Multas impuestas en 2023 por infringir la Ley Federal de Protección de Datos Personales suman más de MXN 46 millones: INAI
El Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI) impuso en 2023 multas por un monto total de 46 millones 849 mil 777 pesos mexicanos por infracciones a la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP). Los sectores más sancionados fueron los de servicios financieros y de seguros, así como el de información en medios masivos. De enero a diciembre de 2023, el Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI) impuso multas por un monto total de 46 millones 849 mil 777 pesos a personas físicas y/o morales que infringieron la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP). De acuerdo con los registros del Instituto, los sectores más sancionados son los de servicios financieros y de seguros con 21 millones 415 mil 045 pesos; información en medios masivos, con 6 millones 765 mil 633 pesos; comercio al por menor, con 5 millones 487 mil 401 pesos. Entre las conductas más frecuentes que son motivo de una sanción, se encuentran: dar tratamiento a los datos personales en contravención a los principios establecidos en la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, incumplir con el deber de confidencialidad, así como omitir en el Aviso de Privacidad alguno de los elementos que exige la Ley. Los sectores económicos más multados por INAI En el periodo referido se instauraron 91 Procedimientos de Imposición de Sanciones y se concluyeron 74, de los cuales derivaron las multas impuestas por el INAI por la cantidad referida. Asimismo, se iniciaron 293 Procedimientos de Protección de Derechos; de los cuales 155 versaron sobre el derecho de acceso a datos personales, 5 de rectificación, 122 de cancelación y 79 de oposición al tratamiento de los datos. Cabe destacar que en un solo procedimiento se pueden ejercer uno o más de estos derechos. Los sectores económicos ante los cuales existen mayores inconformidades con la atención a estos derechos, conocidos como ARCO, son el de información en medios masivos, con el 25.8 por ciento de solicitudes de protección de derechos; servicios financieros con el 20.6 por ciento, y servicios de salud y de asistencia social con 16.5 por ciento. FUENTE: Comunicado – INAI/007/24. »Multas impuestas en 2023 por infringir la Ley Federal de Protección de Datos Personales suman más de MXN 46 millones: INAI» Home.inai.org.mx. 07/01/2024. (https://home.inai.org.mx/wp-content/documentos/SalaDePrensa/Comunicados/Comunicado%20INAI-007-24.pdf).
Microsoft Cloud permite mantener todos los datos personales dentro de la EU Data Boundary
Con la actualización del pasado lunes día 12, Microsoft Cloud da otro paso decisivo en la ampliación de su oferta de servicios en su nube de confianza, que respetan los valores europeos y cumplen los requisitos específicos de nuestros clientes comerciales y del sector público en Europa. Este paso forma parte de una iniciativa más amplia destinada a permitir que los clientes europeos prosperen en todos los sectores y países de la región. Ello comprende desde la aplicación de los Principios Europeos de la Nube, y el trabajo permanente para la expansión de Microsoft Cloud for Sovereignty, hasta las soluciones soberanas que ofrece Microsoft en colaboración con las principales compañías tecnológicas europeas, pasando por las inversiones en infraestructura global, que abarcan actualmente más de 60 regiones Cloud, 11 de ellas en Europa. Para seguir ofreciendo a sus clientes un conjunto de soluciones que satisfagan mejor sus necesidades, compañía norteamericana ha anunciado un importante paso en la aplicación de su EU Data Boundary para la nube de Microsoft. El año pasado, como primer paso de «nuestro enfoque gradual para el despliegue» de EU Data Boundary, ofreció la capacidad de almacenar y tratar datos de clientes dentro del territorio para los servicios de Microsoft 365, Azure, Power Platform y Dynamics 365. Lea también: Meta, Amazon y TikTok encabezan los 2.100 millones de euros en multas por violar la regulación de protección de datos (GDPR) en Europa en 2023 Sobre la base de ese lanzamiento inicial, ahora Microsoft amplía el almacenamiento y tratamiento local para incluir todos los datos personales, como los logs de sistema automatizados, lo que convierte a Microsoft en el