Seguretat de la informació

En l’actualitat es viu en una societat que és denominada per alguns com la societat de la informació. La informació és accessible per qualsevol persona des de qualsevol punt del món. Aquesta informació pot ser informació genèrica (un accident a Xangai o una revolta a Egipte poden ser coneguts, per exemple, a Toronto pocs segons després de succeir) o dades personals (la base de dades d’una multinacional de la qual qualsevol veí de Barcelona pot ser client o l’usuari de la qual es pot trobar físicament a França o a l’Índia i aquesta informació podrà ser manipulada o gestionada per persones a milers de quilòmetres dels vertaders protagonistes de la informació).

Una informació determinada o qualsevol dada referent a qualsevol detall de la vida quotidiana d’una persona pot tenir un valor molt important per a una tercera persona o per a una empresa concreta. Quines poden ser aquestes dades o aquestes informacions que poden ser importants per a altres? N’hi haurà moltes i de molts tipus. Detalls que poden semblar insignificants com els colors preferits d’una persona es poden fer servir per fer una oferta determinada d’un producte i un color concrets per cridar-ne l’atenció. Altres informacions molt més sensibles com les dades personals o les dades econòmiques d’una persona poden ser utilitzades per molts altres objectius també comercials o d’altra índole.

En la societat actual hi ha informació sensible que es pot trobar molt fàcilment, per casualitat o de manera intencionada, com, per exemple:

  • Una adreça de correu postal oblidada en una carta que es llença a les escombraries.
  • Un nom i cognoms escrits en una prova teòrica qualsevol a un institut o universitat.
  • Una llista de noms i cognoms d’alumnes amb les seves notes penjades davant d’una aula.
  • Un extracte bancari o una notificació de nova targeta de crèdit o dèbit.
  • Una nòmina i un DNI lliurats a un centre comercial per obtenir una targeta de fidelització.
  • El tipus i color de cotxe que pertany a una persona determinada.

Qualsevol d’aquestes informacions pot ser important per a algú. Fins ara totes aquestes informacions eren una mica més complicades d’aconseguir. O bé s’aconseguien a partir d’empreses que disposaven d’aquestes dades o bé a partir d’altres mètodes menys correctes.

L’aparició dels sistemes informatitzats i, posteriorment, de la xarxa de xarxes i totes les eines, aplicacions i oportunitats que aquestes ofereixen, han multiplicat de manera exponencial les possibilitats d’aconseguir informacions i dades de moltes persones.

I què es podrà aconseguir amb la possessió d’aquestes informacions? Dependrà de les intencions de cadascú, però saber l’adreça d’una persona i si té fills o el seu poder adquisitiu pot ser informació molt rellevant per a empreses o persones interessades, per moltes possibles raons, en aquest individu.

Cal donar l’oportunitat a cada persona de poder utilitzar el seu dret a protegir la seva informació, de poder tenir al seu abast les eines necessàries per limitar les informacions que vulguin fer públiques. I cal garantir, també, que aquelles dades seves que gestionaran terceres persones o organitzacions seran tractades amb el màxim de respecte, sense vendre-les, i sense errors ni tecnològics ni humans en el tractament.

En el primer cas, per exemple, si un usuari fa servir un servei a Internet per mitjà d’una pàgina web o d’una xarxa social determinada, haurà de poder escollir quina o quines informacions vol donar a l’organització encarregada de la gestió d’aquesta informació. A més, haurà de poder escollir quina o quines d’aquestes informacions voldrà compartir amb la gent que coneix i quina o quines informacions amb la que gent que no coneix.

En el segon cas, si un gran magatzem es dedica a recollir les dades personals i econòmiques dels seus clients que volen tenir un lligam de fidelitat, aquest gran magatzem haurà de garantir que aquestes informacions seran tractades amb el màxim de respecte, que no es comercialitzaran (tret que la persona que es fidelitza així ho vulgui) i que es faran servir tots els mitjans per evitar errors tecnològics o humans (com, per exemple, una cosa tan senzilla com que un treballador llenci a les escombraries una llista en paper, en CD o en un llapis USB amb les dades dels clients, sense ser abans destruïdes de la manera adequada).

La informació s’ha convertit en un dels béns més apreciats i cobdiciats per tot tipus de persones i empreses. Per aquesta raó, cal que se’n garanteixi la seguretat. Aquesta seguretat comença per entendre i fer entendre el caràcter personal de les dades i el dret a la intimitat que les persones han de tenir d’aquestes dades. El pas següent és garantir la disponibilitat, la integritat i la confidencialitat de les dades.

Però també és molt important conèixer la normativa legal vigent sobre això, les agències, les eines, les lleis existents que regulen que les empreses que gestionen les dades compleixin aquesta seguretat i que ajuden a aconseguir-ho.

A l’hora de tractar la seguretat en les dades cal tenir present que l’objectiu final és minimitzar el risc protegint els sistemes i la informació crítica de les companyies de la pèrdua o d’usos indeguts.

Les organitzacions han descobert els problemes de seguretat de la informació no fa gaire temps. A mesura que els sistemes informàtics han evolucionat, han evolucionat també els possibles problemes. No fa gaire temps els sistemes informàtics de les organitzacions eren sistemes centralitzats i eminentment tancats. Així, doncs, el principal problema de seguretat al qual s’enfrontaven aquestes companyies era la pèrdua accidental de les dades per avaries en els sistemes, problema que se solucionava amb sistemes de còpia de seguretat (backup) o sistemes redundants.

Tanmateix, la realitat de les companyies ha canviat radicalment, i han aparegut nous reptes de seguretat als quals cal enfrontar-se. D’una banda, els clients volen accedir a la informació de la companyia, moltes vegades la seva pròpia informació, i ho fan sovint mitjançant Internet. Aquest fet obre una porta d’accés per on la seguretat pot minvar.

De l’altra, treballadors desplaçats que fan la seva tasca a les dependències del client, agents comercials… tots ells necessiten accedir a la informació crítica de la companyia i ho fan per mitjà les xarxes públiques com Internet. També apareix el concepte de comerç electrònic que consisteix en la compra i venda de productes o de serveis per mitjans electrònics.

D’aquesta manera, podem observar que, en l’actualitat, les organitzacions són cada vegada més dependents de les seves xarxes informàtiques i un problema que els afecti, per mínim que sigui, pot arribar a comprometre la continuïtat de les operacions.

La manca de mesures de seguretat en l’accés a les dades i en les xarxes és un problema que està en creixement. Cada vegada és més gran el nombre d’atacants i cada vegada estan més organitzats, per la qual cosa van adquirint dia a dia habilitats més especialitzades que els permeten obtenir més beneficis. Tampoc no s’han de subestimar els problemes de seguretat provinents de l’interior mateix de la organització.

Confidencialitat, integritat i disponibilitat de les dades

Hi ha tres principis que ha de complir un sistema informàtic per garantir la seva seguretat i la de les dades que hi formaran part. Són:

  • confidencialitat,
  • integritat,
  • disponibilitat.

The big three CIA: condidentiality, integrity and availability principles of information security.

Els tres principis es coneixen com a the big three CIA (figura), com a principis de la seguretat de la informació. Quan aquests tres principis es compleixen podem dir que una informació o un conjunt d’informacions es troben segurs. Els tres principis són atemporals i no depenen ni del sistema gestor de bases de dades ni de la tecnologia sobre la qual es trobin. S’haurà d’assegurar el seu acompliment sempre.

Figura The big three

Tal com els seus noms indiquen, els tres principis garanteixen, en el cas del seu acompliment, una seguretat de les dades des de diversos punts de vista: les dades són confidencials, és a dir, només hi poden accedir les persones amb els permisos adients (els gestors o l’administrador i les persones a qui afectin o a aquelles que hagin habilitat), les dades han de ser íntegres, és a dir, han de complir les regles definides per ser coherents en tot moment, i les dades s’han de trobar disponibles en tot moment per a les persones interessades.

Principi d'integritat

La integritat de les dades exigeix la garantia que les dades no han estat alterades (figura). A més, la integritat ofereix la seguretat que les dades, una vegada gestionades amb altes, baixes, modificacions o consultes, continuaran oferint un estat d’integritat, de consistència en què les seves relacions i els seus vincles continuaran sent vàlids i certs.

Figura Principi d’integritat

A grans trets, podem diferenciar tres tipus d’integritat:

  • integritat d’entitats,
  • integritat referencial,
  • integritat semàntica.

Integritat d'entitats

La integritat d’entitats no permet els valors NULS a les claus primàries de les relacions.

La restricció d’integritat d’entitats estableix que cap valor de clau primària no pot ser nul i ha de ser un valor únic. Per exemple, si en una relació amb les dades dels alumnes d’una universitat hi ha dos alumnes amb el mateix codi, no es podrà saber quan es fa referència a l’un o a l’altre. Encara un cas pitjor seria si un camp clau té un valor nul, ja que aquest registre no podria ser referenciat mai.

Integritat referencial

La integritat referencial s’encarrega de validar la concordança entre els valors d’una clau forana i els valors de la clau primària a la qual es fa referència.

La integritat referencial es compleix quan un valor en la clau forana d’una relació fa referència a un valor vàlid de la clau primària d’una altra relació (figura).

Figura Integritat referencial

Es pot suposar el cas d’una base de dades que ofereix diferents relacions i una d’elles, per exemple la relació OrdreCompra, disposa d’un camp, FKProducte, que és una clau forana que referencia un altre camp, PKProducte, de la relació Productes.

