Mostrando entradas con la etiqueta Vigilancia. Mostrar todas las entradas
Mostrando entradas con la etiqueta Vigilancia. Mostrar todas las entradas
martes, 12 de enero de 2016
viernes, 19 de junio de 2015
viernes, 22 de mayo de 2015
La ciberseguridad es una necesidad cada vez más imperante frente al incremento de diferentes tipos de ataques cibernéticos que afronta el mundo digital, y no por tareas de inteligencia y vigilancia de los gobiernos sino por la actividad de agentes privados.
La mayoría de los ataques de ciberseguridad ocurren en Estados Unidos; representando en la actualidad el 90% del total, pero con una tendencia a expandirse sobre empresas del resto del mundo. Hay iniciativas de regulación en varias partes del mundo con diferentes criterios para determinar el alcance y las obligaciones de los sujetos obligados. Ante lo cual es requisito ineludible definir en forma previa la base filosófica política de estructura, siempre considerando que el principal activo afectado o en riesgo, resulta ser propiedad de cada uno de los seres que conforman la ciudadanía.
Sin perjuicio de estar en juego el derecho de cada ciudadano a sus datos personales, las compañías administradoras y custodias de dichos datos no suelen darle participación a los potenciales afectados frente a los atentados que puedan padecer ni tampoco cuando el data breach ya se ha producido y hay evidencias concretas de que ha habido un significado filtrado de datos de estos terceros.
Por el contrario, bajo un criterio poco transparente y arbitrario, resuelven los ataques padecidos a su buen saber y entender, con un criterio individual e inconsulto con el resto de empresas que padecen o padecieron recientemente situaciones similares. Este desequilibrio justifica promover algún involucramiento estatal, principalmente cuando hay información asociada a infraestructuras o redes críticas para la satisfacción de necesidades básicas (electricidad, agua, Internet, bancos).
Las compañías deberían cambiar el enfoque, y proceder a colaborar con los clientes, no sólo porque es lo que corresponde, sino porque a través de un curso de acción consensuado se terminará dificultando a los criminales acceder ilegítimamente a datos personales. A tales fines las compañías deben canalizar sus esfuerzos y recursos a una concientización y educación de sus clientes en lo que respecta a mejores prácticas de seguridad y planificando los cursos básicos de acción a adoptar en caso de una ruptura en la cadena de datos, más conocida como data breach.
El cambio de postura respecto a la relación con sus clientes, a través de un criterio participativo y colaborativo en la adopción de cursos de acción para combatir y prevenir los diferentes tipos de ataques a los cuales están expuestas las empresas con presencia en Internet, es mandatorio e inminente.
Frente a los intereses en juego se debería dar participación al Estado, para que al menos en una primera etapa, pueda tener un cuadro de situación, a través del requerimiento de información actualizada sobre incidentes padecidos para evaluar el grado de riesgo y adoptar medidas para contrarrestar este tipo de ataques, como ser:
i) crimeware
ii) ciber espionaje
iii) denial of service attacks
iv) inside and privilege misuse
v) miscellaneous errors
vi) Physical theft and loss
vii) Payment card skimmers
viii) point of sale intrussions
ix) web applied attacks
Estos nombres, podrán volverse más habituales y corrientes si se cumple la profecía, que para el 2019 en Estados Unidos el costo de los data breachs va a ser equivalente al 7,6% de su economía. Tal vez podrá parecer exagerado pero si tienen aunque sea algo de razón, va a ser una seria amenaza merecedora de una significativa atención por parte de la sociedad. Cuanto más rápido se discutan opciones de políticas públicas y privadas a ser adoptadas, será más fácil y gradual la concientización de la ciudadanía sobre un derecho no tan difundido en estas latitudes, como es el derecho a la protección de los datos personales. Este derecho es cada vez más sometido a esta amenaza que se avecina y conformada por continuos ataques cibernéticos cada vez más variados y sofisticados.
El estudio de las políticas públicas deberá comprender alternativas superadoras a las aplicadas hoy en día, con orígenes en problemas de hace treinta años, y que no incluían la cantidad y diversidad de datos personales que se generarán con la Internet de las Cosas y que representan un insumo sumamente valioso para que el Big Data, los conviertas en bienes pasibles de valor por tratarse de información elaborada para actividades comerciales. Otra consideración relevante es respecto a aquellos datos que presentan el carácter de públicos por estar en mano de autoridades estatales en cualquiera de sus estratos, ya sea nacional, provincial, municipal o comunal.