primer proveedor de nube a gran escala que ofrece este nivel de residencia de datos a los clientes europeos. Las mejoras anunciadas hoy en EU Data Boundary para Microsoft Cloud se centran en tres áreas: En primer lugar, va más allá de los datos de los clientes y amplía, aún más, sus compromisos de almacenamiento y tratamiento local para incluir todos los datos personales dentro del territorio. A través de inversiones significativas y esfuerzos dedicados por miles de ingenieros, su EU Data Boundary ahora permite el tratamiento y almacenamiento de todos los datos en la UE a través de los principales servicios en la nube de Microsoft: Azure, Microsoft 365, Power Platform y Dynamics 365. Esto significa que EU Data Boundary ahora incluye datos personales que han sido seudonimizados. Estos datos se encuentran en los registros generados por el sistema, producidos automáticamente como parte del funcionamiento estándar de los propios servicios. Con esta ampliación, EU Data Boundary de Microsoft permite a sus clientes almacenar y tratar aún más datos dentro de la Unión Europea y refuerza el control del cliente. En segundo lugar, sabemos que nuestros clientes necesitan una visión clara y completa del tratamiento de datos, las transferencias limitadas y los procesos de protección de datos que está implantando en EU Data Boundary. Por ello, ahora ofrece nuevos recursos de transparencia, como documentación y más información, a los que los clientes de Microsoft pueden acceder en la página web del Centro de Confianza de EU Data Boundary. En tercer lugar, ha realizado grandes inversiones para desplegar tecnología con base en la UE con el fin de proteger aún más los datos personales seudonimizados dentro del territorio, cuando se accede a ellos de forma remota para supervisar el estado del sistema. Por ejemplo, evitando la necesidad de transferencias o almacenamiento físico de datos fuera de la UE desplegando una infraestructura de escritorio virtual en EU Data Boundary para supervisar nuestros sistemas. Mantener un nivel de seguridad líder en el sector para nuestros clientes europeos Al aplicar la EU Data Boundary, también mantiene su compromiso con una ciberseguridad de primer nivel. Microsoft cuenta con más de 8.000 expertos en todo el mundo que analizan billones de señales diarias para descubrir amenazas y ofrecer información sobre ciberseguridad, oportuna y muy relevante, para detectar y mitigar actividades maliciosas. Con el objetivo de garantizar que nuestros clientes de la UE reciban el mismo tipo de seguridad de primera clase que otros clientes globales, cualquier transferencia de datos fuera de la UE con fines de seguridad se documentará, se limitará a lo estrictamente necesario para las funciones de ciberseguridad cruciales y se utilizará únicamente para estos fines de ciberseguridad. Próximos pasos A finales de este año, Microsoft lanzará la siguiente fase de su EU Data Boundary para Microsoft Cloud transformando las capacidades de tratamiento y almacenamiento de los datos necesarios durante las interacciones de soporte técnico. Microsoft se asegurará de que los datos de soporte se almacenen dentro del territorio europeo, y cuando sea necesario el acceso desde fuera de la UE para permitir un soporte de máxima calidad, limitará y protegerá cualquier transferencia temporal de datos necesaria a través de enfoques técnicos como la Infraestructura de Escritorio Virtual. Posteriormente, Microsoft también tiene previsto ofrecer una modalidad de soporte de pago que proporcionará una respuesta técnica inicial desde dentro de la UE y permitirá a los clientes dar su consentimiento antes de que se recurra a expertos técnicos de fuera de la UE. La solución EU Data Boundary de Microsoft va más allá de los requisitos de cumplimiento europeos y refleja el compromiso de ofrecer servicios en la nube que inspiren confianza, diseñados para aprovechar toda la potencia de la nube pública, respetando los valores europeos y proporcionando los controles de soberanía y las características más avanzadas disponibles actualmente en el sector. FUENTE: Elderecho.com. »Microsoft Cloud permite mantener todos los datos personales dentro de la EU Data Boundary» Elderecho.com. 16/01/2024. (https://elderecho.com/microsoft-cloud-permite-mantener-todos-los-datos-personales-dentro-de-la-eu-data-boundary).
