Mostrando entradas con la etiqueta Big Data. Mostrar todas las entradas
Mostrando entradas con la etiqueta Big Data. Mostrar todas las entradas
sábado, 19 de diciembre de 2015
sábado, 19 de septiembre de 2015
lunes, 20 de abril de 2015
Relevant recommendations from Argentine National Personal Data Protection Direction regarding privacy protection in the development of Software Applications. IoT will be subject to these guidelines?
The National Personal Data Protection Direction
(hereinafter “NPDPD”) recently approved the Recommended Good Practices
regarding Privacy for the development of Software Applications (hereinafter
“RGPPSA”). Although the RGPPSA are not mandatory they should be considered as
guidelines to be followed as it is the first document issued by the NPDPD to
provide orientation in the management of privacy for the software
industry.
The RGPPSA become crucial for the new era of
software application developments related to Big Data and Internet of Things
where sensitive consumer information may be jeopardized.
The RGPPSA set forth the following 8 basic
steps to develop software safeguarding privacy: i) keep in mind privacy in all
the process of the company developing the software applications; ii) to develop
the applications following the Privacy by Design criteria meaning that the
privacy protection shall be considered since the first steps of the application
design and followed in all the other phases of the development of the system or
application; iii) set forth a clear privacy policy and accessible for the
personal data owners; iv) to set up by default the activation of privacy
options (Privacy by Default) in a way that shall imply an express voluntary act
from the data owner to share personal information or deactivate privacy options;
v) provide to data owner the right to choose and control; vi) to limit the
quantity of data to be collected and kept through the Privacy-Enhancing
Technologies (PET) that are certain measures that permit to eliminate or
minimize personal data and avoiding unwanted process of personal data without
affecting the functionalities of the information service; vii) ensure the
personal data collected; viii) to assume liability for the data collected with
the appointment of a Responsible for privacy issues.
Among the PET tools mentioned by the RGPPSA to
protect privacy are: a) Dissociation of data: mechanism to hide the data owner´s
identity avoiding the association of the data with determined person or
determinable person; b) Pseudonymisation: allow to perform operations without
identifying the data owner, identified only with a pseudonym; c) Information
Security: The main goal is to avoid any
unauthorized access to the systems, files or communications through a network;
d) Metadata: Recommended to incorporate
labels to be added to those files with personal data explaining the source,
obtained consent and scope of the referred consent, how they can be used,
privacy policy that are applicable and applicable term of storage; v)
Encryption: The use of this mechanism shall not be limited to secure storage as
it shall be extended to ensure its integrity, a safety transport through a
network or physical devices or secure access to personal data.
Recommendations given
by RGPPSA for privacy policy implementation: Provide clear explanation about the type of
information requested, the way in which it will be used and with whom is going
to be shared.
The privacy policy should be simple and
standardized to facilitate its reading and understanding by the data owners and
clearly explaining data process subject under the application. Therefore the
policy should explain the peculiarities of its application avoiding to incur in
cut and paste practices of other policy applicable to other application or
developer. Any change incorporated to the policy should be duly notified.
Pursuant to RGPPSA any privacy policy shall
comply with the following guidelines:
i)
Provide
a definition of the protected matter under the privacy policy (which is the
subject matter to be protected, the scope (obligors under the policy to be implemented) and compatibility and interrelation with other policies (commercial information protection).
subject matter to be protected, the scope (obligors under the policy to be implemented) and compatibility and interrelation with other policies (commercial information protection).
ii)
Include a section of definitions included in
the privacy policy that should follow the criteria of National Law of Personal
Data Protection, Law N° 25,326 (hereinafter “NLPDP”).
iii)
Comply with the following principles
applicable to data protection: a) quality of data; b) data protection
principles of free and informed consent in accordance with sections 5 and 6 of
NLPDP; c) sensitive personal data treatment following provisions of section 7
of NLDPD.
iv)
In the case of share or transfer of personal
data to a third party it shall be clearly noted in the policy and comply with
the requirements applicable to the personal data transfer in compliance of
Section 11 of NLDPD (inform purpose of the assignment and the identification of
third party receiving the data).
v)
Adopt confidentiality agreements with
employees and third parties providing services that make have notice of the
personal data to be treated by the application.
vi)
Include reference to personal data security
policy and its applicable regulation regarding security manual. (Disposition
DNPDP N° 11/06).
