El informe AEPD 327/2003 atribuye a la dirección IP, tanto estática como dinámica la consideración de dato personal y, aunque en la mayoría de circunstancias podría pensarse como de nivel básico, la Agencia Española de Protección de Datos nos sugiere aplicar medidas de nivel medio arguyendo que asociadas a las IP’s, los proveedores de Internet pueden relacionar información del suscriptor, como el domicilio físico, y cualquier otro usuario de la Red tendría acceso a información  como sitios de Internet en los que ingresa su perfil de los que se pueden desprender datos sobre su personalidad.

Personalmente, no comparto esta visión y se me ocurren unos cuantos argumentos para echar por tierra esta teoría aunque me limitaré a plantear algunos:

• No es lo mismo una IP interna que externa. Puede que se localice la procedencia de un mensaje gracias a su IP externa, pero si dentro de la empresa existe una LAN con muchos ordenadores, cualquiera puede suplantar la identidad de un compañero, cambiando temporalmente su IP por la del equipo del otro. Ya estaríamos condenando a un inocente.
• La IP no es el único ni más fiable identificador de un equipo en la red. Existe la MAC, la dirección física de las interfaces de red.
  Es una dirección que se asocia directamente a la tarjeta de red empleada. Pero aunque se tomara en consideración como dato de caracter personal, tampoco serviría pues también es manipulable.
• Suponiendo que hemos implementado mecanismos que impidan manipular la IP o la MAC, nadie nos garantiza que un tercero desde el exterior no esté manipulando nuestros paquetes de información pues todas las redes, no sólos las inalámbricas, son vulnerables y pueden ser pinchadas.
• Existe software malicioso que una vez instalado en el ordenador de la víctima es capaz de utilizar dicho equipo como proxy (intermediario) para emitir mensajes dañinos o efectuar ataques a otras máquinas. Por más medidas de seguridad que implementemos, nadie está libre de acabar siendo víctima del malware y alguien podría suplantar nuestra identidad con relativa facilidad utilizando directamente nuestro equipo y, por tanto, nuestra IP.
• ¿Y qué pasa con las computadoras de carácter público? ¿Hasta qué punto es culpable el responsable de un cybercafé o el dueño de una cafetería con wifi pública si alguién está utilizando sus ordenadores o su red de forma fraudulenta?

Reseñamos hoy 12 guías de ayuda publicadas en el Observatorio de la Seguridad de la Información de INTECO, que podrás descargar en formato pdf.

Estas guías se publican con el objetivo de servir de ayuda a los usuarios a la hora de configurar la privacidad y mantener la seguridad de sus perfiles en las principales redes sociales.

Este es el listado de guías que podrás descargar:

• Guía inteco: FACEBOOK

• Guía inteco: FLICKR

• Guía inteco: HI5

• Guía inteco: LAST.FM

• Guía inteco: LINKEDIN

• Guía inteco: MYSPACE

• Guía inteco: ORKUT

• Guía inteco: TUENTI

• Guía inteco: TWITTER

• Guía inteco: WINDOWS LIVE SPACES

• Guía inteco: XING

• Guía inteco: YOUTUBE

Descargar guías.

Noticias EFE

Madrid, 8 mar (EFE).- La Audiencia Nacional ha ratificado la resolución de la Agencia Española de Protección de Datos (AEPD) en la que se declaraba que el Servicio Cántabro de Salud había cometido una infracción al difundir datos personales de 1.748 pacientes a través de internet.

Una sentencia de la sala de lo contencioso-administrativo de la Audiencia Nacional desestima el recurso interpuesto por el Gobierno de Cantabria contra la resolución de la AEPD de 25 de febrero de 2009.

En ella, la Agencia declaraba una infracción al Servicio Cántabro de Salud al constatar la existencia de un archivo accesible desde el programa eMule, que contenía nombres, apellidos, fechas de nacimiento, direcciones, teléfonos, sexo y, en algún caso, datos de salud tales como hipertensión o diabetes de 1.748 pacientes de localidades dependientes de la Zona Básica de Salud de Miera.

Según la AEPD, el servicio de salud de Cantabria había infringido la normativa de protección de datos al incumplir el deber de secreto al que estaba obligado, por lo que le instó a adoptar las medidas internas oportunas para impedir que volviera a repetirse una situación similar en el futuro.

La resolución recurrida consideraba que el servicio de salud de esa comunidad autónoma estaba obligado a adoptar, de manera efectiva, las medidas técnicas y organizativas necesarias previstas para ese tipo de ficheros y, entre ellas, las dirigidas a impedir el acceso a los datos contenidos en tales archivos por parte de terceros.

En el recurso, el Gobierno de Cantabria argumentó que la resolución no detallaba cuáles fueron las medidas que no se implementaron por parte del Servicio Cántabro de Salud y, además, consideraba que la conducta pudo haber sido cometida por el personal que tenía a su disposición las historias clínicas y que habría infringido el deber de secreto.

En la sentencia, la Audiencia Nacional considera que queda acreditado que el Servicio Cántabro de Salud, responsable de la custodia de los datos, vulneró el deber de secreto garantizado en la Ley Orgánica de Protección de Datos, al haber posibilitado el acceso no restringido a datos personales sin consentimiento de sus titulares.
El fallo del tribunal señala que “la efectividad de la revelación es innegable, puesto que los datos de los pacientes accedieron a internet y quedaron a disposición del público, por lo que resulta que la revelación fue efectiva, por lo que claramente debe entenderse cometida la infracción imputada por la Agencia a la entidad recurrente”.

La Audiencia Nacional considera que el argumento utilizado por el Gobierno cántabro, de que hubiese sido un trabajador el que hubiera llevado a cabo la divulgación de los datos, “no deja sin efecto el hecho de que” el titular del fichero era el Servicio Cántabro de Salud.

Según la sentencia, “no basta con la aprobación formal de las medidas de seguridad”, sino que “resulta exigible que aquellas se instauren y se pongan en práctica de manera efectiva”.

También puede descargar este documento en formato PDF

También puede descargar este documento en formato PDF

También puede visualizar este documento con ISUU

O descargarlo en formato PDF