Kaspersky descubre una vulnerabilidad desconocida en iPhones
Un informe compartido por Kaspersky a NotiPress reveló cuál es la vulnerabilidad del sistema iOS 16.6 y versiones anteriores que fueron explotadas por la amenaza persistente avanzada (ATP), «Operation Triangulation» para obtener el control total de dispositivos iPhone. Dicha vulnerabilidad del hardware se basó en el principio de seguridad por oscuridad y pudo haber sido diseñada para pruebas o depuración del sistema iOs. De acuerdo con el reporte del equipo de Investigación y Análisis Global de Kaspersky (GReAT), la vulnerabilidad CVE-2023-38606 jugó un papel clave en los ataques llevados por la campaña de espionaje Operation Triangulation. La compañía describe que tras el ataque inicial a iMessage y la obtención de permisos de acceso, los atacantes utilizaban la funcionalidad de hardware para evadir protecciones de seguridad en la protección de memoria de iPhone. Este paso, que explotaba las vulnerabilidades en áreas de memoria protegida, daba control total a los atacantes de dispositivos con iOs 16.6 y anteriores. Kaspersky destaca que esta vulnerabilidad no había sido documentada públicamente, lo cual representó un reto para su detección y análisis mediante métodos de seguridad convencionales. Sin embargo, gracias al trabajo de GReAT, basado en un método de ingeniería inversa en el hardware y software de iPhone, se reveló el funcionamiento del mecanismo de protección del System on a Chip (SoC). La voz de Kaspersky acerca de la nueva vulnerabilidad encontrada en los iPhone Lo que este descubrimiento nos ha enseñado una vez más, es que, incluso, las protecciones avanzadas basadas en hardware pueden llegar a ser ineficaces contra un atacante sofisticado, comenta el investigador senior de Kaspersky. Esta campaña de espionaje «Operation Triangulation» utiliza exploits desconocidos distribuidos por iMessage, que permitían a los atacantes controlar el dispositivo objetivo y acceder a sus datos. Cabe destacar, Apple ya puso un conjunto de parches de seguridad para resolver las cuatro vulnerabilidades identificadas por Kaspersky. Aunado a ello, la compañía de ciberseguridad hace algunas recomendaciones para evitar ser víctima de ataques sofisticados. Podría interesarle: 5G, IA y malware más dañino serán claves en ciberseguridad en 2024 Kaspersky, sugiere actualizar de forma periódica el sistema operativo y programas de protección de seguridad para corregir las vulnerabilidades conocidas en dispositivos. Así como proporcionar al Centro de Operaciones de Seguridad acceso a la inteligencia de amenazas más recientes. Además, estar al tanto de las alertas y amenazas identificadas por controles de seguridad, pues esto puede disminuir el riesgo de sufrir un ciberataque. FUENTE: NotiPress. »Kaspersky descubre una vulnerabilidad desconocida en iPhones» Informador.mx. 13/01/2024. (https://www.informador.mx/tecnologia/Ciberseguridad-Kaspersky-descubre-una-vulnerabilidad-desconocida-en-iPhones-20240112-0122.html).
Instagram y Facebook anuncian medidas para proteger a los adolescentes de contenidos inapropiados
Meta ha anunciado en un comunicado que implementará medidas de protección adicionales para adolescentes en Instagram y Facebook. Estas medidas buscan garantizar que los jóvenes disfruten de experiencias seguras y apropiadas para su edad en estas plataformas y que no vean contenidos inapropiados. La intención es que estas nuevas políticas contribuyan a hacer que las redes sociales sean espacios seguros para los adolescentes. La preocupación por la seguridad de los jóvenes en internet y especialmente en las redes sociales es algo que esta patente no solo para los padres sino también para las autoridades. En este sentido muchos han sido los organismos que han instado a las principales empresas tecnológicas, como Google y Meta, para que refuercen sus sistemas de protección. En España, no es una preocupación ajena, y es por eso por lo que las recientes medidas anunciadas por Meta, la empresa matriz de WhatsApp, Facebook e Instagram, son relevantes para los jóvenes. Las nuevas políticas de contenido para adolescentes que Meta ha puesto en marcha se han desarrollado en colaboración con expertos en desarrollo adolescente, psicología y salud mental, con el objetivo de abordar los contenidos delicados para esta audiencia y minimizar su impacto. Ocultación de contenidos Una de las principales novedades es la ocultación de ciertos tipos de contenidos para