vii)
In the event of international data transfer
the country receiving the data shall have sufficient level of protection in the
treatment of personal data or the owner such data should have consented the
transfer to such country. The RGPPSA clearly states that storage
in the cloud shall be considered as an international data transfer.
viii)
If the use of personal data includes an
advertisement goal the specific obligations mentioned in Section 27 of NLDPD
and applicable regulations (Dispositions DNPDP N° 10/08 and 4/09) shall be
complied.
ix)
Include the procedures to allow the owner of
the personal data exercise the access, rectification, suppression and blockage
rights.
x)
Inform who is the responsible of the Data
Protection (it can be either identified officer or a specific area of the
company). The Data Protection Officer will be responsible for: a) ensuring that
any data treatment performed by any applications shall comply with data
protection regulations; b) revise and keep updated the Privacy Policy of the
organization and that the applications followed such policy; c) respond to any
inquiry regarding the Privacy Policy, the rights of the personal data owner and
the requirements from the competent authorities; d) Provide training on
personal data protection to employees; and e) control those third parties to
whom data is transferred or from whom is received (verify whether they are
registered with the NPDPD).
sábado, 17 de enero de 2015
Civil Rights Principles for the Era of Big Data
Technological progress should bring greater safety, economic opportunity, and convenience to everyone. And the collection of new types of data is essential for documenting persistent inequality and discrimination. At the same time, as new technologies allow companies and government to gain greater insight into our lives, it is vitally important that these technologies be designed and used in ways that respect the values of equal opportunity and equal justice. We aim to:
- Stop High-Tech Profiling. New surveillance tools and data gathering techniques that can assemble detailed information about any person or group create a heightened risk of profiling and discrimination. Clear limitations and robust audit mechanisms are necessary to make sure that if these tools are used it is in a responsible and equitable way.
- Ensure Fairness in Automated Decisions. Computerized decisionmaking in areas such as employment, health, education, and lending must be judged by its impact on real people, must operate fairly for all communities, and in particular must protect the interests of those that are disadvantaged or that have historically been the subject of discrimination. Systems that are blind to the preexisting disparities faced by such communities can easily reach decisions that reinforce existing inequities. Independent review and other remedies may be necessary to assure that a system works fairly.
- Preserve Constitutional Principles. Search warrants and other independent oversight of law enforcement are particularly important for communities of color and for religious and ethnic minorities, who often face disproportionate scrutiny. Government databases must not be allowed to undermine core legal protections, including those of privacy and freedom of association.
- Enhance Individual Control of Personal Information. Personal information that is known to a corporation — such as the moment-to-moment record of a person’s movements or communications — can easily be used by companies and the government against vulnerable populations, including women, the formerly incarcerated, immigrants, religious minorities, the LGBT community, and young people. Individuals should have meaningful, flexible control over how a corporation gathers data from them, and how it uses and shares that data. Non-public information should not be disclosed to the government without judicial process.
- Protect People from Inaccurate Data. Government and corporate databases must allow everyone — including the urban and rural poor, people with disabilities, seniors, and people who lack access to the Internet — to appropriately ensure the accuracy of personal information that is used to make important decisions about them. This requires disclosure of the underlying data, and the right to correct it when inaccurate.
martes, 13 de enero de 2015
In Big Data era the privacy by consent principle shall be replaced by privacy by accountability
In the ‘big data’ era the principle of ‘privacy by consent’ has become increasingly meaningless and should be replaced by ‘privacy by accountability’ including stricter means of holding companies accountable for how they use data (Mayer-Schönberger,.
Mayer-Schönberger has argued that in the age of big data much of data’s value is in secondary uses that were not foreseen when the data was collected. Hence, data protection should place less emphasis on data collection and more on the subsequent uses of data. Data is no longer collected based on a specific purpose and an informed user consent, on the contrary, the purpose of collecting the data is frequently formulated in broad generic terms and accepted by the user with limited sense of what the consent implies.
“The ability to capture personal data is often built deep into the tools we use every day, from Web sites to smartphone apps” (Ibid: xx). Coupled with the fact that personal data represents commercial value to an extent not previously seen, it makes no sense to rely on user content as the primary data protection mechanism, the argument goes.
