Una sesión remota transporta datos de pantalla, archivos y portapapeles. Explicamos por dónde pasan los datos, el artículo 9 de la KVKK y una lista de comprobación.
Puntos clave (Key Takeaways)
Una sesión de acceso remoto puede tocar datos personales. Si esos datos se tratan en el extranjero, puede aplicarse el artículo 9 de la KVKK. Este artículo no es asesoramiento jurídico. Consulte a un asesor legal sobre su caso.
¿Por dónde pasan los datos durante una sesión?
- Flujo de pantalla: cualquier dato personal visible.
- Transferencia de archivos: archivos movidos entre dos dispositivos.
- Portapapeles: texto y archivos copiados.
- Registros de sesión: quién se conectó a qué dispositivo y cuándo.
- Metadatos de cuenta y dispositivo: nombre de usuario, nombre del equipo, dirección IP.
Que la conexión sea directa o pase por los servidores del proveedor depende del producto y de la red. Confírmelo en la documentación del proveedor.
¿Qué dice el artículo 9 de la KVKK?
La Ley n.º 7499 modificó el artículo 9 de la KVKK. El cambio entró en vigor el 1 de junio de 2024. Una transferencia al extranjero puede basarse en una decisión de adecuación, garantías adecuadas (por ejemplo, contratos tipo o normas corporativas vinculantes) o supuestos excepcionales. El contrato tipo debe notificarse a la Autoridad en un plazo de cinco días hábiles desde la firma de todas las partes. El reglamento relacionado se publicó el 10 de julio de 2024.
Lista de comprobación
- ¿En qué países trata el proveedor los datos de sesión?
- ¿Tiene un contrato de encargado del tratamiento con el proveedor?
- Si los datos salen del país, ¿en qué mecanismo se apoya?
- Si usa un contrato tipo, ¿lo notificó a la Autoridad?
- ¿Están al día su registro VERBIS y su aviso de privacidad?
- ¿Se graban las sesiones? ¿Dónde y por cuánto tiempo se conservan?
- ¿Están definidos los permisos de técnicos y los registros de acceso?
Mantener los datos dentro de la organización
Si la infraestructura de acceso remoto se ejecuta en sus propios servidores, el tráfico de sesión no sale de su red. Esto puede reducir la cuestión de la transferencia internacional. Aun así, necesita controles de permisos, registros y conservación. Moftgate puede funcionar en sus propios servidores (on-premises) y los primeros 200 endpoints son gratis.
Investigadores e ingenieros de seguridad de Moftgate Threat Labs especializados en prevención de fugas de datos (DLP), protección de endpoints y soberanía de datos on-premises.
Respuestas de expertos a las preguntas clave de profesionales
¿Las herramientas de acceso remoto están sujetas a la KVKK?
Sí, si la sesión trata datos personales. Los datos de pantalla, archivos y portapapeles pueden contenerlos.
¿Los datos de acceso remoto salen del país?
Depende del producto y de la red. Confírmelo en la documentación del proveedor.
¿Debe notificarse el contrato tipo a la Autoridad?
Sí. Según la información publicada por la Autoridad, se notifica en cinco días hábiles desde la firma de todas las partes.
Fuentes autorizadas y estándares regulatorios
- •KVKK: Yurt Dışına Aktarım ↗(Página de la Autoridad sobre transferencias al extranjero (en turco).)
- •KVKK: Kişisel Verilerin Yurt Dışına Aktarılması Rehberi (Yayın No: 48) ↗(Guía de la Autoridad sobre transferencias al extranjero (en turco).)