adolescentes en Instagram y Facebook. Se aplicará automáticamente la configuración de control de contenido más restrictiva a todos los adolescentes en ambas plataformas. Esta configuración, conocida como «Control de contenidos delicados» en Instagram y «Reducir» en Facebook, dificultará que los adolescentes encuentren contenidos o cuentas que puedan ser considerados inapropiados. Esto incluye la eliminación de contenidos relacionados con pensamientos autolesivos y otros temas delicados como los trastornos alimenticios. Lea también: Entra en vigor el nuevo Reglamento de Ciberseguridad de la Unión Europea Además, se tomarán medidas específicas para ocultar resultados en la opción de búsqueda de Instagram relacionados con temas sensibles como el suicidio, las autolesiones y los trastornos alimenticios. Aunque se permitirá que las personas compartan sus experiencias personales y de superación, se evitará la recomendación de este tipo de contenido. Ayuda a las personas que lo necesiten Además, Meta se compromete a proporcionar apoyo a quienes lo necesiten con recomendaciones de organizaciones especializadas. Así, cuando alguien publique contenido relacionado con pensamientos de autolesión o los trastornos alimentarios, se compartirán recursos de organizaciones expertas como la National Alliance on Mental Illness. Estos cambios se aplicarán a los adolescentes menores de 18 años en los próximos meses en ambas plataformas. Configuración de recomendación de contenido Para aumentar la seguridad de los adolescentes, se implementarán actualizaciones en la configuración de recomendación de contenidos en Instagram y Facebook. La configuración de control de contenidos más restrictiva se aplicará automáticamente a todos los adolescentes, lo que les hará más difícil encontrar contenidos o cuentas potencialmente delicados en lugares como la función de búsqueda y la sección de Explorar. Para incentivar a los adolescentes a actualizar fácilmente su configuración de privacidad, Meta enviará notificaciones que los animarán a hacerlo con un solo clic. Si optan por «Activar configuración recomendada», su configuración se ajustará automáticamente para restringir quién puede interactuar con su contenido y mensajes. En su comunicado, la empresa de Mark Zuckerberg destaca su compromiso con la seguridad de los adolescentes en estas redes sociales, señalando que han desarrollado más de 30 herramientas y recursos. Estas herramientas no solo están dirigidas a los adolescentes para garantizar una experiencia más segura en línea, sino que también ofrecen a los padres valiosos recursos para supervisar y gestionar el contenido al que sus hijos tienen acceso, proporcionando así un entorno digital más protegido y consciente para las familias. FUENTE: Dominguez, MLuz. »Instagram y Facebook anuncian medidas para proteger a los adolescentes de contenidos inapropiados» Bitlifemedia.com. 12/01/2024. (https://bitlifemedia.com/2024/01/instagram-y-facebook-anuncian-medidas-para-proteger-a-los-adolescentes-de-contenidos-inapropiados/).
Los medios comienzan a cobrar desde hoy a los usuarios que no acepten las cookies
Los medios de comunicación digitales entran este año en un periodo de incertidumbre en relación con las cookies, que son aquellos dispositivos de almacenamiento y recuperación de datos hasta ahora indispensables para que los editores pudieran obtener gran parte de sus ingresos publicitarios. Por un lado, Google ha iniciado la eliminación de las cookies de terceros en Chrome, el navegador mayoritario en países como España. De momento, ya las ha bloqueado en el 1% de los usuarios de su navegador -unos 30 millones de personas en todo el mundo- Esta decisión, anunciada ya hace años, provoca que los medios se tengan que adaptar a un mundo sin cookies. Será la vuelta de la publicidad contextual y el fin de un periodo que ha durado años de anuncios hiperpersonalizados. Podría interesarle: Entra en vigor el nuevo Reglamento de Ciberseguridad de la Unión Europea En este contexto, además hoy entra en vigor en España la nueva Guía sobre el uso de las cookies, elaborada por la Agencia Española de Protección de Datos (AEPD), en colaboración con varias asociaciones del sector publicitario: ADIGITAL, AMI, Anunciantes, AUTOCONTROL e IAB Spain. Esta actualización del documento se dio a conocer el pasado mes de julio, pero es hoy cuando despliega todos sus efectos. Ante el temor de perder ingresos publicitarios, los editores están instalando cookiewalls