In consequence, Mayer-Schönberger suggests to focus on increased accountability for the companies that use data and to increase the power of data protection authorities as safeguards between the individual and data processing companies such as Facebook.
lunes, 22 de diciembre de 2014
sábado, 2 de agosto de 2014
domingo, 20 de julio de 2014
Big Data y la reformulación de la privacidad.
El novedoso fenómeno del Big Data ha generado preocupación acerca
de los importantes efectos e impactos que genera sobre la privacidad de los
titulares de los datos que lo conforman.
El reciente empoderamiento atribuido al derecho de privacidad ante los nuevos tiempos digitales hace
necesario recapitular acerca del impacto que esta nueva dimensión a otorgar al
derecho de privacidad puede llegar a incidir sobre el Big Data como
manifestación de la monetización de bases de datos personales.
Desde el surgimiento de las revelaciones de Snowden ha comenzado
un redimensionamiento del derecho de privacidad que el futuro vendrá a
confirmar si se trataba de una tendencia pasajera o la readecuación del ámbito
de la privacidad a los tiempos digitales que nos toca transitar.
Esta nueva formulación del derecho de la privacidad se ha puesto
de manifiesto en muchos y recientes pronunciamientos judiciales relevantes a
ambos lados del Atlántico así como por el reporte del Alto Comisionado de
Derechos Humanos de las Naciones Unidas “Derecho de privacidad en la era
digital”.[1] La
Casa Blanca también recientemente ha efectuado un análisis acerca de la
privacidad en relación al Big Data.[2]
Dentro de los recientes pronunciamientos judiciales vinculados a
la temática en cuestión, en los Estados Unidos el reciente fallo de la Suprema
Corte “Riley vs California”,[3] ha considerado a lo digital como algo
diferente, al entender que los teléfonos modernos generan un volumen de datos
privados que requieren una mayor protección que otras fuentes no digitales de
información personal. Ante lo cual la noción de privacidad aplicable a los
datos analógicos no resulta suficiente para proteger datos digitales frente a
búsquedas que realicen las autoridades sin la respectiva orden judicial de
allanamiento. En tanto que en Canadá la Corte Suprema en el caso “R vs Spencer, 2014 SCC 43”[4] se pronunció a favor del derecho de anonimato
en Internet como parte del derecho de privacidad de los cibernautas que se condice con el reciente abandono de Google de su política de exigir identificaciones reales.
Por su parte en la Unión Europea, el Tribunal
de Justicia de la Unión Europea emitió diferentes pronunciamientos recientemente
con incidencia sobre el derecho de
privacidad. En el caso “Digital Rights Ireland y Seitlinger y
otros” se determinó la importancia de los metadatos en la era digital y su
influencia en la privacidad de las personas. En tanto que en Google Spain, S.L., Google
Inc. / Agencia Española de Protección de Datos, Mario Costeja González[5] se pronunció a favor del
derecho al olvido como parte del derecho de privacidad prevaleciendo sobre el
derecho de información y de libertad de expresión, considerando a tales efectos
a “la actividad de un
motor de búsqueda como de «tratamiento de datos personales», cuando esa
información contiene datos personales, y, por otro, el gestor de un motor de
búsqueda debe considerarse «responsable» de dicho tratamiento. El derecho al
procesamiento de los datos por los recolectores se ha visto debilitado en este
caso frente al reconocimiento judicial respecto al derecho del reclamante a
tener control sobre el uso de sus datos personales. Ese derecho a controlar los datos personales
ha alcanzado una nueva dimensión consistente en el derecho de portabilidad de
los datos personales, permitiendo el reuso de datos a través de aplicaciones
compatibles operativamente, pudiendo, por ejemplo, traspasar todos los datos
personales de aquellos interesados de una red social a otra.
Al mismo tiempo este
fortalecimiento de los derechos de los datos personales de los iniciadores del primero paso de la cadena de Big Data impacta en los usuarios finales del Big Data, al
generarles contingencias legales junto a los procesadores de los datos frente
al empoderamiento que ha recibido el derecho de protección de los datos
personales y la privacidad.
El Big Data importa un análisis y desarrollo de una inmensidad de datos, a
través de fórmulas y algoritmos sofisticados, que han sido recolectados, en
forma cruda, de gran cantidad de fuentes y brindando a cambio información y
conocimiento de un importante valor económico. Los datos recolectados de
Internet, una de las principales fuentes
de donde se capturan los datos crudos, se obtienen prácticamente en forma
gratuita, o como contraprestación por el uso de determinados servicios o
aplicaciones en Internet, como los buscadores o las redes sociales.
