Categoría: Seguridad TIC

Con motivo de la pasada Semana Europea de Formación Profesional (European Vocational Skills Week) en Escuela Profesional Xavier nos pareció conveniente realizar una charla informativa acerca de la importancia de la privacidad de nuestros datos así como la influencia que puede tener nuestra identidad digital en el futuro profesional de los alumnos de FP. Todo ello con el objetivo de sensibilizar a los jóvenes sobre el (mal)uso de sus datos y la importancia de su presencia en la red para el empleo.

Resulta todavía sorprendente la cantidad de jóvenes que no conocen las medidas básicas de protección de sus datos o la cantidad de información personal que comparten con empresas sin ser conscientes de las implicaciones que puede tener esa ignorancia. A nivel de redes sociales si que parece haber una mayor con sensibilidad en lo que se refiere a esta privacidad o intimidad; así lo refleja el informe del INCIBE de 2019 (Actividades, Mediación, Oportunidades y Riesgos online de los menores en la era de la convergencia mediática) donde el 74% de los niños de 9 a 17 años afirman saber qué información pueden o no deben compartir online.

Es todavía muy incipiente la preocupación sobre qué tipo de aplicaciones instalamos en el móvil o qué dispositivos personales y domésticos tenemos conectados a Internet y qué datos almacenan y comparten. Tampoco son muy conocidas las medidas que podemos tomar para actuar con cierta protección y prevenir esa difusión constante de nuestros datos personales. Muy recomendable la lectura del libro «Datanomics», donde su autora, Paloma Llaneza, nos hace reflexionar con numerosos ejemplos sobre el trajín que llevan a cabo las empresas con nuestros datos.

Por este motivo, y siguiendo algunos consejos de expertos en privacidad, sería conveniente: descargar pocas aplicaciones en el móvil y sólo aquellas en las que confiemos, revisar los permisos que concedemos a estas apps, introducir medidas adicionales de seguridad en nuestras cuentas y acostumbrarse a realizar búsquedas a través de buscadores desde los que no dejemos rastro. Imprescindibles también los hilos en Twitter sobre privacidad y datos de Manuela Battaglini.

Por otro lado, a nivel de empleo, nuestros futuros titulados y demandantes de trabajo tienen una sencilla forma de diferenciarse respecto a otros candidatos. Son pocos los jóvenes que disponen de una presencia profesional y/o académica en la red; tan solo una minoría dispone de una web o blog personal y redes sociales con contenidos que puedan tener una incidencia positiva para aquellas empresas que están seleccionando personal. Desde la Formación Profesional debemos trabajar este tipo de herramientas con el fin de ir conformando una identidad digital que refleje las competencias técnicas de nuestros titulados y tituladas en FP.

Os dejamos aquí con la presentación utilizada para este evento en el marco de la #EUVocationalSkills Week de 2019 por si os resulta de utilidad para vuestros centros educativos.

Oscar Boluda es docente de Ciclos Formativos  en  Escuela Profesional Xavier. Referente en uso de blogs educativos y premiado con Peonza de Oro Espiral, puedes seguirle en su blog https://www.efepeando.com/  donde reflexiona sobre Educación, Formación Profesional y Nuevas Tecnologías

Nuestros amigos de PRODAT nos dan unas pautas clave para los colegios:

Todos los colegios deben confeccionar y mantener un “registro de actividades de
tratamiento”[i] (RAT) bajo su responsabilidad (con inclusión, si es posible, de una descripción general de las medidas de seguridad adoptadas) y, si fuera solicitado, ponerlo a disposición de la autoridad de control (Agencia Española de Protección de Datos – AEPD) para que ésta supervise las operaciones de tratamiento.

Todos los colegios deben tomar las medidas oportunas para facilitar a las familias, a los alumnos y a los empleados la información[ii] que exige la normativa de forma concisa, transparente, inteligible y de fácil acceso, utilizando un lenguaje claro y sencillo, y que puede ser facilitada por escrito o por otros medios como, por ejemplo, electrónicos (página web) o iconografía normalizada.

Los colegios, así como todos los empleados que traten datos personales, están sujetos al deber de confidencialidad, que será complementario de los deberes de secreto profesional de conformidad con su normativa aplicable; estas obligaciones se mantendrán incluso después de haber finalizado la relación de los empleados con los colegios.
Los colegios tomarán las medidas necesarias para garantizar que cualquier persona que actúe bajo su autoridad y tenga acceso a datos personales solo pueda tratar dichos datos en el ejercicio de las funciones que tenga asignadas.

Cuando los colegios precisen la contratación de un tercero que no forme parte de su
organización para realizar un tratamiento de datos personales[iii] (servicio de comedor, servicio médico, transporte o para la realización de actividades extraescolares) deben elegir únicamente a aquellos encargados de tratamiento que ofrezcan garantías suficientes (conocimientos especializados, fiabilidad y recursos) de cara a la aplicación de medidas técnicas y organizativas apropiadas, de manera que su tratamiento sea conforme a la normativa y garantice la protección de los derechos del interesado.
El encargado del tratamiento debe tratar los datos únicamente conforme a las instrucciones del colegio, no pudiendo ser utilizados para finalidades distintas de las previstas en el contrato, ni comunicados a otras personas, ni siquiera para su conservación, y con la obligación de, una vez finalizado el contrato, devolver o destruir los datos tratados (se considera una buena práctica que se asegure la destrucción o devolución de los datos con un certificado de destrucción o con un acuse de recibo).
No se consideran encargados del tratamiento a las personas físicas que tengan acceso a los datos personales en su condición de empleados del colegio, como el equipo directivo, los profesores, o el personal de administración y servicios.

