La seguridad de los datos

En las últimas semanas han sido numerosas las noticias aparecidas en los medios de comunicación respecto a capturas de datos y contraseñas, debido a posibles debilidades  en las medidas de seguridad de los sistemas de información de las compañías tenedoras de esos datos, así como de supuestos en los que el tratamiento que se da a los datos obedece a finalidades distintas a las manifestadas por el usuario en el momento de la recogida. Situaciones todas ellas que generan desconfianza sobre la seguridad y privacidad de los datos y el uso de la red Internet. Hoy mismo aparece de nuevo en los medios de comunicación la vulnerabilidad de otro sistema que permitiría el acceso a datos de usuarios y el cruce de información.

En muchas ocasiones, la finalidad del ciberdelincuente no es la de capturar los datos de los usuarios para su uso o posterior comercialización, sino la de poner en evidencia la debilidad del sistema con la consecuente daño en la imagen de la compañía.

Desde el punto de vista penal, y tras la reforma operada con la aprobación de la Ley 5/2010, el simple acceso al sistema,  o el mero hecho de permanecer en el mismo en contra de la voluntad de quien tenga el legítimo derecho a excluirlo, aunque no se realice una captura de información se considera delito. Pero con independencia de la responsabilidad penal  que puede llevar aparejada la conducta ilícita del infractor, lo cierto es que la compañía titular de los sistemas de información violados y encargada de velar por la seguridad de los datos que recoge y/o almacena, es responsable frente a los usuarios de esa exposición al riesgo.

Estas debilidades obligan a que se exija a las empresas el establecimiento de las correctas  medidas de  seguridad y protección de los datos de los usuarios que utilizan para evitar que se produzcan accesos no autorizados a los sistemas informáticos, y a su vez, garantizar que éstos no se utilizan para finalidades distintas a las consentidas por el usuario en el momento de recogida de los datos.  

Estas obligaciones están ya previstas en la Ley de Protección de Datos y su Reglamento de desarrollo que exigen a las compañías el establecimiento de medidas de seguridad que garanticen la correcta custodia y conservación de los datos, en la Ley de Infraestructuras críticas que obliga a garantizar la seguridad de los datos,  y recientemente en el   Proyecto de Ley por la que se modifica la Ley 32/2003, de 3 de noviembre, General de Telecomunicaciones  establece en su artículo 34, respecto a la protección de los datos de carácter personal, que los operadores que exploten redes públicas de comunicaciones electrónicas o que presten servicios de comunicaciones electrónicas disponibles al público deberán garantizar, en el ejercicio de su actividad, la protección de los datos de carácter personal conforme a la legislación vigente. El Proyecto, en términos de garantizar la aplicación efectiva  de una política de seguridad con respecto al tratamiento de datos personales obliga al operador a:

1. Informar a los abonados en el caso de que exista un riesgo particular de violación de la seguridad de la red pública o del servicio de comunicaciones electrónicas y sobre las medidas a adoptar

2.  Notificar de forma inmediata a la Agencia Española de Protección de Datos en caso de violación de los datos personales. Si la violación de los datos pudiera afectar negativamente a la intimidad o a los datos personales de un abonado o particular, el operador notificará también la violación al abonado o particular sin dilaciones indebidas.

Desde el punto de vista de la compañía víctima del ataque, el perjuicio es doble, puesto que no sólo debe invertir en mejorar y reforzar sus sistemas y medidas de seguridad, sino que deberá también invertir en mejorar su imagen que habrá quedado sensiblemente dañada fruto de la vulnerabilidad puesta en evidencia, por lo que ahora más que nunca las empresas deben optar por revisar y adecuar sus políticas y protocolos de seguridad de la información.