lunes, 5 de mayo de 2014

No solucionar #HeartBleed incumple a la Ley de Protección de Datos Personales (BLOG.SEGU-INFO.COM.AR) Autor: Abog. Marcelo Temperini


La ahora conocida falla "Heartbleed" sigue teniendo consecuencias desde el punto de vista de la seguridad de los sistemas de información, pero también podría traer consecuencias desde el punto de vista legal, en el caso de sistemas que incluyan de alguna forma el tratamiento de datos personales.

Brevemente (podrán encontrar miles de artículos técnicos con detalles sobre la falla), Heartbleed es un vulnerabilidad crítica que afecta a SSL, una de las librerías criptográficas más utilizadas para mantener la confidencialidad de la información en Internet. En la práctica, el hecho que dicho bug siga existiendo en un sistema, implica que un tercero podría estar accediendo a toda la información confidencial, a todo el contenido de las comunicaciones (incluyendo usuarios y contraseñas). 

Desde el punto de vista legal, el hecho que un responsable de una base de datos personales no haya "parcheado" (solucionado) este grave problema de seguridad en sus sistemas, implica en Argentina, un incumplimiento a la Ley de Protección de Datos Personales Nº 25.326, particularmente a las obligaciones de Seguridad del Art. 9 inc. 1, en la cuál se afirma que: 

"El responsable o usuario del archivo de datos debe adoptar las medidas técnicas y organizativas que resulten necesarias para garantizar la seguridad y confidencialidad de los datos personales, de modo de evitar su adulteración, pérdida, consulta o tratamiento no autorizado, y que permitan detectar desviaciones, intencionales o no, de información, ya sea que los riesgos provengan de la acción humana o del medio técnico utilizado."
En relación a las obligaciones de seguridad, es un buen momento para recordar que los niveles de seguridad exigidos por la Dirección Nacional de Protección de Datos Personales (Autoridad de Aplicación de la Ley Nº 25.326), son detallados en la Disposición 11/2006. En dicha reglamentación, se distinguen tres niveles de medidas de seguridad que deberán ser aplicadas por el responsable titular de la base de datos, de acuerdo al tipo de datos personales que son tratados. 

El hecho que los sistemas donde se realiza el tratamiento de datos personales, tenga aún sin solucionar la brecha de seguridad de Heartbleed, implicaría que el titular no estaría garantizando la seguridad y confidencialidad de los datos personales, existiendo en consecuencia un incumplimiento legal del art. 9 inc. 1 Ley Nº 25.326, pasible de las sanciones administrativas previstas en el Capítulo VI de la citada normativa. 

En otro orden de ideas, debe recordarse al responsable de una base de datos personales, que en el caso que en sus sistemas verifique el acceso no autorizado a través de la explotación de esta falla, dicho hecho podría ser denunciado penalmente, toda vez que (en principio) sería un caso tipificado penalmente en el art. 157 bis inc. 1: 
Artículo 157 bis: Será reprimido con la pena de prisión de un (1) mes a dos (2) años el que: 1. A sabiendas e ilegítimamente, o violando sistemas de confidencialidad y seguridad de datos, accediere, de cualquier forma, a un banco de datos personales; [...]
En conclusión, si como responsable de sistemas aún no estaba decidido a realizar las acciones pertinentes para reparar este bug, si por ejemplo las razones de seguridad informática no le parecieran de gravedad (que aseguramos que lo son), la idea de este artículo es reforzar esas razones informando que, en los casos donde exista tratamiento de datos personales, el hecho que la falla siga aún vigente, implica un incumplimiento legal por no garantizar la seguridad y confidencialidad de la información.

