Reciclaje y RGPD: cumplir correctamente

,

¿Qué relación hay entre el reciclaje y la digitalización? A simple vista, puede parecer que no tienen relación alguna, pero van más de la mano de lo que creemos.

Muchas empresas se han sometido a procesos de transformación digital en los últimos años, dando lugar a cambios en su forma de trabajar y a que el papel, hasta ahora un gran aliado en el lugar de trabajo, quede relegado a un segundo plano, pues tendemos a optar por otras alternativas más cómodas, sostenibles y seguras.

Aun así, ¿sabías que, de media, un trabajador puede llegar a consumir hasta 60 kg de papel y cartón por año en la oficina? Por tanto, aunque con menos fuerza, el papel sigue estando ahí y, por eso, en este post, queremos contarte todos los aspectos que tienes que tener en cuenta para apostar por el reciclaje, la reutilización y la destrucción segura de los documentos que manejes, en cumplimiento con el RGPD y asegurando la protección de los datos que trates.

¿Cómo destruir o eliminar los datos correctamente?

Cuando hablamos de tratamiento de datos, nos referimos a cualquier operación o actividad que podamos llevar sobre ellos, desde la simple recogida, hasta la destrucción. Y, por ello, durante todo el ciclo de vida de esa información, y hasta el mismo momento en que la eliminemos, debemos adoptar medidas que aseguren su protección.

Hay muchas formas de destruir la documentación de forma segura, desde proceder a su queme hasta usar una destructora de papel (recomendamos esta última especialmente). También puedes hacerlo manualmente, pero siempre asegurándote de que no sea posible reconstruir fragmentos o identificar algún dato.

Conserva sólo aquello que necesites

Nuestra normativa de protección de datos es muy joven y, por ello, aunque fija criterios como el de limitación del plazo de conservación, que implica que los datos no pueden conservarse indefinidamente, no existen muchos plazos concretos de conservación en nuestro ordenamiento jurídico, pues no se ha actualizado en ese sentido. Pero es importante que recuerdes esa premisa: solo debes conservar la información si existe una justificación para ello.

Por ello, es conveniente que lleves a cabo una revisión periódica de los datos de que dispongan, a fin de determinar si debes borrarlos. Puede ser que aún los necesites para dar cumplimiento a tus obligaciones legales o contractuales, o por otras exigencias; pero, si no encuentras justificación de tipo alguno, lo mejor es no conservar esa información.

Busca proveedores que reciclen o destruyan de forma segura

Otra vía para implementar buenas políticas de reciclaje o destrucción segura de la documentación en tu organización, es colaborar con prestadores de servicio especializados en estas áreas. Son muchas las empresas que se dedican a la custodia de documentos, y también las hay que proceden a su transporte y destrucción segura, o a su reciclaje.

Has de tener en cuenta que, si contratas uno de estos servicios, ese prestador puede acceder, aun de forma indirecta, a datos que son de tu responsabilidad, por lo que debes ser precavido a la hora de seleccionarlos. En este sentido, puede resultar muy útil que el prestador contratado cuente con documentación acreditativa de que sus procesos y métodos de trabajo son seguros, por ejemplo, certificados como la UNE 15713, de destrucción segura de material confidencial.

Reciclaje y RGPD: aspectos importantes a tener en cuenta

Muchos espacios de trabajo disponen de un entorno en el que se almacenan folios reciclados. Es decir: papel que ya se ha utilizado para alguna función anterior pero que continúa estando en buen estado, por lo que se guarda para su reutilización. Si éste es tu caso, hay algunas recomendaciones que te serán muy útiles:

  • Antes de proceder al reciclaje o reutilización del material, examina bien su contenido
  • Si incluye datos personales, deberás implementar medidas para que los mismos no sean identificables, como su tachado, por ejemplo
  • Si lo anterior no resulta posible y los datos quedan a la vista, siempre es mejor proceder a la destrucción segura del documento. Esto es sumamente importante, e incluso hay una sanción de la AEPD a una abogada por reutilizar documentos que incluían información personal en el reverso
  • Preferiblemente, los folios reciclados debes usarlos para gestiones internas, anotaciones o similares, y no para finalidades que exijan que sean accesibles por terceros, tanto por limpieza y estética, como por seguridad.

Protocolo para un reciclaje seguro

Como siempre, para actuar de forma correcta en materia de protección de datos, lo mejor es prever los riesgos antes de pasar a la acción. Por ello, como buena práctica, te recomendamos que crees en tu organización un protocolo de reciclaje, reutilización y destrucción segura de los datos, y así ya dispondrás de pautas para saber cómo actuar.

