abril 21, 2023

Protección de datos empresariales: ChatGPT

¿Qué se puede hacer para proteger los datos empresariales en el mundo de la IA?

Tras la publicación del hilo sobre la seguridad de los datos empresariales y mi breve conclusión sobre qué acciones se podrían tomar para proteger esos datos empresariales ante la explosión de la IA, se me ha ocurrido plantear a ChatGPT la misma cuestión.

Juzguen ustedes:

Artículo de Legisconsulting

Datos empresariales (V): Protección (y aprendizaje)

ChatGPT

Pregunta:

Escríbeme un artículo sobre cómo podría una empresa proteger sus datos empresariales ante la recopilación de datos por parte de una inteligencia artificial de los datos publicados por la empresa, datos publicados por los empleados y relaciones de los empleados entre sí o con terceros en redes sociales. Datos que combinados pueden mostrar a terceros y a la competencia las estrategias de la empresa y posible futuras acciones de la misma. Y con ello complicar su viabilidad. ¿Qué pautas debería implementar la empresa para protegerse?

Respuesta:

La recopilación de datos por parte de la inteligencia artificial es una práctica cada vez más extendida en el mundo empresarial. A través de esta técnica, se pueden recopilar y analizar grandes cantidades de información de diferentes fuentes para obtener conocimientos valiosos que pueden ayudar a las empresas a tomar mejores decisiones comerciales. Sin embargo, también puede ser una amenaza para la privacidad y la seguridad de los datos empresariales.

Cuando se recopilan datos empresariales, se pueden obtener información sobre las estrategias, planes, futuras acciones y otras informaciones confidenciales de la empresa. Estos datos pueden ser combinados con información sobre empleados y relaciones en las redes sociales para mostrar a terceros y a la competencia las estrategias de la empresa y sus posibles futuras acciones, lo que puede complicar su viabilidad.

Por lo tanto, es importante que las empresas tomen medidas para proteger sus datos empresariales ante la recopilación de datos por parte de la inteligencia artificial. A continuación, se presentan algunas pautas que las empresas pueden implementar para protegerse:

  1. Política de privacidad y seguridad de datos: La empresa debe tener una política clara de privacidad y seguridad de datos que establezca las normas para el tratamiento de datos empresariales y personales. Esta política debe ser comunicada a los empleados y a cualquier tercero que tenga acceso a los datos de la empresa.
  2. Control de acceso: La empresa debe implementar medidas para limitar el acceso a los datos empresariales a aquellos empleados que necesitan tener acceso a ellos para realizar sus funciones. Además, se deben establecer medidas de seguridad para controlar el acceso a los datos empresariales desde fuera de la empresa.
  3. Encriptación de datos: La encriptación de los datos empresariales es una medida efectiva para protegerlos contra el acceso no autorizado. Los datos encriptados son inútiles para aquellos que no tienen la clave de descifrado.
  4. Monitorización del tráfico de red: La empresa debe supervisar el tráfico de red para detectar cualquier actividad sospechosa, como la transferencia de grandes cantidades de datos fuera de la red de la empresa.
  5. Sensibilización y formación de empleados: La empresa debe sensibilizar y formar a sus empleados sobre los riesgos asociados a la recopilación de datos y la importancia de proteger los datos empresariales. Los empleados deben ser conscientes de que la información que publican en las redes sociales o en otros lugares en línea puede ser utilizada para recopilar datos sobre la empresa.
  6. Actualización de software y hardware: La empresa debe mantener actualizados sus sistemas de hardware y software para protegerse contra las amenazas de seguridad más recientes.

En conclusión, las empresas deben tomar medidas para proteger sus datos empresariales ante la recopilación de datos por parte de la inteligencia artificial. La implementación de medidas de seguridad adecuadas, junto con la sensibilización y formación de los empleados, puede ayudar a reducir los riesgos y proteger los datos empresariales de la empresa.

Post to Twitter Post to Plurk Post to Delicious Post to Facebook

Datos empresariales (V): Protección (y aprendizaje)

El objetivo de este hilo es ser consciente de la información valiosa de la empresa y como protegerla. Especialmente ahora y en un futuro en que el desarrollo de la Inteligencia Artificial lucha (en este caso) en contra nuestra.