Els valors del camp FKProducte han d’existir en la taula Productes. És necessari per poder accedir a una informació més precisa de les seves característiques a l’hora de voler analitzar les ordres de compra o obtenir-ne més informació. Per aconseguir el compliment de la integritat referencial caldrà fer una sèrie de comprovacions quan es recullen les dades de les relacions. Per exemple, no acceptar cap ordre de compra d’un producte si no es valida que estigui prèviament en la relació Productes. O bé, no donar l’opció de teclejar el codi del producte i oferir una llista de possibilitats perquè sigui segur que l’usuari no es pot equivocar.

Però hi ha altres possibles errors que es poden produir i que provoquin que no es compleixi la propietat de la integritat referencial. Quan es poden produir errors d’integritat referencial?

  • Quan es modifica el valor de la clau principal d’un registre que té “fills”. Per exemple, es modifica l’identificador d’un producte en la relació de productes. La solució és l’actualització en cascada; aquesta opció indica a l’SGBD (gestor de base de dades) que quan es canvia un valor del camp clau de la taula principal, automàticament canviarà el valor de la clau forana dels registres relacionats en la taula secundària. És a dir, modificaria tots els valors del camp FKProducte (OrdreCompra) automàticament en modificar la clau d’un producte en la relació Productes.
  • ­Quan s’esborra una fila de la taula principal i aquesta té “fills”. La solució és l’esborrament en cascada; esborrant tots els registres associats de la taula secundària (OrdreCompra). Aquest esborrament es podria fer només del camp que és clau forana (deixant els valors afectats com a NUL, però aquesta solució no compliria la integritat referencial en tenir una relació (OrdreCompra) amb alguns registres amb informació parcial (sense indicar el producte comprat).

Integritat semàntica

La integritat semàntica valida les regles de negoci del model relacional. Una restricció d’integritat semàntica permet definir regles de negoci. Aquestes regles indiquen algunes condicions que les dades d’una base de dades han de complir. En l’exemple anterior, una regla de negoci pot ser que un usuari no pot donar d’alta més ordres de compra d’un producte determinat de les unitats que hi hagi en el seu estoc.

Un altre exemple d’integritat semàntica pot ser: “un alumne no pot estar matriculat a més de 80 crèdits”.

Per solucionar o evitar els problemes d’integritat semàntica es poden utilitzar disparadors o triggers.

L’objectiu de la integritat és protegir la base de dades contra operacions que introdueixin inconsistències en les dades; d’aquesta manera el subsistema d’integritat d’un SGBD ha de detectar i corregir, en la mesura que sigui possible, les operacions incorrectes.

ACID: atomicitat, consistència, aïllament, durabilitat.

Un altre tipus de problema que pot afectar la integritat de les dades és la interrupció de sentències múltiples de manipulació de dades abans de finalitzar totes les previstes d’un conjunt. Per exemple: una transferència entre dos comptes bancaris no es pot quedar en un estat intermedi: o es deixen els diners en el primer compte bancari o en el segon, però no es poden treure els diners del primer compte, que falli alguna cosa (xarxa, l’SBBD, el suport físic en què es troben les dades…) en aquell moment i no entregar-los en el segon compte.

Els SGBD han de garantir que l’execució d’un conjunt de sentències sobre la base de dades ha de complir les propietats ACID.

Principi de disponibilitat

El principi de disponibilitat indica que les dades han de ser accessibles i els serveis han d’estar operatius fins i tot en el cas de problemes de subministrament elèctric, atacs als servidors, accidents o altres situacions fortuïtes o provocades (figura).

Figura Disponibilitat

Hi ha algunes possibles solucions als problemes de no-disponibilitat de les dades o dels serveis. La majoria de les solucions són físiques. Per mantenir l’accessibilitat a les dades o resistir-s’hi hi ha accions o solucions com:

  • Sistemes de balanceig de la càrrega per evitar col·lapses a la xarxa o als serveis que ofereix.
  • SAI (sistemes d’alimentació ininterrompuda) per evitar avaries o irregularitats en el subministrament elèctric, sobretensions o pèrdues de tensió, llamps, etc.
  • Plans de recuperació o plans de contingència: és un esquema que especifica els passos que cal seguir en cas que s’interrompi l’activitat del sistema, amb l’objectiu de recuperar la funcionalitat. Com, per exemple: còpies de seguretat, replicació de bases de dades, clústers de servidors, etc.

Principi de confidencialitat

La confidencialitat garanteix que l’accés a les dades i a les comunicacions queda protegit contra la intercepció i/o lectura de persones no autoritzades (figura). Es tracta d’un principi molt important en el cas de dades de caràcter personal i crític en el cas de dades bancàries.

Per complir el principi de confidencialitat cal identificar els usuaris que fan servir les dades i l’accés a elles, aplicant així el control d’accés (controlant qui accedeix i a on), però també altres tècniques com l’encriptació d’informació en les comunicacions (encriptació de les dades en l’enviament via xarxes). Tot i així, també és possible que aquests mètodes siguin interpretats i sobrepassats per les persones que intentin accedir a la informació, ja sigui per obtenir informació o per efectuar canvis mal intencionats en una porció de la base de dades. Aquest problema és comú a tots els sistemes informàtics.

El mecanisme de seguretat d’un SGBD ha d’incloure maneres de restringir l’accés al sistema com un tot. Aquesta funció s’anomena control d’accés i es posa en pràctica creant comptes d’usuaris i contrasenyes (identificació de l’usuari) perquè l’SGBD controli el procés d’entrada al sistema.

Figura Confidencialitat

En el cas del control d’accés, es pot diferenciar entre:

  • Control d’accés global: creació d’usuaris que s’han d’autentificar (pot ser amb usuari/clau o per veu o per empremta dactilar…). Es podran supervisar totes les operacions fetes per cada usuari en cada sessió de treball, si algú duu a terme una operació il·legal o no autoritzada sobre la base de dades, l’administrador podrà determinar qui ho ha fet. Els usuaris quan hi accedeixen ho fan a tota la informació. Amb aquest sistema s’evita que el personal no autoritzat accedeixi a la base de dades.
  • Control d’accés discrecional: els usuaris podran accedir a les dades mitjançant una identificació que els limitarà l’accés a unes dades determinades i tindran privilegis per dur a terme unes operacions concretes. El control d’accés es pot fer a nivell de compte o a nivell d’objecte de la base de dades (en un SGBD serà a nivell de taula). Aquest és el sistema de control d’accés que ofereix la majoria dels sistemes gestors de bases de dades. Les instruccions que es faran servir per a la gestió dels privilegis són GRAN i REVOKE.
  • Control d’accés obligat: es tracta d’un tipus de seguretat més avançat que els vistos fins ara. Es fa servir per a un tipus d’aplicacions com les governamentals, militars, d’espionatge… Es fa servir un tipus de seguretat anomenat multinivell que atorga a cada usuari i objecte un nivell de seguretat.

Caràcter personal i el dret a la intimitat de les dades

Hi ha molts tipus de dades, però la gran majoria de dades són de caràcter personal o bé tenen una dependència força directa d’una persona o una organització. Fins i tot les dades que indiquen la quantitat d’unitats d’un producte determinat a un magatzem o els llibres que hi ha a una biblioteca tenen aquest tipus de dependència.

El fet que les dades tinguin un caràcter personal dóna un aire de pertinença de les dades. Si una empresa té una base de dades amb les dades personals dels seus clients o dels seus treballadors, a qui pertanyen aquestes dades? Als treballadors? A l’empresa? Si un banc disposa d’una base de dades amb totes les informacions referents a un client, aquesta informació és responsabilitat del banc (en el cas d’accessos indeguts o d’utilització d’aquesta informació per altres organitzacions), però l’usuari té dret a manipular-la.

Darrerament és força comú observar que hi ha organitzacions que demanen les dades personals als usuaris en els seus portals web corporatius. Hi ha regals o promeses o sortejos en el cas de registrar-se, si el mateix interessat emplena totes les informacions sol·licitades per l’organització.

Exemple de recollida de dades personals per part d'organitzacions

Com a exemple es podria agafar un fabricant d’un producte que normalment es ven via un detallista (per exemple, iogurts o galetes). No hi ha un contacte directe entre el fabricant i el comprador. És complicat conèixer els gustos i els hàbits de compra dels autèntics responsables de les compres, ja que els distribuïdors poden indicar el nombre de productes venuts en un espai de temps determinat, però no les característiques dels consumidors finals. Un dels objectius és poder tenir les dades per dur a terme campanyes de màrqueting més específiques o bé per fabricar un nou tipus de producte concret en funció d’aquestes informacions. Com es poden aconseguir les informacions que els fabricants volen?

Fins no fa gaires anys tècniques com els sortejos de regals o de sous per a tota una vida provocaven que els consumidors finals enviessin les seves dades als fabricant per participar en aquestes promocions (moltes vegades hi ha una empresa intermèdia que també disposarà d’aquestes dades encarregada de la seva gestió).

En l’actualitat, es poden dur a terme campanyes de fidelització mitjançant les quals els mateixos compradors introdueixen les seves dades en un portal web. La recollida de les dades és molt més senzilla i ràpida, de manera que es poden aprofitar per fer una petita enquesta de gustos i per informar els usuaris de les implicacions que té, pel que fa al tractament de les seves dades, el seu registre.

Les dades són de caràcter personal, però tindran dos responsables. D’una banda, totes les dades pertanyen a les persones a les quals fan referència. En el cas d’una base de dades amb dades dels clients, la pertinença d’aquesta informació és dels clients (sempre que ells hagin donat permís perquè l’organització tingui aquesta informació). Aquesta pertinença donarà el dret a la persona a consultar, modificar o esborrar la seva informació d’aquella base de dades.

