-------------------------------
- Vulnerabilidad: El departamento jurídico de la empresa MalaKompra S.A no
realiza los debidos controles de cada finalidad del tratamiento de manera periódica.
- Rationale: La política de protección de datos personales no incluye esta
Análisis del riesgo
- Probabilidad de ocurrencia (informativo): Muy Probable (70%)
82
- Rationale: El equipo de auditoría utilizó el método Delphi para promediar las
-------------------------------
- Impacto: El derecho a la información de los titulares de datos es vulnerado,
pues ellos no conocen que sus datos serán utilizados en marketing digital. Esto puede producir vulneraciones de la confidencialidad de sus datos.
- Rationale: El equipo de auditoría determinó que los datos utilizados para
campañas de marketing digital son datos simples, comportamentales y financieros de personas promedio. Sin embargo, vulnera los derechos de al
Evaluación del impacto
- Titulares promedio: Alto.
- Titulares especialmente vulnerables: Muy Alto.
Tratamiento del riesgo
Agregar esta finalidad del tratamiento a la política de protección de datos.
2.2. Riesgo de no cumplir con el tratamiento legítimo de datos personales
Concordancia: Art. 7 LOPDP.
Identificación del riesgo
¿Cuáles son las causales que hacen que el tratamiento sea legal?
La empresa MalaKompra S.A. justifica su base legal por el consentimiento obtenido de los titulares de datos y por su interés legítimo para utilizar los datos en campañas de marketing por cuanto es para el beneficio de sus clientes. No obstante, esta justificación no tiene proporcionalidad y por tanto puede vulnerar los derechos de los titulares de datos.
- Amenaza: Considerando que la amenaza es el responsable del tratamiento,
la empresa MalaKompra S.A. puede vulnerar los derechos de los titulares de datos al adoptar una interpretación abusiva del interés legítimo.
83
- Rationale: El interés legítimo debe ser proporcional y de ninguna manera
utilizarse como un mecanismo que sea manipulado para los intereses del
-------------------------------
- Vulnerabilidad: La empresa MalaKompra S.A. no cuenta con abogados
especializados en protección de datos personales.
- Rationale: La auditoría informó que hay un bajo nivel de preparación del área
jurídica del responsable del tratamiento en temas de protección de datos
Análisis del riesgo
- Probabilidad de ocurrencia (informativo): Inminente (90%).
- Rationale: El equipo de auditoría utilizó el modelo Delphi para promediar las
-------------------------------
- Impacto: El derecho de confidencialidad de los titulares de datos es
vulnerado, pues ellos no conocen que sus datos serán utilizados en marketing digital. Esto puede producir vulneraciones de la confidencialidad de sus datos.
- Rationale: El equipo de auditoría establece que no se puede realizar el
tratamiento de datos personales sin una base legal que justifique el tratamiento. Utilizar sus datos para marketing digital equivale a vulnerar el derecho de protección de datos personales de todos los clientes (agregar
Evaluación del impacto
Muy Alto.
Tratamiento del riesgo
Eliminar el interés legítimo como base legal para realizar el tratamiento de datos con propósitos de marketing. En su lugar, incluir una forma específica en la aplicación web en la cual, inequívocamente, el titular de datos da el consentimiento para el tratamiento de sus datos con propósitos de marketing.
84
2.3. Riesgo no cumplir con las condiciones del consentimiento
Concordancia: Art. 8 LOPDP.
Identificación del riesgo
¿Cómo se obtiene el consentimiento de los interesados?
Se lo obtiene en la URL: https://malakompra.ec/signup y en persona en la matriz y sucursales de la empresa.
¿Es el consentimiento legítimo y lícito?
El consentimiento para el tratamiento de datos de la salud podría no cumplir con ser legítimo y lícito, por cuanto ofrecer dinero a cambio puede ser un mecanismo para aprovecharse de grupos vulnerables por condiciones de pobreza.
- Amenaza: Considerando que la amenaza es el responsable del tratamiento, la
empresa MalaKompra S.A. puede vulnerar los derechos de los titulares de datos que entreguen sus datos de la salud.
