Source: http://lopddirecta.es/category/brechas-seguridad/page/2/
Timestamp: 2018-01-16 09:57:17+00:00

Document:
Brechas seguridad – Página 2 – LOPD en Malaga
notificacion quiebras seguridad
registro agencia española proteccion datos
Categoría: Brechas seguridad
Los troyanos de Gallardón
Ha saltado en estos días a todos los medios de comunicación la noticia de los troyanos de la policía, los troyanos de Gallardón o troyanos buenos.
En definitiva, lo que se ha planteado es la introducción en el borrador del nuevo Código Procesal Penal español de medidas que permitan la instalación de software en ordenadores –por parte de la policía y previa autorización judicial- de sujetos sospechosos de ciertos delitos, para poder hacer un seguimiento remoto de su actividad.
Desde luego, la utilización de troyanos (ya sea por policías buenos, malos, de verdad, de mentira, por delincuentes, por detectives privados, etc…) no es nueva y ha habido unos cuantos “escándalos” por su utilización.
La cuestión es que hoy día, con la LOPD y normativa de desarrollo en la mano, yo concluyo básicamente dos cosas:
1ª. Si tu ordenador tiene un troyano, estás incumpliendo la LOPD y su Reglamento de desarrollo (RD 1720/2007, de 21 de diciembre).
2ª. Si has permitido que coloquen un troyano en tu ordenador, la verdad: eres un poquito tonto.
No olvidemos que nuestra famosa LOPD (Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal) es eso: una Ley Orgánica. Además, es una Ley que desarrolla un Derecho Constitucional, como así lo ha declarado el Tribunal Constitucional en su Sentencia nº 292/2000, de 30 de noviembre, que ubica este Derecho dentro del artículo 18 de la Constitución Española. Con todo esto quiero decir que no estamos hablando de una ordenanza municipal sobre caquitas de perro, ni de cualquier normativa administrativa secundaria, sino de las normas más básicas y esenciales de nuestro ordenamiento jurídico, de derechos que gozan de la más suprema protección.
Por ello, difícilmente puede casar el troyano del amigo Gallardón (ni ningún otro) con todo eso.
Veamos qué nos dice exactamente la LOPD:
Si nos dirigimos al Reglamento de desarrollo de la LOPD, encontramos las siguientes normas (y me centro sólo en las medidas de seguridad de nivel básico, porque son aplicables a TODOS los sujetos que estén bajo el ámbito de aplicación de la Ley):
Artículo 91 Control de acceso
5. En caso de que exista personal ajeno al responsable del fichero que tenga acceso a los recursos deberá estar sometido a las mismas condiciones y obligaciones de seguridad que el personal propio.
Artículo 93 Identificación y autenticación
4. El documento de seguridad establecerá la periodicidad, que en ningún caso será superior a un año, con la que tienen que ser cambiadas las contraseñas que, mientras estén vigentes, se almacenarán de forma ininteligible.
Es decir, que como responsable de los datos que almacenas en tus equipos informáticos, tienes la obligación legal de adoptar todas las medidas técnicas y organizativas de seguridad necesarias para garantizar la seguridad de la información, evitando con ello su pérdida, alteración, accesos no autorizados, etc… Las medidas que cito en los artículos de arriba, son las medidas mínimas que tienes que aplicar siempre y en todo caso.
El de la Seguridad es uno de los principios básicos y esenciales de la normativa de protección de datos. De ahí que haya dicho anteriormente que, además de ser un poco tonto si permites que te metan un troyano, también estarías incumpliendo la Ley Orgánica y su Reglamento.
Pues ya me dirás qué tipo de medidas de seguridad tienes implantadas en tu negocio que permiten que los troyanos se paseen felizmente por tus datos de carácter personal…
Y si tuvieras un troyano o la menor sospecha de que pudieras tenerlo, más te vale que, con carácter inmediato, te asegures de que no lo tienes o procedas a su eliminación.
De estos asuntos (y de muchos otros) sabe un montón mi amigo Antonio el de la salsa. A pesar del “apellido” que le pongo, es informático y experto en seguridad de la información y casi abogado. Puedes leer su peculiar parecer sobre estas cuestiones en su blog, aquí:
https://sites.google.com/site/seoenmalaga/contacto/quitareltroyanodelapolicia
La verdad, sobran comentarios: mejor léelo.
