Protección de Datos Personales y RGPD

Introducción y Contextualización Práctica

• La protección de datos personales es fundamental para individuos y organizaciones en la era digital
• Los datos sensibles requieren una protección más rigurosa debido a su naturaleza delicada, como datos de salud, orientación sexual y creencias religiosas
• La gestión y protección correctas de los datos son una obligación legal y una responsabilidad ética
• El Reglamento General de Protección de Datos (RGPD) en Europa establece principios y derechos fundamentales para asegurar la protección de los datos personales
• Los derechos de los usuarios, conocidos como ARCO-POL, ayudan a controlar cómo se utilizan los datos personales

¿Qué es la protección de datos personales?

• Datos personales son cualquier información que permita identificar a una persona física, directa o indirectamente
• Los datos de identificación básica incluyen nombre completo, DNI, número de seguridad social, pasaporte, domicilio, ciudad, código postal, teléfono y correo electrónico
• Los datos de identificación financiera se relacionan con tarjetas de pago, cuentas bancarias, número de cuenta y entidad bancaria
• Los datos laborales y profesionales incluyen empleo anterior y actual, cargos, responsabilidades, fechas, certificaciones y títulos
• Los datos de salud y bienestar incluyen historial médico, tratamientos, medicamentos, condición física y antecedentes médicos familiares
• Los datos de vida personal y social incluyen preferencias, hábitos, intereses, comportamientos, perfiles en redes sociales, publicaciones, amigos y conexiones
• Los datos sensibles son el origen étnico o racial, creencias religiosas o filosóficas, orientación sexual y opiniones políticas
• Los datos biométricos son información derivada de huellas dactilares, análisis facial (reconocimiento facial) y datos del iris del ojo
• Los datos de localización dan información sobre la ubicación física precisa obtenida por GPS
• Los datos del iris se usan en sistemas de reconocimiento biométrico para verificar la identidad de manera precisa y rápida, y es difícil de replicar o falsificar.
• Los datos sensibles exigen un nivel más alto de protección debido al riesgo potencial de su exposición

Normativa reguladora de la protección de datos

• El Reglamento General de Protección de Datos (RGPD) armoniza las leyes de protección de datos en Europa y garantiza un alto nivel de protección
• El RGPD fue aplicado el 25 de mayo de 2018
• El ámbito de aplicación del RGPD engloba a organizaciones que procesan datos personales de ciudadanos de la UE, sin importar su ubicación
• El consentimiento debe ser explícito, informado, específico y mediante una acción afirmativa clara
• Los controladores y encargados del tratamiento tienen la obligación de mantener registros, realizar evaluaciones de impacto y notificar violaciones de datos
• El RGPD otorga a los ciudadanos derechos importantes, incluyendo:
• Derecho de acceso: Permite solicitar acceso a los datos personales y obtener una copia.
• Derecho a rectificación: Permite corregir datos inexactos o incompletos.
• Derecho al olvido: Permite eliminar datos personales cuando ya no sean necesarios o se retira el consentimiento.
• Derecho a limitación del tratamiento: Permite restringir el tratamiento de datos personales.
• Derecho a oponerse: Permite oponerse al procesamiento de datos personales para marketing directo.
• Derecho a la portabilidad de datos: Permite transferir datos personales a otro controlador en un formato estructurado.
• La Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales (LOPDGDD) establece normas específicas sobre el tratamiento de datos personales en España

Principios de la protección de datos

• Los principios de la protección de datos garantizan un tratamiento justo, transparente y seguro de los datos personales
• Principios de licitud, lealtad y transparencia:
• Licitud: El tratamiento debe estar justificado legalmente (consentimiento, contrato, obligación legal, interés vital, tarea pública, ejercicio de poderes oficiales).
• Lealtad: Evitar prácticas engañosas o perjudiciales y tratar los datos respetando la dignidad y los derechos.
• Transparencia: Proporcionar información detallada sobre la recopilación, uso, almacenamiento y los derechos relacionados con los datos personales.
• Principio de limitación de la finalidad: Los datos deben ser recogidos con fines específicos, explícitos y legítimos
• Principio de minimización de datos: Solo se deben recopilar datos adecuados, relevantes y estrictamente necesarios
• Principio de exactitud: Los datos personales deben ser exactos y actualizados
• Principio de limitación del plazo de conservación: Establecer plazos de conservación y asegurar la eliminación o anonimización cuando ya no sean necesarios
• Principio de integridad y confidencialidad: Incluye protección contra el tratamiento no autorizado, la pérdida, la destrucción o el daño accidental
• Principio de responsabilidad proactiva: Implementar medidas de protección y documentar el cumplimiento de las obligaciones legales

Derechos de los usuarios (ARCO-POL)