en sus páginas web. Básicamente, lo que dice este documento es que las acciones de aceptar o rechazar cookies tienen que presentarse en un lugar y formato destacados, y ambas acciones deben estar al mismo nivel, sin que sea más complicado rechazarlas que aceptarlas. Hasta ahora, los medios inclinaban sus avisos hacia la aceptación de las cookies, algo que pasa a estar prohibido a partir de hoy. La mayoría de los medios de comunicación digitales han esperado hasta última hora para adaptarse a la nueva Guía. El temor de los editores es que como a partir de ahora es más sencillo para el usuario rechazar las cookies, los ingresos publicitarios se vean lastrados. Ello en un momento en que muchos editores se quejan de que la mayoría del negocio publicitario digital se va hacia las grandes tecnológicas, como Meta, TikTok o la propia Google. La mayoría de los editores se han adaptado Ante esta situación, varios de los grandes medios digitales han optado por instaurar lo que se denomina un cookiewall. Esto es obligar al pago si se elige navegar sin cookies. Así lo han instaurado soportes como El Español, El Confidencial, ElDiario.es, El Debate, 20 Minutos, OKDiario o las cabeceras de Vocento. En estos casos, los editores cobrarán cantidades que van desde 1 euro al mes que exige OKDiario, los 4 euros mensuales de los periódicos de Vocento, los 36 euros anuales de El Confidencial, el euro semanal de ElDiario.es o los 0,5 euros de 20Minutos y El Debate por un día de navegación. Todos estos editores se acogen a una de las cláusulas de la Guía actualizada de la AEPD, que señala que «podrán existir determinados supuestos en los que la no aceptación de la utilización de cookies impida el acceso al sitio web o la utilización total o parcial del servicio, siempre que se informe adecuadamente al respecto al usuario y se ofrezca una alternativa, no necesariamente gratuita, de acceso al servicio sin necesidad de aceptar el uso de cookies«. Para Vocento, la instalación de este cookiewall es imprescindible, puesto que «los anunciantes sólo invierten en aquellos entornos donde su publicidad obtiene buenos resultados y esta eficacia tiene una relación directa con la capacidad de poder personalizar las campañas». FUENTE: MEDIOS. »Los medios comienzan a cobrar desde hoy a los usuarios que no acepten las cookies» Dircomfidencial.com. 11/01/2024. (https://dircomfidencial.com/medios/los-medios-comienzan-a-cobrar-desde-hoy-a-los-usuarios-que-no-acepten-las-cookies-20240111-0405/).
Entra en vigor el nuevo Reglamento de Ciberseguridad de la Unión Europea
Desde el pasado 7 de enero de 2024, ya se encuentra en vigor el nuevo Reglamento de Ciberseguridad que fija una serie de medidas de protección comunes para las instituciones, oficinas, órganos y agencias de la Unión Europea. Se establece un marco común de gobernanza y de control de riesgos para cada entidad, configurando un nuevo Consejo Interinstitucional de Ciberseguridad (IICB) encargado de supervisar y de apoyar su implementación por parte de todas las entidades. El nuevo Reglamento de Ciberseguridad de la UE otorga un mayor poder al Equipo de Respuesta a Emergencias Informáticas (CERT-EU), consolidándolo como epicentro de la coordinación de inteligencia sobre amenazas, intercambio de información y respuesta de incidentes. Además, desempeña funciones de asesoramiento y como proveedor de servicios. CERT-EU adquiere ahora el nombre de Servicio de Seguridad para las instituciones, órganos, oficinas y agencias de la Unión, aunque manteniendo su abreviatura. Hay que tener en cuenta que el nuevo Reglamento de Ciberseguridad de la UE recoge reglas y estándares mínimos para todas las entidades, regulando los flujos de información y el control de riesgos. Además, impulsa la creación de un nuevo Consejo Interinstitucional de Ciberseguridad (IICB) que se encargará de supervisar y apoyar la implementación de la nueva legislación en las diferentes entidades. Las diferentes entidades europeas irán incorporando procesos internos de ciberseguridad gradualmente, en base a los riesgos existentes. No obstante, el IICB se pondrá en funcionamiento cuanto antes para garantizar la línea estratégica a seguir del CERT-UE, supervisando en todo momento la aplicación de la nueva normativa. Las claves del nuevo Reglamento de Ciberseguridad de la UE El Reglamento se fija según los objetivos políticos de la Comisión establecidos en la Estrategia de una Unión de la Seguridad de la UE y la Estrategia de