Archivo de la categoría: Reglamento Medidas de Seguridad

Jornada Cloud Computing y la privacidad de los menores en la red


Como ya comenté en el artículo «Cloud Computing y Privacidad de los Menores en la Red» estaba prevista mi participación en el reciente evento organizado por la Fundación Solventia.

Adjunto copia del resumen del evento preparado por la Fundación:

“Hay una reducida consciencia de la protección de datos y los riesgos que implica compartir información en la red”

  • “Es necesario educar en la política de privacidad a todos los actores implicados, especialmente a los  menores”
  • “El actual marco legislativo da muchas respuestas a los desafíos del Cloud Computing. La autorregulación es un complemento y no un sustitutivo de ley”
  • La Fundación Solventia y la Fundación Anar firman un acuerdo de colaboración para compartir recursos y velar por la protección de la infancia

Los cambios de aplicaciones de las nuevas tecnologías constituyen un fenómeno que ha variado nuestra forma de relacionarnos y de comunicarnos, mucho más aún en el caso de los menores. En la vida digital se intercambian datos personales, imágenes, información pública o privada que se introduce en la red sin conocer los riesgos que esto conlleva. Y es que… ¿A dónde van mis datos? Este interrogante fue el punto de partida de la Jornada Cloud Computing y la privacidad de los menores en la red, que la Fundación Solventia organizó ayer en el Ilustre Colegio de Abogados de Madrid. La cita, celebrada en colaboración con la Fundación ACS, Google y el Centro de Estudios Diaz-Bastien &Truan es ya un punto de referencia para los especialistas en protección de datos ya que fue una acción más del proyecto de investigación internacional ‘La privacidad de los menores ante el uso de las nuevas tecnologías’ que la Fundación Solventia desarrolla desde hace un año.

El seminario fue inaugurado por el director de la Agencia Española de Protección de Datos (AEPD), Artemi Rallo Lombarte, además del Presidente de la Fundación Solventia, Conrado Truan y el director del proyecto de investigación y Catedrático de Derecho Administrativo José Luis Piñar Mañas. En diálogo con todos los actores implicados en este proceso, la jornada también contó con la intervención de más de 20 profesionales y expertos del sector, quienes reflexionaron sobre los desafíos de cloud computing o nube digital y cómo proteger los principios de la privacidad, especialmente de los menores, un colectivo tan vulnerable.

Conectividad y colaboración

El auge de la computación en la nube, cloud computing o “nube TIC” –tal y como prefiere definirla Julián Inza, presidente de Albalia Interactiva– hace que sea imprescindible tener en cuenta este nuevo paradigma de funcionamiento de Internet. Esta tendencia se basa en que los archivos o documentos que tradicionalmente almacenábamos en nuestro ordenador pueden alojarse ahora en ‘la nube’ de Internet. De esta manera se han transformado los sistemas de almacenamiento de datos y documentos ya que ahora “cualquier usuario puede acceder a sus archivos personales desde cualquier sitio”, destacó Barbara Navarro, directora Europea de Políticas Públicas y Asuntos Institucionales de Google España y Portugal.

Asimismo, Navarro señaló que la existencia de la ‘nube digital’ “contribuye a la conectividad y colaboración entre las personas”. El cloud computing también facilita trabajar en grupo a través de la red posibilitando “que varias personas co-editen un documento, realicen búsquedas de información en segundos o escriban un mail en un idioma y el destinatario lo reciba en otro”. Sin embargo, desde el punto de vista de la privacidad, el intercambio y la conectividad plantea una serie de interrogantes que todos los actores implicados deben responder.

Autorregulación, ¿una solución?

Otro de los puntos clave que añade complejidad a este campo es el principio de territorialidad en la aplicación de las normas y el carácter interterritorial intrínseco de la computación en la nube. “No podemos saber realmente donde se ubican los almacenes de datos”, explica José Luis Piñar, “por tanto, no podemos realmente determinar en todo momento que norma puede aplicarse”. Sin embargo, el desconocimiento que arguyen los proveedores de Internet sobre la ubicación de los datos o sobre qué jurisdicción aplicar “no puede excusar el incumplimiento de los principios de la protección de datos y la privacidad”, explicó Francisco Fonseca Morillo, director de la Representación de la Comisión Europea en España. “El derecho y, en concreto la legislación europea, da respuesta a estos interrogantes. No podemos permitir que los suministradores de los servicios digitales no cumplan los principios de privacidad. Debemos exigírselo”.

