Grupos de Whatsapp sin consentimiento

Se suceden las multas a clubes deportivos, asociaciones culturales, por parte de la AEPD, al incluir a miembros en los grupos de Whatsapp sin un consentimiento previo.

Al quedar los números de teléfono expuestos a terceros se vulnera la confidencialidad de los datos, lo que supone una infracción del artículo 32.1b) de la RGPD.

Desde Data Protect Plus os recomendamos realizar los siguientes pasos para evitar que te añadan a grupos sin tu permiso:

1. Abrir WhatsApp.
2. Entrar en Ajustes.
3. Acceder a la sección de Privacidad
4. Una vez dentro, encontrarás la opción: Grupos junto a Última vez, Foto de perfil, Información y Estados.
5. Cuando entras en la categoría de Grupos encontrarás la siguiente pregunta: Quién puede añadirme a grupos y otras tres opciones:

• Todos: Te podrán agregar todos los usuarios de WhatsApp a grupos “con tu supuesto consentimiento”. Y no recibirás invitaciones en privado.
• Mis contactos: Te pueden agregar sólo aquellos que tengas en tu lista de contactos. Y, por ende, recibirás una invitación para unirte a aquel en el que no estén tus contactos, en privado.
• Mis contactos excepto…: Aquí es donde puedes decidir con precisión quién no puede agregarte a grupos — estando o no entre tus contactos, el resto podrá.

Desde Data Protect Plus resolvemos todas tus dudas en protección de datos

www.dataprotectplus.com

Los smartphones se han convertido en dispositivos indispensables para el día a día, en tanto almacenan mucha de nuestra información sensible: desde un listado telefónico que hace mucho dejamos de memorizar a nuestros recuerdos más preciados, pasando por documentación de índole bancaria o profesional (incluidas las contraseñas necesarias para acceder a la misma). Así, estos gadgets se antojan un reclamo goloso para los amantes de los ajeno; cibercriminales que confían al software malicioso o ‘malware‘ la tarea de robar nuestros datos sin que nos demos cuenta.

La firma de ciberseguridad Check Point Software Technologies ha salido al paso para enumerar cinco señales indubitables de que un teléfono inteligente se encuentra comprometido.

Cierto que la mayoría de smartphones ralentizan su funcionamiento al cabo de varios años, pero tal vez no sea esa la razón de que nuestro modelo haya comenzado a ir lento. Si notamos que algunas aplicaciones se cierran sin razón aparente o que utilidades como la linterna dejan de funcionar, deberíamos estar alerta. Especialmente si ocurre tras haber instalado una aplicación o haber pinchado en un enlace de descarga.

Todas las baterías pierden capacidad máxima de carga con los años, pero una vez más podría ser un malware el responsable de que el móvil permanezca encendido cada vez menos tiempo. Más concretamente, si vemos que la batería pasa del 100 al 50% en pocos minutos, convendría echar un vistazo al apartado de ‘Batería’ dentro de’ Ajustes’ para comprobar qué aplicación es la responsable.

¿Has notado últimamente un consumo de datos disparatado pese a no haber reproducido vídeos ni acometido descargas bajo redes móviles? Alguien podría haber tomado el control remoto del teléfono para instalarle aplicaciones sin que seamos conscientes; apps que funcionan en segundo plano bajo un tráfico de datos constante. En este caso deberíamos repasar el listado de aplicaciones instaladas y suprimir aquellas que no reconozcamos.

El responsable es un tipo de malware denominado ‘adware’, capaz de colar publicidad hasta en las notificaciones del teléfono y, tal y como señala Check Point, resulta muy difícil de suprimir. No en vano, este tipo de aplicaciones están diseñadas para ocultar sus iconos de forma que no podamos desinstalarlas. El consejo viene siendo el de siempre: no pinchar en enlaces anónimos que hayamos recibido por mensaje o correo electrónico ni instalar apps fuera de canales oficiales como Google Play.

