Madrid Tecnología Harvey Lluch LOPD AMT San Blas

CURSO SOBRE LA LEY ORGANICA DE PROTECCION DE DATOS DE CARACTER PERSONAL Harvey & Lluch Consultores S.L.

INDICE Página 1.- INTRODUCCION. 5 • ¿Qué es la Protección de Datos?. 6 • ¿ A quién obliga la Protección de Datos?. 7 • ¿ A quién protege la Protección de Datos?. 8 2.- NORMATIVA VIGENTE EN PROTECCION DE 9 DATOS. • Ley Orgánica 15/1999, de 13 de diciembre, de 10 Protección de Datos de Carácter Personal. • Real Decreto1720/2007, de 21 de diciembre, por el que 11 se aprueba El Reglamento de desarrollo de la LOPD. 3.-CONCEPTOS DESTACABLES DE LA LOPD Y EL 12 REGLAMENTO. 14 • Definiciones de la LOPD. • Definiciones de El Reglamento. 16 - Definiciones sobre medidas de seguridad. 23 - Fuentes accesibles al público. 26 • Comparativa entre las definiciones de la LOPD y El 28 Reglamento. 1 Harvey & Lluch Consultores S.L.

- LOS PRINCIPIOS DE LA PROTECCION DE DATOS. 29 • Consentimiento del Afectado o Interesado. 30 • La calidad de obtención de los Datos. 32 • Derecho por parte del afectado, a la información al recabar los 33 datos. • Datos que deben ser especialmente protegidos del afectado. 34 • Cesión de Datos. 36 5.- TRATAMIENTO DE LOS DATOS. 37 • Recabar datos. •Tratamiento automatizado de los datos. • Comunicación de los datos. 6.- LOS DERECHOS DEL INTERESADO. 38 • Derecho de impugnación de valoraciones. 39 • Derecho de consulta al Registro General de Protección de Datos. 40 • Derechos Arco (Acceso, Rectificación, Cancelación y Oposición). 41 • Derecho de indemnización. 45 • Tutela de Derechos. 46 2 Harvey & Lluch Consultores S.L.

1.- INTRODUC- CION ¿Qué es la ¿A quién obliga la ¿A quién protege Protección de Protección de la Protección de Datos? Datos? Datos? 5 Harvey & Lluch Consultores S.L.

¿QUE ES LA PROTECCION DE DATOS? Se entiende por Protección de Datos el garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertadas públicas y los derechos fundamentales de las personas físicas y especialmente de su honor e intimidad personal y familiar. Para garantizar y proteger estos datos, se legisla la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD). Ley que deroga la anterior Ley Orgánica 5/1992, de 29 de octubre, de Regularización del Tratamiento Automatizado de los Datos de Carácter Personal (LORTAD). La LOPD se complementa con el Real Decreto 1720/2007, de 21 diciembre, por el cual se aprueba El Reglamento de Desarrollo de la LOPD. Aplicando la normativa vigente el tratamiento de los datos puede ser automatizado o no, siguiendo el mandato imperativo de la Normativa Europea. 6 Harvey & Lluch Consultores S.L.

¿A QUIEN PROTEGE LA PROTECCION DE DATOS? Una premisa que tenemos que tener claro, es que los datos no son de las entidades son de sus titulares, de los interesados o afectados como los denomina la LOPD. Por lo tanto el tratamiento de los datos a de ser lícito y al ser datos de los afectados, las entidades tienen que respetar todos los derechos y principios que sobre ellos contempla la Ley Orgánica de Protección de Datos. El afectado tiene que haber dado su consentimiento al tratamiento de sus datos: art. 3.h, toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen. Este consentimiento por parte del afectado, tiene su excepción en el supuesto en que se refiera a las partes de un contrato o precontrato de una relación negocial, cuando su finalidad sea proteger el interés vital del afectado y, por último, cuando sus datos figuren en fuentes accesibles al público, siempre que no se vulneren los derechos y libertades fundamentales del afectado. 7 Harvey & Lluch Consultores S.L.

¿A QUIEN OBLIGA LA PROTECCION DE DATOS? A todas las entidades seas pública o privadas y profesionales, que realicen en su actividad, el tratamiento de datos de Carácter Personal. Estos datos pueden ser generados por la actividad lógica de la entidad, empleados, colaboradores, proveedores, clientes, etc., estos datos son de tratamiento interno de la entidad y su vez por dicha actividad, estos datos pueden salir fuera de la entidad para control de distribución, postventa, subcontratación, cesión a terceros, etc. Estos datos no son de la entidad, son de sus titulares, de los interesados o afectados como los denomina la LOPD. Por lo tanto, el tratamiento de los datos ha de ser lícito y al ser datos de los afectados, las entidades tienen que respetar todos los derechos y principios que sobre ellos contempla la Ley Orgánica de Protección de Datos. 8 Harvey & Lluch Consultores S.L.

2.- NORMATIVA VIGENTE EN PROTECCIÓN DE DATOS LEY ORGANICA DE PROTECCIÓN DE DATOS DE CARÁCTER PERSONAL REAL DECRETO DE DESARRROLLO DEL REGLAMENTO DE LA LOPD 9 Harvey & Lluch Consultores S.L.

