Vía twitter conocía de la existencia de lo que se había venido en denominar Intifalla, pero no me imaginaba lo que podía ser. Me empecé a dar cuenta de ello cuando el sábado 17 de marzo llegamos a la mascletà y conseguimos llegar hasta debajo del balcón del ayuntamiento antes de que empezara la descarga de pólvora. Un buen grupo de gente, mezclada entre los turistas, falleros y público en general que se daba cita en la plaza del ayuntamiento, sacó carteles, tarjetas rojas y pitos que se dirigieron al balcón repleto de falleras y políticos, aunque iban dirigidos solo a estos últimos. Se había anunciado la presencia de Rajoy, pero el hombre no tuvo a bien presentarse, escudándose en la campaña electoral. Los altavoces del ayuntamiento, a todo volumen radiaban canciones típicas de estas fiestas sin solución de continuidad, sin dejar ni un solo hueco para que se pudiera escuchar ni un solo pito, ni un grito.

Luego, la mascletà silenció la plaza llenándola de ruido. Aplausos, se abren las vallas, la gente sale y, ¡sorpresa! centenares de personas con nuevas pancartas y más pitos vuelven a llenar la zona bajo el balcón del ayuntamiento dónde Rita Barbera canta y da saltitos mientras agarra a una fallerita de los brazos y la hace bailar con ella al ritmo de la música. Los pitos y los gritos suben en intensidad, hay mucha gente gritando. Miradas de reojo hacía abajo, con rabia y, entonces, nuestra victoria: Rita nos mira, hace una mueca mientras simula que canta y levanta los dedos en forma de V de victoria. Mantiene el gesto durante unos 5 segundos, 5 segundos que representan la importancia que tienen unos cientos de manifestantes que claman contra el despilfarro y la corrupción.

El día siguiente, el domingo, no pudimos asistir a la mascletà. Nos llegaron noticias que decían que los pitidos se había escuchado hasta en la retransmisión de Canal 9, que durante días ha silenciado este movimiento de protesta. También se decía por Twitter que Rita apenas había estado en el balcón, que se escondió rápidamente, algo que, sin duda, era difícil de creer ya que todos sabemos cómo le gusta a esta señora estar en la palestra.

Sin embargo, el lunes 19, en la última mascletà, sí que pudimos estar. Nos situamos también bajo el balcón del ayuntamiento y alucinábamos conforme pasaban los minutos y sonaban cada una de las 3 carcasas (salvas) que se lanzan para avisar del inicio del espectáculo pirotécnico. Alucinábamos porque Rita no aparecía, ni siquiera para ver una especie de circo que se había preparado frente al consistorio. Solo unos segundos antes de empezar con la traca, cuando la fallera dice eso de “senyor pirotecnic…” fue cuando Rita nos honró con su presencia. Y tras una mascletà grandiosa, impresionante, volvimos a alucinar cuando vimos que Rita no llegó ni a terminar la primera de las canciones que nos pusieron a un volumen todavía más alto si cabe y desapareció. Y allí seguimos durante más de media hora, pidiendo dimisiones, depuraciones y el fin de los recortes sociales, a pesar de ser muchos menos manifestantes de lo habitual y mucho más diluidos entre los muchísimos turistas.

Por supuesto, la mayoría de medios no recogieron ni una sola mención respecto a las protestas y manipularon incluso las fotografías para borrar o evitar los carteles reivindicativos. Los trabajadores de Canal 9, a pesar de la huelga que llevaron a cabo durante estos días, no pudieron “colar” ni una mención tampoco a la intifalla.

Para mi, la conclusión de todo esto es que por fin cierto tipo de políticos que no tienen ningún tipo de vergüenza, al menos sienten miedo. No un miedo físico, por su integridad, no, uno mucho peor, el miedo a salir a los balcones, a la calle o a las plazas, ya que saben que allí encontrarán gente sin miedo a exigir sus derechos y a señalar con el dedo a quienes se los roban y dilapidan su futuro. ¡Hagámosles pasar miedo a los sinvergüenzas!

Galería de imágenes de la intifalla

Articulos relacionados

• No es una revolución (7)
• Manifestación contra la precariedad (0)

Primer interrogante, ¿por qué Camps deposita su tesis el pasado día 9 de enero en pleno juicio por el caso de los trajes? Y, es más, ¿cómo es que deposita el día 9 de enero y el 10 de febrero ya está en disposición de defenderla? Si hay cualquier doctorado en la sala quizás se extrañe del corto lapso de tiempo que ha transcurrido entre depósito y defensa de la tesis. Pero es perfectamente legal, puesto que según la normativa de la UMH la tesis debe permanecer en depósito 10 días hábiles (14 días naturales) y luego, tras la designación del tribunal, el secretario de ese tribunal deberá comunicar “con al menos quince días naturales de antelación, la fecha, hora y lugar de defensa de la tesis doctoral”. 29 días, entre los cuales hay que presentar una propuesta de tribunal, un órgano administrativo te tiene que responder, los miembros de ese tribunal se tienen que poner de acuerdo en fechas y horarios… Vamos, que es posible, pero raro, raro, raro. Quizás por eso, Camps no paraba de hablar por el móvil esos días.

