La AEPD abre una consulta pública para conocer la opinión y experiencia de prestadores de servicios, usuarios y expertos sobre Computación en Nube

La AEPD abre una consulta pública para conocer la opinión y experiencia de prestadores de servicios,
usuarios y expertos sobre Computación en Nube La AEPD pretende con esta iniciativa tener un conocimiento preciso de experiencias,  opiniones y condicionamientos, desde la perspectiva de protección de datos, de prestadores y usuarios de  los servicios de Computación en Nube.

La AEPD invita a participar a entidades prestadoras y clientes de este tipo de servicios, así como a  usuarios particulares, académicos y expertos,  y todos quienes estén interesados en la materia.

Ante el auge de la Computación en Nube, la aplicación y adecuación de las normas de protección de datos a estos entornos se han convertido en una cuestión esencial.

La consulta consta de 7 bloques en los que se abordan las responsabilidades de los diferentes actores, la legislación y las garantías aplicables,  o el impacto en el régimen de transferencias internacionales de datos.

La Agencia Española de Protección de Datos (AEPD) ha abierto hoy, y hasta el próximo 27 de enero, una consulta pública sobre las implicaciones  en materia de protección de datos de  los  servicios de
Computación en Nube (Cloud Computing)  con el objetivo  de recabar  opiniones, perspectivas y experiencias, principalmente de prestadores y usuarios de servicios de computación en nube,  así como  analizar el grado de conocimiento y la aplicación práctica de estos servicios en España.
 

La consulta pública, a la que están  invitados a participar  entidades prestadoras y usuarias de este tipo de servicios, así como usuarios particulares, académicos, expertos y todos quienes estén interesados en la materia, está disponible en la Página Web de la AEPD. 

En la actualidad la Computación en Nube constituye  un modelo de prestación de servicios de tecnología en auge  y que puede presentar diversas tipologías: empresas que cuenten con sus propios sistemas, empresas que contraten con terceros, cadenas de subcontrataciones. Diversos estudios reflejan que cada vez más entidades públicas y privadas –desde grandes multinacionales hasta pequeñas empresas de ámbito local y Administraciones Públicas- utilizan sistemas de Computación en Nube en alguna de sus modalidades, debido a las ventajas puede proporcionar en términos de ahorro, alta disponibilidad, o adaptabilidad, entre otras.

En este escenario de proliferación de servicios de Computación en Nube, se suscitan en la actualidad interrogantes sobre las garantías aplicables en el marco de estos servicios, y la adecuación de  las normas de protección de datos  a estos entornos  se  ha convertido en una cuestión esencial, que está siendo objeto de análisis y evaluación en distintos ámbitos.Para tener un conocimiento preciso de las experiencias, opiniones  y condicionamientos con los que se encuentran usuarios y prestadores de servicios de Computación en Nube, el cuestionario diseñado por la AEPD para realizar la consulta
pública, se estructura en siete bloques con preguntas simples, multirespuesta y preguntas de respuesta libre. 

En dichos bloques  se  plantea una amplia variedad de cuestiones que cubren  la mayoría de  los elementos relacionados con los servicios de Computación en Nube, desde la óptica de sus implicaciones en materia de protección de datos. Entre ellos, pueden destacarse las preguntas relativas a  legislación aplicable, garantías en el marco de las relaciones de prestación de servicios en nube o su  impacto en el régimen que regula las transferencias internacionales.

La Agencia Española de Protección de Datos (AEPD) ha sancionado con una multa de 50.000 euros a Movistar

La Agencia Española de Protección de Datos (AEPD) ha sancionado con una multa de 50.000 euros a Movistar por incluir los datos personales de un cliente moroso en una base de datos de insolventes sin haberle reclamado antes su deuda.

La resolución de la AEPD, que data del pasado mes de octubre, establece que "ha quedado demostrado" que Movistar incumplió lo dispuesto en el artículo 29.4 de la Ley Orgánica de Protección de Datos al incluir a su cliente en un fichero de insolvencia antes incluso de reclamarle el pago de la deuda, lo que supone una falta grave.

