ITSB News

Conferencia Proteccion Datos Personales: Obligación Legal y Oportunidad Competitiva

Mayo 18, 2009 | Por syssil | Claves: compliance, datoscompetitividad, datosseguridad, habeas data, ley 25326, proteccion | # Enlace permanente

Conferencia sin cargo sobre Proteccion de Datos Personales

Mayo 6, 2009 | Por syssil | Claves: competitividad, habeas data, ley 25326, proteccion datos | # Enlace permanente

El 21 de mayo a las 18,30 hs en el Consejo Profesional de Ciencias Económicas de la Ciudad de Buenos Aires (CPCECABA) se ofrecerá una conferencia no arancelada, sobre:

La Seguridad de los datos personales: obligación legal y oportunidad competitiva

http://www.consejo.org.ar/Rcyt09/actual/ref_075.htm

Resulta un tema de interés para todos los profesionales ya que abarca tanto a las organizaciones privadas como a los entes públicos.

Requiere inscripción previa llamando al 011-5382-9276 o personalmente en Viamonte 1549 sector Informes

Los profesionales matriculados en el CPCECABA pueden incribirse por internet ingresando en el link de la charla.

Diciembre 18, 2008 | Por syssil | Claves: habeas data | # Enlace permanente

Debido a una nota en La Nación

http://www.lanacion.com.ar/nota.asp?nota_id=1082059&pid=5544701&toi=6269

Nos anoticiamos de que el Senado voto la creacion de un registro No llame para regular la activad de comercilizacion que se hace por medios telefónicos

Consideramos que esta iniciativa no es necesaria si hace cumplir la ley 25326 de Habeas Data ya que si el consetimiento del titular de los datos no pueden hacerse esas llamadas y quien las realiza infringe la Ley. Esta en nosotros proteger nuestros daots y en nuestro post anteriores pueden ver como hacerlo

Lo que si es cierto que la guia telefonica es un registro público y piede ser usado pero el titualr de datos puede pedir no figutrar en guía y eso es sin costo.

Lo que deberían limitar es el hecho de que el ANSES desde la década del 90 por una ley de promoción del consumo de sus datos a Entidades Financieras, Bancos y Coopertativas de Consumo y Crédito, y al tener hasta el Telefono laboral pueden molestarnos auqnue aquí también podemos solictar nos remuevan de la base y que no se repitan estos hechos

Queda en nosotros evitar la mayor burocracia que desean nuestros legisladores aplicarnos entre otras cosas porque el costo de esa burocracia la pagamos todos

Los Consentimientos Informados en las Entidades que realizan Investigaciones Clínicas, Farmacológicas y Farmacogenéticas en la Ley 25.326 de Habeas Data

Septiembre 18, 2008 | Por syssil | Claves: consentimientos, farmacologica, habeas data, ïnvestigación, ïnvestigacion farmacogenicas, laboratorios, medicainvestigacion | # Enlace permanente

Hemos recibido consultas sobre este tema por eso decidimos subirlo al blog.

La DNPDP emitió la Disposición 7/08 del 18/07/08 sobre Procedimientos sometidos a la aprobación de la Administración Nacional de Medicamentos, Alimentos y Tecnología Médica

http://www.infoleg.gov.ar/infolegInternet/anexos/140000-144999/142601/norma.htm

ARTICULO 1º — Establécese que a partir de la entrada en vigencia de la presente, la DIRECCION NACIONAL DE PROTECCION DE DATOS PERSONALES requerirá, en el marco de desarrollo de los procedimientos relativos a ensayos de farmacología clínica sometidos a aprobación de la ADMINISTRACION NACIONAL DE MEDICAMENTOS, ALIMENTOS Y TECNOLOGIA MEDICA y cuyas normas de confidencialidad hubieran sido oportunamente aprobadas por esta Dirección Nacional, la colaboración de los profesionales intervinientes, así como de las personas que actuaron como testigos al momento de suscribirse el Formulario de Consentimiento Informado y/o integrantes de los Comités de Ética a los fines de verificar el cumplimiento de lo dispuesto en el artículo 5º del Decreto Nº 1558/01.