LEY ORGANICA DE PROTECCIÓN DE DATOS DE CARACTER PERSONAL La normativa vigente en tratamiento de datos de carácter personal es la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas y especialmente de su honor e intimidad personal y familiar, (art. 1). Por esta Ley, los afectados adquieren unos derechos en el tratamiento de sus datos de carácter personal y que obliga a los titulares de los ficheros (cualquier empresa o entidad, pública o privada que tenga datos de carácter personal en un soporte automatizado o susceptible de tratamiento automatizado), a respetar los principios de esta Ley. El cumplimiento de esta normativa es imprescindible para cualquier entidad jurídica (empresa o autónomo), ya sea pública o privada, que tenga tratamiento de datos de carácter personal. 10 Harvey & Lluch Consultores S.L.

REAL DECRETO DE DESARROLLO DEL REGLAMENTO DE LA LOPD Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba El Reglamento de Desarrollo de la Ley Orgánica de Protección de Datos. Este Reglamento comparte con la Ley Orgánica la finalidad de hacer frente a los riesgos que para los derechos de la personalidad pueden suponer el acopio y tratamiento de datos personales. Hay que destacar que este Reglamento nace con la vocación de no reiterar los contenidos de la Ley y de desarrollar, no solo los mandatos contenidos en dicha Ley de acuerdo con los principios que emanan de la Directiva sino también aquellos que estos años de vigencia de la Ley se ha demostrado que precisan de un mayor desarrollo normativo. 11 Harvey & Lluch Consultores S.L.

3.- CONCEPTOS DESTACABLES DE LA LOPD Y EL REGLAMENTO DEFINICIONES DE LA LOPD DEFINICIONES DEL REGLAMENTO • DEFINICIONES SOBRE MEDIDAS DE SEGURIDAD • FUENTES ACCESIBLES AL PUBLICO COMPARATIVA ENTRE LAS DEFINICIONES DE LA LOPD Y EL REGLAMENTO 12 Harvey & Lluch Consultores S.L.

DEFINICIONES DE LA LOPD - I Definiciones según el art. 3: a) Datos de carácter personal; cualquier información concerniente a personas físicas identificadas o identificables. Se habla de cualquier información concerniente a las personas, incluido la video vigilancia. b) Fichero; todo conjunto organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso. Se incluyen tanto los ficheros automatizados como los no automatizados (normales). c) Tratamiento de datos; operaciones y procedimientos técnicos de carácter automatizados o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias. d) Responsable del fichero o tratamiento; persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento. e) Afectado o interesado; persona física titular de los datos que sean objeto del tratamiento a que se refiere el apartado c) del presente articulo. 13 Harvey & Lluch Consultores S.L.

DEFINICIONES DE LA LOPD - II f) Procedimiento de disociación; todo tratamiento de datos personales de modo que la información que se obtenga no pueda asociarse a persona identificada o identificables. No se puede asociar el número de teléfono al nombre de un afectado, o el DNI con su propietario. g) Encargado del tratamiento; la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, solo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento. El encargado de tratamiento recibe por parte del responsable el encargo de tratar los datos de carácter personal del otro, por ejemplo las asesoría fiscal o laboral, abogados, etc. h) Consentimiento del interesado; toda manifestación de voluntad, libre, inequívoca, especifica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen. i) Cesión o comunicación de datos; toda revelación de datos realizada a una persona distinta del interesado. “Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco”, art.5.1. 14 Harvey & Lluch Consultores S.L.

DEFINICIONES DE LA LOPD - III j) Fuentes accesibles al público; aquellos ficheros cuya consulta puede ser realizada, por cualquier persona, no impedida por una norma limitativa o sin más exigencia que, en su caso, el abono de una contraprestación. Tienen la consideración de fuentes de acceso al público, exclusivamente, el censo promocional, los repertorios telefónicos en los términos previstos por su normativa específica y las listas de personas pertenecientes a grupo de profesionales que contengan únicamente los datos de nombre, título, profesión, actividad, grado académico, dirección e indicación de su pertenencia al grupo. Asimismo, tienen el carácter de fuentes accesibles al público los diarios y boletines oficiales y los medios de comunicación. La Agencia Española de Protección de Datos dictaminó que internet no es un medio fiable. 15 Harvey & Lluch Consultores S.L.

DEFINICIONES DEL REGLAMENTO - I Definiciones según el art. 5: a) Afectado o interesado: Persona física titular de los datos que sean objeto del tratamiento. b) Cancelación; Procedimiento en virtud del cual el responsable cesa en el uso de los datos. La cancelación implicará el bloque de los datos, consistente en la identificación y reserva de los mismos con el fin de impedir su tratamiento excepto para su puesta a disposición de las Administraciones públicas, Jueces y tribunales, para la atención de las posibles responsabilidades nacidas del tratamiento y sólo durante el plazo de prescripción de dichas responsabilidades. Transcurrido ese plazo deberá procederse a la supresión de los datos. c) Cesión o comunicación de datos; Tratamiento de datos que supone su revelación a una persona distinta al interesado. Aquí El Reglamento hace hincapié en tratamiento de datos, por lo tanto para que haya cesión es necesario que haya dicho tratamiento de datos. d) Consentimiento del interesado; Toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen. 16 Harvey & Lluch Consultores S.L.

