Perder la memoria

Olvidar es uno de los grandes problemas a los que se enfrenta el ser humano. Perder conciencia de hechos y personas es un gran temor al que se enfrenta el que se acerca a una edad avanzada. Sin embargo olvidar también es bueno en determinadas circunstancias.

El habeas data reconoce como derecho que todo ciudadano pueda conocer, actualizar y modificar la información que se divulgue sobre su persona en los diferentes bancos de datos o los archivos de los organismos públicos o privados. Pero también reconoce el derecho de un sujeto a que una vez que una información haya cumplido su periodo de caducidad, que se puedan borrar todos los detalles negativos de su historia (por ejemplo en el caso crediticio). Es decir que se olviden los datos.

Este hecho reconocido como tal, derecho al olvido, empieza a oírse cada vez más. Sentencias judiciales, voces a favor, voces en contra, etc.  Como tal, por su importancia, ha sido recogido en la propuesta del Reglamento del Parlamento Europeo y del Consejo relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos.

"(53) Toda persona debe tener derecho a que se rectifiquen los datos personales que le conciernen y «derecho al olvido», cuando la conservación de tales datos no se ajuste a lo dispuesto en el presente Reglamento. En particular, a los interesados les debe asistir el derecho a que se supriman y no se traten sus datos personales, en caso de que ya no sean necesarios para los fines para los que fueron recogidos o tratados de otro modo, de que los interesados hayan retirado su consentimiento para el tratamiento, de que se opongan al tratamiento de datos personales que les conciernan o de que el tratamiento de sus datos personales no se ajuste de otro modo a lo dispuesto en el presente Reglamento. Este derecho es particularmente pertinente si los interesados hubieran dado su consentimiento siendo niños, cuando no se es plenamente consciente de los riesgos que implica el tratamiento, y más tarde quisieran suprimir tales datos personales especialmente en Internet. Sin embargo, la posterior conservación de los datos debe autorizarse cuando sea necesario para fines de investigación histórica, estadística y científica, por razones de interés publico en el ámbito de la salud pública, para el ejercicio del derecho a la libertad de expresión, cuando la legislación lo exija, o en caso de que existan motivos para restringir el tratamiento de los datos en vez de proceder a su supresión.

(54) Con el fin de reforzar el «derecho al olvido» en el entorno en línea, el derecho de supresión también debe ampliarse de tal forma que los responsables del tratamiento que hayan hecho públicos los datos personales deben estar obligados a informar a los terceros que estén tratando tales datos de que un interesado les solicita que supriman todo enlace a tales datos personales, o las copias o réplicas de los mismos. Para garantizar esta información, el responsable del tratamiento debe tomar todas las medidas razonables, incluidas las de carácter técnico, en relación con los datos cuya publicación sea de su competencia. En relación con la publicación de datos personales por un tercero, el responsable del tratamiento debe ser considerado responsable de la publicación, en caso de que haya autorizado la publicación por parte de dicho tercero."

Esta propuesta tiene como objeto actualizar los mecanismos de la protección de datos de carácter personal a nivel europeo y que datan del año 1995. Tal y como se deriva de estos artículos, debemos ser conscientes que se deberán articularán los mecanismos para que Internet puede perder memoria. Pero como se comerá esto con redes sociales, derecho a la información, la dispersión de los datos, las redes P2P, etc.

Un proyecto cuanto menos ambicioso, pero ¿hasta qué punto será realista? Recientemente Richard Allan, director de Asuntos Públicos de Facebook para Europa y Asia, ya anticipó que sería imposible para Facebook el cumplimiento del derecho al olvido. Podrán borrarse los datos existentes en su plataforma, peor no aquellos que proveniente de la popular red social se haya copiado y publicado en otras plataformas fuera de su control.

Se augura por lo tanto un caldo de cultivo interesante.  Tendrá voces enfrentadas y que veremos como se va desenvolviendo poco a poco.

