Hola, buenos días, estamos aquí en una.
Una charla dentro del curso civil Academia es fruto del convenio
entre la o la UNED, la UNED,
la Universidad Nacional de Educación a Distancia
y el Instituto Nacional de ciberseguridad.
Incibe este curso está financiado por la Unión Europea.
Ministerio de asuntos económicos y transformación digital,
dentro del plan de recuperación y transformación y resiliencia bien.
En la sesión de hoy, nuestra ponente,
invitada va a ser sala del Clío posi que es investigadora
científica en ética de Inteligencia, Artificial,
en el Instituto de Filosofía del csic.
Muchas gracias.
Ahora puede comenzar cuando quiera.
Gracias.
Bienvenidas.
Bienvenidos sois ardillas poste y hoy hablaremos dentro de esta
de esta iniciativa de libertad; un plus de la UNED
de protección de datos.
Con habéis hablado ya anteriormente de temas de seguridad
y veremos hoy la intersección entre el mundo de la privacidad
y el mundo de la seguridad y cómo de alguna forma
se complementan, se apoyan y cómo podemos nosotros,
como como personas que quieren aumentar el nivel de concienciación,
que haya la sociedad sobre estos temas.
Sobre el tema de la protección de datos,
cómo podemos ayudar, qué tipo de herramientas,
qué tipo de recurso.
Las agencias nos proporciones.
Ya conocéis la labor de Incibe
y lo recurso que incidiremos proporciona.
Hoy hablaremos sobre todo de la Agencia Española de Protección de
Datos y de las de los recursos de las de las herramientas que ponen
a disposición.
Vamos a empezar entonces, mirando al una visión general
de los temas que trataremos a lo largo de la dos horas
que vamos a compartir durante esta misma.
Empezaré hablando del concepto de protección de datos
de privacidad, de cómo se diferencian,
y entraremos ya en el marco normativo,
mi Reglamento General de Protección de Datos,
y en la ley orgánica de protección de datos y de protección
de los derechos digitales hablaremos de los derechos del interesados
y de las obligaciones de responsable del encargado del tratamiento.
Veremos no, como siempre en el mundo de la del derecho tenemos dos caras.
Por un lado, podrá las veces que tenemos derecho;
por otro lado, tendremos obligaciones y tendremos que ver
cómo podemos cumplir tan todo a nivel individual
como a nivel de organización, con esas obligaciones,
y terminaremos con unos ejemplos práctico sobre infracción violaciones
de la norma,
respuestas por parte de las agencias de protección de datos
y también eso nos ayudará a entender las la mejor forma
de abordar distintos problemas que nos pueden ocurrir a la hora
de tratar datos personales.
Esa la es la privacidad y que es la protección vedats.
Y por qué nos interesa hablar de este tema?
Como sabemos, no todos nosotros
hoy en día utilizamos montón de dispositivos digitales
en muy ya es muy raro tener a alguien en nuestro entorno
que no tenga un teléfono inteligente,
que no tengan una tableta, que utilice un ordenador,
un portátil y un si nos movemos dentro de nuestra casa.
Probablemente tengamos a un asistente de voz tengamos Alexa
a la que le podemos preguntar qué es lo que está pasando
o que nos ponga la radio que nos ponga en las noticia,
es decir, que cada vez más tanto la digitalización
en todas sus formas
como la la inteligencia artificial en todas sus formas,
que sea a través de los sistemas de recomendación
cuando, por ejemplo estamos en una página web
estamos buscando información
y de golpe nos proporcionan una sugerencia,
no de lo que probablemente nos interesaría mirar
en toda la domótica de nuestra caza, no en el aspirado robótico
que tenemos, que están esperando nuestra casa
y están operando en nuestra casa, en el coche, en el prácticamente,
en cada aspecto de nuestra vida.
Hay involucrado algo de digitalización
y le tecnología inteligente, lo que significa que a cada paso
vamos a tener algún aspecto de protección de datos,
con lo que deberíamos ser de los que deberíamos más
o menos ser consciente, y deberíamos diría como consumidores
de estos productos.
Deberíamos, además, conocer es lo que deberíamos exigir
a las empresas que nos venden, estos productos y estos serveis.
Hubo.
He dicho anteriormente que hay una relación entre la privacidad
y la seguridad.
Cuando hablamos de privacidad estamos hablando
sobre todo de nuestro derecho a la intimidad,
a que haya una a que sigue existiendo,
aunque ahora vivamos en este entorno digital, pero masivo,
un espacio de intimidad sobre el que tengamos un control.
Esta es la definición básica de privacidad
de la información, que es el control que podamos tener
sobre que los demás tengan acceso a nuestra información personal.
Esto claramente tiene mucho que ver con una la confidencialidad
de esa información
que nosotros queremos mantener en ese espacio de intimidad,
es decir, sobre las que tenemos.
Queremos mantener un control
y que solamente queremos compartir con determinadas personas
en determinados momentos un la, por ejemplo, el Nisemro,
aunque es una filósofa que ha contribuido mucho
a la Área de Estudios de privacidad,
habla de de que la privacidad es un contexto,
es un concepto contextual, es decir, que no es algo absoluto,
sino que es algo relativo.
Decir no es que nosotros no queramos compartir nuestra vida
o aspectos sensibles de nuestra vida con los demás,
simplemente lo que queremos es controlar y saber con quién.
Lo estamos compartiendo cuando le estamos compartiendo,
y eso la y eso es lo que luego en ámbito normativo
se convierte en toda un todo, un sistema de normas
que permita que me permita que me devuelva ese control,
a pesar de que estoy en ese entorno del que hablábamos anteriormente,
en el que realidad se va agravando.
Cada paso que doy cada cosa que digo cada opinión no, y eso va generando
una huella digital que anteriormente no existía.
El debe de, de hecho,
el derecho a la intimidad es ya lo encontramos en la Carta Magna
a la Constitución y, sin embargo,
en ese momento lo no se habla sobre todo de la intimidad
en el entorno, en el hogar.
Hoy en día, cuando se habla de privacidad,
como ese hogar, como ese entorno de intimidad,
se ha ampliado tanto.
Seis llaves.
Es lo que nos pasa, es que no nos damos cuenta,
porque de que casi nada ya es un espacio privado,
es decir, que a pesar de que podemos estar utilizando una aplicación
en determinado contexto para, por ejemplo,
un sistema de mensajería para hablar con nuestros seres
queridos y allí lo que nos permiten mantener esa intimidad
en la conversación, por ejemplo, es que el canal que nos permiten
intercambiar datos, sea un canal inquietado,
y ahí es donde vemos la intervención de la seguridad,
no cómo podemos mantener el control sobre nuestra información
mediante medidas técnicas que mantengan la coincidencia,
calidad, la integridad y la disponibilidad de los datos.
Estos conceptos, que son conceptos básicos,
de teoría, de la seguridad,
son también muy relevantes a la hora de poder de poder
preservar ese esa privacidad de la información y del Estado.
El concepto de privacidad dentro también tiene otros aspectos,
como, por ejemplo, la calidad del dato,
el hecho de que cuando estamos hablando
de información personal en la relación,
por ejemplo, que tenemos con la la Administración Pública,
que esa información que refleja no que nuestro comportamiento
o no, por ejemplo, hemos hecho la declaración
de la renta con Hacienda ahí viene toda nuestra información personal,
información sensible sobre nuestro estado económico o no
sobre nuestra solvencia económica,
esa relación que tenemos con la administración pública
se mantenga de una forma
de que haya una relación de confianza entre, es decir,
de que la misma es la administración pública,
en este caso sea capaz de garantizar que yo siga controlando
y que no haya errores,
que no haya problemas en la gestión del Estado.
Lo mismo.
La privacidad de la información
y la seguridad de la información son dos conceptos
que tienen mucho en común y, sin embargo,
no nos hacen falta a hablar de ellos por separado, un también
desde la, desde la perspectiva europea de desarrollo legal.
El mundo de la privacidad de los datos ha sido un mundo
en el que sobre todo ha habido más desarrollo normativo,
y lo vemos también a nivel de gestión de la información.
Cuando hablamos de privacidad de la información,
sobre todo lo que hablamos son de políticas de protección,
de datos, por ejemplo, y también de medidas organizativas
que permitan ahora volveremos volarlo a la charla que permitan
que esas políticas, que redactamos se respete.
Cuando hablamos de seguridad de la información,
no vamos normalmente a un ámbito más técnico más.
No vamos a hacia a la informática,
vamos a sea la criptografía, vamos a simplemente
porque es un ámbito que ha tenido un desarrollo más técnico
y la, y que es decir, que probase, proporciona herramientas
para que con lo que escribamos la política de privacidad,
se pueda cumplir
y, además, la parte de seguridad tiene un énfasis sobre el hecho
de que no se utilice de terceros, no utilicen la información
que queremos proteger sin tener derecho de acceso a esa información
o de una forma indebida.
Que desde la con seguramente ya conoceréis la el paradigma
de la triple a.
No.
En la teoría de la seguridad,
que es la importancia de establecer mecanismos
para poder permitir la autenticación autorización y establecer mecanismos
para identificar si ha habido algún fallo,
algún problema en el sistema o si ha habido
algún intento de acceso indebido a la información y a la manipulación
de esa información.
Eso es, me han dicho
que ya habéis visto el esquema nacional de seguridad,
que hace bastante hincapié en todo el aspecto
de de verificación,
de la identidad, que es de alguna forma una una parte,
como podemos decir es el primer caso que damos no de si era
y también es un ejemplo que nos permite ver ese esa sinergia
entre el mundo de protección de datos,
de si es cuando nosotros vamos a la, a que nos den un certificado,
licitar que nos permita firmar documentos,
tenemos que ir físicamente para que alguien verifique.
Nuestra identidad existe, que nosotros somos la persona
que décimo, que eso y a partir de ahí
se genera una identidad y actual, que es ese certificado
que tendremos en nuestro navegador en nuestra ordenada,
que lo que permitirá será mantener esa cadena de confianza,
no es decir que somos nosotros mismos,
es otra persona,
no es alguien que haya robado nuestra identidad,
sino que somos nosotros que estamos ejerciendo nuestros derechos
de autodeterminación,
es decir, que estamos tomando decisiones gozando
de toda la libertad que nos permiten nuestro marco constitucional.
Esto entonces por un lado tenemos el tema de la autenticación.
