0. Un Vistazo General de Enigmail, GnuPG, y la Clave de Cifrado Privada-Pública

Enigmail es un complemento de Mozilla Thunderbird que te permite proteger la privacidad de tu comunicación por correo electrónico. El Enigmail es un simple interfaz que te permite utilizar el programa de cifrado GnuPG dentro del Thunderbird. La interfaz Engimail esta representada como una OpenPGP en la barra de herramientas del panel de control de Thunderbird.

Engimail esta basado en criptografía de clave pública o criptografía asimétrica. En este método, cada individuo debe generar su propio par de claves. La primera clave se conoce como clave privada. Esta se halla protegida por una contraseña o una frase clave protegida y nunca compartida con nadie.

La segunda clave es conocida como la clave pública. Esta clave puede ser compartida con cualquiera de tus correspondientes. Una vez que tengas la clave pública de tu correspondiente puedes empezar a enviar correos electrónicos cifrados a dicha persona. Sólo esta será capaz de descifrar y leer tus correos electrónicos, debido a que es la única persona que tiene acceso a la clave privadaque se empareja con esta.

De manera similar, si envías una copia de tu propia clave pública a tus contactos de correo electrónico y mantienes en secreto laclave privada que se empareja con ella, sólo tú seras capaz de leer los mensajes cifrados de tales contactos.

El Enigmail también te permite adjuntar firmas digitales a tus mensajes. El destinatario de tu mensaje que cuenta con copia genuina de tu clave pública será capaz de verificar que el correo electrónico proviene de ti, y que su contenido no fue manipulado en el camino. De manera similar, si tienes la clave pública de un correspondiente, tú puedes verificar las firmas digitales en sus mensajes.

1 Instalar Enigmail y GnuPG

Pulsa en los enlaces para descargar Enigmail y GnuPG.

1.1 Instalar GnuPG

Importante: A continuación se muestra el procedimiento para instalar el Gpg4win que es un paquete de programas que contiene entre otros al GnuPG. Por tanto, en las siguientes partes cuando se hable de Gpg4win y GnuPG considera a ambos como sinónimos.

La instalación de Gpg4win que contiene el GnuPG es directa, y se parece a otras instalaciones de software que posiblemente ya hayas realizado.

Para empezar a instalar Gpg4win ejecuta los siguientes pasos:

Paso 1. Pulsa dos veces para empezar el proceso de instalación. El cuadro de diálogo Abrir Archivo – Advertencia de Seguridad podría aparecer. Si así ocurre, pulsa para activar la siguiente pantalla:

Figura 1: Cuadro de confirmación de Installer Language (Idioma de Instalación)de Gpg4win

Paso 2. Pulsa para activar la pantalla de Bienvenido a la instalación de Gpg4win.

Figura 2: Pantalla de Bienvenido a la instalación de Gpg4win

Paso 3. Pulsa para activar la pantalla de Instalación de Gpg4win – Acuerdo de Licencia; después de haber terminado de leerla, pulsa para activar la pantalla de Instalación de Gpg4win – Selección de componentes.

Paso 4. Pulsa para aceptar las características por defecto y activar la pantalla de Instalación de Gpg4win – Elegir lugar de instalación.

Paso 5. Pulsa para aceptar el Directorio de destino, y activar la pantalla de Instalación de Gpg4win – Opciones de instalación.

Paso 6. Pulsa para aceptar los vínculos de inicio y activar la pantalla Elegir Carpeta del Menú de Inicio.

Paso 7. Pulsa para empezar a desempacar e instalar diversos paquetes GnuPG. Después de que este proceso se ha completado, la pantalla de Instalación Completada aparecerá.

Paso 8. Pulsa para activar la pantalla Instalación de Gpg4win – Define trustable root certificates (Definir certificados raíz confiables) para utilizar la configuración S/MIME, habilita la casilla como se muestra, para aceptar el certificado raiz. Luego pulsa para activar la pantalla de Instalación de Gpg4win – Completando el Asistente de Instalación de Gpg4win.

Paso 9. Pulsa para cerrar el asistente de instalación del programa Gpg4win.

1.2 Instalar el Complemento Enigmail

Después de haber instalado con éxito el software Gpg4win que contiene el GnuPG estas listo para instalar el complementoEnigmail.