ARTICULO 2º — Para cumplir con el control de la ejecución de los Formularios de Consentimiento Informado aludidos en el artículo precedente, los agentes de la DIRECCION NACIONAL DE PROTECCION DE DATOS PERSONALES deberán seguir el procedimiento descripto en el Anexo I de la presente.

Cabe recordar que en los puntos de auditoría que la DNPDP tiene en cuenta en el cumplimiento de sus funciones En lo referido a los profesionales de la salud y los establecimientos sanitarios se verificaran en forma específica;

· Las investigaciones clínicas, farmacológicas y farmacogenéticas

· Los consentimientos informados a los pacientes en los protocolos de investigación, los cuales deben estar aprobados por la DNPDP.

Esto genero dudas por lo cual cabe describir el procedimiento de control que realizará la DNPDP

PROCEDIMIENTO DE CONTROL EN LA EJECUCION DE LOS FORMULARIOS DE CONSENTIMIENTO INFORMADO

I. Individualizar por lo menos TRES (3) protocolos por laboratorio, preferentemente en ejecución al momento de efectuar el procedimiento de control.

II. Requerir, conforme el modelo de nota que se adjunta, al laboratorio patrocinante u organización de investigación clínica (CRO) actuante en los estudios seleccionados, los datos identificatorios de los médicos intervinientes en los referidos estudios así como de las personas que actuaron como testigos en el momento en que los voluntarios suscribieron el FORMULARIO DE CONSENTIMIENTO INFORMADO (los datos del paciente no se requieren por tratarse de datos sensibles amparados por el secreto profesional, lo que no impide atender cualquier petición que éste hiciere voluntariamente) y del Comité de Ética participante.

III. Seleccionar aleatoriamente DOS (2) personas por estudio, las que serán invitadas para aportar información sobre las siguientes cuestiones:

a. participó en el acto de suscripción del formulario de consentimiento informado.

b. el médico explicó al paciente:

1. los detalles del estudio a realizar (vg.: si es una prueba clínica, farmacogenética, etc.);

2. el carácter voluntario de su participación;

3. la forma de suministrar la medicación;

4. los procedimientos que el paciente debía cumplimentar;

5. los estudios o análisis complementarios a realizar;

6. los riesgos y beneficios de someterse al estudio;

7. los tratamientos alternativos;

8. la posibilidad de retirarse del estudio sin necesidad de dar explicaciones;

9. la forma en que los datos referentes a su salud serían protegidos;

c. el paciente ¿demostró entender acabadamente lo explicado?.

d. la respectiva explicación ¿fue formulada en un lenguaje accesible para el nivel social y cultural del paciente como lo exige el decreto reglamentario de la Ley de Protección de Datos Personales?

e. toda otra manifestación que considere de utilidad para incluir en futuros estudios con el fin de optimizar el consentimiento informado.

IV. Emitir una conclusión final, la que deberá ser elevada al Director Nacional de Protección de Datos Personales.

Hábeas Data, se posterga 12 meses la implantación del segundo y tercer nivel de seguridad

| Por syssil | Claves: datosdnpdp, habeas data, ley 25326, protecciond | # Enlace permanente

Para los que leyeron el Boletín Oficial, la notica es del 3 de setiembre, para los que acceden a la site de la DNPDP la noticia es posterior, se trata de la Diposición 09/08 de la DNPDP:

http://www.infoleg.gov.ar/infolegInternet/anexos/140000-144999/144072/norma.htm

De una u otra forma esta postergación tiene dos causales.