Però les dades es trobaran físicament sota la responsabilitat de l’empresa. Aquesta serà la responsable de no perdre-les, que ningú sense permisos hi pugui accedir, de no vendre-la…

D’una altra banda, un altre concepte molt relacionat amb l’anterior és el dret que té tota persona a la intimitat de les seves dades (tant des del punt de vista de pertinença a l’empresa com des del punt de vista de pertinença al treballador o al client). Precisament aquest dret a la intimitat obliga a no poder vendre la informació a una tercera empresa, sempre que l’usuari no doni permís que es puguin donar aquestes circumstàncies.

Legislació sobre protecció de dades

La protecció de les dades de caràcter personal ha pres darrerament una gran rellevància. Les persones es mostren cada dia més curoses amb les seves dades i són més conscients de la protecció de què ha de gaudir la seva informació personal.

La situació actual és producte, d’una banda, de la normativa en matèria de protecció de dades i, de l’altra, de l’activitat creixent de l’Agència Espanyola de Protecció de Dades, organisme autònom encarregat d’assegurar el compliment de la legislació vigent (i fruit de la mateixa legislació).

Per a més informació sobre l’Agència Espanyola de Protecció de Dades, consulteu la secció “Adreces d’interès” del web.

Agències autonòmiques

A data d’avui no totes les comunitats autònomes han creat les seves agències de protecció de dades. Catalunya sí que en té: és l’Agència Catalana de Protecció de Dades, consulteu la secció “Adreces d’interès” del web.

Veurem a continuació com han anat evolucionant les lleis; la primera en aparèixer va ser la Llei Orgànica 15/1999, de 13 de desembre, de protecció de dades de caràcter personal (LOPD). Aquesta norma tenia per objecte garantir i protegir, en relació amb el tractament de dades personals, les llibertats públiques i els drets fonamentals de les persones físiques, i en especial el seu honor, intimitat i privacitat. La LOPD va crear els anomenats drets ARCO:

  • Dret d’Accés: Reconeix als ciutadans la potestat de defensar la seva privacitat controlant per si mateixos l’ús que es fa de les seves dades personals.
  • Drets de Rectificació : La LOPD també regula els drets de rectificació i cancel·lació: quan les dades personals d’un ciutadà resulten ser incompletes, inexactes, excessives o inadequades aquest pot requerir al responsable del fitxer la seva rectificació o cancel·lació.
  • Dret de Cancel·lació: El ciutadà pot exigir al responsable del fitxer la supressió de dades que consideri inadequades o excessives.
  • Dret d’Oposició: Consisteix en el dret dels titulars de les dades per dirigir-se al responsable del fitxer perquè deixi de tractar les seves dades sense el seu consentiment per a fins de publicitat o prospecció comercial.

Posteriorment, amb el desenvolupament i popularització d’Internet i l’aparició de comerços online va aparèixer al 2002 la llei de serveis de la societat de la informació i comerç electrònic, coneguda per les seves sigles com LSSI.

Al 2003 apareix la llei de la firma electrònica per regular els certificats digitals i donar validesa jurídica a aquesta firma. Al 2003 també s’aprova el Reglament que desenvolupa la llei de protecció de dades de caràcter personal de 1999. El 2007 s’aprova la llei de conservació de dades a les comunicacions electròniques i a les xarxes públiques de comunicacions.

El 27 d’abril de 2016 s’aprova el el Reglament General de Protecció de dades (RGPD), que no va entrar en vigor fins al Maig del 2018, per donar un marc Europeu. Aquest reglament, entre altres coses, amplia els drets ARCO.

El 5 de desembre de 2018 s’aprova la llei orgànica 3/2018, Protecció de Dades Personals i Garanties dels Drets Digitals (LOPDGD), que adapta l’RGPD a la normativa espanyola. Amb LOPDGD i l’RGPD es deroga l’antiga LOPD.

A continuació teniu un llistat d’aquestes lleis :

  • Llei Orgànica 15/1999, de 13 de desembre, de protecció de dades de caràcter personal (LOPD).
  • Llei 34/2002, d’11 de juliol, de serveis de la societat de la informació i comerç electrònic (LSSICE) o, habitualment (LSSI).
  • Llei 59/2003, de 19 de desembre, de firma electrònica.
  • Llei Orgànica 15/2003, de 25 de novembre, per la qual es modifica la Llei Orgànica 10/1995, de 23 de novembre, del Codi Penal.
  • Reial Decret 1720/2007, de 21 de desembre, pel que s’aprova el Reglament de desenvolupament de la Llei Orgànica 15/1999, de 13 de desembre, de protecció de dades de caràcter personal.
  • Llei 25/2007, de 18 d’octubre, de conservació de dades relatives a las comunicacions electròniques i a les xarxes públiques de comunicacions.
  • Llei Orgànica 5/2010, de 22 de juny, per la qual es modifica la Llei Orgànica. 10/1995, de 23 de novembre, del Codi Penal.
  • Reglament General de Protecció de dades (RGPD) del 27 d’Abril de 2016.
  • Llei orgànica 3/2018 Protecció de Dades Personals i Garanties dels Drets Digitals (LOPDGD) del 5 de desembre de 2018.

Per dur a terme una tasca professional de qualitat és molt important (fins i tot ens atreviríem a dir que imprescindible) conèixer la normativa espanyola aplicable a la protecció de dades de caràcter personal.

El Reglament General de Protecció de dades (RGPD)

Reviseu el subapartat “El Codi Penal i les conductes il·lícites vinculades a la informàtica”, d’aquesta mateixa unitat.

Aquest reglament és una norma d’àmbit europeu que protegeix les dades personals de tots els residents a la Unió Europea i garanteix el flux de dades entre els països de la Unió Europea. Per tant, els països necessiten integrar aquest reglament a les seves legislacions.

Aquest reglament estableix l’obligació de les organitzacions d’adoptar mesures destinades a garantir la protecció d’aquestes dades que afecten sistemes informàtics, fitxers, suports d’emmagatzematge, demanar el consentiment per usar les dades de caràcter personal i procediments operatius. Aquestes mesures han d’adoptar-les totes les organitzacions que operen amb residents a la Unió Europea, encara que no hi tinguin la seva seu.

En el Capítol 7 d’aquest reglament es crea el Comitè Europeu de protecció de dades per supervisar el Reglament i la seva aplicació als diferents països d’Europa. En el Capítol 11, Disposicions finals, s’estableix com a màxim el 25 de maig del 2020 per fer una primera avaluació i revisió del reglament per tal d’anar-lo actualitzant als nous temps. Posteriorment, aquesta revisió es repetirà cada 4 anys.

Els fitxers que han de satisfer mesures de seguretat no són tan sols aquells als quals es pot accedir a Internet, sinó tots els que continguin dades personals.

L’RGPD és aplicable a qualsevol informació sobre persones físiques identificades o identificables (nom i cognoms, edat, sexe, dades d’identificació fiscal, estat civil, professió, domicili, dades biomètriques…) enregistrada en qualsevol suport físic (inclòs el paper), que en permeti el tractament manual o automatitzat i ús posterior pel sector públic o privat. Traspassat a l’àmbit de les empreses, s’ha d’interpretar que l’RGPD és aplicable a qualsevol organització que manipuli o arxivi fitxers, tant en paper com en suport magnètic, que continguin informació o dades de caràcter personal, tant dels seus treballadors com dels seus clients o proveïdors (persones físiques), la qual cosa obliga les empreses, institucions, professionals i, en general, totes les persones jurídiques o físiques que operin amb fitxers de dades de caràcter personal, al compliment d’una sèrie d’obligacions legals. Cal tenir present, però, que al considerand 18, diu: “El reglament no s’aplica al tractament de dades de caràcter personal dut a terme per una persona física en el curs d’una activitat exclusivament personal o domèstica, és a dir sense cap connexió amb una activitat professional o comercial”.

Què és una dada de caràcter personal?

Segons el Reglament General de Protecció de dades (RGPD), una dada de caràcter personal és “qualsevol informació sobre una persona física identificada o identificable (l’interessat)”.

Per tractament s’entén “qualsevol operació o conjunt d’operacions realitzades sobre dades personals o conjunts de dades personals, ja sigui per procediments automatitzats o no, com la recollida, el registre, l’organització, l’estructuració, la conservació, l’adaptació o la modificació, l’extracció, la consulta, la utilització, la comunicació per transmissió, difusió o qualsevol altra forma d’habilitació d’accés, acarament o interconnexió, limitació, supressió o destrucció”.

Objectiu del reglament i principis bàsics de l'RGPD

El parlament Europeu i el Consell de la Unió Europea, a partir del Tractat de funcionament de la Unió Europea, en concret de l’article 16, i d’una proposta de la Comissió Europea, van enviar una proposta del text legislatiu als parlaments nacionals, per posteriorment elaborar dos dictàmens. L’RGPD considera que la protecció del tractament de les dades personals és un dret fonamental, tal i com està a la Carta dels Drets Fonamentals de la Unió Europea a l’article 8, que estableix que qualsevol persona té dret a la protecció de les dades de caràcter personal que l’afecten. Pel que fa al tractament de les dades personals s’han de respectar les llibertats i els drets fonamentals, especialment el dret a la protecció de les dades de caràcter personal, sigui quina sigui la seva nacionalitat o residència.