• El RGPD y la LOPDGDD reconocen una serie de derechos fundamentales en relación con la información que se recopila y se utiliza
• Los derechos ARCO-POL representan:
• Acceso: Permite conocer qué datos personales se están recopilando, con qué fines y con quién se comparten.
• Rectificación: Permite corregir datos personales inexactos o incompletos.
• Cancelación: Permite solicitar la eliminación de datos personales cuando ya no sean necesarios o el tratamiento sea ilícito.
• Oposición: Permite oponerse al tratamiento de datos personales en ciertas circunstancias, como el marketing directo.
• Portabilidad de datos: Permite recibir una copia de los datos personales en un formato estructurado y transferirlos a otro responsable.
• Limitación del tratamiento: Permite solicitar que se limite el tratamiento de los datos personales en determinadas circunstancias

Caso práctico 1: "Derechos del usuario"

• Marta retira su consentimiento para el uso de sus datos en una campaña de marketing directo en Instagram
• Marta desea que cesen todos los correos electrónicos y las comunicaciones de marketing
• Marta tiene el derecho a oponerse al tratamiento de sus datos personales en relación con actividades de marketing directo
• Marta ejerce el derecho a la supresión para solicitar la eliminación de sus datos personales de los sistemas de la empresa
• Marta debe solicitar el retiro de sus datos por correo, y la empresa debe retirar su consentimiento
• La empresa debe enviar una confirmación informando de que su solicitud ha sido procesada y que sus datos han sido eliminados

Medidas técnicas y organizativas para proteger los datos personales

• El cifrado convierte los datos en un formato ilegible para cualquier persona sin la clave de descifrado
• El cifrado es esencial para garantizar la confidencialidad de los datos en tránsito y en reposo
• El cifrado en tránsito protege los datos mientras son transmitidos entre dispositivos
• El cifrado en reposo protege los datos almacenados en servidores o bases de datos
• El cifrado de extremo a extremo garantiza que solo el remitente y el destinatario puedan leer el contenido

Anonimización

• La anonimización modifica los datos personales para que no se puedan vincular directa o indirectamente a una persona
• La desidentificación elimina o modifica identificadores directos (nombres, números de seguridad social, direcciones IP)
• La generalización reduce la precisión de los datos agrupando valores en categorías más amplias (ej. almacenar solo el año de nacimiento)
• Los beneficios de la anonimización son la protección contra brechas de seguridad, el cumplimiento regulatorio y la confianza del usuario

El futuro de la protección de datos

• El futuro de la protección de datos está influenciado por el avance de las tecnologías emergentes
• La IA y el ML están mejorando la detección de amenazas y la respuesta a los ciberataques
• Los sistemas de cifrado actuales podrían volverse vulnerables ante computadoras cuánticas
• Las tecnologías blockchain ofrecen registros inmutables y transparentes de transacciones de datos
• El Internet de las cosas (IoT) amplía la superficie de ataque debido a la proliferación de dispositivos

Caso práctico 2: "Desidentificación de datos"

• Una red social recopila nombre, dirección, teléfono, correo electrónico y fecha de nacimiento de un usuario
• Para proteger la privacidad del usuario, la plataforma decide desidentificar estos datos
• Pasos para la desidentificación:
• Eliminar el nombre completo
• Reducir la precisión de la dirección, conservando solo la ciudad y el país
• Eliminar el teléfono y el correo electrónico
• Desidentificar la fecha de nacimiento, reteniendo solo el mes y el año

Resumen y resolución del caso práctico de la unidad

• La importancia de la protección de datos personales, analizando sus tipos y posteriormente la principal normativa relativa al tema
• Análisis de los derechos fundamentales de la misma, conocidos como ARCO-POL, así como sus principios
• Estudio de las principales medidas técnicas y organizativas para proteger los datos personales, donde se incluyen el cifrado de datos y la anonimización como técnicas principales para ella
• Los avances tecnológicos influyen en la protección de datos y las consideraciones que tenemos que tener en cuenta para enfrentarnos a ellos

Resolución del caso práctico de la unidad

• Aislamineto del incidente se logra desconectando sistemas comprometidos para evitar la propagación del ataque
• Es importante determinar el alcance del mismo e identificar qué datos se han visto afectados y cómo ha ocurrido el incidente
• Hay que informarf al equipo de respuestas a incidentes, y asegurarse de que la alta dirección esté al tanto
• Tambien hay que notificar a las autoridades reguladoras, en España, la Agencia Española de Protección de Datos, dentro del plazo legal, que suelen ser 72 horas
• Hay que notificar a los afectados y proporcionarles apoyo legal si fuera necesario
• Es impresindible actualizar las medidas de seguridad y realizar una auditoría de seguridad, así como estar preparados para enfrentar posibles acciones legales, sanciones o demandas derivadas del incidente