Los hechos comenzaron en enero de 2010, cuando un consumidor se da de alta en Movistar con un contrato de tarifa plana de Iphone. Tras recibir la primera factura, en febrero de 2010, decide cambiar su plan de precios y manifiesta su disconformidad con la factura en la Secretaría de Estado de Telecomunicaciones y en la misma Movistar.

Movistar se lo deniega porque el apoyo económico recibido estaba vinculado a una permanencia de 18 meses no sólo en la misma compañía, sino en el mismo plan de precios. No obstante, la discrepancia se produce porque, según el denunciante, Telefónica le incluyó en un archivo de morosos antes de reclamar el pago.

Y es que efectivamente, desde el 10 de marzo de 2010, el cliente pasa a formar parte del archivo de insolvencia económico-patrimonial de Experian Bureau de Crédito, aunque unos meses más tarde le da de baja "en señal de buena voluntad".

En su resolución, la AEPD no entra a valorar la existencia de la deuda y se limita a destacar que la inclusión de los datos personales de este consumidor en un fichero de morosos antes de reclamar el pago y agotar la vía comercial constituye un hecho grave que lesiona el derecho a la protección de datos de carácter personal de sus clientes y le sanciona con 50.000 euros.

Parados sin secretos

Con el NIF, el número de teléfono de una persona y un poco de paciencia, cualquiera puede saber el nombre completo de esta, lo que cobra de paro y hasta la cuenta del banco donde se lo ingresan. La web del Servicio Público de Empleo Estatal (SEPE) pide una clave de sólo dos dígitos que, además, no se bloquea cuando se introducen combinaciones una y otra vez para entrar en el expediente personal de los 2,8 millones de parados que actualmente cobran la prestación por desempleo. Tanto el Ministerio de Trabajo como la Agencia Española de Protección de Datos (AEPD) consideran, sin embargo, que el sistema es seguro.

Las distintas administraciones ofrecen a los ciudadanos la posibilidad de acceder a la mayoría de sus servicios y gestiones desde internet usando el DNI electrónico o un certificado digital. Así lo hacen la Seguridad Social y la Agencia Tributaria. Pero esta última también tiene habilitada una tercera vía en la que pide el NIF, el primer apellido y un número de referencia que sólo conoce el contribuyente.

Para consultar las prestaciones por desempleo, el SEPE exige también el DNI electrónico o un certificado digital. Pero ofrece una tercera alternativa llamada Datos de Contraste. Estos son el NIF, el número de teléfono y una clave de dos cifras que sólo va del 00 al 99 y se corresponde con el dígito de control (el popular DC) de la cuenta bancaria.

Una vez dentro, se pueden conocer las prestaciones recibidas además de gran número de datos personales, como nombre y apellidos, número de la Seguridad Social o estado civil. También aparece la cuenta bancaria dada para recibir la prestación, nombre del banco incluido.

"No es un fallo de seguridad, es de implementación del acceso, que está basado en datos que son fáciles de conseguir", dice el director de ePrivacidad , Samuel Parra. Sólo el dígito de control es relativamente secreto, pero al ofrecer tan sólo cien combinaciones sólo se necesita paciencia. Este abogado presentó una denuncia ante la AEPD contra el sistema del SEPE por incumplir las exigencias de la Ley de Protección de Datos.

Sin embargo, la Agencia acaba de resolver que el sistema es seguro. Trabajo se agarra a este dictamen. "La denuncia fue archivada y desestimada porque no se hallaron evidencias de que el sistema de control incumpliese los requisitos mínimos que exige la normativa", explica un portavoz del Ministerio.

Para Parra, sin embargo, la AEPD basó su decisión en un informe técnico que "no ha debido de comprobar correctamente el sistema de acceso". En efecto, la resolución explica que el mecanismo de acceso "ha previsto ciertas limitaciones al intento reiterado de accesos no autorizados". Pero, como ha comprobado Parra y este periódico, no hay bloqueo ni al tercer intento ni al centésimo. El SEPE ya fue sancionado en 2008 por otro fallo similar que permitía conocer la vida laboral con sólo saber el DNI de la persona.

