Nos estamos acostumbrando a pensar que tener una web segura es tan sencillo como cumplir las exigencias legales y nada más. Pero eso no es verdad, porque, cuando hablamos de informática, bajo la etiqueta SEGURIDAD se esconden diversos conceptos, de los que sólo unos cuantos están contemplados en las leyes que afectan a las webs y la red que las relaciona. Asegurar la seguridad y la privacidad en tu web pasa, primero, por cumplir los preceptos legales, y luego por una atención continuada a los aspectos que se derivan de ellos.
En qué consisten la seguridad y la privacidad en informática
En general, entendemos por seguridad el control de riesgos. Intuimos que seguridad y riesgo son magnitudes inversamente proporcionales, que se relacionan entre ellas según el principio de los vasos comunicantes. Cuando se baja la guardia en términos de seguridad, inmediatamente los riesgos se multiplican. Por ello, para definir correctamente en qué consisten la seguridad y la privacidad informáticas debemos tener presentes los riesgos que queremos minimizar estableciendo las medidas adecuadas para conseguirlo.
Y de riesgos hay tantos como se puedan imaginar. En un momento en que Internet se ha convertido en el instrumento principal de la productividad humana, es un objetivo apetecible para las personas que, con buenas o malas intenciones, pretenden manipular su flujo. A veces los hackers, a veces agentes políticos o empresariales quieren intervenir en la red para sacar un beneficio propio, sea mejorando sus posiciones o debilitando las de los adversarios.
Por otro lado, cuando hablamos de información, hablamos de datos. Son el petróleo de nuestros días. Nuestro modelo de vida se fundamenta en su correcta gestión. Por eso cuando los confiamos a agentes ajenos a nosotros mismos, se trate de grandes prestadores de servicios (como Google), de almacenes de documentos particulares (como Dropbox), contenidos generados por nosotros mismos (como las redes sociales) o servicios de prestación de servicios electrónicos (como Amazon , bancos online o tiendas electrónicas), o a las empresas que prestan servicios de alojamiento en Internet, (como somos Internovatec), estamos hablando de cosas muy serias.
Finalmente hay riesgos asociados a los derechos vinculados al tratamiento de nuestra conducta cotidiana. Las cookies se introducen en nuestro ordenador para hacer más grata nuestra experiencia de navegación, sí, pero también para facilitar datos preciosos a los agentes que nos prestan servicios, datos que pueden transformar en dinero o influencia sin demasiadas dificultades.
Velar por la seguridad y la privacidad en tu web no es una opción. Es una necesidad.
Las exigencias legales sobre la seguridad y la privacidad
Siempre se ha dicho que controlar Internet es imposible. Es como poner puertas al campos, nos decían. Y es verdad. Pero esto no quiere decir que no se deban establecer medidas que aseguren que la red no se convierta en un campo de batalla, donde los que tienen más recursos, técnicos, económicos o de cualquier tipo, se impongan sobre el más débil, que en nuestro caso suele ser el usuario de Internet. De ahí que las autoridades se pusieron a trabajar para establecer medidas para regular las conductas en la red que pudieran ser lesivas o afectar derechos individuales o colectivos derivados de malas prácticas. El problema es que, como suele ocurrir, la realidad corre más que las leyes, que necesitan de consensos amplios y trabajos muy precisos antes de ser publicadas.
La situación es la que sigue. La Unión Europea, a través de sus órganos de Gobierno, está impulsando un gran documento, llamado Reglamento e-Privacy, que va aprobando en etapas y que los estados van incorporando a sus legislaciones particulares. A cada paso del e-Privacy en Europa sigue una modificación legal o ley nueva al cabo de algún tiempo en los estados europeos.
Las leyes españolas de referencia son la LSSI (Ley de Servicios de la Sociedad de la información y del comercio electrónico), la LOPD-GDD (Ley Orgánica de protección de datos personales y garantía de los derechos digitales) y el RGPD (reglamento europeo de protección de datos), de obligada observancia en nuestro estado desde el 25 de mayo de 2018.
A qué afectan estas leyes?