- Rationale: La auditoría jurídica realizada ha concluido que el consentimiento para
el tratamiento de datos de la salud a cambio de beneficios económicos no es transparente, por cuanto no se informa a los titulares de datos los fines del tratamiento de sus datos de la salud. Por ello, no se trata de un consentimiento informado (agregar
-------------------------------
- Vulnerabilidad: La empresa Ventas online no cuenta con abogados especializados en
protección de datos personales.
- Rationale: La auditoría informó que hay un bajo nivel de preparación del área jurídica
del responsable del tratamiento en temas de protección de datos personales (agregar
Análisis del riesgo
- Probabilidad de ocurrencia (informativo): Muy Probable (50%)
- Rationale: El equipo de auditoria realizó un análisis de la posición de la SPDP
con respecto al impacto de grupos especialmente vulnerables y ha calibrado las opiniones de cinco expertos utilizando el modelo Lens (agregar respaldo
-------------------------------
85
- Impacto: Los datos de la salud son datos sensibles, produciendo un elevado
impacto en grupos especialmente vulnerables de titulares de datos. Su mal uso puede afectar sus derechos al trabajo, su derecho a la salud, entre otros.
- Rationale: Se utilizó un método estadístico para verificar la empleabilidad de
personas con enfermedades en el mercado laboral ecuatoriano (agregar
Evaluación del impacto
Titulares promedio: Muy alto.
Titulares especialmente vulnerables: Muy alto.
Tratamiento del riesgo
Informar de manera adecuada y eficiente a los titulares de los datos acerca de los fines del tratamiento de sus datos de la salud, de las medidas de seguridad que estos tendrán; y, del impacto que puede tener la divulgación de estos datos en el mercado laboral, así como el impacto en el potencial costo de coberturas de seguros médicos, entre otros afines. Asimismo, informar con un lenguaje comprensible y darles el tiempo necesario para comprender los riesgos del tratamiento de sus datos de la salud.
2.4. Riesgo de guardar los datos personales de manera excesiva
Concordancia: Art. 10 (I) de la LOPDP.
¿Cuál es la duración de almacenamiento de los datos?
Los datos son conservados por dos meses posteriores a haber cumplido con las finalidades del tratamiento.
¿Qué método se utiliza para borrar los datos de manera segura?
Se utilizan sistema de sobre escritura de caracteres. Para el borrado de dispositivos de almacenamiento se utiliza el Estándar NIST SP 800-88.
Identificación del riesgo
- Amenaza: Considerando que la amenaza es el responsable del tratamiento, la
empresa MalaKompra S.A. puede vulnerar los derechos de los titulares de datos al conservar los datos de manera indefinida y al no utilizar mecanismos de borrado seguro.
86
- Rationale: Los auditores identificaron que la empresa conserva los datos y metadatos
de manera indefinida en los backups . Por tanto, no cumple con lo establecido en su
-------------------------------
- Vulnerabilidad: Las políticas de seguridad de la información; y, en particular, el plan
de Continuidad de actividades ( Business Continuity Plan ) no ha sido adaptado a las obligaciones de la LOPDP. La falta de comunicación entre el DPD y el CISO es una vulnerabilidad organizacional.
- Rationale: El equipo de auditoría de seguridad organizacional encontró esta
vulnerabilidad en las políticas de seguridad de la información y solicitó revisar los backups constatando que los datos no eran borrados de los discos duros utilizados
Análisis del riesgo
- Probabilidad de ocurrencia (informativo): Muy Probable (70%)
- Rationale: Los auditores de seguridad organizacional encontraron que alrededor del
60% de los datos personales tratados se conservan en los backups de manera
-------------------------------
- Impacto: La consecuencia para los titulares de datos es el aumento del riesgo de una
vulneración de la confidencialidad de los datos personales. Con ello, se pueden vulnerar su derecho a la protección de datos personales y otros derechos como impacto secundario.
- Rationale: Los auditores constataron que los datos personales que constan en los
backups son simples, comportamentales, financieros y sensibles (agregar respaldo en
Evaluación del impacto
Muy Alto.