En esta misma línea se manifestó Natalia Martos Díaz, Directora Jurídica y de Privacidad de Tuenti quien insistió que “el marco legislativo actual da muchas respuestas a los desafíos que se plantean. En ningún caso la autorregulación puede sustituir a la ley. Es un complemento necesario en situaciones concretas, pero no un sustitutivo legal”. En cuanto a la autorregulación, una práctica mucho más extendida en Estados Unidos, José Luis Piñar consideró que “es imprescindible acentuar las medidas de autorregulación responsable mediante la definición de políticas de privacidad rigurosas, cuyo cumplimiento esté garantizado por los proveedores y que cuenten con algún grado de vinculatoriedad al objeto de poder imponer, en su caso, su acatamiento”.

Educar para concienciar

Junto al cumplimento de la ley o la mejora de las medidas de autorregulación hay otro aspecto imprescindible para salvaguardar la privacidad: la concienciación. “Existe una reducida conciencia de los riesgos que implica compartir datos y hay un gran desconocimiento sobre la protección de los mismos”, afirmó  Pablo Lucas Murillo, magistrado del Tribunal Supremo. “Es necesario fomentar una conciencia de protección de datos a través de la educación de todos los actores implicados”, explicó Lucas Murillo. “Instituciones, familia, educadores, proveedores de servicios deben adquirir esta conciencia de la protección para poderla transmitir a los y las menores”.

En esta misma línea insistió Arturo Canalda, Defensor del Menos de la Comunidad de Madrid que “es importante concienciar y acompañar los niños y niñas en su vida digital. Lo indispensable no es donde están los datos sino saber los delitos y los abusos que se cometen con el manejo de los mismos”. Y es que, “todos podemos poner de nuestra parte, podemos mejorar nuestro cumplimiento, pero sin la educación y conciencia de los chavales el esfuerzo por respetar los principios de la protección de datos no es completo”, afirmó Natalia Martos durante su ponencia ayer en el Colegio de Abogados de Madrid.

Análisis de los proveedores digitales

En el marco de la Jornada la Fundación Solventia también presentó el estudio, ‘Prácticas en materia de privacidad de los proveedores de Redes Sociales’. Dirigido por José Luis Piñar y realizado por Chiara Civitelli, abogada especializada en la propiedad intelectual, comercio electrónico y la protección de datos; el texto determina qué grado de protección de la privacidad tienen los menores usuarios de redes sociales.

Elaborado a partir de la información contenida directamente en las páginas web de las redes sociales, el estudio analiza la política de privacidad de 10 comunidades sociales de diversos países. Proveedores de servicios digitales “con una política de privacidad relativamente elaborada, una apariencia de seriedad y garantía”, tal y como explicó José Luis Piñar durante la presentación del estudio, “pero existen detalles como la dificultad de la cancelación de los datos, los textos de privacidad farragosos que no se leen por parte del usuario y se aceptan desconociéndolos o las complicaciones para configurar la privacidad”. Aspectos como éstos hacen que sea difícil garantizar completamente la privacidad en este tipo de plataformas.

Acuerdo de colaboración: Solventia – Anar

El punto y final de la Jornada lo puso la firma del convenio colaboración entre la Fundación Solventia y la Fundación Anar, dos entidades comprometidas en la promoción y defensa de la infancia. Durante el próximo año, periodo de vigencia de este acuerdo, Solventia y Anar compartirán recursos, programas y proyectos de investigación que velen por el desarrollo integral los y las menores. El ámbito de actuación de las actividades compartidas será España y algunos países de Latinoamérica, ámbito de actuación de las dos fundaciones. Con este convenio la Fundación Solventia da un paso más en la cooperación en red para sumar esfuerzos en la protección de la infancia y la juventud, uno de sus pilares fundacionales.

Firma digital en Sanidad


En el sector público existe un subsector que define por sí mismo una categoría: es el sector hospitalario y de sanidad.

Con retos específicos en el terreno de la Sociedad de la Información: la privacidad de sus actuaciones sometidas a la LOPD, la historia clínica electrónica, la receta electrónica y la interoperabilidad de la gestión administrativa.

Un entorno complejo en el que se coordinan múltiples especialidades médicas, farmacéuticas, de atención social, … y con múltiples retos de organización: limpieza, gestión alimentaria, residuos con tratamientos especiales, suministros, equipamientos,…

Así que cualquier ayuda que simplifique por vía digital esta complejidad, siempre es bienvenida.

Es por eso por lo que desde Albalia Interactiva llevamos desde 2009 colaborando con hospitales y organismos del sector sanitario, en particular en aspectos de firma electrónica, y en general en la gestión de expedientes electrónicos que tienen en cuenta gran parte de los retos organizativos del sector en los que es posible aplicar la ayuda de la informática y las comunicaciones.

Conclusiones del III Congreso Nacional de Crédito al Consumo de ASNEF


Asociación Nacional de Establecimientos Financieros de CréditoEn 2007, el fraude en la financiación del consumo para el sector financiero superó los 232 millones de euros.