Si al revisar el historial de llamadas encontramos números con los que no nos hemos puesto en contacto (generalmente extranjeros) o topamos con mensajes de texto enviados sin nuestro consentimiento, la infección del aparato está garantizada. Lo peor viene al recibir la factura, donde este tipo de comunicaciones se tarifican a precios considerables.

Es muy importante contar con un buen antivirus en nuestro dispositivo para evitar el robo de datos personales y protegerlos.

Fuente: El Correo

La protección de datos en los centros educativos

Debido al gran número de preguntas recibidas por la Agencia Española de Protección de Datos (AEPD) que inciden en la responsabilidad de los tratamientos de datos en los colegios y qué hacer cuando plantean dudas o controversias al respecto, la Agencia clarifica en una infografía de quién son los datos que tratan los centros educativos (alumnado, profesorado, personal de servicios, etc.), quién es el responsable de su tratamiento en cada caso, quién gestiona los datos personales atendiendo al encargo que le hace el responsable, y quién tiene la función de asesorar para que el tratamiento se ajuste a la normativa y de responder a las cuestiones y dudas que en esta materia se les susciten a los interesados.

Las familias buscan conseguir más información sobre el tratamiento de datos de los menores y, para ello, es importante que conozcan la figura del Delegado de Protección de Datos, que tiene entre sus funciones asesorar tanto a los responsables como a las familias sobre cómo se tratan los datos personales y al que se le pueden hacer llegar las reclamaciones.

Se debe informar a las familias de:

• La existencia de un fichero o tratamiento de datos personales.
• La finalidad para la que se recaban los datos y su licitud, por ejemplo, para el ejercicio de la función educativa, o para difundir y dar a conocer las actividades del centro.
• La obligatoriedad o no de facilitar los datos y las consecuencias de la negativa a facilitarlos
• Los destinatarios de los datos
• Los derechos de los interesados y dónde ejercitarlos.
• La identidad del responsable del tratamiento: la Administración educativa o el centro.

¿Todos los centros educativos tienen que nombrar a un Delegado de Protección de Datos?

Siguiendo lo dispuesto en el art.34 de la LOPDPGDD, que regula las entidades que deberán nombrar a un delegado de protección de datos, entre otros supuestos, hace referencia a: “los centros docentes que ofrezcan enseñanzas en cualquiera de los niveles establecidos en la legislación reguladora del derecho a la educación, así como las Universidades públicas y privadas”.

A la respuesta de si todos los centros docentes tienen que nombrar un DPD/DPO, será afirmativa, siempre y cuando en ellos se ofrezcan las siguientes enseñanzas, tal y como dispone su propia normativa en la Ley Orgánica 2/2006, de 3 de mayo, de Educación, en su disposición adicional 16ª

Denominación de las etapas educativas:

1. a) Educación infantil.
2. b) Educación primaria.
3. c) Educación secundaria obligatoria.
4. d) Bachillerato.
5. e) Formación profesional.
6. f) Enseñanzas de idiomas.
7. g) Enseñanzas artísticas y

Enseñanzas deportivas.

1. i) Educación de personas adultas.
2. j) Enseñanza universitaria.

El artículo no hace distinción entre centros privados o docentes, por lo que se entiende que engloba a los dos supuestos, los que no estarían obligados a nombrar un DPO/DPD, por ejemplo, serán las academias que imparten algún tipo de formación.

IMPORTANTE

Cuando el DPO/DPD forma parte de la entidad, no podrá ser removido ni sancionado por el responsable o encargado, salvo que, incurra en dolo o negligencia grave.

Data Protect Plus puede ser tu Delegado de Protección de Datos

Aquí es donde Data Protect Plus juega un papel fundamental porque podemos ser nombrados como Delegados de Protección de Datos de los centros educativos para realizar las funciones de asesoramiento e información al responsable sobre la aplicación de la normativa de protección de datos y supervisar su cumplimiento. Además, realizamos una labor de Interlocutor con las personas afectadas para cualquier cuestión de protección de datos, lo que incluye dudas, tanto de las familias como de profesionales de la educación, así como quejas y reclamaciones.