Tratamiento del riesgo
Mejorar el plan de continuidad de actividades incorporando un proceso para borrar datos personales de los backups . Implementar y cumplir con un borrado seguro en el que se sobreescriba cada sector. Se recomiendan seguir los procesos de los estándares DoD 5220.22, o el NIST 800-88.
87
2.4. Riesgo de no cumplir con el principio de pertinencia y minimización de datos
Concordancia: Art. 10 (e) LOPDP.
Identificación del riesgo
¿Los datos recopilados son adecuados, relevantes y limitados a lo que es necesario en relación con los fines para los que se procesan ('minimización de datos')?
Los datos recolectados son biográficos, de contacto, geolocalización, preferencias, financieros y datos sensibles de la salud en alrededor del 25% de titulares de datos.
- Amenaza: Considerando que la amenaza es el responsable del tratamiento,
la empresa MalaKompra S.A. puede vulnerar los derechos de los titulares de datos al recopilar datos de manera excesiva y al no tener ninguna pertinencia para el tratamiento de datos necesario.
- Rationale: El equipo de auditores jurídicos procedió a abrir cuentas como
potenciales clientes para auditar que datos personales eran requeridos al abrir una cuenta. Se identificó que se están recopilando datos biográficos (nombres, apellidos y edad) acerca de los hijos de los clientes al abrir cuentas, en la página web: https://malakompra.ec/signup. (agregar respaldo en
-------------------------------
- Vulnerabilidad: Los formularios los hace el webmaster, sin ningún control de
la Dirección Jurídica.
- Rationale: El equipo de auditores jurídicos identificó que no hay
procedimientos internos para auditar el desarrollo de formularios que
Análisis del riesgo
- Probabilidad de ocurrencia (informativo): Muy Probable (75%)
- Rationale: Tres de los cuatro expertos consideraron que los datos personales
-------------------------------
- Impacto: Los datos personales de menores de edad son datos sensibles. El
impacto primario es vulnerar el derecho a la confidencialidad de sus datos personales. El impacto secundario es exponerlos a riesgos de seguridad en un país con altos índices de delincuencia.
88
- Rationale: Estadísticas de extorsiones y secuestros en el Ecuador (agregar
Evaluación del impacto
Titulares promedio: Alto. Titulares especialmente vulnerables: Muy alto.
Tratamiento del riesgo
Elaborar un proceso en el cual la dirección jurídica deba revisar y aprobar los formularios desarrollados por la dirección de tecnologías de la información; eliminar los datos de menores de edad de los formularios pertinentes y borrar todos los datos personales de edad que ya hayan sido recopilados y almacenados.
2.5. Riesgo de no cumplir con los derechos de acceso y portabilidad de datos
Concordancia: Art. 13 LOPDP.
Identificación del riesgo
¿Qué métodos se utilizan para garantizar el acceso de los titulares a sus datos personales?
Los titulares de datos tienen acceso directo y permisos de edición de todos los datos que generen en su espacio web. Para los datos y metadatos que estén fuera del control del titular de datos, se puede enviar un correo electrónico a derechos@malkompra.ec.
¿Qué métodos se utilizan para garantizar el derecho a la portabilidad de datos?
Los titulares de datos podrán ejercer su derecho de portabilidad de datos escribiendo a derechos@malakompra.ec. Los datos serán entregados en formato pdf y/o csv de acuerdo con el tipo de datos.
- Amenaza: Considerando que la amenaza es el responsable del tratamiento, la
empresa MalaKompra S.A. puede vulnerar los derechos de los titulares de datos al no proporcionar mecanismos para ejercer el derecho de acceso y el derecho de portabilidad de datos a los titulares de datos.
- Rationale: El equipo de auditores jurídicos procedió a abrir cuentas como
potenciales clientes para auditar los mecanismos implementados para el ejercicio de
89
-------------------------------
- Vulnerabilidad: No fue encontrada vulnerabilidad para el ejercicio de ambos
derechos.