Somos los buenos defendiendo el fuerte. Y aunque no tenemos garantía alguna de victoria porque “Dios ayuda a los malos cuando son más que los buenos”, seremos Blas de Lezo en la defensa de la Cartagena de Indias que es nuestra empresa. Y de acuerdo con Sun Tzu, la mejor estrategia es la más simple y la mejor enfocada, ya que las estrategias demasiado complejas pueden confundir a los miembros del propio ejército comprometiendo sus posibilidades de victoria.

Ya todos estamos acostumbrados a la gestión de datos personales según la LOPDGDD, pero, ¿y si extrapolamos los mecanismos que ya usamos con fluidez a la protección de datos empresariales?. Existen pautas y mecanismos para protegerlos.

Así, de una forma muy general, podríamos establecer los siguientes pasos/pautas:

1.- Análisis previo.-

−  Categorización de los Datos

−  Estudio de los contratos con terceros (Google, Amazon, Fb… )

−  Limitación en contratos con proveedores y clientes

−  Designar un responsable de tratamiento de Datos Empresariales

2.- Control pasivo de los Datos.-

2.1.- Obviamente la ciberseguridad. El uso de medios de prevención de jaqueos, intrusiones o filtraciones que pueden generar daños:

−  Siniestros en la red

−  Brechas de seguridad y privacidad

−  Suplantaciones

−  Ciber extorsión

−  Daños reputacionales,

2.2.- Pero también filtraciones indirectas (Fb, Linkedin -de empresa y de sobre todo de empleados-, Whatsapp y/o Telegram (grupos de empresa y empleados).

2.3.- O incluso filtraciones directas ‘involuntarias’: las redes, contactos y/o mensajes de los propietarios, directivos o empleados pueden revelar una increíble cantidad de datos que, como hemos dicho, de forma aislada no significan nada pero que en su conjunto, cruzados, estudiados y evaluados, pueden revelar informaciones valiosísimas.

3.- Control de datos liberados.-

Suena a película de espías y algo hay de ello, pero liberar datos ‘controlados’ puede suponer una interesante arma empresarial.

4.- Protección activa.-

−  Planteamiento desde el diseño, tanto del conjunto y filosofía de la empresa como de cada una de las acciones a adoptar en cualquier ámbito dentro de la misma.

−  Planificación y diseño de las acciones a tomar con la perspectiva de protección de datos empresariales.

−  Establecimiento de mecanismos y protocolos.

−  Análisis de Riesgos.

− Inclusión de los empleados, clientes y proveedores en el plan (cláusulas de confidencialidad, seguimiento de contactos, educación a empleados para prevención de posibles filtraciones en redes, control de los medios de la empresa, etc). Y a modo de nota, recordemos que controlar el teléfono y el ordenador de la empresa, aunque sea de uso privado de un empleado, es legal.

Además, ese análisis de los datos de nuestra propia empresa (nuestra ‘ramita’ de nuestro árbol), también ayudarán a conocer el funcionamiento de las ‘ramitas’ de alrededor. Y aunque normalmente nunca podremos ver el bosque completo, reconocer el árbol en que está nuestra ‘ramita’, su estructura, su ‘orientación’ y su movimiento con el viento nos podría proporcionar una ventaja competitiva.

Y en el plano operativo, tal recopilación de datos llevará sin duda a conocer sin demasiado esfuerzo los proveedores, los clientes (tipo o incluso individualizados), las estrategias, los proyectos, los objetivos, el rango de tarifas/precios, el sector de mercado, las vulnerabilidades, etc. Es decir, hacia donde sopla el aire (o tendencias del mercado, dicho de otra forma).

En conclusión, debemos controlar sobremanera los datos liberados de la empresa, porque al contrario del caso de los Datos Personales, esa recopilación de los datos empresariales con el fin de obtener un beneficio económico −en su mayor parte− ES LEGAL.

Post to Twitter Post to Plurk Post to Delicious Post to Facebook

diciembre 16, 2022

Datos empresariales (IV): datos expuestos

Aunque no sea consciente, hay una gran cantidad de datos de la empresa que son públicos.

Datos Online

La recopilación de Datos Personales dispersos en Internet es algo que se lleva haciendo años. Hay empresas en países con legislación de protección de datos más laxas que mantienen bases de datos masivas de individuos perfectamente individualizados e identificados con fines políticos, comerciales, médicos (los datos más valiosos del mercado), etc. Probablemente usted como lector y yo como redactor estamos en alguna (o muchas) de esas bases de datos.

