6 abr 2013

Whistle Blowing Policy

Hace no mucho que me he encontrado con este término en la red, con gran tradición en el mundo anglosajón. Aunque cabe destacar, que tiene gran arraigo en el entorno de entidades públicas. es muy usual en países como EEUU, Inglaterra así como en muchos países nórdicos, son políticas muy extendidas, también se utilizan y existen en muchas corporaciones, no sólo en administraciones públicas, corporaciones que habitualmente son entidades de un tamaño bastante considerable. Pero ¿Qué significa esto de whistle blowing policy?

"Según Wikipedia: A whistleblower (whistle-blower or whistle blower), is a person who tells the public or someone in authority about alleged dishonest or illegal activities (misconduct) occurring in a government department or private company or organization. The alleged misconduct may be classified in many ways; for example, a violation of a law, rule, regulation and/or a direct threat to public interest, such as fraud, health/safety violations, and corruption."

"Como ejemplo: http://www.lancashire.gov.uk/  What is Whistleblowing? Whistleblowing encourages and enables employees to raise serious concerns within the Council rather than overlooking a problem or 'blowing the whistle' outside. Employees are often the first to realise that there is something seriously wrong with the Council. However, they may not express their concerns as they feel that speaking up would be disloyal to their colleagues or to the Council."

Visto y entendido así, con la que está cayendo en Españistan, no sería nada desdeñable este tipo de política pero de una manera real y eficaz en la Administración Pública en todos sus niveles, a juego y en concordancia claro está con la futura Ley de Transparencia.

No obstante, lo que me llama la atención sobre esta política, es el hecho de cual es el límite para dar cuenta de un acto o situación en la que un empleado revele lo que entiende una amenaza o un perjuicio en una entidad y sobre todo dónde quedan los derechos de protección de datos de carácter personal y el derecho a la intimidad del presunto "traidor" a los intereses de la entidad.

Lógicamente la casuística en este sentido puede ser muy variable y amplia, afectando a bienes jurídicos muy distintos e igualmente variados. Pero en mi opinión, una cosa está clara, pueden darse auténticos conflictos entre derechos de diversas naturalezas, tal y como ocurre en supuestos similares en lo que concierne a las últimas sentencias y distinta jurisprudencia respecto al derecho de los responsables de las entidades en cuanto al acceso a los recursos de los sistemas de información propiedad de las mismas, los cuales están a disposición de los empleados, habiendo ponderado como decía, en distintas sentencias, el derecho a velar por el negocio y buen funcionamiento de las entidades y los derechos a la intimidad y a la protección de datos de carácter personal de los empleados.

Una cosa tengo clara, siempre, absolutamente siempre será preferible y altamente recomendable la información de este tipo de políticas a los empleados así como su consentimiento previo para evitar de un lado y otro lado sorpresas y efectos indeseados, estableciendo claramente cuales son los derechos de unos y otros así como los límites de este tipo de políticas.

Seguiremos viendo este tipo de políticas con más detenimiento.

Actualización: Gracias a los aportes de varios compañeros en twitter, en especial de @jcampanillas, me han hecho llegar la existencia de un informe del año 2007 de la AEPD.


17 oct 2012

Original "Sentencia 2.0" en Navarra

La "sentencia 2.0" a la que hago referencia con ese apelativo, es la sentencia 000213/2012 emitida por el Juzgado de Primera Instancia Número 5 de PAMPLONA/ IRUÑA en materia de Derecho al honor, intimidad e imagen, la cual se dio a conocer hace un par de días.


Antes de nada quisiera refrescar la memoria sobre el eco que la noticia tuvo en junio de 2011, Diario de Noticias de Navarra"Uxue Barkos emprenderá acciones legales por presuntas injurias contra dos altos cargos de UPN. La diputada y concejala pamplonesa de NaBai Uxue Barkos emprenderá acciones legales contra la exedil de UPN Ana Pineda y el director del área de Hacienda Local del consistorio, Íñigo Huarte, tras admitir ser los titulares de sendas cuentas de Twitter desde las que vertieron comentarios sobre ella".