La Asociación Nacional de Establecimientos Financieros de Crédito (ASNEF), ha organizado el pasado 24 de abril de 2008, por tercer año consecutivo, el Congreso Nacional de Crédito al Consumo afianzándose como auténtico Foro de debate entre las Entidades Financieras involucradas en el Sector, los actores de la Economía Española (productores, distribuidores y comerciantes), que utilizan el Crédito al Consumo para gestionar sus ventas y los consumidores que se benefician y lo utilizan como una herramienta de acceso cómodo y ágil a determinados bienes y servicios que de otro modo les seria imposible obtener.

En esta III edición del Congreso se desarrollaron temas de vital importancia que centran en este momento la atención de todas las partes interesadas en el mercado del Crédito al Consumo, como: la visión general del Crédito al Consumo y el contexto económico actual, las novedades en la Prevención del Fraude, el Control del Riesgo, los Ficheros de Información de Crédito y la Directiva de Crédito al Consumo.

En esta ocasión ASNEF ha contado con ponentes de primer orden como Dª María José Tarrero, Secretaria General de la TESORERÍA GENERAL DE LA SEGURIDAD SOCIAL, D. Eduardo Perdiguero, Director General del Servicio de Organización y Modernización Judicial (CGPJ); D. Alberto López, Responsable del Instituto Nacional de Tecnologías de la Comunicación (INTECO-CERT), D. Francisco G. Gil, Jefe de Grupo en el Departamento de Inspección III del BANCO DE ESPAÑA, D. Leonardo Martínez, Director General de EQUIFAX IBÉRICA, D. José Ramón Devesa, Responsable de Eurojus de la COMISIÓN EUROPEA (Representación España) y D. Antonio Chausa, Jefe de Servicio de Normativa del INSTITUTO NACIONAL DE CONSUMO, entre otros.

La apertura y clausura del acto fueron realizadas por el Presidente de ASNEF, D. Pedro Guijarro y por el Director General de Regulación del BANCO de ESPAÑA, D. José María Roldán, respectivamente.

1º RESULTADOS ASNEF 2007 del CRÉDITO AL CONSUMO.

En el transcurso de este Congreso, ASNEF ha facilitado los RESULTADOS DE 2007 de sus entidades en los que la Inversión Nueva de las Operaciones de Crédito al Consumo de bienes duraderos fue de 36.758,2 millones de euros, lo que representó un incremento del 13,1 por ciento respecto a estas mismas fechas de 2006.

De esta cifra 22.518,4 millones de euros correspondieron al Sector de Consumo (+14,7%) y 14.239,8 millones de euros al Sector de Automoción (+ 10,69%).

Tras el análisis de estos resultados, ASNEF ha puesto de manifiesto que este año el Crédito al Consumo -como en ejercicios anteriores- ha crecido con tasas superiores a los dos dígitos, siendo los resultados de 2007 no solo mejores de lo esperado sino superiores a los de 2006. Se calcula, además, que el 37% de las ventas de bienes y servicios de consumo son objeto de financiación, bien directamente al cliente bien al proveedor, incluso en el sector de Automoción este porcentaje puede llegar a alcanzar el 80 por ciento.

Efectuado el desglose por sectores, ASNEF ha informado -con respecto al Sector de Consumo- que el crecimiento de estas operaciones ha sido motivado por el fuerte incremento de los Préstamos Personales, el uso de los sistemas de Crédito Revolving asociados a las Tarjetas de Crédito y a la financiación de Bienes de Consumo, como se observa en el siguiente desglose:

• Total Consumo 22.518,4 millones de euros (+14,77%)

  • Tarjetas Revolving – 13.968,0 millones € (+ 14,18%) 
  • Bienes de Consumo – 5.270,6 millones € (+ 13,74%)
  • Préstamos Personales – 3.279,8 millones € (+ 19,12%)

Por lo que se refiere al Sector de Automoción las cifras, a pesar de todos los pronósticos efectuados por otros indicadores, superaron las registradas en 2006 (+5,66) y el detalle es el que sigue

• Total Automoción 14.239,8 millones de euros: (+ 10,69%)
– Turismos Nuevos:
12.113,8 millones € (+ 10%)
   A particulares: 10.583,9 millones € (+ 8,24%)
   De negocio: 1.529,9 millones € (+23,97%) 
– Turismos Usados: 1.599 millones € (+ 13,68%)
   A particulares: 1.493,9 millones € (+13,21%)
   De negocio: 105,1 millones € (+20,78%)
– Vehículos Comerciales: 361,8 millones € (+7,1%)
– Otros Vehículos: 165,2 millones € (+ 54,3%)

En cuanto al número total de Contratos realizados durante 2007 fue de 8.795.178
• 7.797.452 correspondieron a Consumo con un importe medio de 2.890 €
• 997.726 correspondieron a Automoción con un importe medio de 14.270 €

Por Comunidades Autónomas Andalucía con 7.674,2 millones de euros ocupa el primer lugar en Inversión Nueva en financiación, seguida de Madrid (6.061,4 millones de euros), Cataluña (6.006 millones de euros) y Valencia (4.399,7 millones de euros).