Si de una persona se pueden reunir datos para confeccionar un expediente detallado a través de sus contactos en Linkedin, las fotos de sus vacaciones publicadas en Facebook o el reloj que le cuenta las pulsaciones y le marca el track cuando sale a correr, imagínese lo que se podría averiguar con los datos en Internet de cualquier empresa.

Seguir la redes sociales de la empresa aporta una visión muy limitada, pero si a eso se suman las redes sociales de sus empleados, las de sus proveedores o clientes. Sus contactos, relaciones, mensajes y/o publicaciones, la imagen se convierte en algo más claro y desvela de forma indirecta datos de la empresa que nunca sospecharíamos.

Servicios para la Empresa

¿Qué empresa no tiene un servidor externo y servicio de Backup donde guarda toda su documentación?. En principio son servidores seguros pero, ¿han leído detenidamente el contrato de servicio?.

Es posible que los datos no se vendan a terceros (tal vez), pero ¿están seguros de que Amazon, Google o quien sea no va a utilizar esos datos en beneficio propio de otra forma?.  Ya hemos visto en casos como Facebook o Google usan los datos personales que les confiamos (aparentemente datos sin valor) para su propio beneficio convirtiéndolos en la base de su negocio. Pero, ¿qué nos hace suponer que no lo harán con datos empresariales que son potencialmente mucho más valiosos?.

Y es posible que los datos de una sola empresa puedan parecer poco valiosos. Pero los datos de muchas empresas (metadatos) sí lo son. Cada dato forma parte de un árbol de ramas infinitas que sólo tiene sentido en su conjunto. Y que visto en su conjunto proporciona otras informaciones aparentemente inconexas (metadatos otra vez) muy valiosas.

El Internet de las cosas: hacia una empresa conectada

El Internet de las cosas es un concepto nacido en 1999 en el MIT que se refiere a la interconexión digital de objetos cotidianos a través de Internet.

Para negocios de todo tipo: de la ganadería a la industria, los servicios o la consultoría,   supone una oportunidad de rebajar costes, de hacer más eficiente el trabajo, de generar nuevos productos o servicios con la potencialidad de todo ello de incrementar ingresos. Pero estar conectado supone el riesgo de la conexión. El riesgo de los servidores utilizados y el riesgo de los datos que se exponen: datos que variarán en función de los dispositivos, maquinaria o hasta las cabezas de ganado a que se apliquen.  Porque todo son datos.

Aún sin entrar en aplicaciones de IA (Inteligencia Artificial) que sería ya más complejo y con otras implicaciones legales y posibilidades, podemos afirmar:

  • por un lado, que el simple rastreo de todos los datos de la empresa en Internet y el cruce de los mismos dibuja una radiografía exacta de la empresa: desde la situación financiera actual a proyectos, futuro, viabilidad, etc.
  • Y por otro, que como se ha visto en esta serie anteriormente, no existen garantías reales del uso que el prestador del servicio que contratamos (o usamos) vaya a hacer de la información obtenida.

La información, per se, tiene un valor económico directo. Pero la información supone además control del mercado y, sobre todo, la información supone poder.

¿Y podemos proteger de forma absoluta la información de la empresa?. La respuesta es que no de forma absoluta. Pero, como se verá en la próxima entrega de este hilo, sí podemos aislar nuestra pequeña ‘ramita’ por nuestra seguridad… Y hasta aprender a observar tras el análisis de nuestra ‘ramita’ las ‘ramitas’ de alrededor.

Post to Twitter Post to Plurk Post to Delicious Post to Facebook

octubre 14, 2022

Datos empresariales (III): vulnerabilidad de los Datos

Todo negocio maneja datos sensibles que marcan la viabilidad del mismo.

Podemos estar hablando de empresas de proyectos innovadores que, aunque no lo parezcan, son públicos a poco que crucemos suficientes datos y a suficientes personas.

Pero también podemos estar hablando de empresas o negocios que tiene una ventaja competitiva simplemente por haber encontrado un proveedor mejor o haber implementado mecanismos internos más eficientes. Esos datos que no parecen tan ‘espectaculares’, si se liberan -y lo harán si alguien se toma el suficiente interés porque son igual de ‘públicos’- acabarán con esa ventaja competitiva haciéndola accesible al local de al lado.

Piense qué datos concretos de su empresa supondrían un problema caso de ser conocidos por su competencia, por sus clientes o por terceros. Por si no se le ocurren muchos, a continuación enumero una lista que no pretende ser en modo alguno cerrada: 

  • Know-how.
  • Datos de clientes.
  • Datos de proveedores.
  • Datos de productos.
  • Datos de empleados (piense en el desarrollador del nuevo proyecto con su perfil en Linkedin y sus contactos).
  • Contabilidad.
  • Facturación.
  • Tarifas.
  • etc.