Cloud, Google y la protección de datos en Europa

Un aspecto muy significativo que debía llevar implícito el estar dentro del espacio común europeo, lo constituye la unicidad de criterios en cuento a la aplicación de normativas conjuntas. Aunque esto se cumple a medias, es cierto que cada país presenta sus propias normas y adecúan las leyes según sus criterios con un "marco común". En materia de protección de datos sucede así, existe un marco general, pero la aplicación así como la interpretación es propia del país, lo que implica un conglomerado de idiosincrasias muy interesante.

No obstante existe la tendencia de generar criterios únicos para todos los países integrantes, ahí queda la proposición para una reforma general en materia de protección de datos. Un caso interesante del nuevo modelo, es la posición que presenta el grupo de trabajo de la Unión Europea de protección de datos, con respecto al cambio en la política de seguridad que presentó Google en marzo de este año. Emitido a mediados de Octubre, establece la necesidad de que Google aclare una serie de procesos y acciones con respecto al tratamiento de los datos. Es curioso por ejemplo que se solicita la extensión de determinadas operaciones destinadas a la protección de datos únicamente en Alemania para Google Analytics.

Leyendo el documento queda claramente evidente que se ha llegado técnicamente a una revísión de las condiciones de seguridad y el tratamiento de los datos, y no solo superficialmente a la revisión testimonial que se ha realizado en ocasiones. Si esta labor continúa con múltiples servicios que se ofrecen por Internet a buen seguro la protección de datos sera poco a poco una realidad.

Y es que con el auge de la tecnología Cloud, la privacidad es para tomárselo muy en serio. Cada vez los datos que se almacenan son más voluminosos y la información se encuentra más dispersas. Sin un ente regulador podríamos acabar en el más completo de los desamparos. Sirva también de lectura este documento sobre el impacto y el estado de la protección de datos europea con el uso de la nube, emitido por Pete Hustinx Supervisor e la Protección de Datos en Europa. 

Cookies legales

En marzo de este año se hacía pública en el BOE una polémica normativa que acogía una serie de modificaciones que afectaban a diferentes sectores incluido el del comercio electrónico. Motivada por las directivas europeas 2009/136 y 2002/58, de tratamiento de datos de carácter personal y a la protección de la intimidad en el sector de las comunicaciones electrónicas, se establecía la necesidad de reformular determinados artículos de la Ley 34/2002 (LSSI-CE).

Como tal, el 30 de marzo se publicaba el Real Decreto-ley 13/2012, por el que se transponen directivas en materia de mercados interiores de electricidad y gas y en materia de comunicaciones electrónicas, y por el que se adoptan medidas para la corrección de las desviaciones por desajustes entre los costes e ingresos de los sectores eléctrico y gasista. Se reformulaba a través de su texto el artículo 22 de la LSSI-CE quedando definido así:

"Artículo 22. Derechos de los destinatarios de servicios.

1. El destinatario podrá revocar en cualquier momento el consentimiento prestado a la recepción de comunicaciones comerciales con la simple notificación de su voluntad al remitente.

A tal efecto, los prestadores de servicios deberán habilitar procedimientos sencillos y gratuitos para que los destinatarios de servicios puedan revocar el consentimiento que hubieran prestado. Cuando las comunicaciones hubieran sido remitidas por correo electrónico dicho medio deberá consistir necesariamente en la inclusión de una dirección electrónica válida donde pueda ejercitarse este derecho quedando prohibido el envío de comunicaciones que no incluyan dicha dirección.

Asimismo, deberán facilitar información accesible por medios electrónicos sobre dichos procedimientos.

2. Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal.

Cuando sea técnicamente posible y eficaz, el consentimiento del destinatario para aceptar el tratamiento de los datos podrá facilitarse mediante el uso de los parámetros adecuados del navegador o de otras aplicaciones, siempre que aquél deba proceder a su configuración durante su instalación o actualización mediante una acción expresa a tal efecto.

Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario."