L’objectiu de l’RGPD és, doncs, garantir i protegir la privacitat i la intimitat de les persones físiques. Tal i com queda clar a l’article 1 del RGPD on s’explica l’objecte d’aquest, engloba tres objectes:

  1. Establir les normes relatives a la protecció de les persones físiques pel que fa al tractament de les dades personals i les normes relatives a la lliure circulació d’aquestes dades.
  2. Protegir els drets i les llibertats fonamentals de les persones físiques i el seu dret a la protecció de les dades personals.
  3. Evitar restriccions a la lliure circulació de les dades personals a la Unió Europea originades per les necessitats de protecció de dades.

L’RGPD canvia alguns articles de la LOPD i afegeix noves obligacions per a les empreses.

Els canvis més importants de l’RGPD respecte la LOPD són:

  • El principi de responsabilitat proactiva. El nou Reglament indica que el responsable del tractament ha d’aplicar mesures apropiades per poder demostrar que el tractament és conforme al Reglament, tal i com aparèix a l’article 5. Les organitzacions han d’analitzar quines dades tracten i amb quines finalitats ho fan i han de mirar quins tipus d’operacions de tractament realitzen per tal d’aplicar les mesures que preveu l’RGPD. Aquestes mesures han de ser les adequades per complir amb el Reglament. També han de poder demostrar el compliment del Reglament davant de tercers. Aquest principi exigeix que el responsable del tractament ha de tenir una actitud proactiva, davant de tots els tractaments de dades que realitzi.
  • El principi de l’enfocament de risc. El nou Reglament indica que s’ha de tenir en compte el risc per als drets i les llibertats de les persones. Així, algunes de les mesures només s’han d’aplicar quan hi hagi un alt risc per als drets i les llibertats. Les mesures previstes per l’RGPD s’han d’adaptar a les característiques de les organitzacions. El que pot ser bo per a una organització no necessàriament ho ha de ser per a una altra. No és el mateix una organització que utilitza dades de milions de persones, amb tractaments que contenen informació personal sensible o volums importants de dades sobre cada persona, que una petita empresa amb poques dades i que treballa amb dades no sensibles.

A més, manté (ampliats en alguns casos) els següents principis ja recollits a la LOPD:

  • Principi de qualitat de les dades: les dades de caràcter personal només es poden recollir per al seu tractament i sotmetre’s a aquest tractament quan siguin adequades, pertinents i no excessives amb relació a l’àmbit i les finalitats determinades, explícites i legítimes per a les quals s’hagin obtingut. L’RGPD exigeix reduir al mínim necessari tant el tractament de les dades com les persones autoritzades a accedir a aquestes dades.
  • Finalitat expressa: les dades de caràcter personal objecte de tractament no poden ser usades per a finalitats que no siguin compatibles amb aquelles per a les quals s’han recollit. Es consideren compatibles, tanmateix, el tractament posterior d’aquestes dades amb finalitats històriques, estadístiques o científiques.
  • Necessitat de consentiment de la persona afectada: el tractament de les dades requereix el consentiment de la persona afectada.
  • Actualitat de les dades: les dades personals que s’incorporin en un fitxer han de respondre a una situació actual.
  • Principi d’exactitud: les dades personals han de ser susceptibles de modificació i de rectificació des del moment en què se’n coneix la modificació.
  • Deure d’informació a la persona afectada: les persones interessades a les quals se sol·licitin dades de caràcter personal hauran de ser advertides prèviament de manera expressa, precisa i inequívoca:
    • Que les seves dades seran incloses en un fitxer, de la finalitat de la recollida i dels destinataris de la informació.
    • De l’obligatorietat o voluntarietat de donar aquestes dades.
    • De les conseqüències que porten aparellades l’obtenció de les dades o de la negativa a subministrar-les.
    • De la possibilitat d’exercir els drets d’accés, rectificació, cancel·lació i oposició (drets ARCO).
    • De la identificació i de l’adreça de la persona encarregada de dur a terme el tractament del fitxer o, si escau, del seu representant, perquè els afectats puguin exercir els seus drets.

A l’RGPD alguns d’aquests drets s’han ampliat:

  • El dret de cancel·lació ha passat a denominar-se dret de supressió i té un aspecte molt comentat però adreçat essencialment als navegadors d’internet i xarxes socials: el dret a l’oblit.
  • El dret al consentiment: L’RGPD requereix que l’interessat presti el consentiment mitjançant una declaració inequívoca o una acció afirmativa clara. Als efectes del nou Reglament, les caselles ja marcades, el consentiment tàcit o la inacció no constitueixen un consentiment vàlid. Igualment, perquè les dades estiguin especialment protegides, és necessari donar el consentiment exprés i per escrit.

També s’han incorporat dos nous drets: limitació del tractament i portabilitat.

  • El dret a la limitació del tractament amplia el dret del consentiment; és el dret de l’usuari a posar limitacions als tractaments sobre les seves dades.
  • El dret a la portabilitat de les dades inclou, per una banda, que la informació com a resposta al dret d’accés s’ha de proporcionar de manera completa i en format compatible d’ús corrent i, per una altra, que ha de poder-se transmetre a petició de l’interessat en aquest format directament a una altra organització (per exemple, si canviem de proveïdor).

Cancel·lació i bloqueig de dades

És el procediment en virtut del qual el responsable cessa en l’ús de les dades. La cancel·lació implicarà el bloqueig de les dades, que consisteix a identificar-les i reservar-les per impedir-ne el tractament, excepte per posar-les a disposició de les administracions públiques, jutges i tribunals per atendre les possibles responsabilitats nascudes del tractament, i només durant el termini de prescripció de les responsabilitats esmentades. Transcorregut aquest termini, caldrà eliminar efectivament les dades.

És precís informar a les persones afectades per l’ús de les seves dades dels ítems que es llisten a continuació, per tal que puguin exercir pròpiament els drets anteriors:

  • La base jurídica del tractament.
  • Interessos legítims que es volen assolir.
  • Necessitat de donar un consentiment. Aquest s’ha de donar amb un acte afirmatiu clar, específic, informat i inequívoc. Pot realitzar-se en paper o a través de mitjans electrònics.
  • Termini de conservació de les dades. Quan aquest venci, el responsable del tractament n’ha de limitar el tractament a través de mitjans tècnics com impedir-hi l’acces als usuaris, trasllat temporal de les dades afectades a un altre sistema de tractament o retirada temporal d’un lloc d’Internet de les dades afectades.
  • Dades de contacte amb el delegat de protecció de dades (si n’hi ha).
  • Existència del dret a reclamar a una autoritat de control. Això és important, ja que també existeix, en cas de tractament inadequat o negligent, el dret a obtenir una reparació, i si escau una indemnització per part del perjudicat.
  • Existència de decisions automatitzades o l’elaboració de perfils (si n’hi ha). L’interessat té dret a oposar-se a que les dades personals que l’afecten siguin objecte d’un tractament, inclosa l’elaboració de perfils. El responsable del tractament ha de deixar de tractar aquestes dades personals, tret que acrediti motius legítims imperiosos per al tractament que prevalguin sobre els interessos, els drets i les llibertats de l’interessat, o per a la formulació, l’exercici o la defensa de reclamacions. L’interessat també té dret a no ser objecte de decisions basades exclusivament en un tractament automatitzat.
  • Dret a la informació de l’afectat davant canvis en les seves dades: Si hi ha un canvi de les dades s’ha d’informar del canvi a l’afectat, per tal de que les verifiqui i conegui el canvi.
  • Si es transmetran les dades a tercers. Cal tenir present que només s’han de fer transferències de dades personals que es tracten o que es tractaran quan es transfereixin a un tercer país o a una organització internacional si, sens perjudici de la resta de disposicions del RGPD, el responsable i l’encarregat del tractament compleixen les condicions adecuades, incloses les relatives a les transferències posteriors de dades personals des del tercer país o organització internacional a un altre tercer país o una altra organització internacional.

La informació proporcionada en tot moment ha de ser clara i fàcilment intel·ligible: No s’ha de posar lletra petita, ni usar paraules ambígües ni frases complicades o difícils d’entendre.

La LOPDGD tracta, a més, dels drets que s’apliquen al cas de menors i de dades de persones difuntes.

Obligacions de les empreses i els implicats en els tractaments

La necessitat de proporcionar als usuaris els drets recollits per l’RGPD, deriva en una sèrie d’obligacions per a les empreses i persones responsables i encarregades d’efectuar els tractaments, com són:

  • Proporcionar procediments senzills per exercitar els drets.
  • Disposar de formularis conformes amb l’RGPD i la LOPDGD per informar als usuaris i perquè aquests exerceixin els seus drets.
  • Pseudonimització de les dades i les bases de dades.
  • Protecció de dades des del disseny i per defecte (article 25 RGPD); això implica tenir en compte les mesures de seguretat abans de l’inici del tractament i quan aquest s’està duent a terme).
  • Tenir un registre de les activitats del tractament.
  • Poder demostrar davant l’autoritat que es segueix la llei si s’és sol·licitat per aquesta.
  • Notificar les violacions de seguretat.

D’altra banda, no és obligatori registrar a l’autoritat de control els fitxers amb dades personals que té l’organització, com passava amb l’anterior LOPD.

Altres obligacions recollides a l’RGPD són:

  • En el Capítol 4 apareix l’obligació de xifrar les dades personals, a més de guardar-les amb pseudònims (pseudonimització) per tal de que sigui més difícil d’identificar de qui són les dades.
  • En aquest mateix capítol, a l’article 42, s’assenyala que els organismes es podran certificar de forma voluntària.