Pero pensará al mismo tiempo que esos datos no son públicos. El problema es que, como se mostrará en este ‘hilo’, si alguien se toma el suficiente interés y lo sabe cómo hacerlo, sí pueden serlo.

¿De verdad quiere público para esos datos?

Post to Twitter Post to Plurk Post to Delicious Post to Facebook

octubre 7, 2022

Datos empresariales II: Vulnerabilidad (legal) de los datos empresariales

De forma previa a las sus consecuencias, riesgos y posibilidades, veremos el distinto nivel de protección que la ley da a un tipo de datos frente a otros.

El Derecho ‘absoluto’ de los datos personales

A pesar de que ya sabemos que ningún Derecho tiene carácter ‘absoluto’, en el campo de los Datos Personales, como Derecho Fundamental que es, la formulación se acerca bastante a ese grado ‘absoluto’ (si obviamos el cajón de sastre del “Interés Legítimo”, por supuesto).

Sin entrar el elevadísimo grado de protección que tienen, no podemos sino empezar por ver qué son los datos personales:

Artículo 4 RGPD. Definiciones. A efectos del presente Reglamento se entenderá por: «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona;

El derecho ‘condicional’ de los datos empresariales

En el caso de los Datos Empresariales, por supuesto tenemos toda la protección legal de la propiedad industrial e intelectual, pero llena de lagunas en una normativa muy dispersa y en buena parte no adecuada a la realidad actual.

De forma específica y general sólo existe la Ley 1/2019, de 20 de febrero, de Secretos Empresariales. Que brinda una protección limitada (no todos los datos) y condicionada (y no en todos los casos):

Qué son “Secretos empresariales”:

Artículo 1. Objeto. 1. El objeto de la presente ley es la protección de los secretos empresariales.

A efectos de esta ley, se considera secreto empresarial cualquier información o conocimiento, incluido el tecnológico, científico, industrial, comercial, organizativo o financiero, que reúna las siguientes condiciones:

a) Ser secreto, en el sentido de que, en su conjunto o en la configuración y reunión precisas de sus componentes, no es generalmente conocido por las personas pertenecientes a los círculos en que normalmente se utilice el tipo de información o conocimiento en cuestión, ni fácilmente accesible para ellas;

b) tener un valor empresarial, ya sea real o potencial, precisamente por ser secreto, y

c) haber sido objeto de medidas razonables por parte de su titular para mantenerlo en secreto.

Y cuándo se produce una ‘violación’

Artículo 3. Violación de secretos empresariales.

1. La obtención de secretos empresariales sin consentimiento de su titular se considera ilícita cuando se lleve a cabo mediante:

a) El acceso, apropiación o copia no autorizadas de documentos, objetos, materiales, sustancias, ficheros electrónicos u otros soportes, que contengan el secreto empresarial o a partir de los cuales se pueda deducir; y

b) Cualquier otra actuación que, en las circunstancias del caso, se considere contraria a las prácticas comerciales leales.

Y además, los datos empresariales obtenidos legalmente se pueden almacenar, tratar y utilizar prácticamente sin límite.  Como se ve, los datos empresariales con legalmente más vulnerables que los datos personales.

Post to Twitter Post to Plurk Post to Delicious Post to Facebook

septiembre 30, 2022

Datos empresariales I-introducción: Comercio de Datos Personales vs Empresariales

Empiezo aquí este ‘hilo’ de posts para mostrar como los datos empresariales son vulnerables, su valor en el mercado las posibles acciones para protegerlos.

LOPD vs Ley de Secretos Empresariales.

Google, Facebook, Amazon, etc, venden y/o usan sus datos personales, ¿Qué le hace suponer que los datos empresariales mucho más valiosos no son utilizados o no están a la venta?

Particulares y empresas usamos utilísimos servicios de internet para comunicarnos, para almacenar datos, para comunicar con terceros, para relacionarnos o conectar con terceros; para nuestras actividades personales y para nuestras actividades profesionales.

El comercio de los Datos personales.