· La DNPDP realizó una prefiscalización y de la misma surgió que la mayoría de los inscriptos no habían cumplido con la primer etapa

· La segunda y es la que los que colaboramos en la implantación de las medidas sabemos, es imposible implantar medidas y que la gente cumpla sin una tiempo prudencial de capacitación y monitoreo puesto que en nuestro País las empresas en su gran mayoría no utilizan manuales de procedimientos, y el documento de seguridad que la Disposición 11/06 solicita es un manual de procedimientos en seguridad de datos personales. Los que implementaron el primer nivel de seguridad no lo hicieron en un o dos meses y de haberlo hecho durante 2008 debieron haber tenido algún tipo de monitoreo o auditoría de cumplimiento que le permitiera ajustar los procesos de control.

Otro punto importante de la Disp 11/2006 es que indica un modelo de Documento de seguridad que resulta un ejemplo simplista dedicado a mini pymes pero que no aplica más que como una guía.

Cabe citar como ejemplo el ítem 4

Registros de incidentes de seguridad. Notificación, gestión y respuesta.

Se crea en el programa de email una carpeta DNPDP, y luego se pasan a ella todos los emails referidos a protección de datos personales.

Cuando ocurre algo que se considere un incidente de seguridad se redactan uno o más emails describiendo lo sucedido y las acciones tomadas para su solución y se los envía a otra cuenta.

Quedan de este modo registradas en esos emails, las fechas y horas, las características, y la solución del incidente.

También se puede llevar registro de incidentes en un capítulo de un Cuaderno de Informes de Sistemas donde se reportan todos los acontecimientos referidos a la Protección de Datos Personales, que se guarda bajo llave en el escritorio de Secretaria.

Quien redactó esta guía la orientó a una mini pyme donde no se cumple con lo elemental: que los relojes de las computadores estén en fecha, algo que AFIP sabe y motivo por el cual sus aplicativos no dejan grabada la hora de proceso.

Lo grave de no dejar registrado correctamente un incidente de seguridad y su corrección es que la auditoría no podrá realizar su trabajo correctamente con lo cual se contradicen la normas de Seguridad de la Disp 11/06 y lo que es peor ante un ejercicio de Hábeas Data ante la Justicia esta situación va a ser usada contra la organización que no cumplan con las medidas de seguridad.

Casos de uso indebido de datos

Agosto 4, 2008 | Por syssil | Claves: habeas data, ley 25326, proteccion datos | # Enlace permanente

Desde hoy les contaremos casos donde nuestros datos han sido utilizados ilegalmente.

Hace poco un cliente me consulta porque Banco Nacional ofreció a un tarjeta de crédito que se la envió por correo y a la cual solo debía activarla. Según indicaba la carta los datos el Banco los había obtenido de una empresa de electrodomésticos a la que hacia ya unos 3 años que no le adquiría nada.

Si entre el Banco y la empresa de electrodomésticos realizaron una operación comercial o no es lo de menos, los datos mi cliente no había autorizado a darlos

En otro caso que verificamos, una entidad educativa dio los datos personales de los padres de los alumnos a un Banco, que a cambio le redujo las comisiones en las cuentas sueldos.

Todos esos padres no habían autorizado a que dieran sus datos

En ambos casos las empresas intervinientes violaron la Ley 25.326 y les asiste a esas personas afectadas el derecho de realizar la denuncia ante la Dirección Nacional de Protección de Datos Personales

http://blogsdelagente.com/itsb/2008/7/28/proteger-nuestros-datos-4

Proteger nuestros datos 4

Julio 28, 2008 | Por syssil | Claves: habeas data, ley 25326, proteccion datos | # Enlace permanente

Cuando hablamos de proteger nuestros datos nos preguntamos que podemos hacer y como hacerlo

En primer lugar podemos acceder para modificar y solicitar de ser pertinente la baja de nuestros datos. Si ya no soy cliente de ese servicio de cable, puedo pedir que den de baja mi situación de ex cliente?, Si puedo. Si ya no soy cliente de esa compañía de teléfonos celulares puedo solicitar que me den de baja en su base? Si puedo. Si ya no me atiendo en esa clínica y hospital puedo pedir una copia de mi historia clínica? Si puedo. Y si aun me atiendo puedo pedir una copia? Si puedo.