Esta normativa condiciona algunos aspectos de funcionalidad de contenido web de las empresas españolas que hacen uso de los servicios de internet como mecanismo para el comercio electrónico. Por ejemplo de aquellas que se haga un empleo de cookies para almacenar información del usuario y para los que podría ser necesario requerir información de consentimiento. No obstante hay que hacer una serie de matizaciones puesto que no en todas las circunstancias dicho consentimiento es requerido sino que podría consederarse implícito. El grupo de trabajo del artículo 29 de protección de datos de la Unión Europea ha emitido un dictamen el 12 de junio al repecto estableciendo las debidas matizaciones.

Hablaremos con detenimiento en futuros post en qué medida afectan a las organizaciones y que deben hacer para cumplir esta nueva adaptación a la protección de datos.

El acuerdo de Schengen en el aire...

Uno de los valedores principales de la aparición de la protección de datos de carácter personal, lo supuso el acuerdo de Schengen. Entre otras muchas cosas se establecía la libertad de tránsito dentro del espacio común europeo, legitimando la necesidad de compartir medidas y controles en un marco común. Pues ayer mismo se daban dos noticias bastante curiosas con respecto al mismo.

Por un lado Francia y Alemania, hablan de la posibilidad de realizar cierres de fronteras provisionales ante determinadas circunstancias. Por ejemplo en el caso de que no se consiga controlar el flujo masivo de inmigrantes. Esto permitiría que ante una posibilidad de que un país no pueda realizar el control de acceso reglado en el espacio europeo, otro colindante al mismo pueda servir de freno cerrando unas fronteras que llevan casi 17 años sin dar esa funcionalidad.

La otra noticia me preocupa más. Ayer 19 de Abril se aprobaba en el Parlamento Europeo un acuerdo que obliga a aerolíneas europeas que vuelan con origen o destino a EEU (o bien hacen escala) a transmitir toda la información de los pasajeros. Incluido entre otros, datos simples como el nombre y apellidos pero otro más peligrosos como el la información de la tarjeta de crédito con el que se haya realizado la compra del billete. También si ha hecho una petición especial de comida por motivos religiosos o de otra índole. La información se almacenará de acorde a unos tiempos estipulados, de tal forma que inicialmente se eliminará la información sensible, luego se despersonalizaran y finalmente pasarán a una lista inactiva hasta que sean eliminados.

De forma previa existía un acuerdo del año 2004 en el que para garantizar la lucha antiterrorista podrían compartir la información. No habría información directa a los datos de los pasajeros sino que habría que solicitar la información al Departamento oportuno y caso por caso, previa justificación de la necesidad y siempre garantizando la seguridad de los datos proporcionados. Bueno pues parece que lo que nos dan por un lado por otro nos lo acaban quitando.

Queda claro que esto de la protección de datos se toma en serio en función de determinados intereses. Si hace poco hablaba de las iniciativas que se iban a llevar a efecto para garantizar la seguridad de los datos en Internet, luego no salen con algo como esto, donde nuestros datos más sensibles pasan a formar parte de una base de datos manejada por váyase a usted a saber quien.

Quiero cancelar mis datos de Internet

Empieza a ser ya muy frecuente que el “yo virtual” de muchos internautas, supere en tiempo de exposición al yo físico que todos tenemos. Eseyo va dejando una impronta por Internet que en ocasiones puede lastrar al yo físico.

Comentarios desafortunados que se dejan, fotografías que hoy parecen ocurrentes pero mañana son incómodas, opiniones de las cuales a veces te arrepientes… Y como no, un buen día querremos cancelar nuestro “yo virtual”.

Sin embargo lo que depositas en Internet es como un tatuaje que puede quedar de por vida y a la larga te marca. La impunidad con la que la información fluye, se trasvasa de un sitio a otro, hace imposible saber donde puede acabar algo que se supone formar parte de la posible privacidad de cada uno. Claro está, si quiero eliminar algo pero ya se ha dispersado, ¿a quién le pido responsabilidades? o peor aún ¿dónde estará toda mi información?