Es extensamente sabido por un lado que los Datos Personales son un enorme mercado con un inmenso valor que va mucho más allá de la publicidad dirigida en nuestros móviles, sino que tienen un mercado donde se compran y se venden desde datos de contraseñas, de tarjetas de crédito o datos médicos –por los que más se paga en el mercado- que van desde esos datos que ‘regalamos’ con nuestras búsquedas en Internet; con nuestros relojes; con esas divertidas apps del teléfono que te cuentan los pasos, cuándo y por donde los das; o hasta de expedientes médicos completos. Datos que ‘liberamos’ las 24 horas del día (¿duerme con su smartwatch o su pulsera de correr?, pues una empresa conoce las pautas de todo lo que hace en la cama) y que tienen un valor económico.

Con esos datos se elaboran exhaustivos ‘dosieres’ individualizados aunque erróneamente pensemos que en ese inmenso océano que es Internet somos solo una gota indistinguible de las demás de cada persona obtenidos con robots o con invitaciones masiva en redes sociales a través de las cuales acceden a datos que compartimos solo con nuestros contactos. Y que se venden a empresas o instituciones en función de los perfiles específicos que demanden los compradores.

El comercio de los datos empresariales.

Menos conocido, aunque igual de preocupante, el mercado de esos Datos Empresariales o Profesionales que liberamos a través de esos medios de internet oponemos en manos de terceros de forma consciente o inconsciente. 

Más allá del evidente uso de datos concretos de cada empresa, algunos de los cuales pueden ser el mismísimo corazón del negocio, Metadatos, tendencias del mercado, anticipación e incluso manipulación del mismo lo hacen un ‘mercado’ para quien lo quiera aprovechar aún más interesante y lucrativo que el de los datos personales.

Desde ‘backup’ colgado en ‘la nube’ aparentemente tan inocente y que nos hace sentir tan seguros. Los datos colgados en páginas Web, en redes sociales, los contactos de sus empleados, clientes y proveedores; Los comentarios, imágenes o mensajes de estos en redes sociales.

Todos esos datos se cruzan o son susceptibles de ser cruzados para obtener un beneficio potencialmente mucho mayor que le ya grandísimo de los Datos Personales, porque en este caso el beneficio potencial es mucho mayor que vender una camisa, un implante coronario o un coche.

Y se preguntará: ¿es todo eso legal? En su mayor parte -particularmente los datos personales-, no, pero existe recomiendo leer para quien no esté familiarizado ‘La privacidad es poder’ de Carissa Veliz )..

La normativa se preocupa en extremo del primero de ellos, los Datos Personales: categorizados como Derechos Fundamentales regula lo que pueden hacer con nuestros datos, del valor que tienen en el mercado y del coste que tiene su cesión para nosotros

Pero no ocurre lo mismo y la regulación no es la misma en el caso de los Datos Empresariales. ¿Cuál es la protección de la parte ‘empresarial’ de potencial y directamente de mucho mayor valor?. ¿Protegemos adecuadamente los secretos de nuestras empresas?

Post to Twitter Post to Plurk Post to Delicious Post to Facebook

marzo 28, 2019

Warning!: Brexit y Protección de Datos.

Brexit is eventually a disaster for everyone(*).

Llevo semanas no queriendo escribir este post con la ilusa esperanza de que el Brexit no se materializaría, pero después de las votaciones de ayer, la conclusión parece clara: el hijo británico es firme en su decisión de emanciparse de la casa comunitaria (UE) después de 45 años. Pero el hijo ‘emancipando’ exige poder seguir yendo a comer, a que le hagan la colada y a que le planchen la ropa; Y mamá UE está en firme desacuerdo.

Así que todo parece indicar que habrá riña doméstica en forma de Brexit duro. Y la riña del Brexit duro nos obligará a hacer cambios a todos los que usamos un ordenador para una actividad no estrictamente personal y privada.

Cualquier negocio o profesional, de cualquier tamaño, que mantenga una página Web o use cualquier servicio online (almacenamiento, copias de seguridad, etc) debe hacer ya algunas comprobaciones con el fin de evitar posibles multas.

CAPÍTULO V

Transferencias de datos personales a terceros países u organizaciones internacionales

Artículo 44

Principio general de las transferencias

Solo se realizarán transferencias de datos personales que sean objeto de tratamiento o vayan a serlo tras su transferencia a un tercer país u organización internacional si, a reserva de las demás disposiciones del presente Reglamento, el responsable y el encargado del tratamiento cumplen las condiciones establecidas en el presente capítulo, incluidas las relativas a las transferencias ulteriores de datos personales desde el tercer país u organización internacional a otro tercer país u otra organización internacional. Todas las disposiciones del presente capítulo se aplicarán a fin de asegurar que el nivel de protección de las personas físicas garantizado por el presente Reglamento no se vea menoscabado.