Todo lo tratado en este post puede servirte de inspiración, pero como idea, algunos aspectos que podrías incluir en el mismo:

  • Qué documentos pueden reutilizarse y cuáles no
  • Cómo destruir la información de forma segura
  • Cómo manejar o qué uso dar a los documentos reciclados
  • Quién puede acceder a esos documentos
  • Cómo actuar ante una brecha de seguridad relacionada con lo anterior
  • Y, aunque no ha sido el tema principal del post, implementar medidas de destrucción segura de los archivos digitales. Por ejemplo, dispones de diversos programas y aplicaciones que pueden ser de mucha ayuda para ello.

Para ir cerrando…

Es enormemente positivo que cada vez sean más las organizaciones que optan por el reciclaje, pero no debemos olvidar el impacto que, como hemos visto, pueden tener estas prácticas en los datos y su protección. Asegúrate de disponer de las herramientas suficientes para tener métodos seguros, cumplidores y, sin duda, crearás un entorno más sostenible, a la par que evitas incumplimientos normativos. ¡Gracias por leer!

/0 Comentarios/por

WhatsApp, LOPD y empresas. 5 Claves para cumplir

, ,

WhatsApp es la aplicación de mensajería instantánea que ha revolucionado las comunicaciones en la era de internet. Nació en el 2009,  y desde entonces, se ha hecho parte de nuestra vida. Sus funcionalidades, usos y usuarios crecen día a día, así como la cantidad de datos personales que se tratan a través de ella.

Usarla con fines laborales o dentro de las empresas es un dulce harto apetecible para muchos, y para otros parte de su día a día. Este post nació con el fin de acercar las reglas que «rigen»/»regirían» el uso de la aplicación a nivel empresarial. Como más adelante decimos, no la recomendamos, pero si la va a usar, por lo menos tenga en cuenta unas cuantas «cosillas».

[Nota actualización 22/03/2018] El  pasado 15/03/18 conocimos que la AEPD sancionó a Facebook y a WhatsApp con 300.000 c/u, porque se comunicaron datos mutuamente sin el consentimiento “libre, específico e informado” de los usuarios. A raíz de esto tenemos muchas consultas de nuestros clientes, y no clientes, y hemos decidido actualizar este post. Verá los cambios marcados con [Act 22/03/18] 

¿Porqué hay que tener en cuenta la LOPD al usar WhatsApp?

WhatsApp fue concebida para uso personal. Pese a lo anterior, cada día hay más empresas, profesionales y comercios, que hacen uso de ella para tratar con sus clientes, comunicarse con el personal, etc.

Por otro lado tenemos la opción de crear grupos, y todo sea dicho, a esta función la carga el diablo. Muchas veces los integrantes del grupo no se conocen entre ellos, otras, no han dado su consentimiento para ser incluidos en el grupo, entre otras más vías de complicaciones.

Finalmente está lo más obvio, pero no menos importante ¡la información!. Los datos que se comparten, la tipología, el consentimiento para transmitirlos por esa vía, o incluso, si se ha informado o no de dicha posibilidad.

¿Usar o no usar whatsapp a nivel empresarial?

Hasta ahora habíamos recomendado no usar WhatsApp en las empresas –aún lo hacemos. [Act 22/03/18] No, no es recomendable usar whatsapp a nivel empresa, o para comunicarse con clientes, empleados padres, etc.– pero, ya no podemos decir que está absolutamente prohibido.

Básicamente no podemos decir que está prohibido por varias razones. La primera es que la Agencia Española de Protección de Datos empezó a usar esta App en el canal joven. [Act 22/03/18] Es más, la menciona en su «Guía centros educativos» pág. 26, y da recomendaciones para su uso; la segunda, que en sus sanciones e informes, no la prohíbe sino que habla de la protección de los principios de la protección de datos durante su uso; la tercera  es que el cifrado end to end, da una cierta -no del todo- apariencia de seguridad; y ya la última  y la guinda, que  actualmente está en pruebas la versión para empresas, y seguramente cuando esté disponible muchas empresas se subirán al carro de whatsapp.

Total, que por lo dicho antes, no nos queda de otra, más que dar algunas directrices para que ya que se usa o se va a usar, se use de la forma más correcta y cumplidora posible.

La clave de las 5 claves: cumplir con los principios de la protección de datos

Si pretende usar WhatsApp en su empresa, institución o negocio, tenga en cuenta que debe cumplir los principios de la protección de datos. Hablamos del principio de calidad, información, consentimiento, confidencialidad, seguridad de los datos, entre otros.