En cuanto a la Inversión Viva del Crédito al Consumo -operaciones en curso a 31 de diciembre de 2007, independientemente de la fecha de su inicio- y según los datos facilitados por ASNEF la cifra alcanzada en este periodo fue de 39.419,9 millones de euros: 13.714 millones de euros correspondieron a la Financiación de Consumo y 25.705,9 millones de euros a la Financiación de Automoción.

A pesar de estos resultados, desde la Asociación se indica que la Inversión se ha ido moderando y habrá que esperar a los primeros resultados de 2008 para ver si se registra el cambio de tendencia que ya otros sectores están empezando a percibir.

2ª.- ASNEF RECURRE EL NUEVO REGLAMENTO DE PROTECCIÓN DE DATOS DE CARÁCTER PERSONAL

Por otra parte, y en el marco de este III Congreso ASNEF ha hecho pública la Interposición formal de un Recurso de Impugnación contra el nuevo Reglamento de Protección de Datos de Carácter Personal ya que de aplicarse, tendría consecuencias negativas para los Ficheros de Solvencia Patrimonial y Crédito (los incorrectamente llamados “registros de morosos”), en lo referente a la información en ellos contenida.

Tal como está en la actualidad este Reglamento posibilitaría el aumento de la picaresca y la exclusión en los ficheros de los morosos “profesionales”.

Desde este Foro ASNEF ha recordado que los Ficheros de Solvencia Patrimonial -de uno de los cuales es titular- son herramientas muy útiles para que las Entidades de Crédito puedan medir adecuadamente el riesgo que asumen en las operaciones de crédito que realizan. Por tanto, si la información que contienen está debilitada por desaparición de datos, el riesgo de dichas entidades se incrementa poniéndose en peligro la estabilidad del Sistema Financiero, máxime en épocas de crisis como la actual.

Asimismo ASNEF ha hecho llegar al BANCO DE ESPAÑA su preocupación al respecto.

3º.- DATOS DE FRAUDE de 2007

Según los datos facilitados por ASNEF el fraude en la Financiación del Consumo para el conjunto del Sector Financiero en 2007 fue:

1. Fraude Soportado : 232,3 millones de euros

2. Fraude Evitado*: 827,2 millones de euros

(* Operaciones fraudulentas que por haberse detectado antes de formalizarse no han supuesto pérdida económica para las entidades).

Crédito Vivo de los hogares en 2007: 103.375 millones de euros.

1. El Fraude Soportado sobre el total del Crédito Vivo de los hogares supuso el 0’22% (86% de este porcentaje correspondió al fraude en Automoción y el 14% restante al resto del Consumo).

2. El Fraude Evitado sobre el total del Crédito Vivo de los hogares supuso el 0’80 % (72 % de este porcentaje correspondió al fraude en Automoción y el 28 % al resto del Consumo).

Todo ello supone que el fraude en la Financiación del Consumo en su conjunto (Soportado y Evitado), representa ya un 1’02% sobre el Riesgo Vivo de los hogares españoles en el año 2007. En el año 2006 representó el 0’51%, lo que indica su progresivo aumento. Pero como los resultados estadísticos se han extrapolado al conjunto del Sector Financiero -a partir de una muestra de entidades comprometidas en su prevención y que por lo tanto están poniendo los medios para su control desde hace años-, resulta verosímil que el porcentaje del fraude para todo el Sector haya superado realmente ese 1’02% en decremento equivalente del porcentaje en morosidad.

Durante los últimos años -así lo indicó ASNEF en 2006-, el fraude en la Financiación al Consumo muestra una tendencia alcista y comparado con la morosidad cada año los porcentajes respectivos tienden a acercarse.

Una de las causas de este acercamiento es la ya denunciada en años anteriores: el progresivo incremento de la criminalidad organizada para la que el fraude financiero es rentable e implica poco riesgo en relación con los resultados que se obtienen.

El “modus operandi” que más se utiliza para defraudar en la Financiación al Consumo, sigue siendo el de la falsedad en la identidad, (identidades falsas, identidades usurpadas y acceso a contraseñas personales).

Este problema ha producido una concienciación creciente en las entidades financieras y un deseo de atajar este tipo de situaciones que terminan sirviendo para que los defraudadores realicen todo tipo de actos delictivos tales como: solicitudes fraudulentas de financiaciones al consumo, aperturas de cuentas bancarias falsas, obtención de tarjetas de crédito con datos de identidad suplantados, acceso a servicios prefinanciados como la telefonía, gas, electricidad y agua, el acceso fraudulento a la banca “on line” mediante contraseñas personales conseguidas de forma fraudulenta, fraudes en el comercio electrónico, etc.