Decir somos nosotros, no de verdad y por otro lado,
el tema de la autorización, que sería la política de privilegio,
no decir.
Yo, por ejemplo, dentro del de una empresa,
dependiendo del cargo que desempeñé,
tengo una, tengo un nivel de privilegio a poder
o no poder acceder a determinada información.
Soy dentro de unos pilar, imaginemos caso
de un hospital universitario, soy un estudiante de práctica
que probablemente tendré visión de la información médica,
no de los análisis, por ejemplo, que se están realizando
de una forma que preserve la intimidad de los pacientes,
es decir,
que probablemente no podré ver los nombres de los pacientes,
pero sí para que aprenda.
Me dejaran ver el historial clínico, por ejemplo, de esa persona,
o me o podréis ver el diagnóstico que ha hecho
el profesor que en ese momento me está dando la clase
no está enseñado, está conmigo como tutor.
En un sistema bien diseñado, bien hilado solamente
aplicaremos un principio que se llama de minimización,
es decir, siempre esa política de privilegios estará vendrá
con una, con una descripción del nivel de privilegio
a lo que tengamos acceso que reflejara nuestras funciones.
Entonces tendremos acceso a la información mínimo
para poder desempeñar lo que nuestras tareas.
Evidentemente, esto requiere una visión,
un análisis de cuáles son nuestras funciones,
de cómo funciona el sistema que permiten toda esta política
de acceso,
y también de las herramientas técnicas que permiten cambiar
el nivel de visibilidad de la información.
Vamos simplemente aquí despacito, introduciendo temas e simplemente
para que veáis que la charla de hoy es bastante teórica,
pero veréis que esto son conceptos que luego lo podemos
poner en práctica cada día referencia,
no moleremos entonces con el Reglamento General de Protección de
Datos que ese reglamento de la Unión Europea,
2016, 679, la ley orgánica tres 2018,
de protección de datos y garantía de los derechos digitales
y evidentemente hay también otras leyes,
no como la general de telecomunicaciones.
Es decir, hay otras leyes que luego en siguen en aspectos específicos
sectoriales no, porque evidentemente cada sector de actividad
luego tiene cada ámbito de aplicación,
tiene sus especificidades.
Cuando se aprobó el
Reglamento General de Protección de Datos lo que se pretendía era mejorar
lo que había anteriormente, que era la directiva de protección de datos;
25 que había producido una, un muchas leyes a nivel nacional,
de protección de datos,
y entonces, lo que se percibía es que no había un marco regulatorio
fragmentado, que no permitía que la las empresas,
tanto a las entidades privadas como las públicas,
pudieran de verdad implementar de una forma de la misma forma
no este marco, y eso, evidentemente, tenía higa,
generaba un prejuicio para los interesados
ser los ciudadanos de la Unión Europea,
porque si la si el instrumento legal
no se puede adoptar de la misma forma
con las mismas garantías en todos los países,
evidentemente los ciudadanos no están disfrutando
de ese derecho fundamental que existe en el tratado de lisboa.
Donde se pone el tratado de lisboa es como nuestra carta constitucional
de la Unión Europea y ahí viene,
es visitado que todos los ciudadanos de la Unión Europea
tenemos ese derecho fundamental a la protección de los datos,
no de nuestros datos personas.
Ese es un derecho que no existe en otro cosa.
En otros sistemas jurídicos,
por ejemplo, en Estados Unidos hay leyes a nivel nacional,
no al nivel federal que protegen.
El derecho a la privacidad,
se habla de privacidad de la información,
pero no existe un con respectivo a lo que nosotros
en Europa llamamos protección de datos,
que de alguna forma es un concepto mucho más acotado.
Qué tiene que ver con la qué tiene que ver con nuestra historia?
No sé si conocéis no del por qué.
En Europa tenemos este marco deriva fundamentalmente
de la experiencia del régimen nazi en Alemania
y de la recopilación de dato, que es el de las primeras,
las que se consideran las primeras bases de datos, que eran registros,
cuando los alemanes empezaron a registrar la población
buscando minorías no como judíos o gitanos
lo que iban recopilando era no esta información
de cada individuo, no de cada familia,
y esa experiencia, es decir el uso malévolo
de esa información a fines de persecución de minorías,
fue lo que llevó los alemanes y también evidentemente
no la a los demás europeos,
a considerar que necesitábamos un derecho fundamental
para protegernos.
En el caso de qué.
En el caso fundamentalmente de que hayamos régimen autoritario,
esto era la, esta era la preocupación o cualquier otra forma
de discriminar, sea ni persecución.
Entonces decíamos, los objetivos de este reglamento
eran de consolidar no en este marco normativo,
dar credibilidad a la regulación de datos,
instaurar también nuevos derechos y responsabilizar.
Ese cambio fundamental
que hay entre este está este reglamento y régimen anterior
es la idea de que este es un marco proactivo,
lo que significa es que la actitud es decir
qué aunque en la práctica no veamos,
cada día seguimos con un fuerte sesgo hacia el cumplimiento es realidad.
Lo que el regulador pretendía en la redacción de este reglamento
era que hubiera una mayor concienciación,
una mayor, un una actitud de cuidar hacia los datos.
No decir.
Si yo soy y estoy custodiando o no, volvemos al ejemplo del hospital,
llego de cuestión, estoy custodiando los datos no de mis pacientes
y entonce me responsabilizo y lo que hago es tomar
todas las medidas necesarias.
Eso es un poco el escrito con el que y no sé si sabéis
que hay una película,
que hay un documental que cuenta esta historia.
Entonces cuenta la historia de cómo
se aprobó el Reglamento General de Protección de Datos y de la que,
como muchos acontecimientos históricos,
también su aprobación se debe a la a las revelaciones de no
sobre la los casos de filtración de información
por parte del sistema de Inteligencia de Estados Unidos
y también de espionaje de los altos cargos a nivel europeo.
Qué fue de alguna forma lo que cambió?
Porque, anteriormente, este es una, esta fue una además porque fue
una de las primeras de los primeros reglamento,
es decir, un la diferencia que hay entre un reglamento
de la Unión Europea y una directiva es que reglamento
se convierte inmediatamente en el momento de su aprobación en una
en una ley que opera que a nivel nacional,
es decir, que no hace falta una transposición,
lo que le da una fuerza y también una capacidad
de armonizar normas dentro de todo lo los Estados
miembro de la Unión Europea.
Hoy en día el Reglamento General de Protección de Datos sirve como modelo
para el desarrollo de muchos otros instrumentos.
No sé si sois conscientes de la, por ejemplo,
el nuevo reglamento de vía y acta.
La acta de inteligencia artificial
y así muy muchos otros instrumentos, no muchas otras iniciativas que lo
que que lo que pretenden es y es decir abortar
desde a nivel de Unión Europea.
Temas que evidentemente son ya de calado,
global como pasa con la economía del dato.
Entramos entonces un poquito más en la terminología,
no?
De qué?
Pero antes de empezar esta nueva sesión
quería ver qué tal no desde casa,
si si hay dudas sí y también decir no, que en cualquier momento
se me queréis interrumpir y tenéis preguntas, observaciones.
Podéis hacerlo.
Aquí tenemos no?
Nuestra compañera laura que nos asiste.
Pues os dejo la palabra echando, nada y quieren activar su micro.
Pueden activar preguntas, vale, vale, de ese sí que sé que ese país
no, que si queréis intervenir lo que no voy a ser
si os parece es que vamos a tener varios varios momentos,
no cuando veáis transparencia como esta puedo parar momento
y así podemos charlar y profundizar en aspectos que también
si me queráis decir no, que os interesa más de esto.
Porque yo en este momento desconozco vuestro nivel,
ya de familiaridad con este tema.
Claro, mis ha dicho el primer momento,
no tiene ninguna, vale, perfecto.
Por entonces Seguín muy bien.
Y vamos a hablar de la del ámbito de aplicación,
no del la de reglamento, y empezando por distinguía.
En la sociedad civil del mundo de la investigación a penas
existe otro otro instrumento,
la Directiva de la Unión Europea de 2016,
la 680 que tracta el tema de la del tratamiento de datos
personales a fines de prevención, investigación,
detección o enjuiciamiento de infracciones penales.
Esta, esta directiva,
en España se ha traspuesto, 27 de mayo de 2021 en la ley orgánica
siete en 2021, que es fundamentalmente lo voy a hacer.
Esa.
Aplicar no lo que se dice el tipo de simplemente los mecanismos
no de garantía que existen en el.
Cuando el procesamiento,
el tratamiento de dato los ejercen autoridades públicas
cuya función no es la.
La prevención, no, y la investigación de infracciones penales.
Y esto por un lado, no es decir que cuando estamos decir
cualquier tipo de tratamiento de datos personales
que ocurra en los demás aspectos de nuestra vida sí que funciona
bajo el marco de este reglamento de reglamento general
y en términos de territoriales hay reglamentos.
Se es interesante porque si el encargado,
decir la entidad que está tratando los datos, es una empresa,
una entidad pública europea, evidentemente, es tema aplica,
pero también si los datos que se están tratando
es decir si las personas cuyos datos están tan tratando son europeos,
son residentes en Europa también el marco
aplique la que lo que implica.
Qué podemos tener a una empresa
o cuya sede no lo está alisamiento principal
se encuentra en Estados Unidos,
que tiene que cumplir con esta normativa
porque está presentando datos,
está tratando datos de, por ejemplo, españoles.
Esto es una, como decía anteriormente el reglamento.
Este reglamento ha sido una desde una perspectiva jurídica,
ha sido una gran innovación también porque es un instrumento
de influencia por parte de la Unión Europea
en otros mercados, en otros contextos, de hecho,
ahí se habla.
De efecto en Bruselas, en el sentido de la.
De que la Unión Europea a veces intenta influir
en dinámicas de innovación y en dinámicas de mercados
de otros contextos a nivel global mediante su regulación,
en este caso la.
Lo que se pretendía con este reglamento era fomentar la,
la innovación en la, por ejemplo, en Ingeniería de la privacidad
o en todo lo que tuviera que ver con el cumplimiento de estas normas,
mejorando prácticamente la calidad de los productos
en lo que concierne a la profesión de la seguridad y privacidad.
De los datos.