En principio, los datos obtenidos tienden a ser anónimos o
desasociados de la persona de las cuales se recolecta, sin embargo frente a los
procesos de re identificación de datos
anónimos renacen las preocupaciones sobre la protección jurídica a ser otorgada
a dichos datos, por pasar a tratarse de información personal. A los fines de dimensionar cabalmente este proceso, se debe tener en cuenta que se puede
identificar a una persona con geo localización y sensores por más que no se
mencione su nombre.
Las normas a las que estamos acostumbrados de privacidad han sido
pensadas y diseñadas para una era analógica, y a medida que cada vez nos
entremos más en una era mayormente digital empiezan a surgir las primeras inconsistencias
frente a principios vetustos y no compatibles en una realidad tecnológica más
evolucionada, como la era digital. El Big Data no es ajeno a esta problemática. Su presencia cada vez más generalizada ha
desafiado los marcos tradicionales de protección de la privacidad propios de la
información personal, generando una necesidad imperiosa de establecer
mecanismos de auditoría y control para verificar las políticas de protección de
privacidad aplicables en cada uno de los eslabones de la cadena de traspaso de
datos entre los diferentes sujetos que conforman el proceso económico del Big
Data.
Los
sujetos habituales en la cadena que conforma el Big Data son: i) el
originador del dato personal, por ejemplo el usuario que completa un formulario
en una red social o realiza una búsqueda a través de un buscador en Internet;
ii) el recolector de dichos datos; iii) procesador de los datos como pueden ser
los brokers o analistas que le aplican a esos datos el poder de algoritmos o de
programas informáticos que permitan convertir a dicha gran cantidad de datos
disociados en datos con un valor económico por su utilidad; y iv) los usuarios
de los datos enriquecidos que los compran para utilizarlos.
La referida cadena de traspasos de datos conlleva determinados
riesgos legales que amerita el adecuado análisis y encuadramiento de las normas
de privacidad a las que se encuentran sometidas los datos en cada una de las etapas. A mayor
volumen y sensibilidad de datos que se procesen, mayor es el grado de
diligencia a aplicar en las etapas de procesamiento.
Detallamos alguno de los parámetros que pueden aplicarse, sin
ánimo de considerar agotadas todas las consideraciones pasibles de estar
involucradas en esta nueva dimensión de transacciones:
i) Distinguir si la naturaleza de los datos involucrados es
pública o privada. No resultando tan claro en muchos casos los límites que pueden
resultar aplicables. Si se trata de
datos de naturaleza sensible. El procesamiento de datos requiere de un título
legal (como puede ser el consentimiento informado del titular del dato
personal). Exclusión de situaciones que no son títulos válidos, como pueden ser
las pre configuraciones automáticas en línea (seteos por default on line).
ii) Las redes sociales (basta recordar el incidente originado
frente al cambio de política de privacidad de Facebook) y los buscadores como
recolectores cuentan con políticas de privacidad, a las cuales se comprometen
en su relación con los originadores de los datos.
iii) Analizar el alcance de las garantías emitidas por cada uno de
los eslabones de la cadena, acerca de: a) si los datos son completos y exactos;
b) cumplimiento de políticas de privacidad y al uso comprometido a ser brindado
a los datos; c) acatamiento a marcos jurídicos específicos adicionales que le
pueden resultar aplicables como defensa del consumidor y propiedad intelectual.
iv) Asignación de responsabilidades sobre seguridad y control de
los datos no sólo durante la vigencia del contrato sino una vez terminado el
mismo.
v) Definir el derecho aplicable y las jurisdicciones involucradas
en cada transmisión de datos.
Este redimensionamiento del derecho
de privacidad viene a poner equilibrio al desafío y riesgo a los que son sometidos los derechos humanos de aquellos involucrados, en muchos casos involuntariamente, en el Big data.
Más cuando el Big Data presenta una naturaleza discriminatoria y
excluyente, por tratarse de datos recolectados y provenientes de
personas que están activas on-line, ya sea por comprar en Internet, porque
tienen un celular, por formar parte de las redes sociales, pero excluyendo y no
considerando a aquellos que no tienen interacción. El Big Data como
procesamiento de datos tendientes a observar tendencias económicas, sociales o
políticas para prevenir shocks puede también llevarnos fácilmente a un estado de
vigilancia, como puede suceder con cualquier ciencia que lidia con
datos.