Por ello, las Entidades Financieras siguen haciendo un gran esfuerzo por segregar el fraude de la morosidad, potenciando no solo instrumentos de análisis de riesgos sino también otros especializados específicamente en la prevención del fraude, lo que les está permitiendo reaccionar operativamente mucho antes. Además este trabajo de discriminación selectiva de riesgos resulta muy importante para el cumplimiento de las recomendaciones de Basilea II sobre riesgos.

4ª.- SERVICIO DE PREVENCIÓN DEL FRAUDE DE ASNEF

• Servicios en funcionamiento
• Proyectos iniciados en 2007

Durante el pasado ejercicio ASNEF ha potenciado su Servicio de Prevención del Fraude que presidido por D. Miguel Ángel Fernández Rancaño, Jefe de Seguridad del Grupo La Caixa- integra a todas las entidades pertenecientes a la Asociación que están involucradas directamente en la modernización del sector financiero en esta materia.

Ya en 2006 ASNEF informó del esfuerzo realizado junto a EQUIFAX para poner en funcionamiento dos ficheros, que en 2007 ya son una realidad operativa utilizada cada vez por más entidades:

• Fichero VERAZ-PERSUS , en el que de manera gratuita los Ciudadanos que lo deseen pueden autoincluirse con el fin de preservar su identidad en las operaciones financieras y comerciales. Esta medida de prevención resulta especialmente aconsejable en los casos de pérdidas o sustracciones de los documentos de identidad.
Es un Fichero de utilidad pública, y así lo ha reconocido la propia Administración al firmarse -29 de octubre de 2007- un Protocolo de Colaboración para el ofrecimiento conjunto a los ciudadanos de este Fichero entre la Secretaría de Estado de Seguridad y ASNEF.

• Fichero VERAZ-FODI , basado en la reciprocidad, al que las entidades ceden los datos procedentes de aquellas operaciones o solicitudes de las mismas, en las que se detectan datos que resultan inciertos (incongruentes) tras las correspondientes verificaciones.

Estos dos Ficheros están basados en el Consentimiento Previo de los usuarios y son la mejor manera de contribuir a la prevención del fraude ya que la mayoría de las personas que acceden a la financiación de bienes y servicios lo hacen con datos verdaderos y sin intención de defraudar.

1.- Servicios en funcionamiento

Entre los proyectos puestos en funcionamiento destacan:

  • SERVICIO PARA LA RECOGIDA Y GESTIÓN DEL CONSENTIMIENTO: ASNEF en colaboración con su Socio Tecnológico EQUIFAX ha creado este Servicio que facilitará a las entidades la obtención del Consentimiento en los Puntos de Venta y permitirá a éstas comprobar la existencia de este Consentimiento antes de acceder a la información existente en los Ficheros de Prevención del Fraude.
  • OBSERVATORIO DE LA FALSIFICACIÓN DOCUMENTAL que posibilitará una formación permanente del personal de las entidades financieras en la falsificación de documentos públicos y privados y las dotará de un Servicio de Consultoría en documentación.

    Con este objetivo, ASNEF ha firmado -26 de febrero de 2008- un Protocolo de Colaboración con la empresa SIGNE, S.A., Impresores de Seguridad, para el ofrecimiento conjunto del Observatorio a todo el Sector, lo que permitirá a la Asociación estar en primera línea de la innovación tecnológica en documentación de seguridad.

  • CONVENIO DE COLABORACIÓN CON LA TESORERIA GENERAL DE LA SEGURIDAD SOCIAL – 6 de marzo de 2008- que posibilitará verificar los datos de solvencia que presentan los Ciudadanos contra las bases de datos de la Seguridad Social, siempre que se tenga su Consentimiento, a efectos de la prevención del blanqueo de capitales.

2.- Proyectos iniciados en 2007

• Se está ultimando la firma de un Convenio de Colaboración con el Consejo General del Poder Judicial que permitirá a los Jueces acceder al Fichero VERAZ-PERSUS y VERAZ-SOCIEDADES a través del Punto Neutro Judicial, así como tener un buzón de correo para la cumplimentación rápida de los oficios judiciales relacionados con la información existente en los restantes ficheros de prevención del fraude y morosidad.

• ASNEF está desarrollando junto al Instituto Nacional de Tecnologías de la Comunicación un Proyecto de Prevención del Fraude a través de Internet, denominado Servicio para las Evidencias Electrónicas Financieras (SEVEF), que será un Fichero -con todas las garantías de seguridad y confidencialidad- en INTECO (Instituto Nacional de Tecnologías de la Comunicación), con los rastros informáticos que dejan los ataques de la delincuencia informática contra el sector financiero que opera a través de Internet y contra los usuarios de nuestros servicios “on line”.