Ciberseguridad de la UE, garantizando la coherencia con otras iniciativas legislativas. Es el caso de la Ley de Ciberseguridad, la Recomendación de la Comisión para una respuesta uniforme y coordinada frente a crisis e incidentes de ciberseguridad a gran escala y la Directiva sobre medidas para un alto nivel común de ciberseguridad en toda la UE. Además, va de la mano de una propuesta de Reglamento de seguridad de la información, el cual establece unos estándares mínimos en todas las instituciones, órganos, oficinas y agencias de la UE en cuanto al intercambio seguro de información entre los Estados miembros. Podría interesarle: La Unión Europea prohíbe a Meta el uso de datos personales para publicidad Hay que remontarse a marzo de 2022, fecha en la que la Comisión anunció públicamente la propuesta de Reglamento de Ciberseguridad. Más tarde, en junio de 2023, tanto el Parlamento Europeo como el Consejo alcanzaron un acuerdo político sin precedentes. No obstante, merece especial mención el hecho de que la certificación de la ciberseguridad es voluntaria, salvo que se disponga otra cosa en el Derecho de la Unión o de los Estados miembros. Principales objetivos de la propuesta de la Comisión En noviembre de 2023 se alcanzó un acuerdo de modificación del Reglamento sobre la Ciberseguridad de la UE de 2019, garantizando la futura adaptación de esquemas de certificación europeos para los servicios de seguridad gestionados. Así pues, se permite establecer esquemas europeos de certificación, contribuyendo a la mejora de su calidad y fomentando la aparición de proveedores de servicios de ciberseguridad de confianza frente a la fragmentación del mercado interior. Además de aclarar la definición de servicios de seguridad gestionados, se adapta la directiva relativa a las medidas que fijen un elevado nivel común de ciberseguridad; la Directiva SRI 2. De igual modo, se habla de los objetivos de seguridad, incluyéndose modificaciones en el anexo del Reglamento sobre la Ciberseguridad. También se introducen modificaciones técnicas y de redacción, para que todas las disposiciones del nuevo Reglamento se apliquen a los servicios de seguridad gestionados. A partir de ese momento, la Presidencia española pudo entablar negociaciones con el Parlamento Europeo, diálogos tripartitos, hasta consolidar la versión definitiva de la legislación propuesta. FUENTE: Delgado, Sergio. »Entra en vigor el nuevo Reglamento de Ciberseguridad de la Unión Europea» Muycomputerpro.com. 09/01/2024. (https://www.muycomputerpro.com/2024/01/09/nuevo-reglamento-ciberseguridad-union-europea).
Nueva directiva europea sobre los sistemas biométricos
La nueva directiva europea sirve como guía para este tratamiento de control de presencia mediante sistemas biométricos que, aunque no los prohíbe, sí que exige la implementación de sistemas que permitan evaluar los riesgos y la gestión de impacto. ¿Cuál es la nueva directiva europea sobre los sistemas biométricos? Una directiva europea es una norma de obligado cumplimiento en todos los países miembros de la Unión Europea, pero que no tiene que aplicarse de forma específica, sino que sirve como guía para que cada país pueda desarrollarla y aplicarla siguiendo sus indicaciones. La guía sobre tratamientos de control de presencia mediante sistemas biométricos ha sido publicada el 23 de noviembre por la AEPD (Agencia Española de Protección de Datos) como respuesta a esta directiva europea. Lea también: BBVA, Vodafone, Digi o la organizadora del Mobile World Congress, entre las empresas más multadas en España por incumplir el RGPD en 2023 Aunque en un principio parece que esta norma elimina el uso de los sistemas biométricos típicamente utilizados en sistemas como el Reloj de fichar y control de accesos, la realidad es que se encarga de crear un marco de mayor control para utilizarlos de forma segura y eficiente. Cambios que introduce esta nueva guía de la AEPD Podemos diferenciar tres grandes cambios que introduce esta guía en relación con la instalación y uso de sistemas biométricos como Reconocimiento facial o huella digital en sistemas de control de horario y accesos. 1. Cambio en la consideración del tipo de datos Los datos biométricos estaban considerados como especialmente protegidos o de categoría especial en casos de identificación de uno contra varios, mientras esta consideración no era válida en la identificación realizada en uno contra uno. Con esta nueva guía, la AEDP sigue los criterios del Comité Europeo de Protección de datos, y considera ahora que en ambos casos los datos biométricos son de categoría especial o especialmente protegidos. Por lo tanto, a partir de este momento, los sistemas biométricos siempre tratan con datos personales de categoría especial. 