por Vicente | May 11, 2020 | AGPD, Coronavirus
¿Tienes previsto implantar una medida preventiva frente al COVID-19 que consiste en la toma de temperatura antes de acceder a tu establecimiento?
¡MUCHO CUIDADO!
La Agencia Española de Protección de Datos ha publicado una nota de prensa en la que advierte que esta actuación puede ser constitutiva de infracción de la Ley de Protección de Datos.
Distingue entre dos tratamientos distintos:
– Control de Temperatura de empleados: Nuestras empresas ya tienen una habilitación legal para cumplir la Ley de Prevención de Riesgos Laborales. Para aplicarlo recomendamos que solicitéis a vuestro Servicio de Prevención un protocolo que os marque cual es la temperatura límite, por debajo de la cual pueden acceder los trabajadores, y por encima de la cual, no debéis permitir el acceso del trabajador para prevenir la salud de sus compañeros.
– Control de Temperatura de Clientes: Este caso es aún más difícil. La AEPD recomienda no aplicar ningún tipo de control hasta que haya una indicación expresa de las autoridades sanitarias autonómicas o estatales, en la que marquen un protocolo de actuación.
Tienes más información en la Nota de Prensa de la AEPD.
Mayor riesgo de intrusión de seguridad presentan aún los sistemas de videovigilancia dotados de sensor térmico, especialmente si graban la imagen térmica y la imagen normal, porque permite asociar un dato personal (imagen) y un dato de salud (la temperatura corporal).
Consulta con nosotros antes de contratar y utilizar un sistema de este tipo.
por Vicente | Mar 16, 2020 | PROTECCION DATOS, teletrabajo
Para cumplir las obligaciones derivadas del Estado de Alarma, debido al COVID-19, las empresas debemos utilizar el teletrabajo en todos los casos en que sea posible.
Para ayudaros a que podáis implantar una estrategia de teletrabajo exitosa, y que resulte compatible con la LOPD y el RGPD, debemos tener en cuenta las medidas de seguridad que deben aplicarse dependiendo de la forma en que el trabajador vaya a utilizar.
Teletrabajo en dispositivo de empresa o propiedad del trabajador
Siempre que sea posible, es preferible utilizar los dispositivos (Portátiles, tablets, o PC) de la empresa, ya que los dispositivos de los trabajadores, que utilizan en su vida privada, no siempre tienen los sistemas operativos actualizados, los sistemas de protección (antivirus y firewall) activados, y en ocasiones pueden haber instalado programas informáticos de procedencia no verificada.
Si un trabajador va a emplear su ordenador personal para trabajar, le recomendamos que utilice un PC con las mismas medidas de seguridad que recomendamos a los equipos informáticos de la empresa:
– Con un sistema operativo seguro (si es un windows, usar windows 10, o en su defecto, windows 8. No utilizar versiones más antiguas).
– Con el sistema operativo actualizado para que disponga de los últimos parches de seguridad.
– Con antivirus y firewall actualizados y activos.
De poco sirve tener una empresa blindada en el lado del servidor, si al final el trabajador se conecta desde su casa con un windows xp o un windows 7 con troyanos.
Conexión a los servidores y recursos internos.
VPN Segura.
Si dispone de un servidor local, que resulta accesible a los equipos informáticos conectados a la intranet, la manera recomendable de teletrabajar es:
– Configurar el servidor con un firewall que acepte conexiones remotas a través de VPN (Red privada virtual).
– Configurar el acceso de los equipos remotos al servidor Limitando los accesos al servidor a conexiones autenticadas mediante certificado digital o seguridad de doble factor.
En general no es nada recomendable dejar un servidor accesible por internet protegido exclusivamente por usuario/contraseña. O utilizas certificados digitales o utilizas sistemas de acceso con seguridad de doble factor. (Que envíen una segunda clave por SMS o código de APP en teléfono móvil del trabajador)
– Configurar los equipos en movilidad una conexión remota al servidor mediante VPN con certificado digital, de forma que pida una contraseña al trabajador antes de cargar el certificado digital y realizar la conexión.
Software de control remoto.
Una manera menos recomendable pero que utilizan algunas empresas es instalar en el equipo local del trabajador un programa de control remoto (Ejemplo: Teamviewer) y dejar el ordenador local conectado, para que el trabajador pueda conectarse a ese equipo desde el exterior, y trabajar como si estuviese físicamente en el equipo de la oficina.
Si por cualquier motivo, necesita trabajar de este modo, le recomendamos que no utilice la conexión por defecto (mediante ID de equipo y contraseña) sino que registre su cuenta de correo electrónico, y habilite la seguridad de doble factor para conectarse a su cuenta.
De este modo para conectarse al pc de la oficina desde un equipo desconocido, no bastará con la contraseña, sino que recibirá un código de verificación (normalmente en el teléfono móvil del trabajador) para conectarse si ha acertado la contraseña.