Si sabéis,
y si habéis pensado alguna vez en cómo se desarrolla,
desarrollan los productos y los servicios,
sabemos que la privacidad de la seguridad
son requisitos no funcionales de un sistema normalmente.
Es decir,
cuando yo desarrolló una aplicación evidentemente tengo un objetivo,
no hay una finalidad que quieran alcanzar.
Por ejemplo, quiero un diseñar una aplicación que me permita
que ayude a las personas a encontrar aparcamiento,
no sobre todo en grandes ciudades,
no como Madrid.
Evidentemente, eso es mi objetivo;
a partir de ahí tendré un listado de requerimiento,
decir de cosas que ese sistema tiene que tener para poder cumplir
con esa finalidad entonces evidente.
Por ejemplo, geolocalización del coche,
geolocalización de la plaza de aparcamiento,
sistema de optimización, sistema de comunicación
de esta información, no para que el conductor
inmediatamente tenga un sistema de navegación que le diga, mira,
te encuentras cerca de ese parking público;
quieres aparcar ahí o mira te encuentras cerca de la casa
de, de Juan que pone a disposición su de la plaza de garaje
de su de su casa,
porque durante el día no está y se queda libre
y entonces habilidad.
Un sistema hará que en el momento que tú
ahí lleres con tu aplicación la puerta se abra automáticamente
y tú puedas aparcar.
No, esto es dentro, por ejemplo, de un esquema
no de desarrollo sostenible, una forma de optimizar recursos.
Entonces aquí vemos no, que tendremos barrios,
requisito funcionales,
que me permitirán llegar a ese a ese objetivo, que es
optimizar las plazas de las tasas de guerra,
por ejemplo.
Me interesará reservar la privacidad de los datos
tanto del conductor del coche, que quiere ser aparcado,
como de la persona que está poniendo disposición su plaza,
y ahora si lo pensamos, no, si ha de ser
si pensamos nosotros mismo no digo a mí
era si pudiera ganar algún euro, no por poner a disposición mi plaza
y, sin embargo no perder la posibilidad de utilizar
la cuando por ejemplo vuelvo del trabajo, no por la noche,
si me gustaría, pero probablemente también pediría garantía por parte
de este empresas.
Es decir, que hace esta empresa,
porque claro, es información necesaria,
es por ejemplo la información de mi casa.
No, esta persona desconocido, van a poder acceder.
Voy a tener un problema con la lomce,
sino van a sentar ellos, no sé qué garantía le podemos dar.
Entonces esto, cuando decimos requisitos funcionales,
que estamos diciendo que no es que no sean importantes,
es decir,
evidentemente que los espectro de privacidad y seguridad
en una aplicación como la que acabo de describir,
sí que son importantes.
Sin embargo, es cierto
de que para llegar a cumplir con la finalidad inicial
que he escrito podría simplemente tener un sistema que no le importe,
no, no, también podríamos descendiera, podría tener
un sistema totalmente autónomo.
Es decir, no me hace falta saber quién eres tú conductor.
No me hace falta conocer tu nombre.
Tampoco me hace falta conocer el nombre de la persona que pone
la plaza.
Lo único que me hace falta es juntar coches y plazas.
Ya está esa no, y ahí surge la pregunta del y cómo lo voy a ser,
no, esa persona está siguiendo con un móvil.
En ese móvil hay mucha información personal
y entonces cómo desarrolló la aplicación para que no se quede,
hubo risa información o se quede con la información mínima.
Entonces este ejemplo es simplemente para que veáis
que en el momento que sale Reglamento General de Protección de
Datos y le dice al mundo.
Oye, si estás tratando datos de europeos,
tienes que empezar a plantear estos temas.
Eso evidentemente genera un impulso a la innovación.
Por qué?
Y esto es también la en ese es un poco lo que se intenta,
no la los que trabajamos desde el mundo de la investigación,
de los estudios de privacidad,
lo que se intenta es que se adopte ese tipo de visión,
es decir, que la que la privacidad es algo que suma
no es algo que receta y esto viene sobre todo de la filosofía
de de personas que han contribuido grandemente al desarrollo
de esta área como por ejemplo
aunque abuchean que ha sido la directora de la agencia
de protección de datos de Canadá durante muchos años
y que fue la que inventó en la idea de privacidad,
desde el diseño, que luego hablaremos un poquito más de esto.
Aquí lo único que os cuento estas historias,
porque mucho ándese no es como una parte,
que no conocen no y que, sin embargo,
nos nos ayuda a entender que todo esto tiene una lógica.
Y la lógica no es el hecho de que oye,
hay una ley y la ley, claro, impone sanciones administrativa
y entonces hay que cumplir con ella.
Que esta es la que se llama lógica de cumplimiento?
No hay otro tipo, evidentemente, es si eso existe,
pero para que de ver trabajar estas normas,
sirvan, cambie nuestra realidad, nuestra forma de ser
y genere un entorno de verdad,
más seguro, no, y donde haya más garantías de los derechos
hay que entender la lógica e intentar aplicar esa lógica.
Y bueno, y aquí tenemos ahora vemos un listado, no?
Por eso el reglamento cuando empieza habla
de estos principios relativo al tratamiento,
no como son,
como unas ideas, no, que te tienen que guía.
El primer principio es la necesidad de que el tratamiento siempre siempre
sea lícito.
Decir que se que se respeten los principios del Institut
de alta y transparencia.
Es decir, evidentemente esto se hace
para que no haya alguien obteniendo información, sin que todos los cepas
y aprovechando, aprovechándose de información,
sí sin que tengan ningún conocimiento sobre ello y que lo que os decía
anteriormente no mantener esa relación de confianza,
no la en el momento de que yo digo, doy mi consentimiento
a que haya alguien, algún entidad tratando mis datos lo tiene,
es esa entidad tiene que que hacerlo de una forma
que sea leal y transparentes de ser sin ocultarme información,
explicándome como lo va a ser no y la visita que ahora veremos
que significa que el tratamiento sea lícito.
Además, no pueden serlo para cualquier finalidad.
Es decir, que tiene que tener bastante claro
por qué me pidan un da para que qué es lo que se pretende.
Que tiene además que adoptar lo que hemos dicho anteriormente,
que es ese principio de minimización,
no es decir que la actitud no, no es la actitud típica que hemos,
se nos nos hemos encontrado muchas veces
en los proyectos de macrodatos,
no cuando se decía a cómo están barato.
Hoy en día almacenar la información.
Como hay dispositivo portadas Pharma pozos parte,
lleguemos a información, y la puedo,
ya veré en lo que hago con ella.
No sé si vamos a ver.
No, no sale barato comprar un servidor.
Compra uno más, y voy almacenando información.
Ya se me ocurrirá lo que hago con ella.
Pues estas normas vienen en realidad,
ayudarnos a racionalizar ese, esa generación masiva de datos
que vivimos desde el año 2001 con toda la revolución del eta
y y qué realidad luego nos llevó también a una confusión
o una falta de capacidad de aprovechar estos recursos.
No se décimo que los datos son son el nuevo petróleo
o son un recurso fundamental para la economía actual.
Tenemos que tener esa capacidad de valorar la información
y saber cuál es la información que necesitamos para alcanzar
nuestros objetivos, y otro aspecto.
Es la exactitud de esa información, es decir, aquí tenemos tres conceptos
que realidad no tienen que tener ningún conflicto con nuestro modelo
de negocio con nuestra, con lo que queremos.
Volviendo al caso, por ejemplo anterior que decíamos,
de esa aplicación que nos permita aparcar en hora punta,
no hay ningún problema que tenga un reglamento que me diga
de que los datos tienen que ser exacto,
de que no tiene que haber errores,
porque, claro, eso me va a ayudar, va a ayudar al usuario
a disfrutar de una aplicación no que funciona lo mejor posible
y, evidentemente sí solar.
Solo tengo que procesar el y la.
La cantidad de información mínima que me sirve para logra para alcanzar
lo que quiero.
Eso también genera un ahorro en términos energéticos
en términos de espacio de lanzamiento en todo entonces, veis que realidad
y lo mismo viene con este otro principio,
que es la limitación del plazo de conservación?
No.
Es decir, esta regulación nos ha ayudado a racionalizar
nuestro proyecto de dta y de sirvieron cierto de que
me interesa procesar en tiempo real muchísima información,
por ejemplo, de mis usuarios.
Sin embargo, no me hace falta preservar esa información
y entonces pagar a una nube, no tener que tener mucha,
mucha capacidad de almacenamiento de datos durante mucho tiempo,
porque, claro, yo quiero llegar esa mañana
ese día al centro de los edad,
aparcar mi coche, hacer mi recala,
coger mi coche y volver.
Entonces durante cuánto tiempo tengo yo que mantener yo entidad que esto,
proporcionando el servicio, mantener esa información,
un tiempo mínimo que probablemente me imponga
quien fuerce cuerpo y seguridad del Estado
para que tengan ellos el tiempo de investigar en el caso
que haya alguna de que ocurran sea un criminal
u otra o otro tipo de violación, no otro tipo de acontecimiento
que no tiene nada que ver con lo que estoy desarrollando.
Yo lo que pretende o yo no entra,
la persona aparca en la finca y la en la casa,
y luego resulta que se vio a esa mañana.
Hubo un robo en un piso.
Evidentemente toda la información disponible,
no durante o un mes; dos meses, tres meses.
Me entendéis de ser un tiempo que se establezca
en lo que se tenga que preservar esa información,
pero luego la gorro.
Y de hecho tampoco yo no necesito tener acceso a esa información.
Es decir, yo que soy el proveedor de servicio de la aplicación,
no los éxitos, saber quién fue, que entró,
lo único que necesito es saber de que mi sistema funciona,
de que mis usuario está contento y está recibiendo servicio,
no para que se ha dado de alta y, por último,
tenemos entonces el principio de la integridad y confidencialidad
de los datos, no que hemos visto desde el principio
y que tiene mucho que ver con la exactitud
también de la información.
Es decir, yo lo que quiero son base de datos
en buenas condiciones actualizadas,
donde si hay errores se pueden corregir,
mantener de si quien no, no, no haya terceros que puedan intervenir
y manipular esa información y mantener esa información
confidencial, que es lo que hemos dicho anteriormente,
no, esa política de acceso de privilegio que solamente
no, como hemos dicho, por ejemplo, en el caso de la investigación.