Notificació de violacions de seguretat

L’article 33 de l’RGPD, Notificació d’una violació de la seguretat de les dades personals a l’autoritat de control, diu que el responsable ha de notificar a l’autoritat de control la violació de seguretat, sense dilació indeguda i, si és possible, en un termini màxim de 72 hores i de conformitat amb l’article 55, tret que sigui improbable que constitueixi un risc per als drets i les llibertats de les persones.

Quan sigui probable que la violació comporti un alt risc per als drets de les persones interessades, el responsable l’ha de comunicar a les persones afectades sense dilacions indegudes i en un llenguatge clar i senzill tal i com diu l’article 34, tret que:

  • El responsable hagi adoptat mesures de protecció adequades, com ara que les dades no siguin intel·ligibles per a persones no autoritzades.
  • El responsable hagi aplicat mesures posteriors que garanteixen que ja no hi ha la probabilitat que es concreti l’alt risc.
  • Suposi un esforç desproporcionat. En aquest cas, cal optar per una comunicació pública o una mesura semblant.

La notificació de la fallada a les autoritats dins de les 72 hores següents a partir del moment al qual el responsable n’ha tingut constància pot ser objecte d’interpretacions variades. Normalment, es considera que se’n té constància quan hi ha certesa i coneixement suficient de les circumstàncies. La mera sospita no obliga a notificar ja que, en aquests casos, no és possible conèixer suficientment l’abast del succés.

Ara bé, si sospitem que el problema pot tenir un gran impacte, és recomanable contactar amb l’autoritat de supervisió.

En cas que no sigui possible realitzar la notificació dins el termini de 72 hores, pot fer-se més tard, però cal justificar-hi les causes del retard.

L’RGPD estableix el contingut mínim de la notificació. Aquests contenen elements com:

  • La naturalesa de la violació.
  • Les categories de dades i d’interessats afectats.
  • Les mesures adoptades pel responsable per a solucionar la fallada i, si és el cas, les mesures aplicades per pal·liar els possibles efectes negatius sobre les persones interessades.

La informació també es pot proporcionar de forma escalonada, quan no es pugui fer completament al mateix moment de la notificació.

Finalment, el responsable del tractament ha de documentar qualsevol violació de la seguretat de les dades personals, inclosos els fets que hi estan relacionats, els seus efectes i les mesures correctores que s’han adoptat.

El responsable, l'encarregat del tractament i el delegat de protecció de dades (DPD)

L’RGPD introdueix les figures del responsable del tractament de dades, de l’encarregat del tractament i del delegat de protecció de dades.

El capítol IV de l’RGPD tracta del responsable, de l’encarregat del tractament i del delegat de protecció de dades.

Hi pot haver representants dels responsables i/o dels encarregats del tractament quan aquests no estan establerts a la Unió, però entra dins de l’àmbit del Reglament, segons recull l’article 3, apartat 2. En aquests casos, el responsable o l’encarregat del tractament ha de designar per escrit un representant a la Unió.

El responsable del tractament

El responsable del tractament o responsable és la persona física o jurídica, autoritat pública, servei o qualsevol altre organisme que, sol o juntament amb d’altres, determina les finalitats i els mitjans del tractament. El responsable ho és i ha de poder demostrar (accountability) que les dades personals siguin:

  • Adequades, pertinents i limitades al que és necessari en relació amb les finalitats per a les quals es tracten (minimització de dades).
  • Conservades de manera que permetin identificar els interessats durant un període no superior al necessari per a les finalitats del tractament de dades personals.
  • Exactes. Això implica que, quan sigui precís, s’hauran d’actualitzar. Cal adoptar les mesures raonables perquè es suprimeixin o es rectifiquin les dades personals que siguin inexactes amb les finalitats per a les quals es tracten (“exactitud”);
  • Tractades de manera lícita, lleial i transparent en relació amb l’interessat (licitud, lleialtat i transparència).
  • Recollides amb finalitats determinades, explícites i legítimes; posteriorment no s’han de tractar de manera incompatible amb aquestes finalitats. D’acord amb l’article 89, el tractament posterior de les dades personals amb finalitats d’arxiu en interès públic, amb finalitats de recerca científica i històrica o amb finalitats estadístiques no es considera incompatible amb les finalitats inicials (limitació de la finalitat).
  • Tractades de manera que se’n garanteixi una seguretat adequada, inclosa la protecció contra el tractament no autoritzat o il·lícit i contra la seva pèrdua, destrucció o dany accidental, mitjançant l’aplicació de les mesures tècniques o organitzatives adequades (“integritat i confidencialitat”), fent copies de seguretat…

Així, per exemple, el responsable del tractament serà qui haurà de decidir si les dades recollides inicialment amb el consentiment del client continuen essent vàlides per a una altra finalitat o no ho són i s’ha de tornar a demanar el consentiment al client. El responsable del tractament ha de prendre les mesures oportunes per facilitar a l’interessat tota la informació que indiquen els articles 13 (Informació que cal facilitar quan les dades personals s’obtenen de l’interessat) i 14 (Informació que cal facilitar quan les dades personals no s’han obtingut de l’interessat).

El responsable del tractament ha de facilitar a l’interessat l’exercici dels seus drets, en virtut dels articles 15 a 22.

L'encarregat del tractament

L’article 28 del RGPD tracta de l’encarregat del tractament o encarregat. L’encarregat és la persona física o jurídica, autoritat pública, servei o qualsevol altre organisme que tracta dades personals per compte del responsable del tractament. L’encarregat és únic i el nomena el responsable del tractament de les dades. L’encarregat del tractament pot, però, contractar a altres encarregats de tractament de dades amb el consentiment per escrit del responsable del tractament de dades. El tractament efectuat per l’encarregat s’ha de regir per un contracte o per un altre acte jurídic conforme al dret de la Unió o dels estats membres. Aquest contracte ha de vincular l’encarregat respecte del responsable i ha d’establir l’objecte, la durada, la naturalesa i la finalitat del tractament, així com el tipus de dades personals i categories d’interessats i les obligacions i els drets del responsable. Aquest contracte o acte jurídic ha d’estipular, en particular, que l’encarregat:

  • Tracta les dades personals únicament seguint instruccions documentades del responsable.
  • Garanteix que les persones autoritzades per tractar dades personals s’han compromès a respectar-ne la confidencialitat o estan subjectes a una obligació de confidencialitat de naturalesa estatutària.
  • Respecta les condicions establertes als apartats 2 i 4, per recórrer a un altre encarregat del tractament.
  • Pren totes les mesures necessàries, de conformitat amb l’article 32.
  • Assisteix el responsable sempre que sigui possible, d’acord amb la naturalesa del tractament i mitjançant les mesures tècniques i organitzatives adequades perquè pugui complir amb l’obligació de respondre les sol·licituds que tinguin per exercici dels drets dels interessats.
  • Ajuda el responsable a garantir el compliment de les obligacions.
  • A elecció del responsable, ha de suprimir o retornar totes les dades personals, una vegada finalitzada la prestació dels serveis de tractament, i suprimir les còpies existents, tret que sigui necessari conservar les dades personals en virtut del dret de la Unió o dels estats membres.
  • Ha de posar a disposició del responsable tota la informació necessària per demostrar que compleix les obligacions assenyalades en aquest article 28 de l’RGPD. Així mateix, ha de permetre i contribuir a la realització d’auditories, incloses inspeccions, per part del responsable o d’un altre auditor autoritzat pel responsable.

El delegat de protecció de dades (DPD)

El Reglament, a l’article 37, introdueix la figura del Delegat de Protecció de Dades (DPD) i especifica quan és necessari nomenar-lo.

El Delegat de Protecció de Dades pot formar part de la plantilla del responsable o l’encarregat o bé actuar en el marc d’un contracte de serveis.

El delegat de protecció de dades és nomenat pel responsable i l’encarregat del tractament i se l’ha de nomenar quan es alguna d’aquestes condicions:

  • El tractament l’efectua una autoritat o un organisme públic, tret dels tribunals que actuen en l’exercici de la seva funció judicial.
  • Les activitats principals del responsable o de l’encarregat consisteixen en operacions de tractament que requereixen una observació habitual i sistemàtica a gran escala.
  • Les activitats principals del responsable o de l’encarregat consisteixen en el tractament a gran escala de categories especials de dades personals i de les dades relatives a condemnes i infraccions.

El delegat de protecció de dades s’ha de designar atenent a les seves qualitats professionals i als coneixements especialitzats del dret, a la pràctica en matèria de protecció de dades i a la capacitat per exercir les funcions esmentades a l’article 39, que principalment són:

  • Assessorar respecte de l’avaluació d’impacte relativa a la protecció de dades.
  • Actuar com a punt de contacte de l’autoritat de control per a qüestions relatives al tractament.
  • Cooperar amb l’autoritat de control.
  • Informar i assessorar el responsable o l’encarregat i els treballadors sobre les obligacions que imposa la normativa de protecció de dades.
  • Supervisar que es compleix l’RGPD i la resta de legislació relativa a la protecció de dades.

Això no vol dir que el DPD hagi de tenir una titulació específica, però, tenint en compte que entre les funcions del DPD s’inclou l’assessorament al responsable o l’encarregat en tot el referent a la normativa sobre protecció de dades, els coneixements jurídics en la matèria són sens dubte necessaris; també cal que compti amb coneixements aliens a l’àmbit estrictament jurídic, com per exemple en matèria de tecnologia aplicada al tractament de dades o en relació amb l’àmbit d’activitat de l’organització en la qual exerceix la seva tasca.

