Opinion

L’Agència Espanyola de Protecció de Dades, en endavant l’AEPD, ha publicat unes recomanacions per protegir les dades personals en situacions de mobilitat i teletreball. L’AEPD diferencia la situació de mobilitat,  quan un treballador viatja amb freqüència, i en conseqüència l’entitat ha de disposar d’una política específica per situacions de mobilitat, i l’altra, motivada per situacions excepcionals, i inclús de força major, com les que estem vivint.

En aquest segon cas, indica que la situació d’urgència pot obligar a posar en pràctica solucions de caràcter provisional, però quan la situació es prolonga cal que es realitzi una reflexió i adequació del teletreball.

Entre les recomanacions podem destacar les següents:

1. Definir una política de protecció de la informació per situacions de mobilitat i teletreball, on es determinin entre altres punts: les formes d’accés remot des d’espais que no estan sota el control de l’entitat, quins dispositius poden accedir remotament i el nivell d’accés a la informació segons perfils definits.
2. Elegir solucions i treballar amb prestadors de serveis confiables i amb garanties. Cal evitar aplicacions que no ofereixin garanties i puguin donar lloc a una exposició de les dades personals de l’entitat. En el cas que tinguin accés a dades caldrà formalitzar el corresponent contracte d’encarregat de tractament.
3. Restringir l’accés a la informació. Els perfils o nivells d’accés als recursos i la informació s’ha de configurar en funció dels rols dels treballadors, inclús haurà de ser més restrictiva que l’accés que disposen des de la xarxa interna. També, caldrà restringir l’accés en funció del tipus de dispositiu i la ubicació des d’on s’accedeix.
4. Configurar periòdicament els equips i dispositius utilitzats. Els dispositius amb accés remot han de disposar del sistema operatiu actualitat, de les aplicacions actualitzades, antivirus actualitzat, disposar de tallafocs local actiu, tenir activats només les comunicacions i ports necessaris, disposar de mecanismes de xifrat de la informació, disposar d’una configuració per defecte de mínims privilegis habilitada des de l’àrea TIC i que no pugui ser modificada pel treballador, tenir deshabilitats els serveis que no siguin necessaris i permetre només la instal·lació d’aplicacions autoritzades per l’entitat.
5. Monitorar els accessos a la xarxa corporativa. Caldrà revisar periòdicament que la configuració d’accés remot no hagi estat alterada o desactivada. L’AEPD recorda que els mecanismes de monitoratge hauran de respectar el dret a la intimitat i ús de dispositius digitals i el dret a la desconnexió digital en l’àmbit laboral establerts en la LOPDGDD.
6. Gestionar racionalment la protecció de dades i la seguretat. Caldrà definir les mesures de seguretat a partir dels resultats de l’anàlisi de riscos.
7. Definir una política de teletreball. Cal proporcionar guies funcionals adaptades a formar als treballadors, així com fer signar un acord de teletreball, que inclogui els compromisos adquirits en realitzar les tasques en situacions de mobilitat. Entre d’altres, destaquem:

• Informar sobre les mesures que han de seguir els treballadors per a la protecció de la informació: contrasenyes robustes d’accés al dispositiu, correu electrònic, aplicacions; prohibició de descarregar aplicacions o software que no hagi estat prèviament autoritzat; si l’equip és corporatiu, no es podrà utilitzar amb finalitats particulars evitant l’accés a xarxes socials, correu personal, pàgines amb publicitat impactant o pàgines no segures; guardar la informació en els espais de xarxa habilitats; destruir correctament els documents amb dades personals; prevenir que es puguin escoltar converses per part de tercers aliens utilitzant auriculars o retirant-se a un espai reservat, entre d’altres.
• Identificar del punt de contacte per comunicar, sense dilació i a la major brevetat, qualsevol incident que afecti a les dades de caràcter personal.

En aquest punt aprofitem per recalcar el comunicat que va realitzar aquesta setmana l’AEPD, recordant que l’estat d’alarma actual no suspèn els períodes legals per comunicar les violacions de seguretat en matèria de protecció de dades.

• Informar de l’existència i l’abast de les activitats de control i supervisió realitzades per l’entitat, amb la finalitat d’evitar la propagació de malware per la xarxa corporativa o accés i ús no autoritzat de recursos. En els casos que el monitoratge es realitzi per verificar el compliment de les obligacions laborals, caldrà seguir les previsions definides en l’Estatut dels Treballadors.
• Informar de les principals amenaces de treballar des de casa o fora de l’organització i les possibles conseqüències que poden materialitzar-se.

Més informació a https://www.aepd.es/sites/default/files/2020-04/nota-tecnica-proteger-datos-teletrabajo.pdf