Consulta los cursos de desarrollo seguro de aplicaciones brindados por Segu-Info
Mediante ese documento se apunta a brindar las herramientas necesarias para facilitar que todos los actores involucrados en el desarrollo de aplicaciones contemplen la protección de datos personales como un aspecto fundamental en el diseño de los programas de software.
La aplicación de las recomendaciones aquí aprobadas no sólo redundará en el cumplimiento formal de un régimen legal, sino que se verá reflejado como un valor agregado a la producción de software local y, en última instancia, en una mejor protección de los datos y la privacidad de las personas.
ARTÍCULO 1° — Apruébase el documento "GUIA DE BUENAS PRACTICAS EN PRIVACIDAD PARA EL DESARROLLO DE APLICACIONES", que como ANEXO I forma parte del presente, como un instrumento orientativo en materia de reglas de privacidad y protección de datos personales en el ámbito del desarrollo de aplicaciones.
ARTÍCULO 2° — Comuníquese, publíquese, dése a la Dirección Nacional del Registro Oficial y archívese. — Dr. JUAN CRUZ GONZALEZ ALLONCA, Director Nacional de Protección de Datos Perso-nales, Ministerio de Justicia y Derechos Humanos.
GUIA DE BUENAS PRACTICAS EN PRIVACIDAD PARA EL DESARROLLO DE APLICACIONES
1) INTRODUCCIÓNLas aplicaciones, como programas de software, tienen la capacidad de recabar, usar y transferir información de carácter personal.
Esta información se encuentra protegida por la Ley N° 25.326 (Ley de Protección de Datos Personales – LPDP), que establece ciertos principios y obligaciones que tiene que cumplir cualquier trata-miento de datos.
Esta Ley define al dato personal como cualquier información que pueda referirse a una persona determinada o determinable, así que desde el nombre y apellido hasta una imagen o una grabación de voz, cuando pueda reconocerse a una persona, es un dato protegido.
El principio más importante que establece la Ley es que el dato, sin importar dónde se encuentre almacenado o cómo se esté utilizando, es siempre de propiedad de su titular, el que tiene el derecho a controlar los usos que se le da a su información personal.
Como desarrollador de aplicaciones, tenés la responsabilidad de velar por la privacidad de los datos personales que tus desarrollos utilicen. Debes tener en cuenta cómo tus programas protegerán la privacidad desde el inicio mismo del desarrollo, teniendo una política de uso de los datos clara, transparente, que les permita a los titulares de datos conocer cómo es el tratamiento de datos que tus programas realizan.
La Dirección Nacional de Protección de Datos Personales (DNPDP) es la Autoridad de Aplicación de la LPDP, y desde nuestras funciones de control de cumplimiento de la Ley, apuntamos a instalar una cultura de protección de los datos personales.
Mediante esta Guía intentamos brindarte las herramientas necesarias para que se te facilite contemplar la protección de datos personales en tus desarrollos de software, para que puedas, al mismo tiempo, cumplir con la Ley y generar en tus clientes, usuarios y en los titulares de los datos, confianza en que tus productos respetan la privacidad.
2) PRINCIPIOS DE PRIVACIDAD
- Consentimiento del titular de los datos
Recaba el consentimiento de los titulares, y al mismo tiempo infórmales que estarás recabando su información y los usos que le darás.
- Finalidad
- Calidad de los datos
No pueden ser obtenidos por medios desleales o fraudulentos y deben ser destruidos cuando hayan dejado de ser útiles.
Además tenés la obligación de almacenarlos de manera tal que se facilite el ejercicio de los derechos de sus titulares.
- Seguridad
Verifica que tu aplicación, si utiliza datos personales, respete las mejores prácticas en seguridad de la información.
- Confidencialidad
Esta obligación alcanza a cualquier persona que intervenga en cualquier etapa del desarrollo e inclusive subsiste aun finalizada la relación contractual.
3) PRIVACIDAD APLICADA AL DESARROLLO
- Los OCHO (8) pasos básicos para desarrollar resguardando la privacidad
- Contempla la privacidad en todos los procesos de tu organización.
- Desarrolla las aplicaciones con el concepto de “Privacidad desde el Diseño”.
- Configura por defecto como "activadas" las opciones de privacidad.
- Permite a los titulares del dato que elijan y controlen.
- Limita la cantidad de datos que recolectas o retienes.
Controla no recolectar o almacenar datos sensibles salvo que estés autorizado a hacerlo.
Establece una política para la eliminación de datos personales que ya no te sean útiles.
vii. Asegura los datos personales recabados.
viii. Asume la responsabilidad. Designa a un “responsable de privacidad” o asume vos mismo la responsabilidad del resguardo de los datos personales que hayas tratado.
