Protección de datos y herramientas colaborativas: cómo cumplir con la AEPD en videollamadas de Zoom, Meets o Teams

09/02/24

El auge de las herramientas colaborativas, impulsado en gran medida por la pandemia de COVID-19, ha llevado a una adopción masiva en las empresas de plataformas como Google Meets, Zoom o Microsoft Teams. Este uso se ha continuado hasta la actualidad gracias a la consolidación del teletrabajo y al trabajo híbrido.

Por este motivo, es normal que en la empresa surjan dudas de cómo se gestiona la protección de datos en una tecnología que no solo facilita la comunicación remota, sino que también genera y almacena una cantidad significativa de datos. El foco se sitúa ahora en la privacidad y la gestión segura y eficiente de los datos corporativos, asegurándonos además del cumplimiento de las recomendaciones y directrices de la Agencia Española de Protección de datos y la Unión Europea.

Protección de datos y herramientas colaborativas cómo cumplir con la AEPD en videollamadas de Zoom, Meets o Teams

En 2020, por ejemplo, un periodista neerlandés accedió a una reunión por videoconferencia de ministros de Defensa de la Unión Europea tras un descuido del equipo de la ministra de Defensa de Países Bajos, que publicó en redes sociales el código de acceso a la reunión.

Es vital no descuidar la organización de reuniones virtuales, ya que se deben preparar teniendo en cuenta los riesgos de privacidad. De lo contrario, las empresas se arriesgan a facilitar la práctica de conductas desleales por parte de los interlocutores, antiguos empleados, personal descontento o ciberdelincuentes que puedan robar datos o causar estragos en los sistemas.

Tomando algunas precauciones básicas se consigue garantizar que las reuniones online sean un espacio de trabajo eficaz y seguro, evitando incidentes que puedan llegar a constituir una brecha de seguridad de los datos personales o comprometer de otra forma la privacidad.

La Agencia Española de Protección de Datos (clic AQUÍ) ha publicado las siguientes recomendaciones al respecto:

Códigos e indicaciones de la empresa

Seguir las políticas establecidas por la empresa para las reuniones online.
Utilizar exclusivamente el software del proveedor tecnológico aprobado por la empresa.
Es recomendable designar al menos una persona participante que ayude al organizador/a durante el desarrollo de una reunión en el control de estas personas y en cuestiones relativas a la privacidad y seguridad en reuniones con un número elevado de personas asistentes y de diversas organizaciones.
Hacer un análisis previo de los riesgos relativos a la sensibilidad de los temas a tratar, la identidad de quien participa y la posible difusión si la reunión fuera grabada.

Limitar las funcionalidades no necesarias

Si no se utilizan, limitar funciones como el chat, el intercambio de ficheros o compartir pantalla disminuyen el riesgo de compartir información no deseada.
Desconecta el micrófono y la cámara cuando no sea necesario: además de reducir el ruido general de la llamada, si se va a realizar alguna acción fuera del foco de la cámara que no desee grabarse es preferible asegurarnos de ello desconectando el micrófono y la cámara. Hay que prestar especial atención a los micros inalámbricos.
La captura de audio y vídeo puedo continuar tras la reunión sin ser conscientes: ya sea por algún tipo de error humano o de sistema, la grabación seguir ejecutándose. Por ello, al finalizar la reunión hay que asegurarse de utilizar un elemento que inhabilite físicamente la cámara (pestaña, adhesivo o similar) o si se trata de una externa al equipo, se deberá desenchufar.

