Bienvenidos al blog de hábeas data financiero y protección de datos personales

Bienvenidos al blog de hábeas data financiero y protección de datos personales


Invito a participar en este espacio a los interesados en la protección de datos personales, con la finalidad del enriquecimiento conjunto y colaboración con la sociedad.

Toda persona tiene derecho a conocer sus datos personales, que se encuentren en archivos, bases o bancos de datos y en caso de falsedad o discriminación, exigir la supresión, rectificación, confidencialidad o actualización de aquéllos.

En Argentina, la protección de datos personales se rige principalmente por el artículo 43, párr. 3º de la Constitución Nacional, la ley 25.326 y su decreto reglamentario 1558/2001.


Pueden dejar comentarios, sugerencias o enviar artículos de interés para ser publicados en este blog.


E-mail: contacto@habeasdatafinanciero.com


miércoles, 28 de febrero de 2018

Aborto

DERECHO A LA PROTECCIÓN DE DATOS SOBRE LA SALUD, DATOS SENSIBLES, ABORTO NO PUNIBLE



La Defensoría del Pueblo de la Ciudad Autónoma de Buenos Aires, inició de oficio una actuación con la finalidad de recabar información sobre los procedimientos que culminaron a fines del año 2012 con la difusión pública de información acerca de una paciente de 32 años, víctima de trata de personas, que se sometería a un aborto no punible en el Hospital General de Agudos “Dr. José María Ramos Mejía” de la Ciudad de Buenos Aires.

Los hechos que llevaron a la apertura de la actuación sucedieron los primeros días de octubre del año 2012, circulando públicamente que se realizaría un aborto no punible en un hospital de la Ciudad de Buenos Aires. Ante esta divulgación se planteó una acción de amparo por la que se dispuso la suspensión de la referida práctica médica. Esta acción finaliza con la intervención de la Corte Suprema de Justicia de la Nación, mediante el fallo “Pro Familia Asociación Civil c/GCBA y otros s/impugnación de actos administrativos” del 11 de octubre de 2012, que hizo lugar a la práctica médica autorizando la interrupción del embarazo. En la prensa  había circulado que la damnificada habría dicho “…me he visto afectada de modo personal por los “escraches” efectuados frente a mi domicilio particular.  Cabe recordar que en estos momentos estoy siendo acompañada y protegida por la Oficina de Rescate a Víctimas de Trata del Ministerio de Justicia de la Nación. En consecuencia, la divulgación de mis datos personales, como mi domicilio (donde vivo con mi familia y mis hijos), no sólo importa una grave afectación a mi intimidad y vida privada, sino también una exposición a riesgos por parte de los tratantes, que me afecta a mí y a mi grupo familiar. Cabe destacar que esta situación se generó como resultado de la violación del secreto profesional que debió proteger la intimidad de mi historia clínica, la intervención indebida de terceros y la actuación de la Justicia en violación a mi derecho a la privacidad, la dignidad y el respeto integral de mi salud.”
Ante ello, el Centro de Protección de Datos Personales, dependiente de la Defensoría indicada, envió oficio al Hospital General de Agudos “Dr. José María Ramos Mejía” a fin de interiorizarse de la situación y alertar al nosocomio sobre el manejo que deben cumplir respecto de los datos personales de carácter sensible. Asimismo le recuerda que la ley 1845 de protección de datos personales local, considera a la información referente a la salud como un dato sensible (Art. 3) y el Art. 9 de “Datos relativos a la salud” establece: “Los establecimientos sanitarios dependiente de la Ciudad de Buenos Aires y los profesionales vinculados a las ciencias de la salud que presten servicios en los mismos pueden recolectar y tratar los datos personales relativos a la salud física o mental de los pacientes que acudan a los mismos o que estén o hubieren estado bajo tratamiento de aquéllos, respetando los principios del secreto profesional.” Y se considera que este extremo en el caso no se ha cumplido. (del considerando I de la Resolución 0950/13)