Publicado el 08/06/2013 Categorías Brechas seguridad, Gallardón, LOPD, Troyanos, Troyanos de la policíaDeja un comentario en Los troyanos de Gallardón
Incidencias de seguridad y LOPD
Veamos hoy otro de los cambios proyectados en la Propuesta de Reglamento del Parlamento Europeo y del Consejo relativo a la protección de las personas físicas en los que respecta al tratamiento de datos personales y a la libre circulación estos datos (Reglamento general de protección de datos.
En España, actualmente, existe una regulación sobre las incidencias de seguridad que afectan a datos de carácter personal. Así, en el artículo 90 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica de Protección de Datos, se exige que exista un procedimiento de registro de notificación y gestión de las incidencias que afecten a datos de carácter personal. El Reglamento añade algunas exigencias más en el artículo 100 para los datos de nivel medio.
La cuestión es que se trata de un procedimiento básicamente de carácter interno, donde se realiza una comunicación interna de lo ocurrido.
La novedad del Reglamento Europeo de protección de datos es precisamente que la comunicación de la incidencia se dirigirá y hará llegar a una Autoridad de control (autoridad pública en materia de protección de datos: la AEPD, por ejemplo).
Esto es lo que plantea el artículo 31 de la propuesta de Reglamento:
Notificación de una violación de datos personales a la autoridad de control.
1. En caso de violación de datos personales, el responsable del tratamiento la notificará a la autoridad de control sin demora injustificada y, de ser posible, a más tardar veinticuatro horas después de que haya tenido constancia de ella. Si no se hace en el plazo de veinticuatro horas, la notificación a la autoridad de control irá acompañada de una justificación motivada.
2. Con arreglo a lo dispuesto en el artículo 26, apartado 2, letra f), el encargado del tratamiento alertará e informará al responsable del tratamiento inmediatamente después de que haya constatado una violación de datos personales.
3. La notificación contemplada en el apartado 1 deberá, al menos:
a) describir la naturaleza de la violación de datos personales, en particular las categorías y el número de interesados afectados, y las categorías y el número de registros de datos de que se trate;
b) comunicar la identidad y los datos de contacto del delegado de protección de datos o de otro punto de contacto en el que pueda obtenerse más información;
c) recomendar medidas tendentes a atenuar los posibles efectos negativos de la violación de datos personales;
d) describir las consecuencias de la violación de datos personales;
e) describir las medidas propuestas o adoptadas por el responsable del tratamiento para poner remedio a la violación de datos personales.
Y la incidencia de seguridad no sólo será notificada a esa Autoridad de control, sino que también se comunicará al interesado, a la persona afectada. Así lo propone el artículo 32 de la Propuesta de Reglamento:
Comunicación de una violación de datos personales al interesado.
1. Cuando sea probable que la violación de datos personales afecte negativamente a la protección de los datos personales o a la privacidad del interesado, el responsable del tratamiento, después de haber procedido a la notificación contemplada en el artículo 31, comunicará al interesado, sin demora injustificada, la violación de datos personales.
2. La comunicación al interesado contemplada en el apartado 1 describirá la naturaleza de la violación de datos personales y contendrá, al menos, la información y las recomendaciones previstas el artículo 31, apartado 3, letras b) y c).
Llama la atención de entrada, la brevedad extrema del plazo que se concede para hacer la notificación a la Autoridad de Control. Habrá que estar al plazo que finalmente se apruebe, pero probablemente se mantenga ese mismo.
Todo esto implicará la necesidad de que las empresas cambien su planteamiento de la gestión de incidencias que afecten a datos personales, con objeto de adecuarla a las nuevas exigencias legales.
Publicado el 27/05/2013 Categorías Brechas seguridad, LOPD, Reglamento Europeo Proteccion DatosDeja un comentario en Incidencias de seguridad y LOPD

References: artículo 18

Artículo 91

Artículo 93
 artículo 90
 Real Decreto 
 artículo 100
 artículo 31
 artículo 26
 artículo 32
 artículo 31
 artículo 31