Altres coses a tenir en compte són:

  • Un grup empresarial pot nomenar un únic delegat de protecció de dades, sempre que sigui fàcilment accessible des de cada establiment.
  • Si el responsable o l’encarregat del tractament és una autoritat o un organisme públic, tret de jutjats i tribunals, es pot tenir un únic delegat de protecció de dades per diversos organismes.
  • La posició del DPD a les organitzacions ha de complir els requisits que l’RGPD estableix expressament. Entre aquests requisits hi ha la total autonomia en l’exercici de les seves funcions, la necessitat que es relacioni amb el nivell superior de la direcció o l’obligació que el responsable o l’encarregat li facilitin tots els recursos necessaris per desenvolupar la seva activitat.

Els sistemes informàtics encarregats del tractament i del manteniment de dades gestionen sovint dades de caràcter personal. Quan ens trobem en aquesta situació, hem de complir l’RGPD i la resta de legislació de protecció de dades. Com que el tractament es fa en fitxers de l’empresa, la llei ens diu que hem d’adoptar les mesures necessàries per garantir la seguretat de les dades personals.

Dades personals

El concepte de dada de caràcter personal genera força confusions. Per determinar què és realment, ens hem de fixar en l’RGPD, que el defineix com “qualsevol informació sobre una persona física identificada o identificable, com ara un nom, un número d’identificació, dades de localització, un identificador en línia o un o diversos elements propis de la identitat física, fisiològica, genètica, psíquica, econòmica, cultural o social d’aquesta persona”.

Així, doncs, quan parlem de dada personal ens referim a qualsevol informació relativa a una persona concreta. Les dades personals ens identifiquen com a individus i caracteritzen les nostres activitats en la societat, tant públiques com privades. El fet que diguem que les dades són de caràcter personal no vol dir que només tinguin protecció les vinculades a la vida privada o íntima de la persona, sinó que són dades protegides totes les que ens identifiquen o que en combinar-les permeten la nostra identificació.

Només les dades de persones físiques, i no les dades de persones jurídiques, com empreses, societats…, són dades de caràcter personal.

Tenen la consideració de dades personals:

  • Nom i cognoms, data de naixement.
  • Número de telèfon, adreça postal i electrònica.
  • Dades biomètriques (empremtes, iris, dades genètiques, imatge, raça, veu…).
  • Dades sanitàries (malalties, avortaments, cirurgia estètica…).
  • Orientació sexual.
  • Ideologia, creences religioses, afiliació sindical, estat civil…
  • Dades econòmiques: bancàries, solvència, compres.
  • Consums (aigua, gas, electricitat, telèfon…), subscripcions premsa…
  • Dades judicials (antecedents penals).

Dades personals

Dades com el correu electrònic o dades biomètriques també són dades personals, ja que permeten identificar la persona. L’Agència de Protecció de Dades fins i tot considera la IP (Informe 327/2003) una dada personal.

Dades personals sensibles

No totes les dades personals són igual d’importants. Algunes s’anomenen sensibles a causa de la seva transcendència per a la nostra intimitat i a la necessitat d’evitar que siguin usades per discriminar-nos. No es tracta de preservar la nostra intimitat, sinó d’evitar perjudicis per l’ús que es pugui fer d’aquestes dades.

Tenen la consideració de dades sensibles les que es refereixen a la nostra raça, opinions polítiques, a les conviccions religioses, a les afiliacions a partits polítics o a sindicats, a la nostra salut o orientació sexual, genètiques, biomètriques.

Les dades sensibles reben una protecció més alta que la resta.

Infraccions i sancions de l'RGPD

L’incompliment d’una normativa legal pot comportar sancions. En el cas de l’RGPD, el règim de responsabilitat previst és de caràcter administratiu (menys greu que el penal i que no pot representar sancions privatives de llibertat). L’import de les sancions varia segons els drets personals afectats, volum de dades efectuats, els beneficis obtinguts, el grau d’intencionalitat i qualsevol altra circumstància que l’agència estimi oportuna.

Una diferència amb l’antiga LOPD és que no hi ha tipus de sancions (lleus, greus, molt greus). A l’article 83.2 especifica que les multes aniran en funció de la infracció. Les multes administratives poden arribar a ser d’entre 10 i 20 milions d’euros, o entre el 2 i el 4% del volum de negoci anual global. Per determinar la quantitat de les sancions es mirarà el cas particular tenint en compte:

  • La naturalesa, gravetat i la durada de la infracció, estudiant la naturalesa, abast o propósit de la mateixa, així com el nombre d’interesats afectats i el nivell dels danys i perjudicis que hagin sofert.
  • La intencionalidat o negligència en la infracció.
  • Qualsevol mesura presa pel responsable o encarregat del tractament per solucionar i reduir els danys soferts pels interessats.
  • El grau de responsabilitat de l’encarregat del tractament de les dades, segons les mesures aplicades per protegir la informació.
  • Totes les infraccions anteriors dels responsables o encarregats del tractament.
  • El grau de cooperació amb l’autoritat de control amb la finalitat de solucionar la infracció i mitigar els possibles efectes adversos de la infracció.
  • Les categories de les dades de caràcter personal afectades per la infracció.
  • La forma amb que l’autoritat de control va tenir coneixement de la infracció, en concret si el responsable o l’encarregat va notificar la infracció i en quina mesura.
  • Que el responsable o l’encarregat ja hagin estat sancionats, amb advertència del compliment de les mesures.
  • L’adhesió a codis de conducta o a mecanismes de certificació aprovats segons l’articulat del propi RGPD.
  • Qualsevol altre factor agravant o atenuant aplicable a les circumstàncies del cas, com als beneficis financers obtinguts o a les pèrdues evitades, directa o indirectament, amb la infracció.

Exemple d’infracció i multa amb la nova llei

Donar les dades a una empresa de serveis, sense haver firmat el corresponent acord, amb les mesures de seguretat necessàries establertes per l’RGPD, que amb la LOPD era castigat fins a 300.000€, pasarà a ser multat fins a 10 milions d’euros o un 2% del volum de negoció total anual de l’any anterior.

Amenaces a la seguretat

La seguretat de les bases de dades es podrà validar en el moment en què les dades es vegin sotmeses a molts tipus diferents d’amenaces com poden ser:

  • Robatoris interns d’empleats de bases de dades.
  • Frau i manipulació de les dades.
  • Pèrdua de confidencialitat.
  • Pèrdua de privacitat (a Internet i amb les xarxes socials).
  • Integritat de les dades.
  • Robatoris d’arxius.
  • Seguretat informàtica de les xarxes corporatives.
  • Atacs cibernètics contra països o organitzacions.
  • Errors en la seguretat dels servidors.

Tal com es pot veure hi ha molts tipus diferents d’amenaces que poden afectar la seguretat de les dades i es poden classificar en funció d’on es produeixen. S’ha de tenir en compte la ubicació de les bases de dades i els actors que entren en joc (ja que cadascun dels factors té les seves pròpies amenaces). És a dir, una base de dades corporativa es trobarà físicament en un disc d’un servidor, o bé a alguna de les oficines de l’organització o bé externalitzada a una altra ubicació. Aquesta base de dades necessitarà que es facin còpies de seguretat. A més, hi haurà l’accés remot per una xarxa informàtica (que pot ser pròpia, però, probablement, arribarà a Internet).

Veient només aquesta situació bàsica es detecten tres actors que poden rebre amenaces de seguretat pròpies, independents de les dades:

  • ordinador servidor,
  • xarxa (pròpia o Internet),
  • sistema de còpies de seguretat (propi o extern a una altra ubicació).

A aquestes possibles amenaces pròpies d’aquests actors, s’hi han d’afegir les amenaces pròpies dels motors de bases de dades.

Algunes d’aquestes amenaces es poden identificar com a amenaces accidentals, en què no hi ha mala intenció de qui comet l’errada. Hi ha d’altres que es consideren amenaces intencionades, en què se cerca de manera deliberada l’accés a dades de tercers amb l’objectiu de fer-ne un ús malintencionat.

Accidentals

Les amenaces a la seguretat accidentals són les actuacions que poden perjudicar l’estabilitat i la integritat de la base de dades però no de manera intencionada, sinó per alguna manca de precaució o per alguna errada humana no malintencionada. També poden succeir per altres situacions com una fallada elèctrica o per algun altre tipus de situació aliena als responsables de la base de dades.

Aquestes amenaces es poden entendre des del punt de vista d’accions externes a la base de dades (que, potser, fins i tot previstes, no es podran evitar). Però també es poden entendre com a vulnerabilitat de la base de dades. Aquestes vulnerabilitats farien que fos més probable que una amenaça s’acabés convertint en una realitat.

Algunes amenaces accidentals poden ser:

  • Accés a les contrasenyes d’usuaris amb accés a la base de dades (error puntual dels usuaris, error humà, perquè mostren o confien les seves dades d’accés o bé per escollir una clau de pas massa senzilla).
  • Manca de previsió de còpies de seguretat (error del dissenyador o de l’administrador de la base de dades).
  • Sistema de privilegis de màniga ampla. Aquest cas ocorre quan l’administrador de la base de dades no selecciona de manera correcta quins usuaris ha de permetre que accedeixin a quina informació, sinó que dóna accés total a tots els usuaris, amb els corresponents riscos que això comporta.
  • Comptes d’usuari sense auditar.
  • Fallada general del sistema elèctric (cal tenir previst un sistema d’alimentació ininterromput per a aquestes situacions).
  • Contrasenyes d’usuaris no segures.
  • Deixar sense validació l’accés a l’ordinador on són les dades.
  • Accés físic senzill a la sala de màquines, on són els servidors. Molta seguretat a la base de dades, però si una persona es pot apropar fins al servidor i, amb un llapis USB, copiar la informació, la resta no haurà servit de res.
  • Deixar sense encriptació la transmissió de les dades per les xarxes.
  • Fer servir xarxes sense fil sense encriptar.

