En este sentido, es importante que se lleve a cabo un análisis de riesgos que permita analizar el nivel de seguridad y la determinación de cuáles son las medidas técnicas y organizativas adecuadas, para que, en el caso de que se produzca una brecha de seguridad, el responsable y/o encargado del tratamiento sean capaces de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento.

¿A qué tipo de brechas de seguridad de datos personales tenemos que hacer frente?

• Brecha de confidencialidad: en aquellos casos en que no se tiene autorización para acceder a la información. La gravedad depende del alcance de la divulgación.
• Brecha de integridad: se modifica la información original y se sustituye por otra causando un perjuicio al afectado.
• Brecha de disponibilidad: no se puede acceder los datos originales cuando sea necesario.

IMPORTANTE
Han aumentado las resoluciones sancionadoras de la AEPD en lo que se refiere al cumplimiento de las medidas de seguridad.

La entrada Seguridad en el tratamiento y las brechas de seguridad se publicó primero en Adaptación RGPD.

Vamos a realizar un breve repaso a los protocolos seguros e inseguros en páginas web y sus características:

Protocolo HTTP: Baja seguridad

• Hypertext Transfer Protocol
• Es la base de cualquier intercambio de datos en la web.
• Está basado en un esquema de petición-respuesta entre cliente y servidor.
• No guarda los datos de las conexiones realizadas, pero sí almacenan cookies.

¿inconvenientes y por qué no se recomienda su uso?

• Su nivel de seguridad es bajo y es accesible para los piratas informáticos.
• Los datos pueden ser accesibles si se intercepta la comunicación.
• La información transmitida no está cifrada.
• No requiere ningun tipo de validación por entidad externa.

Protocolo HTTPS: el que deberían tener todas las webs, según la resolución de la AEPD

• Hypertext Transfer Protocol Secure.
• Los datos se transfieren de forma segura gracias al certificado SSL.
• La información viaja cifrada.
• Incorpora el sistema TLS (Transport Layer Security) como capa de seguridad adicional.
• Requiere validación de dominio o ampliada.

Como se puede observar, las diferencias entre ambos protocolos son en relación con la privacidad y seguridad de la información transmitida. En este sentido, el artículo 32 del Reglamento General de Protección de Datos, establece que deberán aplicarse las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo. Entre estas medidas, se incluye el cifrado de los datos para las comunicaciones informáticas.

Desde Adapta RGPD le recomendamos nuestros certificados SSL que encontrara en la Web del Grupo

Certificados SSL

La entrada El artículo 32 de la RGPD y la seguridad de las comunicaciones mediante protocolos HTTPS se publicó primero en Adaptación RGPD.

1-En primer lugar, la AEPD SI considera las direcciones IP como datos de carácter personal sujetas a la LOPD, pues éstas permiten a proveedores y administradores de redes, identificar a los usuarios de Internet a los que las han asignado sin grandes esfuerzos.

2- Respecto al nivel de seguridad que corresponde aplicar a su tratamiento, la AEPD responde que:

-Todos los ficheros con datos personales deben adoptar medidas de seguridad de nivel básico.

-Los ficheros con datos relativos a comisión de infracciones administrativas o penales, los de la Hacienda Pública, servicios financieros, los que se rijan por el artículo 29 de la LOPD, los de la Seguridad Social y los de elaboración de perfiles, deberán reunir, además de las medidas de nivel básico, las medidas de nivel medio.

-Los ficheros que contengan datos de ideología, religión, creencias, origen racial, salud o vida sexual o los que contengan datos para fines policiales sin consentimiento del titular, deberán reunir además de las medidas de nivel básico y medio, las de nivel alto.

Por tanto, al fichero que contenga únicamente direcciones IP, le serán de aplicación medidas de seguridad nivel básico, pero si se tratan datos de dirección IP asociada a sitios web solicitados para elaborar perfiles de usuario, evaluando la personalidad del individuo, se deberán adoptar las medidas de nivel medio.

IMPORTANTE

Los datos personales relativos a la comisión de infracciones penales o administrativas sólo podrán ser incluidos en ficheros de las Administraciones Públicas competentes.

La entrada ¿Puede considerarse la dirección IP un Dato de Carácter Personal? se publicó primero en Adaptación RGPD.

IMPORTANTE
La aplicación de las medidas de seguridad de nivel ALTO implican que deberán aplicarse además, las de nivel MEDIO Y BÁSICO.

La entrada Cuándo aplicar el nivel seguridad Alto se publicó primero en Adaptación RGPD.