Pero volvamos a la pregunta inicial: ¿por qué deposita la tesis en pleno juicio? ¿a qué vienen esas prisas? ¿se acaba el mundo el día 11 de febrero? Pues en cierta medida sí. El día 11 de febrero de 2012 entra en vigor la nueva normativa que marca el Plan Bolonia para los estudios de doctorado. Dicha normativa fue aprobada el pasado 10 de febrero de 2011 y entre otras cosas establece que:

• Se eliminan las calificaciones de las tesis: el tribunal solo decidirá si la tesis es apta o no apta.
• El tribunal solo podrá proponer la tesis para el “cum laude” si se emite en tal sentido el voto secreto positivo por unanimidad. Dicha propuesta deberá ser ratificada en una sesión diferente a la de la defensa de la tesis doctoral.
• Se endurece la normativa para obtener la mención “doctorado internacional” que ahora precisa de haber realizado una estancia de al menos 3 meses fuera de España durante el periodo de formación, que el documento esté escrito en una lengua diferente de las oficiales en España y que en el tribunal haya al menos un miembro de un centro de estudios de fuera de España.

Parece ser que mucha gente ha acelerado los trámites para que “no les pille Bolonia”, aunque resulta ciertamente paradigmático que quienes apoyaron e impusieron a sangre y fuego el Plan Bolonia realicen tantos esfuerzos por eludirlo. En cualquier caso, ya tenemos una razón para acelerar el proceso y depositar la tesis en mitad de un importante juicio.

Siguiente pregunta, ¿por qué Camps realiza su tesis en la UMH si él es nacido en Borbotó (Valencia), estudió derecho en la Universidad de Valencia y ejercía profesionalmente en Valencia? Para entenderlo quizás debamos recordar que la Universidad Miguel Hernández, a pesar de su nombre, fue una universidad creada por y para el PP, ya que, tras varios años de gobiernos del PSOE en la Generalitat, los órganos de gobierno del resto de universidades públicas estaban fuera del control del PP. Es una universidad altamente politizada, dónde el PP tiene “mano”. Quizás por ello, un valencianista furibundo decida “bajar” a estudiar en la universidad con uno de los peores rankings del estado. O quizás Paquito espera subir el ranking de la UMH con su tesis…

Por último, mención merece también su maestro de ceremonias, Vicente Garrido, quién ha ejercido de director de tesis y que dice de Camps que ha sido un “alumno aplicado” y que estos “últimos meses le han venido bien para trabajar” en la misma. No, si resultará que Camps dejó el cargo de President de la Generalitat para dedicarse a la tesis!! Vicente Garrido ostenta un cargo elegido “a dedo” por Camps. Garrido es “conocido por su beatería y buenas relaciones con la derecha blavera valenciana pero, también, por su legendaria superficialidad en el tratamiento jurídico de cualquier tema” (fuente). Garrido es “Profesor Titular de Derecho Constitucional de la Universitat de València” y “Profesor Visitante de la Universidad Miguel Hernández de Elche” y sin embargo, curiosamente, han elegido la UMH para desarrollar la tesis.

Obviamente, ninguna de las maniobras de Camps en la presentación de su tesis es aparentemente ilegal, aunque todo ello, igual que pasara en el caso de los trajes, expele un tufillo a rancio difícil de ocultar. Es una vergüenza que mientras se suben las tasas a los alumnos de las universidades valencianas, se les aplica el Plan Bolonia, se les marea con burocracia abusiva y se les dificultan sus estudios con el recorte de becas y ayudas, el sistema educativo valenciano se ponga de rodillas y le bese los pies a un señor que lo tiene ya todo hecho en esta vida por el mero hecho de ser quién es o quién fue.

Articulos relacionados

• Una broma pesada (0)
• Sinvergüenzas (0)
• Manifiesto: En defensa de los derechos fundamentales en Internet (0)
• Manifestación contra la precariedad (0)
• La puta de España (1)

Quizás si nunca has necesitado ejecutar un programa X11 desde PHP a través de Apache te preguntes para qué lo puede necesitar alguien. Pues por ejemplo, en mi caso, para crear un interfaz de usuario para gestionar localmente. En concreto, tenía la necesidad de lanzar el programa kdiff3 (comparación gráfica de versiones de archivos).

Lo más habitual es que si necesitas ejecutar un programa X11 desde PHP sea debido a la creación de un interfaz en local para alguna tarea y, la verdad, creo que usar PHP + HTML para ello es una solución realmente buena dado que te evita tener que vivir a base de feos y a veces crípticos scripts de Perl y soluciones similares. Pero también cabe la posibilidad de que necesites ejecutar programas X11 desde PHP a través de Apache en un servidor (por ejemplo, para hacer uno de esos típicos servicios web que crean thumbnails de páginas web). En ese caso, obviamente, el programa a lanzar sería un navegador (Mozilla, Chrome…) y el resultado no se podría mostrar por pantalla. Se haría a través de una sesión de X11 virtual. Pero esa es otra historia, la técnica que voy a explicar aquí y que a mi me ha funciona perfectamente es solo para cuando tu script PHP está instalado localmente. Para el caso de un interfaz virtual, hay algo de información aquí que podría ser de interés (yo no lo he probado).