- Privacy by Design
Desde esta perspectiva, la preocupación por la protección de los datos personales no debe ser analizada posteriormente a la finalización del desarrollo, como si se tratara de un anexo, sino que debe estar presente en todas las etapas del proceso.
La privacidad debe ser considerada en todas las fases del ciclo de vida del sistema, aplicación o dispositivo.
- Privacy by Default
Generalmente los titulares del dato, cuando hacen uso de aplicaciones, no saben cómo configurar la privacidad o no se toman el tiempo para hacerlo, por ello es importante que la aplicación no comparta información personal a menos que el mismo titular configure las opciones de privacidad permitiéndolo.
- Privacy-Enhancing Technologies (PET)
- Herramientas de gestión de la privacidad, que permitan al titular elegir y controlar la forma en que sus datos son recolectados y usados.
- Herramientas de protección de la privacidad
- Disociación de datos
- Seudonimización
- Seguridad de la información
- Metadatos
- Encriptación
- Aspectos técnicos para aplicaciones
- Correcta utilización de los permisos
- Geolocalización
4) POLÍTICA DE PRIVACIDAD
- Establecimiento de una Política de Privacidad
Esta política debe ser simple y, en la medida de lo posible, estandarizada, de manera tal que se facilite su lectura y comprensión por parte de los titulares de datos.
Es importante que la política refleje el tratamiento de datos que hace tu aplicación, así que no "cortes y pegues" una política genérica de otra aplicación o desarrollador, sino que trata de desarrollar una que sea comprensiva de las particularidades de tu aplicación.
Ten en cuenta que una Política de Privacidad que no responda al tratamiento de datos que hagas puede generarte inconvenientes con tus clientes, los titulares de datos de la aplicación y hasta los organismos de control, como esta DNPDP.
Un aspecto que no debes olvidar es que si introduces cambios en la Política de Privacidad, deberás notificarlas.
La Política de Privacidad debe cumplir con los siguientes lineamientos:
- Debe contener una definición del Objeto de la Política de Privacidad (cuál es el objeto tutelado, como, por ejemplo los artículos 1° y 2° de la LPDP y sus principios), alcance (a quienes resulta exigible la política) y su compatibilidad y/o relación con las políticas de protección de la información comercial o cualquier otra política que entre en conjunción con la protección de datos personales.
- Debes incluir una definición de los términos utilizados en la política (acordes con la LPDP).
- Debe reflejar los principios de protección de datos personales aplicables al tratamiento de datos que haga la aplicación (acordes con la LPDP, según artículos 3°, 4°, 5°, 6°, 7°).
- Si compartes o transfieres los datos con un tercero, debes notificarlo en forma destacada en tu política y cumplir con los requisitos de la cesión de datos, contemplados en el artículo 11 de la LPDP.
- Contemplar la confidencialidad de los datos personales (artículo 10, LPDP), con referencia a los convenios de confidencialidad del personal y terceros que presten servicios, y de cualquier otra persona u organización que puedan entrar en conocimiento de los datos personales que trata la aplicación.
- Hacer mención a la política de seguridad de los datos personales, y la aplicación de la Disposición DNPDP N° 11/06 (manual de seguridad).
- Contempla, en el caso que el tratamiento de datos incluya su transferencia al exterior, los requisitos para una Transferencia Internacional de datos personales (aplicando el artículo 12 LPDP y Decreto N° 1558/01). Ten en cuenta que el almacenamiento en la nube se considera una transferencia internacional de datos.
- En el caso que el uso de la información personal incluya la finalidad de publicidad, debe contemplarse el cumplimiento de las obligaciones específicas para este tipo de tratamiento (artículo 27 LPDP y Decreto N° 1558/01), Disposiciones DNPDP N° 10/08 y 4/09.
- Prestaciones de servicios de tratamiento de datos por cuenta de terceros (artículo 25 LPDP y Decreto N° 1558/01).
- Establece el procedimiento para cumplir con los derechos de los titulares de los datos (derechos de acceso, rectificación, supresión y bloqueo, artículos 14, 15, 16 y 27, inc. 3 de la LPDP).
- Comunica mediante la Política quien es el Encargado de Protección de Datos (a cargo de velar por la correcta y efectiva aplicación de la política y su relación tanto con los titulares de datos como con el órgano de control). Puede ser una persona física o un área dentro de tu organización.
- Asegúrate que alguien en tu organización sea responsable de pensar acerca de la privacidad.
Será tarea de esta persona:
- Asegurarse que las aplicaciones y el tratamiento de datos que hagan cumplan con la normativa de protección de datos (Ley N° 25.326, decreto reglamentario, disposición de la DNPDP).