Los colegios deben obligatoriamente designar un “delegado de protección de datos” (DPD) atendiendo a sus cualidades profesionales (conocimientos especializados del derecho y la práctica en materia de protección de datos) y a su capacidad para informar y asesorar al colegio y a los empleados, supervisar el cumplimiento normativo (asignación de responsabilidades, concienciación y formación del personal), resolver reclamaciones que se puedan plantear, además de ser el interlocutor y cooperar con la autoridad de control (AEPD) y con los interesados.

Los colegios deben tratar los datos de manera lícita, leal y transparente en relación con las familias, alumnos y empleados; recogerlos para fines determinados, explícitos y legítimos; los datos deben ser adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados; deben ser exactos y actualizados; deben adoptarse todas las medidas razonables para que se supriman o rectifiquen sin dilación los datos personales que sean inexactos; deben mantenerse de forma que se permita la identificación de los interesados durante no más tiempo del necesario para los fines del tratamiento de los datos personales; tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas.
Los colegios son responsables del cumplimiento normativo y deben ser capaces de demostrarlo («responsabilidad proactiva»).

Los colegios deben realizar una valoración del riesgo que implique el tratamiento de datos que realicen o vayan a realizar (pérdida, destrucción o alteración por mero accidente o de forma ilícita o acceso no autorizado), con la finalidad de implantar las medidas de seguridad técnicas y organizativas teniendo en cuenta el coste de la técnica, los costes de aplicación, la naturaleza, alcance, contexto y fines del tratamiento, y los riesgos para los derechos y libertades.

Todos los colegios deben tener la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia [iv] permanentes de los sistemas y servicios de tratamiento; la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico; así como establecer un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento.
Los colegios deben conocer las aplicaciones que vayan a utilizar, su política de privacidad y sus condiciones de uso antes de utilizarlas, debiendo rechazar las que no ofrezcan información sobre el tratamiento de los datos personales que realicen (algunas aplicaciones utilizadas no ofrecen suficiente información para valorar su adecuación a la normativa); es recomendable que los colegios documenten las evaluaciones realizadas dejando constancia de los aspectos que han sido analizados y de los resultados obtenidos.
Es importante que el uso de las aplicaciones no implique una transmisión de los datos de los alumnos al prestador del servicio contratado para que los utilice para sus propios fines o los almacene de forma permanente, incluso con posterioridad a la terminación del contrato, tampoco debería implicar la renuncia del colegio al acceso a los datos o a su supresión.

Los colegios deben arbitrar fórmulas para facilitar a las familias, alumnos y empleados el ejercicio de sus derechos, incluidos los mecanismos para solicitar y, en su caso, obtener de forma gratuita, en particular, el acceso a los datos personales y su rectificación o supresión, así como el ejercicio del derecho de oposición.
Los colegios deben proporcionar medios para que las solicitudes se presenten por medios electrónicos, en particular cuando los datos personales se tratan por medios electrónicos y responder a las solicitudes del interesado sin dilación indebida y a más tardar en el plazo de un mes.

Por último, cuando acontezca una brecha de seguridad de los datos personales, los colegios la notificarán a la autoridad de control (AEPD) sin dilación indebida y, de ser posible, a más tardar 72 horas después de que haya tenido constancia de ella, a menos que sea improbable que dicha brecha de la seguridad constituya un riesgo para los derechos y las libertades de las personas físicas.

[i] El RAT debe contener el nombre y los datos de contacto del colegio y del DPD; las finalidades de los tratamientos; una descripción de las categorías de interesados (alumnos, empleados, etc.) y de las categorías de datos personales (nombres, apellidos, sobre la salud, etc.); las categorías de destinatarios a quienes se pueden comunicar los datos personales (seguro escolar, etc.), incluidos los destinatarios en terceros países (caso de G-Suite for Education, Office 365, etc.); y cuando sea posible, los plazos previstos para la supresión de las diferentes categorías de datos y una descripción general de las medidas técnicas y organizativas de seguridad.

[ii] Contenido mínimo de la información: a) la identidad y los datos de contacto del colegio; b) los datos de contacto del DPD; c) los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento; d) cuando el tratamiento se base en el interés legítimo, informarlo; e) los destinatarios de los datos personales; f) en su caso, la intención del responsable de transferir datos personales a un tercer país.

[iii] El tratamiento debe regirse por un contrato que vincule al encargado respecto del colegio y que establezca el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos personales y categorías de interesados, y las obligaciones y derechos del colegio.