Autor: Abog. Marcelo Temperini
Fecha: 14/04/2014
Fuente: http://blog.segu-info.com.ar/2014/04/no-solucionar-heartbleed-incumple-la.html#axzz30tkzrzkq

No hay comentarios:

Entradas populares

MI LISTA DE BLOG DE DERECHO INFORMÁTICO

SI QUIEREN PUBLICAR EN LA REVISTA DIGITAL ELDERECHOINFORMATICO.COM ESTOS SON LOS REQUISITOS:

Red Iberoamericana ELDERECHOINFORMATICO.COM
Se encuentra siempre abierto a la comunidad a los interesados en publicar en la próxima edición de la REVISTA DIGITAL ELDERECHOINFORMATICO.COM
Si todavía no conocen la revista, pueden acceder a ver todas las ediciones online (22 números editados) haciendo un click aquí:(http://issuu.com/elderechoinformatico.com )
Y si quieren publicar alguna nota, solo deben enviar un correo electrónico a info@elderechoinformatico.com

con los siguientes requisitos formales:
Formato:
EXTENSIÓN: NO MÁS DE 4/5 HOJAS A4
Fuente Arial 12
Interlineado 1.5
margenes 3 cm Foto de buena resolución del autor y breve resumen de su bio.
Director: Abog.Guillermo M. Zamora

QUIEN ES EL EDITOR DE ESTE BLOG:

La idea de este blog, es poder recopilar noticias, fallos, normativa, anteproyectos, libros, revistas, congresos y jornadas, postgrados, consejos legales, recomendaciones, videos, campañas y cualquier otro tipo de información sobre el Derecho Informático y Nuevas Tecnologías en la República Argentina.

Gonzalo Jeangeorges picture

Soy Abogado matriculado en Rosario (1999) Escribano (2006) Y ahora Mediador (2009) prejudicial (2013).
Mi Estudio Jurídico esta, ubicado en la calle Italia 1607 P.B.de la ciudad de Rosario, donde ejerzo la abogacía.
Me capacité con distintos cursos y jornadas en el Derecho Informático y Nuevas Tecnología, Contratos Informáticos, Delitos Informáticos Ley 26388. Asesoramiento Legal de Páginas Web, Propiedad Intelectual del Software. Protección de Datos Personales en Bases de Datos. Conflictos de Marcas y Nombres de Dominio, Comercio Electrónico e cualquier problema legal en Internet.
Tengo experiencia profesional como Abogado en Sucesiones y Divorcios, Exequatur, Siniestros y Jubilaciones y Pensiones, Cobranzas, Alquileres y Desalojos.
Ofrezco desde el año 2000 mis servicios desde el sitio www.abogadosrosarinos.com  Portal jurídico de Rosario que atiende consultas en línea, gestoría y diligencias.
Y administró un blog donde se recopilán noticias sobre Derecho Informático y Nuevas Tecnologías: http://derechoinformaticoynuevastecnologias.blogspot.com.ar  y tengo experiencia en los siguientes servicios:
- Asesoró legamente Sitio Web en temas de Dominios, Derecho de Autor, Marcas, Registración de Bases de Datos personales, como ser : Cajaforense.com , Dattatec.com , Doing.com.ar , Canalla.com , Dominiofull.com , Regisoft.com.ar , Monseiurjonk.com.ar , Grupophi.com.arm , Accesofree.com , 2studio.com.ar , Elojocreativo.com.ar , Fullciudad.com.ar , Artgraph.com.ar , Neodynamic.com .
- Trabajo Freelance en el diseño de Blog, como los siguientes: http://consejoslegalesweb.blogspot.com Consejos Legales para Páginas Web-Blogs en la Argentina http://auditorialegalweb.blogspot.com Auditoría Legal Web de la Argentina ESTA ES LA FORMA DE CONTACTO CONMIGO: 
Oficina: Zeballos 1973 Piso 6 Oficina 1º Rosario, Provincia de Santa Fe
Tel. (0341) 6795483 
Cel.(0341) 155008328 (Whatsapp)
Fanpage en Facebook: Dr Gonzalo Jeangeorges

FORMULARIO DE CONTACTO C/ABOGADO ESPECIALISTA EN ARGENTINA

foxyform