- Revisar y mantener actualizada la Política de Privacidad de la organización, y asegurarse que las aplicaciones que desarrollen la cumplen.
- Responder las consultas vinculadas a la Política de Privacidad, el ejercicio de los derechos del titular del dato y los requerimientos de la DNPDP.
- Capacitación del personal en privacidad
- Control de terceros con los que se intercambian datos personales
Solamente cede o recibe datos personales de personas u organizaciones confiables y verifica que se encuentren debidamente inscriptos en el Registro Nacional de Bases de Datos de la DNPDP.
5) CONTROL DE LA INFORMACIÓN PERSONAL POR PARTE DE SUS TITULARES
Bríndales a quienes hagan uso de tus aplicaciones y a los titulares de los datos en general el control de su información personal, particularmente cuando se trata de información sensible, íntima o cuando se le den usos que no sean los obvios o comunes.
Los usos que se hagan de los datos personales deben provenir de una elección consciente e informada de sus titulares.
Permite que accedan a la información que almacenes sobre ellos y que puedan rectificar información errónea o desactualizada, o que puedan suprimir información cuando corresponda.
Además debes esforzarte porque la información personal que almacenas sea cierta, adecuada, pertinente y no excesiva con relación a los usos que le das y que motivaron su recolección.
Procura recabar siempre que sea necesario el consentimiento del titular del dato para usar su información personal.
Trata de limitar al mínimo posible y a lo estrictamente necesario la cantidad de información personal que recolectas y utilizas, y destruye de manera segura aquellos datos que te hayan dejado de ser útil.
6) APLICACIONES MÓVILES
Las aplicaciones desarrolladas para dispositivos móviles generalmente tendrán la limitación del tamaño de la pantalla.
Deberás ser creativo para poder mostrar la información de tu Política de Privacidad de una manera que le resulte útil a los titulares de datos con el desafío adicional que genera un espacio pequeño como la pantalla de un teléfono celular.
Algunos consejos que puedes aplicar:
- Separar la información en distintas capas
- Proveer al titular del dato un tablero de privacidad
- Utilizar técnicas para llamar la atención del titular del dato
Para ello puedes recurrir a una serie de recursos que te brinda la plataforma móvil, como indicaciones visuales o sonoras:
- Gráficos: utiliza íconos, etiquetas o imágenes que llamen la atención del titular del dato vinculada a un texto que provea más información. Esto puede resultar útil en determinado momento del uso de la aplicación, como cuando se disponga a utilizar los datos personales del titular del dato: por ejemplo, si se va a geolocalizar una foto, se activa un símbolo que advierte de esto al titular del dato y de ser necesario, se recaba su consentimiento.
- Colores: Llama la atención de los titulares de datos mediante el uso de colores y la variación de intensidad de los mismos. La intensidad del color puede ser proporcional a la importancia de la decisión o sensibilidad de la información.
- Sonidos: Otro modo apropiado de llamar la atención del titular del dato es a través de sonidos, cuando sea necesario una decisión del titular del dato o debas proveerlo de información importante acerca del uso de sus datos personales.
Si tu aplicación puede ser usada por niños o adolescentes, deberás procurar un cuidado especial.
Se trata de un grupo que hace un uso intensivo de la tecnología, que la saben manejar, pero que por su edad pueden carecer de la reflexión crítica necesaria para identificar los peligros que el mal uso de su información personal puede aparejar. Son una población vulnerable, y por lo tanto, será necesario que incorpores salvaguardas especiales para resguardarlos.
- Limita al máximo el tipo y la cantidad de información que sobre ellos recolectas.
- Contempla estrictas medidas de seguridad sobre la información que necesariamente debas recabar.
- Evita compartir información personal de menores con terceros.
- Bríndales información adecuada a su nivel de comprensión sobre el uso responsable de sus datos y alerta sobre los peligros que se relacionan a una mala utilización.
- Siempre que corresponda, obtén el consentimiento de sus padres. Establece mecanismos de resguardos para mantenerlos informados acerca de los usos que se hacen de la información personal de los menores.
La DNPDP es un órgano dependiente del MINISTERIO DE JUSTICIA Y DERECHOS HUMANOS, con sede en Sarmiento 1118, piso 5°, de la CIUDAD AUTÓNOMA DE BUENOS AIRES.
En la página web de la DNPDP (www.jus.gov.ar/datospersonales) podrás encontrar toda la normativa de protección de datos personales, que incluye la LPDP, su decreto reglamentario y todas las disposiciones del Director Nacional de Protección de Datos Personales, así como mucha información adicional sobre privacidad y protección de datos.