Si pasa algo, si hay un robo aquel día,
solamente por sigo estado, puedan acceder a la información,
a fines no bajo, evidentemente, la tutela de un,
pues para ver que ese,
si esa información, es relevante para su investigación,
estas son las ideas que nos dieran guiando y, evidentemente,
que tenemos aquí decisión, no?
Cuando hablamos de datos personales,
de que habla toda información sobre una persona física
identificada o identificable.
Esto ya veréis,
es un concepto muy amplio, que además cada vez es más amplio,
ese que en una función.
Hay varios organismos
que contribuyen a ir matizando estas leyes, no que van,
porque no es solamente lo que tenemos escrito
en el reglamento, no en la ley nacional,
sino que también evidentemente es la interpretación que vamos dando
con la ayuda de las agencias de protección
de datos del Consejo Europeo de protección de datos,
que evidentemente en un entorno tecnológico cambiante
nos van ayudando cada vez a aterrizar esas ideas,
no así como la idea de tratamiento,
que también es muy amplia.
Cualquier operación o conjunto de operaciones realizado
sobre datos personales o conjuntos de datos personales,
ya sea por procedimiento todo, automatizado sonó queda excluido
de esto.
Todo lo que sea un tratamiento de datos por parte
de un individuo no puede ser la 1.000 mi libreta personal
de contactos, por ejemplo, o no asociaciones pequeñas,
ese aquí evidentemente esto es un reglamento que se hizo pensando
en que en entidades que están procesando muchos datos
tanto a fines comerciales
por comercial como por proporcionar servicios público
y el fichero, que es un concepto también como de otra época, no,
pero es todo conjunto, torturado de datos?
Personas que si hoy en día de que hablan de base de datos,
no de cualquier conjunto, de información que tenga
o que esté relacionado con un elemento
que se te permita identificar a esa persona.
Cuáles son nuestros derechos?
Los interesados y las interesadas?
Somos todos nosotros.
Es decir, todos tenemos datos personales
y todos tenemos el derecho a ser informado,
el derecho de acceso a esa información,
el derecho de rectificación.
Decir si hay algún error.
Tengo que tener la capacidad de poder decirlo o no
y que eso se que haya una corrección.
El derecho de supresión.
Es decir, que deje de, por ejemplo,
de que hay información que ya no quiero que una entidad
tenga sobre mí el derecho a la limitación del tratamiento,
es si los datos se recopilan en un primer momento
para una finalidad.
Yo no quiero que se utilicen.
No.
Es decir.
La entidad dice.
Niega y ahora lo quieren utilizar para este a otra finalidad,
y se no, porque si no es coherente con la finalidad inicial.
No, o si no, o yo te di mi consentimiento
y ahora ya no quiero que eso sea así;
y entonces lo voy a no me quiero salir
de esta relación.
Entonces sí que tenemos derecho a ser el derecho a la portabilidad.
Qué significa que si yo en un momento dado mis datos
a una entidad tengo le le puedo decir.
Mira yo ahora esto da como me lo si llevo a otra entidad
no, esto pasa a menudo.
Por ejemplo, cuando queremos cambiar de compañía
no con la de teléfono me quiero pasar a otra a otra empresa y la empresa
con que teníamos el contrato inicialmente tiene la obligación
de posar mis datos a la otra empresa de la que ahora quiero el servicio
en un formato que sea portavoz, es decir,
que sea usan.
Tengo además el derecho de oposición,
es decir, me puedo oponer,
pero no, no, no quiero que mis datos se utilicen de esta forma
y el derecho a no ser objeto de una decisión individual,
automatiza, es decir, hasta el artículo veintidos
que lo que abre es una posibilidad.
Primero que seamos informados todas las veces
de que se están utilizando nuestros datos.
Dentro de un sistema automatizado
que puede tener un componente de Inteligencia,
Artificial o puede ser un sistema de recomendación
y que haya una, un una persona,
esa relación entre el sistema automatizado y nosotros, es decir,
nosotros tenemos que tener en todo momento primero conocimiento
que se están utilizando nuestros datos en esos sistemas,
que puede ser un desfilado que puede ser cualquier tipo de procesamiento
de datos,
no que lleve a una decisión vuelvo automatizada.
Los ejemplos clásicos son el la hipoteca.
Voy a pedir una hipoteca, se genera un factor de riesgo
sobre el mi, son mi solvencia, no mi capacidad
de devolver el préstamo.
Eso sea así como mecanismos automatizados es decir,
que se analiza no el sistema análisis de información
y le devuelve al empleado una factor de riesgo.
Es el factor de riesgo, es afectable,
normalmente el empleador y era así se le concede préstamo.
Si el factor de riesgo es demasiado salto no pasa el umbral
establecido por la entidad se le diera espero momento.
Parece que hay algún problema.
Tiene que hablar con un superior en el hablar cómo va
y ahí es cuando intervendrá esa intermediación humana,
y, evidentemente, esa persona tendrá por un lado
generar el resultado que le ha dado sistema.
Habla con el interesado y tomar una decisión,
pero será siempre un ser humano quien tome la decisión fina.
Otros conceptos básicos.
Hemos hablado de que todos nosotros somos los interesados
interesados del tratamiento del otro lado.
Quien tenemos a responsable del tratamiento,
es decir, una persona física o jurídica,
una autoridad pública o u otro organismo que no ejerciese.
Su actividad trata con datos personales es responsable,
como dice la misma palabra.
Es responsables de ser es el el ella,
que tiene que ver cómo está siendo para proteger mis datos.
Usable puede que pida ayuda a un encargado
de empeñar funciones específicas.
El encargado tiene las mismas obligaciones de responsable,
lo que pasa es que trabaja bajo la supervisión de responsable
y luego hay el delegado de protección de datos,
que es una un emplea de la empresa, no tanto el responsable
como el encargado son entidades, son públicas o privadas.
El desapego es una persona o también puede ser un en 13,
decir.
Es otra, un agente que tiene la obligación
de velar sobre el cumplimiento,
como las normas de protección de datos.
Y luego, al el puede haber, pero ya,
esto es facultativo un responsable de privacidad,
es decir, personas concretas,
no indistintas distintos puestos dentro de la organización,
que coordinen aspecto relacionado con con el cumplimiento,
con una cola nuestra y que respondan,
que reporten al delegado de protección de datos.
Eso sobre todo es un caso que se puede dar en el momento
de que la entidad ha decidido contratar externamente.
El servicio del delegado de protección de datos
no porque el delegado de protección de datos
tiene que ser independiente, no y tiene que reportar al más alto
nivel jerárquico de la la organización
y, entonces, probablemente, esté bien identificar internamente la empresa,
personas no, que puedan transferir la información
y facilitar la comunicación.
Con este delegado de protección de datos.
Como decía al principio,
cuando se hablaba del concepto de responsabilidad,
de que este es un tipo de regulación que lo que fomenta
es una actitud proactiva, lo que queremos
es que todo se responsabilice no cada 1.
Evidentemente, dependiendo de la función que desempeñe.
Puede haber responsabilidades compartidas,
no es evidente el caso de los responsables del encargado.
Es decir, si evidentemente si el encargado
hace algo mal, por ejemplo, hay un robo, la información,
la responsable también, es decir, no puede prescindir,
disir fue simplemente de alguna forma.
Ahí hay que investigar y aclarar qué fue lo que pasó.
Aquí por aquí
hay un ejemplo de la de la agencia de protección de datos inglesa,
que lo que lo que tenía era una, una empresa y Minya que se encargaba
de la de gestionar datos de pacientes que estaban en Reino Unido
y lo que estaban haciendo era transcripción de entrevistas
que se habían hecho y la empresa en India no cumplía,
no, no con con la normativa.
Evidentemente, quién era responsable, en este caso,
el hospital que había subcontratado, esa función,
porque no se habían encargado de asegurarse de que el proveedor
con el que iba a contar tenía establecido
los procedimientos necesarios.
El marco también nos permite mover datos tanto dentro de nuestra no,
si estamos dentro del territorio nacional,
evidentemente espacio,
porque todos tenemos que cumplir con las mismas normas.
Qué pasa si queremos enviar los datos fuera del país,
no a otro país.
Dentro de la Unión Europea mantenemos siempre el mismo,
las mismas exigencia.
Sin embargo,
si a los datos van a un tercer país fuera de la Unión Europea,
tendremos viniera si tenemos uno de estos.
Si cumplimos una de estas condiciones,
si existe una decisión de adecuación, por ejemplo,
si los datos viajan a un país que tienen la misma,
las mismas garantías que el país en el que estamos.
Si hay normas corporativas vinculantes
desde dentro de la misma empresa,
estamos enviando los datos a otra sucursal que está en otro
en otro país, pero, sin embargo el marco normativo interna,
la empresa, es el mismo o si hay excesivamente específica
por todo esto, porque hemos dicho que como somos responsables,
no de la de proteger los datos,
tenemos que tomar unas medidas técnicas y organizativas
que permitan proteger a estos.
Da y hemos dicho.
Evidentemente los datos se van moviendo de un sitio a otro,
porque tenemos distintas entidades con que, por ejemplo,
hay quien está recopilando estos datos.
Quién va a analizar estos datos?
No.
Entonces todos los datos se van moviendo dependiendo
de la la finalidad y cómo vamos a obtener alcanzar
nuestro objetivo y y tenemos lo que nos interesa.
Sobre todo es asegurarnos de que todos los actores involucrados
se estén tomando.
Estas medidas técnicas y organizativa.
Un ejemplo de medida seudonimización
no, que es la forma en la que vamos a separar
la información que nos identifica del además información, que era
un poco lo que decíamos anteriormente con de que probablemente
no nos haga falta, no lo la la técnica más comunes
en lugar de utilizar los nombres no propios de las personas
asignarle un código.
Esa es una una medida muy simple,
pero que ya empieza a darnos un poquito más de protección
y nos aleja.
Paso de tener que tratar con la información personal,
con información que en él se identifique ahora
sí sí da el supuesto
de que hemos comprado datos su adquirido datos, no.
Por qué?
Por varias circunstancias y esos datos ya son seudónimos.
Es decir, a esos datos ya le falta esa esa columna
no, o esa información que permita identificar a los interesados.
Deberíamos ser a ser un esfuerzo para reír,
identificar esas personas, para poder comunicarnos con ellas.
Si quieren contestar desde casa más y si seguimos.