Explicación

Un Brexit duro significa que Reino Unido pasa a ser automáticamente un tercer estado completamente ajeno a la normativa y al nivel de protección que  la normativa de la Unión otorga .

Ni Reino Unido ni sus empresas estarían en un primer momento dentro del marco del ‘decisiones de adecuación’ para la transferencia de datos personales a terceros países como el Privacyshield.

Aunque no os demos cuenta, hay numerosos servicios online que usamos a diario y que transmiten o almacenan datos en servidores de terceros países, tales como por ejemplo:

  • Sistemas de almacenamiento online del tipo Google Drive; Onedrive; Dropbox; Icloud; Mega, etc.
  • Sistemas de copias de seguridad o de respaldo.
  • Hosting .
  • Bases de datos.
  • Cookies.
  • Servicios de chat.
  • Análisis web.
  • Servicio al cliente.
  • Etc.

Warning!

  1. Compruebe todos los servicios que tiene contratados, porque es bastante frecuente que el titular de dichos servicios ni siquiera sepa que los tiene contratados. Por ejemplo las cookies que carga en su Web.
  2. Compruebe donde se encuentran los servidores de todos los servicios que tiene contratados.
  3. Y si algún servidor o Encargado del tratamiento se encuentra en Reino Unido, vaya buscando ya una alternativa legal.

No sabemos lo que falta, pero ello le evitará posibles multas.

.

(*)Lamentablemente ‘eventually‘ no significa lo mismo que ‘eventualmente

Post to Twitter Post to Plurk Post to Delicious Post to Facebook

abril 25, 2018

Servicio de adaptación fácil, segura y sin papeles al Reglamento — RGPD X

Filed under: Comercio Electrónico,Protección de Datos,RGPD — Etiquetas: , , , , — legisconsulting @ 13:15

Legisconsulting lanza un NUEVO SERVICIO que le ayudará a adaptar a su empresa al nuevo reglamento. Ahora y en el futuro.

Características del servicio

Fácil

Información y redacción de documentos adaptados a su actividad

Notificaciones periódicas sobre obligaciones del RGPD

Adopción de medidas  «seguridad proactiva» obligatorias del el RGPD.

Seguro

Servicio de almacenamiento en servidores de seguridad de grado bancario alojados en la UE y con acceso HTTPS.

Sin papeles

Almacenamos su documentación y le damos un  acceso remoto con claves personales

Mantenemos su documentación siempre actualizada a las novedades legislativas o a las directrices de la AGPD

Razones para elegir el servicio de Legisconsulting:

  1. Adaptaciones al Reglamento: Cualquier modificación sobre los datos del reglamento se implementará de manera fácil y ágil.
  2. Accesibilidad: Acceso a la documentación mediante claves personales en cualquier lugar y desde cualquier dispositivo.
  3. Actualización normativa Adaptación del servicio a cualquier actualización normativa o directriz de la AGPD que se produzca en el futuro.
  4. Cumplimiento de obligaciones proactivas Podrá demostrar que ha adoptado las obligatorias acciones activas para el tratamiento y la seguridad de los datos.
  5. Modificaciones Cualquier modificación se realizará de manera inmediata.
  6. Almacenamiento seguro Servicio de almacenamiento en servidores de seguridad de grado bancario alojados en la UE y con acceso HTTPS.

Post to Twitter Post to Plurk Post to Delicious Post to Facebook

febrero 27, 2018

La (obligatoria) nueva actitud ante los datos personales — RDPD VII

Actitud proactiva real y demostrable del Encargado del tratamiento; tratamiento de datos a medida;  y seguridad creativa a medida. Son las nuevas obligaciones para el tratamiento que nos trae el Reglamento europeo de Protección de datos – RGPD.

Si bien se ha hecho hincapié en los últimos tiempos en la supresión de la obligación de notificación de ficheros ante la AGPD -obligación que efectivamente no recogen ni el RGPD ni el proyecto de Ley- lo cierto es que el Reglamento Europeo (RGPD) trae una  serie de obligaciones concebidas para involucrar directa y activamente en la protección del derecho fundamental que es el tratamiento de datos personales a las tres figuras centrales en este campo: el Encargado del tratamiento; el Responsable del Tratamiento; y el Delegado de Protección de Datos (DPO).