En primer lugar debo ingresar a http://www.jus.gov.ar/datospersonales/index.html, Registro Nacional (solapa izquierda), Bases de Datos Privadas o Publicas, Consulta de Contactos de los Responsables Inscriptos. Allí ponemos la razón social y verificamos los datos de contacto. Si no aparecen (mucha veces sabemos el nombre de fantasía pero no la razón social o pusieron abreviaturas que dificultan la búsqueda o bien no se inscribieron) solicitamos a la DNPDP (Llamar al 4383-8512/13/21 (int. 124, 128 o 107),o por email a infodnpdp@jus.gov.ar o personalmente a Sarmiento 1118, piso 5º de la Ciudad Autónoma de Buenos Aires. El horario de atención es de 10 a 17.30.) porque no podemos seguimos los pasos detallados por la DNPDP para el ejercicio de los derechos al no localizar a la organización.

Si lo localizamos seguimos los pasos que detallamos al Pie. Allí se nos indica que si no recibimos una respuesta a los 5 días hábiles debemos proceder a realzar la denuncia ante la DNPDP (al pie se indica el tramite).

Cabe aclarar que si deseamos informar sobre organizaciones en infracción basta con presentar una nota con los datos de las mismas y que tipo de datos trata: nuestra prepaga, nuestra obra social, nuestro proveedor de internet, nuestro proveedor de seguros, nuestro ex empleador, la empresa de cable, etc. (Ante cualquier duda comunicarse con el Área de Denuncias de la Dirección Nacional de Protección de Datos Personales al teléfono 4383-8514.)

A muchos los desvela saber sus datos en Veraz, el acceso al total de los datos es gratuito si se lo ejerce cada seis meses y no tengo porque pagar por el mismo. Alcanza con contactarme con la empresa y remitir la solicitud en la forma en que ellos me lo indiquen.

Proteger nuestros datos 3

Julio 23, 2008 | Por syssil | Claves: habeas data, ley25326, proteccion datos | # Enlace permanente

Que tiene que hacer una empresa para proteger los datos de sus clientes, proveedores y empleados

En primer lugar sus directivos y responsables establecer este tema como prioritario entre todo el personal, incluido el de maestranza.

La concientización de las personas que manejan datos es fundamental, es cultural. Una persona de 73 años me decía que no entendía porque se necesita una ley para hacer algo a que a su criterio era algo normal hacerlo en su generación, esto se ha perdido le dije sin poder dar ninguna explicación.

En segundo lugar cumplir con la Ley, para lo cual no solo debe registrar sus bases lo cual no es complejo ya que nos piden que informemos que tipo de datos tenemos: nombre y apellido, docuemnto, domicilio, etc, pero no los nombres de cada uno de los que forma nuestras bases.

En tercer lugar implantar las medidas de seguridad que la Disp. 11/06 indica. Y para eso los remito al post donde explicamos como se harán las auditoria de Seguridad de Datos Personales

http://blogsdelagente.com/itsb/2008/6/26/que-nos-pediran-una-inspeccion-ley-25-326-habeas-data-

En el próximo post como acceder, modificar y reclamar si no protegen nuestros datos.

Proteger nuestros datos 2

Julio 22, 2008 | Por syssil | Claves: habeas data, ley 25326, proteccion datos | # Enlace permanente

Continuando con este tema primero queremos proponerles que para que los ejemplos que agreguemos les sean útiles nos gustaría que nos consultaran sus dudas.

