Universidad de Granada

Seguridad Informática - Recopilación de información relevante sobre ciberseguridad para el personal de la Universidad de Granada

Inicio >> Archivo de Proteccion de datos

El RGPD da el pistoletazo de salida para su aplicación

INCIBE  publica esta noticia:

El próximo día 25 de mayo comenzará a aplicarse la nueva normativa relativa a la privacidad: el tan mencionado RGPD. También se está tramitando una nueva Ley Orgánica de Protección de Datos de Carácter Personal (este es el proyecto de ley). La actual LOPD y su reglamento seguirán en vigor con carácter subsidiario, es decir, para aquello que no esté regulado y no contradiga a la nueva normativa.

Más en BLOG de INCIBE

Podemos ver en que cambia este nueva nueva normativa con respecto a la anterior.

Ficheros en la nube

Con respecto a dejar datos personales en la nube, desde la Secretaria General (a través de la pregunta 29 de la Guia Básica de proteccion de datos preparada al efecto ) nos dicen:

“29. ¿Qué precauciones han de adoptarse antes de contratar los servicios de computación en la nube?

El almacenamiento de datos en nube, como nueva forma de prestación de los servicios de tratamiento de la información, válida tanto para una empresa como para un particular y, también, para la Administración Pública, es una práctica creciente no exenta de riesgos en cuanto a la seguridad. La propia naturaleza del modelo Cloud Computing hace posible que, en principio, los datos almacenados “en la nube” se encuentren físicamente en un servidor ubicado en cualquier punto del planeta.

En esta materia, hay que tener en cuenta que:

1) El prestador de servicios de Cloud Computing tendrá la naturaleza de encargado del tratamiento, pues en definitiva trata datos personales por cuenta del responsable del fichero, en este caso la Universidad de Granada. Por consiguiente, sería exigible, a tenor de lo dispuesto en el art. 12 LOPD, la suscripción de un contrato de prestación de servicios de tratamiento de datos personales por cuenta de terceros con la empresa proveedora de este sistema de almacenamiento.

2) En la mayoría de los casos de “nube” no sabemos dónde están físicamente los datos, y pueden que estén almacenados en países a los que resulte de aplicación la normativa sobre transferencia internacional de datos, por lo que habría que estar a lo dispuesto en los artículos 137 a 140 del Reglamento de desarrollo de la LOPD.

3) En materia de seguridad y confidencialidad, los aspectos esenciales a tener en cuenta durante la selección del proveedor de servicios están contenidos en la guía para clientes que contraten servicios de Cloud Computing, aprobada por la Agencia Española de Protección de Datos.

Cumplidas las prescripciones legales y las recomendaciones de seguridad y confidencialidad, es aconsejable que los datos que se almacenen por este medio sean de nivel básico únicamente.

Entre los proyectos en marcha del CSIRC está la creación de una infraestructura de nube privada en el nuevo centro de procesos del edificio Mecenas que, desde la perspectiva de la seguridad, es preferible a una nube pública (sin comparar costes). Por lo tanto sería recomendable que se comentase con el CSIRC alternativas a este tipo de almacenamiento en las que la UGR pudiese tener mayor control.

La relación que mantenga cada usuario de la UGR con este tipo de prestadores lo será a título individual, sin que la Universidad pueda responder en este caso de su cumplimiento y de cualquier responsabilidad que pudiera derivarse de su ejecución, salvo que se trate de un contrato suscrito entre la UGR y el correspondiente prestador.”

En este sentido la AGPD ( Agencia Española de Proteccion de Datos ) eleboró una guía .

AEPD – Guía para facilitar adaptación al Reglamento

La AEPD presenta una guía para facilitar a las Administraciones Locales su adaptación al Reglamento

Publicado el:
miércoles, 04 abril 2018

  • Los entes locales recogen y tratan datos de los ciudadanos en el ejercicio de sus funciones, por lo que también deben adaptarse al nuevo Reglamento General de Protección de Datos, que se aplica el 25 de mayo de este año.

