#1 Buenas tardes. No se si el procentaje del 95% es correcto o no, solo se que se acerca bastante a la realidad. Lo que sucede realmente es que la mayoría de infracciones por las que se sancionan a las web, están mas relacionadas con la falta de información en la recogida de información a traves de cookies que en otro sentido. Casi todas las web, cuentan con alguna versión del famoso "he leído y acepto..", por lo que en primera instancia cumplen con el requisito legal de informar. Aunque si rascamos un poco, veremos que o bien no se ajustan a lo que la norma requiere o simplemente son corta-pega de alguna otra web, con lo que la validez de esos clausulados, en realidad es bien poca.

#5 Eso dependería si la cebolla se considera o no dato personal. Quizás por si sola no lo es, pero puesta en relación con otros datos si que pueda identificar claramente a una persona en concreto; por el olor de su aliento, quizás.

#6 No te puedo responder a eso, porqué no tengo el consentimiento de mi primo para desvelar detalles de su vida privada. Gracias por el interés de todas formas.

#9 Si te parece, empezaré por el final. Soy ingeniero informático por formación, aunque mi carrera profesional se ha dedicado a la gestión y la consultoría. Mi labor como consultor la he desarrollado siempre en el marco de procedimientos y adecuación LOPD. El tema de auditoría técnica pura y dura, la dejo a quién sabe mucho más de esto que yo. Bastante trabajo me da ya la parte de procedimientos, je.

Sobre el tema de los "chanchullos", como bien los llamas, ¿pues que decir?. Somos muchos los profesionales que llevamos muchos años peleando contra estos temas, que lo único que hacen es minusvalorar la profesión y al profesional. Constantemente me encuentro con clientes o potenciales clientes que les han vendido proyectos pasando por la bonificación a través de la Fundación Tripartita de los costes de la consultoría, cosa que desde hace casi 6 años, es sabido que es ilegal y está denunciado. Es un lacra, pero también es cierto que las empresas que entran en ese juego, no tienen más interés por los temas de privacidad que el de cumplir con un trámite burocrático, sin preocuparse por las autenticas implicaciones de la norma. Una pena, pero los que nos gusta el tema, seguimos creyendo en que esta norma es una ventaja para las empresas, que les permite diferenciarse ofreciendo confianza y seguridad a los clientes.

#11 No es que sea absurda. Lo que pasa es que los profesionales que nos dedicamos a ello no hemos sabido explicarla bien ni mostrar realmente a las empresas, las ventajas de su cumplimiento. Hemos puesto el foco en el mensaje del miedo a la sanción, pero nos ha faltado pedagogía para hacer ver a las empresas que el cumplimiento de la norma, es mucho más que un acto administrativo. Pero creo, salvo excepciones, que vamos mejorando en el tema.

#13 Las denuncias ante la AEPD no pueden ser anónimas, porqué el denunciante tiene que ser interesado. Ten en cuenta que estamos hablando de derechos fundamentales y por tanto se tiene que acreditar la relación. Gracias.

#30 La caducidad de la información que se gestiona, tiene que determinarla la entidad. En el caso de los registros de acceso a datos de nivel alto y registros de backup, la norma si que regula que se han de guardar dos años. Se puede tomar como referencia para otros tipos de registros. Gracias por la pregunta.

#32 Nadie está a salvo de una intrusión, eso de entrada. Lo que se tiene que evitar es que el daño que esta pueda producir, afecte a terceros. Si uno ha puesto todas las medidas posibles, los procedimientos están bien dimensionados, hay buenas herramientas para respuesta ante la incidencia, etc., pues evidentemente la sanción no será la misma que si hemos descuidado todo lo relacionado con la norma. Según apreciación del inspector, del daño causado, etc., la Agencia de Protección de Datos aplicará la sanción en función a la gravedad de la infracción. En muchos caso, cuando se demuestra que se ha cumplido todo lo previsto, pero ha sido un accidente, se salda con el apercibimiento. Gracias por la consulta.

#33 Lo que está comentando es muy grave.
La empresa tiene la obligación de determinar los niveles de acceso en función a los puestos de trabajo y evitar que nadie puede acceder a información de la que no es interesada. La empresa tiene la obligación de establecer las medidas de seguridad y evitar esos accesos. Y además formar al personal para que se conciencie de la importancia de la información que tratan. Tratándose de datos de salud, estamos hablando de infracciones muy graves que se pueden saldar con sanciones muy importantes.

Las aplicaciones que gestionen datos de nivel alto (como es el caso), tienen que mantener un registro de los accesos y actividades de los usuarios a los mismos. El derecho de acceso, que es el que comenta, puede ejercerlo para saber donde y como está almacenada la información que la empresa tiene de Ud. Faltaría ver si el detalle de esa información, incluye quién ha tenido acceso.

En todo caso, lo que está comentado es un caso de libro de infracción muy grave de la norma.

Gracias por su pregunta.

#42 Es cierto que el cambio va a ser significativo, sobre todo en lo que respecta a la profesionalización del sector. La aparición de una figura como la del Delegado de Protección de Datos, abre una puerta a estandarizar la profesión. Aunque, obviamente, seguirá habiendo quien minusvalore esta figura. Esta por ver todavía que perfil ha de tener y la formación. En cuanto al reglamento en si, habrá cambios importantes en cuanto al enfoque: se pretende que la seguridad se implante desde el principio de los proyectos, el famoso Privacy by Default. Los requerimientos técnicos tendrán unos requisitos algo más concretos, pero (y es mi opinión), los procedimientos de gestión se vuelven un poco más laxos, aunque hay más obligación de control. Veremos que tal.