«Medidas De Responsabilidad Activa«

Es el encabezado que tanto el RGPD como la Ley le dan a este conjunto de medidas.

En ellas, el Responsable de los ficheros pasa de una tener una responsabilidad «pasiva-reactiva» (sólo miro hasta que surja el problema y entonces reacciono) a una responsabilidad «proactiva« que mediante la adopción de medidas específicas —tratamiento a medidaa su caso, busque el cumplimiento no sólo de las normas y obligaciones específicas sino del cumplimiento de los principios de protección de datos. Y ello debiendo documentar como medio de prueba a ante la AGPD  toda su actividad en este sentido.

En concreto, y sin que como hemos señalado pueda tratarse de una lista tasada,  crea obligaciones o sugerencias que más vale cumplir en torno a distintas figuras, marcos y de actuación y códigos de conducta.

Encargado del tratamiento

Deberá ofrecer «garantías suficientes» en la aplicación de las medidas técnicas y organizativas necesarias al cada caso concreto.

El tratamiento de los datos que haga se regirá mediante contrato para el cual dispondremos de cláusulas tipo.

Estará subordinado al Responsable del Tratamiento y le proporcionará todo el apoyo técnico y organizativo así como toda la información de que disponga, incluida específicamente cualquier violación de la seguridad de los datos.

Y si llegara a cambiar los fines y medios del tratamiento usándolos en contra de la ley o RGPD, será considerado Responsable del tratamiento a todos los efectos, sobre todos los sancionadores.

Medidas técnicas

Las obligaciones dependerán de las circunstancias concretas de cada caso atendiendo a variables que van desde la naturaleza de los datos a los posibles riesgos o hasta a los costes y disponibilidad técnica que en todo caso puedan incluir entre otras

  1. la seudonimización (y/o tokenización)  y el cifrado de datos personales. Cifrado que no será obligatorio en todos los casos pero cuya implementación o no podrá acarrear distintas obligaciones o consecuencias caso de haber sido o no aplicadas, por lo que la recomendación general es establecer un sistema de cifrado adecuado y específico que además eximirá del deber de notificar en su caso brechas de seguridad ;
  2. la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
  3. la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
  4. un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento.  Esto implica un análisis de los riesgos concretos del tratamiento para los interesados —seguridad a medida , debiéndose tener en consideración a la hora d la evaluación la posibilidad de peligros concretos en su caso como la destrucción, pérdida o alteración de los datos, la comunicación o acceso no autorizados o aquellos cuya vulneración sea susceptible de ocasionar daños y perjuicios físicos, materiales o inmateriales a los interesados.

El proceso de verificación, por supuesto, deberá quedar debidamente documentado.

Además, atendiendo a la inevitable falibilidad humana —por no decir algo peor—, el RGPD insta sin mencionarlo expresamente en el articulado a mitigar riesgos mediante la implementación de otros mecanismos que protejan los datos de acciones de los interesados lamentablemente tan extendidas como la pérdida del papelito donde apuntamos la contraseña, poner la fecha de nacimiento o picar en las extendidas campañas de «phishing» destinadas a obtener acceso a datos o cuentas.

Así, no hay duda cómo mecanismos como por ejemplo el de doble autenticación (2FA), demostrarían la diligencia y el deseo de proteger los principios inspiradores del RGPD. Y ello, como no, mitigaría sustancialmente las consecuencias de posibles infracciones llegado el caso.

Post to Twitter Post to Plurk Post to Delicious Post to Facebook

octubre 2, 2017

8 consejos básicos para inversiones ‘disruptivas’

Filed under: Contratos,Emprender,Marketing,Otros,Sociedades — Etiquetas: , , , — legisconsulting @ 12:52

He recibido en diversas ocasiones y con distintos planteamientos consultas sobre inversiones disruptivas: desde quien ha encontrado una forma de invertir que ofrece de media una rentabilidad de entre el  400% y el 1.000% anual (verídico) hasta quien ha encontrado una estructura completa y aparentemente fiable de negocio tradicional pero lo ha «disrumpido» para obtener mayor rentabilidad. Y es este último caso el más recientemente vivido  y el que me lleva a escribir este post.

La mayoría de las veces las consultas son una vez realizada la inversión sobre cómo van a gestionar la futura riqueza prometida. El problema es que por ética profesional entiendo que debo darles mi opinión profesional en lugar de venderles lo que me piden. Y como a nadie le gustan los jarros de agua helada, lamentablemente ese suele ser el final de nuestra relación.