Alguien tan mal
y la última, les enviado esa presentación de intenciones.
A ver, evidentemente, no es decir que no vamos a ser ninguna,
ningún esfuerzo no, porque a veces es el la.
Cuando entramos en esta lógica del del mundo,
de la protección de datos, hay forma.
Hay razonamiento que pueden ser recursiño,
y entonces el mismo regulador intenta como para ese recurso unidad
no y decir no es decir no tienes que hacer si tú tienes
una información no, no, tienes que volver a buscar esa persona
para volver a pedirles su consentimiento.
No, no, eso no tiene sentido.
Ese es un.
Es un esfuerzo mucho más intrusivo
que el hecho que tú simplemente teman, tengas, asegurando.
Te de que hay una coherencia entre el uso
del estás dando hoy a esos datos,
y la razón por la que los datos se generaron en un primer momento
es que hay otras técnicas para poder asegurarnos
que de toda forma estamos respetando los derechos de los interesados,
y aquí tenemos otra.
Vamos a hablar de protección de datos desde el diseño por defecto,
pero le vamos a dar cinco minutos a nuestros compañeros
y compañeras desde casa,
por si quieren compartir algo a través de chats,
que también podéis escribir.
No, y compartimos reflexiones, sí.
Perdona al principio de esta sección has dicho
que por un lado estaba la sociedad civil,
que está regulada por, y lo has dicho que hay una directiva
del Unión que gestiona la parte penal,
aparte penal.
Es decir, el gdpr incurre ya conlleva multas bastante suculentas,
por cierto, por el incumplimiento.
Entonces, esa parte penal,
en qué contexto esa no me ha quedado muy vale,
sí sí sino porque ha ido rápidos.
No es simplemente vamos a ver el el Reglamento General de Protección
de Datos y la la ley orgánica cubren tanto entidades públicas
como privadas, es decir,
las autoridades públicas en general lo que deseamos anteriormente,
los hospitales, la Hacienda, prácticamente toda la salud
y de hecho tienen una categoría específica,
no dentro.
Cuando dijimos cuando hablamos de la licitud del tratamiento,
las autoridades pública por ser autoridad pública,
tienen ya una base del instituto propia
que permita, es decir, por ejemplo,
asienta ascienda para poder desempeñar sus funciones ilícito,
que traten nuestros datos personales.
Si no le tenemos que darnos otro,
el consentimiento por ser notoriedad pública.
Ahora hay una categoría de autoridades pública que en este caso
son todas las que tengan que ver con el marco de derecho penal,
que simplemente se salen por y tienen su propia sus propias normas.
Por qué?
Por qué la forma de operar de fuerza y cuerpo seguro del Estado
de policía nacional de Guardia Civil que requiere un nivel de vigilancia
que haga que este es como el debate clásico?
No será el mundo de la seguridad,
siempre se marca por la posibilidad de obtener información
sobre alguien que evidentemente no quiere revelar su formación?
No decir yo soy la persona Aries
sería robó aprovechándose de la aplicación de aparcamiento
para entrar en la casa.
No, evidentemente no quiero que se conozca mi identidad,
no quiero que se sepa qué es lo que de hecho
no quieren bienes.
Entonces, en ese caso,
por eso existas una y lo que pasa es que en ese caso no.
Cuando estamos hablando de prevención del crimen en investigación,
del crimen hay regulador decidió de que también por presión
de los Estados nacionales no podía ser una un reglamento,
sino que tenía que ser una directiva.
Por qué las autoridades de los distintos estados
cada una quería hacer un poquito su medida
y también porque el tema es la la, la trasposición
de la norma a nivel local, es decir, hay mucha complejidad
cuando nos vamos a la marco jurídico,
por el tema de la arquitectura, no decir que cada norma,
cada nueva norma que vivo a introducir en un sistema
tendría que ser coherente con los demás
y, evidentemente cada Estado nacional dentro de la Unión Europea
tiene su propia infraestructuras
y, sobre todo, cuando nos vamos a la las capacidades no de investigación,
de vigilancia que tienen las distintas hay
mucha y mucha válida es también es lo mismo.
Está pasando con el reglamento de inteligencia artificial,
no que donde se habla de donde se habla de sistemas
de inteligencia artificial de alto riesgo,
quedando totalmente excluido toda la aplicación
de la inteligencia artificial en el ámbito militar,
no es decir la paradoja de alguna forma de estas áreas
es que el tema quien ha impulsado,
por ejemplo, el planteamiento de Inteligencia Artificial,
son personas que lo que temían
era la aplicación de estas técnicas en el ámbito de seguridad y defensa
y, sin embargo, es seguridad nacional,
es decir, que como siempre la la idea es vale,
ya veremos nosotros desde el secretismo, porque esta
también es la otra gran diferencia entre la, la sociedad civil,
cómo se llama y el ámbito militar de que, evidentemente,
el nivel de secretismo no es el mismo,
porque evidentemente, en ese caso puestas,
luchando y es la objeción típica desierta,
es vale, tú estás luchando como enemigo,
que evidentemente está intentando manipular la información hacerte,
creer algo que no es que no, no se revela
y evidentemente no puedes allí garantizar.
No es decir, ahí tienes que tener a lo que pasa
es que, claro, siempre hay un choque de valores.
No es la famosa pregunta de cuando alguien deja de ser,
es la presunción de inocencia, no hasta que se mantenga.
Evidentemente, yo tengo que ser capaz de garantizar todo tu, tus derechos.
Vale algo desde casa.
No escrita la me alegro porque a ver os doy la enhorabuena,
que esto es muy duro e se lo agradecemos.
Son charla, son charlas aquí intensas;
es como si otras.
Se mamá habla de estos conceptos;
protección de datos desde el diseño y por defecto.
Qué queremos decir con eso?
Lo que os comentaba anteriormente.
El concepto de privacidad por defectos se refiere
a que solo sean objeto de tratamiento los datos personales
que sean estrictamente necesarios para cada uno de los fines
de tratamiento.
En ese puede que yo tenga varios fits.
No puede ser.
Cuando yo, por ejemplo, volvemos a la nuestra ejemplo del hospital
y llego al hospital porque me duele algo
y quiero que me atiendan y me digan
qué es lo que me está pasando dentro de la misión del Hospital,
está curarme.
Es decir, está el interés vital de la persona.
11 en el primer.
La primera sesión de datos en el momento que yo entro
en el hospital se debe a que la están perfectamente alineada
la misión de la entidad con la necesidad del individuo.
Entonces, yo llego y evidentemente te digo
quién soy y no que está pasando y que, evidentemente,
y si cualquier información médica que yo tengo la compacto,
contigo.
La pregunta.
Qué pasa sin nuevo?
Esa información la utilizamos para fines de investigación.
Hoy en día hay una propuesta a nivel de Unión Europea
sobre el espacio europeo de datos sanitarios
que lo que pretende es facilitar ese uso secundario de los datos,
no siempre dentro del marco de garantía,
es de sí; si, como decía anteriormente,
llegó es un hospital universitario, un hospital universitarios
como misión tiene tanto la cura de sus pacientes
como la formación del personal médico
o como la investigación, es decir,
la buscar nuevas curas a las enfermedades,
no a las enfermedades o de enfermedades existentes.
Muy bien.
Qué es lo que me interesa?
Mantener no o lo que ahora el regulador otra vez
se está planteando.
Cómo puedo mantener
esa esa coherencia en la en esas finalidades,
lo que hemos dicho y entonce que, por ejemplo,
estas tres finalidades de cura de enseñanza y de investigación,
mis datos se tracten; la, la cantidad mínimo de data,
se trate para alcanzar no estos fines.
Esto es algo que ahora está en construcción,
pero que de alguna forma ya encontramos una respuesta
en el marco normativo.
Por ejemplo, en estas ideas de privacidad,
por defecto que yo llego al hospital y evidentemente que se me preguntara
todo lo que tenga interés no sea relevante a que me ocurre,
es decir, no se quedaran con información que no sea,
no la que de verdad, evidentemente es una investigación.
Entonces, a veces sí me interesa decir.
Mira, te cuenta también
que anteriormente había ido a comer en ese restaurante
y vale a ver si ahí comité algo que te hizo daño entendéis.
Creo que en el momento que luego esto se convierta
y vaya dentro del hospital.
Yo llegué a mi cama y llegué el médico ya, por ejemplo,
el trato que tendrá conmigo el médico no hace falta que sepa mi apellido,
no con que sepa mi nombre para tener un trato más cercano ya
será suficiente.
Significa además, esto es como esta idea de minimización,
no es decir qué.
Que sí que estén los datos,
pero que solamente se hagan visibles,
no en el momento que son relevantes, que pueden ser útiles.
Esto hoy en día lo vemos mucho con las bases de datos,
no cuando, por ejemplo, hablamos de.
De sistemas federados, de aprendizaje automático,
desde que yo tengo datos, no, por ejemplo en distintos hospitales
y lo que quiero esa accepten como una hipótesis, por ejemplo,
de lo que lo lo único que necesito es mira,
quiero acceder a la información genética de estos pacientes
porque está investigando la relación entre dos trenes
con una determinada enfermedad, pero, claro,
no se falta saber no la demás historia clínica
o probablemente no me hace falta saber historia personal,
no decir otras características de estas personas entende,
y entonces eso la el tema de la minimización que por un lado
solamente te pido la información mínima que me sirva,
y, por otro lado,
aunque tenga más información sobre ti,
solamente accedo a la información que creo que me hace falta
en la misma idea.
La actriz con el tema de la limitación de acceso,
lo que decía anteriormente con el.
La que el estudiante que se está formando dentro
del hospital universitario no tiene la necesidad para su formación
de acceder a la misma cantidad de información,
a la que, por ejemplo, acceda su responsable personal administrativo,
entendéis?
Es decir, que cada uno simplemente tiene que ver
lo que la información relevante para cumplir con sus funciones
y en el momento que ya se se haya hecho lo que se debía,
se borra la información o desaparezca?
Es decir, una de las de eso también
como filosóficamente, iba sida.
Mediante opacidad o.
O hubo de alguna forma?