El sector corporativo deberá incluir dentro de sus políticas de compliance los remedios internos adecuados para concientizar a sus empleados acerca de la relevancia de los datos personales de terceros que suelen administrar o procesar de diferentes maneras y sin tener demasiada conciencia. El involucramiento no solamente debe alcanzar a los sectores informáticos y tecnológicos de la empresa, sino también al área de compliance, legales y recursos humanos, para efectivizar una política de cumplimiento efectivo que no terminé formando parte de un capítulo del manual corporativo olvidado en un cajón del escritorio del directorio.
domingo, 8 de marzo de 2015
Dos resoluciones relevantes de la Dirección Nacional de Datos Personales. Una sobre recaudos para videovigilancia y otra actualizando sanciones por diferentes tipo de faltas a la Ley de PDP.
sábado, 17 de enero de 2015
Civil Rights Principles for the Era of Big Data
Technological progress should bring greater safety, economic opportunity, and convenience to everyone. And the collection of new types of data is essential for documenting persistent inequality and discrimination. At the same time, as new technologies allow companies and government to gain greater insight into our lives, it is vitally important that these technologies be designed and used in ways that respect the values of equal opportunity and equal justice. We aim to:
- Stop High-Tech Profiling. New surveillance tools and data gathering techniques that can assemble detailed information about any person or group create a heightened risk of profiling and discrimination. Clear limitations and robust audit mechanisms are necessary to make sure that if these tools are used it is in a responsible and equitable way.
- Ensure Fairness in Automated Decisions. Computerized decisionmaking in areas such as employment, health, education, and lending must be judged by its impact on real people, must operate fairly for all communities, and in particular must protect the interests of those that are disadvantaged or that have historically been the subject of discrimination. Systems that are blind to the preexisting disparities faced by such communities can easily reach decisions that reinforce existing inequities. Independent review and other remedies may be necessary to assure that a system works fairly.
- Preserve Constitutional Principles. Search warrants and other independent oversight of law enforcement are particularly important for communities of color and for religious and ethnic minorities, who often face disproportionate scrutiny. Government databases must not be allowed to undermine core legal protections, including those of privacy and freedom of association.
- Enhance Individual Control of Personal Information. Personal information that is known to a corporation — such as the moment-to-moment record of a person’s movements or communications — can easily be used by companies and the government against vulnerable populations, including women, the formerly incarcerated, immigrants, religious minorities, the LGBT community, and young people. Individuals should have meaningful, flexible control over how a corporation gathers data from them, and how it uses and shares that data. Non-public information should not be disclosed to the government without judicial process.
- Protect People from Inaccurate Data. Government and corporate databases must allow everyone — including the urban and rural poor, people with disabilities, seniors, and people who lack access to the Internet — to appropriately ensure the accuracy of personal information that is used to make important decisions about them. This requires disclosure of the underlying data, and the right to correct it when inaccurate.
jueves, 15 de enero de 2015
European Court of Justice in Rynes case considered that Data protection regime should apply to private use of CCTV cameras
http://www.theguardian.com/law/2014/dec/11/home-surveillance-cctv-images-may-breach-data-protection-rules-european-court-judgment-says
This recent European Court of Justice judgment relates to the application of data protection principles to private individuals using CCTV cameras to protect their property. Under article 3(2) of the Directive, the data protection principles do not apply where personal data is processed for “purely personal or household affairs.” Previously, the Information Commissioner had considered that this exception, as transposed into section 36 of the Data Protection Act 1998, was relatively broad. He is now reconsidering his position.
The facts before the court
Mr Ryneš’ home had been the subject of attacks by unknown persons which had prompted him to install a CCTV camera. This was attached to his house to record the entrance to his home and the public footpath. The camera ran on a continuous loop recording data until full and then recording over it. His home was subject to another attack after the installation of the camera and he gave the recording to the police to prosecute the offenders. One of the offenders resisted the prosecution on the basis that the surveillance system was not lawful and the national court (in the Czech Republic) referred the question to the Court of Justice to clarify the application of the European Data Protection Directive 1995 (the Directive) to these circumstances.
Finding of the court
The court found that the operation of a CCTV camera system on which images of the public are stored on a continuous recording device (such as a hard disk drive) installed by an individual on his family home for the purposes of protecting the property, health and life of the home owners, but which also monitors a public space, does not amount to the processing of data in the course of a purely personal or household activity. Therefore, in short, the use of CCTV in these circumstances is not exempt from the various protections of the Directive.
Although the Directive takes into account the legitimate interests of the owner such as the protection of property, health and life, as an exception to the right to respect for privacy, the court considered that it must be narrowly interpreted.