Este Fichero, además de ayudar a la Administración en el conocimiento de la criminalidad informática que ataca al Sector Financiero, será un nuevo instrumento que incremente la seguridad de empresas y clientes y facilitará el trabajo de investigación policial y judicial contra la criminalidad organizada en Internet.

Todo lo expuesto evidencia el liderazgo de ASNEF en la lucha contra el fraude en el sector financiero, que se ha convertido en el punto de referencia a imitar en otro ámbito de la economía española.

La prevención del fraude es sin duda un objetivo primordial que beneficia tanto a las entidades de crédito, como al consumidor que ve como el acceso al crédito al consumo es cada vez más seguro, eficiente y competitivo.

Creada en 1957 La Asociación Nacional de Establecimientos Financieros de Crédito (ASNEF), es la organización que representa a las entidades de dedicadas a la financiación en España.
ASNEF sirve de enlace entre las entidades de crédito especializadas, las Administraciones Públicas, otras asociaciones profesionales españolas y europeas y los usuarios de los productos financieros, facilitando a los consumidores, profesionales y empresarios el acceso a los bienes de consumo y de producción.

ASNEF agrupa en su seno a 74 entidades asociadas y 228 adheridas. Las entidades asociadas, tanto establecimientos financieros de crédito como bancos especializados, suponen los principales especialistas del mercado español de la financiación del automóvil y del consumo.

Visto en informativos.net

La Protección de datos personales en el ámbito del telemarketing


En el ámbito de la gestión de los Call Centers se trabaja continuamente con datos personales. Tanto en el caso de los especializados en la recepción de llamadas como en el de los que las generan, la diligente gestión de los datos es un elemento de capital importancia en el marco general de una provisión de servicios de calidad.

Por ello, todos los sistemas de apoyo a la gestión de llamadas han de ser especialmente cuidadosos en la implementación de las funciones que dejan rastros de auditoría sobre todas las actuaciones en las que se gestionan datos personales.

En los últimos años, se han dado varios casos de personas que han utilizado la LOPD  (Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal) como arma arrojadiza frente a las empresas cuando otros mecanismos se han mostrado insuficientes, por ejemplo en la gestión de reclamaciones. Considerando la forma de gestión de las denuncias por parte de la Agencia de Protección de Datos (APD) y la cuantía de las sanciones, está claro que disponer de mecanismos que permitan actuar frente a las denuncias minimizará las incidencias y dotará a las empresas que dispongan de ellos de un excelente recurso para relacionarse con la APD.

Una primera distinción en el tratamiento del problema se da respecto a la titularidad del Call Center. Será diferente el caso de un Call Center operado por la entidad Responsable del Fichero, respecto del de otro operado por una empresa tercera que actúa como Encargado del Tratamiento.

La forma de demostrar la actuación diligente en uno y otro caso es diferente, pero en ambos se basa en registrar minuciosamente todas las actuaciones con indicación precisa de tiempo y del detalle de la actuación.

En el caso de Call Center que actúan para empresas distintas, debe estar perfectamente documentado contractualmente el tipo de relación entre ellas, en particular respecto a la transferencia de datos, su titularidad y su tratamiento, y el tipo de servicio que se presta y cómo afecta a la gestión de los datos. Si la empresa actúa en otro país, o contrata teleoperadores en diferentes ubicaciones, debe indicarse esta circunstancia, señalando el nivel de Protección de Datos que la ley otorga en cada país y la consideración de que este nivel sea equivalente al del país de origen de los datos. En este caso debe solicitarse autorización a la Agencia de Protección de Datos con indicación del País de destino de la transferencia de datos y de las medidas de seguridad técnicas y procedimentales que se aplicarán para garantizar la confidencialidad del tratamiento de los datos.

El Documento  de Seguridad de la empresa que ofrece los servicios de Call Center posiblemente sea uno de los Anexos de la relación contractual, que la empresa contratante deberá valorar para asegurarse de que es compatible con sus propias medidas de seguridad, y, por tanto, son su propio Documento de Seguridad.

En el sistema informático de la empresa o el departamento especializados, es conveniente que se registren todas las actuaciones sobre datos personales. Si se visualizan por un operador se indicará en el sistema de registro la identidad del operador y el tipo de datos a que ha tenido acceso y en qué momento. Si pueden modificarse, se registrará el operador que los ha modificado, el momento en que lo hizo, los datos que había antes de la modificación y los que quedaron tras ella. Se indicará la causa de la modificación y la forma exacta en la que se obtuvo el consentimiento del interesado para la gestión de los datos o para la rectificación, en particular indicando si se explicó al usuario la finalidad de la obtención de los datos y el tratamiento que se les dará.