Microsoft endurece los requisitos de seguridad de su Office en la 'nube'

Los problemas de seguridad y privacidad han sido la gran barrera para que muchas empresas se apunten a las tecnologías basadas en la nube. Y ello pese a que los proveedores de este tipo de soluciones se han hartado de repetir las ventajas que ofrece el famoso cloud computing, entre ellas el ahorro de costes y tener siempre la última tecnología. Conscientes de ello, Microsoft ha tomado medidas, y ayer anunció que su paquete de aplicaciones de productividad en la nube Office 365 "es el primer servicio que cumple con los principales estándares de privacidad y seguridad de la información de la UE y EE UU".

Concretamente, la multinacional cumplirá a partir de ahora en sus contratos con los requerimientos de las llamadas Cláusulas Modelo de la UE, las cuales certifican el cumplimiento de la rigurosa Directiva europea de Protección de Datos, así como la normativa HIPAA de EE UU. "Queríamos dar confianza a nuestros clientes", explica a CincoDías David Negrete, director de la unidad de negocio de Productividad y Colaboración de Microsoft Ibérica. El directivo señala que el tema "es muy importante" y que no ha sido fácil. "Ha supuesto el trabajo durante meses de abogados y consultores que han estado viendo el tema con las instituciones de cada país".

Las cláusulas contractuales citadas aseguran a las empresas cliente que han dado los pasos necesarios para salvaguardar sus datos personales, incluso si están almacenados en un servicio basado en cloud computing localizado fuera del área económica europea. Negrete destaca, además, que Microsoft ha ido más lejos. "No solo cumplimos con las cláusulas modelo sino que cumplimos con las normativas de los 27 países europeos, porque algunos de ellos tienen requerimientos más exhaustivos que los de la directiva comunitaria".

Ricard Martínez Martínez propone proveer a los niños direcciones de correo cuando se les identifica en la escuela

El presidente de la Asociación Profesional Española de la Protección de Datos, Ricard Martínez Martínez, ha propuesto proveer a los menores de su primera cuenta de correo electrónico nada más ser identificados en la escuela, siempre con supervisión y bajo un dominio público o concertado para así evitar la exposición de los menores a los desconocidos, entre otras cosas.

Martínez, que es un experto de prestigio en los ámbitos nacional e internacional en la materia sobre la protección de datos personales, ha hecho estas afirmaciones en declaraciones a Europa Press durante la visita que ha realizado a Murcia para impartir la conferencia titulada 'Menores, Redes sociales y Privacidad' en el marco de la Jornada de la Sociedad de la Información y la Tecnología (SYTE 12.12).

A su juicio, es "obvio" que ha aumentado el acceso de gente desconocida a menores como consecuencia de las redes sociales, y para evitar la exposición de los pequeños ha propuesto insistir en la educación de los menores y de los padres.

En este sentido, ha puntualizado que "mientras no exista una identificación digital unívoca para todos los usuarios, cosa harto difícil y no sé si conveniente, la autoprotección y el conocimiento son el mejor método". Pero para esta autoprotección, Martínez ha indicado que "existen reglas sencillas, algunas de las cuales aprendemos en el mundo físico".

En su opinión, el problema comienza cuando el niño o niña "abre por sí mismo una cuenta de correo sin supervisión de un adulto". Así cuando un menor llamado, por ejemplo, José Pérez, descubre que su dirección ya existe en muchas ocasiones crea la cuenta 'joseperez2001@proveedor.com'".

En ese momento, el menor "acaba de gritar al mundo aquí hay un menor, varón, al que acosar", así que Martínez insta a preguntarse su "ocurriría esto si la primera cuenta se atribuyese en el contexto escolar con supervisión y bajo un dominio público o concertado".

Por otra parte, recuerda que, en la infancia, a todos "se nos enseña que no hay que dejar puertas y ventanas abiertas cuando estamos solos en casa y no hay que abrir a desconocidos". Martínez afirma que se trata de una regla que, en el mundo digital, se traduce en escoger un perfil privado y sólo aceptar como amigos a quienes se conoce en el mundo físico.


Martínez, quien ha remarcado el compromiso corporativo de los profesionales de la privacidad con la seguridad y privacidad de los menores, ha añadido que los términos redes sociales, menores y privacidad son términos "absolutamente conciliables", y recuerda que, desde un punto de vista sociológico, los menores "son nativos digitales y para ellos Internet es una ámbito más de sociabilidad".