Todo ello se remonta al 18 de marzo de 2011, mientras tenía lugar en el Ayuntamiento de Pamplona/Iruña el Pleno en el que entre otras cuestiones, se debatía una moción del grupo municipal de UPN sobre explotación sexual , que perseguía que el Ayuntamiento no contratara inserciones publicitarias en los medios que incluyen anuncios de servicios de prostitución. También se debatía una moción del grupo municipal de NaBai en relación con las obras de rehabilitación del Palacio del Condestable. Entre tanto la concejala Uxue Barkos no pudo asistir al inicio de la sesión plenaria que dio comienzo a las 10:00 de la mañana ya que se encontraba en una consulta médica dado que tal y como la propia edil hizo publico unos meses antes padecía una grave enfermedad, razón por la que se incorporó posteriormente al citado pleno, entorno a las once de la mañana concretamente. Al encontrarse allí en ese momento varios medios de comunicación para informar sobre el pleno, y observar la incorporación de la edil al mismo, se acercaron a ella con interés ya que precisamente ese era el primer Pleno al que acudía desde que hubiese declarado públicamente que padecía una grave enfermedad.

En esa coyuntura, tuvieron lugar desde la cuenta personal de una de las concejalas de UPN (en aquellos días) del Ayuntamiento de Pamplona varios "tweet" (cuatro en total, tres en abierto y uno en cerrado).

Primer "tweet" (11:00): "Uxue Barkos hace su desembarco mediático xa distraer a los medios de la propuesta de UPN contra la explotación sexual de las mujeres en los medios", el cual además fue "retweeteado" por otro concejal del mismo Ayuntamiento y miembro del mismo partido político.
Posteriormente se envío un segundo "tweet" (11:02): "Palabra clave: medios. Uxue reaparece y comparece durante moción contra prostitución en Grupo Noticias".
Seguido por un tercer "tweet" (11:19): "Parece que me explico mal:Barcos saca a los medios del pleno llegando tarde,hurtando cobertura mediática a la explotación sexual del Noticias".

Al disponer el concejal que "retweeteo" los "tweets" de su compañera de partido, como contacto o "follower" a una concejala del Ayuntamiento de Pamplona del partido político de NaBai y al entender ésta última que en dichos "tweets" estaban faltando al respeto a su compañera de partido "Uxue Barkos", respondió por medio de otro "tweet" en cerrado al concejal de UPN que había "retweeteado" los "tweet"  pidiéndole explicaciones. A lo que éste contesto también por medio de un "tweet" en cerrado: "Itziar, es lo que me han comentado. Si no era el motivo me disculpo. Se puede saber el mótivo del retraso?".

Por último, la concejala de UPN responsable de los tres "tweets" enviados en abierto, y en respuesta a un "tweet" recibido por la concejala de NaBai en el que ésta le indicaba que lo que había hecho en su "tweet" era una inmoralidad, y siendo las 12:33 horas, dicha concejala de UPN y por medio de otro "tweet" (en cerrado) le contesto: "Inmoralidad aprovecharse así de cualquier cosa.De nabai se puede esperar eso y mucho más.Nunca defrauda".

Habiendo admitido desde el principio por parte de ambos concejales de UPN que ellos efectivamente eran los titulares de las cuentas de Twitter desde donde se habían "tweeteado" y "retweeteado" los mensajes respectivamente, la parte demandante, previamente a la celebración del juicio solicitó a ambos concejales,  la eliminación de los mensajes que fueron difundidos a través de Internet, así como una comparecencia pública en la que se retractasen y pidiesen perdón por los mensajes publicados vía Twitter desde sus cuentas personales, petición ante la cual los dos concejales se negaron a cumplir con lo solicitado (tal y como se publicó en el Diario de Noticias de Navarra). Por todo ello y al entender por parte del abogado de Uxue Barkos que el Derecho al honor, intimidad e imagen de su representada habían sido vulnerados y no habiéndose resarcido del daño causado, se procedió a interponer la consiguiente demanda.