Si la obtención de los datos se realizó a través de un formulario u otro documento escrito se adjuntará un enlace a su imagen digitalizada o un localizador del documento físico que documenta la actuación. Si fue a través de un formulario web, se indicará tal circunstancia y el máximo de  datos posibles para demostrar la actuación: la IP desde la que se produjo el acceso, la resolución inversa de dominio, el valor de la cookie, de existir, el tipo de autenticación utilizado (usuario/password, teléfono móvil, certificado electrónico,…). Si el acceso fue telefónico (lo que en nuestro caso será lo más frecuente) se adjuntarán los datos de contexto de que se disponga (identificador del número llamante, mecanismos de identificación utilizados por el operador, enlace a la digitalización de la grabación si se autorizó por el usuario y existe, o localizador de la grabación si se utiliza un sistema independiente.

En los call center inbound (especializados en gestión de llamadas entrantes) en los que se traten quejas y reclamaciones, y especialmente en los relativos a problemas de facturación se instruriá a los operadores a que sean sensibles a cualquier mención de la LOPD o de la APD  por parte del reclamante, registrando esta circunstancia en la ficha que documenta la actuación. Aunque no en todos los casos en los que se amenaza con denunciar a la entidad ante la APD se cumple tal amenaza, debemos asegurarnos de que los responsables de la gestión están al tanto de que es posible, de forma que sea posible verificar de forma reforzada que se mantiene toda la capacidad probatoria respecto a las actuaciones en ese cliente si hubiera que documentarlas ante la APD. En este sentido, uno de los elementos de análisis es la proporción entre la cuantía o peculiaridad de la discrepancia con el cliente, respecto al coste de gestión de la denuncia o la cuantía de la sanción potencial.

En los call center outbound (especializados en gestión de llamadas salientes) hay que ser cuidadosos en varios aspectos. Verificar la oportunidad de la llamada y si el destinatario de la llamada desea recibirla en otro momento (registrando esta eventualidad en la ficha de actuación). Identificar en nombre de quien se hace la llamada, que será la entidad  Responsable del Fichero o del Tratamiento. De la forma más natural posible en el curso de la conversación, se dará indicación al usuario de las circunstancias por las que la entidad dispone de sus datos, de la importancia de que sean correctos, y de la  finalidad de la entidad al disponer de ellos. Antes de concluir la llamada conviene indicar que la entidad es respetuosa con sus datos personales y muy rigurosa en su gestión y la forma en la que el usuario puede ejercitar sus derechos ARCO (Acceso, Rectificación, Cancelación y  Oposición)

Ciertos tipos de datos personales requieren tratamientos especiales. Los datos clasificados por la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD), como de nivel alto han de estar sometidos a unas medidas de seguridad más severas, lo que debe tenerse en cuenta en los sistemas utilizados para su gestión.

En la actualidad, el Reglamento de Medidas de Seguridad, aprobado por Real Decreto 994/1999, de 11 de junio como desarrollo de la vieja LORTAD (Ley Orgánica 5/1992, de 29 de octubre) sigue vigente por la Disposición Transitoria Tercera de la LOPD. Aunque el Reglamento se aplicaba inicialmente solo al tratamiento automatizado de datos, la LOPD amplió su alcance a los soportes no automatizados (en papel y otros). Eso quiere decir que en todo proyecto nuevo se debe considerar desde el principio toda la gestión no automatizada, si bien, los ficheros en soportes no automatizados que existieran antes de enero del 2000 (fecha de entrada en vigor de la LOPD) disponen del período de adaptación establecido en la Disposición Adicional Primera (que finaliza en octubre de 2007).

En la actualidad se conocen algunos datos del Borrador del nuevo Reglamento que desarrollará la LOPD y que en la actualidad se encuentra en proceso de tramitación parlamentaria. Entre sus objetivos está el de dotar de mayor seguridad jurídica a los consumidores, lo que implica que el sector del telemarketing habrá de estar especialmente alerta a sus contenidos.

El reglamento, elaborado conjuntamente por el Ministerio de Justicia y la Agencia Española de Protección de Datos, será trasladado al para su aprobación. Inicialmente, se pensaba que el reglamento vería la luz en la primavera de 2006. Sin embargo, diferentes circunstancias han alargado el plazo inicialmente previsto, y en estos momentos no parece que se publique antes del 2007.

Aunque no supone una modificación sustancial de la normativa hasta ahora vigente, sí incorpora ciertas novedades que afectarán sobre todo a aquellas empresas o profesionales que tengan en su poder datos de niveles medio y/o alto.

Otras novedades se centran en el desarrollo de las medidas de seguridad que deberán aplicarse en la protección de toda la información empresarial almacenada en soporte papel. Lo que significa, que la entrada en vigor de la nueva norma conllevará la adopción de medidas de seguridad adicionales.