No, no es que esa información deje de existir,
porque, por ejemplo, puedo tener como en el caso del aparcamiento
un tiempo no, en el que tengo que guardar esa información
por si acaso viene a alguien que tenga que haber hecho
y me lo pida fenómeno,
la la tengo por ejemplo almacenada en un servidor seguro,
al que ya no tiene acceso todo el personal
eso ya esa parte del departamento no de seguridad de la información
de la organización,
que lo que me permitirá será el la práctica estable
a establecer medidas técnicas que permitan aumenta
no aumentar o disminuir nuestro nivel de visibilidad de los datos
y protección de los datos dependiendo de que necesitan,
porque recordamos de que la siempre ganó algo
y pierdo algo es decir la usabilidad del dato.
La riqueza de la información que yo tengo evidentemente,
es inversamente proporcional al nivel de privacidad que le quiere.
La respuesta no desea más, por ejemplo,
en la anonimización de lats,
en el momento que yo quiero anonimizar los datos,
lo que voy a ser esa eliminar no ocultar borrar una parte
de información.
Entonces pierdo no.
De esa amablemente pierda una parte que no me interesa,
es decir, que no esté perdiendo en calidad de los datos.
Otras veces,
como, por ejemplo, cuando utilizamos a el paradigma de la.
De técnicas de ofuscación de datos,
lo que hacemos de sirviera método al dni, ruido en los datos;
entonces pierdo un poquito de exactitud.
Ero gano en términos de privacidad, protección de datos desde el diseño.
Esto también son ideas, principios no como que nos pueden guiar.
Tenga una actitud proactiva.
Doré iba preventiva, no correctiva que significa
es que mi reacción no sea decir si pasa algo y ya veremos no,
sino me actitud debería ser.
Oye, espera a que vamos a tener estos datos
y venga.
Entonces tenemos una
de por qué no vamos a organizar una reunión,
y así hablamos tanto con el departamento de ti,
que como hablamos con el responsable de protección de datos
hablamos con la unidad que tienen,
no quieren utilizar estos datos para lo que quieren
y allí vamos definiendo tanto un modelo de gobernanza
como la infraestructura que vamos a utilizar
para que se utilicen los datos y no pase nada.
Malo, privacidad, por defecto era lo que acabamos de peligrosidad
integrado en el diseño, en el diseño,
significa que cuando yo empiezo a concebir un producto
un servicio voy introduciendo preguntas de privacidad,
no lo que os describía anteriormente.
Por ejemplo, del servicio de aparcamiento, no;
la persona que esté con sí que esté imaginando,
ese servicio y empiece a a, a diseñarlo,
a escribir la historia de usuario de ese sistema que tenga en la cabeza
y vaya planteando preguntas que tengan que ver
con la privacidad, plena, funcionalidad.
Esto es la idea
de que la que os decía que nos viene de Canadá,
la idea de que la privacidad no es algo decir esta visión, esta,
esta perspectiva sobre la privacidad de los datos,
es algo que tiene que permitir la plena funcionalidad
de la aplicación del producto,
no es algo que tenga que generar malus, productos,
porque entonces no tiene sentir; es decir,
si al final la aplicación de este marco normativo me lleva
a un producto que no es sable, que no es eficaz,
que evidentemente la gente no lo usará,
y eso a donde me llevará a que se usaran
otros productos que sí que tengan eficacia y estabilidad
y que probablemente no tengan procesiones de privacidad.
Entonces, eso nunca fue el objetivo de esta regulación.
Siempre lo objetivo fue fomentar que hubiera la,
que se llaman tecnología de preservación de la privacidad
y que la innovación en ese ámbito ayudar a la innovación en general;
seguridad; extremo extremo un tanto a nivel,
es decir, la protección de la información,
tanto de donde la almacenamos, como cuando la estamos transfiriendo;
de un lado, otro lo que se contaba anteriormente no la incriptación
de la de la información.
Los canales seguro, la todo el ciclo de vida de datos,
no del todo siglo debido a la información lo tengo
que mirar cómo lo miraría?
No cómo lo miera?
Evidentemente, una persona que se encarga
de la parte de seguridad de la información
eso parte es perfectamente coherente con lo que nos pide la regulación,
visibilidad y transparencia.
La parte de la práctica organizativas de ser los procedimientos
son tan importantes como las tecnologías que estoy empleando.
Fulanito no decir que haya una un historial no.
Y qué es y que se aclare?
Viera fulanito era ese responsable de.
Por ejemplo, desempeñar estas funciones en su ausencia
interviene esta otra persona.
En el caso de que haya un conflicto, interviene es.
Esto es el mecanismo, los mecanismos de gobernanza,
es decir,
que cuando nosotros describimos la política de acceso por un lado
hay una parte técnica que es la que nos permite
esa autenticación, verificación y autorización,
pero esa parte técnica tiene que reflejar una parte que es
de decisiones que hemos tomado sobre quién tiene derecho a que
y qué obligaciones tiene cada uno dentro de la empresa
y también en la relación entre nuestra empresa.
Por ejemplo, nuestra organización con nuestros proveedores
respecto a la privacidad del usuario se entrase en el usuario;
es decir, hablar con la, la persona,
la las personas involucradas,
los interesados del tratamiento y ver la y que verifiquen que estén,
que hay, que compartan con nosotros su visión
de cómo estamos siendo, de cómo estamos diseñando.
No este sistema, si le parece bien es decir
que no podemos es esto ahora va mucho el tema de la llaman interrumpe
cuando se habla de desarrollo de inteligencia artificial,
de que el usuario tiene que ser parte
no tiene que haber una dinámica de creación del sistema
con el usuario.
No puede, porque, si no, lo que pasa es que nosotros creímos del momento
que estamos diseñar el sistema.
Creemos saber lo que el usuario quiere, lo que percibiera,
o hará en el momento, que interaccione con el sistema,
y, y simplemente nos llevaremos mucha sorpresa,
porque normalmente es muy difícil que sepamos todo.
Si no involucramos es en su arrio.
Nuestro diseño.
Y ahí no, como decía, como decía al principio,
si vamos a la a la web de la Agencia Española de Protección de Datos,
tenemos un montón de, tenemos muchísimo recurso
y entre ellos tenemos, por ejemplo, la guía de privacidades, del diseño
de cómo tenemos que implementar, no con ejemplos con ya información
más, más prácticas sobre cómo podemos implementar estas ideas,
y aquí tenéis también una un listado de recurso tanto de Niza,
como también, evidentemente referencia o no a la en ese sentido,
un manual sobre la la ingeniería de la privacidad, desde el diseño,
y esto sí que por si queréis profundizar más en estos temas.
Quiero decía anteriormente sobre el tema de.
De la de la información no que significa gestionar datos
que sean seudónimo cómo hacemos?
Para ir hacia una anonimización de los datos, que siempre es una idea
de alguna forma límite no es una tensión.
Cuando tú quieres anonimizar un conjunto de datos
que tengan información personal esta es una técnica blanca
anonimidad que es muy antigua muy sabe muy básica,
la lo que permite es ser calcular la probabilidad de identificar
a un individuo concreto, en base a un cap
un conjunto de casi identificadores, no de un conjunto total
que podamos ir a marca, que es decir eso
es un cálculo que nos permite decir miera.
De todas las columnas.
No imaginemos que tenga una hoja de cálculo, tengo cuatro columnas
que defino que son variables con datos personales.
Con cuánta de esa información me quedo las borrosas cuatros
o puedo tener una actitud un poquito más no razonable que, por ejemplo,
un ejemplo muy simple en cola era medida con el año de nacimiento
de cada persona.
Un primer paso que puedo dar,
que se suele dar ese lo transforma en una variable intervalo
que en la que tengo intervalos de edad.
No.
Tan tendré no sé los nacidos entre 1975, 1985, ejemplo no esta,
la es simplemente un ejemplo para que veáis
que evidentemente tenemos una, tenemos muchas,
siempre sí si queremos empezar a dar pasos en esta deseo,
tenemos muchas formas de poder preservar la información
o reducir la carga de información personal
que tenemos en nuestro conjunto de lats,
y tenemos,
evidentemente que distinguir entre información
que definimos identificadores casi identificadores.
Si atributos sensibles los atributos sensibles,
son los campos que contienen datos que podrían tener un mayor impacto
en la privacidad de un individuo concreto.
Lo abordaremos las categorías especiales de datos personales.
Eso evidentemente, son datos que o directamente no quiero,
o si los quiero, porque son parte de mi estudio,
es decir, son necesarios, los tengo que los tengo que cuidar mucho,
no los tengo y proteger mucho.
Identificadores en la medida de lo posible no los quiero
no los quitaré sino porque si solamente
la la carga informativa que tienen es la que me permiten identificar,
pero no tienen ninguna otra información relevante,
simplemente lo eliminó y ya sí voy revistiendo
el nivel de riesgo, no de identificación;
manipulación de esos datos porque toman den cuenta
de que siempre este es un marco que lo que lo que vamos a aplicar
es un principio de proporcionalidad entre el riesgo potencial
de si riesgo
de que el individuo sufra un prejuicio en base
al la manipulación o la mala gestión de sus datos personales
y el beneficio que podemos que le podemos dar.
Si tratamos sus dates, evidentemente,
siempre tienen que salir a ganar para el individuo,
no cuando, por ejemplo, Prosesa.
Tratamos datos de salud.
No es lo que queremos; queremos curar.
Queremos mejorar nuestra capacidad de cura,
no de cuidado y ahí la el el la ganancia
la el el bien es el objetivo la finalidad que motiva el hecho
de que estemos asumiendo unos riesgos que se deben al hecho
de que estamos tratando datos que son sensibles,
y aquí también un listado de recursos para anonimizar,
para revisar prácticamente la carga identificativa
que tenemos en conjunto de datos esto,
utilizando estas técnicas de anonimidad,
y esto este a ver estoy por ejemplo es una.
La r equis es una un instrumento de.
Lo que quiero decir es que hoy en día
hay ya aplicaciones que simplemente podemos descargar,
podemos utilizar que pueden ser.
Por ejemplo, está es de acceso abierto porque el desarrollo
un equipo de investigación y la puso a disposición,
y la mayoría de estos conocimientos en realidad están accesibles.
Se utilizan sobre todo hoy en día en vía informática,
en investigación no cualquier, evidentemente más con más sensibles
a la información,
más necesitaré una aproximación a este mundo de la ingeniería
de la privacidad que me permita preservar, no proteger estos datos
y ayudarme, ayudarme, no quién debería asesorar.