Son leyes garantistas. Es decir, en sus preámbulos y exposiciones de motivos consideran como el tráfico en Internet, la masificación de su uso y los derechos de los usuarios son los elementos que hacen necesaria una regulación. Son textos, por tanto, orientados a preservar los derechos de los usuarios en cuestiones tales como el tratamiento de sus datos, los límites de la observación de los mismos y el consentimiento necesario para su uso.
En la práctica, y de una manera inicial afectan a tres elementos presentes en la mayoría de las webs, sobre todo desde el crecimiento del web 2.0 que permitía la interacción con los usuarios y hasta la actualidad, en que esta interacción se ha convertido la principal razón de ser de la red. Estos elementos son los formularios web, las páginas de definición de políticas y las políticas de cookies.
También en la práctica, estos elementos se traducen en la publicación de una página de aviso legal, una de políticas de privacidad, y una de política de cookies, a menudo sustentada en un banner o elemento emergente que resume la página y recoge el consentimiento de los usuarios en cuanto al tratamiento de sus datos. En el caso de las webs de comercio electrónico hay que añadir una página que informa de los compromisos y procedimientos de la empresa propietaria de la web respecto de las operaciones comerciales que se desarrollan en el espacio virtual de la tienda electrónica. Estos son los primeros elementos de la seguridad y la privacidad web que deben ser contemplados en la creación, diseño y mantenimiento de su web. Porque son los que responden a exigencias legales, pero también porque son los que dan garantías a sus clientes sobre la naturaleza de su relación con vosotros
Son pequeños ficheros que recogen y almacenan información sobre el comportamiento de los usuarios en Internet. Su objetivo declarado es que facilitan la navegación, porque los sistemas recuerdan las prácticas de los usuarios y por lo tanto se anticipan a ofrecerle lo que necesita de la web. Hay varios tipos de cookies, y dependen de varios aspectos, como el tiempo de almacenaje en nuestros sistemas, el lugar donde se alojan o el agente que las introduce y que, beneficiando al usuario, también saca algún tipo de partido. En general, y simplificando mucho, diremos que la Agencia General de Protección de Datos reconoce estos tres tipos, que son los trascendentes de cara a una correcta implementación de las disposiciones legales:
- Cookies propias o de terceros. Son propias cuando son administradas desde el propio dominio por el webmaster o propietario del sitio web, que es el que consta en la página de Aviso Legal. Son de terceros si están gestionadas por una entidad ajena al editor, a quien hemos dado permiso para introducir cookies y extraer la información, con fines de análisis, de tráfico comercial o de obtención de datos significativos del usuario y de su comportamiento en la navegación.
- Cookies persistentes o de sesión. Las persistentes permanecen almacenadas durante un tiempo más o menos largo en el ordenador del usuario o los equipos de su servidor durante un tiempo relativo para que puedan ser accesibles cuando sea necesario. Las cookies de sesión sólo duran lo que dura la sesión de navegación.
- Cookies técnicas, de personalización, de análisis y publicitarias, destinadas a supervisar el tráfico y sacar información en términos de comunicación, o a registrar en comportamiento on page personalizado y adaptado al idioma, para conocer el comportamiento de los usuarios, establecer perfiles tipo y, finalmente, las que aparecen en espacios destinados a la promoción de productos y servicios.
La ley te obliga a explicar qué tipo de galletas usa tu web, para que el usuario esté informado, y también obliga a darle opción de activar o desactivar su carga en función de sus necesidades o preferencias . Esto implica que la web debe tener los elementos necesarios para hacer que el usuario se sienta seguro en su experiencia de navegación. Esto se suele hacer con dos elementos:
- Un banner o elemento emergente que informa que la web utiliza cookies y ofrece la posibilidad de aceptarlas, de no hacerlo o de recibir más información. En este último caso, se remite al usuario al segundo elemento de este proceso.
- La página (o elemento emergente) donde se destaca la política de galletas, con la definición de las cookies que acepta la web, su función, su vigencia, quien las recoge y el uso que tiene previsto hacer de ellas. Al final repite las opciones para rechazarlas, aceptarlas o aceptarlas en parte.