La Protección a la intimidad y el tratamiento de los datos sensibles

El Art. 3 de la ley 1845 define a los datos sensibles como aquellos que “…revelan origen racial o étnico, opiniones políticas, convicciones religiosas o morales, afiliación sindical, información referente a la salud o a la vida sexual o cualquier otro dato que pueda producir, por su naturaleza o su contexto, algún trato discriminatorio al titular de los datos.”
El Art. 8 de la ley indicada se refiere a los datos sensibles estableciendo que ninguna persona puede ser obligada a proporcionar datos sensibles, pudiéndose tratar sólo cuando medien razones de interés general autorizados por ley.  Prohíbe la formación de archivos, registros o bases de datos que almacenen información que revele datos sensibles y los datos relativos a antecedentes penales o contravenciones administrativas sólo podrán ser tratados por las autoridades públicas competentes.
Expresa que la normativa aborda dos elementos centrales, por un lado el carácter sensible de la información referente a la salud y por el otro la obligación de proteger la intimidad a través del cumplimiento de “guardar secreto” Agrega, que la salud es un bien supremo que forma parte de la vida privada de las personas, por ello las leyes han otorgado una protección acorde con tal bien. Por ello, acceder y dar a conocer datos relativos a la salud de una persona pueden afligir a su titular, provocar efectos negativos para el desarrollo de su vida y hasta ser la causa de discriminación por parte de terceros. En este caso además, se trata de la divulgación de aspectos que involucran situaciones de violencia que incluso podrían poner en peligro su vida e integridad personal. Por ello la garantía legal es la obligación de “guardar secreto” por parte de los profesionales de la salud. Concluye el considerando señalando que frente al estado público que tomaron los hechos del caso, no hay dudas que la privacidad fue vulnerada. La garantía de protección y cuidado de la información sobre la salud y privacidad pesa sobre el Hospital desde donde se debe poner el esfuerzo para lograr los recursos materiales y culturales para proteger a las pacientes. Por tal razón es esa Institución que en pos de preservar la vida privada de la damnificada, a la que está obligada, debe garantizar la reserva, guardar discreción y no divulgar información personal. (del considerando III de la Resolución 0950/13)

Situación sobre el aborto en Argentina

En nuestro país el aborto es un delito, pero en algunas circunstancias se permite su realización sin sanción penal. Así, el Art. 86 del Código Penal de la Nación establece “…El aborto practicado por un médico diplomado con el consentimiento de la mujer encinta, no es punible: 1°) Si se ha hecho con el fin de evitar un peligro para la vida o la salud de la madre y si este peligro no puede ser evitado por otros medios. 2°) Si el embarazo proviene de una violación o de un atentado al pudor cometido sobre una mujer idiota o demente. En este caso, el consentimiento de su representante legal deberá ser requerido para el aborto.”
La Corte Suprema de Justicia de la Nación en el fallo “F.,A.L. s/medida autosatisfactiva del 13 de marzo de 2012 ha señalado el alcance que se le debe dar al Art. 86, inc. 2° del C.P. En el caso se trató la solicitud de un aborto de una niña de 15 años que había sido violada por su padrastro. La CSJN considera que a partir de la interpretación de las normas constitucionales y convencionales  (tratados y convenciones internacionales) no se deriva mandato alguno que imponga interpretar en forma restrictiva el Art. 86, inc. 2° del C.P., en cuanto regula supuestos de abortos no punibles que son consecuencia de una violación, es necesario remarcar que existen otras cláusulas de igual jerarquía  y principios básicos que obligan a interpretar dicha norma con un alcance amplio.
Agrega, la CSJN que “…reducir por vía de interpretación la autorización de la interrupción de los embarazos sólo a los supuestos que sean consecuencia de una violación cometida contra una incapaz mental implicaría establecer una distinción irrazonable de trato respecto de toda otra víctima de análogo delito que se encuentre en igual situación y que, por no responder a ningún criterio válido de diferenciación, no puede ser admitida (…). Máxime cuando, en la definición del alcance de la norma, está involucrado el adecuado cumplimiento del deber estatal de protección de toda víctima de esta clase de hechos en cuanto obliga a brindarle atención médica integral, tanto de emergencia como de forma continuada. (…) Asimismo, añade la CSJN  “Que teniendo a la luz aquella manda constitucional es que debe interpretarse la letra del artículo 86, inciso 2°, del Código Penal y por dicha razón, se debe concluir que quien se encuentre en las condiciones allí descriptas, no puede ni debe ser obligada a solicitar una autorización judicial para interrumpir su embarazo, toda vez que la ley no lo manda, como tampoco puede ni debe ser privada del derecho que le asiste a la interrupción del mismo ya que ello, lejos de estar prohibido, está permitido y no resulta punible.” Adicionalmente, exhortó “… a las autoridades nacionales y provinciales a implementar y hacer operativos, mediante normas del más alto nivel, protocolos hospitalarios para la concreta atención de los abortos no punibles a los efectos de remover todas las barreras administrativas o fácticas al acceso a los servicios médicos. En particular, deberán: contemplar pautas que garanticen la información y la confidencialidad a la solicitante; evitar procedimientos administrativos o períodos de espera que retrasen innecesariamente la atención y disminuyan la seguridad de las prácticas; eliminar requisitos que no estén médicamente indicados; y articular mecanismos que permitan resolver, sin dilaciones y sin consecuencia para la salud de la solicitante, los eventuales desacuerdos que pudieran existir, entre el profesional interviniente y la paciente, respecto de la procedencia de la práctica médica requerida”. (del considerando IV de la Resolución 0950/13)