Para empezar a instalar Enigmail, ejecuta los siguientes pasos:

Paso 1. Ejecuta Thunderbird, luego Selecciona Herramientas > Complementos para activar la pantalla de Administrador de complementos; la pantalla de Administrador de complementos aparecerá con el panel de control Obtener Complementos por defecto.

Paso 2. Pulsa para activar la siguiente pantalla:

Figura 3: La pantalla de Administrar complementos mostrando el panel de control de Extensiones

Paso 3. Pulsa para activar la siguiente pantalla:

Figura 4: Pantalla con la opción Instalar complemento desde archivo… seleccionada en la pestaña Administrador de complementos.

Paso 4. Al seleccionar la opción Instalar complemento desde archivo… se activará la pantalla Seleccionar complemento para instalar. Navega hasta la carpeta donde guardaste Enigmail y selecciona el archivo de instalación como se muestra en la siguiente pantalla:

Figura 5: Pantalla de Seleccionar complemento para instalar

Paso 5. Pulsa para activar la siguiente pantalla:

Figura 6: Pantalla de Instalación de software.

Importante: Antes de ejecutar este paso, ¡asegúrate que todo tu trabajo en línea haya sido guardado!

Paso 6. Pulsa para ver la Figura 3 , ahora con el complemento Enigmail como se muestra a continuación:

Figura 7. Pantalla de Administrador de complementos con el Enigmail.

Paso 7. Pulsa para completar la instalación del complemento Enigmail.

Para verificar que la instalación del complemento Enigmail fue exitosa, regresa a la interfaz principal de usuario deThunderbird, y verifica si OpenPGP aparece en la barra de herramientas de Thunderbird.

Figura 8: La barra de herramientas de Thunderbird con OpenPGP resaltado

1.3 Confirmar que Enigmail y GnuPG están Funcionando

Antes de que empieces a utilizar Enigmail y GnuPG para autenticar y cifrar tus correos electrónicos, primero debes asegurarte que se están comunicando entre ellos.

Paso 1. Selecciona OpenPGP > Preferencias para mostrar la pantalla de Preferencias de OpenPGP como se muestra a continuación:

Figura 9: Pantalla de Preferencias de OpenPGP

Si GnuPG ha sido exitosamente instalado,  será visible en la sección de Archivos y directorios; sino, recibirás una pantalla emergente similar a la siguiente:

Figura 10: Mensaje emergente de Alerta de OpenPGP

Consejo: Si has recibido este mensaje, ello podría indicar que has instalado el archivo en la ubicación incorrecta. Habilita la opción Ignorar con para habilitar el botón de Examinar…, y luego pulsa para activar Buscar agente GnuPG y navega manualmente hacia la ubicaciòn del archivo gpg.exe en tu computadora.

Paso 2. Pulsa para regresar al panel de control de Thunderbird.

2. Generar Pares de Claves y Configurar Enigmail para que Funcione con tus Cuentas de Correo Electrónico

Una vez que haya confirmado que Enigmail y GnuPG están trabajando adecuadamente, puedes configurar una o más de tus cuentas de correo electrónico para utilizar Enigmail para generar uno o más pares de claves privada/pública.

2.1 Utilizar el Asistente de OpenPGP para Generar un Par de Claves

Engimail provee dos formas de generar un par de claves privada-pública; la primera utiliza el Asistente de instalación de OpenPGP y la segunda utiliza la pantalla de Administrar Claves OpenPGP.

Para generar un par de claves por primera vez utilizando el Asistente de instalación de OpenPGP, ejecuta los siguientes pasos:

Paso 1. Selecciona OpenPGP > Asistente de Configuración para abrir la pantalla de Asistente de instalación de OpenPGP como se muestra a continuación:

Figura 11: Pantalla de Bienvenida a Asistente de instalación de OpenPGP

Paso 2. Pulsa para activar la siguiente pantalla:

Figura 12: Pantalla de Firma – Firma digitalmente el correo saliente

Paso 3. Pulsa para activar la siguiente pantalla:

Figura 13: Pantalla de Cifrado – Cifrar los correos salientes

Paso 4. Pulsa para activar la siguiente pantalla:

Figura 14: Pantalla de Preferencias – Cambiar la configuración del correo para hacer que OpenPGP funciones mejor.