En este sentido, recuerda que la gente actualmente adulta, "seguramente se socializaba cuando era niño en las calles y plazas de su propio barrio jugando al fútbol o a cualquier otra cosa hasta que cerca de la hora de cenar el toque de queda materno, anunciado a voz en grito le hacía regresar a casa".

Hoy en día, este experto explica que los niños "juegan 'online', comparten sus cosas o hacen trabajos en entornos de dialogo privado o público en Internet". Por tanto, añade que las comunidades 'online' que generan las redes sociales "son, desde un punto de vista sociológico, su entorno natural de socialización".

Por ello, considera que corresponde a los gestores de estas redes sociales "el articular políticas de privacidad que no consistan en meros textos legales que nadie entiende o consulta. Y ello se traduce en disponer de mecanismos que eviten el acceso de los menores cuando el proveedor no destina su espacio a este público, y en diseñar e implementar políticas de obtención del consentimiento paterno o materno que respeten el límite de edad, 14 años".

No obstante, puntualiza que "no es una obligación exclusiva de los proveedores" y recuerda que, a día de hoy, el Estado "no dispone de ninguna política de atribución de identidades digitales para los menores, y la firma digital del DNI, por ejemplo, no se les activa, pero ni siquiera se han planteado respuestas más sencillas".

Por ejemplo, afirma que los estudiantes de todas las universidades públicas, una vez se han preinscrito, y por tanto previa identificación, reciben una cuenta de correo electrónico, cuyo usuario y contraseña les sirve para validar su identidad y realizar todos los trámites ante su universidad.

En este sentido, Martínez se pregunta "por qué la primera cuenta de correo de nuestros niños es de 'Gmail' o 'Hotmail', y se plantea si "acaso una vez identificados en su entorno escolar no se les podría proveer de una cuenta y usar esta mediante validaciones LDAP o equivalentes como elemento de verificación".

Al ser preguntado por si es oportuno y beneficioso para las redes sociales establecer un límite de edad mínima para su uso al igual que se hace con el tabaco o las bebidas, Martínez asegura que "no es una cuestión a valorar", sino que es un criterio "normativo".

Así pues, puntualiza que el artículo 13 del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal "define una frontera clara: catorce años", y "no es algo discutible".

Pero además, este experto añade que, en casos como el juego, la bebida o la pornografía, las prohibiciones de la legislación vigente "son plenamente aplicables a Internet y, por tanto, deben excluir a los menores".

Martínez ha explicado que los principales retos en la materia de redes sociales y menores son dos. En primer lugar, plantea que en el plano técnico se debería disponer de métodos de atribución de identidades digitales "seguros y que permitan una adecuada verificación de la edad y, por tanto, faciliten regular las condiciones de acceso a entornos online".

El segundo reto, ha añadido puede expresarse "con tres palabras: educación, educación, educación". En su opinión, la educación sobre Internet "debe llegar a los planes de estudios y las actividades extraescolares" del mismo modo que lo han hecho la seguridad vial, la educación para la salud o la educación alimentaria.

Además, puntualiza que esta educación "no puede estar basada en el riesgo y en el temor, sino que tenemos la responsabilidad de no asustar a los padres. A nadie se le ocurre enseñar seguridad vial aterrorizando con todos los males derivados de la conducción, o al menos no exclusivamente".

Y es que., según este experto, Internet "abre a nuestros niños un maravilloso mundo de conocimiento, socialización y participación democrática". La cuestión es "cómo vamos a conseguir que aprendan todas las posibilidades que el entorno les ofrece siendo capaces de evaluar y controlar los riesgos".

A su juicio, aunque esto es 'deformación profesional', aprender a valorar la información personal y la vida privada como un patrimonio propio y valioso "constituye un pilar fundamental".

En último, explica que los padres constituyen otro reto a valorar, ya que es una "soberana estupidez" considerar que el niño o niña, nativo digital "sabe mucho de Internet y su padre no".

Para Martínez, si un padre no sabe usar Internet "tiene una fantástica oportunidad de aprenderlo con su hijo, de navegar con él, porque hay algo que un padre siempre podrá transmitir: valores y criterios. Ello sin perjuicio de aprovechar los magníficos recursos formativos que INTECO, la Agencia Española de Protección de Datos, IQUA o red.es ponen a su disposición.