DEFINICIONES DEL REGLAMENTO - II e) Dato disociado; aquél que no permite la identificación de un afectado o interesado. Por medio de este dato, por ejemplo el número de móvil, no identificamos al afectado. f) Datos de carácter personal; cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo concerniente a personas físicas identificadas o identificables. Hay que hacer diferencia entre persona física y persona jurídica, un empresario individual al hacer referencia a su actividad comercial, queda excluido en el tratamiento, pasa a ser persona jurídica y a su vez las personas que ocupando cargos o funciones están asociadas a la persona jurídica que prestan sus servicios. Están incluidos en este apartado las imágenes de personas físicas tomadas en video vigilancia. g) Datos de carácter personal relacionados con la salud; las informaciones concernientes a la salud pasada, presente y futura, física o mental, de un individuo. En particular, se consideran datos relacionados con la salud de las personas los referidos a su porcentaje de discapacidad y a su información genética. 17 Harvey & Lluch Consultores S.L.

DEFINICIONES DEL REGLAMENTO - III h) Destinatario o cesionario; la persona física o jurídica, pública privada u órgano administrativo, al que se revelen los datos. Podrán ser también destinatarios los entes sin personalidad jurídica que actúen en el tráfico como sujetos diferenciados. Añadiríamos en este apartado a las comunidades de propietarios. i) Encargado del tratamiento; la persona física o jurídica, pública o privada, u órgano administrativo que, solo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento o del responsable del fichero, como consecuencia de la existencia de una relación jurídica que le vincula con el mismo y delimita el ámbito de relación para la prestación de un servicio. Podrá ser también encargados del tratamiento los entes sin personalidad jurídica que actúen en el tráfico como sujetos diferenciados. j) Exportador de datos personales; la persona física o jurídica, pública o privada, u órgano administrativo situado en territorio español que realice, conforme a lo dispuesto en el presente Reglamento, una transferencia de datos de carácter personal a un país tercero. Este párrafo se refiere a datos exportados fuera de la CEE. 18 Harvey & Lluch Consultores S.L.

DEFINICIONES DEL REGLAMENTO - IV k) Fichero; todo conjunto organizado de datos de carácter personal, que permita el acceso a los datos con arreglo a criterios determinados, cualquiera que fuera la forma o modalidad de su creación, almacenamiento, organización y acceso. Quedan excluidos del tratamiento cualquier fichero mantenido por cualquier persona física en el ejercicio de actividades personales o domésticas, los sometidos a normativa sobre protección de materias clasificadas, y los establecidos para la investigación del terrorismo y de formas graves de delincuencia, están excluidos pero estos ficheros se comunicaran de su existencia a la AEPD. l) Ficheros de titularidad privada; los ficheros de los que sean responsables las personas, empresas o entidades de derecho privado, con independencia de quien ostenta la titularidad de su capital o de la procedencia de sus recursos económicos, así como los ficheros de los que sean responsables las corporaciones de derecho público, en cuanto dichos ficheros no se encuentren estrictamente vinculados al ejercicio de potestades de derecho público que las mismas atribuye su normativa específica. Se refiere a los ficheros de las sociedades privadas y autónomos. 19 Harvey & Lluch Consultores S.L.

DEFINICIONES DEL REGLAMENTO - V m) Ficheros de titularidad pública; los ficheros de los que sean responsables los órganos constitucionales o con relevancia constitucional del Estado o las instituciones autonómicas con funciones análogas a los mismos, las Administraciones publicas territoriales, así como las entidades u organismos vinculados o dependientes de las mismas y las Corporaciones de derecho público siempre que su finalidad sea el ejercicio de potestades de derecho público. Se refiere entidades como los ayuntamientos, comunidades autónomas, etc. n) Fichero no automatizado; todo conjunto de datos de carácter personal organizado de forma no automatizada y estructurado conforme a criterios específicos relativos a personas físicas, que permitan acceder sin esfuerzos desproporcionados a sus datos personales, ya sea aquél centralizado, descentralizado o repartido de forma funcional o geográfica. Son los ficheros manuales por ejemplo el clásico archivador. ñ) Importador de datos personales; la persona física o jurídica, pública o privada, u órgano administrativo receptor de los datos en caso de transferencia internacional de los mismos a un tercer país, ya sea responsable del tratamiento, encargada del tratamiento o tercero. Se refiere al países fuera del territorio de la Unión Europea. 20 Harvey & Lluch Consultores S.L.