Paso 5. Pulsa para activar la siguiente pantalla:

Figura 15: Pantalla de Preferencias – Cambia los Parámetros de tu Correo Electrónico para que OpenPGP Funcione de manera más Confiable

Nota: En la sección 3.2 Deshabilitar la Característica HTML en Thunderbird tratamos brevemente cómo los mensajes con formato HTML pueden dejarte en posición de ser atacado por distintas clases de virus. La opción de Ver cuerpo del mensaje como texto sencillo y la de No redactar mensajes HTML se refieren a ese problema.

Paso 6. Pulsa para regresar al *Asistente de Instalación de OpenPGP y luego pulsa activar la siguiente pantalla:

Figura 16: Pantalla de No OpenPGP Key Found (no se encontró ninguna clave de OpenPGP)

Paso 7. Pulsa para activar la pantalla Crear Clave – Crear una Clave para firmar y cifrar correo electrónico.

Nota: La primera vez que intente crear una clave para una cuenta de correo electrónico, ninguna de tus cuentas de correo electrónico aparecerá en la lista desplegable – todavia. En el caso de un único correo registrado aparecerá visible el correo para el cual se crea la clave como se verá en la Figura 17.

Paso 8. Ingresa una frase clave de al menos 8 caracteres alfanuméricos en ambas casillas de Contraseña

Figura 17: Pantalla de Crear Clave – Crear una Clave para Firmar y Cifrar Correo Electrónico

Paso 9. Pulsa para confirmar estos parámetros y luego pulsa para regresar a la pantalla de Crear Clave; el nombre de tu primera cuenta de correo electrónico aparecerá o en su caso el de la única registrada, semejante a la siguiente:

Figura 18: Nombre de la Cuenta/ID de Usuario para la cula fue creada la clave.

Paso 10. Pulsa para activar la pantalla de Resumen, la cual básicamente refleja los parámetros utilizados para generar los pares de claves, como se muestra a continuación.

Figura 19: Pantalla de Resumen del Asistente de instalación de OpenPGP

Nota: Cualquier par de claves generado utilizando el Asistente de instalación de OpenPGP está automáticamente en base a una estructura de 2048-bit, y tiene una vida útil de 5 años. Ambas características no pueden ser cambiadas después de que el par de claves ha sido generado utilizando este método.

Paso 11. Pulsa para activar la pantalla de Creación de Clave, concluido el proceso aparecerá un cuadro de diálogo de Confirmación de OpenPGP y se te solicitará la creación de un certificado de revocación siguiendo el mismo proceso que se explica en la siguiente sección, al final del proceso aparecerá la siguiente pantalla:

Figura 20: Pantalla de Gracias del Asistente de instalación de OpenPGP

Paso 12. Pulsa para terminar con el proceso de generación de claves.

2.2 Generar Pares de Claves Adicionales y Certificados de Revocación para otra Cuenta de Correo Electrónico

Es una práctica generalizada tener un par de claves separadas para cada cuenta de correo electrónico. Ejecuta los siguientes pasos si deseas generar pares de claves adicionales para tus otras cuentas de correo electrónico. La generación de un par de claves también involucra la generación de un certificado de revocación asociado con dicho par de claves. Envía este certificado a tus contactos para deshabilitar el uso de tu clave pública en caso que tú clave privada este en peligro o hayas perdido acceso a ella.

Paso 1. Selecciona OpenPGP > Administrar Claves para activar la siguiente pantalla:

Figura 21: Menú de Generar con el elemento Nuevo par de claves seleccionado en la pantalla Administrar Claves OpenPGP

Nota: Habilita la opción Mostrar por Defecto Todas las Claves para ver el par de claves generadas utilizando el Asistente de instalación de OpenPGP para tu primera cuenta de correo electrónico, como se presenta en la Figura 21.

Paso 2. Selecciona Generar > Nuevo Par de Claves desde Administrar Claves OpenPGP como se muestra en la Figura 21 para activar la siguiente pantalla:

Figura 22: Pantalla de Generar Clave OpenPGP

Paso 3. Selecciona una cuenta de correo electrónico desde la lista desplegable de Cuenta / ID de Usuario, habilita la opción Usar la clave generada para la identidad seleccionada. Y crea una frase clave para proteger tu clave privada.

Nota: Como su nombre implica, una frase clave es simplemente una contraseña más larga. El Enigmail simplemente te solicita ingresar una contraseña que sea más larga y más segura que una convencional.

Importante: Siempre genera un par de claves con una frase clave, y nunca habilites la opción “sin frase clave”.