- Rationale: Los mecanismos implementados funcionan de manera adecuada. El
equipo jurídico abrió cuentas como clientes y verificó el control sobre toda su información propia generada en menos de diez días. Además, solicitó todos sus datos personales en un formato estandarizado, recibiendo respuesta también en un plazo razonable, con un enlace de descarga de un archivo en formato PDF (agregar respaldo
Análisis del riesgo
- Probabilidad de ocurrencia (informativo): Poco probable (5%)
- Rationale: El ejercicio de derechos fue solicitado de manera anónima por tres
auditores. Dos solicitudes se cumplieron en cinco días. Una solicitud se cumplió en seis días. Los expertos concluyeron una eficiencia del 95%
-------------------------------
- Impacto: El impacto puede generar una vulneración de disponibilidad de los
datos personales de los titulares, ocasionando además la vulneración de su derecho a la protección de datos personales y pérdidas financieras debido a la falta de acceso.
- Rationale: El equipo de auditores estimó que el impacto es importante, pero
influye que la empresa tiene mecanismos que funcionan (agregar respaldo en
Evaluación del impacto
Bajo.
Tratamiento del riesgo
Vigilar que los controles de riesgo sigan siendo efectivos y eficaces.
2.6. Riesgo de no cumplir con el derecho de rectificación y actualización
Concordancia: Art. 14 LOPDP.
90
Identificación del riesgo
¿Cómo pueden los interesados ejercer sus derechos de rectificación y actualización?
Los titulares de datos tienen los privilegios correspondientes para rectificar y actualizar todos los datos que generen en su espacio web. Para rectificar y actualizar los datos y metadatos que estén fuera del control del titular de datos, se puede enviar un correo electrónico a derechos@malakompra.ec.
- Amenaza: Considerando que la amenaza es el responsable del tratamiento, la
empresa MalaKompra S.A. puede vulnerar los derechos de rectificación y actualización los titulares de datos al no proporcionar mecanismos para su ejercicio.
- Rationale: El equipo de auditores jurídicos procedió a abrir cuentas como
potenciales clientes, para auditar los mecanismos implementados para el ejercicio de los derechos de rectificación y actualización (agregar respaldo en
-------------------------------
- Vulnerabilidad: No fue encontrada vulnerabilidad para el ejercicio de ambos
derechos.
- Rationale: Los mecanismos implementados funcionan de manera adecuada.
El equipo jurídico abrió cuenta como clientes y verificó el control sobre toda su información propia generada. Además, pudo rectificar y actualizar otros datos personales sin permiso de edición, recibiendo respuesta también en un
Análisis del riesgo
- Probabilidad de ocurrencia (informativo): Poco probable (5%)
- Rationale: El ejercicio de derechos fue solicitado de manera anónima por tres
auditores. Las solicitudes se cumplieron en tres días. Una solicitud se cumplió en seis días. Los expertos estimaron una eficiencia del 98% (agregar respaldo
-------------------------------
- Impacto: El impacto puede generar una vulneración de integridad de los datos
personales de los titulares, ocasionando además la vulneración de su derecho a la protección de datos personales; y, pueden vulnerarse otros derechos y libertades debido a no poder rectificar su información.
91
- Rationale: El equipo de tres auditores estimó que el impacto es importante,
pero infiere que la empresa tiene mecanismos que funcionan (agregar
Evaluación del impacto
Bajo.
Tratamiento del riesgo
Vigilar que los controles de riesgo sigan siendo efectivos y eficaces.
2.7. Riesgo de no cumplir con el derecho de eliminación
Concordancia: Art. 15 LOPDP.
Identificación del riesgo
¿Cómo pueden los interesados ejercer su derecho de eliminación de datos?
Los titulares de datos pueden ejercer su derecho de eliminación de datos que ellos generen desde su propio espacio web. Sin embargo, los datos personales publicados en la sección “Prensa” no tienen un mecanismo para ser eliminados.
¿Qué método de borrado seguro es utilizado?
El responsable del tratamiento supuestamente utiliza herramientas basadas en el Estándar NIST 800-88.
- Amenaza: Considerando que la amenaza es el responsable del tratamiento, la
empresa MalaKompra S.A. puede vulnerar los derechos de los titulares de datos al no proporcionarles mecanismos para ejercer el derecho de acceso de eliminación.