DEFINICIONES DEL REGLAMENTO - VI o) Persona identificable; toda persona cuya identidad pueda determinarse, directa o indirectamente, mediante cualquier información referida a su identidad física, fisiológica, psíquica, económica, cultural o social. Una persona física no se considerará identificable si dicha identificación requiere plazos o actividades desproporcionados. p) Procedimiento de disociación; todo tratamiento de datos personales que permita la obtención de datos disociados. El resultado de este procedimiento no pueda identificar o asociarse a persona alguna. q) Responsable del fichero o del tratamiento; persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que sólo o conjuntamente con otros decida sobre la finalidad, contenido y uso del tratamiento, aunque no lo realizase materialmente. Podrán ser también responsables del fichero o del tratamiento los entes sin personalidad jurídica que actúen en el tráfico como sujetos diferenciados. r) Tercero; la persona física o jurídica, pública o privada u órgano administrativo distinta del afectado o interesado, del responsable del tratamiento, del fichero, del encargado del tratamiento y de las personas autorizadas para tratar bajo la autoridad directa del responsable del tratamiento o del encargado del tratamiento. Podrá ser también terceros los entes sin personalidad jurídica que actúen en el tráfico como sujetos diferenciados. 21 Harvey & Lluch Consultores S.L.

DEFINICIONES DEL REGLAMENTO - VII s) Transferencia internacional de datos; tratamiento de datos que supone una transmisión de los mismos fuera del territorio del Espacio Económico Europeo, bien constituya una cesión o comunicación de datos, bien tenga por objeto la realización de un tratamiento de datos por cuenta del responsable del fichero establecido en territorio español. t) Tratamiento de datos; cualquier operación o procedimiento técnico, sea o no automatizado, que permita la recogida, grabación, conservación, elaboración, modificación, consulta, utilización, cancelación, bloqueo o supresión, así como las cesiones de datos que resultan de comunicaciones, consultas interconexiones y transferencias. Hay que recalcar, que al igual de los ficheros, el procedimiento puede ser automatizado o no. 22 Harvey & Lluch Consultores S.L.

DEFINICIONES DEL REGLAMENTO • DEFINICIONES SOBRE MEDIDAS DE SEGURIDAD - I a) Accesos autorizados; autorizaciones concedidas a un usuario para la utilización de los diversos recursos. En su caso, incluirán las autorizaciones o funciones que tengan atribuidas un usuario por delegación del responsable del fichero o tratamiento o del responsable de seguridad. b) Autentificación; procedimiento de comprobación de la identidad de un usuario. Con esta medida lo que se consigue es acreditar la identificación del usuario. c) Contraseña; información confidencial, frecuentemente constituida por una cadena de caracteres, que puede ser usada en la autentificación de un usuario o en el acceso a un recurso. Recordemos que las contraseñas son tanto para ficheros automatizados o no. d) Control de acceso: mecanismo que en función de la identificación ya autentificada permite acceder a datos o recursos. e) Copia de respaldo; copia de los datos de un fichero automatizado en un soporte que posibilite su recuperación. En este párrafo se deja claro que no tiene por que haber copia de respaldo en ficheros no automatizados o manuales. f) Documento; todo escrito, gráfico, sonido, imagen o cualquier otra clase de información que pueda ser tratada en un sistema de información como unidad diferenciada. 23 Harvey & Lluch Consultores S.L.

DEFINICIONES DEL REGLAMENTO • DEFINICIONES SOBRE MEDIDAS DE SEGURIDAD - II g) Ficheros temporales; ficheros de trabajo creados por usuarios o procesos que son necesarios para un tratamiento ocasional o como paso intermedio durante la realización de un tratamiento. h) Identificación; procedimiento de reconocimiento de la identidad de un usuario. i) Incidencia; cualquier anomalía que afecte o pudiera afectar a la seguridad de los datos. Aclarar que puede tratarse de cualquier irregularidad física, lógica o jurídica. j) Perfil de usuario; accesos autorizados a un grupo de usuarios. Delimitar el acceso a usuarios solamente a su perfil de trabajo, si se encargan de ficheros de clientes no tienen acceso a ficheros de nóminas. k) Recurso; cualquier parte componente de un sistema de información. l) Responsable de seguridad; persona o personas a las que el responsable del fichero ha asignado formalmente la función de coordinar y controlar las medidas de seguridad aplicables. Sobre el responsable de seguridad no recae ninguna responsabilidad en materia de protección de datos, ya que esta recae sobre el responsable del fichero o tratamiento. m) Sistema de información; conjunto de ficheros, tratamientos, programas, soportes y en su caso, equipos empleados para el tratamiento de datos de carácter personal. Recordamos que los ficheros pueden ser automatizados o no. 24 Harvey & Lluch Consultores S.L.

DEFINICIONES DEL REGLAMENTO • DEFINICIONES SOBRE MEDIDAS DE SEGURIDAD - III n) Sistema de tratamiento; modo en que se organiza o utiliza un sistema de información. Atendiendo al sistema de tratamiento, los sistemas de información podrán ser automatizados, no automatizados o parcialmente automatizados. Nos recuerda las formas de que pueden ser los sistemas empleados de información. ñ) Soporte; objeto físico que almacena o contiene datos o documentos, u objeto susceptible de ser tratado en un sistema de información y sobre el cual se puede grabar y recuperar datos. o) Transmisión de documentos; cualquier traslado, comunicación, envío, entrega o divulgación de la información contenida en el mismo. p) Usuario; sujeto o proceso autorizado para acceder a datos o recursos. Tendrán la consideración de usuarios los procesos que permitan acceder a datos o recursos sin identificación de usuario físico. 25 Harvey & Lluch Consultores S.L.