Partiendo de los ejemplos de nuestro anterior post explicamos que un caso para que tanto una empresa como el potencial cliente sepan que hacer:

Nos llaman para vendernos algún servicio y no queremos que nos llamen más, se lo pedimos a quien nos llamo:

· Legal nos da de baja en su sistema en ese momento

· Ilegal no puede dar la baja ni sabe como debemos hacer para pedirla por otro medio

Nos llaman de nuestro Banco para darnos una nueva tarjeta u ofrecernos un préstamo, nos hacen preguntas para validar los datos y actualizarlos que superan los datos seguros y preguntan sobre ingresos

· Legal: nos negamos a responder pidiendo que busquen esos datos en sus registros y que si precisan actualización se la enviamos

· Ilegal: insiste en que le demos el dato

Nos llaman de una empresa relacionada con nuestra prepaga, empresa de electrodomésticos, tarjeta de crédito o banco para ofrecernos un servicio

· Legal: la empresa que tenia nuestros datos nos pidió que la autorizáramos a darlos a esas empresas para que accediéramos a beneficios

· Ilegal: la empresa que tenia nuestros datos dio los datos sin nuestro consentimiento

Seguiremos con estas notas para que podamos hacer que nuestro derecho a que nuestros datos sean protegidos se cumpla

Ley 26.388 de Delito Informático: Protección de Datos Personales ( Habeas Data)

Julio 2, 2008 | Por syssil | Claves: delitos informaticos, habeas data, ley 25326, ley 26388 | # Enlace permanente

Por la Dra. Silvia Iglesias

La Ley 25.326 de protección de Datos Personales había incorporado este artículo cuando fue sancionada el 30 de octubre de 2.000. El nuevo articulo incorpora lo resaltado en negrita

ARTICULO 8º — Sustitúyese el artículo 157 bis del Código Penal, por el siguiente:

Artículo 157 bis: Será reprimido con la pena de prisión de un (1) mes a dos (2) años el que:

1. A sabiendas e ilegítimamente, o violando sistemas de confidencialidad y seguridad de datos, accediere, de cualquier forma, a un banco de datos personales;

2. Ilegítimamente proporcionare o revelare a otro información registrada en un archivo o en un banco de datos personales cuyo secreto estuviere obligado a preservar por disposición de la ley.

3. Ilegítimamente insertare o hiciere insertar datos en un archivo de datos personales.

Cuando el autor sea funcionario público sufrirá, además, pena de inhabilitación especial de un (1) a cuatro (4) años.

Comencemos diciendo que hasta el momento la Ley de Habeas Data, por el alto desconocimiento que de ella se tiene pocos casos presentados en la Justicia Penal. Tal vez ahora las modificaciones al artículo al relacionarlo con la ley de Delitos Informáticos se le preste más atención.

Sin embargo cabe aclarar que este artículo incluye no solo a quién realice estas acciones en entornos informatizados sino también en aquellos casos que el soporte sea manual, es decir un que un banco de datos es también la urna de los cupones de sorteos en el shopping, hipermercado, el legajo de cada empleado, el libro de sueldos, el formulario que llenamos al abrir un cuenta corriente, caja de ahorro, tarjeta, etc.

El inciso 2 limita a la condición de forma ilegitima el proporcionar o revelar información personal. Es decir que debe probarse que quien lo hizo no estaba autorizado legalmente a hacerlo. Esto pone la carga de prueba en quien denuncia, antes el acusado debía probar que su accionar era legítimo.

El inciso 3 se agrega teniendo en cuenta en forma taxativa la incorporación de datos no brindados por el titular de los datos y en forma ilegitima, es decir que ninguna ley regule que pueda hacerlo. Como ejemplo si un empleado, estudiante, cliente, etc. que no esta obligado a dar datos que revelan origen racial y étnico, opiniones políticas, convicciones religiosas, filosóficas o morales, afiliación sindical e información referente a la salud o a la vida sexual (art. 2 Ley 25.326 Habeas Data) alguien insertara en su legajo alguno de estos datos estaría incurriendo en el delito tipificado en este inciso.