La Resolución que venimos reseñando concluye en que “…la protección de la privacidad de parte de los funcionarios constituye una garantía fundamental que debe cumplirse rigurosamente. Los actores del sistema de salud y funcionarios públicos deben trabajar en pos de asegurar el cumplimiento de este derecho básico para evitar intromisiones arbitrarias en la vida de las personas. En igual sentido deberán garantizarse las prácticas médicas de conformidad con la normativa vigente.” (del considerando V de la Resolución 0950/13)


Matilde Susana Martínez

23 de mayo de 2013.

domingo, 11 de febrero de 2018

WiFi "gratis" en BA



 
Imagen pública de promoción a la conexión Wifi del Metro de Buenos Aires.
Un reciente informe de VICE Argentina revela algunos datos inquietantes sobre los términos y condiciones que aceptan (generalmente, sin leer) los usuarios de la red de WiFi que ofrece la ciudad de Buenos Aires de forma gratuita.
Al igual que muchas ciudades modernas, Buenos Aires cuenta desde hace algunos años con una red de internet inalámbrica pública a la cual se accede desde los parques, plazas, terminales de bus y ómnibus e, incluso, dentro de la red de subterráneos, gracias a la instalación realizada por el Gobierno de la Ciudad de Buenos Aires (GCBA) en colaboración con Subterráneos de Buenos Aires Sociedad del Estado (SBASE).
El informe señala que todo usuario que desee hacer uso de la red BAWiFi debe registrarse y aceptar los términos y condiciones para acceder a la conexión. Estos términos, a los que los usuarios no suelen prestar mucha atención, incluyen otorgar permiso al GCBA y a SBASE para recopilar sus datos personales y de registro, como el nombre, usuario, contraseña, número de documento de identidad o clave de identificación laboral (CUIL), nacionalidad, género, teléfono, dirección postal y datos de geolocalización, además de las fotografías y datos de voz almacenados en el dispositivo conectado a la red.
Otro aspecto llamativo de los términos y condiciones de la red de WiFi de Buenos Aires es que, al aceptarlos, el usuario otorga su consentimiento para que el Gobierno de la Ciudad y SBASE hagan uso y difusión de sus fotos y voz con fines publicitarios y de comunicación:
SBASE se reserva el derecho a realizar la acción publicitaria, de prensa, promoción, publicación y difusión que considere conveniente de los datos proporcionados por los USUARIOS que hagan uso del Servicio. Con la sola proporción de datos y aceptación de los presentes términos y condiciones, los USUARIOS prestan su expresa conformidad para la utilización y difusión de sus datos e Imágenes (foto y voz) por los medios publicitarios y de comunicación que SBASE y/o el Gobierno de la Ciudad Autónoma de Buenos Aires disponga.
El trabajo de VICE, ilustra este fragmento en un ejemplo sencillo:
Si lo hizo [aceptar los términos y condiciones], no debería sorprenderse si un día al entrar a la estación, ve su cara en una gigantografía con la frase: “De lunes a viernes bien temprano, (su nombre y apellido) disfruta de nuestro servicio”.”
Sin embargo, lo descrito anteriormente no es tan serio como lo que citamos a continuación del Artículo 2, apartado sobre “Plazo y duración”:
SBASE podrá establecer nuevas condiciones y/o modificaciones a cualquiera de las cláusulas contenidas en los presentes términos y condiciones y las políticas de privacidad sin necesidad de contar con la autorización del USUARIO.
El usuario acepta un contrato que puede cambiar sus términos en cualquier momento sin necesitad de su autorización. De allí surgen muchas dudas sobre qué pasará con todos los datos e imágenes recopiladas y almacenadas por el Estado, y a la luz de la inminente reforma de la actual Ley N° 25.326 de Protección de Datos Personales argentina, que data de octubre del 2000, se enciende una señal de alarma.
¿Para qué necesita SBASE el número de clave laboral de los usuarios? ¿Para qué necesita el gobierno de la ciudad almacenar las fotografías y notas de voz personales de cualquier ciudadano? ¿Qué otro uso potencial podría darle a esta información amparado por futuras modificaciones de la ley de protección de datos o de los términos y condiciones del contrato mismo?
Teniendo en cuenta que el artículo cuarto de la ley de Protección de Datos Personales dice que los “datos personales que se recojan a los efectos de su tratamiento deben ser ciertos, adecuados, pertinentes y no excesivos en relación al ámbito y finalidad para los que se hubieren obtenido”, se puede suponer que algunos de los datos recopilados por SBASE (en particular, las fotos de usuarios) podrían considerarse “excesivos en relación al ámbito y finalidad para los que se hubieren obtenido”.
Al momento de la edición de este artículo, el texto del contrato no está subido al sitio oficial del Gobierno de la Ciudad o de SBASE para su lectura y consulta ulterior; sólo se accede al contenido cuando se está en el Subte para conectarse.
El usuario de Twitter Tomás publicó el texto completo del contrato de adhesión que había guardado en un documento de Google un tiempo atrás y, sobre el informe de VICE, comentó:

