Estas son las recomendaciones de la AEPD a los DPD y contratistas del sector público

  • Actualidad

La AEPD ha analizado en una guía el uso de las nuevas tecnologías en las Administraciones Públicas y su impacto en el tratamiento de los datos. El documento examina las 'cookies' y otras tecnologías de seguimiento, la utilización de redes sociales, cloud computing, big data, inteligencia artificial, blockchain y soluciones de 'smart cities'.

Recomendados: 

Crowdstrike Falcon Complete, detección y respuesta gestionada Leer

Threat Hunting Report 2020: así son las campañas de intrusiones hoy en día Leer 

En esta nueva guía, el organismo evalúa el impacto que pueden tener todas estas tecnologías en la protección de datos, poniendo de manifiesto los riesgos inherentes a las mismas, y señala las salvaguardas que debe implementar el sector público.

Como explica la AEPD, los servicios que implementan las empresas del sector público tienen un riesgo característico derivado de la cantidad de datos recogidos, el volumen de personas afectadas, la imposibilidad de oponerse al tratamiento en muchos casos y el desequilibrio existente entre Administración y ciudadanos. Por tanto, los organismos, como responsables del tratamiento de los datos de los ciudadanos, antes de poner en marcha nuevas actividades de tratamiento o modificar servicios ya prestados, deben identificar los riesgos a los que puede estar expuesto el tratamiento y adoptar las medidas técnicas y organizativas que permitan eliminar o al menos mitigar los daños que pudieran derivarse del mismo para los derechos y libertades de las personas.

Principales recomendaciones
El documento examina cookies y otras tecnologías de seguimiento, el uso de las redes sociales y de soluciones de cloud computing, big data, inteligencia artificial, blockchain y smart cities.

En cuanto a cloud, con sus indudables ventajas, la autoridad española de protección de datos presenta riesgos como la privacidad de la información almacenada, la continuidad de los servicios, los cambios legales y la pérdida de control de la infraestructura y las aplicaciones utilizadas. En el caso de las AA.PP., por el volumen y la sensibilidad de los datos que gestionan, estos riesgos deben ser objeto de un riguroso análisis. No es improbable que en los servicios en la nube se produzcan brechas de seguridad que pongan en peligro la disponibilidad, la integridad o la confidencialidad de los datos personales, con consecuencias para los derechos y libertades de las personas físicas. Un ciberataque, un mal funcionamiento del sistema o un error humano pueden poner en peligro los datos de los ciudadanos. La gestión del riesgo de seguridad de la información no recae de forma exclusiva en la empresa proveedora del servicio que actúa como encargada de tratamiento, sino que corresponde a la Administración determinar las medidas de seguridad que debe de exigir al encargado y que, obligatoriamente, han de quedar reflejadas de forma contractual.

Por otro lado, en la fase de diseño de los tratamientos de big data hay que analizar de forma objetiva qué cantidad de datos es necesaria y suficiente, ajustarse al principio de minimización de datos y no adoptar estrategias en las que se recurre a recoger la máxima cantidad posible de datos. La Guía recoge que este problema se puede ver acentuado en el caso de recopilación masiva de datos soportada por sensores en contextos de tratamiento, como los realizados en las ciudades inteligentes. El tratamiento masivo de datos de carácter personal es uno de los supuestos para los que GDPR, el reglamento europeo de protección de datos, exige una evaluación del riesgo, requiriendo la realización de una evaluación de impacto relativa a la protección de datos y, en función del resultado obtenido, de una consulta previa a la Autoridad de Control.

Además, el documento alerta del enriquecimiento de la información de una misma persona con datos de distintas fuentes, lo que puede derivar en nuevas conexiones o matices de su personalidad que por separado no se habrían manifestado. “Es posible incluso que, al cruzar varias fuentes de datos que supuestamente eran anónimas, por agregación de datos, se revele la identidad de personas concretas”, añade. La agencia recomienda medir, evaluar y gestionar los riesgos de reidentificación, tomando las medidas necesarias para reducir la probabilidad de que se realice, con consecuencias de gran impacto en caso de categorías especiales de datos como los datos médicos, de menores o de personas en condiciones de especial vulnerabilidad.

Parte de estos riesgos también se aplican a las smart cities, “incluso cuando se recogen datos inicialmente anonimizados, ya que la extensión, frecuencia, combinación y enriquecimiento de datos pueden resultar en una reidentificación de las personas”, explica. La agencia aconseja tomar medidas para mitigar ese riesgo como aplicar técnicas de privacidad diferencial o el empleo de estrategias de agregación de información para evitar correlaciones, a la vez que señala que la instalación de sensores de forma masiva incrementa la probabilidad de que se produzcan fallos de seguridad que también pueden provenir de ataques intencionados. Por tanto, la Agencia recomienda prestar atención al análisis de riesgos de seguridad desde el punto de vista de protección de datos, de forma que ofrezca “las máximas garantías para que no se puedan producir accesos no autorizados que permitan monitorizar a las personas de forma individual o dar lugar un filtrado masivo de datos personales”.

Los destinatarios de esta guía son principalmente los Delegados de Protección de Datos de las entidades y los empleados públicos encargados de promover, gestionar y utilizar estas tecnologías, aunque también puede ser útil a empresas que trabajen como encargadas de tratamiento o desarrolladoras de aplicaciones para el sector público, así como a los propios ciudadanos, para entender cómo les afectan estas tecnologías en los servicios que les presta la Administración.