Tras este resumen de los hechos acontecidos (probablemente mejor resumidos por Gontzal Gallo en su blog), voy a entrar a comentar lo que cada parte solicitó y esgrimió en su defensa así como a valorar lo establecido por la propia sentencia.

Por un lado la parte demandante solicitó que se declarase por sentencia que los comentarios vertidos vía Twitter habían vulnerado el derecho constitucional al honor de la demandante. Por otro lado, se solicitó que se condenase solidariamente a los codemandados a publicar a su costa en dos periódicos de información de la Comunidad foral de Navarra el contenido de la sentencia integra o en su defecto que se limitase al encabezamiento y fallo de la misma resarciendo así la vulneración causada. Así mismo, la parte demandante solicitó que los demandados procediesen a eliminar de forma definitiva, las manifestaciones denigratorias de las cuentas de las que los codemandados eran y son titulares y desde las que se realizaron las citadas declaraciones. Por último se solicitó que los codemandados en adelante se abstuviesen de llevar nuevos actos de intromisión en cualquier medio o plataforma que vulnerase el derecho al honor de la parte demandante así como al pago de las costas del litigio.

Ante lo cual la parte demandada, contestó a la demanda oponiéndose y solicitando sentencia por la que se desestimase integramente la demanda con imposición de las costas a la parte demandante.

Dicho lo cual, la sentencia, cita el derecho al honor (derecho fundamental recogido en el art.18.1 de la Constitución) y hace hincapié en sus dos vertientes, que son la de la autoestima y la de la fama.
Además admite que en ocasiones pueden entrar en conflicto varios derechos fundamentales como ocurre aveces con el derecho a informar y/o el derecho a la libertad de expresión (art. 20.1.d CE) con el derecho al honor, intimidad e imagen si bien es cierto que normalmente suelen prevalecer los primeros sobre el segundo, con excepción de que lo expresado contenga manifestaciones injuriosas o vejatorias (entendiendo por tales los insultos).

Pues bien la primera cuestión que me llama la atención es que en la propia sentencia se admite en el punto tercero de los fundamentos de derecho que literalmente no se ha dicho en ningún momento que la parte demandante haya utilizado su enfermedad con fines partidistas. Pero el juez entiende que sí se transmite esa idea a tenor del significado de los "tweets". Ya que interpreta que era un hecho conocido el padecimiento de la enfermedad de la demandante y para ello además cita textualmente del primer "Tweet" "desembarco" y del segundo "reaparece". Por ello entiende en suma el juez que con los "tweets" se relaciona la llegada tardía al Pleno de la demandante con la enfermedad que padece de cuya convalevencia precisamente regresa ("hace su desembarco, "reaparece") y con una determinada finalidad (..."hurtar cobertura mediática a la explotación sexual del Noticias, medio de información afín a su ideología).

Del cuarto "tweet" entiende el juez que la parte demandada con la expresión "cualquier cosa" se refiere a la enfermedad que la demandante padece y por tanto el significado de los "tweets" en general es ese y no otro ya que lo corrobora la inmediata reacción de la compañera de partido de la demandante así como la reacción del propio concejal de UPN compañero de la autora de los "tweets" que inmediatamente procedió a disculparse y a eliminar los mensajes.

Por todo ello, a pesar de que los "tweets" no contienen insultos ni palabras mal sonantes, sí se considera probado por parte del juez que en este supuesto, se acusa a una persona pública de utilizar el padecimiento de una enfermedad grave con fines partidistas y ello bajo su criterio, resulta vejatorio. Esta última cuestión creo que forma parte de la libertad de interpretación del juez, la cual personalmente en este supuesto comparto, aunque entiendo que pudiera haber jueces que no interpretasen de igual modo este hecho.