La Agencia Española de Protección de Datos (AEPD) ha presentado la Guía “Protección de datos y Administración Local” para facilitar la adecuación al Reglamento General de Protección de Datos (RGPD) de los tratamientos de datos que realizan las entidades locales. La presentación tuvo lugar en un acto celebrado con representantes de la Federación Española de Municipios y Provincias (FEMP) y del Consejo General de Secretarios, Interventores y Tesoreros de Administración Local (COSITAL), y que ha contado con la presencia de representantes de ayuntamientos y diputaciones provinciales.

La Administración Local recoge y trata datos personales de los ciudadanos para poder prestar los servicios públicos que tienen que ver con sus competencias y realizar las funciones que tienen encomendadas. El padrón municipal de habitantes, las subvenciones y ayudas, la gestión de tributos, las bolsas de trabajo o el registro de documentos son sólo algunos ejemplos y, en la medida en que estas entidades efectúan tratamientos de datos, están obligadas a adaptarse al Reglamento General de Protección de Datos, que se aplica el 25 de mayo de este año.

La guía incluye una primera parte dedicada a conceptos básicos, en la que delimita que los responsables del tratamiento de datos en el ámbito local son los municipios y las diputaciones locales. Éstas últimas cumplen una doble vertiente, como responsables de sus respectivos tratamientos, y como encargados de tratamiento en aquellos casos en que presten servicios a los municipios y esa prestación implique un tratamiento de datos.

Bajo el epígrafe de “Adecuación al RGPD de los tratamientos de datos de la Administración Local” la guía incluye una hoja de ruta que recoge los elementos que las entidades locales deben tener presente con el nuevo contexto normativo, entre los que destaca el cambio de mentalidad que supone el principio de responsabilidad proactiva, los supuestos de legitimación del tratamiento de datos, las Evaluaciones de Impacto en la Protección de Datos (EIPD), la privacidad desde el diseño y por defecto o el Delegado de Protección de Datos (DPD). Asimismo, se incluye un apartado específico sobre las “smart cities”, por la posibilidad que la tecnología ofrece a los responsables de los municipios de obtener información sobre los ciudadanos en tiempo real.

La tercera parte de la guía contiene un catálogo de consultas frecuentes que ha sido elaborado tomando como referencia los informes realizados por el Gabinete Jurídico de la AEPD en respuesta a las cuestiones planteadas por los responsables de la Administración Local en los últimos años. Entre ellas se encuentran, por ejemplo, aquellas relacionadas con la posibilidad de ceder datos del padrón municipal para fomentar la participación ciudadana, la grabación de sesiones de los plenos municipales y posterior publicación en redes sociales o la relación entre protección de datos y transparencia administrativa. Todas las respuestas tienen en cuenta la inminente aplicación del RGPD.

Con esta guía, que incluye cuadros-resumen con numerosos ejemplos prácticos, la AEPD añade un nuevo recurso con el que refuerza el repositorio de guías y materiales al que pueden recurrir las entidades públicas para completar su adaptación al nuevo Reglamento, como la infografía con información simplificada para la adaptación de las Administraciones al nuevo Reglamento, el impacto del RGPD sobre la actividad de las AAPP, de las Administraciones Locales o el documento sobre el Delegado de Protección de Datos.

Estos recursos se complementan con INFORMA_RGPD, el canal de reciente creación para dar respuesta a las cuestiones que puedan plantear responsables, encargados y delegados de protección de datos; la celebración de jornadas de formación conjuntas con la Federación Española de Municipios y Provincias (FEMP) y el Instituto Nacional de Administración Pública (INAP), así como sesiones informativas realizadas por la AEPD en centros o institutos de formación autonómicos de las Comunidades Autónomas para explicar el alcance de los cambios normativos.

AEPD (03/04/2018)

Más información

 

 

 

Equipo CCN-CERT