Figura 23: La Pantalla Generar Clave OpenPGP mostrando la pestaña de Expiración de la clave

Nota: El periodo de tiempo para el cual un par de claves se mantiene válido depende enteramente de tus necesidades de privacidad y seguridad; cuanto más frecuentemente cambies tus pares de claves, más difícil se volverá para el nuevo par de claves estar expuesto a peligro. Sin embargo, cada vez que cambies el par de claves necesitaras enviar la pertinente a tus correspondientes, y verificarla con cada uno de ellos.

Paso 5. Ingresa el número apropiado, y luego selecciona la unidad de tiempo deseada (días, meses o años) para los cuales el par de claves se mantendrá válido.

Paso 6. Pulsa para activar la siguiente pantalla:

Figura 24: Cuadro de diálogo de Confirmación de OpenPGP

Paso 7. Pulsa para activar la siguiente pantalla:

Figura 25: Cuadro de diálogo de solicitud de Confirmación OpenPGP

Paso 8. Pulsa para activar la pantalla de exploración de Crear y guardar certificado de revocación.

Nota: Si sabes que una persona hostil o maliciosa ha logrado un acceso no autorizado a tu clave pública o perdiste acceso a esta clave, puedes enviarle un certificado de revocación a tu contacto para hacerle saber de que no deben utilizar tu correspondiente clave pública. Considera que podrías necesitar hacer esto si tu computadora se pierde, es robada, o es confiscada. Se te aconseja enfáticamente que hagas copias de seguridad y protejas tu certificado de revocación.

Figura 26: Pantalla de Crear y guardar certificado de revocación

Paso 9. Pulsa para activar la siguiente pantalla; luego ingresa tu frase clave asociada con esta cuenta como sigue:

Figura 27: Introduzca frase contraseña OpenPGP para proceder con la generación de par de claves

Paso 10. Pulsa para completar la generación de un par de claves y el certificado de revocación como se muestra:

Figura 28: Alerta de OpenPGP de creación de certificado de revocación

Paso 11. Pulsa para regresar a la siguiente pantalla:

Figura 29: Pantalla de Administrar claves OpenPGP mostrando los Id de la clave

Nota: Habilita la opción Mostrar Todas las Claves por Defecto para mostrar todos los pares de claves y sus cuentas asociadas, si estas completamente solo y en un ambiente seguro.

Después de que has generado con éxito tus pares de claves y sus certificados de revocación asociados, ahora estás listo para intercambiar claves públicas con un correspondiente confiable.

2.3 Configurar Enigmail para Uso con tu Cuenta de Correo Electrónico

Para habilitar el uso de Enigmail con una cuenta específica de correo electrónico, ejecuta los siguientes pasos:

Paso 1. Selecciona Herramientas > Configuración de la Cuenta.

Paso 2. Selecciona la opción del menú Seguridad OpenPGP de la barra lateral como sigue:

Figura 30: Pantalla de Configuración de cuenta – Seguridad OpenPGP

Paso 3. Habilita la opción Activar el soporte OpenPGP y selecciona la opción Usar la dirección de correo de esta identidad para identificar la clave OpenPGP como se muestra en la Figure 30.

Paso 4. Pulsa para regresar al panel de control de Thunderbird.

3. Intercambiar Claves Públicas

Antes de que puedan empezar a enviarse mensajes de correo electrónico, cifrados, entre sí, tú y tus correspondientes deben obligatoriamente intercambiar claves públicas. También debes confirmar la validez de cualquier clave que aceptes confirmando que en realidad pertenece al supuesto remitente.

3.1 Enviar una Clave Pública utilizando Enigmail

Para enviar una clave pública utilizando Enigmail/OPenPGP, tu correspondiente y tú ejecutaran los siguientes pasos:

Paso 1. Ejecuta Thunderbird y luego pulsa para redactar un nuevo mensaje.

Paso 2. Selecciona la opción del menú OpenPGP > Adjuntar Mi Clave Pública.

Nota: En este método el panel de Adjuntar Archivo(s) no se muestra inmediatamente; este aparecerá tan pronto pulses el botón de Enviar el mensaje.

Figura 31: El panel de Redacción de mensaje mostrando la clave pública adjuntada en el panel de Adjuntos.