- Rationale: El equipo de auditores jurídicos procedió a abrir cuentas como potenciales
clientes para auditar los mecanismos implementados para el ejercicio del derecho de eliminación de datos. El equipo de auditores técnicos procedió a implementar una estrategia de file carving para verificar si los datos son borrados de manera segura
-------------------------------
- Vulnerabilidad: No hay mecanismos para ejercer el derecho de eliminación para los
datos de la salud. La empresa no cumple con un sistema de borrado seguro en sus dispositivos de almacenamiento.
92
- Rationale: El equipo de auditores jurídicos identificó que la dirección jurídica no
había considerado que dar beneficios financieros a sus clientes no presupone que la empresa se vuelva propietaria de esos datos de la salud, lo cual es ilegal a la luz de la LOPDP. Esto debido a la baja capacitación de la dirección jurídica en derecho de protección de datos personales. Además, el equipo de auditores técnicos procedió a extraer una copia de bit a bit de un disco duro de la empresa y utilizó la herramienta Data Extractor ; con lo cual, identificó que los datos personales no son eliminados de manera segura. Por ello, la segunda vulnerabilidad identificada es la negligencia del departamento de seguridad de la información al no implementar los mecanismos adecuados de borrado seguro en todos los dispositivos de almacenamiento (agregar
Análisis del riesgo
- Probabilidad de ocurrencia (informativo): Muy Probable (85%)
- Rationale: Hubo tres auditores jurídicos que calibraron a partir del método Delphi,
una probabilidad del 100%. Los dos auditores técnicos por su lado calibraron la probabilidad de ocurrencia en el 70%, con base en la aplicación del teorema de Bayes para calibrar la probabilidad condicional de tener una vulneración de seguridad de
-------------------------------
- Impacto: Los derechos y libertades de los titulares que entregan datos médicos están
siendo sistemáticamente vulnerados por parte del responsable del tratamiento. La confidencialidad de los datos personales de todos los titulares presenta un alto riesgo debido a la negligencia de no implementar métodos de borrado seguro.
- Rationale: Los auditores jurídicos estimaron, utilizando el método Delphi, con un
nivel de muy alto por tratarse de datos sensibles que afectan a más de 1 000 titulares, de acuerdo con lo establecido en los criterios de evaluación (agregar respaldo en
Evaluación del impacto
Muy Alto.
Tratamiento del riesgo
En primer lugar, es necesario implementar un mecanismo para que los titulares de datos de la salud puedan eliminar sus datos. En segundo lugar, se debe capacitar a la dirección jurídica en las obligaciones de conformidad a la LOPDP. En tercer lugar, es necesario cumplir con la implementación de mecanismos de borrado seguro que sobreescriban en la práctica, los sectores de los discos duros con varias capas de caracteres.
93
2.8. Riesgo de no cumplir con los derechos de oposición y suspensión del tratamiento
Concordancia: Arts. 16, 19 LOPDP.
Identificación del riesgo
¿Cómo pueden los interesados ejercer sus derechos de oposición y de suspensión?
Los titulares de datos pueden ejercer sus derechos de oposición y suspensión escribiendo al correo electrónico: derechos@malakompra.ec.
- Amenaza: La empresa MalaKompra S.A. puede vulnerar los derechos de los
titulares de datos al no proporcionarles mecanismos para ejercer los derechos de oposición y suspensión.
- Rationale: Considerando que la amenaza es el responsable del tratamiento, el
equipo de auditores jurídicos abrió cuentas como potenciales clientes, para auditar los mecanismos implementados para el ejercicio de los derechos de
-------------------------------
- Vulnerabilidad: No fue encontrada vulnerabilidad para el ejercicio de ambos
derechos.
- Rationale: Los mecanismos implementados funcionan de manera adecuada.
El equipo de auditores jurídicos verificó que tres clientes escriban al correo electrónico derechos@malakompra.ec y sus pedidos fueron realizados en un
Análisis del riesgo
Probabilidad de ocurrencia (informativo): Poco probable (5%)
- Rationale: El ejercicio de derechos fue solicitado de manera anónima por tres
auditores. Se cumplió con ellos en el plazo establecido (agregar respaldo en
- Impacto: El impacto puede generar una vulneración de confidencialidad de
los datos personales de los titulares, ocasionando además de la vulneración de su derecho a la protección de datos personales, probables vulneraciones a otros derechos y libertades.