Frente a la imperiosa necesidad de seguir resguardando tanto la
privacidad como los datos personales de aquellos que han sido captados con motivo de su participación en actividades de naturaleza digital, no se admite
como alternativa válida abandonar el uso de herramientas sumamente valiosas por crear valor por el simple contacto con personas o por el acceso a la información. Sin
embargo lo que debe primar es el refuerzo de las exigencias de claridad y
transparencia a aplicar en cada uno de los eslabones de la cadena del Big Data,
no sólo para garantizar la legalidad del insumo utilizado en las etapas del
proceso sino para brindar también seguridad jurídica a las inversiones que se
destinen a esta nueva expresión de actividad económica.
La información que parece merecer la mayor protección es aquella
que se origina, en Internet como contenido generado por el propio usuario, ya
sea a través de su participación en redes sociales o sus metadatos
(geolocalización del celular). Sin dejar de olvidar que Internet está próxima a adoptar una
nueva dimensión, en la cual se va a generar gran cantidad de información,
aunque de otro tipo, por referirse a actividad de máquinas automatizadas a
través de Internet. Es lo que se conoce como Internet of Things o en español
Internet de las Cosas. No obstante la
información brindada por una máquina va a tener cierta relación respecto al
sujeto que figura como titular de la máquina cuya información se analiza.
Para determinar el grado de protección a otorgar a la privacidad de información generada por la
máquina se puede acudir a la noción de expectativa de privacidad, creada por la jurisprudencia americana, que puede
pretender el titular o responsable de dicha máquina. Frente a la evolución del régimen de
responsabilidad civil respecto a la actividad de máquinas por Internet, sin dudas va
necesitar contar con apoyo en el análisis de la evidencia de dicha información para la atribución de las
respectivas responsabilidades en forma rápida.
No_13132_and_13212_US_June_25_2014_Court_Opini
miércoles, 25 de junio de 2014
viernes, 13 de junio de 2014
European Data Protection Supervisor´s opinion regarding the relationship between cloud computing and data protection
These are the kind of issues that should take in the new agenda of digital human rights.
EDPS opinion on cloud computing and data protection
EDPS opinion on cloud computing and data protection
jueves, 22 de mayo de 2014
sábado, 3 de mayo de 2014
Big Data. La Casa Blanca acaba de emitir un informe sobre Big Data y privacidad con algunas consideraciones interesantes como
Resumen de las recomendaciones sobre las modificaciones al marco jurídico americano.
Ver reporte emitido por la Casa Blanca llamado "Big Data: Seizing Opportunities Preserving Values"
Policy Recommendations:
This review also identifies six discrete policy recommendations that deserve prompt Administration attention and policy development. These are:
Advance the Consumer Privacy Bill of Rights. The Department of Commerce
should take appropriate consultative steps to seek stakeholder and public com- ment on big data developments and how they impact the Consumer Privacy Bill of Rights and then devise draft legislative text for consideration by stakeholders and submission by the President to Congress.
Pass National Data Breach Legislation. Congress should pass legislation that provides for a single national data breach standard along the lines of the Admin- istration’s May 2011 Cybersecurity legislative proposal.
Extend Privacy Protections to non-U.S. Persons. The Office of Management and Budget should work with departments and agencies to apply the Privacy Act of 1974 to non-U.S. persons where practicable, or to establish alternative privacy policies that apply appropriate and meaningful protections to personal infor- mation regardless of a person’s nationality.
Ensure Data Collected on Students in School is Used for Educational Purposes. The federal government must ensure that privacy regulations protect stu- dents against having their data being shared or used inappropriately, especially when the data is gathered in an educational context.
Expand Technical Expertise to Stop Discrimination. The federal government’s lead civil rights and consumer protection agencies should expand their technical expertise to be able to identify practices and outcomes facilitated by big data analytics that have a discriminatory impact on protected classes, and develop a plan for investigating and resolving violations of law.
Amend the Electronic Communications Privacy Act. Congress should amend ECPA to ensure the standard of protection for online, digital content is consistent with that afforded in the physical world—including by removing archaic distinctions between email left unread or over a certain age.
Ver reporte emitido por la Casa Blanca llamado "Big Data: Seizing Opportunities Preserving Values"
Suscribirse a:
Entradas (Atom)