DEFINICIONES DEL REGLAMENTO • FUENTES ACCESIBLES AL PUBLICO - I Debido a su importancia dedicaremos un apartado especial a la Fuentes Accesibles al Público. Ya vimos el párrafo j), del art. 3 de la LOPD. “Aquellos ficheros cuya consulta puede ser realizada, por cualquier persona, no impedida por una norma limitativa o sin más exigencia que, en su caso, el abono de una contraprestación. Tienen la consideración de fuentes de acceso al público, exclusivamente, el censo promocional, los repertorios telefónicos en los términos previstos por su normativa específica y las listas de personas pertenecientes a grupo de profesionales que contengan únicamente los datos de nombre, título, profesión, actividad, grado académico, dirección e indicación de su pertenencia al grupo. Asimismo, tienen el carácter de fuentes accesibles al público los diarios y boletines oficiales y los medios de comunicación”. En El Reglamento esta definición se amplia y en el art.7 dice; 1. A efectos del artículo 3, párrafo j) de la Ley orgánica 15/1999, se entenderá que solo tendrán el carácter de fuentes accesibles al público: a) El censo promocional, regulado conforme a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre. b) Las guías de servicios de comunicaciones electrónicas, en los términos previstos por su normativa especifica. 26 Harvey & Lluch Consultores S.L.

DEFINICIONES DEL REGLAMENTO • FUENTES ACCESIBLES AL PUBLICO - II c) Las listas de personas pertenecientes a grupos de profesionales que contengan únicamente los datos de nombre, título, profesión, actividad, grado académico, dirección profesional e indicando de su pertenencia al grupo. La dirección profesional podrá incluir los datos del domicilio postal completo, número de telefónico, número de fax y dirección electrónica. En el caso de Colegios profesionales, podrán indicarse como datos de pertenencia al grupo los de número de colegiado, fecha de incorporación y situación de ejercicio profesional. d) Los diarios y boletines oficiales. e) Los medios de comunicación oficial. 2. En todo caso, para que los supuestos enumerados en el apartado anterior puedan ser considerados fuentes accesibles al público, será preciso que su consulta pueda ser realizada por cualquier persona, no impedida por una norma limitativa, o sin más exigencia que, en su caso, el abono de una contraprestación. Hay que advertir que para la Agencia Española de Protección de Datos, internet no es un medio fiable de información. Y al referirnos a las guías telefónicas, hablamos de las Páginas Amarillas y del año en curso. 27 Harvey & Lluch Consultores S.L.

COMPARATIVA ENTRE LAS DEFINICIONES DE LA LOPD Y EL REGLAMENTO LOPD: REGLAMENTO: REGLAMENTO: Datos de carácter personal. Afectado o interesado Fichero. Importador de datos Cancelación. personales. Tratamiento de datos. Cesión o comunicación de Responsable del fichero o Persona identificable. datos. Procedimiento de disociación. tratamiento. Consentimiento del interesado. Afectado o interesado. Responsable del fichero o Dato disociado. tratamiento. Procedimiento de Datos de carácter personal. disociación. Transferencia internacional de Datos de carácter personal datos. Encargado del tratamiento. relacionados con la salud. Consentimiento del Tratamiento de datos. Destinatario o cesionario. Fuentes accesibles al público. interesado. Encargado del tratamiento. Cesión o comunicación. Exportador de datos Fuentes accesibles al personales. público. Fichero. Ficheros de titularidad privada. Ficheros de titularidad pública. Fichero no automatizado. 28 Harvey & Lluch Consultores S.L.

4.- LOS PRINCIPIOS DE LA PROTECCIÓN DE DATOS CONSENTIMIENTO LA CALIDAD DE DEL INTERESADO O OBTENCION DE LOS AFECTADO DATOS DERECHO POR PARTE DATOS QUE DEBEN DEL AFECTADO A LA SER ESPECIALMENTE INFORMACIÓN A PROTEGIDOS DEL RECABAR LOS DATOS AFECTADO CESIÓN DE DATOS 29 Harvey & Lluch Consultores S.L.

CONSENTIMIENTO DEL INTERESADO O AFECTADO - I La LOPD define el consentimiento como ( art. 3.h); Toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen. (Art. 6); “Salvo que la Ley disponga otra cosa”. Dicho esto, debemos saber que al solicitar el consentimiento al afectado de la cesión de sus datos, este deberá ser informado inequívocamente de la finalidad a la que se destinará los datos. En el caso de menores de 14 años, se requerirá el consentimiento de los padres o tutores y en ningún caso se podrá recabar datos del menor que se refieran a actividades profesionales, económicos, sociológicos, etc., de sus progenitores, sin el consentimiento de los titulares (Art. 13) del Reglamento. “Salvo que la Ley disponga de otra cosa” (art. 6), en dicho articulo se nos aclara que no será preciso el consentimiento, cuando los datos de carácter personal se recojan en ejercicio de las Administraciones Públicas, etc., tal como vimos explicado en el párrafo dedicado a: ¿A quién protege la Protección de Datos?. En estos casos que no es necesario el consentimiento del afectado, éste podrá oponerse a su tratamiento cuando existan motivos fundados y legítimos relativos a una concreta situación personal. En tal caso se excluirán del tratamiento los datos relativos al afectado. 30 Harvey & Lluch Consultores S.L.