Paso 3. Pulsa para enviar tu mensaje de correo electrónico con tu clave pública adjuntada. Aparecerá la siguiente pantalla:

Figura 32: Pantalla de Enviando mensajes – Ideas Clave

Paso 4. Ingresa tu contraseña en la siguiente pantalla que se activará después de la Figura 32 y que se muestra a continuación.

Figura 33: Pantalla de Contraseña del servidor SMTP requerida

Paso 5. Ingresa tu contraseña, y luego pulsa para completar el envío del mensaje.

3.2 Importar una Clave Pública utilizando Enigmail

Tanto tu correspondiente como tú ejecutaran los mismos pasos cuando importen las claves públicas del otro.

Paso 1. Selecciona y abre el mensaje de correo electrónico que contenga la clave pública de tu correspondiente.

Si la clave pública de tu correspondiente está inserta en el correo electrónico, el botón de Descifrar se habilitará, y el siguiente encabezamiento aparecerá en el panel de tu mensaje:

Figura 34: Pulsa el botón Descifrar para importar el bloque de clave pública en el mensaje

Paso 2. Pulsa para empezar el escaneo automático del contenido del mensaje recibido en busca de datos cifrados. Después que la herramienta de Enigmail/OpenPGP detecta un mensaje conteniendo una clave pública, esta te solicitará importar la clave como sigue:

Figura 35: Confirmación de OpenPGP ¿Importar las claves públicas incluidas en el mensaje?

Paso 3. Pulsa para importar la clave pública de tu correspondiente.

Si has importado con éxito la clave pública, un mensaje similar al siguiente aparecerá:

Figura 36: Pantalla de Alerta de OpenPGP mostrando la clave pública de tu correspondiente

Para confirmar que has recibido la clave pública de tu correspondiente, ejecute el siguiente paso:

Paso 1. Selecciona OpenPGP > Administrar Claves para mostrar la pantalla de Administrar Claves OpenPGP como sigue:

Figura 37: Administrar Claves OpenPGP mostrando una clave pública recién importada

4. Validar y Firmar un Par de Claves

Finalmente, debes verificar que la clave pública importada verdaderamente pertenece a la persona que supuestamente lo envió, entonces debes confirmar su ‘validez.’ Este es un paso importante que tú y tus contactos de correo electrónico deben seguir para cada clave pública que reciban.

4.1 Validar un Par de Claves

Paso 1. Contacta a tu correspondiente a través de medios de comunicación distintos al correo electrónico. Puedes utilizar un teléfono, mensajes de texto, Voz sobre Protocolo de Internet (VoIP) o cualquier otro método, pero tú necesariamente debestener absoluta certeza que realmente estás hablando con la persona correcta. Por su resultado, las conversaciones telefónicas y las reuniones cara a cara son los mejores, si es que son convenientes y si pueden ser concertados de manera segura.

Paso 2. Tanto tú como tu correspondiente deben verificar las ‘huellas dactilares’ de las claves públicas que han intercambiado. Una huella dactilar es una serie única de números y letras que identifica a cada clave. Puedes utilizar la pantalla de OpenPGPAdministrar Claves para ver la huella dactilar de los pares de claves que has creado y de las claves públicas que has importado.

Para ver la huella dactilar de un par de claves particular, ejecuta los siguientes pasos:

Paso 1. Selecciona > OpenPGP > Administrar Claves y luego pulsa con el botón derecho sobre una clave particular para activar el menú emergente:

Figura 38: Menú de Administrar Claves OpenPGP con la opción Propiedades de la clave seleccionada

Paso 2. Selecciona la opción Propiedades de la clave para activar la siguiente pantalla:

Figura 39: Pantalla de Propiedades de la clave

Tu correspondiente debe repetir estos pasos. Confirmen entre ustedes si la huella dactilar para la clave que todos han intercambiado coincide con la original del remitente. Si no coinciden, intercambien nuevamente sus claves públicas y repitan el proceso de validación.

Nota: La misma huella dactilar no es un secreto y puede ser registrada para verificación posterior de acuerdo a tu conveniencia.

4.2 Firmar una Clave Pública Válida

Después de que has establecido que la clave de un correspondiente concuerda exactamente, debes obligatoriamente firmarla, para confirmar que consideras válida esta clave.

Para firmar una clave pública adecuadamente validada, ejecuta los siguientes pasos:

Paso 1. Pulsa en la Figura 36 para regresar a la pantalla de Administrar Claves.