Me si yo soy una pareja entre una persona que está trabajando
en un departamento comercial de una empresa,
insta peri, está perfilando sus clientes
para enviarle una campaña de una campaña promocional.
Quién debería ayudar?
Me quien debería asentarse conmigo o no y explicarme.
Mira lo que puedo, no puedo o cómo, y sobre todo,
como sea es el delegado de protección de datos que dependiendo
evidentemente de la de la cultura se persigue de una forma o de otra,
idealmente tendría que ser una persona que tenga
tanto conocimiento jurídicos como conocimiento técnico
y una buena predisposición a dialogar con todas las unidades dentro de una
de una empresa o tienen que ya es decir,
tendría que ser una persona en realidad
que conozca muy bien la la forma de funcionar de la organización,
las necesidades de tratamiento de datos de la organización,
y tendrá que ser una habilitada desde ser alguien que me permita.
No, no, alguien que me diga no,
sino alguien que me diga miran vamos a decirlo,
no hablan y que me ayudara a encontrar el mejor camino
para que yo pueda ser lo que quiero que sea esa campaña de marketing,
que sea un desarrollo de producto que sea un nuevo servicio
que quiero dar desde la administración pública
de la forma mejor, es decir,
de la forma que garantice la respeto de los derechos fundamentales,
no de los interesados.
Cuando tengo que tener, cuando tengo que tener un delegado
de protección de datos sí soy autor, orienta u organismo público,
tengo la obligación de tener a esa, a esa persona
o esa entidad si me dedico a la observación habitual
y sistemática de interesados a gran escala,
es decir, si soy un sistema de videovigilancia
o si soy una plataforma, una red social,
es decir,
cualquiera que sea una que maneje datos, no, o aplicaciones digitales;
o si tracto a gran escala,
categorías especiales de datos personales,
y ahora veremos que son esas categorías especiales.
Como hemos dicho, el delegado puede ser alto una persona física
como una persona jurídica, es decir,
puede ser autónomo como puede ser una empresa la y hay.
Hoy en día ya
o certificados siete hay ya programas de desertificación de delegados
de protección de datos como de,
como de muchos otros.
No, es decir que es un mercado, es un tipo de función
que las empresas, evidentemente valoran
no y directamente las autoridades públicas tienen la obligación
de tener ese tipo de profesionales.
La particularidad de responder de ese delegado
de protección de datos es que es una persona aquí lo veáis.
En este esquema, claramente la función delegado,
procesión de dato es independiente, es decir,
es alguien que.
Tiene que asegurarse que la empresa está cumpliendo
con la las normas de protección de datos,
y por eso debería en la escala jerárquica
estar a un nivel alto y comunicarse directamente
con la jerarquía con por ejemplo en la director
no el presidente del consejo de administración y 17 personas
que tengan capacidad autoridad dentro de la organización
para tomar decisiones a su vez.
El delegado de protección de datos, en el caso
de que haya una investigación por parte de la agencia de protección
de datos es la persona que tiene que informar,
no tiene que explicar que es como la empresa,
evidentemente, qué tipo de procedimiento ha puesto
en adoptado no para poder cumplir qué tipo de decisiones
se han tomado.
Me pueden multar si no tengo un delegado de protección de datos
si, es decir, sí sí me dedico no a lo que hemos dicho
anteriormente a un tratamiento de dato,
no a gran escala.
Si sí trato categorías expresas de datos se soy no querido pública.
Tengo la obligación de tener un grado de proximidad
y, si no tengo, evidentemente puedo incurrir
en una sanción administrativa.
Cuáles solos?
Cuáles son esas categorías especiales de datos personales,
es decir, cuando es que tiene que sonar
no como una alarma y decir.
Esto es aquí tengo que tener especial cuidado
si estoy tratando datos que tenga que ver con el origen étnico
-racial de las personas con las son con datos sobre opiniones políticas,
comisiones religiosos o filosófica,
filiación sindical y también tratamiento
de datos genético.
Dato biométrico, dirigido a la identificación
de poner a un mínimo cada las personas física.
La ha datos relativo a la salud o datos relativo
a la vida sexual o la renta son sexual,
es decir, podéis ver que aquí tenemos un conjunto
muy variado de datos que son tanto percepciones, opiniones,
no como datos biológicos
y, tal y evidentemente más de estas categorías.
Tengo a la vez más cuidado
y tengo que tener no porque más potencial cita
como puede ser más alto ese riesgo cuando es lícito
que yo qué porque lo que dice la regulación en este artículo nueve
es que está prohibido el tratamiento de estas,
esta tipología de edats y luego lo que se hace
es introducir excepciones.
Entonces, cuando puedo ser, cuando hay lícito análisis
de tratar estos datos, si el interesado,
la interesada, me ha dado su consentimiento explícito,
no he dicho, mira si me parece bien aunque no como hemos visto,
por ejemplo en el caso de 33 de estas empresas que pedían
información genética, no, evidentemente si luego hay un robo
de información eso no lo que quiero decir,
que en el momento que damos nuestro consentimiento es porque estamos,
nos estamos fiando de alguien y de la capacidad de ese, alguien,
no de tratar nuestros datos de la mejor manera.
Es cierto que luego siempre algo puede ocurrir, sobre todo hoy en día
de que hay tantas amenazas, no tantos ver ataques
tanto tantos mal.
Wert, tan, tan tanta ciberamenazas.
Pero que tengamos también claro que cuando que muchas veces
ponemos un tick no bando porque queremos un servicio,
queremos algo que nos apetece en ese momento
y no tomamos en cuenta de que no somos del todo conscientes
de que de todas formas estamos asumiendo un riesgo
en el momento que damos ese consentimiento explícito
o de alguna forma nos estamos fiando
de alguien y entonces deberíamos verificar
si y si es decía no la entidad a la que a la que estamos dando
nuestros datos.
Evidentemente para proteger intereses vitales del interesado lícitos,
tratamiento lo que decíamos anteriormente del hospital
no y que todas las veces que,
que y estos datos se tracten dentro de la misión de las funciones
de una determinada entidad es legítimo, no, y tiene
y tiene sentido de que haya tratamiento
de estos datos.
Ser fumador se considera un dato de salud
y entonces una categoría especial de datos
según la agencia de protección de datos.
No, lo que sería un dato de salud tendría que ver con una,
por ejemplo, el abuso de nicotina, es decir,
al una información que tenga que ver con una, una patología,
con algún problema de salud que tenga la persona.
El hecho simplemente de que hay información
sobre un comportamiento, un tipo de comportamiento,
no, automáticamente se convierte en datos y salud.
Este ejemplo lo pongo para que para que veáis
lo que decía anteriormente que tenemos la, la norma,
la leemos.
Nos parece de primera, no a primera vista,
bastante clara, y luego vamos a caso concreto
y al día a día lo que ocurre,
y ahí es cuando surge muchas dudas y ahí es cuando sí que nos ayuda,
poder leer, no y ver qué es lo que está lo que publica la Agencia
Española de Protección de Datos.
Aquí simplemente lo que tenéis es una visión
de que en España tenemos la española,
pero que a cada país tiene su agencia de protección de datos,
que cada país evidentemente, tendrá un tamaño distinto
dependiendo de ser unos recursos dedicado a esta función distinto,
dependiendo del tamaño o no de la y de la importancia.
Por ejemplo, aquí tenéis las primeras cinco en términos de tamaño
la alemana, la inglesa,
la italiana, la francesa y la española en la quinta
y estos son una comparación, no?
Cuando se puso cuando entró en vigor la normativa.
Todo lo que tenía que ver con las agencias
no en la España es la ley orgánica tres 2018 donde se determina
donde se especifica todo el funcionamiento de la agencia
de supervisión y también su cómo se remuevan los cargos,
qué tipo de gestión, no, qué tipo de de quién depende, qué tipo
de presupuesto,
que todo toda la información viene ahí ahí
y, por ejemplo, que la presidencia de la Presidencia del adjunto
de la Agencia Española de Protección de Datos se nombran
por parte del Consejo de Ministros mediante real decreto
y que tienen un mandato de una duración de cinco años.
Sin embargo, cómo se tiene que poner?
No tiene que haber una como depende del ministerio,
de justicia.
Debe haber un acuerdo para que haya esa renovación,
que de momento no ha habido y entonces seguimos con la.
Esta es la actual directora.
Sigue siendo la actual directora de la agencia,
que ocupa el cargo desde 2015, mar. España martí
y ella un su mandato hubiera terminado hace mucho,
pero con cómo no se ha podido renovar el carbó.
Hubo un intento de repasando el cargo que no prosperó
a porque no sé por qué hubo una falta de conformidad con el procedimiento,
no con ese procedimiento que se detalle en la ley
y entonces la seguimos, no sin sí renovación de cargos
esperando la renovación de ese cargo.
Sin embargo, la también no lo positivo de la gestión actual,
ha sido la la continuidad y las muchas iniciativas
y por eso lo mucho recurso que podáis ser a los que tenéis acceso
desde el canal de la agencia como por ejemplo
este del canal prioritario,
que permite denunciar si en Internet se han publicado, fotografía,
Billy audios, de contenidos sexuales o violento no,
para que se refiere inmediatamente este material.
También la agencia permite acceder a la Lista Robinson, que es
otro instrumento que no permite limitar la.
El hecho de residir y publicidad,
sin que hayamos dado nuestro consentimiento explícito
residiendo.
Aquí tenéis una visión de la no mecánica,
cómo funciona la agencia de protección de datos
a sus investigaciones, y produces su uso,
sus decisiones y luego la entidad no que ha sido investigada
y ha sido que ha recibido una multa, no un procedimiento
de percibí viento, puede recurrir evidentemente
al cause tradicional a la a los tribunales no,
y apelar allí podéis ver que en realidad la mayoría
de los casos, la las decisiones de la agencia,
es decir que evidentemente la agencia es la que más sabe la personal
de la agencia lo sabe de aplicación de este tipo de normativa
y entonces es difícil que un juez se encuentre que haya habido fallos
que motiven una anulación de ese procedimiento.
Nunca, si no se cumple con la normativa,
que puede pasar, puede haber multas administrativas,
que se se dividen en tres categorías que pueden ser dependiendo
del enjuicie o que se ha producido.