What this means for domestic CCTV operators
Watch this space. In his first Annual Report, the Surveillance Camera Commissioner identified the use of CCTV within the domestic context as his first future challenge. Just 1 in every 70 CCTV cameras is state owned and with CCTV systems available on the high street from as little as £100, the Surveillance Commissioner noted an upsurge in complaints about the use of domestic CCTV cameras.
The Information Commissioner is currently reviewing his guidance in light of this judgment. However, in the meantime, it is clear that CCTV surveillance which even partially covers a public space and is directed outwards from the private setting of the person must comply with the data protection principles. This is not necessarily straightforward, especially when applying the principles to the domestic context. However, as set out in the Information Commissioner’s code of practice, compliance includes the following:
- Clear information available to anyone who may be captured by the system about the identity and contact details of the operator and the purpose of the CCTV surveillance;
- A process by which anyone captured on the system can access the data;
- Notification to the supervisory authority (the Information Commissioner’s Office) before they are set up.
lunes, 22 de diciembre de 2014
jueves, 18 de septiembre de 2014
Frente al reciente lanzamiento de IOS 8 por parte de Apple se pone en el tapete la política de privacidad empleada por las empresas. Apple busca diferenciarse de Google como aquel que no negocia con la privacidad de sus clientes a diferencia del modelo de negocio de Google donde hay una clara aceptación de la resignación de la privacidad por sus clientes como prenda de cambio del uso gratuito de los productos ofrecidos.
lunes, 18 de agosto de 2014
jueves, 14 de agosto de 2014
Ante las cada vez más severas afectaciones de la privacidad por parte de los gobiernos es necesario revisar la jurisprudencia de la Corte Interamericana de Derechos Humanos. En Argentina el tema del DNI, sin dudas, va a generar repercusiones vinculadas con la privacidad y la vigilancia estatal.
- Que la Corte Interamericana de Derechos Humanos ha señalado que las medidas de restricción al derecho a la privacidad, en especial las medidas de vigilancia encubierta, deben ser precisas e indicar reglas claras y detalladas sobre la materia, tales como las circunstancias en que dicha medida puede ser adoptada; las personas autorizadas a solicitarla, a ordenarla y a llevarla a cabo; el procedimiento a seguir, entre otros elementos. Caso Escher y otros vs. Brasil. Excepciones Preliminares, Fondo, Reparaciones y Costas. Sentencia de 6 de julio de 2009. Serie C No. 200, párr. 131.
viernes, 1 de agosto de 2014
After Riley the interpretation and scope of warrants over data or providers is becoming relevant in the States.
http://www.washingtonpost.com/news/volokh-conspiracy/wp/2014/07/31/judge-upholds-warrant-for-microsoft-e-mail-on-foreign-server/
Federal district court rules that U.S. warrants cover email content stored abroad
Microsoft Ireland case can a US warrant compel a US provider to disclose data stored abroad
Federal district court rules that U.S. warrants cover email content stored abroad
Microsoft Ireland case can a US warrant compel a US provider to disclose data stored abroad
lunes, 21 de julio de 2014
domingo, 20 de julio de 2014
Big Data y la reformulación de la privacidad.
El novedoso fenómeno del Big Data ha generado preocupación acerca
de los importantes efectos e impactos que genera sobre la privacidad de los
titulares de los datos que lo conforman.
El reciente empoderamiento atribuido al derecho de privacidad ante los nuevos tiempos digitales hace
necesario recapitular acerca del impacto que esta nueva dimensión a otorgar al
derecho de privacidad puede llegar a incidir sobre el Big Data como
manifestación de la monetización de bases de datos personales.
Desde el surgimiento de las revelaciones de Snowden ha comenzado
un redimensionamiento del derecho de privacidad que el futuro vendrá a
confirmar si se trataba de una tendencia pasajera o la readecuación del ámbito
de la privacidad a los tiempos digitales que nos toca transitar.
Esta nueva formulación del derecho de la privacidad se ha puesto
de manifiesto en muchos y recientes pronunciamientos judiciales relevantes a
ambos lados del Atlántico así como por el reporte del Alto Comisionado de
Derechos Humanos de las Naciones Unidas “Derecho de privacidad en la era
digital”.[1] La
Casa Blanca también recientemente ha efectuado un análisis acerca de la
privacidad en relación al Big Data.[2]
Dentro de los recientes pronunciamientos judiciales vinculados a
la temática en cuestión, en los Estados Unidos el reciente fallo de la Suprema
Corte “Riley vs California”,[3] ha considerado a lo digital como algo
diferente, al entender que los teléfonos modernos generan un volumen de datos
privados que requieren una mayor protección que otras fuentes no digitales de
información personal. Ante lo cual la noción de privacidad aplicable a los
datos analógicos no resulta suficiente para proteger datos digitales frente a
búsquedas que realicen las autoridades sin la respectiva orden judicial de
allanamiento. En tanto que en Canadá la Corte Suprema en el caso “R vs Spencer, 2014 SCC 43”[4] se pronunció a favor del derecho de anonimato
en Internet como parte del derecho de privacidad de los cibernautas que se condice con el reciente abandono de Google de su política de exigir identificaciones reales.