Alguno pensará ¿si tu lo has subido a Internet, tuya es la responsabilidad de lo que subes? Cierto es en determinadas circunstancias (y merecida), pero en otras no. Si depositas tus datos, ndependientemente del qué, en un sistema protegido y este es vulnerado (más o menos lícitamente) y tu información dispersa, evidentemente habrá una culpabilidad relativa. Sin
embargo a partir de ahí tus datos dispersos son difíciles de trazar. Sirva de ejemplo la cantidad de información que se deposita en Pastebin tras la vulneración de un sitio web.

En otras ocasiones resulta que nuestra información no se encuentra depositada en un entorno físico donde la legislación (en este caso la europea) tenga marco de operación y el desconocimiento de las reglas de juego, son un factor en contra. Y es que un espacio como Internet es muy complejo (por no decir imposible) de legislar.

Sin embargo desde la Unión Europea lo tienen claro. Superada la primera fase de los datos de carácter personal en las empresas, el siguiente reto es Internet y casi todas las nuevas reformas que vienen estarán orientadas a ello. Si tú negocio es Internet te podrás ver afectado significativamente. Habrá nuevas reformas y medidas que afectarán tanto a grandes compañías (objetivo fundamental) pero por efecto colateral también a las pequeñas.

Las normas de protección de datos se fraguaron en 1995 cuando Internet no era más que un germen de lo que es a día de hoy. Donde las empresas y los datos tenían unas fronteras delimitadas y las normas un espacio donde operar. Sin embargo Internet ha roto todo eso. Se necesita ahora más flexibilidad y capacidad de respuesta (también quizás de improvisación, aunque en legislación es casi imposible) en la aplicación normativa. Y ese supone el
objetivo a cumplir.

Si quieres anticipar lo que viene aquí hay dos direcciones interesantes donde consultar estos cambios:

1. Sitio de la reforma de protección de datos.
2. Proposición de la Comisión Europea
   

Las leyes y normas en Europa (I)

En España estamos acostumbrados a oír palabras como Ley Orgánica, Ley ordinaria, Real Decreto, etc. Son parte de nuestro ordenamiento jurídico y de una u otra forma pueden saberse a que están sujetos las diferentes figuras jurídicas. Nuestro ordenamiento Nacional, promueve una idea única en lo que concierne a la aplicación legal de las normas, pero ¿qué pasa con Europa? Tantas naciones y un ordenamiento júridico específico para cada uno de ellas. Cuando de vez en cuando surge en la noticias que tal ley europea conmina a los países a cumplir una norma ¿no entrará en conflicto con las leyes de un país? ¿Qué tiene mayor rango y cual prevalece en caso de "conflicto"?

Esto lo vamos a ir abordando poco a poco. Lo primero conocer los tipos de normas que son aplicadas desde Europa y poco a poco se irán desgranando las ideas para conocer porque temas como el de la LOPD se ha hecho extensivo a toda Europa, aunque su aplicación no ha sido de forma uniforme y con las mismas características.

Las diferentes normativas existentes en Europa son las siguientes:
- Leyes constitucionales: Amplían y modifican la propia Constitución europea.

- Leyes orgánicas: Regulan las actividades propias de los órganos constituyentes de la unión europea. Regula entre otras cosas los cometidos facultados para el órgana, así como su constitución y los integrantes.

- Ley Europea: Norma legislatva de carácter general y aplicable directamente a todos los estados miembros de la Unión Europea. Será de aplicación todas los puntos contenidos en la normativa.

- Ley Marco: Es un acto legislativo que obliga al estado miembro destino de la ley a cumplir una legislación en la forma y medios que las autoridades nacionales competentes estimen oportunas.

- Reglamento: Instrumento jurídico del Consejo y el Parlamento europeo que como norma de aplicación directa tiene carácter de obligado cumplimiento.

- Directiva comunitaria: Es una decisión colectiva mutuamente obligatoria aprobada por los Estados miembros. Obliga a todos o parte de los Estados a cumplir unos objetivos, pero permite elegir la fórmula para su cumplimiento.

