HOME
Bienvenidos al blog de hábeas data financiero y protección de datos personales
Bienvenidos al blog de hábeas data financiero y protección de datos personales
Invito a participar en este espacio a los interesados en la protección de datos personales, con la finalidad del enriquecimiento conjunto y colaboración con la sociedad.
Toda persona tiene derecho a conocer sus datos personales, que se encuentren en archivos, bases o bancos de datos y en caso de falsedad o discriminación, exigir la supresión, rectificación, confidencialidad o actualización de aquéllos.
En Argentina, la protección de datos personales se rige principalmente por el artículo 43, párr. 3º de la Constitución Nacional, la ley 25.326 y su decreto reglamentario 1558/2001.
Pueden dejar comentarios, sugerencias o enviar artículos de interés para ser publicados en este blog.
E-mail: contacto@habeasdatafinanciero.com
lunes, 22 de enero de 2018
Premio de Agencia Vasca
domingo, 14 de enero de 2018
Privacidad por diseño
Seguridad
La privacidad por diseño ante la llegada del GDPR
9 claves para entender el Reglamento General de Protección de Datos (GDPR)
- Revisar los acuerdos con proveedores: A la hora de manejar datos de los clientes, las empresas suelen contar con ayuda de proveedores técnicos y administradores externos. A la hora de asegurar el cumplimiento del GDPR deberemos asegurarnos de que todos ellos cumplan en el diseño de sus sistemas con las normas del nuevo Reglamento, a fin de que ningún extremo de nuestro despliegue sea susceptible de una sanción.
- Aunar seguridad e ingeniería: Es la medida más lógica cuando se habla de privacidad por diseño, la creación de equipos multidisciplinares donde los expertos en seguridad trabajen codo con codo con los ingenieros de software a la hora de crear nuevos aplicativos. De esta forma nos aseguraremos de que el personal de seguridad tiene una visión completa de los flujos de trabajo, procesos de negocio y políticas existentes de recopilación, control, gestión y almacenamiento de datos susceptibles de caer en las garras del GDPR.
- Demostrar el cumplimiento es casi tan importante como el cumplimiento mismo del nuevo Reglamento. Una evaluación de impacto de la privacidad (PIA) de los sistemas contribuirá en gran medida a hacer ambas cosas. También se puede usar para guiar futuras decisiones de diseño de nuestros aplicativos de software.
lunes, 20 de noviembre de 2017
jueves, 16 de noviembre de 2017
Delegado de Protección de Datos
Las empresas españolas deberán nombrar un Responsable de Protección de Datos en seis meses
La Vanguardia
|
jueves, 9 de noviembre de 2017
Principios de privacidad
Estas son las nuevas obligaciones en privacidad de la futura normativa de protección de datos
OpenText presenta los seis principios de privacidad que afectarán a las empresas con la nueva legislación de protección de datos (GPDR).
El próximo 25 de mayo de 2018 entrará en vigor la nueva Regulación General de Protección de Datos (RGPD o GDPR por sus siglas en inglés), una ley que permitirá regularizar las obligaciones de privacidad y seguridad de las compañías que tratan información personal e incrementará el control normativo sobre los datos personales.
Desde OpenText, empresa especializada en Gestión de de la Información Empresarial (EIM), exponen algunas de las obligaciones que las organizaciones deberán cumplir cuando se estrene la GDPR:
–Legalidad, legitimidad y transparencia. Las empresas que gestionen datos personales tienen la obligación de informar a los usuarios acerca de cómo se procesará su información en cumplimiento con la normativa.
-Limitación de uso. La información personal sólo puede recogerse con un fin explícito y legítimo, y su uso no puede expandirse más allá del consentimiento del usuario.
– Minimización de los datos. Los datos personales recogidos deben limitarse únicamente a lo que es necesario en relación con los objetivos para los cuales fueron recogidos y tratados.
-Precisión. La información personal debe ser precisa. Los usuarios deben tener derecho a solicitar correcciones que deben ser atendidas a la mayor brevedad posible.
– Limitación de almacenamiento. Las organizaciones están obligadas a no retener los datos personales más tiempo del necesario para el uso explícito y legítimo autorizado por el usuario.