Por su parte en la Unión Europea, el Tribunal
de Justicia de la Unión Europea emitió diferentes pronunciamientos recientemente
con incidencia sobre el derecho de
privacidad. En el caso “Digital Rights Ireland y Seitlinger y
otros” se determinó la importancia de los metadatos en la era digital y su
influencia en la privacidad de las personas. En tanto que en Google Spain, S.L., Google
Inc. / Agencia Española de Protección de Datos, Mario Costeja González[5] se pronunció a favor del
derecho al olvido como parte del derecho de privacidad prevaleciendo sobre el
derecho de información y de libertad de expresión, considerando a tales efectos
a “la actividad de un
motor de búsqueda como de «tratamiento de datos personales», cuando esa
información contiene datos personales, y, por otro, el gestor de un motor de
búsqueda debe considerarse «responsable» de dicho tratamiento. El derecho al
procesamiento de los datos por los recolectores se ha visto debilitado en este
caso frente al reconocimiento judicial respecto al derecho del reclamante a
tener control sobre el uso de sus datos personales. Ese derecho a controlar los datos personales
ha alcanzado una nueva dimensión consistente en el derecho de portabilidad de
los datos personales, permitiendo el reuso de datos a través de aplicaciones
compatibles operativamente, pudiendo, por ejemplo, traspasar todos los datos
personales de aquellos interesados de una red social a otra.
Al mismo tiempo este
fortalecimiento de los derechos de los datos personales de los iniciadores del primero paso de la cadena de Big Data impacta en los usuarios finales del Big Data, al
generarles contingencias legales junto a los procesadores de los datos frente
al empoderamiento que ha recibido el derecho de protección de los datos
personales y la privacidad.
El Big Data importa un análisis y desarrollo de una inmensidad de datos, a
través de fórmulas y algoritmos sofisticados, que han sido recolectados, en
forma cruda, de gran cantidad de fuentes y brindando a cambio información y
conocimiento de un importante valor económico. Los datos recolectados de
Internet, una de las principales fuentes
de donde se capturan los datos crudos, se obtienen prácticamente en forma
gratuita, o como contraprestación por el uso de determinados servicios o
aplicaciones en Internet, como los buscadores o las redes sociales.
En principio, los datos obtenidos tienden a ser anónimos o
desasociados de la persona de las cuales se recolecta, sin embargo frente a los
procesos de re identificación de datos
anónimos renacen las preocupaciones sobre la protección jurídica a ser otorgada
a dichos datos, por pasar a tratarse de información personal. A los fines de dimensionar cabalmente este proceso, se debe tener en cuenta que se puede
identificar a una persona con geo localización y sensores por más que no se
mencione su nombre.
Las normas a las que estamos acostumbrados de privacidad han sido
pensadas y diseñadas para una era analógica, y a medida que cada vez nos
entremos más en una era mayormente digital empiezan a surgir las primeras inconsistencias
frente a principios vetustos y no compatibles en una realidad tecnológica más
evolucionada, como la era digital. El Big Data no es ajeno a esta problemática. Su presencia cada vez más generalizada ha
desafiado los marcos tradicionales de protección de la privacidad propios de la
información personal, generando una necesidad imperiosa de establecer
mecanismos de auditoría y control para verificar las políticas de protección de
privacidad aplicables en cada uno de los eslabones de la cadena de traspaso de
datos entre los diferentes sujetos que conforman el proceso económico del Big
Data.
Los
sujetos habituales en la cadena que conforma el Big Data son: i) el
originador del dato personal, por ejemplo el usuario que completa un formulario
en una red social o realiza una búsqueda a través de un buscador en Internet;
ii) el recolector de dichos datos; iii) procesador de los datos como pueden ser
los brokers o analistas que le aplican a esos datos el poder de algoritmos o de
programas informáticos que permitan convertir a dicha gran cantidad de datos
disociados en datos con un valor económico por su utilidad; y iv) los usuarios
de los datos enriquecidos que los compran para utilizarlos.
La referida cadena de traspasos de datos conlleva determinados
riesgos legales que amerita el adecuado análisis y encuadramiento de las normas
de privacidad a las que se encuentran sometidas los datos en cada una de las etapas. A mayor
volumen y sensibilidad de datos que se procesen, mayor es el grado de
diligencia a aplicar en las etapas de procesamiento.