Finalmente, Data Protect Plus ofrece ofrece una formación específica en los centros educativos sobre protección de datos tanto a los padres y madres de los alumnos como a los propios alumnos y profesores.

En materia de centros educativos, Data Protect Plus es la solución para todos ellos en estas materias que no están cubiertas por las administraciones.

El organismo público abre un procedimiento sancionador para imponer una sanción de 200.000 euros

La Agencia Española de Protección de Datos (AEPD) ha abierto un procedimiento sancionador contra el BBVA de 200.000 euros tras recibir la denuncia de un ciudadano por un mal tratamiento de datos personales. En la documentación del procedimiento se explica que el tratamiento realizado por BBVA no cumple con el Reglamento General de Protección de Datos (RGPD), el marco legal por el que se rige la gestión de la información de de los ciudadanos de la Unión Europea.

“Se manifiesta por el reclamante que la entidad reclamada no adopta ninguna otra medida de seguridad para confirmar la identidad del cliente, por lo que cualquier persona puede llamar, dar un número de DNI y obtener información asociada a ese DNI, sin comprobar que la persona que llama sea el titular de dicho documento identificativo”, refleja la resolución.

Es decir, cualquier persona que hubiera sido capaz de hacerse con la numeración de un Documento Nacional de Identidad podría conseguir datos personales del propietario del DNI, sin que BBVA tuviese en funcionamiento filtros adecuados para identificar que quien hace la consulta es realmente el propietario del DNI.

La reclamación fue planteada ante el organismo responsable de velar por el buen tratamiento de los datos de los ciudadanos el pasado 25 de marzo de 2020, con la pandemia del coronavirus en su momento inicial. La AEPD procedió a informar al BBVA del requerimiento. La entidad bancaria apuntó el 25 de septiembre que había un error de forma para frenar el procedimiento. Alegó ante Protección de Datos que una vez subsanado el mismo, se le notificase de nuevo aquello que fuese pertinente.

“Pese a que la naturaleza de este requerimiento, que como indica el artículo 65.4 de la LOPDGDD, es facultativo y de carácter previo al inicio de cualquier procedimiento, el 25 de septiembre de 2020, la entidad reclamada en respuesta al requerimiento de este Organismo, manifiesta que en el escrito de la Agencia, no se ha indicado el plazo para responder, lo cual supone un error en la tramitación del procedimiento, motivo por el que solicita que se paralice el procedimiento, hasta que se subsane dicho error y se le notifique de nuevo dicha solicitud de información”.

Reducción de la sanción para BBVA

El Reglamento General de Protección de Datos establece en el artículo 5 los principios que han de regir el tratamiento de los datos personales y menciona entre ellos los de “integridad y confidencialidad”.

En este sentido, la seguridad de los datos personales se regula en el artículo 32 del RGPD. El punto 1 de este artículo establece que “teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo”. Y procede a enumerar las siguientes medidas:

• La seudonimización y el cifrado de datos personales
• La capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento
• La capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico
• Un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento

La vulneración del artículo 32.1 supone, según la ley, que “las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10.000.000  euros como máximo o, tratándose de una empresa, de una cuantía equivalente al 2% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía”.

Por este motivo, y aplicando el reglamento, la AEPD ha abierto el procedimiento sancionador contra BBVA. Los 200.000 euros podrían verse reducidos a 120.000 euros, explica el documento, siempre que el pago se realice de forma voluntaria y antes de que se produzca la resolución.

Fuente: VozPópuli

Llega el inicio de curso en los centros educativos y surgen las dudas respecto a la privacidad de los datos de menores.