[iv] Capacidad de un material, mecanismo o sistema para recuperar su estado inicial cuando ha cesado la perturbación a la que había estado sometido.

Manuel Gil lidera el departamento jurídico de PRODAT en Valencia. Asesoran a un gran número de centros educativos para su adecuación y cumplimiento de la cambiante normativa legal relativa a protección de datos (LOPD, RGPD, etc.) Si tienes alguna duda sobre este decálogo puedes contactar con ellos en mgil@prodatvalencia.es

Hace pocos días se publicó que la Comunidad Valenciana (y otras cuantas) ha firmado con Red.es un convenio para licitar y ejecutar un proyecto para dotar a todas las escuelas sostenidas con fondos públicos de banda ancha y WiFi.

El Consejo de Ministros aprueba una inversión de 74 millones para llevar el programa Escuelas Conectadas a otras siete comunidades autónomas

Esto significa que en unos meses sacarán a concurso este proyecto, cuyo importe estimado en la Comunidad Valenciana es de 5,57 millones de euros  (para equipar 1.477 centros donde estudian 531.000 alumnos).

El objeto de este proyecto es dotar de conectividad de «banda ancha» en todos los colegios (mínimo de 100 Mbps), y equipar con WiFi todas las aulas. El avance de la tecnología hace que 100 Mbps, ya no sea hoy una banda «muy» ancha,  y mucho menos «ultrarrápida» como dice la noticia, pero los plazos en la Administración no avanzan al mismo ritmo (el proyecto Escuelas Conectadas arrancó en 2015) que la sociedad digital.

El plazo, me atrevo a estimar que llevará al menos 2/3 años.

En cualquier caso, disponer de recursos siempre es una buena noticia, dado que muchos centros educativos lo están demandando desde hace años. Ahora bien, como en cualquier proyecto, si sólo están los recursos… será insuficiente. Es necesario que se defina en cada centro educativo un plan digital de centro, que incluya la visión y objetivos del equipo directivo, los beneficios esperados para alumnos (y docentes) y formar a los docentes en las habilidades necesarias para poder incorporar nuevas actividades en sus aulas, sin frustración.

Durante este plazo, sería bueno que todos los centros educativos se planteasen.

• • Si su claustro tiene la competencia digital suficiente para, cuando llegue el momento, poder aprovechar estos recursos. En este sentido, cada vez hay más propuestas online que permiten ir preparándose, como portfolio.educalab.es
  • Qué políticas y permisos van a proponer en el centro. No parece tener mucho sentido que se dote de WiFi a los centros … si después la política va a ser de prohibición de dispositivos móviles, como es frecuente. Tenemos que educar.
  • Si la red de comunicaciones existente en el centro es suficiente para no suponer un cuello de botella. Es habitual que los centros educativos contraten banda ancha y la conexión a Internet siga siendo intermitente o lenta, por la red interna del centro.
  • Si los alumnos (y por supuesto los profesores) van a disponer de alguna cuenta para poder acceder a aplicaciones educativas, repositorios virtuales, entornos virtuales de aprendizaje que requieran un registro previo.
  • En caso de que utilicen recursos digitales, cómo van a concienciar y enseñar a los alumnos un uso responsable y seguro. Me temo que no será suficiente con una charla esporádica, sino que tendrá que incorporarse de forma más transversal. Algunos colegios ya lo han hecho, por citar un ejemplo el IES Puzol, que además ha sido premiado por ello.
  • Cómo se van a adaptar a la legislación, y en concreto al RGPD que en Mayo de 2018 deben cumplir casi todas las organizaciones, y entre ellas los centros educativos. (En esta entrada de nuestro blog de hace unos meses hablábamos de ello)

La gestión del cambio es un proceso con muchos factores, esta imagen (adaptada por @sylviaduckworth) es muy representativa:

Bueno, hay mucho por hacer, y dos años por delante…¿estás preparado?

Afortunadamente, cada vez son más los educadores que asumen que los alumnos no son nativos digitales, en el sentido de que, aunque el manejo de la tecnología les resulta sencillo, necesitan guiado y acompañamiento para un uso seguro y responsable.  Si no los acompañamos, en realidad son más bien huérfanos digitales.

Existen infinidad de recursos sobre uso seguro y responsable de Internet, pero en estas últimas semanas se han presentado 2 recursos, ambos oficiales, que me parecen especialmente interesantes para revisarlos y sobre todo para tenerlos como referencia.

Uno es la Guía «Protección de datos en centros educativos», publicada por la Agencia Española de Protección de Datos (AEPD). Es un documento extenso (62 páginas) muy útil para consultar como referencia. Puedes descargarlo en este enlace.

El segundo recurso oficial es la página Internet Segura for Kids, creada por el INCIBE (Instituto Nacional de Ciberseguridad), que, además de multitud de recursos para familias y educadores, dispone de un teléfono de ayuda para consultar, de forma confidencial, cualquier duda. Este es el enlace a su sitio web https://www.is4k.es/

Espero que estos recursos te resulten de utilidad. Si conoces algún otro, actualizado y que consideres interesante compartir, te invitamos a indicarlo en los comentarios de esta entrada.