–Integridad y confidencialidad. Las empresas que gestionen datos deben garantizar un nivel adecuado de seguridad que incluye la protección frente a tratamiento sin autorización o ilegal, y frente a pérdidas, destrucción o daños accidentales.
|
viernes, 3 de noviembre de 2017
RGPD
Prepárate para el nuevo Reglamento europeo de Protección de Datos
El Mundo Financiero
ENTENDER LOS DATOS CON LOS QUE SE TRABAJAPrepárate para el nuevo Reglamento europeo de Protección de Datos· Por Javier Ortega Estrada, Director para el Sur de Europa y Mercados Emergentes de Dropbox
Jueves 02 de noviembre de 2017, 09:30h
El 25 de mayo de 2018 entra en vigor el nuevo Reglamento General de Protección de Datos o RGPD (también conocido por sus siglas en inglés “GDPR”), una norma que tendrán que acatar todas las empresas que trabajan con datos personales de ciudadanos de la Unión Europea. Esta nueva regulación supone nuevas e importantes obligaciones para las empresas en cuanto a la gestión de los datos personales; además, para aquellas que vulneren las normas prevé sanciones severas como, por ejemplo, multas de hasta el 4 % del volumen de negocio global o de 20.000.000 €, la cantidad que sea mayor según el caso.
Algunos de los cambios más destacados que introduce este nuevo reglamento son los siguientes: nuevas normas sobre cómo notificar a las autoridades los incumplimientos relacionados con la protección de datos; el derecho a la portabilidad de los datos, es decir, el derecho a solicitar los datos personales para poder transferirlos a otros servicios; el derecho al olvido, que implica que la empresa tiene la obligación de borrar los datos de la persona que así lo solicite; la obligación de las empresas en determinados casos de llevar a cabo evaluaciones de impacto sobre la privacidad antes de tratar datos personales; o la obligación que tienen las empresas que realizan determinados tipos de procesamiento de datos de nombrar un encargado de protección de datos.
A menos de un año de la entrada en vigor del RGPD, hay muchas empresas que todavía no han empezado a prepararse y tendrán que desarrollar e implementar una estrategia específica para cumplir con el nuevo reglamento europeo.
Todas las entidades que tratan con datos personales de ciudadanos de la UE necesitarán diseñar una estrategia a medida que dependerá de varios factores como el tamaño de la empresa, el tipo y la cantidad de datos que tratan y las medidas de seguridad y privacidad que ya tienen implementadas. Se recomienda que las empresas busquen asesoramiento legal para determinar qué medidas son necesarias en cada caso. No obstante, hay varios requisitos sobre cómo tratar los datos personales que son comunes y afectarán a todas las empresas, incluso a las más pequeñas.
El primer paso para cumplir con el RGPD es entender de qué modo se almacenan, tratan, comparten y utilizan los datos personales en tu empresa. Para llevar a cabo un análisis minucioso de la situación, es necesario comparar el modo de proceder actual con los requisitos de la nueva regulación y pensar en los cambios que hay que realizar para poder cumplir con ella adaptándose de la mejor forma a tu empresa. Recuerda que el cumplimiento del RGPD no afecta solo a las políticas y medidas de tu propia entidad, sino que va más allá y se extiende a los proveedores que procesan datos personales en tu nombre.
Algunas empresas tendrán la obligación de nombrar un encargado de tratamiento. En todos los casos será necesario adoptar un programa de cumplimiento de protección de datos. Es probable que tengas que reforzar tu política de protección de datos y organizar sesiones de formación para tu equipo. Solo algunas empresas estarán obligadas a seleccionar un encargado de tratamiento. Resulta esencial hacerlo en aquellas que llevan a cabo dos tipos de trabajo – los relacionados con operaciones de tratamiento a gran escala que persiguen tratar diferentes categorías de datos personales o con seguimiento de datos personales a gran escala– como, por ejemplo, los anuncios en línea segmentados por comportamiento.
A tu empresa le interesa revisar la base jurídica que se utiliza actualmente para tratar distintos tipos de datos personales. Si la base del tratamiento de datos es el consentimiento del usuario, será necesario que te plantees cómo obtenerlo y cómo ser capaz de demostrar de forma clara cuándo se concede.
Según el RGPD, cualquier persona cuyos datos se traten en tu empresa tiene nuevos derechos, incluyendo el derecho a tener acceso a sus datos personales, a que se corrijan, se borren o se transfieran electrónicamente.
¿En tu empresa podéis encontrar, borrar y trasladar los datos de vuestros clientes fácilmente? ¿Disponéis de los recursos necesarios para responder con rapidez a las consultas relacionadas con los datos personales? ¿Tu empresa, y los terceros con los que trabajáis, guardáis registros de la localización de los datos, de cómo se procesan, de dónde se encuentran y de con quién se comparten?