WikiSTC compendio de información de seguridad


A través de Harlok me he enterado de que se ha publicado la versión española del Wiki sobre seguridad WikiSTC. Habrá que ir dándose de alta para colaborar.

Securewave Sanctuary Device Control.


Mensaje para directivos y responsables de seguridad.

  • Evite que los empleados se lleven ficheros y documentos de la empresa sin su consentimiento.
  • Publique y haga cumplir sus políticas de gestión de la información.

Hay normas como la LOPD (Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal) que imponen ciertas obligaciones a las empresas respecto a las medidas de seguridad que deben seguir.

Lo que pretende esa norma es proteger los datos de las personas, que pueden verse sometidos al abuso de un tratamiento indiscriminado en manos de empresas de marketing y publicidad, especialmente con las posibilidades de tratamiento masivo que dan los ordenadores. Sin embargo, las medidas de seguridad que impone su Reglamento (de momento el Reglamento de la anterior LORTAD, aunque se espera la próxima publicación del Reglamento específico de la LOPD) son de gran utilidad para proteger otros tipos de información.

Controles de Sanctuary Device ControlUno de los riesgos que han aparecido recientemente es el de los dispositivos de almacenamiento (como memorias y discos duros) que son utilizables mediante puertos USB. Y puesto que prácticamente todos los ordenadores tienen puertos USB, la información de la empresa (tanto la que está en el disco local del ordenador como la que está en los servidores de ficheros y en la intranet) corre el riesgo de acabar en uno de esos dispositivos.

La empresa Securewave, cuyos productos distribuye mi empresa Albalia Interactiva ha creado diferentes aplicaciones de seguridad, de las que la más interesante, para atajar el problema que he descrito, es Sancturay Device Control.

Sancturay Device Control es una aplicación ligera que se instala en cada ordenador de la organización y controla los diferentes dispositivos que se le conectan y la información que entra y sale por ellos.

Se gestiona centralizadamente en entornos de red Microsoft que dispongan de Active Directory y permite dar permisos de acceso a periféricos (CD, DVD, Floppy, memory sticks ..) relacionados con grupos de usuarios o de máquinas.

Estos permisos de acceso pueden ser del tipo escritura, lectura o temporales, e incluso en relación con la cantidad máxima de información que se puede insertar o extraer de ellos diariamente. Para usuarios cuyo perfil deba permitir que no se impongan limitaciones, el sistema permite controlar la natiraleza exacta de los ficheros que entran y salen de los dispositivos.

Esta herramienta, de muy bajo coste unitario por licencia (menos de 100 euros, aunque depende del número de unidades adquiridas en una determinada instalación) es una ayuda esencial para poder dar cumplimiento a algunas de las obligaciones de la LOPD que eran muy difíciles de satisfacer hasta fechas recientes.

Adecuación a los requisitos que impone la LOPD


La Ley Orgánica de Protección de Datos de Carácter Personal está «comenzando» a ser tenida en cuenta.

No quiero decir que todos estos años se haya ignorado. Lo cierto es que algunas de las actuaciones de la Agencia Estatal de Protección de Datos y la magnitud de las sanciones que ha impuesto, han significado importantes titulares y algo de alarma social.

También el extremado rigor que se aprecia en los sucesivos borradores del futuro Reglamento de Protección de Datos, que tiene que sustituir al actualmente vigente, referenciado en el Real Decreto 994/1999, de 11 de junio, por el que se aprueba el Reglamento de medidas de seguridad de los ficheros automatizados que contengan datos de carácter personal, ha hecho saltar algunas alarmas.

Si ya era complicado cumplir las exigencias del actual Reglamento (creado para resolver las dudas planteadas por la derogada LORTAD – LEY ORGANICA 5/1992, de 29 de octubre, de regulación del tratamiento automatizado de los datos de carácter personal), el próximo hará todo más difícil y ampliará las posibilidades que ya tiene la LOPD para ser utilizada como «arma arrojadiza» y fuente de amenazas y coacciones.

Además, en el año 2007 se acaba el plazo de adaptación de los sistemas de gestión en papel de datos personales, algo de lo que mucha gente no es consciente.

Pero a lo que iba, la percepción de que algo está cambiando en la concienciación de las PYMES. Cada vez es mayor el número de PYMES que nos consulta sobre la forma menos dolorosa de Cumplir la LOPD. Hasta hace poco casi todos nuestros clientes de consultoría y auditoría de LOPD eran grandes empresas. En la actualidad el porcentaje de PYMES supera al de grandes empresas.

Para facilitar a las PYMES un resumen básico sobre las implicaciones de la LOPD hemos preparado en Albalia Interactiva un «mini site» que se titula precisamente así: «Cumplir la LOPD» (aviso: contiene información publicitaria de Albalia Interactiva en relación con estos temas)