Paso 2. Pulsa con el botón derecho del ratón la clave pública de tu correspondiente y selecciona la opción del menú Firmar Clave para activar la siguiente pantalla:

Figura 40: Pantalla de OpenPGP – Firmar Clave

Paso 3. Habilita la opción He realizado una comprobación muy cuidadosa, y luego pulsa para completar la firma de la clave pública de tu correspondiente, completa el proceso de validación, y regresa a la pantalla de Administrar claves OpenPGPcomo ser muestra a continuación:

Figura 41: Administrar Claves OpenPGP mostrando pares de claves validadas

4.3 Administrar tus Pares de Claves

La pantalla de Administrar claves OpenPGP es utilizada para generar, validar y firmar diferentes pares de claves. Sin embargo, podrías también ejecutar otras tareas relacionadas a administrar claves entre ellas:

• Cambiar Frase clave: Esta opción te permite cambiar la frase clave que protege a tu par de claves.
• Administrar los IDs de los Usuarios: Esta opción te permite asociar más de una dirección de correo electrónico a un único par de claves.
• Generar y guardar certificado de revocación: Esta te permite generar un nuevo certificado de revocación, si has perdido o extraviado la que creaste anteriormente.

5. Cifrar y Descifrar Mensajes de Correo Electrónico

Importante: El encabezado de cualquier mensaje de correo electrónico – que es Asunto y los pretendidos destinatarios (incluyendo cualquier información en los campos De, CC y BCC) – no pueden ser cifrados y serán enviados en texto abierto. Para garantizar la privacidad y la seguridad de tus intercambios de correo electrónico, el asunto o titulo de tu correo electrónico debe mantenerse sin descripción para no revelar información sensible. Además, se te aconseja enfáticamente colocar todas las direcciones en el campo BCC cuando se envían correos electrónicos a un grupo de personas.

Cuando se cifran mensajes de correo electrónico con archivos adjuntos, recomendamos enfáticamente utilizar la opciónPGP/MIME, pues este extenderá el cifrado para incluir cualquier archivo adjunto a tu correo electrónico.

5.1 Cifrar un Mensaje

Una vez que tú y tus correspondientes hayan importado y validado y firmado las claves públicas de los otros, estás listo para empezar a enviar mensajes cifrados y descifrar los recibidos.

Para cifrar los contenidos de tu mensaje de correo electrónico a tu correspondiente, ejecuta los siguientes pasos:

Paso 1. Abre tu cuenta de correo electrónico y pulsa para escribir un mensaje de correo electrónico.

Paso 2. Pulsa para activar la siguiente pantalla:

Figura 42: Ventana emergente de Cifrado OpenPGP

Paso 3. Habilita tanto la opción de Firmar mensaje como la de Cifrar mensaje como se muestra líneas arriba en la Figura 42 y luego pulsa para completar el firmado y cifrado del contenido de tu correo electrónico.

Nota: Para verificar que tu mensaje será tanto cifrado como firmado, verifica que los siguientes dos íconos aparezcan en la esquina inferior derecha del panel del mensaje como se muestra a continuación:

Figura 38: Íconos de Confirmación de Firmado y Cifrado de Mensaje

Paso 4. Pulsa para enviar el mensaje. Se te solicitará una contraseña para utilizar tu clave privada para firmar el mensaje.

5.2 Descifrar un Mensaje

Cuando recibes y abres un mensaje cifrado, Enigmail/OpenPGP automáticamente intentará descifrarlo. Ello activará la siguiente pantalla:

Figura 39: Línea de comandos de OpenPGP – Por favor ingrese su frase contraseña OpenPGP o el PIN de su tarjeta inteligente

Paso 1. Ingresa tu frase contraseña como se muestra en la Figura 43.

Después de que has ingresado tu frase clave privada, el mensaje se descifra y se muestra como sigue:

Figura 45: El nuevo mensaje descifrado en el panel de mensaje.

Has descifrado con éxito este mensaje. Al repetir los pasos descritos en la sección 4.5 Cifrar y Descifrar Mensajes de Correo Electrónico cada vez que tú y tus correspondientes intercambian mensajes, puedes mantener un canal de comunicación privado, autenticado, independientemente de quien podría estar intentando vigilar tu intercambio de mensajes de correo electrónico.

 

Según dispone el artículo 96 del Real Decreto 1720/2007, todas las empresas, asociaciones, federaciones y autónomos que manejen datos de carácter personal de nivel medio o alto, están obligadas a realizar una auditoría cada dos años de los sistemas de información que contengan este tipo de datos, así como de las medidas de seguridad adoptadas.