Por supuesto, deben existir más formas de ejecutar un programa X11, seguramente mejores, pero yo no las he conseguido hacer funcionar. El método se basa en tres pasos:

1. Hacer que el usuario www-data (que en mi caso es el usuario que ejecuta Apache, pero puede que varíe en otros casos) pueda ejecutar kdiff3 sin contraseña:$ sudo visudoy añadir al final:

   www-data ALL = PASSWD: ALL, NOPASSWD: /usr/bin/kdiff3

2. Añadir la variable de entorno DISPLAY (aunque creo que no es necesario en la mayoría de los casos, ver punto 3):$ vi /etc/environment

   y añadir al final:

   DISPLAY=:0.0

3. Ejecutar el comando desde PHP como:$cmd = "sudo /usr/bin/kdiff3 -display :0 -m $file.def.old $file $file.def -o $file";
exec(sprintf("%s > /dev/null 2>&1 & echo $! >> /dev/null", $cmd));

   Importante el “sudo” que hace que la aplicación adquiera privilegios de root necesarios para ejecutarse (no siempre es necesario) y el “-display :0″ que le indica a kdiff3 qué interfaz ha de usar para mostrar su ventana (debería sobrar con añadir al entorno la variable DISPLAY, pero por alguna razón no siempre es así).

Con estos simples pasos deberías poder ejecutar cualquier programa X11 desde PHP. En caso de que no fuera posible, debes comprobar el log de Apache dónde suele aparecer alguna pista (por ejemplo que no se ha podido conectar al X server o que no tienes privilegios suficientes para ejecutar el programa) y también es interesante loguearse con el mismo usuario que se ejecuta Apache y probar a lanzar el programa a ver qué pasa.

Articulos relacionados

• No hay articulos relacionados.

Merkozy we are waiting!!

Quizás sea por la aparición de ayer de Leopoldo Abadía en Salvados de la que todo el mundo habla o quizás sea por la investidura de Rajoy que cierra la etapa de Zapatero al frente del gobierno, pero hoy no paro de recordar una conferencia que Abadía dio en Alicante antes del verano. A pesar de estar en mis antípodas ideológicas, coincidí en gran parte de su análisis de la crisis actual (en nada en sus conclusiones de cómo salir de la misma). Lo que quiero traer a este artículo es una de las comparaciones que realizó y que me pareció brillante aunque incompleta.

Leopoldo comparó la situación de un estado que quiere salir de una crisis con la de una familia en una situación crítica. Obviamente para “sacar cabeza” solo se puede hacer mediante la generación de más ingresos y/o la disminución de los gastos actuales. Así, enumeró hasta cinco medidas diferentes para afrontar la situación que se plantearía una familia y trazó un paralelismo con lo que haría el gobierno de turno. A saber:

• Subir los alquileres si tiene alguna propiedad alquilable o poner en alquiler si tiene algún inmueble que no está siendo explotado: el equivalente del gobierno es subir los impuestos.
• Endeudarse (tarjetas de crédito, rehipotecar, pedir un crédito al consumo, etc): lo mismo hace el gobierno.
• Vender propiedades: en el caso de los estados esto se llama “privatizar“.
• Retrasar pagos (al banco, al amigo que te dejó 5000 euros o, en casos extremos, al panadero): en el caso del gobierno de España esto lo hizo “magistralmente” Zapatero cuando retrasó la edad de jubilación.
• Reducir gastos: que en el caso de los gobiernos puede llegar a ser reducir el presupuesto de educación o sanidad o eliminar derechos conquistados.

Y ahí se quedó el bueno de Leopoldo. Modestamente creo que se quedó corto, que la gente hace cosas más desesperadas cuando está en situaciones límite. Y los gobiernos también.

Por ejemplo, la gente cuando está desesperada es capaz de robar. Sí, robar para subsistir. La gente sin salidas llega en no pocos casos al extremo de robar comida o robar dinero para comprarla. ¿Y los gobiernos no? Podríamos hablar de Iraq, Afganistan o Libia, que son solo algunos ejemplos recientes, pero ni son los primeros ni los últimos: los estados históricamente están acostumbrados al saqueo. Si en el caso de personas desesperadas puede tener alguna justificación, cuando los gobiernos roban está totalmente fuera de lugar. Sin embargo unos van a la cárcel y a otros se les premia.

En cualquier caso, el robo es una manera de salir de una situación difícil, aunque algunos individuos y estados la utilicen incluso en épocas de bonanza. Sin embargo, una salida desesperada a un bache económico, menos visible tanto en un caso como en otro, es la prostitución. En el caso de las personas empobrecidas, no hace falta ni explicar nada, baste con el ejemplo de Grecia dónde mujeres que nunca esperaban verse haciendo la calle están recurriendo a la prostitución. En el caso de los estados, la prostitución es más sutil, no se cuenta, no se explica, pero a poco que se lean críticamente los periódicos se puede llegar a sentir. Una prostitución de alto standing en el que si abres la boca te la tapan rápidamente adjudicándote un chulo nuevo.

El proxeneta está identificado. El objeto de la prostitución también. El cliente, por supuesto. Y los perjudicados… los perjudicados merecen capítulo aparte. Sufren una mezcla extraña de complejo de inferioridad con Síndrome de Estocolmo agudo. Hace unos días se desataron las más furibundas críticas contra Cameron cuando se plantó ante la Unión Europea y dijo “no”, con el elocuente enfado de Merkozy ¿a qué venían esas críticas? ¿envidia de tener un presidente que sabe decir NO (a veces)? Las políticas sociales de este tipo son realmente repugnantes, pero he de reconocer que me pareció acertadísima su posición en este debate: no ceder soberanía, es decir, que Alemania (y un poco Francia, también) no sea quien decida (todavía más) las políticas que se deben hacer en tu país.

