Nemoteca
Bloque

Las telecomunicaciones: los datos personales, el cifrado y la seguridad de las redes

9 preguntas · en 2 colecciones

Los artículos 60 a 63 de la Ley 11/2022, en el capítulo III de su título III: la protección de los datos personales, su conservación y cesión, el cifrado y la integridad y la seguridad de las redes y los servicios.

Colecciones que lo incluyen

Así son sus preguntas

Resueltas, y cada una con la cita literal que la justifica, para que compruebes la respuesta por tu cuenta.

Según el artículo 60.2 de la Ley 11/2022, existe un riesgo particular de violación de la seguridad de una red pública de comunicaciones electrónicas. ¿A quién debe informar el operador de ese riesgo y de las medidas a adoptar?

  • A la Agencia Española de Protección de Datos
  • A los demás operadores de redes públicas
  • Al ministerio competente en telecomunicaciones
  • A los abonados

Aquí todavía no ha pasado nada, y por eso el aviso va a quienes pueden protegerse: los abonados, con el riesgo y las medidas a adoptar. La Agencia tienta porque el artículo trata de datos personales, pero el apartado 2 no la nombra, ni tampoco al ministerio ni a otros operadores.

el operador que suministre dicha red o preste el servicio de comunicaciones electrónicas informará a los abonados sobre dicho riesgo y sobre las medidas a adoptar
Ley 11/2022, de 28 de junio

Según el artículo 62.2 de la Ley 11/2022, cuando el cifrado se usa para proteger la confidencialidad, ¿puede imponerse la obligación de facilitar los algoritmos a un órgano de la Administración General del Estado o a un organismo público?
  • No, porque el cifrado es un instrumento de seguridad de la información
  • Sí, en casos justificados de seguridad del Estado, seguridad pública y delitos
  • Sí, pero se necesita autorización judicial previa, concreta y motivada
  • No, salvo que la persona titular de la información lo consienta

«Se podrá imponer», en casos justificados de protección de la seguridad del Estado y la seguridad pública, y para investigar, detectar y enjuiciar delitos. Que el cifrado sea un instrumento de seguridad es lo primero que dice el apartado, y a continuación admite esta condición de uso. La autorización judicial tienta, pero el art. 62.2 no la pide, ni tampoco el consentimiento del titular.

se podrá imponer la obligación de facilitar a un órgano de la Administración General del Estado o a un organismo público, los algoritmos o cualquier procedimiento de cifrado utilizado, en casos justificados de protección de los intereses esenciales de seguridad del Estado y la seguridad pública, y para permitir la investigación, la detección y el enjuiciamiento de delitos
Ley 11/2022, de 28 de junio

Según el artículo 60.3 de la Ley 11/2022, un operador de servicios de comunicaciones electrónicas disponibles al público sufre una violación de los datos personales. ¿A qué autoridad debe notificársela?
  • A la Comisión Nacional de los Mercados y la Competencia
  • A la agencia europea de ciberseguridad
  • A la Agencia Española de Protección de Datos
  • Al ministerio competente en telecomunicaciones

Una violación de datos personales se notifica a la autoridad de protección de datos, y sin dilaciones indebidas, una fórmula a la que el art. 60.3 no pone cifra. El ministerio tienta porque recibe otra notificación, la de los incidentes de seguridad del art. 63.3. Ni la Comisión Nacional de los Mercados y la Competencia ni la agencia europea de ciberseguridad son destinatarias de esta.

En caso de violación de los datos personales, el operador de servicios de comunicaciones electrónicas disponibles al público notificará sin dilaciones indebidas dicha violación a la Agencia Española de Protección de Datos.
Ley 11/2022, de 28 de junio

Según el artículo 62.3 de la Ley 11/2022, la información que obtenga la Administración General del Estado o un organismo público a través del apartado 2, ¿cuándo debe destruirse?
  • Al concluir la investigación policial, aunque el proceso judicial siga abierto
  • Al cumplirse el plazo de conservación que señale el organismo que la obtuvo
  • En cuanto la haya examinado el órgano de la Administración que la obtuvo
  • Al resolverse la amenaza o al dictarse sentencia firme sobre el delito en cuestión

El art. 62.3 ata la destrucción a un hecho, no a un plazo: que se resuelva la amenaza para la seguridad del Estado y la seguridad pública, o que haya sentencia firme sobre el delito. Por eso no basta con que acabe la investigación policial si el proceso sigue abierto, ni con que la haya examinado quien la obtuvo. Hasta entonces, se trata con la máxima confidencialidad.

deberá ser tratada con la máxima confidencialidad y destruida una vez que se resuelva la amenaza para la seguridad del Estado y la seguridad pública o se haya dictado sentencia firme sobre el delito en cuestión
Ley 11/2022, de 28 de junio

Según el artículo 63.2 de la Ley 11/2022, ¿con qué fin garantizan los operadores de redes públicas de comunicaciones electrónicas la integridad de esas redes?
  • Evitar que terceros intercepten las comunicaciones que transmiten
  • Garantizar la confidencialidad de los datos personales de los abonados
  • Facilitar al ministerio competente la supervisión de los operadores de redes públicas
  • Asegurar la continuidad en la prestación de los servicios que las utilizan