Lo primero a tener en cuenta es el consentimiento expreso de todos los alumnos para poder tratar sus datos.

Los centros educativos deben contar con un formulario solicitando el consentimiento para el tratamiento porque hay datos sensibles y se debe informar claramente de:

• La existencia de un fichero o tratamiento de datos personales.
• La finalidad para la que se recaban los datos y su licitud, por ejemplo, para el ejercicio de la función educativa o para difundir y dar a conocer las actividades del centro.
• La obligatoriedad o no de facilitar los datos y las consecuencias de la negativa a facilitarlos.
• Los destinatarios de los datos.
• Los derechos de los interesados y dónde ejercitarlos.
• La identidad del responsable del tratamiento: la Administración educativa o el centro.

A las familias hay otras cuestiones que les preocupa como es la publicación de imágenes de los alumnos durante sus actividades; esta cuestión es muy delicada y hay que tener en cuenta lo siguiente:

• Si se realiza con fines educativos no sería necesario recabar el consentimiento.
• Si el motivo es para la difusión del centro con publicación en la web sería necesario:

1. Contar con el consentimiento del afectado.
2. Si el afectado es menor de 14 años habrá que solicitar el consentimiento a los padres o tutores. La imagen de una persona ha de ser considerada como dato de carácter personal y su tratamiento sometido a la ley de Protección de Datos, por lo que, con carácter general, no será posible su utilización o cesión si el interesado no ha dado su consentimiento para ello.
3. Hay que informar con anterioridad de la finalidad de la grabación
4. Hay que informar del nivel de accesibilidad de las imágenes

Esperamos que, con este artículo, hayamos contribuido a responder a las dudas iniciales del curso.

Nueva multa por no cumplir con la protección de datos europea

WhatsApp, la aplicación de mensajería más grande del planeta y perteneciente a Facebook, acaba de recibir un duro revés en uno de sus países preferidos, al menos hasta ahora, Irlanda, después de una investigación de más de dos años. La autoridad encargada de vigilar la protección de datos en el país británico ha decidido establecer un castigo récord, 225 millones de euros, alegando que esta empresa se salta la legislación de la UE con su falta de transparencia.

La decisión, que ya ha recibido una respuesta por parte de WhatsApp asegurando que recurrirá a instancias superiores, llega después de que la DPC (Comisión de Protección de Datos de Irlanda) estudiara desde 2018 el cumplimiento del conocido RGPD europeo por parte de la empresa estadounidense que tiene su sede continental en suelo irlandés.

La investigación encontró que la compañía había violado las leyes de protección de datos al no describir cómo usaba la información que recogía, según publica este jueves el medio The Times. Un duro movimiento que llega además con la mirada de decenas de activistas y grupos defensores de la protección de datos en la red puesta sobre el regulador de Dublín.

“La DPC examinó si WhatsApp había cumplido con sus obligaciones de transparencia de GDPR con respecto a la provisión de información y la transparencia de esa información tanto a los usuarios como a los no usuarios del servicio de WhatsApp. Esto incluye información proporcionada a los interesados ​​sobre el procesamiento de información entre WhatsApp y otras empresas de Facebook. Tras una investigación extensa y exhaustiva, la DPC presentó un proyecto de decisión a todas las Autoridades de supervisión interesadas (CSA) en virtud del artículo 60 del RGPD en diciembre de 2020”, comenta un portavoz al medio inglés. Los resultados de la investigación se retrasaron después de que otras agencias europeas de protección de datos se opusieran a la multa que proponía Irlanda. Irlanda revaluó posteriormente y aumentó su multa propuesta.

La multa por incumplir la protección de datos más grande jamás impuesta en Irlanda

Aunque no es la única ya que otros países como Francia han impuesto grandes castigos a las ‘big tech‘ como los 50 millones que colocó a Google por saltarse la misma normativa. En concreto, estos reguladores tienen potestad para multar con hasta el 4% del dinero generado por la empresa en cuestión así que siguen lejos del límite.