Intencionades

Les amenaces o vulnerabilitats més perilloses són les que són intencionades. Si hi ha riscos accidentals, es poden intentar prevenir i les conseqüències poden ser assumibles. Una amenaça accidental es pot convertir en una vulnerabilitat que deixi una porta oberta a una amenaça intencionada.

Si s’ajunten dues o tres amenaces accidentals, les conseqüències poder ser molt més perilloses.

En canvi, una amenaça intencionada pot tenir conseqüències dràstiques, ja que com que hi ha la intenció d’una persona interessada al darrere, se cercaran els camins i les opcions necessaris per arribar a aconseguir allò que es vol.

Alguns exemples d’amenaces intencionades són:

  • Robatoris de documentació, de bases de dades, de les claus dels usuaris, del servidor on són les dades…
  • Frau: un exemple és el de la persona que, sense accés a la base de dades, hi accedeixi amb l’objectiu d’aconseguir dades sensibles, com números de compte, números secrets, contrasenyes…
  • Pèrdua de confidencialitat: una persona aliena accedeix a visualitzar dades confidencials d’un projecte o una persona.
  • Pèrdua de privacitat: una persona observa dades personals d’una persona o organització.
  • Pèrdua d’integritat: una persona aliena al projecte o al sistema modifica informació de la base de dades.

Algunes solucions

Hi ha moltes solucions per minimitzar tant les amenaces com els efectes que poden causar a la base de dades. La majoria de les solucions han de ser solucions preventives que minimitzin al màxim el risc que aquestes amenaces es converteixin en realitat.

Però també hi haurà solucions de contingència que permetran recuperar el sistema desfent els errors provocats o recuperant una versió estable de la base de dades.

Les solucions poden ser implementades pel mateix motor de base de dates, com pot ser que calgui l’acció de l’administrador de la base de dades per implementar-ne algunes.

Alguns exemples de solucions (tant preventives com de contingència) poden ser:

  • Possibilitat de crear comptes d’usuari i contrasenya, amb la qual cosa un usuari s’ha d’autenticar abans d’accedir a la base de dades.
  • Assigna privilegis i rols als usuaris, i limita les parts de la base de dades a les quals cada usuari podrà accedir. Això implica l’accés a determinades parts de las bases de dades i especificar quines accions podran dur a terme.
  • Implementació de sistema de còpies de seguretat.
  • Fragmentació de la base de dades en diferents ubicacions.
  • Encriptació de les dades que han de viatjar per la xarxa.
  • Utilització de certificats digitals que permeti verificar que l’usuari que envia la informació sigui qui diu que és.
  • Tallafocs, que limitarà l’accés a la xarxa per on es moguin les dades.
  • Servidor intermediari (proxy), amb la finalitat de controlar les peticions que arribin al servidor i decideixin si s’han d’atendre o no.

El llenguatge de control de les dades DCL

DCL és un acrònim en anglès de data control language, és a dir, llenguatge de control de dades.

A l’hora d’accedir a un sistema gestor de bases de dades i interactuar-hi es podran fer servir llenguatges que permetin manipular, controlar o definir les dades. Aquests llenguatges permeten l’accés a bases de dades relacionals, sobre les quals es podran dur a terme consultes, modificacions, insercions o esborrament de dades, basant-se en l’àlgebra i el càlcul relacional, de manera senzilla.

Aquests llenguatges es classifiquen, genèricament, en tres tipus de llenguatges:

  • Llenguatge de definició de dades (DDL), llenguatge encarregat de la creació de la base de dades amb les taules, els seus camps, les claus primàries i foranes els dominis o les vistes, entre d’altres.
  • Llenguatge de manipulació de dades (DML), llenguatge encarregat de la inserció, la modificació i l’esborrament de les dades i també de les seves consultes.
  • Llenguatge de control de dades (DCL), és l’encarregat d’establir els mecanismes de control. Ofereix solucions als problemes de concurrència dels usuaris i garanteix la seguretat de les dades.

Encara que hi ha autors que afegeixen dos llenguatges més a aquesta classificació: el DQL (data query language) i el TCL (transaction control language).

D’altra banda, hi ha llenguatges de programació procedimentals, propis de cada sistema gestor de bases de dades, que permetran desenvolupar algoritmes per poder fer servir de manera òptima les sentències desenvolupades en els tres tipus de llenguatges definits. Els llenguatges de programació procedimentals ofereixen algunes funcionalitat com la possibilitat de dur a terme:

  • funcions,
  • cursors,
  • procediments emmagatzemats,
  • disparadors,
  • control de flux d’execució.

SQL és un acrònim en anglès de structured query language, és a dir, llenguatge estructurat de consultes.

Com a exemple de llenguatge relacional orientat a usuari es farà servir el de més influència: l’SQL. És considerat el llenguatge més important per a la manipulació de bases de dades relacionals. Aquest llenguatge ofereix sentències que permeten l’execució dels tres tipus de llenguatges definits anteriorment en un sol llenguatge. Per aquesta raó, en teoria hi ha tres tipus de llenguatges quan a la pràctica més utilitzada només es fa servir un que aglutina els tres.

Com a exemple de llenguatges de programació procedimentals es poden trobar molts, depenent del sistema gestor de bases de dades sobre el qual es vulgui treballar. Alguns dels més coneguts són:

  • PL/SQL (Oracle)
  • PL/MySQL (MySQL)
  • Informix 4GL (Informix)
  • PHP (varis SGBD)
  • Transact – SQL (SQL Server)

El llenguatge SQL és un llenguatge declaratiu, és a dir, no és imperatiu o procedimental. El llenguatge SQL indicarà què es vol fer, no indicarà com s’ha de fer. Per aquesta raó, necessita al seu costat un altre llenguatge sí procedimental que doni les instruccions al sistema per fer una sèrie d’operacions.

Aquest apartat se centra en el llenguatge de control de dades (DCL). S’encarrega de totes les instruccions que tenen a veure amb l’administració de la base de dades:

  • creació d’usuaris,
  • assignació de privilegis,
  • accessos,
  • tunning,

Aquest llenguatge pot resumir les seves funcionalitats en dues: oferir accions per dur a terme transaccions i oferir solucions per garantir la seguretat de les dades. Aquestes dues funcionalitats són clau per solucionar els problemes d’una de les característiques més importants d’una base de dades: la capacitat de ser-ne multiusuari. L’accés comú de diversos usuaris a les mateixes dades pot donar peu a problemes molt importants, com el problema de la protecció de dades i l’assignació posterior de privilegis. Per tant, requereix un tractament especial.

Les dues funcionalitats estan directament relacionades amb els conceptes de confidencialitat, integritat i disponibilitat:

  • Amb la possibilitat de donar permisos als usuaris per accedir a part de la informació s’ofereix una solució al problema de la confidencialitat.
  • Amb la possibilitat de dur a terme execucions de consultes (query) a partir de transaccions s’ofereixen solucions als problemes d’integritat i disponibilitat.

Les transaccions

Quan s’han de dur a terme un conjunt de sentències de definició o de manipulació de dades que estan estretament lligades entre elles, caldrà que siguin executades com si es tractés d’una sola sentència. Si es poden executar totes de manera satisfactòria, llavors la transacció es donarà per finalitzada i es validaran els canvis duts a terme a la base de dades. En cas contrari, caldrà desfer tots els canvis i deixar la base de dades igual que si cap de les sentències executades no s’hagués començat.

Exemple de transacció

Per exemple, si es vol fer una compra d’una entrada per a un espectacle en un portal web, primer caldrà mostrar quantes entrades queden lliures, mostrar els seients lliures i els preus, permetre a l’usuari que triï quin l’interessa. Si l’usuari vol, finalment, comprar uns seients determinats, el sistema haurà de validar que el pagament ha estat correcte, indicar que els seients es troben ocupats, rebaixar el nombre total de seients lliures…

Si durant tot aquest procés alguna de les sentències de manipulació de les dades no s’executés correctament, el sistema quedaria inestable (de manera que no quadrarien, per exemple, els seients oferts i el nombre total de seients disponibles). Per aquesta raó, és necessari garantir que o bé s’executen totes les sentències de manipulació de dades o no se n’executa cap.

Es pot definir que una transacció és un conjunt d’instruccions que formen una unitat lògica de treball, una unitat atòmica que es garanteix que s’executarà completament o no s’executarà.

Per limitar les instruccions que poden formar part d’una transacció es pot començar amb la primera ordre SQL o es pot fer servir la sentència BEGIN o BEGIN TRANSACTION o SET TRANSACTION que indicarà que tot el que hi hagi a continuació fins a trobar-se la sentència de finalització s’entendrà com una unitat atòmica.

Tot el que hi hagi a continuació del BEGIN no tindrà una execució física fins que no s’arribi al final de la transacció. D’aquesta manera es garanteix que, en cas de fallada del sistema (disc complet, tall d’energia, fallada del maquinari…), la base de dades es veurà alterada per totes les sentències o per cap.