La “sociedad de la transparencia”

En las redes sociales, hubo muy pocas reacciones de los cibernautas frente a la publicación del informe de VICE (o de las condiciones en sí mismas). Javier Pallero, analista de políticas públicas de Internet de Access Now, explica que hay muy poca conciencia sobre la privacidad, y que lo más preocupante de todo esto es que sea el Estado quien recoja estos datos:  “Es el único que todavía tiene la capacidad de quitarte los bienes, privarte de la libertad o, bajo ciertas circunstancias, pegarte un tiro legalmente”.
El usuario que accede a las plataformas de redes sociales, aplicaciones y otros servicios digitales está habituado a aceptar sus términos y condiciones de uso sin leerlos. Valeria Milanés, directora de la Asociación por los Derechos Civiles (ADC) Digital, explica que “son contratos de adhesión sumamente largos y con terminología muy compleja. Lo que debería suceder es que el texto fuera acompañado de mensajes con ideas muy claras sobre para qué se van a usar los datos, durante cuánto tiempo, en el lenguaje más sencillo posible”.
La entrega de datos ya se ha naturalizado entre los usuarios a tal punto de reducirlo a un precio relativamente bajo que se paga para obtener el beneficio de una conexión “gratuita”:
En otros casos, se simplifica el problema y se propone una solución práctica: no utilizar el servicio.
La escasa resistencia de los usuarios para entregar sus datos refleja un preocupante desinterés o desconocimiento de los potenciales riesgos que implica aceptar términos y condiciones que no comprenden en su totalidad.

¿Censura en la red #BAWifi?

En otro orden de ideas, el blog El Disenso, abiertamente crítico del Gobierno de la Ciudad de Buenos Aires y del gobierno nacional, denunció el bloqueo de su sitio desde la red de WiFi de Buenos Aires tras haber publicado una serie de investigaciones que, según ellos, “incomodan al GCBA”. El blog alega que, el 1 de febrero, varios de sus lectores informaron que no podían acceder al sitio web cuando estaban conectados a la red BA WiFi.
Horacio Rodríguez Larreta es el Jefe de Gobierno de la ciudad de Buenos Aires, sucesor en el cargo que ocupara el actual presidente de la Nación, Mauricio Macri.
El Disenso presentó quejas ante la Defensoría del Pueblo de la Ciudad de Buenos Aires y la empresa Subte BA. El 7 de febrero confirmó que el acceso al sitio se había restablecido en la red, en lo que describieron como un “incidente de bloqueo erróneo de URL”.
Por supuesto, para muchos queda la duda sobre si el incidente fue accidental o intencional.

jueves, 1 de febrero de 2018

DPD

Delegado de Protección de Datos según el esquema de la AEPD

01/02/2018
Si quieres orientar tu carrera laboral como profesional de la protección de datos o si ya estás trabajando en este campo, te ofrecemos información que podría serte de útil.
El próximo 25 de mayo de 2018 será aplicable el Reglamento General de Protección de Datos (RGPD) en el que la figura del Delegado de Protección de Datos (DPD) otorga un papel fundamental a los profesionales de la protección de datos. Si quieres orientar tu carrera laboral como profesional de la protección de datos o si ya estás trabajando en este campo, te ofrecemos información que podría serte de útil.