EL CONSENTIMIENTO DEL INTERESADO O AFECTADO II En el Reglamento 1720/2007, de fecha de 21 de diciembre, en su art. 14, se regula el procedimiento para la obtención de consentimiento del titular de los datos: • El solicitante se dirige al afectado en los términos que dicta el art. 5 de la LOPD y el art. 12.2 del Reglamento. 1.- De la existencia de un fichero, de la finalidad del mismo y el destinatario de la información. En caso contrario el consentimiento será nulo. 2.- El afectado tiene un plazo de treinta días para oponerse al tratamiento de los datos. 3.- Facilitar un procedimiento sencillo y gratuito, par que el afectado haga uso a su negativa al tratamiento de los datos. 31 Harvey & Lluch Consultores S.L.

LA CALIDAD DE OBTENCION DE LOS DATOS Art. 4.1, “ Los datos de carácter personal sólo se podrán recoger para su tratamiento, así como someterlos a dicho tratamiento, cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido. A lo largo de este articulo se especifica la calidad de obtención de los datos, esto es, los datos que se inscriban en un fichero tienen que ser exactos, se tienen que mantener actualizados y puestos al día, apropiados para el fin que se solicitan y no serán obtenidos por tanto, por medios fraudulentos, desleales o ilícitos. Si estos datos fuesen inexactos, serían cancelados y sustituidos de oficio una vez rectificados, siendo cancelados cuando hayan dejado de ser necesarios o pertinentes para la cual se recabaron. Siempre serán almacenados de forma que permitan el ejercicio del derecho acceso, salvo que sean legalmente cancelados. 32 Harvey & Lluch Consultores S.L.

DERECHO POR PARTE DEL AFECTADO A LA INFORMACION A RECABAR LOS DATOS Empieza el art. 5, diciendo; “Los interesados a los que soliciten datos personales deberán ser previamente informados de modo expresa, preciso e inequívoco. De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información. De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante”. Por lo tanto esta premisa se tiene que tener siempre presente cuando se utilicen cuestionarios u otros impresos para la recogida de datos personales directamente del interesado. Cuando los datos no hayan sido recabados del interesado, éste deberá ser informado de forma expresa, precisa e inequívoca en el plazo de tres meses al registro de los datos. Como excepción a esta norma, no se aplicará este concepto cuando expresamente una ley lo prevea, cuando el tratamiento tenga fines históricos, estadísticos y científicos o cuando la información al interesado fuese imposible o exija esfuerzos desproporcionados a criterio de la Agencia Española de Protección de Datos. Asimismo cuando los datos procedan de fuentes accesibles al público y se destinen a la actividad de publicidad o prospección comercial, se le comunicará al interesado el origen de los datos y se le informará de sus derechos y de la identidad del responsable del tratamiento. 33 Harvey & Lluch Consultores S.L.

DATOS QUE DEBEN SER EXPECIALMENTE PROTEGIDOS DEL AFECTADO - I En el art. 7, se especifica los datos del afectado que deben de ser especialmente protegidos, denominados sensibles. Estos datos son: a) Ideología, religión o creencias. El apartado 2 del art. 16 de la Constitución, dice; nadie podrá ser obligado a declarar sobre su ideología, religión o creencias. Solo por consentimiento expreso y por escrito del afectado se podrá tratar dichos datos, a excepción de los ficheros de los partidos políticos, sindicatos, iglesias, confesiones o comunidades religiosas y asociaciones, fundaciones y otras entidades sin ánimo de lucro, cuya finalidad sea política, filosófica, religiosa o sindical. en cuanto a los datos relativos a sus asociados o miembros, sin perjuicio que la cesión de dichos datos precisará siempre el previo consentimiento del afectado. b) Datos personales de tipo racial, salud y vida sexual, del afectado, solo podrán ser recabados, tratados y cedidos cuando, por razones de interés general, así lo disponga una ley o el afectado consienta expresamente. c) Por lo tanto quedan prohibidos los ficheros creados con la finalidad de almacenar datos de carácter personal mencionados en los párrafos anteriores. d) Relativo a los datos de salud, respecto a su cesión el art. 8, dice; las instituciones y los centros sanitarios públicos y privados y los profesionales correspondientes podrán proceder al tratamiento de los datos de carácter personal relativos a la salud de las personas que a ellos acudan o hayan de ser tratados en los mismos, de acuerdo con lo dispuesto en la legislación estatal o autonómica sobre salud. 34 Harvey & Lluch Consultores S.L.