Los principios de la protección de datos son críticos para que nuestro uso de whatsapp con fines laborales o comerciales sea relativamente correcto. Hablamos de los principios de calidad, información, consentimiento, datos especialmente protegidos, confidencialidad y seguridad de los datos. Hay más, y por esa razón no se debería usar para estos fines, pues por ahora no son fáciles de cumplir, en especial el relativo la firma del contrato de protección de datos con whatsapp. Hablamos de este contrato, aquí.  

Clave 1. Informe a los usuarios que usará con ellos esa aplicación.

Antes de usar whatsapp para tratar datos personales de una persona, debe informarle de las finalidades de dicho tratamiento. El tratamiento en este caso puede ser, comercial, informativo, de confirmación de citas, de vía de comunicación, o de envío de datos. En cualquier caso, el titular de los datos debe saber del uso de esta herramienta y del fin para el cuál se prevé.

Clave 2. Pedir el consentimiento para tratar los datos por esa vía

Uno de los principios que más quebraderos de cabeza da a las empresas, es el consentimiento. Salvo excepciones, es necesario el consentimiento del cliente. Osea, que para tratar los datos del cliente por ese medio, hay que informar y pedir consentimiento.

Especialmente aquí haremos hincapié en la finalidad comercial. Para remitir información comercial, es necesario conforme al artículo 22 de la LSSI, solicitar el consentimiento expreso del afectado. El consentimiento expreso no es otra cosa que una acción clara afirmativa, informada, libre e inequívoca de que sí, quiere recibir publicidad. Por ese medio. Si no tenéis ese consentimiento, no enviéis publicidad por whatsapp.

Preguntas orientadoras sobre su cumplimiento. Si una o todas es no, !póngase manos a la obra!

  1. ¿En caso de envío de publicidad. Tiene el consentimiento expreso de las personas?
  2. Pide consentimiento a los interesados antes de incluirles en un grupo?
  3. Solicita consentimiento para enviar información personal por esa vía?

Clave 3. Cuide la confidencialidad de los datos que trata en whatsapp

La confidencialidad es uno de los requisitos más especiales que se exigen a una empresa, negocio u organización. Debe garantizarse que esos datos que nos han facilitado, se mantienen a salvaguarda y confidenciales. Que solo los trata el personal autorizado y que no acceden a ellos terceras personas.

Preguntas orientadoras sobre su cumplimiento. Si la respuesta a una o todas, es no, revise y actualice su cumplimiento.

  1. ¿Controla el uso profesional de esta app por parte de su personal?
  2. ¿Ha comprobado que el whatsapp desde el que se comunica su personal con el cliente es de la empresa y no desde su número personal?
  3. ¿Ha informado a su personal que en los grupos con clientes deben evitar compartir datos personales?
  4. ¿Tiene una política de tratamiento de datos vía online? en ella se debería describir las reglas de uso de estas y otras aplicaciones en el ámbito de la empresa.

Clave 4. Ponga medidas de seguridad para proteger los datos enviados o almacenados.

En este caso lo que se puede hacer es limitado, ya que la seguridad de la aplicación como tal, corresponde a WhatsApp. Eso sí, siempre podemos poner medidas de seguridad asociadas al procedimiento de custodia de los dispositivos, que almacenan los datos; del control del uso de la aplicación, etc.. También podrá hacerse a través de medidas de gestión asociadas a una política de uso de la aplicación y protección de los datos personales.

Estás preguntas le darán una idea de las opciones. No las eche en saco roto.

  1. ¿Usa la aplicación para remitir datos de carácter personal? Es mejor no  hacerlo.
  2. ¿Ha dado instrucciones a su personal sobre el tipo de datos que pueden o no remitir a través de esta vía?
  3. ¿El número de whatsapp que se usa para comunicar con clientes, personal, u otros interesados es de la empresa, o de un empleado?
  4. ¿Ha dado instrucciones para no crear grupos sin consentimiento de la dirección?
  5. ¿Elimina el contenido de las comunicaciones cuando han dejado de ser necesarias?
  6. ¿Conoce de forma clara quién y qué grupos de trabajo, o comunicación con clientes hay creados en su empresa?

Sanciones y apercibimientos puestos por la AEPD por el uso de whatsapp

En principio como dijimos antes, la agencia todavía no ha sancionado por el hecho en sí de usar whatsapp. Lo que ha hecho hasta ahora ha sido en relación con los principios de la normativa de protección de datos, y del cumplimiento del artículo 22 de la LSSI, Ley de Servicios de la Sociedad de la información y comercio electrónico.