Certificaciones en protección de datos

Existen en el mercado certificaciones relacionadas con la figura del DPD y la privacidad, pero ninguna de estas certificaciones es exigible para el desempeño del papel de DPD y, sin embargo, pueden añadir un valor al profesional de la privacidad y proporcionar seguridad a los responsables y encargados de los tratamientos de datos cuando tienen que seleccionar a su Delegado de Protección de Datos.
Si deseas trabajar como DPD debes de saber que no es necesaria una titulación específica y que el RGPD no exige que estos profesionales dispongan de ninguna certificación específica, tal y como se ha mencionado en el párrafo anterior. Al contrario de lo que se indica en algunas páginas web, no es necesaria certificación para ejercer como DPD, la designación de un DPD corresponde a los responsables y encargados de los tratamientos de datos personales y su selección se debe realizar con diligencia atendiendo a las cualidades profesionales y no a una titulación o certificación específica.

Las certificaciones para DPD ofrecen a los responsables y encargados de los tratamientos de datos personales un marco de referencia sobre la cualificación de los profesionales de la protección de datos, pero no son un requisito o una obligación para el ejercicio de sus funciones. Desde la AEPD somos conscientes de la necesidad de un marco de transparencia y confianza que oriente a responsables y encargados de tratamientos la elección de profesionales cualificados y, con este objetivo, la AEPD, en colaboración con ENAC y el Comité de Expertos, ha elaborado elEsquema de Certificación para DPD.

Si quieres ser Delegado de Protección de Datos según el esquema de la AEPD

Si deseas certificarte siguiendo el esquema de la AEPD debes de ponerte en contacto con una entidad de certificación. Para saber las entidades de certificación a las que puedes acudir debes de consultar la página web de la Agencia en el apartado Delegado de Protección de Datos – Certificación o la página web de ENAC (Entidad Nacional de Acreditación).
Ten en cuenta que las entidades que pueden certificarte deben haber pasado previamente por el proceso de acreditación llevado a cabo por ENAC y únicamente las entidades acreditadas por ENAC podrán convocar exámenes oficiales para certificarte como DPD de acuerdo con el esquema de la AEPD.
El proceso de acreditación se inicia cuando una entidad presenta su solicitud ante ENAC y es admitida superando la fase inicial de la revisión y análisis de los documentos que le han sido requeridos. Superada esta fase inicial, la futura entidad de certificación puede solicitar a la AEPD una designación o autorización provisional que le va a permitir emitir certificados de DPD que tendrán carácter de definitivos cuando dicha entidad haya superado el proceso de acreditación. Las autorizaciones provisionales emitidas por la AEPD tienen una vigencia máxima de un año.
Si te presentas a un examen para certificarte como DPD convocado por una entidad de certificación que ha sido designada provisionalmente, deberás ser informado por la entidad acerca del carácter de la certificación que obtendrás. Para acceder a un examen para certificarte como Delegado de Protección de Datos debes cumplir y acreditar ciertos prerrequisitos que se describen en el Anexo I del Esquema de Certificación de Delegados de Protección de Datos. Las entidades de certificación tendrán que valorar tu experiencia y formación antes de permitirte acceder al examen de certificación para DPD y, si no cumples los prerrequisitos exigidos, no podrás participar en las pruebas para certificarte.
Existen empresas que ofrecen cursos para certificarte como DPD según el Esquema de la AEPD, pero únicamente la formación reconocida por una entidad de certificación servirá para cumplir con los prerrequisitos de acceso al examen. Incluso existen entidades que han anunciado fechas de exámenes para certificaciones de DPD según el Esquema. Sin embargo, hasta que estas entidades no hayan presentado su solicitud ante ENAC, actúen con una designación provisional y finalmente hayan superado favorablemente su proceso de acreditación como entidad de certificación, los exámenes aprobados no tendrán valor para que puedas certificarte.
Es preciso que tengas en cuenta que el Esquema se puso en marcha en julio de 2017 y las futuras entidades de certificación están trabajando con el objeto de superar los procesos de acreditación necesarios, procesos que son complejos y que, en general, requieren meses de trabajo. En el momento actual únicamente existe una entidad que haya solicitado a la AEPD su designación provisional, pero a lo largo de los próximos meses cabe esperar que existan más entidades, ya que desde la puesta en marcha del Esquema han mostrado su interés en convertirse en entidades de certificación o en entidades de formación siguiendo el Esquema.

No olvides que puedes consultar las entidades de certificación con validez según el Esquema de la AEPD en la página web de la Agencia.


https://www.agpd.es/blog/delegado-de-proteccion-de-datos-segun-el-esquema-de-la-aepd-ides-idPhp.php