DATOS QUE DEBEN SER ESPECIALMENTE PROTEGIDOS DEL AFECTADO - II Solo no será necesario su autorización, como excepción, lo previsto en el art.11.2.f, cuando la cesión de datos de carácter personal relativos a la salud sea necesaria para solucionar una urgencia que requiera acceder a un fichero o para realizar los estudios epidemiológicos en los términos establecido en la legislación sobre sanidad estatal o autonómica. - Podrán ser objeto de tratamiento los datos mencionados en los párrafos, a) y b), para prevención o diagnósticos médicos o prestación de asistencia sanitaria, siempre que lo realice personal sanitario sujeto al secreto profesional o persona sujeta a una obligación de secreto equivalente. 35 Harvey & Lluch Consultores S.L.

CESION DE DATOS Según el art. 11.1; los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado. No será necesario el consentimiento exigido en los siguientes casos: I. Cuando la cesión esta autorizada por una ley. II. Cuando son recogidos en fuentes de accesos público. III. Cuando el tratamiento responda a la libre y legítima aceptación de una relación jurídica cuyo desarrollo, cumplimiento y control implique necesariamente la conexión de dicho tratamiento con ficheros de terceros. En este caso la comunicación sólo será legítima en cuanto se limite a la finalidad que la justifique. IV. Cuando se deba efectuar al defensor del Pueblo, al Ministerio Fiscal o los Jueces o Tribunales o el tribunal de Cuentas, ni administraciones e instituciones autonómicas. V. Entre Administraciones públicas, para el tratamiento posterior con fines históricos, estadísticos o científicos. VI. Para realizar una urgencia o un estudio epidemiológico . El consentimiento será nulo cuando no se permita conocer la finalidad a que se destinarán los datos. 36 Harvey & Lluch Consultores S.L.

5.- TRATAMIENTO DE LOS DATOS Art. 3.c; operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resultan de comunicaciones, consultas, interconexiones y transferencias. Podemos tratar cualquier dato pero cumpliendo con la normativa, teniendo el consentimiento explicito e inequívoco del afectado. El tratamiento de datos lo podemos resumir en tres fases: RECABAR DATOS TRATAMIENTO AUTOMATIZADO DE LOS DATOS O NO COMUNICACIÓN DE LOS DATOS En cada uno de los pasos tenemos que garantizar la protección de los datos de carácter personal y los derechos del afectado. 37 Harvey & Lluch Consultores S.L.

DERECHO DE DERECHO DE CONSULTA AL IMPUGNACIÓN DE REGISTRO GENERAL DE VALORACIONES PROTECCIÓN DE DATOS 6.- LOS DERECHOS DEL INTERESADO DERECHOS ARCO (ACCESO, RECTIFICACIÓN, DERECHO DE CANCELACIÓN Y INDEMNIZACIÓN OPOSICIÓN) TUTELA DE LOS DERECHOS 38 Harvey & Lluch Consultores S.L.

DERECHO DE IMPUGNACIÓN DE VALORES Según el art. 13.1; los ciudadanos tienen derecho a no verse sometidos a una decisión con efectos jurídicos, sobre ellos o que les afecte de manera significativa, que se base únicamente en un tratamiento de datos destinados a evaluar determinados aspectos de su personalidad. Pudiendo el afectado impugnar los actos administrativos o decisiones privadas que impliquen una valoración de su comportamiento. Y en el art. 36.1 del reglamento, lo matiza diciendo; “en un tratamiento automatizado de datos destinados a evaluar determinados aspectos de su personalidad, tales cono su rendimiento laboral, crédito, fiabilidad o conducta”. No obstante en el apartado 2 de dicho artículo, dice; los afectados podrán verse sometidos a una de las decisiones contempladas en el apartado 1, cuando dicha decisión: a) Se haya adoptado en el marco de la celebración o ejecución de un contrato a petición del interesado, siempre que se le otorgue la posibilidad de alegar lo que estimara pertinente, a fin de defender su derecho o interés. En todo caso, el responsable del fichero deberá informar previamente al afectado, de forma clara y precisa, de que se adoptarán decisiones con las características señaladas en el apartado 1 y se cancelarán los datos en caso de que no llegue a celebrarse finalmente el contrato. b) Esté autorizada por una norma con rango de Ley que establezca medidas que garanticen el interés legítimo del interesado. 39 Harvey & Lluch Consultores S.L.

DERECHO DE CONSULTA AL REGISTRO GENERAL DE PROTECCIÓN DE DATOS Según el art. 14; Cualquier persona podrá conocer, recabando a tal fin la información oportuna del Registro General de Protección de Datos, la existencia de tratamientos de datos de carácter personal, sus finalidades y la identidad del responsable del tratamiento. El Registro General será de consulta pública y gratuita. Este artículo, como podemos ver, es claro, corto y conciso. Recalcamos que: “El Registro General será de consulta pública y gratuita.” 40 Harvey & Lluch Consultores S.L.

DERECHOS ARCO Según el art. 24, del Reglamento, en sus diferentes apartados se explican las condiciones generales para el uso de estos derechos, aún así, diremos que estos derechos son independientes y por lo tanto el uso de uno no es requisito previo para el uso del otro, para ejercitar su uso se deberá habilitar un medio sencillo y gratuito al afectado por parte dl responsable del fichero. En ningún caso debe suponer un ingreso adicional al responsable del fichero. ACCESO RECTIFICACIÓN Y CANCELACIÓN OPOSICIÓN 41 Harvey & Lluch Consultores S.L.

