|
Protección
De Datos LOPD Reglamento de Seguridad Obligaciones de la LOPD Principios básicos recogidos en la Ley Medidas y niveles de seguridad Documento de seguridad Derechos de los titulares de los datos Agencia de Protección de Datos Infracciones y sanciones En lo relativo a la protección de datos de carácter personal, es preciso mencionar antes de iniciar el tema, dos directivas comunitarias que establecen las bases de la futura regulación: - Directiva Comunitaria 95/46 CE: disposición
que busca la armonización de los estados miembros europeos, para
efectuar una protección efectiva de las personas, de sus datos
contenidos en ficheros automatizados, y de sus derechos. La entrada en vigor de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD), ha supuesto la confirmación de Internet como medio sumamente importante en el comercio actual, así como de una evolución hacia las nuevas tecnologías, con la necesidad de una mayor protección legal a fin de evitar intromisiones ilegítimas en la intimidad de las personas a la hora de realizar una transmisión de datos. Por lo tanto, la finalidad de la LOPD es proporcionar una mayor protección a usuarios y consumidores frente a las empresas o particulares que operan en redes como Internet, y que poseen gran capacidad para el almacenamiento y el tratamiento de datos personales. Con la promulgación de la Ley Orgánica de Protección de Datos de Carácter Personal se deroga la Ley Orgánica 5/1992, de 29 de octubre, de Regulación del Tratamiento Automatizado de Datos de Carácter Personal (LORTAD). La derogación supuso, además, la ampliación del ámbito de aplicación de la ley, pasando a ser el bien jurídico protegido, no solamente la libertad informática, sino que también protege libertades y derechos fundamentales. De igual forma, la entrada en vigor en junio de 1999 del Reglamento de Medidas de Seguridad, Real-Decreto 994/1999, de 11 de junio, desarrollando la LOPD, y concretamente su artículo 9 referente a la seguridad jurídica de los ficheros automatizados, ha obligado a muchas empresas y particulares a activar diferentes medidas de seguridad, tanto técnicas como jurídicas, con el fin de proteger los datos de carácter personal. Es preciso aportar previamente una serie de definiciones recogidas por la LOPD, que ayudan a una mejor comprensión de los términos indicados en la Ley Orgánica de Protección de Datos de Carácter Personal: - Fichero: conjunto organizado de datos de carácter
personal, cualquiera que fuera la forma o modalidad de acceso, creación,
almacenamiento o de organización. La LOPD protege todos los datos registrados en soporte físico, siempre que se trate de ficheros organizados y que contengan datos de carácter personal. Esta Ley, impone una serie de obligaciones a los particulares o a las empresas que posean datos de carácter personal, contenidos en ficheros o bases de datos: - Notificación de los ficheros y alta en la
Agencia de Protección de Datos. Establece la LOPD una serie de principios básicos que deben observarse en la recogida, tratamiento y cesión o transferencia de datos de carácter personal: - Calidad de los datos: el artículo 4 de la
Ley, indica que los datos recabados deben ser adecuados, pertinentes
y no excesivos. Asimismo, los fines para los que los datos son recabados
serán compatibles.
El consentimiento puede ser expreso, presunto o tácito.
De la misma manera que el titular de los datos prestó su consentimiento
para la recogida y el tratamiento de los mismos, está facultado
posteriormente para revocar dicho consentimiento.
La excepción son los datos recabados para partidos políticos, la iglesia, diferentes asociaciones o servicios sanitarios, para prevención o tratamiento de enfermedades, cuando lo realicen facultativos autorizados.
Algunas de las excepciones para contar con el consentimiento de los titulares de los datos son: en el supuesto de que una la ley así lo autorice, cuando son recabados por las Administraciones Públicas, en el caso de ser datos recabados de fuentes accesibles al público, o bien por el tratamiento derivado de una relación jurídica.