2. Implementación de sistemas de evaluación de riesgos e impacto Para poder utilizar los sistemas biométricos dentro de los márgenes que aplica esta guía es necesario tener una serie de aspectos importantes a tener en cuenta. 3. Alternativa al tratamiento automatizado Una de las características básicas de los sistemas biométricos es la automatización del sistema de identificación (por ejemplo, al utilizar un control de horario por huella digital solo es necesario presentar el dedo en el escáner y todo el proceso de autenticación se realiza de forma automática). La nueva guía indica la necesidad de implementar un sistema de identificación menos invasivo para aquellos trabajadores o usuarios que no consienten el tratamiento de sus datos biométricos. 4. Sistemas biométricos con inteligencia artificial La inteligencia artificial o IA es una tecnología que está teniendo un gran impacto en todas las áreas y sectores. Los sistemas biométricos que utilizan algoritmos de IA son ahora considerados como sistemas de alto riesgo, por lo que para poder utilizarse deben contar con un tratamiento especial (tener en cuenta prohibiciones, limitaciones y normas establecidas sobre inteligencia artificial). ¿Cuándo se aplica esta nueva guía sobre tratamiento de datos en sistemas biométricos? La propia guía no hace una referencia a una fecha concreta para la aplicación de estas nuevas reglas del juego a la hora de implementar control de horarios, relojes para fichar y otros sistemas basados en tecnología biométrica. Por lo tanto, tras la publicación de esta nueva guía, es importante que las empresas se afanen en cumplir sus indicaciones, pues las inspecciones y posibles sanciones pueden llegar en cualquier momento. Esta directiva es de obligada adaptación y cumplimiento en todos los países miembros de la UE. Algunos países, como Francia, Suecia u Holanda, llevan años de políticas muy restrictivas en relación con los sistemas biométricos y su tratamiento de datos y, a pesar de ello, sigue existiendo un gran mercado de estos dispositivos. FUENTE: MDO. »Nueva directiva europea sobre los sistemas biométricos» Madriddiario.es. 29/12/2023. (https://www.madridiario.es/nueva-directiva-europea-sobre-los-sistemas-biometricos).
Así es como un solo hacker tumbó a Orange y logró dejar sin Internet a media España
Los clientes de Orange en España sufrieron una caída de Internet el 3 de enero por la tarde y no comenzaron a volver a la normalidad después de que pasasen horas. Según pudimos conocer desde 20Bits, los usuarios seguían teniendo conexión a su red WiFi, sin embargo, al intentar acceder a algunas páginas o servicios a través del ordenador, les daba error. La incidencia perjudicó a todos los españoles que tenían contratado Orange u otra marca bajo las cuales opera la misma en el país ibérico durante gran parte de la tarde del pasado miércoles. Mientras la compañía trataba de arreglarlo, se supo que podría haber sido provocada por un ciberataque, algo que ha sido confirmado. Sancho Lerena, CEO de la empresa de gestión IT y seguridad Pandora FMS, considera que «el nivel de ciberseguridad que hay en España sigue siendo inferior al requerido» y ciberataques como el acontecido en Orange y el que sufrió Vodafone el año pasado lo demuestran. Según el experto, «casi un 90% de las empresas tienen alguna medida de seguridad», pero son pocos los que utilizan todas las necesarias para protegerse de una posible vulneración. ¿Qué pasó exactamente en el ataque a Orange? La propia teleoperadora ha confirmado que el atacante que ocasionó la interrupción a Internet de Orange esta semana lo había hecho a través del centro de coordinación de redes IP (RIPE). No obstante, ha aclarado que «en ningún caso» los datos de sus clientes habían estado comprometidos, sino que solo habían dañado la navegación de algunos servicios. Podría interesarle: Un ciberataque paralizó el acceso a colecciones digitales de varios museos en Estados Unidos El RIPE es una organización que se encarga de gestionar todas las direcciones IP en la infraestructura de Internet en Europa, Oriente Medio y Asia Central. Gracias a sus servicios, los usuarios podemos buscar una web por un navegador y, si se