Los formularios
Son un otros elemento sometido a exigencias legales. Un formulario es cualquier instrumento que permite que el usuario envíe información a través de la web. Hay formularios anónimos, pero también los hay, de hecho la mayoría, que necesitan que el usuario se identifique con el fin de recibir algún tipo de respuesta, sea en productos o servicios, sea en información. La web almacena estos datos identificativos en una base de datos, que debe estar sometida a la protección de la confidencialidad y la privacidad de los usuarios, así como la explicación detallada del uso que se hará de ellos. Esto está pensado para que los usuarios no se vean invadidos de golpe por publicidad no deseada o comunicaciones inesperadas. También se debe incluir la posibilidad de revocación o modificación de los datos que la web ha almacenado y que, lógicamente, están bajo la custodia del propietario o del administrador de la web.
La página de aviso legal
Es una página que cumple básicamente con la función de explicar que entre el propietario de la web y el usuario se establece un contrato, un acuerdo que define las condiciones de la navegación. Por tanto, el propietario o responsable legal de la página se identifica con sus datos completos, y define los compromisos establecidos con el usuario.
La página de privacidad
Del mismo modo que la página de aviso legal, la de privacidad define el compromiso del propietario de no utilizar los datos de los usuarios de manera no acordada con él, y de no cederlas a terceros si previamente no ha sido autorizado. Muchas veces, cuando la web se conecta con terceros que utilizan cookies, ya sean propietarios de aplicaciones, agentes de servicios como boletines, envíos electrónicos, entidades bancarias o pasarelas de pago piden al usuario el permiso para poder operar con él. A menudo el formulario que se utiliza para obtener este permiso conlleva el de la aceptación de las cookies de estos agentes.
Las consecuencias de no tener tu página al día en materia de protección de datos y privacidad
La ley prevé sanciones severas para los casos denunciados por usuarios o estudiados por la Agencia de Protección de Datos. Sólo este elemento debería bastar para tener tu web al día. Pero hay otro elemento que hay que contemplar, y que debería ser prioritario para los propietarios de webs: la imagen de su marca y la proyección que tiene sobre el usuario.
Efectivamente, la sociedad está cada vez más sensibilizada con las cuestiones de la seguridad y la privacidad, como la protección de los datos personales. Y más y más webs se apuntan a implementar las medidas establecidas por la ley con el fin de garantizar los derechos de los usuarios. Los usuarios, por lo tanto, se acostumbran rápidamente a ver estos banners y páginas informativas. Hace poco tiempo, eran vistos por el usuario como una exigencia inútil, porque eran considerados como un obstáculo para su libertad de navegación. Esta observación está cambiando rápidamente, y hoy son apreciados como una medida pensada para garantizar sus derechos. Esto conlleva que las echen de menos en las webs que no las tienen implementadas.
¿Qué puede hacer Internovatec para que tu web cumpla las exigencias legales y las demandas de tus usuarios?
Al menos dos cosas:
- Hacer una auditoría de la seguridad de tu web, con recursos propios o, si la complejidad lo requiere, con la ayuda de colaboradores especialistas en la materia.
- Implementar técnicamente los resultados de esta auditoría de seguridad.
En este sentido hay que decir que las exigencias legales descritas sólo abarcan una parte de los riesgos de seguridad que se pueden dar en una web, por lo que no son los únicos que se deben detectar en una auditoría. Elementos como los contenidos duplicados, la velocidad de carga, la vulnerabilidad frente a los ataques informáticos son otros elementos que se hay que contemplar. Pero cumplir las exigencias legales es el primer paso para tener tu web al día en materia de seguridad y privacidad.
Finalmente, queremos destacar que este artículo tiene finalidad divulgativa, por lo que añade a los textos legales consideraciones y ejemplos que no aparecen en la literalidad de los artículos de la ley. Es por este motivo que te remitimos a los textos de las leyes y los dictámenes de los especialistas si quieres solucionar cualquier duda que estos temas te planteen.