Pueden ser muy graves, graves soleares,
y eso no lo hemos su vez,
tiene a tanto en términos económicos,
no como podéis ver, por ejemplo,
en el caso de faltas graves muy graves,
el máximo puede ser el importe más elevado entre 20.000.000,
son cuatro por 100 del total de la facturación global anual
del ejercicio financiero anterior de la entidad.
Esto es también uno de los elementos
que cuando se aprobó el reglamento llevó a la de golpe
generar como mucho interés en esta área,
porque evidentemente de golpe se le había dado
una capacidad sancionadora a estas agencias de supervisión
que anteriormente no tenía en la realidad,
como podéis ver en este gráfico, la mayoría de las multas
no superan los 200.000 euros y a lo largo de los años ha habido,
no se van apreciando no la esto.
Habría que actualizarlo para ver, para ver los últimos años,
pero aunque el análisis de los últimos años se siguen viendo
que la mayoría de las denuncias se realidad son por casos menores,
no lo destinos quejándose, por ejemplo,
de la cámara de videovigilancia, no que si a la casa de uno de otro
a hay algunos casos como podéis ver
que son casos de mayor calado que han,
como por ejemplo estamos tan de 2.000.000 a más,
son por que exigía un certificado de antecedentes penales
a transportistas autónomos que trabajaban para más.
Son entonces esta es este es el documento oficial,
la por parte de la agencia y también esta información
lo encontráis en sede datos, no a la que también podéis
o si sois cibercooperantes, no tan dentro del podéis contribuir
para que se sigan.
Se interesa más esta parte del desarrollo legal
de investigación, no, para que porque toman den cuenta
de que como el reglamento es el mismo,
la aplicación es la misma, lo que pasa en un país no la,
de alguna forma.
La interpretación que será un determinado caso
en un país tendría que ser coherente con la de otro país.
Siéntese de alguna forma todo lo que va generando nuevo
es un conjunto de interpretaciones que neurrien tan
no también las las interpretaciones futuras del honor.
Aquí tenéis otra de 2.000.000 saca eso.
Van a la extinción de comisiones,
a la sesión de lazos personales que esto es decir
como una falta de transparencia por parte de la cuando hubo
el cambio de Bankia acá y se van no cuando se habla de Bankia
evidentemente a los que eran clientes de bankia pasaron a ser clientes
de Caixa.
No, en ese momento Caixa hubiera tenido
que volver a preguntarle a cada cliente por sus preferencias,
no por su uso.
El tipo de tratamiento al que iba a dar su consentimiento,
que le parecía que le parecía bien, y lo que hicieron
fue automáticamente, no pasarles sin preguntar,
y por eso la agencia empezó una investigación diciendo.
No sea esto no es transparente, no allí también,
no es leal por parte del nuevo proveedor de servicio
o no tomar decisiones sin contar con la perspectiva
y la de los interesados y aquí tenéis el otro órgano,
la Junta europea de protección de datos,
que se encarga de luego otra vez armonizar o coordinar la sesión
de varias autoridades de control en varios países, no, por ejemplo,
cuando estamos hablando
de investigaciones que involucran impresas tecnológicas.
Muy grandes a veis,
es una una agencia de supervisión que empieza la investigación
y luego desde esta junta europea se lleva a cabo una coordinación
porque el caso involucra también procesamiento.
Que gato en otros países de la Unión.
Y hay muchos casos en muchos casos de este
es un ejemplo de un hospital en Portugal,
donde la autoridad local también la investigación que realizó lo
que al final descubrió es que en el hospital
se estaban aplicando unos procedimientos de seguridad
de los datos que eran más, es decir,
que cualquiera que se iban compartiendo contraseñas
y y a todos, no de auténtica de autenticación,
y entonces que calquera dentro de los Pidal
podría tener acceso a los informes clínicos
no de los pacientes, y eso en un total descontrol,
y entonces se tuvo que intervenir la autoridad para no
con una multa de 150.000 euros y luego, claro, dos multas,
entonces 300.000 en total.
Para que la organización reaccionara
y empezar a tomar las medidas correspondiente
para poder gestionar los datos de la mejor manera.
Aquí tenéis otro caso, que es la la cesión de datos genéticos que sea,
que vieron sobre una población específica que viven
y tal y en tardiña.
Esos datos así la adquisición de es total
que se hizo bajo el paraguas de una colaboración
entre el ministerio, y es así el de sanidad,
y una empresa en concreto que luego quebró
y al quebrar la empresa entre sus activos vendió la base dato
con la información genética de estas personas,
y eso no, y el tribunal al final dio la razón
a la empresa que compraba los datos porque evidentemente esos datos
entraban ofertaran a formar parte de los bienes del empresa,
no decir que la los acreedores tenían derecho
a recuperar parte de su dinero gracias a la venta de estos datos
y claro dentro del mundo médico esto
generó una reflexión no sobre el tema, por ejemplo,
de la de un concepto de privacidad que no sea simplemente individual,
sino también colectiva,
porque en el momento que compartimos nuestros datos genéticos
no se trata simplemente de de nuestra información,
sino de la información del grupo étnico al que pertenecen,
y entonces aquí también se se ha abierto no un debate
dentro de la comunidad sobre sí cuando tratamos este tipo de decir.
Si el consentimiento sí si no es suficiente,
simplemente consentimiento explícito, no a la hora
de por las consecuencias que puede tener la el uso o no el análisis
de estos datos genéticos.
Y aquí hay una multa, por ejemplo, de la gente de supervisión,
Alemania por temas de por una brecha de edad,
que también esto es muy muy común.
En España las últimas, los últimos casos
más llamativo han sido a la liga de fútbol,
por una aplicación que se habían descargado los a las personas,
no para seguir la liga y parece que esa aplicación
lo que se activa durante los partidos para escuchar si estas personas
estaban viendo partidos en locales que no habían pagado los derechos,
no para poder transmitir eso.
Esos partidos ha habido investigaciones a y y sanciones
aquí tenéis la razón no.
Por ejemplo, en el caso de la Liga era incumplimiento
con el principio de vicisitud, lealtad y transparencia.
En el caso de Vodafone también falta y vicisitudes
tratamiento en el caso quieren de esa incumplimiento del principio
de integridad y confidencialidad.
Esto, si vais, no decir, es un análisis aparte,
pero simplemente para que veáis que,
como hemos visto anteriormente la mayoría de los casos,
no el día a día son casos de ciudadanos,
no porque evidentemente cualquiera de nosotros que vea que a que persiga
que ha habido un tratamiento y pueda sustantiva
que ha habido un tratamiento ilegítimo
no, no le licito de sus datos recurre a la gente de protección de datos,
que empieza una investigación, no, y llega a una conclusión
y todos los años hay no al algún caso como más más vistos.
Qué más herramienta tenemos en el portal de innovación
y tecnología de la agencia, herramientas para reglas,
analizar gestión de riesgo y evaluación de impacto
en la protección de datos, que es una herramienta que nos puede servir
a a ver si estamos cumpliendo o no,
si es con ese principio de proporcionalidad,
entre los riesgos que estamos asumiendo,
tratar los datos y el beneficio que se va a producir
por ese tratamiento, y también tenemos un apartado
de gestión de derechos de datos personales,
porque, como sabemos,
cuando hay una, una brecha de información,
uno robó información debido a su ataque;
accidente informático,
recurrimos evidentemente, tanto a las tanto incibe al sucede,
es decir, a los órganos competentes en ciberseguridad,
como si la brecha involucradas, personales, evidentemente lo tenemos
que no.
Tendrían que comunicar a la agencia de protección de datos,
y esto es todo.
No.
Aquí concluimos la clase.
Este senda no.
En estos dos horas hemos sido capaz de, más o menos,
de ver la de tener una visión general del marco jurídico
de protección de datos y muchísimas gracias por asistir.
Si tenéis alguna pregunta alguna duda?
No, no la podéis compartir.
Pues José Luis xxi dice.
La Agencia Española de Protección de Datos está por encima de las agencias
autonómicas.
A ver la única que sigue manteniéndose,
que la las comunidades autónomas ya no tienen;
es decir, la única que tienen es la catalana.
La catalana tiene su agencia de protección
de datos, que es competente para lo que ahí están.
Vuelve a ser un tema de competencia.
No es de ser todo si el low ocurrido no volvemos
a la distinción que vivimos inicialmente.
Si es un proceso de una procesamiento de dato de catalanes
o en Cataluña, evidentemente, esa es la agencia competente,
ahora el en el momento también depende
de donde la la persona no la a-qué agencias recurran.
Si si una persona que vive en Cataluña
es igualmente se dame español
y puede recurrir a una Agencia Española de Protección
de Datos o, evidentemente en su caso recurrir a la agencia local
y entonces a partir de ahí
como, como como cuando he explicado, el tema de la junta europea,
lo que se entiende siempre es que haya una coordinación
y una colaboración, evidentemente, porque además,
como la doctrina es la misma,
no y evidentemente las opiniones y las decisiones
de la agencia española entran también a influir en la,
siendo el nivel nacional superior respecto al nivel autonómico,
pero, evidentemente, en todo lo que tenga que ver
con decisiones a nivel autonómico.
La agencia autonómica tiene la prioridad.
Muchas gracias, Luis.
Le construís alguna consulta más.
Gracias a que no hay nadie más.
Reconozco que podéis hacer las consultas oralmente,
simplemente, pues, ponernos de ser activados puesto un micrófono
y la podéis ponerse.
Habla con nosotros mismos.
Bueno, pues parece que no hay más consultas puesto
en el chat un formulario para el que nosotros solemos poner
a totas las las charlas que organizamos para valorar
diferentes aspectos de la charla.
Entonces, por favor, recordar realizado son un minuto,
preguntan si vamos a poner a disposición la transparencia.
No, creo que si no se lo pregunto si exactamente acabase ahora mismo,
sí sí hicimos la pasas,
la podemos colgar el puntual más malo.
Bien, pues si no hay ningún comentario más.
Pues nada más por nuestra parte
Muchas gracias.
Ahora ha sido una charla, que he sido muy interesante,
aunque presencialmente.
Hemos estado aquí online, ha habido bastantes personas conectadas
y la grabación también va a haber mucha gente,
porque realmente es una charla que ha sido muy interesante.
Ha servido para, para clarificar muchos conceptos,
para muchas personas.
Entonces, pues por nuestra parte nada más.
Muchas gracias.
Ahora y y nos vemos todos el próximo tareas.
Muchas gracias a la UNED por invitarme.