En cuanto a la difusión, me llama la atención que para ello tan sólo se tienen en cuenta los contactos ("followers") de ambos ediles de UPN no así la posible difusión que han podido tener dichos "tweets" por la red ya que dichos "followers" a su vez también disponen de más "followers" estableciendo una cadena difícil de determinar o que al menos en este asunto no se llega a plantear.

Por otro lado, el juez desestima la cuestión de las costas, si bien cabe destacar como establece una clara línea divisoria entre los dos codemandados, ya que en su opinión, uno de ellos además de no ser autor de los "tweets" se disculpa y elimina los "tweets" mientras que el otro no sólo no se disculpa sino que además hasta ese mismo momento no consta que haya eliminado dichos "tweets", por ese motivo, por la distinta conducta posterior de los demandados, el juez tiene en cuenta este hecho y absuelve al primero y no así al segundo.

Por último se establece que la parte demandada deberá eliminar los cuatro "tweets" publicados el 18 de marzo de 2011 y establece así mismo que la parte condenada deberá abstenerse en un futuro de llevar a cabo nuevos actos de intromisión, en cualquier ámbito, medio o plataforma de comunicación que vulneren el derecho al honor de la parte demandante.

Cabe reseñar en mi opinión de toda la sentencia y de ahí el título del presente "post", el hecho de que el juez decida cambiar el medio solicitado por la parte demandante (dos periódicos de información de la Comunidad foral de Navarra) para resarcir la vulneración sufrida por la parte demandante estableciendo en mi opinión con una clara visión innovadora el medio por el cual precisamente se entiende que se vulneró el derecho al honor de la parte demandante que no es otro que "Twitter" condenando a la parte demandada a hacer público el fallo por el citado canal en el cual además deberá mantenerse dicho "tweet" durante al menos dos meses.

En general, estoy de acuerdo con todo lo establecido en la sentencia, si bien es cierto que no comprendo el criterio en el que se fundamenta el juez a la hora de establecer el plazo de dos meses así como en otras cuestiones que se pueden suscitar al decidir el juez que se utilice Twitter como canal sobre el que realizar dichas comunicaciones sobre el fallo. Precisamente en relación a las cuestiones y dudas que esta decisión genera, entre otras he querido destacar aquellas que apuntan algunos compañeros y que han sido tema de debate en Twitter:

Jorge Campanillas: ¿Qué ocurre si la cuenta es cancelada o bloqueada por la compañía Twitter? ¿Cómo podría entonces la parte condenada cumplir con lo establecido en la sentencia? ¿A qué se refiere la sentencia con los dos meses, a "twitear" todos los días durante dos meses el fallo por la condenada o a mantener el "tweet" en el que se publicó el fallo durante dos meses?
Respuestas: David Maeztu apuntaba que se podría mantener con un favorito o simplemente manteniéndolo por un periodo de dos meses.
Noemi Brito por su parte y respondiendo a parte de esas cuestiones, en cuanto al bloqueó, aporto al debate que, Twitter se reserva el derecho a conservar y revelar información para cumplir la ley, procedimientos o requerimientos, además también puede conservar y revelar información ante solicitudes de ayuda de sus usuarios.

No obstante y a pesar de que pueden suscitarse estas y más cuestiones, creo que en esta ocasión el juez acierta con esta medida ya que en mi opinión es completamente proporcional al daño causado además de  que tal y como apunta Gontzal Gallo en su blog, acierta porque así lo señala la propia Ley Orgánica 1/1982, de 5 de mayo, de Protección Civil del Derecho al Honor, a la Intimidad Personal y Familiar y a la Propia Imagen.

En general, considero que es hora de que los jueces y tribunales de justicia hagan esfuerzos como en este caso por adaptarse a los tiempos actuales, por lo que lo considero sin ningún tipo de duda un avance, a pesar de que tampoco esto quiera decir que sea una medida muy "transgresora" o "moderna", por lo que no hay que lanzar las campanas al vuelo, queda todavía mucho por hacer en la modernización de la justicia.

