Sistemas configurables y no configurables
Cuando hablamos de un sistema o aplicación “no configurable”, hacemos referencia a que en su diseño y puesta en marcha se dan unos parámetros fijos que determinan inalterablemente la forma en la que se va a ejecutar el tratamiento, bien por haber adquirido una implementación no configurable o bien por haberse configurado con valores fijos. En estos supuestos, podemos decir que la funcionalidad se encuentra “wired-in” o cableada.
En el caso de que el tratamiento fuese configurable, entendemos que el sistema o aplicación se ha diseñado con un conjunto de opciones aptas para ser modificadas por el responsable o incluso por el propio usuario. Un ejemplo de ello sería la configuración para la recopilación de información almacenada en los registros de actividad.
Asimismo, cada alternativa de configuración puede estar determinada mediante un conjunto de parámetros, tal como la configuración del registro de actividad de la aplicación, así como algún parámetro para activar dicho registro de forma general.
En este sentido, a la hora de implementar parámetros, algunos podrán tomar cualquier valor, mientras que otros únicamente podrán tomar valores de rango limitado.
Igualmente, en lo relativo a la Protección de Datos por Defecto, el responsable del tratamiento deberá encargarse de constituir los requisitos de configurabilidad en cada una de sus fases, con base en el análisis que se efectúe sobre él y los supuestos de uso que han sido identificados, trasladándolos al diseño e implementación del tratamiento.
Características de la configurabilidad
La configuración por defecto establece el uso habitual del servicio y las características del tratamiento en aquellos casos en los que el responsable no ofrece al usuario la posibilidad de personalizarlo o que, en caso de que sí lo ofrezca, el usuario no haga uso de ella.
La citada configuración estará comprendida por el conjunto de pares “parámetro-valor” preseleccionados o preasignados en un sistema o aplicación, que supeditan, en todo o en parte, la manera de funcionar de dicho sistema. Dicha configurabilidad posee cuatro características:
- El reconocimiento de los requisitos de configurabilidad, integrados como parte de los requisitos de privacidad desde el diseño del tratamiento. Se traducen en la definición y elección de un conjunto de alternativas de configuración, entendidas como parámetros susceptibles de ser alterados y sus posibles valores, incluyendo el valor fijado por defecto, que determina el comportamiento del sistema o aplicación. Siendo necesario la identificación de los parámetros configurables.
- Decidir cuáles de las alternativas de configuración se encuentran bajo el control exclusivo del responsable y los límites de las mismas.
- En el supuesto de que las citadas alternativas, por razón de la naturaleza del tratamiento, se encuentren controladas por el usuario, será primordial establecer cuáles de ellas son las tenidas en cuenta y sus límites.
- Instaurar si los elementos “off-the-shelf” necesarios para la constitución del tratamiento cumplen con los requisitos de configurabilidad y adaptar su valor.
En definitiva, la constitución de las opciones de configuración y de los supuestos de uso, debe considerarse información de entrada en la fase de análisis de riesgos para los derechos y libertades de las personas físicas, a fin de determinar la manera en la que podrían afectar a la privacidad de los usuarios los valores asignados a los distintos parámetros, así como las posibles efectos de su alteración posterior por parte de éstos o del posible manejo de terceros.
En este sentido, será obligatorio mantener informados a los usuarios de las consecuencias y los riesgos de configuración de manera clara y concisa, de modo que se les dé opción a tomar una decisión respecto la repercusión sobre su privacidad.
El estudio del tratamiento de datos de carácter personal no es sencillo, estudiar un Máster en Protección de Datos, te dará los conocimientos necesarios para entender qué es un tratamiento, cómo configurarlo, cómo gestionarlo y garantizar así que las medidas de seguridad que se propongan contemplarán todos los riesgos que afecten a dicho tratamiento.