Hoy, Rajoy tomará el relevo de Zapatero y se esperan que su política exterior y de entrega al capital siga siendo la misma, máxime viendo como este nuevo proxeneta trata a sus seguidores. Así las cosas, los perjudicados solo tenemos dos caminos: vaselina o lucha.

Articulos relacionados

• Sinvergüenzas (0)
• Nuestro primer blog en inglés (0)
• Manifiesto: En defensa de los derechos fundamentales en Internet (0)
• Manifestación contra la precariedad (0)
• La tesis de Camps (6)

Si mi jefe me enviara una felicitación navideña como esta… tendría que contestarla.

Articulos relacionados

• La tesis de Camps (6)
• Inversión salarial (4)
• Becarios que salen caros (1)

Las medidas que la LOPD prevee para los datos de nivel medio de protección son:

1. Identificar al responsable de seguridad en el documento de seguridad. Es una nueva figura que aparece a partir de este nivel y que se encarga de velar por la seguridad de los datos de la organización. El responsable de seguridad puede ser el mismo responsable del fichero u otra persona o personas designadas por este.
2. Realizar un auditoria periódica: al menos cada dos años, puede ser interna o externa y verificará todas medidas de seguridad. Se deberá generar un informe justificado que se guardará por si en algún momento lo solicita la AGPD.
3. Se debe fortalecer las medidas de control de acceso, con el control típico que limita a un número máximo de intentos de acceder al sistema.
4. Al registro de incidencias se le añade un campo para registrar “los procedimientos realizados de recuperación de los datos, indicando la persona que ejecutó el proceso, los datos restaurados y, en su caso, qué datos ha sido necesario grabar manualmente en el proceso de recuperación”.

El nivel alto establece:

1. Creación de un registro de accesos en el que se identificarán todos los intentos de acceso con los siguientes datos: el usuario, fecha y hora, fichero accedido, tipo de acceso y si se ha concedido el acceso o no. Personalmente a pesar de lo que he leído en algunos foros, creo que con el registro del log que ofrece Apache no es suficiente, así que tendrás que programarte uno (que no es algo nada complicado!). Para curarte en salud, yo añadiría en dicho log TODAS las operaciones que haga el usuario, no solo el acceso en sí. El log este debe conservarse durante dos años (lo lógico hablando a nivel de implementación es que cada cierto tiempo, por ejemplo, cada mes, generes el log y lo almacenes junto con las copias de seguridad, así te guardas las copias de seguridad y los logs de los últimos dos años juntos y vas desechando los anteriores). Por cierto, una vez al mes el responsable de seguridad debería revisar los logs y hacer un informe (lo lógico es que este informe simplemente diga: “no se ha encontrado ninguna anomalía” o “se intentó acceder el día XX a las XX con el usuario XX desde la IP XX”, aunque se puede añadir una pequeña investigación… “Al ser preguntado el usuario XX indicó que trató de acceder, pero se equivocó de contraseña”).
2. El backup deberá guardarse en un lugar diferente de dónde se generan (algo obvio y de lógica aplastante).
3. Es necesario utilizar SSL para la transmisión de datos de este tipo, es decir, tienes que hacer que tu página web sea HTTPS por narices, pasar por el aro de comprar el certificado correspondiente y modificar los servidores como sea oportuno. La buena noticia es que todo esto es muy fácil y no es tan caro como en principio puedas imaginar. Otro día explicaré como hacerlo.

Hay que decir que la ley habla bastante de la gestión de soportes, pero que en realidad, la mayor parte de las micro-empresas no “sacan” datos de los ordenadores, puesto que es totalmente innecesario para su trabajo. Por eso he omitido toda esa parte. Sin embargo, si tu negocio necesita manejar copias de seguridad o información impresa o en formato digital y llevarla de un local a otro, será mejor que te leas directamente lo que dice la ley acerca de eso.

Otros temas importantes

Hay cierta controversia en algunos foros de Internet (y no es para menos) acerca de qué pasa si tu servidor no está situado en el estado español. ¿Que dice la ley para que haya tanto debate? Aquí dice que no se pueden realizar transferencias de datos (ni siquiera temporales) a países que “no proporcionen un nivel de protección equiparable al que presta” la ley española y la europea en general. ¡Vaya! ¿Ahora tendremos que conocer las leyes de todos los países? Pues si interpretamos que los datos que guardamos en un servidor de otro país son transferencias de datos, parece que sí, al menos del país donde tengamos el servidor. La ley deja la puerta abierta a obtener la autorización previa del director de la AGPD para hacer dicha transferencia de datos. Mi opinión es que es mejor utilizar algún servicio que tenga sus servidores en España o en su defecto en la Unión Europea y dejarnos de líos o interpretaciones de la ley, especialmente porque la ley marca esta infracción como muy grave. En caso de que seas un temerario y quieras utilizar un servidor fuera de la UE, alguien en cierta ocasión me contó que hay un documento por ahí que ambas partes (el que te ofrece el servicio y tu) deberéis firmar. Ni idea de dónde está el documento ese ni si realmente existe (yo no lo he visto pero tampoco lo he buscado por no necesitarlo).

Para finalizar y para que puedas ver lo importante que es cumplir la LOPD, aquí van las sanciones que se imponen:

• Leve: 900 a 40.000 euros
• Grave: 40.001 a 300.000 euros
• Muy grave: 300.001 a 600.000 euros

¿Vale la pena o no cumplir con las 4 obligaciones básicas y de sentido común que impone la ley?