WhatsApp ha asegurado que planea apelar contra la multa, que describió como desproporcionada. “Hemos trabajado para asegurarnos de que la información que proporcionamos sea transparente y completa y continuaremos haciéndolo. No estamos de acuerdo con la decisión de hoy con respecto a la transparencia que brindamos a las personas en 2018 y las sanciones son completamente desproporcionadas. Apelaremos esta decisión”.

Hay que recordar que la mayoría de estas empresas tienen su sede continental en suelo irlandés debido a sus beneficios fiscales y las facilidades ofrecidas a las tecnológicas estadounidenses por lo que este país y su regulador se ha convertido en una pieza clave de la pelea europea entre compañías y regulación. De momento ya ha abierto hasta 20 investigaciones, varias de ellas con Facebook como protagonista.

La Agencia Española de Protección de Datos (AEPD) ha advertido a las Comunidades Autónomas de que exigir el certificado COVID para entrar en establecimientos puede vulnerar derechos. El organismo ha enviado un requerimiento de información a Galicia y Canarias -las dos comunidades que por ahora han implantado la medida- para estudiar si se ajusta al ordenamiento jurídico nacional.

Según ha comunicado la Agencia, tras tener conocimiento de varias iniciativas públicas que generalizan “la utilización del certificado de vacunación“, ha decidido analizar si esta medida respeta el derecho fundamental de la ciudadanía a la protección de sus datos personales. La normativa europea recoge que la información relativa a la salud de los ciudadanos son datos especialmente sensibles, por lo que su tratamiento requiere mayores exigencias.

“Las autoridades europeas de protección de datos hemos expresado nuestra preocupación por la utilización de certificados dentro de los Estados para finalidades tales como el acceso a tiendas, restaurantes o gimnasios, así como su uso en otros contextos como el laboral”, ha indicado la AEPD en la nota de prensa.

También ha afirmado que se debe contar con una base legal apropiada y ajustada a los principios de “eficacia, necesidad y proporcionalidad” y teniendo en cuenta la existencia de otras medidas de protección menos invasivas.

Protección de Datos, además, ha incidido en que exigir este documento puede resultar “discriminatorio“, ya que la vacunación no es obligatoria en España y existen colectivos que, debido a razones médicas, no pueden recibir la vacuna. Además, el hecho de que el proceso de vacunación se rija por criterio es de priorización implica que parte de la población aún no haya podido recibir alguna o todas las dosis necesarias.

Ante la “indefinición y dudas legales” sobre el sistema de detección anticipada que la firma implantó a modo de prueba piloto en 48 tiendas

Mercadona ha decidido dar por finalizado el procedimiento abierto por la Agencia Española de Protección de Datos (AEPD) procediendo al pago de los 2,5 millones de euros de sanción propuesta por este organismo en relación con el proyecto piloto que fue testado durante varios meses en 48 de las 1.640 tiendas de las que dispone la compañía, según han informado fuentes de la firma de supermercados.

El sistema, con la correspondiente autorización judicial y tras contrastar científicamente, aplicaba un primer filtro tecnológico y una segunda verificación visual y establecía que la persona identificada tenía una orden de alejamiento vigente del establecimiento. Después procedía a notificarlo a las Fuerzas y Cuerpos de Seguridad, responsables de hacer cumplir la medida en vigor.

Según explican desde la compañía, no se guardaba ningún tipo de información del resto de personas, pues se eliminaba en su totalidad en 0,3 segundos, que es la duración de todo ese proceso (tiempo similar a un parpadeo), lo que imposibilitaba totalmente la posibilidad de identificar a las personas sobre las que no existía una prohibición judicial de acceso al establecimiento.