Detallamos alguno de los parámetros que pueden aplicarse, sin
ánimo de considerar agotadas todas las consideraciones pasibles de estar
involucradas en esta nueva dimensión de transacciones:
i) Distinguir si la naturaleza de los datos involucrados es
pública o privada. No resultando tan claro en muchos casos los límites que pueden
resultar aplicables. Si se trata de
datos de naturaleza sensible. El procesamiento de datos requiere de un título
legal (como puede ser el consentimiento informado del titular del dato
personal). Exclusión de situaciones que no son títulos válidos, como pueden ser
las pre configuraciones automáticas en línea (seteos por default on line).
ii) Las redes sociales (basta recordar el incidente originado
frente al cambio de política de privacidad de Facebook) y los buscadores como
recolectores cuentan con políticas de privacidad, a las cuales se comprometen
en su relación con los originadores de los datos.
iii) Analizar el alcance de las garantías emitidas por cada uno de
los eslabones de la cadena, acerca de: a) si los datos son completos y exactos;
b) cumplimiento de políticas de privacidad y al uso comprometido a ser brindado
a los datos; c) acatamiento a marcos jurídicos específicos adicionales que le
pueden resultar aplicables como defensa del consumidor y propiedad intelectual.
iv) Asignación de responsabilidades sobre seguridad y control de
los datos no sólo durante la vigencia del contrato sino una vez terminado el
mismo.
v) Definir el derecho aplicable y las jurisdicciones involucradas
en cada transmisión de datos.
Este redimensionamiento del derecho
de privacidad viene a poner equilibrio al desafío y riesgo a los que son sometidos los derechos humanos de aquellos involucrados, en muchos casos involuntariamente, en el Big data.
Más cuando el Big Data presenta una naturaleza discriminatoria y
excluyente, por tratarse de datos recolectados y provenientes de
personas que están activas on-line, ya sea por comprar en Internet, porque
tienen un celular, por formar parte de las redes sociales, pero excluyendo y no
considerando a aquellos que no tienen interacción. El Big Data como
procesamiento de datos tendientes a observar tendencias económicas, sociales o
políticas para prevenir shocks puede también llevarnos fácilmente a un estado de
vigilancia, como puede suceder con cualquier ciencia que lidia con
datos.
Frente a la imperiosa necesidad de seguir resguardando tanto la
privacidad como los datos personales de aquellos que han sido captados con motivo de su participación en actividades de naturaleza digital, no se admite
como alternativa válida abandonar el uso de herramientas sumamente valiosas por crear valor por el simple contacto con personas o por el acceso a la información. Sin
embargo lo que debe primar es el refuerzo de las exigencias de claridad y
transparencia a aplicar en cada uno de los eslabones de la cadena del Big Data,
no sólo para garantizar la legalidad del insumo utilizado en las etapas del
proceso sino para brindar también seguridad jurídica a las inversiones que se
destinen a esta nueva expresión de actividad económica.
La información que parece merecer la mayor protección es aquella
que se origina, en Internet como contenido generado por el propio usuario, ya
sea a través de su participación en redes sociales o sus metadatos
(geolocalización del celular). Sin dejar de olvidar que Internet está próxima a adoptar una
nueva dimensión, en la cual se va a generar gran cantidad de información,
aunque de otro tipo, por referirse a actividad de máquinas automatizadas a
través de Internet. Es lo que se conoce como Internet of Things o en español
Internet de las Cosas. No obstante la
información brindada por una máquina va a tener cierta relación respecto al
sujeto que figura como titular de la máquina cuya información se analiza.
Para determinar el grado de protección a otorgar a la privacidad de información generada por la
máquina se puede acudir a la noción de expectativa de privacidad, creada por la jurisprudencia americana, que puede
pretender el titular o responsable de dicha máquina. Frente a la evolución del régimen de
responsabilidad civil respecto a la actividad de máquinas por Internet, sin dudas va
necesitar contar con apoyo en el análisis de la evidencia de dicha información para la atribución de las
respectivas responsabilidades en forma rápida.
No_13132_and_13212_US_June_25_2014_Court_Opini
miércoles, 25 de junio de 2014
viernes, 13 de junio de 2014
European Data Protection Supervisor´s opinion regarding the relationship between cloud computing and data protection
These are the kind of issues that should take in the new agenda of digital human rights.
EDPS opinion on cloud computing and data protection
EDPS opinion on cloud computing and data protection
jueves, 22 de mayo de 2014
domingo, 20 de abril de 2014
Suscribirse a:
Entradas (Atom)