Admisión de personas en las videollamadas

En reuniones con contenido o identidad de participantes sensibles, es recomendable utilizar códigos, urls de enlace y/o pines de acceso de un solo uso. La seguridad se puede aumentar utilizando la autenticación de doble factor (teléfono, email…), lo que evitaría que terceras personas pudieran unirse solamente obteniendo la URL de enlace o el código de acceso.
Se debe realizar la convocatoria únicamente a contactos concretos, evitando el envío de convocatorias a grupos o listas de correo y que incluyan enlaces que sean válidos tan haciendo clic en ellos.
Es recomendable emplear una “sala de espera” para poder ir admitiendo a las personas participantes y no permitir el inicio de la reunión hasta que se una la persona anfitriona.
Si activamos las notificaciones cada vez que una persona asistente se una a la reunión (sonido, nombre de la persona), estaremos al tanto de cualquier incorporación. Si no es posible, el anfitrión siempre podrá pedir a las nuevas personas que se identifiquen.
Si es posible, se debe utilizar un panel para comprobar los asistentes e identificar intrusiones, nombres genéricos, etc.

Recomendaciones para la grabación

No se deberá grabar la reunión a menos que sea necesario. Si es necesario, se deberá informar adecuadamente a todas las personas asistentes de la finalidad de la grabación y en qué momento se iniciará y detendrá. Algunos softwares y aplicaciones ya tienen está funcionalidad integrada.
Es necesario comprobar qué área es visible, quien podría tener riesgo de aparecer en cámara detrás de nosotros y qué información personal está revelando. Algunos softwares y aplicaciones tienen la opción de introducir un fondo virtual que enmascare el segundo plano. Se debe avisar a posibles convivientes que se va a iniciar una reunión y tomar medidas para que su actividad no esté al alcance del micrófono y la cámara.

Datos e información extremadamente sensibles

En los casos en los que se vayan a tratar datos o información muy sensible estará muy indicado la consulta con un profesional de seguridad de su organización para tomar medidas extra. Algunos ejemplos pueden ser:

Bloquear el acceso a la reunión una vez que todas las personas participantes estén identificadas.
Permitir solamente a las personas anfitrionas compartir pantalla.
Si se graba la pantalla, el vídeo deberá ser cifrado mediante un algoritmo robusto y mediante contraseñas fuertes. Se tendrá que eliminar cualquier grabación que haya podido quedar almacenada en los servidores del proveedor.
Solicitar explícitamente a las personas asistentes que solo se utilicen dispositivos proporcionados y/o aprobados por la empresa.

Otras recomendaciones generales

Como normas generales sobre Protección de Datos en la empresa, son buenas prácticas:

Proteger los datos confidenciales: se debe limitar el acceso a los datos sensibles y emplear métodos de cifrado, contraseñas y permisos para restringir la visualización y manipulación de la información.
Gestionar los permisos de acceso: las empresas tendrán que determinar quién puede acceder a qué datos, estableciendo niveles de permisos según las necesidades individuales de los empleados y aplicando políticas de prevención de pérdida de datos.
Supervisar el uso de los datos: existen herramientas de monitoreo y alerta para detectar actividades sospechosas o inapropiadas, lo que ayuda a prevenir y mitigar riesgos de seguridad y garantiza el cumplimiento normativo.
Establecer políticas de retención de datos: se deben definir y comunicar claramente los períodos de retención de datos y las acciones a tomar cuando estos expiren, cumpliendo así con requisitos legales y optimizando el almacenamiento de recursos.
Realizar auditorías regulares: realizar evaluaciones periódicas sobre el cumplimiento y la eficacia de las políticas y controles de gobernanza de datos, identificando áreas de mejora y fortalecimiento.
Capacitar a los usuarios: se debe proporcionar formación continua sobre las mejores prácticas de protección de datos de datos y el uso seguro el software empleado en la empresa para las videollamadas o el trabajo colaborativo.

Si tienes dudas sobre otros aspectos del RPGD y la Ley Orgánica 3/2018 y sobre su aplicación, o sobre el uso de herramientas colaborativas te recomendamos nuestros cursos bonificables por Fundae homologados por Universidades :

Recuerda que nuestros cursos se adaptan a las necesidades de tu empresa. Contáctanos AQUÍ si necesitas otra formación específica o modificar el temario y la duración.

Anterior Siguiente