El 66% de las memorias USB extraviadas contienen malware y no están encriptadas

La compañía de seguridad ha acudido a una subasta pública de objetos perdidos en el metro de Sydney para adquirir un lote de memorias USB extraviadas. De esta forma, en el blog de seguridad de Sophos Naked Security explican que consiguieron 50 USB perdidas de gente que no las había reclamado. Con las memorias, los técnicos de Sophos han realizado un análisis de su contenido para determinar el grado de seguridad de sus documentos y la aparición de malware.

En primer lugar han destacado que en el 66% de las llaves USB analizadas había algún tipo de malware. Se trata de más de la mitad y supone un peligro potencial para todos aquellos que encuentren en la calle este tipo de sistemas de almacenamiento. Al encontrar un USB, los usuarios pueden optar por intentar encontrar a su propietario o quedárselo (si no lo devuelven a objetos perdidos). En cualquiera de los dos casos, lo natural suele ser utilizar la llave en un ordenador, sea para buscar información del propietario o para su uso.

Con los datos de Sophos se ha demostrado que este tipo de prácticas puede comprometer la seguridad de los terminales de los usuarios ya que estarían utilizando un dispositivo desconocido que en el 66% de las veces contiene malware. Los equipos de los usuarios pueden infectarse al usar estos USB, por lo que es recomendable extremar la precaución a la hora de usar un sistema de almacenamiento que no se conoce.

En el estudio de Sophos también destaca que todas las amenazas eran para Windows, ninguna de las detectadas era para Mac OS. Los usuarios del sistema operativo de Microsoft deben disponer de sistemas de control ya que hay más amenazas que pueden afectar a sus equipos.

Desde Sophos también han destacado que ninguna de las memorias USB analizadas contaba con un sistema de encriptación de los datos. Se trata de un error de seguridad muy grave en este tipo de dispositivos ya que deja totalmente expuestos los datos de los usuarios en caso de pérdida. Entre las USB analizadas Sophos no ha encontrado ninguna información confidencial o pública, pero es una prueba de la falta de medidas de seguridad que los usuarios tienen con los dispositivos de almacenamiento portátiles.

Google, Facebook y Apple se comprometen a proteger a los niños en internet

La Comisión Europea se unió a las empresas de tecnología más importantes, incluyendo Apple, Facebook y Google este jueves para mejorar la protección de los niños en línea.

La coalición, que incluye a 28 empresas, desarrollará un sistema basado en la calificación por edades online y tiene como objetivo reforzar la configuración de privacidad. Asimismo, tiene previsto para finales del próximo año incorporar esta medida para que sea más fácil informar sobre contenido inapropiado.

Otras medidas que se incluyen son la mejora de los controles parentales y la mejora de la cooperación entre las fuerzas del orden y las autoridades online para eliminar el material en línea que muestran abusos sexuales.

"Esta nueva coalición debe facilitar a los menores y los padres herramientas de protección transparentes y coherentes para aprovechar al máximo el mundo online", aseguró la comisaria europea que se ocupa de la política de la tecnología digital, Neelie Kroes.

La formación de esta coalición se produce tras el informe de la Comisión Europea del pasado mes de junio, según el cual 14 sitios de redes sociales, como Facebook, no protegían adecuadamente los perfiles y los datos de menores.

Un buen comienzo

La sede en Gran Bretaña del grupo Childnet International, que tiene como objetivo proteger a los niños en línea, dijo que la coalición es un buen comienzo. "Damos la bienvenida a esta iniciativa y tenemos la esperanza de lo que podría lograr", aseguró el consejero delegado de Childnet Internacional, Will Gardner. "Estamos viendo una declaración de intenciones, este es el comienzo".

Muchos niños se vuelven activos online a los siete años y el 38 por ciento entre los 9 y los 12 años tienen sus propios perfiles en redes sociales, según la investigación de la UE. Más de 30 por ciento de los niños acceden a Internet a través de un dispositivo móvil y el 26 por ciento a través de consolas de videojuegos.

Otras empresas incluidas en esta coalición son BSkyB, BT, Deutsche Telekom AG, Nintendo, Nokia y Orange.