El art. 63.2 pide la integridad de la red para que el servicio siga funcionando: la continuidad en su prestación. Se confunde con la confidencialidad, de la que habla el art. 62 a propósito del cifrado, o con evitar interceptaciones, y este apartado no persigue ninguna de las dos. La supervisión del ministerio existe, en el art. 63.5, pero es un control de estas obligaciones, no su fin.

los operadores de redes públicas de comunicaciones electrónicas garantizarán la integridad de las mismas a fin de asegurar la continuidad en la prestación de los servicios que utilizan dichas redes
Ley 11/2022, de 28 de junio
Ver 4 preguntas más

Según el artículo 63.3 de la Ley 11/2022, ¿cuál de estos nombra entre los parámetros para determinar la importancia del impacto de un incidente de seguridad?
  • La cuota de mercado del operador afectado
  • La causa técnica que originó el incidente
  • El área geográfica afectada por el incidente
  • El valor de los equipos dañados por el incidente

El art. 63.3 nombra estos parámetros: usuarios afectados, duración, área geográfica, funcionamiento de la red o del servicio y actividades económicas y sociales. Dice «en particular», así que la lista no se presenta como cerrada, pero la causa técnica, la cuota de mercado y el valor de los equipos no están entre los que nombra.

Con el fin de determinar la importancia del impacto de un incidente de seguridad se tendrán en cuenta, en particular, los parámetros siguientes, cuando se disponga de ellos: a) el número de usuarios afectados por el incidente de seguridad; b) la duración del incidente de seguridad; c) el área geográfica afectada por el incidente de seguridad
Ley 11/2022, de 28 de junio

Según el artículo 63.3 de la Ley 11/2022, ¿a quién comunica el ministerio competente los incidentes que afectan a los operadores estratégicos nacionales y son de interés para proteger las infraestructuras críticas?
  • A la Secretaría de Estado de Seguridad
  • A la Comisión Nacional de los Mercados y la Competencia
  • A la agencia europea de ciberseguridad
  • A la Agencia Española de Protección de Datos

El ministerio reparte según el caso: las infraestructuras críticas, a la Secretaría de Estado de Seguridad, en el marco de la Ley 8/2011. La Comisión Nacional de los Mercados y la Competencia recibe los que tocan a las obligaciones que ella impone en los mercados de referencia, y la agencia europea de ciberseguridad, cuando procede, información y un informe anual. El art. 63 no nombra a la Agencia Española de Protección de Datos.

el Ministerio comunicará a la Secretaría de Estado de Seguridad del Ministerio del Interior aquellos incidentes que afectando a los operadores estratégicos nacionales sean de interés para la mejora de la protección de infraestructuras críticas
Ley 11/2022, de 28 de junio

El artículo 61 de la Ley 11/2022 remite a la Ley 25/2007 la conservación y la cesión a los agentes facultados de los datos de las comunicaciones electrónicas. ¿Para qué delitos y con qué requisito?
  • Para delitos graves, con autorización judicial
  • Para delitos graves y menos graves, con autorización judicial
  • Para delitos graves, con orden del Ministerio Fiscal
  • Para delitos graves y menos graves, con orden del Ministerio Fiscal

El art. 61 no regula la materia: la remite a la Ley 25/2007, y al hacerlo la delimita. Los fines son detectar, investigar y enjuiciar delitos graves del Código Penal o de las leyes penales especiales, y la cesión se hace con la correspondiente autorización judicial. No menciona los menos graves ni al Ministerio Fiscal. Los plazos y los datos concretos están en esa otra ley, no aquí.

La conservación y cesión de los datos generados o tratados en el marco de la prestación de servicios de comunicaciones electrónicas o de redes públicas de comunicación a los agentes facultados a través de la correspondiente autorización judicial con fines de detección, investigación y enjuiciamiento de delitos graves contemplados en el Código Penal o en las leyes penales especiales se rige por lo establecido en la Ley 25/2007
Ley 11/2022, de 28 de junio

Según el artículo 60.3 de la Ley 11/2022, una violación de los datos personales puede afectar negativamente a la intimidad de una persona. ¿Cuándo no hace falta que el operador se lo notifique a ella?
  • Si la violación ha sido accidental y no se ha debido a un acto ilícito
  • Si prueba que aplicó a los datos afectados medidas de protección tecnológica
  • Si la ha anotado en el inventario de violaciones que debe llevar
  • Si la persona afectada no es abonada del operador, sino un particular

La excepción hay que probarla: medidas de protección tecnológica convenientes, y aplicadas a los datos afectados, como las que los hacen incomprensibles para quien no esté autorizado. La violación accidental no se libra, porque la definición del apartado incluye la destrucción accidental. El aviso alcanza al abonado y al particular, y el inventario es una obligación más, no un sustituto.

La notificación de una violación de los datos personales a un abonado o particular afectado no será necesaria si el operador ha probado a satisfacción de la Agencia Española de Protección de Datos que ha aplicado las medidas de protección tecnológica convenientes y que estas medidas se han aplicado a los datos afectados por la violación de seguridad.
Ley 11/2022, de 28 de junio