Articulos relacionados

• La LOPD para micro-emprendedores (parte 2) (1)
• La LOPD para micro-emprendedores (parte 1) (2)
• So So Socios (6)
• Mi primer Iniciador (0)
• MD5, javascript y seguridad (14)

Datos especialmente protegidos y niveles de protección

Si hay que tener cuidado con los datos “normales”, hay un subtipo de datos con los que debemos tener un cuidado exquisito. Por ejemplo, para recopilar datos acerca de ideología, afiliación sindical, religión y creencias es necesario el consentimiento por escrito del interesado, además de advertirle, por supuesto, que no está obligado a revelarlos. He visto muchas veces por ahí webs que hacen el típico “test de política” que al final te preguntan “¿a quien votaste en las pasadas elecciones?” y que caerían dentro de este nivel de protección de datos y que ni siquiera han registrado su fichero en la agencia. ¡¡No saben a lo que se están exponiendo!!

Los datos de origen racial, salud y vida sexual, todavía le dan una vuelta de tuerca más al asunto y solo pueden ser recabados cuando el fin sea de interés general. ¿Qué se entiende por interés general? Pues otra vez tenemos una pregunta complicada, como cuando nos preguntábamos por qué se define como datos personales y otra vez la misma respuesta: sentido común. A mi, con la presente ley, no se me ocurriría hacer una web dónde preguntara a la gente cuantos polvos echa a la semana y si se le levanta o no en plan “voy a comparar con tus amigos de Facebook”. “Jugar” con esos datos no es una opción.

Esta diferenciación en el grado de protección de los datos nos lleva a los 3 niveles de seguridad que marca la ley:

• Nivel básico: el más bajo nivel de protección exigible para datos “normales”. Por ejemplo, es el nivel que deberás implementar en un programa de facturación de una empresa de transporte. Si tu aplicación no cae en un nivel superior, simplemente aplica este nivel.
• Nivel medio: este es muy raro que lo tengas que tocar, ya que solo trata con datos Hacienda, administraciones penales y datos de entidades financieras. Digo que es raro, ya que normalmente los micro-emprendedores no tratan con este tipo de organismos tan grandes; lo habitual será caer en el nivel básico o el alto. Aunque la verdad es que hay una disposición que dice que si con los datos recopilados puedes obtener una evaluación de la personalidad de un individuo, debes implementar este nivel (ya tenemos otro tema de discusión abierto!!).
• Nivel alto: ficheros con datos de ideología, religión, creencias, origen racial, salud o vida sexual son nivel alto inexcusablemente.

Por supuesto, hay que notar que todos estos niveles son acumulativos, es decir, si tienes que implementar un nivel alto de protección, vas a tener que implementar todos los del nivel básico y todos los del nivel medio también.

¿Y cuales son las medidas obligatorias para cada uno de los niveles de protección? Empecemos por el nivel básico:

1. Documento de seguridad: la ley lo dice claro: “el responsable del fichero elaborará e implantará la normativa de seguridad mediante un documento de obligado cumplimiento para el personal con acceso a los datos automatizados de carácter personal y a los sistemas de información”. Es decir, que hay que escribir un documento dónde se recojan las medidas de seguridad exigibles y hay que implantarlas en la organización. ¡Atención! Solo el responsable, no el encargado, que tendrá su propio documento de seguridad a no ser que responsable y encargado sean la misma persona. Para hacer el documento de seguridad hay una guía y un modelo. No es complicado, pero es tedioso: es el paso que más tiempo te puede llevar.
2. Crear un registro de incidencias dónde se notificará cualquier anomalía que se produzca. Se puede hacer una simple hoja Excel con los siguientes campos: tipo de incidencia, momento (día y hora aproximada), quién ha notificado la incidencia, a quién se lo ha notificado y qué efectos ha producido la misma.
3. Las contraseñas deben garantizar su confidencialidad e integridad, almacenándose de forma ininteligible (encriptadas) y deberán ser cambiadas con la periodicidad que se indique en el documento de seguridad.
4. Backups semanales y asegurándote de que funcionan y se puede restaurar el sistema al momento en el que se encontraba el día que se produjo el desastre.

El resto de normas son menos importantes y, de nuevo, de sentido común, así que estoy seguro de que las habrás implementado en tu organización (solo los administradores pueden conceder permisos, no se pueden sacar datos sin autorización del responsable, etc). Cuando elabores el documento de seguridad descubrirás el resto de medidas y deberás cumplirlas.

En el próximo y último artículo de la serie profundizaremos en lo visto en este artículo y abordaremos las medidas de seguridad cuando desarrollemos un proyecto cuyos datos sean considerados de nivel medio o alto de protección.

Articulos relacionados

• La LOPD para micro-emprendedores (parte 3) (0)
• La LOPD para micro-emprendedores (parte 1) (2)
• Manifiesto: En defensa de los derechos fundamentales en Internet (0)
• MD5, javascript y seguridad (14)
• Condiciones abusivas (1)

Entre las más duras está la LOPD (Ley Orgánica de Protección de Datos de Carácter Personal) que protege al consumidor frente a las empresas que tratan con sus datos personales. Las dos leyes principales que regulan la protección de datos son esta ley orgánica y este real decreto. He de decir que esta ley es buenísima para el consumidor, con un nivel de protección excelente y no es en absoluto complicada para el profesional de la informática cumplirla: solo hay que tener un poco de sentido común y seguir algunos de los procedimientos que se solicitan. La ley te afecta si ejerces tu trabajo desde el estado español para usuarios que residen allí.