¿Y vosotros que opináis? ¿Se ha equivocado el juez al optar por este tipo de solución? ¿Debería haber aplicado la vía que los demandantes solicitaban para la publicación del fallo por la parte condenada?

Seguiremos comentando este tipo de supuestos, seguro que no es el último.


Referencias:

Poder Judicial:
Sentencia completa: En la sentencia, que es recurrible ante la Audiencia Provincial de Navarra.

Diario de Noticias de Navarra:
Junio 2011: Uxue Barkos emprenderá acciones legales por presuntas injurias contra dos altos cargos de UPN.
Octubre 2012: La exconcejala de UPN Ana Pineda, condenada por vulnerar el derecho al honor de Uxue Barkos.

Otros post sobre la sentencia:
Gontzal Gallo: ¿Justicia adaptándose a las Redes Sociales?: Publicación de Sentencias en Twitter.
Iurismática/ Jorge Campanillas: Primera sentencia que obliga a publicación del fallo en twitter. 

6 sept 2012

PRIBATUA en la revista de la APDCM

Nuestra compañera Itxaso (Ana María del Mar Ortiz de Guzmán) ha realizado el siguiente artículo; Nace Pribatua, la Asociación Vasca de Privacidad y Seguridad de la Información  en la revista de la Agencia de Protección de Datos de la Comunidad de Madrid (http://www.datospersonales.org/) en la que se destacan las razones por las que hemos creado Pribatua y las funciones y objetivos con los que hemos constituido esta asociación.

Seguiremos informando sobre los proyectos de Pribatua.

Síguenos en Twitter @pribatua o en la web de Pribatua

5 ago 2012

Cómo gestionar las contraseñas

¿Qué es una contraseña?
Una contraseña o clave (en inglés password) es una forma de autentificación que utiliza información secreta para controlar el acceso hacia algún recurso. La contraseña debe mantenerse en secreto ante aquellos a quien no se les permite el acceso. A aquellos que desean acceder a la información se les solicita una clave; si conocen o no conocen la contraseña, se concede o se niega el acceso a la información según sea el caso.

En la actualidad debemos gestionar como usuarios un montón de contraseñas, ya que cada cuenta que creamos en Internet requiere normalmente de un usuario y de una contraseña. No obstante en muchas ocasiones, o bien no modificamos nunca las claves de acceso, o utilizamos la misma para casi todas las cuentas, por ello para prevenir sustos, a continuación detallo algunos consejos a la hora de gestionar nuestras contraseñas.
  • La longitud de las contraseñas debe ser al menos de ocho caracteres, a mayor longitud más difícil será de reproducir y mayor seguridad ofrecerá.
  • Las claves preferiblemente deben ser alfanuméricas, es decir deben componerse de números y letras así como de mayúsculas y minúsculas así como de distintos caracteres como puntos y comas.
  • Las contraseñas deben modificarse por otras nuevas cada cierto tiempo, cuanto menos tiempo mejor.
  • No se deben compartir claves con otras personas ni fijar claves de fácil deducción.
  • La contraseña no ha de ser igual o parecida a la identificación del usuario.
  • Ha de tener, como mínimo, un 50% de caracteres diferentes a los de la contraseña anterior.
  • No debe de haber sido utilizada por el mismo usuario en los 5 últimos cambios.
  • No ha de tener un mismo carácter repetido más de 2 veces.
  • No ha de contener números correlativos tanto ascendentes, como descendentes.
  • La introducción de la contraseña y su representación en pantalla en el momento de la identificación se realiza en un formato no legible para el resto de personas o usuarios que puedan encontrase alrededor.
  • A modo de recordatorio, en ningún caso se utilizarán “post it” o semejantes tanto en formato papel como electrónico.
  • No se deben almacenar las contraseñas en un lugar público y al alcance de los demás.
  • No es aconsejable compartir las contraseñas en Internet, por correo electrónico ni por teléfono (whatsapp y similares). En especial se debe desconfiar de cualquier mensaje de correo electrónico en el que te soliciten la contraseña o indiquen que se ha de visitar un sitio Web para comprobarla. Casi con total seguridad se tratará de un fraude.
Tal y como aconseja INTECO, Un buen método para crear una contraseña sólida es pensar en una frase fácil de memorizar y acortarla aplicando alguna regla sencilla. Un ejemplo sería seleccionando la primera letra de cada palabra y convirtiendo algunas de las letras en números que sean similares. Por ejemplo, "La seguridad es como una cadena, es tan fuerte como el eslabón más débil" podría convertirse en "Lsec1cetfceemd".

