AIPD

Les avaluacions d’impacte en protecció de dades (AIPDs) són una de les novetats que incorpora el Reglament (UE) 2016/679, del Parlament Europeu i del Consell, de 27 d’abril de 2016, relatiu a la protecció de dades de les persones físiques pel que respecta al tractament de dades personals i a la lliure circulació d’aquestes dades i pel qual es deroga la Directiva 95/46/CE (Reglament General de Protecció de Dades o RGPD). En efecte, la normativa actualment vigent en protecció de dades es pot dir que focalitza els esforços en dos eixos bàsics: la pro activitat i l’anàlisi dels riscos que els tractaments poden produir sobre les dades personals. Així, tota organització es troba permanentment en el deure de gestionar la informació conforme amb els nous principis i en especial, amb el de la privacitat des del disseny i per defecte. (more…)

La implantació de la xarxa mòbil de cinquena generació (5G) ja està aquí, canviarà la manera de comunicar-nos i generarà un gran impacte en la societat digital. El 5G augmentarà la velocitat de connexió, reduirà al mínim la latència i multiplicarà el nombre de dispositius connectats. Permetrà la posada en funcionament de molts productes i serveis que podran connectar-se i compartir informació en temps real, com per exemple: permetrà el treball especialitzat en remot, seria el cas de cirurgies remotes assistides; impulsarà la internet de les coses (IoT), com pot ser qualsevol dispositiu electrònic que tinguem a casa o a l’oficina (rentadora, l’alarma, l’aspirador, la impressora, etc.), promourà l’automatització industrial; l’impuls de la realitat virtual; la realitat augmentada; la creació de serveis basats en decisions automatitzades, moltes vegades utilitzant intel·ligència artificial, entre d’altres.

El passat 13 de maig, l’Agència Espanyola de Protecció de Dades (AEPD) va publicar una nota tècnica titulada “Introducción a las tecnologías 5G y sus riesgos para la privacidad”, on realitza un primer estudi dels riscos per a la privacitat que pot comportar la cinquena generació de comunicacions mòbils (5G).

L’AEPD és conscient que el 5G tindrà un alt i impredictible impacte sobre la privacitat de les persones, i és per aquest motiu que identifica de manera no exhaustiva, possibles riscos en la privacitat, que hauran de tenir-se en compte des de les primeres fases de disseny, per tal que s’integrin en la naturalesa dels productes i serveis conforme les previsions de l’article 25RGPD. I que en molts casos, la implementació del servei o producte requerirà la necessitat de realitzar una prèvia Avaluació d’Impacte en Matèria de Protecció de Dades (AIPD). Inclús si el risc residual resultant segueix sent elevat, exigirà realitzar una consulta prèvia a l’autoritat de control. A continuació, recollim alguns dels riscos en la privacitat que l’AEPD llista en la nota tècnica publicada:  

• Geolocalització precisa de l’usuari. Una de les característiques de la xarxa 5G és l’ús de més estacions base i menys distància entre elles, que permetrà localitzar el terminal de l’usuari amb major precisió.
• Perfilat i decisions automatitzades. A través de la intel·ligència artificial i els serveis en temps real permetran la presa de decisions automatitzada de forma individual.
• No definir correctament els rols i interessos en el tractament de dades dels agents implicats; fabricants, operadors de xarxa i proveïdors de serveis. Així com, la manca de disposar d’un model homogeni de seguretat.
• A l’augmentar la superfície d’exposició, s’incrementen les oportunitats que es materialitzin amenaces de seguretat.
• Possible pèrdua de control de l’usuari sobre el flux de dades que pot impossibilitar l’exercici de drets. Caldrà proporcionar una informació clara de les transferències internacionals que pot comportar el tractament de les dades per part dels diferents agents implicats.

Per tal de crear un marc de confiança, l’AEPD proposa tenir en compte un conjunt de recomanacions. Entre elles:

• Proporcionar una informació particularment clara i comprensible, especialment, identificant els responsables del tractament, les finalitats, la presa de decisions automatitzades i l’elaboració de perfils, l’accés i l’ús de control per part dels usuaris. En aquest punt afegiríem la importància d’informar sobre les transferències internacionals, i que aquestes disposin de les garanties adequades.
• Definir clarament els rols i àmbits de responsabilitat dels desenvolupadors, fabricants, operadors i agents en matèria de protecció de dades.
• Garantir comunicacions xifrades d’extrem a extrem.
• Complir amb els principis en matèria de protecció de dades des de la fase de disseny del servei o producte.
• Aplicar criteris homogenis de seguretat en els diferents agents i segments de xarxa basats en els resultats de l’anàlisi de riscos, i en aquells casos, avaluacions d’impacte en matèria de protecció de dades, enfocats a gestionar amenaces de la xarxa 5G i no d’una operació singular.
• Gestió proactiva per verificar i poder demostrar el compliment de la norma. Realitzar auditories d’infraestructura i serveis, inclosa l’adhesió a mecanismes de certificació en protecció de dades.

     Podeu accedir a la nota tècnica completa al següent enllaç.