Descargo legal: no soy abogado ni especialista en la materia, por lo que la información que ofrezco a continuación se basa única y exclusivamente en mi experiencia y mi búsqueda de información a través de la red, por lo que si continúas leyendo y aplicas algo de lo que aquí se dice, lo haces bajo tu entera y absoluta responsabilidad, descargándome a mi de ninguna responsabilidad por las acciones u omisiones que tu mismo realices en base a la información aquí presentada.

Fichero, responsable y encargado

Para empezar, hace falta aclarar tres conceptos básicos que crean mucha confusión. El primer concepto es el de fichero. La ley habla de fichero de datos. Un fichero de datos no es como la mayoría imaginamos a priori referido a un archivo como podría ser una imagen o un documento de texto. No, los ficheros para la LOPD son conjuntos de datos, así que, da igual si esos datos se dividen en una o 20 tablas en nuestra base de datos o incluso en varias bases de datos, es el conjunto de los datos el que forma el fichero y solo está afectado por la LOPD si almacena datos personales. Entrar ahora en una discusión acerca de qué son datos personales sería muy largo y fuera completamente de lugar: si sospechas mínimamente que los datos que estás recogiendo podrían identificar a una persona, considéralos datos personales.

Los otros dos conceptos de los que hablaba son el responsable del fichero y el encargado del tratamiento:

• El responsable del fichero es aquel (persona física o jurídica) que decide recoger los datos y la finalidad que tendrán. Por ejemplo, si tienes una web en la que pides un registro para usarla, tu eres el responsable (tu decidiste que había que registrarse y que esos datos sean usados para entrar en la web y quizás para enviar un boletín periódico). Si por ejemplo, has creado una aplicación para que tus usuarios creen tiendas online desde dónde vender sus productos, el responsable del fichero será cada uno de tus usuarios (ellos recopilan la información de sus propios clientes, deciden para que la van a usar, etc).
• El encargado del tratamiento es la persona que tiene acceso a la base de datos y ha creado los mecanismos automatizados o semi-automatizados para manejar el fichero. Este vas a ser casi siempre tu, es decir, la persona o empresa que crea el programa.

Ambas figuras tienen una serie de responsabilidades diferentes. Las obligaciones que debe cumplir el responsable del fichero pueden resumirse en:

1. Antes de crear el fichero el responsable deberá notificarlo a la Agencia Española de Protección de Datos (bueno, si ya lo has creado no pasa nada, pero date prisa en hacerlo). Es un trámite muy sencillo que te puede librar de una buena multa. Otro día si hay interés os cuento como se hace, pero vamos, seguid el enlace y os lo explica paso a paso.
2. Pedir consentimiento antes de recoger los datos: en nuestro caso particular es la típica checkbox que se solicita al usuario que marque si se ha leído y está de acuerdo con las condiciones de uso del sitio y su política de privacidad. Atención: no puede estar marcada por defecto y los documentos que enlacemos pueden llegar a tener el mismo valor que un contrato legal, así que ojo en qué ponemos y que no ponemos.
3. Informar a los usuario acerca de que vas a recoger sus datos y vas a guardarlos. Sería algo así: “Usted autoriza y acepta que NOMBRE_WEB podrá introducir sus datos personales y demás detalles, en un directorio fichero informático, cuyo responsable y titular es TU_NOMBRE, para uso interno y con la finalidad de facilitar a NOMBRE_WEB la prestación del Servicio. En caso de no estar de acuerdo con su inclusión en dicho fichero o no responder a todas las preguntas planteadas, NOMBRE_WEB cancelará inmediatamente su alta como usuario registrado. La persona física o entidad jurídica que consta en el citado fichero tiene la posibilidad de ejercitar sus derechos de acceso, rectificación, cancelación y oposición, en relación con sus datos personales, dirigiendo un escrito a NOMBRE_WEB,  a la dirección: TU_DIRECCION“. Obviamente, dónde dice NOMBRE_WEB puede ser también tu nombre si eres autónomo o el de tu empresa si la tienes.
4. Adoptar las medidas necesarias para evitar una fuga de datos. Es decir, el responsable deberá hacer todo lo posible según los cánones de la técnica actual para evitar que alguien ajeno a la organización obtenga acceso y pueda manipular o robar los datos. Básicamente esto significa: utiliza buenas contraseñas, cámbialas  frecuentemente, instruye a todo aquel que tenga que acceder a los datos… Sentido común
5. Recoger el consentimiento del interesado en caso de cesión de datos. Hay algunas excepciones a esta norma, pero en general, mejor cuidarse en salud y solicitar siempre el consentimiento antes de ceder los datos a un tercero.
6. Obviamente (y no por lo obvio se cumple siempre) el responsable debe identificar claramente una dirección de correo postal dónde el usuario final podrá ejercer sus derechos sobre sus datos.
7. Crear, cumplir y hacer cumplir el documento de seguridad (más adelante trataremos acerca de este documento).