vulnera, puede provocar una caída como la que fuimos testigos hace dos días en España. ¿Quién fue el autor del ciberataque a la operadora? El atacante ha creado recientemente una cuenta en X (@Ms_Snow_OwO) solo para compartir lo fácil que ha sido dejar sin algunas plataformas a los clientes de Orange. «Para aquellos que se preguntan cómo obtuve acceso a la cuenta en primer lugar, permítanme decirles que la seguridad de la contraseña era muy cuestionable», afirma el supuesto autor, haciendo referencia a la cuenta que administra los servicios de la operadora en el RIPE. Según narra el hacker, se encontraba «investigando filtraciones públicas de datos de bots» cuando se encontró la cuenta de Orange en el RIPE con la contraseña ‘ripeadmin’ y sin autenticación de dos factores (2FA), siendo completamente vulnerable. Es decir, el usuario que se hace llamar Snow únicamente tuvo que introducir la dirección de correo electrónico de la operadora en el centro de coordinación de redes IP (admin-ripe-ipnt@orange.es) y dicha clave para entrar y dejar sin Internet a varios españoles durante horas. Otro internauta ha compartido por X sus sospechas de cómo Snow consiguió tener acceso a las credenciales de Orange en el RIPE. La hipótesis, que Snow ha reposteado, afirma que él utilizó un malware conocido como Raccoon, que es capaz de robar las claves de los dispositivos donde está operando. Sin embargo, si la cuenta hubiese tenido 2FA, el hecho de que Snow consiguiese la clave (que es bastante débil y no cumple con los consejos de seguridad de los ciberexpertos) no habría perjudicado a ningún usuario. FUENTE: Holgado, Raquel. »Así es como un solo hacker tumbó a Orange y logró dejar sin Internet a media España» 20minutos.es. 05/01/2024. (https://www.20minutos.es/tecnologia/ciberseguridad/como-hacker-orange-logro-dejar-sin-internet-media-espana-5206340/).
Google Chrome desactiva las ‘cookies’ de terceros para el 1% de sus usuarios a nivel global
Google ha desactivado las ‘cookies’ de terceros para el uno por ciento de los usuarios de Chrome, un paso adelante en su iniciativa Privacy Sandbox con la que espera eliminar por completo estos elementos de rastreo a finales de año. El uno por ciento de los usuarios globales de Chrome tienen desactivadas las ‘cookies’ de terceros’ de su navegador desde este jueves, como ya anticipó Google a mediados de diciembre; una medida con la que se busca evitar que los sitios web rastreen la actividad de los internautas cuando navegan por internet con fines publicitarios. La medida forma parte de la iniciativa Privacy Sandbox, con la que Google pretende ofrecer publicidad digital respetuosa con los datos de los usuarios, es decir, proteger la privacidad de las personas en línea eliminando las ‘cookies’ de seguimiento de terceros en Chrome con API alternativas que lleva meses facilitando a los desarrolladores para que puedan hacer la transición al nuevo modelo. Estas API permiten, por un lado, clasificar los intereses de los usuarios según su uso de la web sin compartir la información directamente con los anunciantes (API de Tema) y, por otro, habilitan informes de atribución (Attribution Reporting API), cuya función es medir los clics y visualizaciones de los usuarios para comprender si los anuncios han generado impacto. Lea también: Si no quieres cookies tendrás que pagar. Este es el Internet que nos espera a partir de este enero También se ha facilitado la API de audiencia protegida (Protected Audience API), que permite mostrar anuncios enfocados en los intereses de los usuarios teniendo en cuenta las interacciones anteriores con los anunciantes. La desactivación de estos elementos de rastreo para el 1 por ciento de los usuarios globales de Chrome significa, según datos de Gizmodo, que 30 millones de personas elegidas al azar cuentan con una protección antirrastreo que Google probará con ellos antes de empezar a eliminar las ‘cookies’ de terceros para todas las personas que utilizan el navegador en la segunda mitad de 2024. Quienes participan en la prueba podrán ver una notificación al abrir Chrome en cualquier ordenador de sobremesa o en Android, en la que se les informa de que las ‘cookies’ de terceros estarán restringidas de forma predeterminada. FUENTE: Noticia. »Google Chrome desactiva las ‘cookies’ de terceros para el 1% de sus usuarios a nivel global» Elderecho.com. 05/01/2024. (https://elderecho.com/google-chrome-desactiva-cookies-de-terceros-para-parte-de-usuarios-a-nivel-global).