DERECHO DE ACCESO En el art. 28.1, del Reglamento, se dice; al ejercitar el derecho de acceso, el afectado podrá optar por recibir la información a través de uno o varios de los siguientes sistemas de consulta del fichero: a) Visualización en pantalla. b) Escrito, copia o fotocopia remitida por correo, certificado o no. c) Telecopia. d) Correo electrónico u otros sistemas de comunicaciones electrónicas. e) Cualquier otro sistema que sea adecuado a la configuración o implantación material del fichero o a la naturaleza del tratamiento, ofrecido por el responsable. Si el responsable ofrece un sistema para hacer posible el acceso y si el afectado lo rechaza, aquél no responderá de los posibles riesgos que pudieran ocasionar en la seguridad de la información. Al igual que si el afectado exigiese un procedimiento un procedimiento que conlleve un coste desproporcionado, serán por cuenta del afectado los gastos que conlleve. El responsable tiene el plazo máximo de un mes para resolver la solicitud. 42 Harvey & Lluch Consultores S.L.

DERECHOS DE RECTIFICACIÓN Y CANCELACIÓN Artículo 31 del Reglamento; 1. El derecho de rectificación es el derecho del afectado a que se modifiquen los datos que resultan ser inexactos o incompletos. 2. El ejercicio del derecho de cancelación dará a lugar a que se supriman los datos que resulten ser inadecuados o excesivos, sin perjuicio del deber de bloqueo conforme a este Reglamento. Artículo 16 de la LOPD; 1. El responsable del tratamiento tendrá la obligación de hacer efectivo el derecho rectificación o cancelación del interesado en el plazo de diez días. 3. La cancelación dará lugar al bloqueo de los datos, conservándose únicamente a disposición de las Administraciones públicas, Jueces y Tribunales. Una vez que hayan prescrito los datos se dará lugar a la supresión. Se podrá denegar el derecho de rectificación o cancelación en los supuestos que así lo prevea una ley o norma de derecho comunitario de aplicación directa. En todo caso el responsable del fichero deberá informar al afectado de su derecho de recabar la tutela de la Agencia Española de Protección de Datos. 43 Harvey & Lluch Consultores S.L.

DERECHO DE OPOSICIÓN Art. 34 del Reglamento; el derecho de oposición es el derecho del afectado a que no se lleve a cabo el tratamiento de sus datos de carácter personal o se cese en el mismo en los siguientes supuestos: b) Cuando se trate de ficheros que tengan por finalidad la realización de actividades de publicidad y prospección comercial, cualquiera que sea la empresa responsable de su creación. Art. 6.4, de la LOPD; En los casos que no sea necesario el consentimiento del afectado para el tratamiento de los datos de carácter personal, y siempre que una ley no disponga de lo contrario, éste podrá oponerse a su tratamiento cuando existan motivos fundados y legítimos relativos a una concreta situación personal. En tal supuesto, el responsable del fichero excluirá del tratamiento los datos relativos al afectado. El tiempo máximo de resolución de la solicitud es de diez días, se tengan o no datos. 44 Harvey & Lluch Consultores S.L.

DERECHO A INDEMNIZACIÓN En el art. 19 de la LOPD, se explican los derechos a indemnización que tienen los afectados, como consecuencia del incumplimiento de la presente Ley, por parte del responsable o encargado del tratamiento.  Cuando los ficheros son de titularidad pública, la responsabilidad se exigirá de acuerdo con la legislación reguladora del régimen de responsabilidades de las Administraciones públicas.  Cuando los ficheros son de titularidad privada, la acción se ejercitará en la jurisdicción ordinaria. 45 Harvey & Lluch Consultores S.L.

TUTELA DE LOS DERECHOS Al afectado que se la niegue total o parcial sus derechos Arco (Acceso, Rectificación, Cancelación y Oposición), podrá ponerlo en conocimiento de la Agencia Española de Protección de Datos (AEPD). El plazo de resolución expresa de tutela de derechos es de seis meses. En el caso de proceder contra la Agencia Española de Protección de Datos, procederá recurso contencioso-administrativo. 46 Harvey & Lluch Consultores S.L.

www.lopd.harveylluch.com info@harveylluch.com © HARVEY & LLUCH CONSULTORES S.L. Domicilio social en: Calle Velázquez, núm. 157, 1ª planta. 28002-Madrid. Reservados todos los derechos. El contenido de esta publicación no puede ser reproducido, ni en todo ni en parte, ni transmitido, ni registrado por ningún sistema de recuperación de Información, en ninguna forma ni por ningún medio, sin el permiso previo, por escrito, de HARVEY & LLUCH CONSULTORES S.L., (2009). 82 Harvey & Lluch Consultores S.L.

Madrid Tecnología Harvey Lluch LOPD AMT San Blas

by La Catedral de la Innovación on Apr 12, 2010

Accessibility

Tags

Upload Details

Usage Rights

2 Embeds 118

Statistics

Madrid Tecnología Harvey Lluch LOPD AMT San Blas — Presentation Transcript

http://internetvendeblog.com	112
http://www.slideshare.net	6