteriormente.
Se podrá acordar, en lugar de iniciar el procedimiento sancionador, apercibir al sujeto responsable a fin de que, en el plazo que se determine, acredite la adopción de las medidas correctoras que resulten pertinentes, cuando concurran los siguientes presupuestos: que los hechos fuesen constitutivos de infracción leve o grave o que el órgano competente no hubiese sancionado o apercibido al infractor en los dos años previos como consecuencia de la comisión de las infracciones previstas.
Si el apercibimiento no fuera atendido en el plazo determinado, procederá la apertura del procedimiento sancionador. NO podrán ser objeto de apercibimiento las infracciones leves previstas en los apartados c, d y e, así como la infracción grave por proporcionar información falsa o engañosa al público sobre los estándares que cumple o las certificaciones de seguridad que mantiene en vigor.
Por otra parte, NO se impondrán sanciones cuando los hechos constitutivos de infracción lo sean también de otra tipificada en la normativa sectorial a la que esté sujeto el prestador del servicio y exista identidad del bien jurídico protegido, o cuando, como consecuencia de una actuación sancionadora, se tuviera conocimiento de hechos que pudieran ser constitutivos de infracciones tipificadas en otras leyes, se dará cuenta de los mismos a los órganos u organismos competentes para su supervisión y sanción.
Actualmente, estamos a la espera del desarrollo reglamentario de la Ley de Ciberseguridad que facilite su aplicación y detalle, entre otros, las medidas necesarias para el cumplimiento de las obligaciones que impone.
Dña. Alina Nastasache
By administrador No comments yet ETJ, Universidad Rey Juan Carlos
Durante el próximo 2 de abril, participaremos con la ponencia «Los sujetos intervinientes: deberes y responsabilidad. Régimen de Infracciones y Sanciones» en el Curso Superior de Protección de Datos de la Escuela de Técnica Jurídica Law & Business School, perteneciente a la Universidad Rey Juan Carlos.
Dentro de la ponencia que impartirá Fernando Ramos Suárez, Socio Fundador en DPO&itlaw, se abordarán temas como:
El responsable del tratamiento: posición, deberes, responsabilidad.
El encargado del tratamiento: contrato de encargado del tratamiento y posibilidad de subcontratación
Usuarios: deberes de los usuarios.
www.etj.es
El pasado viernes 10 de noviembre el Consejo de Ministros aprobó el Proyecto de Ley Orgánica de Protección de Datos que adaptará la normativa de protección de datos española al Reglamento General de Protección de datos RGPD 2016/679 el cual introducen determinados derechos y obligaciones para la regulación del derecho fundamental a la protección de datos. Estas novedades del RGPD las podéis ver en nuestro área RGPD que estamos habilitando en DPO&itlaw para una mejor comprensión del mismo.
Podéis acceder al Proyecto de Ley Publicado por el Ministerio de justicia a través del siguiente enlace.
Está prevista su aprobación para antes de mayo del 2018, y que por tanto coincida con la aplicación directa del RGPD, la cual está prevista para el 25 de mayo de 2018.
Estaremos expectantes al desarrollo y debate del Proyecto de Ley en el Parlamento, y os iremos informando de todas las novedades.

References: artículo 5
 artículo 16
 artículo 20
 artículo 64
 artículo 64
 Real Decreto 
 artículo 28
 artículo 6
 resolución 
 resolución 
 artículo 28
 artículo 19
 resolución