Primera sanción (Enero 2016). Incumplimiento del artículo 22 de la LSSI. Envío de publicidad sin consentimiento expreso del afectado. 600€.

Primer apercibimiento (octubre 2017). Inclusión en un grupo de whatsapp de un cliente, sin el consentimiento del mismo, incluso en su contra.

[Actualización 31/12/17] Declaración de infracción de AAPP (Noviembre 2017) Creación de un grupo de whatsapp por parte de un Ayuntamiento. En el grupo incluyó al denunciante y a todo el pueblo… Sin consentimiento, usando datos recabados para otros fines.

Actualizaciones importantes por hechos noticiosos

1ª. [Actualización 31/12/2017 con motivo de los apercibimientos y declaraciones de infracción por creación de grupos de whatsapp]

[1] En caso dado, no sería delito, sino una infracción de la normativa de #ProtecciónDeDatos
[2] Es una infracción de: (1) deber del secreto: en el grupo todos ven los datos de todos. Para añadir correctamente a alguien, se le deberá pedir el #Consentimiento, así no hay vulneracion del deber del secreto, ni del principio de #información y consentimiento.
[3] Esta infracción es exigible cuando el grupo NO entra en la EXCEPCIÓN doméstica. Es decir, si es un grupo personal, familiar, NO «salvo cosas raras» no sería sancionable.
[4] La LOPD y el RGPD/GDPR son exigibles a las empresas, negocios, profesionales, y demás tratamientos de datos, comerciales, filantrópicos, etc. que no tengan fines domésticos.]

2ª. [Actualización 22/03/18, con motivo de las noticias que hablan de no usar whatsapp en la empresa, debido a la sanción a Facebook y Whatsapp]

[1] Ya mencionamos más arriba algunas indicaciones dentro del texto

[2]Cuando hablamos de las otras razones por las que no es recomendable usar whatsapp, y mencionamos el contrato de protección de datos, ahí, dábamos en la diana de lo se menciona en muchos de los artículos que han estado saliendo estos días. Whatsapp no cumple con la normativa de protección de datos, no se reconoce como prestador de servicio, y no sigue instrucciones de ningún responsable de fichero. Y, aunque firmara el contrato lo estaría incumpliendo al dar los datos a Facebook, sin consentimiento de la empresa, ni de los usuarios.

[3] Ah sí, al usar whatsapp estamos haciendo una transferencia internacional de datos… otra cosa es que no se transmitan datos personales… depende de cómo y para qué se use.

Conclusiones

Usar las herramientas que trae la evolución de la tecnología está muy bien, pero debe hacerse con precaución. Con la actual LOPD parece que la AEPD, no está siendo especialmente exigente en cuanto al uso de whatsapp, pero, ¿será igual cuando inicie la aplicación del RGPD, Reglamento General de Protección de Datos? No lo sabemos.

La recomendación principal es que siempre, siempre, siempre, se cumpla con los principios de la normativa de protección de datos. Que se proteja el derecho del usuario, y se prime este por encima de todo. A partir de ahí, se debe crear una política de uso de estas herramientas, darlas a conocer al personal, y poner medios para su cumplimiento.

[Act 22/03/18] Esto puede ser un cambio claro de línea por parte de la AEPD. Así que si ha decidido usar whatsapp en su negocio/empresa, pregúntese la razón que le lleva a ello y  si realmente es tan necesario; incluso puede buscar otras opciones menos «comprometidas»

Programa de radio asociado a este tema

El 16/10/2017, en el espacio «Internet en Familia» del Hoy por Hoy Tenerife, de Radio Club ser Tenerife, tratamos este tema. Os dejamos el audio, ya que ha algunas pinceladas que mencionamos durante el programa, y para no extener este post, aquí no las hemos tocado. Por ejemplo las implicaciones en protección de datos, del uso de whatsapp por parte de particulares… hay dato curioso, ¡avisamos!

/0 Comentarios/por

Los bulos y las consecuencias de crearlos y difundirlos

, ,

Los bulos, por desgracia, ahora son parte del pan nuestro de cada día. Ya en su momento os hablamos de ellos en este post.  Ahora bien, si además de ser parte de nuestro día a día, cada vez son más escabrosos y dañinos. Ahora mismo nos sobran bulos que alimentan el odio separatista, nacionalista, etc. Nos sobran bulos avisando de terremotos, o en los que se hace el linchamiento de personas.

¿Quién crea los bulos?