Para la implantación y puesta en marcha de esta medida, que perseguía reforzar la seguridad tanto del personal de la tienda como de los clientes, la compañía, desde el primer momento, mantuvo un contacto estrecho con las autoridades correspondientes. Asimismo, compartió con la AEPD todos los procedimientos de su Sistema de Detección Anticipada antes de iniciar la prueba.

Paralelamente, la compañía afirma que se aplicaron “los más estrictos estándares de transparencia”, con campañas de información tanto a través de los medios de comunicación como por medio de cartelería en estos 48 supermercados.

Además de ello, en todos y cada uno de los casos dispuso siempre de autorización judicial previa, sustentadas en más de treinta y siete sentencias firmes con orden de alejamiento del establecimiento en vigor que autorizaban el uso de dicha tecnología.

Mercadona, a pesar de todo ello y ante la indefinición y dudas legales puestas de manifiesto en lo actuado hasta el momento en el procedimiento sobre esta tecnología, considera que “ahora lo más responsable y riguroso es dar por finalizada esta prueba piloto”.

Analistas de malware descubrieron nueve apps maliciosas en Google Play que roban los datos de inicio de sesión y las contraseñas de los usuarios de Facebook.

Expertos de Doctor Web, una suite de antivirus ruso, encontraron 10 aplicaciones troyanas, de las cuales nueve estaban disponibles en Google Play y se han difundido como software inofensivo.

Las aplicaciones maliciosas son:

1. Processing Photo
2. App Lock Keep
3. Rubbish Cleaner
4. Horoscope Daily
5. Horoscope Pi
6. App Lock Manager
7. Lockit Master
8. Inwell Fitness
9. PIP Photo

Según el informe de los especialistas, estas aplicaciones maliciosas ya habían sido eliminadas de Google Play, pero fueron instaladas en 5 millones 856 mil 10 ocasiones.

¿Cómo funcionan?

De acuerdo con los expertos, las apps engañan a sus víctimas con la promesa de deshabilitar los anuncios en la aplicación, para lo cual, piden a los usuarios que inicien sesión en sus cuentas de Facebook.

“Los anuncios dentro de algunas de las aplicaciones estaban presentes, y esta maniobra tenía la intención de alentar aún más a los propietarios de dispositivos Android a realizar las acciones requeridas”.

Cuando los usuarios acceden, la app pide dar clic para iniciar sesión de Facebook e introducir sus credenciales, las cuales serán robadas por los troyanos.

Además, una vez que la víctima inició sesión en su cuenta, los troyanos también robaron las cookies de la sesión de autorización actual. 

Una de las trampas usadas por las aplicaciones maliciosas es que éstas eran completamente funcionales, por lo que se disminuía la posibilidad de vigilancia de las víctimas potenciales, y se permitía al malware acceder a todas las funciones de las app.

Según los expertos, el análisis de los programas maliciosos mostró que todos recibieron configuraciones para robar inicios de sesión y contraseñas de cuentas de Facebook. Sin embargo, los atacantes podrían haber cambiado fácilmente la configuración de los troyanos y ordenarles que cargaran la página web de otro servicio legítimo.

Incluso podrían haber utilizado un formulario de inicio de sesión completamente falso ubicado en un sitio de phishing. Por lo tanto, los troyanos podrían haberse utilizado para robar inicios de sesión y contraseñas de cualquier servicio.

¿Cómo evitar ser víctima de apps maliciosas?

Los expertos recomiendan a los propietarios de dispositivos Android instalar aplicaciones sólo de desarrolladores conocidos y de confianza, así como prestar atención a las opiniones de otros usuarios.

Aunque las revisiones no pueden proporcionar una garantía absoluta de que las aplicaciones sean inofensivas, sí pueden indicar sobre posibles amenazas.

Por ello, se debe estar atento cuando las aplicaciones piden que inicies sesión en su cuenta.

“Si no está seguro de que lo que está haciendo sea seguro, será mejor que no continúe y desinstale el programa sospechoso”.

Fuente: www.unotv.com