Las obligaciones del encargado del mantenimiento en resumidas cuentas son:

1. Lo mismo que el punto 4 del responsable: haz que tus sistemas sean seguros, que nadie pueda acceder a ellos fácilmente, encrípta las contraseñas de la base de datos, etc. Y no te olvides las partes no digitales de tu negocio: no guardes copias de seguridad sin encriptar y en lugar seguro, no tires papeles o material informático a la basura con datos personales, etc.

Obviamente, en ambos casos (responsable y encargado) están sujetos al secreto profesional y nunca, nunca deben revelar datos o hacer otro tipo de historias que puedan dañar a los usuarios o clientes.

Otra cosa importante respecto a la relación responsable-encargado es que si no es la misma persona o empresa la que hace los dos roles, dicha relación deberá estar formalizada por escrito en un contrato (quien dice por escrito, dice mediante un contrato online). Básicamente lo que dice la ley es “oye, ¿el encargado del mantenimiento tiene acceso a los datos y puede hacer cosas con ellos? pues vamos a obligarle a que cumpla una serie de requisitos por contrato”. Básicamente, se soluciona añadiendo algo así en el contrato con el responsable: “NOMBRE_WEB, como encargado del tratamiento del fichero únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento y no los aplicará o utilizará con fin distinto al que figura en estas condiciones, ni los comunicará, ni siquiera para su conservación, a otras personas“. Además, claro, de identificar en el contrato cuales son las medidas de seguridad que el encargado va a implementar para evitar el acceso no autorizado de terceros.

Continuamos otro día con más detalles para cumplir con la LOPD.

Articulos relacionados

• La LOPD para micro-emprendedores (parte 3) (0)
• La LOPD para micro-emprendedores (parte 2) (1)
• Manifiesto: En defensa de los derechos fundamentales en Internet (0)
• So So Socios (6)
• Mi primer Iniciador (0)

Antes de que me diera tiempo a ignorar al grupo apareció otro grupo mucho más numeroso, compuesto por otras ciento y pico personas también en desordenada formación. Esto sí que era sorprendente, ya que en la zona nudista de la playa raramente se congregan más de 50 almas. He de decir que me llamó la atención un subgrupo de cuatro o cinco chicos y chicas negras que portaban una bandera de Angola y distinguí también algunas voces que hablaban en perfecto español. Un grupo heterogéneo. Además, algunos de los miembros más fuertes del grupo cargaban pesadas cajas que parecían neveras y material para montar un picnic, que luego descubrimos que había sido transportado hasta allí en un todoterreno de la Junta de Andalucía, ya que los vehículos particulares tienen prohibido acercarse hasta aquél lugar debido a la calificación de Parque Natural. Recuerdo que pensé “vaya, encima nos montarán aquí una fiesta”. Ya me disponía a girarme y a continuar con la lectura de mi libro (”La conjura de los necios”, un título realmente clarividente) pero mi compañera me alertó: “¡pero si son los de la visita del Papa!”. En efecto, prácticamente todos los miembros de la inusitada procesión, en un lugar u otro llevaban su pañuelito rojo identificativo de su adhesión a las JMJ.

Al parecer, estos chicos y chicas en vez de elegir el paquete turístico que se ceñía estrictamente a la visita de su jefe espiritual a Madrid, habían decidido elegir el paquete completo, con visita a las mejores playas del estado. En esos trances estaba nuestra conversación cuando un pitido largo y seco volvió a centrar nuestra atención sobre el grupo. No me había fijado, pero entre los jóvenes, había parejas de no-tan-jóvenes que dirigían el grupo cual rebaño. A decir verdad, me recordó bastante a los guías turísticos de los viajes organizados. Uno de esos guías, de unos 35 años, ordenó al grupo acampar allí, en mitad de la playa nudista, entre una quincena de personas desnudas.

En un momento el grupo se reunió, montó un par de mesas y sacó de las cajas algunas bebidas. Los jefes de ese grupo permitieron a los chicos quitarse la ropa y quedarse en bañador o bikini para poder meterse en el mar o pasear por la orilla. Los chicos usaban todos la típica bermuda hasta las rodillas y las chichas en su mayoría eran partidarias del bañador de una pieza, aunque muchas (más de lo que me hubiera imaginado) llevaban también bikinis de dos piezas con, digamos, poca tela.

Tras el alborozo inicial (y la sorpresa, todo hay que decirlo), todos los usuarios de la playa volvieron a lo suyo. Sí que es cierto que algunos nudistas se pusieron el bañador, no se si por un mal entendido respeto o porque la playa había dejado de ser cómoda para el nudismo al estar tomada por los turistas religiosos. Sea como fuere, el número de nudistas disminuyó y los que resistimos tuvimos la oportunidad de comprobar el curioso comportamiento de estos jóvenes moralistas. Se dieron situaciones realmente curiosas, aparte de soportar miradas y fotos desde la lejanía, esto último especialmente de un miembro del grupo que ni se molestó en ponerse el bañador y se dedicó todo el tiempo a tomar fotos de la playa y sus habitantes. Por ejemplo, para ir hasta la orilla del mar teníamos que pasar entre miembros desperdigados del grupo de cristianos; eso implicaba risitas nerviosas entre los grupitos que se encontraban tirados en la arena, miradas furtivas y hasta algún “¡guau!” que se le escapó a alguno. Luego, en el mar, era curioso el fenómeno de repulsión que ocasionábamos: era acercarnos a menos de 10 metros de los bañistas (que se bañaban agrupados) y la masa se movía en dirección contraria a nosotros. ¡Hasta ideamos un plan para enviarlos mar adentro! pero finalmente no lo pusimos en práctica. Sin embargo, lo más curioso era ver las reacciones de algunos elementos cuando paseábamos por la orilla del mar en sentido contrario a ellos. Desde lejos miraban directamente a los genitales, conforme nos acercábamos disimulaban, pero sin dejar de mirar y, finalmente, cuando quedaba un par de metros para el encuentro ponían cara de asco y giraban la cara. Eso sí, sistemáticamente, la mirona o el mirón, tras rebasarnos, giraba la cabeza para seguir viendo algo. El caso más extremo fue el de uno de los chicos presuntamente angoleños que hasta llegó a seguirnos en nuestro paseo por la playa (y son casi 2 kilómetros de paseo!). También es justo decir que esta actitud no era generalizada, aunque sí que era compartida por la mayoría del grupo.