- Decisión: Tiene carácter de obligado cumplimiento, aunque vincula a unos destinatarios exclusivamente (no necesariamente el estado miembro como institución única), declarados en la decisión específicamente.

- Recomendación y dictamen: No son de obligado cumplimiento y tiene unicamente valor de declaración de hechos.

De leyes por Europa.

Es bastante curiosa la poca (o ninguna) conciencia que tenemos de las Leyes Europea y sin embargo lo significativamente que nos acaban afectando. Parece que esto de la Unión Europea nos queda bastante lejos (como referencia el índice de participación en las últimas elecciones) pero luego nos ataca tocando en la línea de flotación. Zas, directiva europea, ley al canto. Y desgraciadamente en circunstancias, por ser más papistas que el papa, sacamos la ley más dura de todos los miembros de la Unión Europea, como ha pasado con la LOPD, tal cual revela un estudio de la Cámara de Comercio.

No es objetivo hoy dar a conocer como funciona la aplicación legal desde la Unión Europea (ya lo haré en post futuros), si no indicaros la dirección donde puede seguirse todos los temas que están siendo tratados y evaluar así en que modo nos acabarán afectando. Se aplica para ello el perfecto axioma de cuando las barbas de tu vecino veas cortar, pon las tuyas a remojar, y en este caso ponte además algo de anestesia en la cara, porque a veces la cuchilla viene sin afilar.

A través de url:

http://eur-lex.europa.eu/

tienes acceso a toda la lesgilación de tipo europeo, incluyendo además de las normas, los tratados, acuerdos, trabajos preparatorios y jurisprudencia. Dentro de la legislación que nos compete al sector IT, la relativa a la aplicación de normativas al sector de la sociedad de la información nos implica consecuentemente.

Un ejemplo de información que podemos encontrar aquí lo tenemos a través del texo sobre las perspectivas futuras de las tecnologías de la información y de las comunicaciones (TIC) o los más recientes dictámenes en e-justicia.

Iremos poco a poco desglosando algunas de las directivas y perspectivas fundamentales que nos afectarán a corto plazo.

Saludos a todos.

ENFSI y la comisión europea de investigación.

A menudo nos pregutamos, que se cuece por Europa y en que forma nos afecta. Aunque la LOPD es bastante conocida, no lo es tanto el hecho de que su necesidad surge principalmente por una directiva Europea. Son numerosas en este sentido las iniciativas y prerogativas que la Unión Europea conmina a todos sus estados miembros.

Puesto que para muchos los temas relacionados con la UE, son bastante desconocidos, voy a tratar de acercar a través de una serie depost, las iniciativas, organismos y directivas que relacionados con la seguridad de la información pueden afetarnos a los profesionales del sector.

En este primero os invito a conocer el portal de ENFSI (European Network of Forensic Science Institute). Agrupado sobre el mismo, todo lo relacionado con la ciencia forense es expuesto en la plataforma siendo interesante la información que se puede encontrar de forma compartida entre los empleados y sus miembros. El portal como no podía ser de otra forma cuenta con un apartado específico sobre Forense Digital, donde puede encontrarse una guía de buenas prácticas para la aplicación de la ciencia.

También bastante relacionado con la ciencia forense, encontramos la comisión europea de investigación, con especialización en la lucha contra el fraude y la delincuencia. Entre sus trabajos cabe destacar CTOSE (Cyber Tools On-Line Search for Evidence).

Y para finalizar este post sobre la UE, las cosas parece que se pondrán serias en materias relativas a la seguridad y al Cibercrimen. En este sentido el nuevo programa marco de Justicia e Interior, promoverá entre otras cosas programas de intercambios de profesionales de investigación y justicia entre países y la mejora en los sistemas judiciales en lo referente a seguridad entre los países miembros. Esperemos que entre las nuevas normativas aclaren definitivamente lo referente a las evidencias digitales, regulen los procedimientos forenses y formen consecuemente a sus profesionales.