Uso de datos en la nube.
Si utiliza servicios en la nube para almacenar ficheros ofimáticos (Dropbox, Google Drive, Microsoft OneDrive, Apple Cloud o similares) recomendamos activar siempre la seguridad de doble factor.
Copia de archivos en dispositivos portátiles.
Si el trabajador necesita llevarse archivos de la empresa para teletrabajar, en un pendrive o disco duro externo, recomendamos que lo haga en un dispositivo cifrado.
De todos modos, si por las circunstancias excepcionales, como las actuales con el COVID-19, podríamos obviar esa exigencia de cifrado si el trabajador se va directo de la oficina a su casa, y ese dispositivo no sale de su domicilio hasta el día que tenga que volver a la oficina una vez pase la crisis del virus.
por Vicente Ribes | Mar 20, 2012 | PROTECCION DATOS
Esta pasada semana, la Fundación Tripartita ha emitido un nuevo comunicado advirtiendo a las empresas de los riesgos de utilizar la formación bonificada como moneda de cambio para pagar implantaciones de LOPD.
Comunicado a las empresas que realizan formación para sus trabajadores, en previsión de errores en las bonificaciones relacionadas con la implantación de sistemas de protección de datos de carácter personal.
La Fundación Tripartita para la Formación en el Empleo advierte a empresas y consultores, a todos los gestores de formación para el empleo del sistema de bonificaciones de ámbito estatal, sobre la existencia de entidades que de manera gratuita ofrecen servicios de implantación, auditoría y asesoría jurídica en materia de protección de datos de carácter personal, que en la práctica financian estos servicios con cargo al crédito asignado para la formación, un hecho que puede llegar a ser constitutivo de fraude.
El Real Decreto 395/2007 y la Orden Ministerial 2307/2007 establecen que este crédito está destinado exclusivamente a la realización de acciones formativas y permisos individuales de formación de los trabajadores.
La Fundación Tripartita ha iniciado un proceso de comprobación de los hechos y puesto en marcha los mecanismos de control oportunos, para constatar las bonificaciones practicadas y evitar en el futuro que las empresas beneficiarias que se bonifican por formación se vean implicadas en una cadena de errores, teniendo que devolver las cuantías bonificadas.
Las empresas que se bonifiquen por la contratación de servicios de implantación, auditoría y asesoría jurídica en materia de LOPD, deberán devolver los importes correspondientes y atenerse a las actuaciones pertinentes del Servicio Público de Empleo Estatal y la Inspección de Trabajo y Seguridad Social.
La Fundación Tripartita hace un llamamiento a todos los usuarios para que en caso de recibir alguna oferta de este tipo de servicios u otros de similares características, contacten con el servicio al cliente de la Fundación en: servicioalcliente@fundaciontripartita.org.
Esta técnica que utilizan algunas consultoras sin escrúpulos «Tú haces un curso de LOPD que te sale gratis y a cambio te regalo los trabajos de implantación» ofrece a los clientes un servicio de pésima calidad (Además no pueden reclamar porque «es gratis, ¿qué más quieres?») pero no sólo eso, sino que les coloca en la diana de la Inspección de Trabajo y Seguridad Social.
Estos sujetos utilizan los créditos de formación de sus clientes para cobrar por su trabajo de adaptación a la LOPD y les prometen a sus clientes que cumplirán la LOPD sin gastarse ni un euro de su bolsillo.
Lo que NO les dicen a sus clientes es:
- Que la calidad del servicio prestado es pésima: Al fin y al cabo, si al cliente le sale gratis, tampoco puede exigir mucho.
- Que están cometiendo un fraude a la Seguridad Social, por utilizar los créditos formativos para una finalidad distinta de la que tienen por ley: Se aplican a consultoría en lugar de a formación
- Que están siendo cómplices de un fraude a la Agencia Tributaria por no haber pagado el IVA de una actividad (consultoría), que tributa el 18% y haberla camuflado falsamente como formación (que tiene IVA 0%)
- Que para cuando se descubra el pastel, los «consultores» habrán cerrado el chiringuito, pero la Inspección de la Seguridad Social y la de la Agencia Tributaria repasarán el listado de clientes que se han beneficiado de esas subvenciones y le reclamarán a cada cliente la devolucíon del importe de los créditos consumidos en los años anteriores, más la sanción de la Inspección de la Seguridad Social, más el IVA no ingresado, más la sanción de la Agencia Tributaria.
Las empresas que se preocupan de adaptarse a la LOPD lo hacen para cumplir la ley y evitar el riesgo de sanciones. Pero ningún cliente informado aceptará adaptar su empresa para cumplir la LOPD a base de cometer fraude a la Seguridad Social y a la Agencia Tributaria.