Después de comer, cuando ya casi nos habíamos acostumbrado a su presencia, a sus miradas y fotos, el líder del grupo hizo sonar su silbato y en diez minutos todos estaban fuera del agua y desfilaban en dirección a sus autobuses. Después de este encuentro empiezo a entender para qué necesitan 200 confesionarios, aunque sugeriría que, para evitar males mayores, se entregaran preservativos entre sus usuarios.

Articulos relacionados

• Con la iglesia hemos topado (4)

Mucha gente utiliza de forma casi automática una frase hecha al hablar de socios “sin un socio irás más rápido, pero con un socio llegarás más lejos” (o algo así). No está mal como eslogan, pero esto no tiene porqué ser así siempre. Por ejemplo, si tu socio es un manta o tiene una visión completamente diferente del proyecto que tú, esa frase directamente se va a piqué, junto al proyecto y a la sociedad en menos que canta un gallo. O si a mitad del proyecto descubres que tu socio no estaba suficientemente comprometido con él  y quiere “largarse” pues lo mismo. O si, o si, o si… Hay miles de cosas que pueden fallar y que debido al lastre de tener un mal socio pueden hacerte fracasar completamente o meterte en un lío del que resulta difícil salir. Por eso mi consejo siempre es el mismo: dejarlo todo atado y bien atado desde un primer momento. Si algo falla, todo será más fácil si el primer día firmáis un compromiso y unas reglas para poder salir de la sociedad o echar a alguien que no está aportando lo que se esperaba.

Se que no es fácil llegar a un amigo o a un compañero y decirle “oye, no, que no empiezo a trabajar en serio hasta que redactemos un contrato que explicite la forma en la que vamos a organizarnos y las posibles vías de salida que tendremos en la futura sociedad que constituyamos”. Definitivamente no es fácil y puede ser que tu pretendido socio te mande a la mierda, pero, en ese caso, ¿sería un buen socio? ¿Alguien que no quiere comprometerse el primer día puedes esperar que se vaya a comprometer dentro de un año cuando un servidor esté caído un sábado a las 4 de la madrugada y nadie sepa por qué?

Una vez firmado ese papel, todo estará controlado. Si alguien quiere abandonar existirá un protocolo, si alguien pide irse dos meses de vacaciones estará contemplado en una cláusula o habrá una norma para discutirlo y llegar a un acuerdo, si alguien propone que ingrese un nuevo socio existirá un pre-acuerdo en firme sobre ello… Todo esto, obviamente, abierto a posibles cambios y re-negociaciones siempre que todos los socios por unanimidad así lo acuerden.

El contenido del acuerdo es aquél que los socios fundadores quieran negociar, pero creo que como mínimo debería tratar (1) el modo en que un socio puede salir voluntariamente de la sociedad, (2) el modo de decisión de cualquier asunto en el que no haya unanimidad entre los socios (consenso, votación por mayoría, etc, pero nunca modificación de estas reglas sin unanimidad), (3) el modo de trabajo, organización y reparto de los diferentes roles y tareas que se tienen que llevar a cabo (y las penalizaciones y forma de expulsión de quien no cumpla con lo especificado) y (4) cualquier asunto relacionado con el dinero (desde la aportación de cada uno hasta la forma de llevar la contabilidad o las posibles vías de financiación). Este último punto lo incluyo pues suele ser uno de los más críticos en las relaciones con socios (siempre bajo mi experiencia).

Entiendo también que puede resultar complicado llegar a un acuerdo y redactar un documento de este tipo, por lo que tampoco es mala idea utilizar los servicios de un abogado. De vez en cuando no está mal poner un abogado en tu vida, vivimos en una sociedad hiper-regularizada y ellos son los expertos en reglas sociales. Considéralo una inversión en tranquilidad.

Yo cometí el error de no tener en mis relaciones con socios un contrato firmado y ahora me arrepiento. Pero esa es otra historia que ya trataré otro día. Me queda pendiente también para otra ocasión el continuar el desarrollo de la frase que daba pie a este artículo (”sin un socio irás más rápido, pero con un socio llegarás más lejos”) procediendo a la comparación entre tener y no tener un socio (aunque ya adelanto que en general me quedo con “no tener un socio”).

Nota: El título del artículo es un homenaje a la serie Weeds (capítulo 3 de la quinta temporada).

Articulos relacionados

• Mi primer Iniciador (0)
• La LOPD para micro-emprendedores (parte 3) (0)
• La LOPD para micro-emprendedores (parte 1) (2)
• Becarios que salen caros (1)