De acuerdo con el RGPD, las empresas tienen que tener en cuenta la privacidad por diseño y desde el principio a la hora de desarrollar proyectos, procesos o productos nuevos. La idea que concibe la privacidad por diseño es que si la privacidad se tiene en cuenta desde un principio, los riesgos de privacidad se minimizan. ¿El acceso a los datos personales está protegido y solo tienen acceso a ellos las personas de tu empresa que los necesitan? En algunos casos, es conveniente que realices evaluaciones de impacto sobre la privacidad antes de tratar datos personales.
Será necesario que tu empresa cuente con una política de gestión de incumplimientos de protección de datos y con los procesos correspondientes para hacerlo. Asegúrate de que sabes a qué autoridades tienes que notificar dichos incumplimientos relacionados con la protección de datos y el tiempo que tienes para hacerlo. Las notificaciones que se hagan fuera de plazo, y los incumplimientos en sí, pueden implicar la imposición de multas.
El RGPD te obliga a informar a las personas de la base jurídica del tratamiento de datos y de las autoridades a las que pueden dirigirse en caso de que surja algún problema. Asegúrate de que las políticas de privacidad en línea de tu empresa están actualizadas.
Para poder cumplir con las normas del RGPD es necesario que tengas en cuenta la seguridad de tus datos de principio a fin, es decir, también tienes que considerar a los proveedores que tratan datos personales en tu nombre. Trabajar con un proveedor que se encargue del tratamiento de datos no te exime de las obligaciones del RGPD. Debes valorar si la empresa encargada de tratar los datos trabaja con estándares de protección de datos internacionales, si tiene experiencia en gestionar la seguridad de los datos a gran escala y si dispone de herramientas que puedan ayudarte a mejorar la gobernanza de datos y a mitigar los riesgos de incumplimiento. Revisa si tu proveedor cuenta con algún estándar internacional de seguridad y protección de datos como la ISO 27018 y pídele información sobre su seguridad de red y de información (por ejemplo, su técnica de encriptación y sus controles a nivel de aplicación), política de seguridad, evaluación de formación y riesgos, así como medidas de ensayo.
Por otra parte, los servicios TI de terceros también pueden ayudar a las empresas, especialmente a las PYMES, a cumplir con la regulación. Por ejemplo, las empresas pueden optar por soluciones en la nube que se crearon teniendo en cuenta cuestiones de seguridad y privacidad desde el principio. Valora cómo algunos servicios en la nube pueden ayudarte a controlar el acceso a los datos en tu empresa, a responder a las solicitudes de información sobre datos personales y a mejorar la seguridad en tu empresa.
|
miércoles, 4 de octubre de 2017
Agencia de acceso
Argentina presenta nueva Agencia de Acceso a la Información Pública
El Gobierno de Argentina presentó hoy la nueva Agencia de Acceso a la Información Pública, creada tras un reciente decreto del presidente Mauricio Macri que modificó la ley de acceso a la información pública
viernes, 22 de septiembre de 2017
Multa
Condenaron a La Anónima a pagar 250 mil pesos a una cliente
Condenaron a la Anónima a pagar 250 mil pesos a una cliente
La Sociedad Anónima Importadora y Exportadora de la Patagonia (La Anónima) y la Compañía Financiera Argentina (Efectivo Sí), tendrán que indemnizar con 250 mil pesos e intereses a una cliente que las denunció por daño moral y punitivo.
La condena, que básicamente castiga el incumplimiento de las normas de Defensa del Consumidor, fue confirmada por la Cámara Civil de Apelaciones de la localidad rionegrina de Roca, al respaldar el fallo que la jueza en lo Civil, Andrea de la Iglesia, había dictado en febrero último.
Según fuentes judiciales, la mujer había contratado la tarjeta de crédito La Anónima, y sus desventuras comenzaron cuando sus datos fueron utilizados por desconocidos que solicitaron un crédito en Efectivo Sí, entidad ligada a la cadena de supermercados.
Contaron que la mujer (docente, ella) fue contactada en una escuela por una promotora de La Anónima a la que le entregó la documentación y los datos personales que le requería. Pero, para su desgracia, fallaron los controles y terminó figurando como deudora de un crédito personal de 10 mil pesos que jamás había solicitado.
“Los controles volvieron a fallar” y no sólo fue intimada al pago sino también informada como morosa en la base central de deudores del BCRA, lo que la llevó al Veraz, dijeron las mimas fuentes. Y subrayaron que es por eso que el fallo de los camaristas Gustavo Martínez y Adriana Mariani habla de un “proceder ligero y despreocupado” de las empresas “en materia de protección de datos personales y del consumidor”.