También contempla el citado Real Decreto 1720/2007 que, la auditoría podrá ser interna o externa. Una auditoría interna es aquella que es realizada por el propio responsable de seguridad de la empresa, asociación, federación o autónomo y auditoría externa será aquella realizada por un ente ajeno a la empresa, asociación, federación o autónomo. No debemos olvidar que el mencionado Real Decreto rebaja el nivel de exigencia si la auditoría es interna, sino que mantiene el mismo nivel de exigencia tanto si se realiza de forma interna o externa.

 

M.A. Piedra-Abogados, ofrece al sector empresarial, pequeño y mediano comercio de la zona del poniente de Almería, Roquetas de Mar, Aguadulce y Almería, además de la defensa jurídica y consulta legal de la que ya viene haciendo gala, la posibilidad de adecuarse al nuevo marco legal establecido por la Ley Orgánica 15/1999, de Protección de Datos (LOPD).

Dicha Ley establece los principios, derechos y obligaciones que deben considerarse en todo tratamiento de datos de carácter personal, obligando a empresas a establecer los mecanismos y procedimientos adecuados, basados en el respeto del derecho fundamental de la protección de datos.

Para ello, nuestro Despacho cuenta con personal especialista en Protección de Datos y en servicios de la sociedad de la información, para ofrecer a nuestros clientes los siguientes servicios:

• Inscripción de los ficheros en el Registro General de Protección de Datos. Artículo 25 LOPD.
• Redacción del documento de seguridad.
• Redacción de cláusulas de protección de datos.
• Auditoría. Artículo 96 y 110 LOPD.
• Consultoría LOPD.
• Formación específica en Protección de Datos.

Para cualquier consulta, puede pinchar en el enlace de la sección Protección de Datos, para acceder al formulario de consulta.

 

 

La actual Ley Orgánica de 15/1999, de 13 de diciembre de Protección de datos de carácter personal adaptó nuestro ordenamiento a lo dispuesto por la Directiva 95/46/CE del Parlamento Europeo y del Consejo de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos.

La nueva ley, que ha nacido con una amplia vocación de generalidad, prevé en su artículo 1 que “tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente su honor e intimidad personal”. Comprendiendo por tanto, el tratamiento automatizado y el no automatizado de los datos de carácter personal.

Ésta Ley Órgánica 15/1999 de 13 de diciembre, es de obligado cumplimiento para TODAS las personas físicas o jurídicas que posean datos de carácter personal de personas físicas, afectando a personas jurídicas (empresas, asociaciones, etc.) como a personas físicas (particulares o autónomos) y a las Administraciones Públicas, y estarán sometidas siempre que posean datos de carácter personal de personas físicas (no aplicándose a aquellas que sólo tengan datos de personas jurídicas).

De tal manera que, incluso los particulares que no ejerzan actividades económicas podrían verse obligados a cumplir la ley.

¿Qué entendemos por Datos de Carácter Personal?

Según la LOPD, entendemos por datos de carácter personal, cualquier información concerniente a personas físicas identificadas o identificables, como pueden ser: nombre y apellidos, dirección, teléfono, número de la seguridad social, DNI, fotografías, firmas, correos electrónicos, datos bancarios, edad, fecha de nacimiento, sexo, nacionalidad, etc…

Hoy en día, cuando se habla de estos datos, se habla de ficheros. Estos ficheros son según la LOPD, todo conjunto organizado de datos de carácter personal cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso. En lenguaje cotidiano, nos referimos a aquellas bases de datos que recogen organizadamente los datos de carácter personal. Las empresas normalmente tienen ficheros tipo clientes, nómicas, personal, proveedores, etc.

Tipos de Datos y Nivel de seguridad aplicable

En función del  de los datos que tengamos, la protección exigida por la LOPD pueden ser mayores. La LOPD distingue tres niveles:

1. Nivel básico: Datos como, el nombre y apellidos, dirección, teléfono, DNI, número de la seguridad social, fotografías, correos electrónicos, fecha nacimiento, sexo, etc…
2. Nivel medio: Datos relacionados con infracciones administrativas o penales, servicios financieros, información patrimonial, información de hacienda y datos de los que se extraiga la personalidad de un sujeto.
3. Nivel alto: Son los datos relativos a ideologías políticas, afiliaciones sindicales, creencias religiosas, origen racial, datos sobre la salud o vida sexual.