Espero que los siguientes consejos ayuden a los inversores en negocios -disruptivos o no- y sirvan para cambiar esta dinámica.

1.- La pólvora no se inventa todos los días

«Hemos inventado el contrato de agencia disruptivo. Vendemos champiñones en lata y buscamos agentes comercializadores con una pequeña inversión garantizada de 40.000,00€. Se le otorgará una zona económica exclusiva donde se comercializarán las latas a través de un nuevo concepto de página Web específica para su territorio. Nos comprometamos a devolverle la inversión íntegra garantizada en cinco años más el 50% de los beneficios resultantes del negocio.

Además -ahí está lo disruptivo del contrato-, usted como agente no tendrá que hacer nada. La estructura comercial de nuestra propia empresa optimizando sinergias y productos se ocupará de publicitar y comercializar toda la gama de productos cruzados generando una elevada rentabilidad«

El término «disruptivo» queda muy bien, pero las actividades se deben ajustar la las leyes que hay. El contrato de agencia surge ya en el s. XVIII con la revolución industrial, así que si con este u otro alguien nos dice que lo ha reinventado, aunque ello es legal y posible, de entrada debería hacernos recelar.

2.- Los contratos son lo que son y no lo que las partes dicen que son.

Esto es un axioma en derecho. Aunque el encabezado del contrato diga «Contrato de Agencia«, la realidad es que si el texto ha dejado las obligaciones y responsabilidades del inversor vacías de contenido, se queda en algo distinto.

Un contrato vacío de contenido y sin transmisión de participaciones es un contrato de emisión de deuda. Y ese contrato tiene enormes restricciones y obligaciones que deberán ser satisfechas.

3.- El negocio es lo que es y no lo que dicen que es.

Aunque el negocio sea la comercialización de champiñones en lata por zonas geográficas exclusivas, si la empresa detrás del proyecto es una incubadora de empresas  dedicada al desarrollo de proyectos -denominación muy marketinian-o un fondo de inversión dedicado al capital riesgo, es dudoso que sepan gran cosa de champiñones en lata. Entonces el negocio real será otro distinto del que el inversor no será parte.

4.- Los números son lo que son y no lo que te dicen que son.

Un capital social del 90.000,00€ en una SL es mucho, pero no quiere decir que la empresa tenga esos 90.000,00€. Y tampoco sirven las proyecciones de ventas sobre una hoja de Excel porque el papel lo aguanta todo. Ni tampoco valen gran cosa la lista de contactos de un comercial concreto.

Las cuentas depositadas en el Registro Mercantil o las declaraciones de IVA pueden darnos alguna pista más, pero estas no tienen porqué tener todos los datos. Por ejemplo un número alto de inversores suponen una gran deuda que puede llegar a superar con creces el límite legal establecido (sí, ese límite existe). Y esas hemos visto que no tienen porqué figurar necesariamente en ninguno de esos registros.

5.- Garantías que no son tal.

Una garantía es una hipoteca, o un aval bancario o un seguro de caución. La garantía ofrecida por  la sociedad receptora de la inversión o por su matriz, por mucha antigüedad que esta tenga, como norma no son una garantía.

6.- Antigüedad no es lo mismo que seguridad.

Uno de los argumentos más comunes para inspirar seguridad es «nuestra empresa lleva operando desde 1990«. Pero eso no quiere decir que las cuentas hayan sido impecables o que puedan cumplir con sus obligaciones: Forum Filatélico duró casi 30 años y RUMASA mucho más.

7.- ¿Qué te pediría tu banco para lo mismo?

Los bancos para dar un crédito piden una inmensa cantidad de información, documentos y hasta visitas a domicilio o aspectos de la vida privada que en apariencia poco tienen que ver con el negocio, pero que les ayudan a entender la situación real.

No sea tímido, pida cuanta información necesite. Usted no tiene los recursos del BBVA o el Santander, lo que sí tiene es la posibilidad de pedir como si fuera ellos porque lo que va a entregar es su dinero.

8.- Nadie vende duros a cuatro pesetas.

Es posible que haya quien lea esto y no lo entienda, pero quienes tenemos cierta edad si lo hacemos. Los chollos no existen, así que si alguien le ofrece una alta rentabilidad fácilmente y sin trabajar, huya sin mirar atrás.

Y si tiene dudas, llámenos.

Post to Twitter Post to Plurk Post to Delicious Post to Facebook

Older Posts »