La Agencia Española de Protección de Datos (AEPD) ha publicado, en colaboración con la Asociación Española para el Fomento de la Seguridad de la Información (ISMS Forum) y la Asociación Profesional Española de Privacidad (APEP), la guía Orientaciones para la supervisión de sistemas criptográficos como medida de seguridad en protección de datos.
El cifrado es un procedimiento mediante el cual una información se transforma en un conjunto de datos aparentemente ininteligible mediante diversas técnicas. El Reglamento General de Protección de Datos (LA LEY 6637/2016) lo menciona como una medida que forma parte de las condiciones para la conformidad del tratamiento y como ayuda para mitigar los riesgos ante una posible brecha de datos personales. El aspecto característico del cifrado es que, sin acceso a la clave adecuada, debería resultar inviable acceder al contenido de la información cifrada o alterar la misma sin que los cambios fueran detectados.
El documento recoge que el cifrado será una medida adecuada de seguridad para la protección de datos siempre que su implementación se ajuste a las características e impacto del tratamiento en los derechos y libertades de los afectados. Las Orientaciones recogen que, en caso contrario, se convierte en una medida que genera una sensación de falsa seguridad que relaja la aplicación de otras medidas complementarias en el tratamiento, en particular, garantías de privacidad desde el diseño, y que limitar la cuestión del cifrado a la selección de un algoritmo deja de lado aspectos esenciales que pueden hacer inútil dicha medida. Asimismo, pone de manifiesto que las organizaciones que llevan a cabo el tratamiento de datos deben verificar, evaluar y valorar todos los elementos que intervienen en el proceso de cifrado para que este sea una medida efectiva.
Esta guía analiza los elementos que es recomendable evaluar en el diseño y validación de un sistema de cifrado que se utiliza en un tratamiento de datos personales, y especialmente en aquellos casos en los que el cifrado se emplea para preservar la confidencialidad. Solo en marzo de este año, la Agencia recibió casi 170 notificaciones de brechas de datos personales que afectaban a la confidencialidad de la información y un 50% de ellas se debieron a la exfiltración de datos, pérdida de dispositivos o comunicaciones de datos personales que no estaban adecuadamente cifradas. Además, el documento propone una lista de controles para facilitar al delegado o asesor de protección de datos la selección de aquellos que pudieran ser los más oportunos en su labor de supervisar la validación del sistema de cifrado en el marco de un tratamiento específico.
La guía está dirigida principalmente a responsables y encargados de tratamiento que aplican criptografía en sus tratamientos de datos personales, así como a los delegados, asesores y auditores de protección de datos y especialistas y responsables de seguridad. También a desarrolladores de soluciones de cifrado destinadas al tratamiento de datos personales y, en general, a los desarrolladores de productos y servicios de la economía digital.
CONCLUSIÓN
Como establece el artículo 32 en su apartado 1.b, el sistema de cifrado, como todos los elementos de seguridad en su conjunto, deben ser verificados, evaluados y valorados regularmente con relación a su eficacia en la protección de los derechos y libertades de las personas, entre otros. Esta es una obligación de responsables y encargados/subencargados, y el DPD o, en su defecto, los asesores en protección de datos han de estar involucrados en el asesoramiento y en la supervisión del proceso regular de verificación, evaluación y valoración del sistema de cifrado.
Un sistema de cifrado es una operación compleja que se incluye en muchos tratamientos y que no se puede abordar de forma superficial. Cuando el sistema de cifrado se compromete en un tratamiento de datos personales, se materializan unos riesgos para los derechos y libertades que serán específicos para cada tratamiento. Para la determinación de dichos riesgos es necesario, además de determinar qué datos se han comprometido, evaluar el impacto que el compromiso de esos datos puede producir en los individuos afectados y en la sociedad. La fortaleza y robustez del sistema de cifrado ha de estar dimensionado ha dicho impacto.
Teniendo en cuenta que ningún sistema de seguridad incorpora una garantía de infalibilidad, el responsable no debe limitar las medidas para gestionar los riesgos para los derechos y libertades a las medidas de seguridad, en particular, hacer descansar toda la gestión del riesgo únicamente en el cifrado de la información. El responsable ha de incorporar, desde el propio concepto del tratamiento, medidas de privacidad para minimizar los impactos derivados de una posible materialización de una brecha de datos personales, tales como políticas para la protección de datos, privacidad por defecto y diseño (minimización, anonimización temprana, seudonimización, cancelación de datos, agregación, baja granularidad, transparencia, etc.), mecanismos de gobernanza y de gestión de brechas de datos personales mediante la elaboración y ejecución de planes de contingencia, entre otros.