¿Su software procesa datos de clientes, empleados, pacientes o participantes en estudios? En ese caso, el artículo 25 del RGPD exige protección de datos desde el diseño y por defecto – en resumen: Privacy by Design. La protección de datos que se incorpora a posteriori es cara y a menudo deja lagunas. Desarrollamos software de forma que la protección de los datos personales forme parte de él desde la primera planificación, y revisamos las aplicaciones existentes para detectar dónde falta.
Privacy by Design: qué significa en concreto
- Minimización de datos: El software solo recoge lo necesario para su finalidad. Cada campo con datos personales debe estar justificado.
- Concepto de permisos: Cada rol solo ve los datos que necesita para su tarea – tanto en la interfaz de usuario como en las interfaces de programación y las exportaciones.
- Cifrado: en la transmisión y en el almacenamiento, y cuando sea necesario también para campos concretos, con claves guardadas por separado de los datos.
- Seudonimización: por ejemplo, los datos de mediciones y muestras se separan de las personas a las que pertenecen.
- Concepto de borrado: Los plazos de conservación están definidos en el software y los datos se borran a su debido tiempo y de forma trazable.
- Derechos de los interesados: Acceso, rectificación y exportación de datos mediante una función, en lugar de trabajo manual en la base de datos.
- Registro: Queda constancia de quién modificó qué datos y cuándo – sin que el propio registro se convierta en una recopilación innecesaria de datos.
- Configuración por defecto respetuosa con la privacidad: La recogida opcional de datos y las transmisiones están desactivadas inicialmente, y los plazos son lo más cortos posible.
Desarrollo seguro de software
La protección de datos depende de la seguridad del software. Por eso, en nuestro desarrollo se incluyen estos puntos:
- Análisis de amenazas en la planificación: ¿Por dónde podría atacar alguien y cuál sería el daño? A partir de ello derivamos requisitos antes de escribir la primera línea de código.
- Programación segura: Las entradas se validan, los errores se gestionan correctamente y los permisos se conceden de la forma más restrictiva posible.
- Ningún secreto en el código: Las contraseñas y las claves se guardan en configuraciones protegidas, no en el código fuente.
- Dependencias bajo control: Las bibliotecas de terceros se registran y se mantienen actualizadas – la base para la lista de materiales de software según el Cyber Resilience Act.
- Pruebas sin datos reales: Desarrollamos y probamos con datos de prueba ficticios o anonimizados.
- Revisión con enfoque en la seguridad: Los cambios se revisan, también desde el punto de vista de la seguridad y la protección de datos. Más información en Control de calidad y revisión de código.
Revisión del software existente
En una aplicación existente empezamos con un inventario: ¿Qué datos personales procesa el software, dónde se almacenan, hacia dónde fluyen y quién puede verlos? De ahí surge una lista de medidas, ordenadas por urgencia y con el esfuerzo estimado. Los datos técnicos ayudan a su delegado de protección de datos, por ejemplo, en el registro de actividades de tratamiento o en una evaluación de impacto relativa a la protección de datos.
Si lo desea, implementamos nosotros mismos las medidas – por ejemplo, incorporar un concepto de permisos, cifrar campos sensibles, integrar un concepto de borrado o añadir una función de exportación para las solicitudes de acceso.
Cuando trabajamos con sus datos
Para el desarrollo y las pruebas, por lo general no necesitamos datos personales reales. Cuando sí son necesarios, por ejemplo en el soporte al analizar un error, lo regulamos mediante un contrato de encargo del tratamiento conforme al artículo 28 del RGPD y limitamos el acceso a lo estrictamente necesario.
Nota: Nos encargamos de la implementación técnica, no del asesoramiento jurídico. Las valoraciones legales las coordinamos con su delegado de protección de datos, su departamento jurídico o sus abogados.
Encontrará todos los servicios de calidad y seguridad en la vista general.
Su siguiente paso
Ya se trate de un software nuevo o de una aplicación existente: en una primera conversación aclaramos qué datos procesa su software y dónde es más urgente actuar.
kununu