Les dues sentències que poden finalitzar el contenidor de sentències que formen la transacció poden ser:

1. Commit work: aquesta sentència executarà, seguint el mateix ordre establert, totes les sentències incloses dins del establert com a transacció.

Una vegada finalitzada l’execució de totes les sentències se’n podrà començar una de nova.

La seva sintaxi és:

  1. COMMIT [WORK | TRANSACTION]

La paraula Work és opcional.

2. RollBack work: aquesta sentència permet desfer una sèrie de consultes que s’hagin anat executant però que no s’hagin confirmat amb la sentència COMMIT. Les operacions que es podran desfer són les de:

  • INSERT,
  • UPDATE,
  • DELETE.

Trobant una sentència ROLLBACK es desfaran totes les modificacions fetes sobre la base de dades fins a trobar el darrer estat estable. Serà com fer servir la funcionalitat UNDO dels programes ofimàtics.

La seva sintaxi és:

  1. ROLLBACK [WORK | TRANSACTION]
  2. [SAVEPOINT savepointname]

La paraula Work és opcional.

Un savepointname permetrà fer una utilització més fina de les transaccions. Si es marquen un o diversos punts de seguretat al llarg del codi, segons interessi es podrà fer un ROLLBACK no fins al principi de la transacció, sinó fins al punt de seguretat que sigui més adient. En el cas de fer servir aquesta instrucció, el ROLLBACK restablirà el conjunt de dades fins al punt especificat.

D’aquesta manera, quan es van executant les consultes que es troben a partir d’una sentència BEGIN, aquestes no representaran una execució física sobre la base de dades. Les taules afectades es veuran modificades de manera lògica, i no es confirmaran les alteracions fins a arribar a la sentència COMMIT o es descartaran en arribar a la sentència ROLLBACK.

Què succeeix si una transacció començada no finalitza, és a dir, s’arriba al final del programa sense cap ordre d’acceptació o confirmació o de desfer? La norma no especifica quina de les dues accions pot tenir lloc, així que dependrà de la implementació del sistema gestor de base de dades.

Exemple de transacció començada no finalitzada

Tenim una base de dades relacional amb les relacions de productes i proveïdors. En un moment determinat, un proveïdor ha de tancar la seva empresa. Caldrà actualitzar la base de dades de tal manera que els productes vinculats amb el proveïdor també s’esborrin de la base de dades (o passin a una altra relació amb dades històriques). Es podria dur a terme l’execució següent:

  1. BEGIN TRANSACTION
  2. DELETE FROM Proveïdors WHERE PK_Codi_Proveïdor = 3
  3. DELETE FROM Productes WHERE FK_Proveïdor =3
  4. COMMIT TRANSACTION

En el cas de fallada de sistema després del primer DELETE, si no s’hagués implementat amb transaccions, s’hauria esborrat el proveïdor però els productes dependents d’aquell proveïdor continuarien en la taula de manera incorrecta.

La seguretat

El propietari de la base de dades és qui en té tots els privilegis, però no és l’únic que hi accedeix. A una base de dades poden accedir moltes persones, que moltes vegades potser no tenen res a veure o no es coneixen en fer els accessos remotament per diferents motius.

Per exemple, a una base de dades amb l’estoc de productes d’una distribuïdora amb moltes botigues ubicades a diferents poblacions podran accedir per manipular o consultar dades persones tant distintes com:

  • Receptors de productes als magatzems, per actualitzar-ne els estocs.
  • Treballadors per consultar si hi ha estoc d’un producte determinat.
  • Les màquines registradores, automàticament, per actualitzar l’estoc després d’una venda.
  • Els encarregats de les compres, per consultar la situació i prendre decisions.
  • Els treballadors del departament de control per prendre un altre tipus de decisions.
  • Els clients finals, des de casa seva, consultant si poden anar a comprar aquell producte determinat.

Segons es veu en aquest situació, poden arribar a ser moltes mans les que accedeixin a les dades. Però no serà el mateix el que ha de poder veure un client final des de casa seva que el que ha de veure un treballador del departament de control. Per aquesta raó, és important assignar una sèrie de privilegis als usuaris que accedeixen a les dades, de tal manera que cada usuari tingui un perfil assignat amb uns permisos determinats sobre la base de dades, en global, i sobre les relacions, en particular.

L’assignació dels privilegis es pot dur a terme des de dos possibles punts de vista:

  • Des del punt de vista de l’usuari.
  • Des del punt de vista de les taules o les vistes.

La sentència que es fa servir en ambdós casos per assignar permisos és la sentència GRANT.

La seva sintaxi és:

  1. GRANT { <Privilegi1> [, < Privilegi2> ..] } | ALL
  2. ON [<User1>.]<Objecte>
  3. TO {<User2> [, <User3> ...]} | PUBLIC.

Els privilegis poden ser:

  • ALL: assigna tots els permisos possibles a una taula o a una vista.
  • SELECT: assigna el permís de fer consultes (llegir) a un usuari o sobre una taula concreta.
  • INSERT: assigna el permís d’inserció de dades a un usuari o sobre una taula concreta.
  • UPDATE: assigna el permís de modificació de dades a un usuari o sobre una taula concreta.
  • DELETE: assigna el permís d’esborrament de dades a un usuari o sobre una taula concreta.
  • INDEX: assigna el permís de creació d’índexs per a una taula concreta o per a un usuari.
  • ALTER*: assigna el permís de modificació de l’estructura d’una taula o a un usuari.

Un Objecte pot ser una taula o una vista. Un User es refereix a un usuari concret.

Per exemple:

  1. GRANT SELECT
  2. ON Productes
  3. TO Joan

En aquest exemple s’atorga el permís de consultes a l’usuari Joan sobre la taula Productes.

La sentència que es fa servir per treure els permisos a un usuari determinat o sobre una taula determinada és REVOKE.

La seva sintaxi és:

  1. REVOKE {ALL | SELECT | INSERT | DELETE | INDEX | ALTER |
  2. UPDATE | UPDATE(<Columna1> [, <Columna2> ...])}
  3. ON {<Taula> | <Vista>}
  4. FROM {PUBLIC | <Usuari1> [, <Usuari2> ...]}
  5. {RESTRICT/CASCADE}

Un exemple d’utilització de la sentència REVOKE és:

  1. REVOKE ALL
  2. ON Proveïdors
  3. TO Joan

en què ara es treuen tots els privilegis sobre la taula Proveïdors a l’usuari Joan, que no podrà ni accedir a registres d’aquesta taula, ni modificar-los, ni esborrar-los.

Les opcions RESTRICT/CASCADE permeten allargar o aturar l’aplicació de la sentència REVOKE al llarg dels usuaris que s’hagin anant donant permisos. És a dir, si un usuari B va donar permisos a l’usuari C per accedir a una taula determinada. Ara l’usuari B rep una sentència que revoca els seus privilegis per accedir a aquesta taula amb la indicació CASCADE. Automàticament l’usuari C perdrà els privilegis d’accés a aquesta taula també.

Altres sentències DCL

A més de les sentencies sobre transaccions i seguretat, cal referenciar altres sentències també molt útils i importants que s’engloben dins del llenguatge de control de dades.

És el cas de l’accés múltiple a les taules i les estratègies existents de bloqueig.

Per exemple, a partir d’una base de dades amb informacions sobre vols que es fa servir per accedir des d’un entorn web per reservar i comprar bitllets, dos usuaris accedeixen a la vegada a la consulta de places per a un vol determinat. Cada usuari vol comprar tres bitllets, però només en queden dos. Si hi accedeixen a la vegada i cerquen el mateix vol abans que l’altre hagi fet efectiva la compra, si no s’han pres mesures, els dos veuran places disponibles i pensaran que les poden comprar. En algun moment caldria establir un criteri per decidir a quin dels dos li vendran els bitllets, i l’altre es quedarà amb un pam de nas.

Per solucionar aquest problema es poden fer servir instruccions que permetin bloquejar una taula determinada mentre un usuari l’està fent servir.

La sentència SHARE LOCK permet compartir l’ús de la taula per més d’un usuari a la vegada, si es troba en mode compartició.

La seva sintaxi és:

  1. LOCK TABLE [<User>.]<tablename> IN SHARE [nowait]

Una altra sentència és EXCLUSIVE LOCK. Aquesta sentència permet bloquejar una taula per a la resta d’usuaris de la base de dades. Aquesta sentència és fàcil d’utilitzar, però comporta molt temps d’espera per a la resta d’usuaris.

La seva sintaxi és:

  1. LOCK TABLE [<User>.]<tablename> IN EXCLUSIVE [nowait]

Per solucionar els problemes de la sentència anterior es pot fer servir un sistema anomenat bloqueig exclusiu de línies.

El bloqueig de cada línia és, sens dubte, la millor manera de resoldre el problema de les esperes. Es recomana utilitzar un dels mètodes de bloqueig de les dades només si és necessari.

La seva sintaxi és:

  1. SELECT ....
  2. FROM ...
  3. [WHERE ...]
  4. [ORDER BY ...]
  5. FOR UPDATE OF Spalte1 [, Spalte2] ...

Un exemple d’utilització:

  1. SELECT Llocs, Des de, Fins, Ubicació
  2. FROM Viatges
  3. WHERE Ubicació = 'Rom'
  4. FOR UPDATE OF Llocs
  5. UPDATE Viatges
  6. SET Llocs = Llocs – Llocs_reservats
  7. WHERE Ubicació = 'Rom'
  8. Commit
Anar a la pàgina anterior:
Referències
Anar a la pàgina següent:
Activitats