94
-------------------------------
- Rationale: Un equipo de cuatro auditores estimó que el impacto es
importante, pero intuye que la empresa tiene mecanismos que funcionan
Evaluación del impacto Bajo.
Tratamiento del riesgo
Vigilar que los controles de riesgo sigan siendo efectivos y eficaces.
2.9. Riesgo de que los encargados del tratamiento no cumplan con sus obligaciones
Concordancia: Arts. 34, 47 LOPDP.
Identificación del riesgo
¿Las obligaciones de los encargados del tratamiento están claramente identificadas y regidas por un contrato?
La empresa declara tener dos encargados del tratamiento: (1) DataKuy Ltd. Servicios de marketing digital. Empresa Ecuatoriana. (2) BestKloud: Servicios de nube Infrastructure as a Service (IaaS) en la nube. Empresa Estadounidense registrada en el Estado California. Ambos están regidos por contratos que contemplan la conformidad al reglamento General de Protección de Datos (UE) 2016/679. No obstante, hay la sospecha de si existe un tercer encargado del tratamiento no declarado en lo que concierne a los datos de la salud.
- Amenaza: La amenaza son los encargados del tratamiento que podrían
incumplir con la protección de los derechos y libertades de los titulares de datos, conforme a la LOPDP. El equipo auditor identifica que los datos de la salud recopilados están siendo entregados a la empresa de seguros médicos Asegúrate S.A. sin ningún contrato de protección de datos personales.
- Rationale: El equipo de auditores técnicos auditó los flujos de datos
personales y encontró un encargado del tratamiento no declarado,
-------------------------------
95
- Vulnerabilidades: El equipo de auditores identificó dos vulnerabilidades. En
primer lugar, el encargado del tratamiento DataKuy Ltd. no tiene políticas de seguridad de la información, poniendo en alto riesgo la seguridad de los datos personales encargados. La vulnerabilidad es la falta de debida diligencia de la dirección jurídica. En segundo lugar, la empresa AseguraTe S.A. no tiene un Convenio de protección de datos, y sin embargo está tratando los datos de la salud. La vulnerabilidad es la falta de capacitación de la dirección jurídica.
- Rationale: El equipo de auditores jurídicos procedió a auditar los convenios
de procesamiento de datos personales ( Data protection Agreements ). Además, solicitó a los auditores técnicos, auditar el flujo de datos desde la
Análisis del riesgo
- Probabilidad de ocurrencia (informativo): Inminente (95%)
- Rationale: Los auditores utilizaron un modelo de predicción conformal
inductiva ( inductive conformal prediction ), para establecer el rango de confianza en el cumplimiento de obligaciones de encargados del tratamiento
-------------------------------
- Impacto: Los derechos y libertades de los titulares están en muy alto riesgo,
debido a la falta de medidas de seguridad organizacional y técnica por parte de la empresa DataKuy LTD; y, por la falta de un Convenio de protección de datos con la empresa AseguraTe S.A.
- Rationale: Los auditores utilizaron el modelo de aprendizaje automático
supervisado Decision Trees para analizar el impacto de la falta de debida diligencia para contratar a los respectivos encargados del tratamiento como
Evaluación del impacto
Muy Alto.
Tratamiento del riesgo
Se debe capacitar a la dirección jurídica en temas de convenios de protección de datos personales con los encargados de datos y para realizar la debida diligencia al escogerlos. También es necesario que el DPD asuma su rol de auditor de auditores, identificando a los encargados del tratamiento de manera adecuada y revisando el flujo de datos personales.
96
[ SE HAN PRESENTADO VARIOS ESCENARIOS DE RIESGO, PERO SIEMPRE SERÁ NECESARIO AUMENTAR LOS ESCENARIOS QUE SEAN PERTINENTES PARA LA SITUACIÓN PARTICULAR DE LOS RESPONSABLES Y ENCARGADOS DEL TRATAMIENTO]