Mención importante merece el artículo 9 de la Ley Orgánica de Protección de Datos de Carácter Personal, desarrollado por el ya citado Real-Decreto 994/1999. Se refiere a las medidas de seguridad a adoptar por el responsable y por el encargado del fichero automatizado de datos en su tratamiento. Algunas de las medidas que deben observar son: identificación de usuarios por medio de claves, registro de acceso, entradas y salidas de soportes de datos, copias de seguridad de los datos almacenados, auditorías internas y externas. El Reglamento establece tres niveles de seguridad, dependiendo de carácter de los datos que contienen los ficheros: - Nivel básico: es el nivel aplicable a ficheros
con datos personales, como pueden ser nombre, apellidos, dirección
o teléfono. Todas las medidas de seguridad deben de constar por escrito en el denominado "documento de seguridad" de la empresa, tal y como se recogen el artículo 8 del Reglamento de Seguridad. El documento de seguridad debe contener todas aquellas medidas de seguridad, tanto técnicas como organizativas, que la empresa debe adoptar para recabar y tratar los datos de carácter personal contenidos en sus ficheros automatizados. El responsable del fichero será la persona que debe elaborar dicho documento e implantarlo en la empresa. Será de obligado cumplimiento este escrito para todos los trabajadores de la compañía. Del mismo modo, el documento de seguridad deberá estar actualizado en todo momento, incorporando aquellos cambios que se produzcan en las medidas de seguridad técnicas y organizativas referentes a los sistemas informáticos. La LOPD reconoce una serie de derechos a los titulares de los datos de carácter personal: - Derecho de acceso a los datos El primer derecho de los titulares de los datos personales reconocido por la Ley Orgánica de Protección de Datos de Carácter Personal en su artículo 15, es el derecho de acceso a los datos por parte del interesado, para tener conocimiento de los datos que poseen, el fin para el que los utilizan, y si se producen o no cesiones de dichos datos. El derecho se ejercita por el propio interesado o por un representante, ante el responsable o encargado del tratamiento de los datos contenidos en los ficheros. Hay diversos ficheros ante los cuales no se puede ejercitar éste derecho, como pueden ser aquellos ficheros públicos que lo estimen oportuno, en base a la salvaguarda de la seguridad nacional o de defensa del Estado. El plazo de respuesta comunicando los datos recabados,
o bien la ausencia de datos personales de la persona que ejercitó
el derecho, es de un mes. El titular de los datos de carácter personal ejerce éste derecho, señalado en el artículo 16 de la LOPD, ante el responsable o encargado del tratamiento de los ficheros, con la finalidad de que sus datos sean rectificados, actualizados o puestos al día, ya que se trata de datos erróneos o inexactos. Se procede, por tanto, a una sustitución de los datos de carácter personal. Para ejercer este derecho no es necesario que los titulares de los datos personales ejercitaran previamente el derecho de acceso a los datos. El plazo para efectuar la rectificación de los datos de carácter personal contenidos en ficheros automatizados por parte del responsable del fichero es de siete días.
Al igual que derecho anterior de rectificación de datos personales, el derecho de cancelación de datos se regula en el artículo 16 de la LOPD. Consiste la cancelación de los datos de carácter personal en un borrado de los datos registrados, ya que se trata de datos excesivos o inadecuados para el fin que persigue el tratamiento de los mismos. Las fases de la cancelación son dos: el bloqueo de datos, en el que éstos se separan del resto, y el borrado físico de los datos. Tal y como se advirtió en el derecho anterior, para ejercitar éste derecho no es necesario haber ejercitado previamente el derecho de acceso a los datos personales. Según el Reglamento, el plazo para hacer efectivo el derecho de cancelación de datos personales por parte del responsable del fichero, es de 10 días.
En el artículo 6 de la Ley Orgánica de Protección de Datos se regula el derecho que los titulares de los datos de carácter personal tienen de oponerse al tratamiento de sus datos, mientras se trate de datos que no necesiten el consentimiento previo del interesado. La oposición debe realizarse por motivos fundados y legítimos. El responsable del tratamiento de los datos contenidos en ficheros automatizados está obligado a excluir esos datos de dicho tratamiento. La Agencia de Protección de Datos será el organismo encargado de velar por el cumplimiento de las medidas de seguridad en todos los ficheros automatizados que contengan datos de carácter personal. Vigilará que las empresas y particulares adopten todas las medidas de seguridad técnicas y jurídicas necesarias para proteger los datos personales recogidos en ficheros. Su función es sumamente importante, ya que garantiza el derecho de todas las personas a que sus datos sean recogidos y tratados correctamente por parte de las empresas o particulares. En su labor, la APD actúa de manera muy estricta, imponiendo multas con cuantías muy elevadas, en función de la infracción cometida en el tratamiento de los datos. Por consiguiente, además de tener el cometido de llevar un registro de todos los ficheros que contengan datos de carácter personal, tiene funciones sancionadoras. Las infracciones y sanciones son las detalladas a continuación: - Leves: son infracciones leves, por ejemplo, no atender
la solicitud del ejercicio por parte de los titulares de los datos de
los derechos de acceso, rectificación, cancelación u oposición
al tratamiento de datos, o bien recabar datos de los interesados directamente
sin dar la información necesaria. - Graves: algunas de las infracciones graves son crear
ficheros con distintos fines a los iniciales, o bien mantener datos
de carácter personal inexactos o no cancelarlos. - Muy graves: entre las que se encuentran la recogida de datos de carácter personal de manera fraudulenta, o la cesión ilegal de los datos personales.
Copyright © Noviembre 2003 |
||||||||||||||||||||||