Por último quiero destacar algunas medidas de seguridad publicadas en la página del INTECO, Claves para un #veranoseguro: Los servicios en la nube y la seguridad en las vacaciones de verano

Recomendaciones de seguridad para las vacaciones: Acceso y Utilización de servicios en la nube
  • Tener en cuenta los riesgos de anunciar en las redes sociales nuestra ausencia durante las vacaciones. Cuando estamos diciendo en qué lugar estamos, también decimos en cual no estamos.
  • El uso de redes sociales como Foursquare o aquellas que permiten hacer “check-in” podrían facilitar que personas que no conocemos conozcan nuestra ubicación.
  • Servicios como Instagram deberían utilizarse con algunos recaudos si hemos decidido mantener en reserva nuestro viaje de vacaciones. De todas formas podría ser un buen momento para revisar la configuración de privacidad.
  • Verificar la configuración de la “geolocalización” en aquellos dispositivos que utilicemos durante las vacaciones, para ello podría resultar útil la “Guía de Seguridad y Privacidad de las herramientas de geolocalización”, que publicamos hace un tiempo.
  • Verificar la configuración de la seguridad y privacidad en las redes sociales y otros servicios en la nube que utilicemos, para ello podría resultar útil la “Guía de Seguridad y Privacidad en Redes Sociales” que publicamos hace un tiempo.
  • Reducir hasta un mínimo aquellas actividades que involucren información sensible desde locaciones y/o servicios de internet no seguros. En aquellas situaciones en las que deba accederse desde un lugar inseguro, se recomienda cambiar las credenciales de acceso lo antes posible, y desde un acceso seguro a Internet.
  • Activar el registro de acceso en aquellas redes sociales que lo permitan, de esta manera se puede tener un mejor seguimiento de la actividad de inicio de sesión.
  • Si utilizamos servicios de almacenamiento en la nube, leer siempre los términos y condiciones, principalmente aquellos puntos relacionados con la propiedad y uso que el proveedor del servicio podría hacer de la información que almacenemos, además de los aspectos de confidencialidad. Para ello puede ser útil el artículo de nuestro blog “Cloud Storage: algunos aspectos de privacidad y seguridad”.
  • No confiar plenamente en la seguridad del servicio de almacenamiento en la nube y asegurarnos el resguardo de la información, siempre bajo nuestra responsabilidad.
  • Utilizar alguna aplicación para el resguardo de las contraseñas de acceso a los distintos servicios. Adicionalmente, tener en cuenta el newsletter OUCH! “Protege tus Contraseñas”.
  • Utilizar una autenticación de dos factores en aquellos servicios que lo permitan.
  • Verificar la seguridad de nuestros dispositivos móviles, para ello se recomienda tener en cuenta el trabajo de ENISA “Smartphones: Information Security Risks, opportunities and recommendations for users” así como nuestra “Guía para proteger y usar de forma segura su móvil”.
  • Evaluar la posibilidad de contar con algún servicio de internet propio, de esta manera se podría disminuir la necesidad de un acceso público a internet. Por ej: módem 3G.
  • Evitar el uso de dispositivos o computadoras que sean propiedad de terceros.
Más información sobre este respecto en la página de INTECO.

Claves para un #veranoseguro: Los servicios en la nube y la seguridad en las vacaciones de verano