Siempre son creados por una persona. Aún las maquinas no tienen capacidad para hacer tal cosa. Eso sí. ¿qué motiva a alguien para crear y difundir un bulo? pues según la persona y su motivación. Claramente hay motivaciones de toda clase, políticas, económicas, diversión, de todo. Aunque sinceramente es difícil no preguntarse qué pasa por la cabeza de una persona que difunde un bulo sobre terrorismo, o sobre desastres naturales.

¿Consecuencias de los bulos en la sociedad?

Pues siempre generan una reacción en las personas que los reciben y se los creen. Por este motivo, un bulo anunciando un atentado inminente, o un terremoto, o una zona de robos, genera una acción- reacción entre la generalidad de personas que lo reciben, alterando su forma de actuar, y de forma indirecta el orden público.

Posibles consecuencias legales para los creadores

Encajes en el código penal

La creación y difusión de un bulo puede, según el tema que trate, o el afectado al que se refiera, encajarse de la siguiente manera:

  1. Como un delito contra el honor. Código penal, Titulo XI:
    1. Puede ser una calumnia: la imputación de un delito hecha con conocimiento de su falsedad o temerario desprecio hacia la verdad.
    2. Puede ser una injuria: la acción o expresión que lesionan la dignidad de otra persona, menoscabando su fama o atentando contra su propia estimación.
  2. Como un delito de desordenes públicos.

Artículo 561: Quien afirme falsamente o simule una situación de peligro para la comunidad o la producción de un siniestro a consecuencia del cual es necesario prestar auxilio a otro, y con ello provoque la movilización de los servicios de policía, asistencia o salvamento, será castigado con la pena de prisión de tres meses y un día a un año o multa de tres a dieciocho meses.

¿Cárcel por crear y difundir un bulo?

La semana pasada conocimos la noticia que hablaba de una mujer detenida en Malaga, como presunta creadora y difusora de un audio en whatsapp, en el que alertaba a la comunidad de la presencia de 2 Yihadistas en la ciudad. Pues bien, eso fue pocos días después de los atentados de Las Ramblas, en Barcelona. Debido a esa cercanía de las situaciones, se armó un revuelo social, se entró en pánico, y hubo una movilización de las fuerzas y cuerpos de seguridad del estado. ¿Porqué lo hizo, quién lo hizo? Ni idea, no tiene lógica. Pero para eso están las investigaciones, y por eso la detención de esta personal.

No es el primer caso, hace un par de años, 4 jóvenes en Estepona manipularon la portada de un periodico de tirada nacional, justo unas horas del atentado en Charli Hebdo. También cuando la crisis del Ebola, un chico madrileño hizo correr un bulo, y así. A todos la broma les ha costado como poco el susto de ser detenidos. Estaría bien saber en qué han terminado los ditintos procedimientos.

Y, ¿a colación de qué viene todo esto?

Básicamente de la siguiente noticia. Y de la amable invitación de Radio club SER – Tenerife para comentarlo en el programa de radio, la «Ventana de Canarias».

La noticia, por si no puede ver enlaces:

El presidente del Cabildo de Gran Canaria, Antonio Morales, ha asegurado este lunes que los servicios jurídicos están analizando los bulos vertidos en las redes sociales… sobre el origen del fuego, que han relacionado con la quema controlada de rastrojos del Cabildo…

“No tiene nada que ver con las quemas. Lo vamos a perseguir porque genera una alarma”

No queda claro cual es en definitiva la motivación  por la que quieren buscar responsables de los comentarios en las redes sociales, ya que si se trata de un tema de desordenes públicos que es donde encaja lo de la «alarma social», pues es que el incendio existió, y los comentarios, nacieron a raíz de dicho incidente. Otra cosa es que quieran encajarlo en defensa de la institución. Ya veremos como se desarrolla el tema.

Os compartimos el audio de nuestra participación. Que conste ante notario, que se trata de una participación distendida y para todos los públicos -es decir, expresamente nos pidieron que no nos pusiésemos con tecnicismos-

En conclusión.

Cuidado, las redes sociales a veces juegan malas pasadas y no siempre traen noticias verdaderas, no creas todo lo que te llega por whatsap. Que un mensaje venga con la voz de una persona real, que parece comprometida, no significa que sea cierto, sino, en muchos casos, que finge bien. Tampoco creas todo porque parezca una portada de un periódico conocido, ve a fuentes oficiales y contrasta la información.

Y por otro lado, no os olvidéis que en internet todo es trazable, que una investigación de los cuerpos y fuerzas de seguridad del estado puede resultar en detenciones gracias a las direcciones IP, a un número de teléfono, entre  otros. No juguéis, ¿qué necesidad?

/0 Comentarios/por