Para cumplir con la LOPD, ¿qué obligaciones tengo?

Todas las personas, físicas o jurídicas que tengan datos de carácter personal de clientes o usuarios, empleados, etc., tanto en soporte informático (FICHEROS AUTOMATIZADOS) como en papel (FICHEROS NO AUTOMATIZADOS), deberá cumplir con las obligaciones que indica la LOPD, y que son brevemente:

• Principio relativo a la calidad de los datos:

Los datos de carácter personal deberán ser tratados de forma leal y lícita. Se prohíbe la recogida de datos por medios fraudulentos, desleales o ilícitos. Los datos de carácter personal sólo podrán ser recogidos para el cumplimiento de finalidades determinadas, explícitas y legítimas del responsable del tratamiento.

• Derecho de información en la recogida de datos:

En los documentos que se usen, formularios o cualquier otro tipo de impreso, deberá aparecer claramente, la siguiente información:

1. Existencia de un fichero de tratamiento de datos de carácter personal, de la finalida para la que se recogen los datos y a quién va dirigida la información.
2. Deberá prestar su consentimiento para el tratamiento de datos de carácter personal.
3. Deberá ser informado de los derechos de acceso, rectificación, cancelación y oposición a los mismos.
4. Datos relativos al responsable del tratamiento del fichero, o en su caso representante legal.

• Consentimiento del afectado:

El responsable del tratamiento deberá obtener el consentimiento del interesado para el tratamiento de sus datos de carácter personl salvo en aquellos supuestos en que el msmo no sea exigible con arreglo a lo dispuesto en las leyes. Dicha solicitud de consentimiento deberá ir referida a un tratamiento o serie de tratamientos concretos, con delimitación de la finalidad para los ue se recaba, así como de las restantes condicones que concurran en el tratamiento o serie de tratamientos.

• Protección de los datos:

Los datos de nivel alto y medio, por su calidad deben ser tratados y protegidos especialmente. En caso de que no sean necesarios para el desarrollo de su actividad, es mejor no almacenarlos. Están prohibidos los ficheros creados con la simple finalidad de almacenar datos.

• Deber de secreto:

Tanto el responsable del fichero como los encargados del tratamiento y el personal de atención e información, deberán guardar el secreto profesional respecto de los mismos incluso una vez que hayan finalizado su relación contractual con el empresario.

• Comunicación o cesión de datos:

Los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de los fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el consetimiento del interesado.

• Seguridad de los datos:

El responsable del fichero y en su caso el encargado del tratamiento, deberán adoptar lasmedidas técnicas y organizativas necesarias, para garantizar la seguridad de los datos de carácter personal y eviten su alteración, pérdida y tratamiento o acceso no autorizado.

El Real Decreto 1720/2007, de 21 de diciembre aprueba el Reglamento de desarrollo de la LOPD. Éste Reglamento establece la redacción de un Documento de Seguridad que debe incluir:

1. Ámbito de aplicación.

2. Medidas, normas procedimientos, reglas y estándares encaminados a garantizar los niveles de seguridad exigidos en el DS.

3. Información y obligaciones del personal.

4. Procedimientos de notificación, gestión y respuesta ante posibles incidencias.

5. Procedimiento de revisión.

ANEXO I – Descripción de ficheros y código de inscripción en la AEPD.

ANEXO II – Nombramientos.

ANEXO III – Autorizaciones de salida de soportes o recuperación de datos.

ANEXO IV – Delegación de autorizaciones.

ANEXO V – Inventario de soportes.

ANEXO VI – Registro de incidencias.

ANEXO VII – Encargados de tratamiento.

ANEXO VIII – Registro de entrada y salida de soportes (para soportes de nivel medio y/o alto).

ANEXO IX – Documentación adicional.

 

Si mi empresa no cumple con la Ley de Protección de Datos, ¿Qué me puede pasar?

En caso de incumplimiento de la Ley Orgánica de Protección de Datos (LOPD) se establecen una serie de infracciones y sus correspondientes sanciones:

 

• Infracciones leves: Sanciones entre 601,01€ y 60.101€
• Infracciones graves: Sanciones entre 60.101€ y 300.506€
• Infracciones muy graves: Sanciones entre 300.506,25€ y 601.012,1€