Sobre el rubro “daño punitivo” (200 mil pesos), el juez Martínez consideró que “las fallas de los controles y la escasa significación que aquí hemos visto respecto de los derechos y dignidad del consumidor, no son un hecho aislado, sino consecuencia del comportamiento que han observado para los clientes en general”.
Los otros 50 mil pesos del monto condenatorio corresponden al “daño moral” que sufrió la maestra.
|
martes, 19 de septiembre de 2017
Morosos
Fichero de morosos y derecho al honor
Justo Gil Sánchez 19.09.2017 | 04:30Les incluyen normalmente entidades financieras u otras (empresas de telefonía, por ejemplo) incluyendo las cuotas impagadas así como los datos del cliente incumplidor. Deben ser notificados los interesados en el plazo de treinta días desde que se hayan registrado sus datos.. La consulta de un listado de morosos en una práctica muy habitual a la hora de adoptar decisiones sobre riesgo de crédito.
La indemnización por daños morales (debe atender a la difusión, tiempo transcurrido con la anotación, la cantidad de consultas que se han hecho, incerteza de la deuda, naturaleza de las empresas que han consultado los ficheros, etcétera) se conjuga por la existencia de una «intromisión ilegítima en el derecho al honor».
Aquéllas circunstancias generan un notorio perjuicio en la fama y estima del perjudicado (reclamaciones extrajudiciales de despachos de abogados, cartas, requerimientos, etcétera). La jurisprudencial del Tribunal Supremo ha dicho que «no es admisible que se fijen indemnizaciones de carácter simbólico», pues al tratarse ? el derecho al honor- de derechos protegidos por la Constitución, como derechos reales y efectivos, están enraizados en un Estado social y democrático de Derecho y merecen una «protección especial». Se señala que la correlativa exigencia de una reparación tiene que ser acorde con el relieve de los valores e intereses en juego.
sábado, 9 de septiembre de 2017
Equifax
Tu información podría estar en riesgo por el ataque cibernético a Equifax |
Equifax, una de las agencias de informes de crédito más grandes, y por lo tanto receptora de una masiva cantidad de información confidencial, fue hackeada recientemente. El ataque ha puesto en riesgo los datos confidenciales de 143 millones de estadounidenses.
El ciberataque masivo fue dado a conocer recién hoy, aunque se informa que ocurrió hace varios meses, en algún momento entre mayo y julio del 2017, cuando se descubrió la intrusión.
Mientras que la violación realizada a Equifax no es la más grande en términos del número de víctimas, es sin duda motivo de preocupación por el tipo de información crítica que fue robada. Ejemplos de la información sensible comprometida incluyen 209,000 números de tarjetas de crédito, datos personales relacionados con disputas de crédito de 182,000 víctimas, y datos que podrían utilizarse para acceder a historiales médicos, cuentas bancarias y más.
Este no es el primer ataque dirigido a Equifax. Un hack anterior robó datos de documentos W-2 del gigante del crédito, y otros ataques han ocurrido contra las filiales de la compañía. Esta violación, sin embargo, es la más grande.
Pamela Dixon, directora ejecutiva del grupo de investigación sin fines de lucro World Privacy Forum, dijo en un comunicado: “Esta situación es tan mala como puede ser posible. Si usted tiene un informe de crédito, lo más probable es que pueda estar afectado. Las posibilidades son mucho mayores que el 50 por ciento”.
Equifax ha establecido un sitio web oficial que las personas pueden visitar para tener más información sobre el ataque, averiguar si están afectadas e inscribirse en servicios gratuitos de protección contra robo de identidad y de monitoreo de archivos. Si alguna vez has solicitado cualquier tipo de crédito, como la gran mayoría de las personas en este país, es una buena idea ir al sitio y verificar tu situación.
De acuerdo con un comunicado de prensa emitido por la oficina del senador estadounidense Mark Warren, el ataque Equifax plantea importantes cuestiones sobre el papel del gobierno en la respuesta a la amenaza en curso a la información personal.
“Mientras que muchos se han acostumbrado quizás a oír hablar de una nueva brecha de datos cada pocas semanas, el alcance de este ataque implica números de Seguro Social, fechas de nacimiento, direcciones y números de tarjetas de crédito de casi la mitad de la población de los Estados Unidos”, afirma el senador. “El Congreso no sólo debe crear una norma uniforme de notificación de violación de datos, sino también necesita repensar las políticas de protección de datos, de modo que empresas como Equifax tengan menos incentivos para recopilar grandes conjuntos centralizados de datos altamente confidenciales de millones de estadounidenses”.