Protección de datos. Principales novedades del Reglamento de Desarrollo de la LOPD

Transcripción

1 Protección de datos Principales novedades del Reglamento de Desarrollo de la LOPD

2 Principales Novedades del Reglamento El pasado 21 de diciembre de 2007, el Consejo de Ministros aprobó el Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en adelante, Reglamento de Desarrollo de la LOPD). Novedades jurídicas Con su entrada en vigor, quedarán derogados el Real Decreto 1332/1994, de 20 de junio, por el que se desarrollaban determinados aspectos de la Ley Orgánica 5/1992, de 29 de octubre, de Regulación del Tratamiento Automatizado de los datos de carácter personal, así como el Real Decreto 994/1999, de 11 de junio, por el que se aprueba el Reglamento de medidas de seguridad de los ficheros automatizados que contengan datos de carácter personal. Regula el tratamiento de los datos personales de los menores de edad. Prevé los requisitos necesarios para que el consentimiento tácito de los afectados al tratamiento de sus datos personales sea válido. Exige al Responsable del fichero implementar un procedimiento sencillo y gratuito para que los interesados puedan ejercitar sus derechos de acceso, rectificación, cancelación y oposición. Desarrolla el derecho de oposición del afectado al tratamiento de sus datos personales. Regula de forma específica los supuestos de subcontratación de servicios por parte del Encargado del tratamiento. Regula los supuestos de operaciones de reestructuraciones societarias. Establece obligaciones adicionales para el tratamiento de datos determinantes para enjuiciar la solvencia patrimonial de los afectados. Regula de manera específica las actividades de publicidad y prospección comercial e incorpora los denominados ficheros de exclusión de envío de comunicaciones comerciales o listas Robinson. Somete, en algunos casos, la autorización del Director de la Agencia Española de Protección de Datos para las transferencias internacionales de datos a un período de información pública y reconoce las denominadas binding corporate rules o códigos internos de los grupos multinacionales de empresas. Novedades técnicas y organizativas Cambios en los niveles de criticidad de los datos: Por ejemplo: - Fichero de nóminas y calificación apto o no apto en un reconocimiento médico bajan a nivel básico, - Los datos de tráfico y posicionamiento en los fichero de las empresas de telecomunicaciones suben a nivel medio con obligatoriedad de implantar el registro de accesos correspondiente a nivel alto. Se regula la figura del encargado del tratamiento y se tipifican diferentes modalidades de prestaciones de servicio. Se refuerza la figura del Documento de Seguridad (DS) exigiendo más detalle a la hora de documentar las prestaciones de servicio y las delegaciones y/o autorizaciones. Medidas de Seguridad para soportes no automatizados. Además de las de soportes automatizados que son extrapolables, como el DS o el registro de incidencia, las principales son: - Nivel Básico: Dispositivos adecuados para el almacenamiento de la información y políticas para el archivo de la documentación y su custodia cuando esté fuera del archivo - Nivel Medio: Responsable de seguridad y Auditoría al menos cada dos años. - Nivel Alto: Dispositivos de almacenamiento en áreas de acceso restringido. Generación de copias bajo el control del personal autorizado en el DS. Medidas para evitar el acceso a la información durante su transporte. - Nivel Alto: Se establecerán mecanismos que permitan identificar los accesos realizados en el caso de documentos, que puedan ser utilizados por múltiples usuarios.

3 Servicios en materia de protección de datos Deloitte, en materia de protección de datos personales ofrece una gran variedad de servicios profesionales adaptados a las necesidades concretas del cliente, entre ellos podrían destacar: Revisión o Auditoría: Revisión del grado de cumplimiento de la normativa vigente en materia de protección de datos de carácter personal y las medidas de seguridad asociadas. Auditoría bienal del cumplimiento de las medidas de seguridad. Asesoramiento: Desarrollo de planes de acción para la adaptación a la legislación vigente en materia de protección de datos y asesoramiento durante la implantación de las medidas jurídicas, técnicas y organizativas propuestas. Asesoramiento puntual o continuado para el cumplimiento de la LOPD y las Medidas de Seguridad (revisión de cláusulas y contratos, declaraciones de ficheros a la AEPD, seguimiento de los planes de acción, actualización de los Documentos de Seguridad, etc.) Formación y concienciación del personal (presencial, e-learning, etc.) Asesoramiento en procedimientos inspectores y/o sancionadores. Dirección letrada en Procedimientos Recursos administrativos y Contencioso-Administrativos interpuestos frente a actos dictados por la Agencia Española de Protección de Datos. Acciones dirigidas a obtener la adopción de medidas cautelares o una indemnización por daños y perjuicios irrogados. Análisis en Transacciones (Due Diligence) Estudio de la situación de la Sociedad en materia de protección de datos personales ante una potencial transacción. Entrada en vigor y periodos transitorios del Reglamento de Desarrollo de la LOPD 19 enero 19 octubre 2010 Soportes no automatizados Nivel Básico Nivel Medio Nivel Alto Medidas jurídicas Soportes automatizados 19 enero Nivel Medio* y resto de medidas adicionales Nivel Alto* 19 octubre 2010 (*) Para los ficheros que cambian de nivel

4 Nuestra visión La aprobación del nuevo Reglamento de desarrollo de la LOPD supone para las compañías la imposición de nuevas obligaciones en materia de protección de datos personales, obligaciones tanto jurídicas como técnicas, físicas y organizativas. Si bien hasta ahora se tenía una idea clara de lo que era necesario proteger desde el punto de vista técnico, los sistemas de información, el hecho de tener que custodiar los datos en cualquiera de sus formatos implica la necesidad de analizar en profundidad el ciclo de vida del dato, es decir, resulta primordial controlar como viaja la información entre los distintos departamentos de la organización, dónde y cuándo se duplica, dónde y cómo se almacena, a quién y cómo se envía, cuándo y cómo se destruye, etc. Esto implica la necesidad de realizar una revisión completa del tratamiento que se realiza de los datos personales en la organización prestando especial interés a temas tradicionalmente no tan trabajados como: la seguridad en el puesto de trabajo, la tipología y seguridad en archivos físicos, la utilización de fax, el escáner, las fotocopiadoras, las memorias USB, etc. Por todo ello, consideramos que los factores claves de éxito para la adecuada implantación y gestión de las medidas jurídicas, técnicas, físicas y organizativas exigidas por el nuevo Reglamento serían: Respaldo y participación de la Dirección. El proyecto debe ser de ámbito global y abarcar a toda la organización lo que solo puede lograrse con un fuerte respaldo de la Dirección. Coordinación global. Si bien en los planes de acción aparecerán medidas de índole jurídica, técnica, física y organizativa, es necesaria una coordinación y una visión única y global que garantice la adecuada complementariedad de las mismas. No empezar la casa por el tejado. Es necesario analizar el flujo de la información dentro de la organización para poder identificar los distintos tratamientos que se hacen de los mismos, los posibles puntos de archivo, duplicado, envío, recepción y destrucción de la información con el fin de poder adoptar las medidas jurídicas, técnicas, físicas y organizativas exigidas por la normativa vigente en materia de protección de datos. Concienciación del personal. Al ampliarse el alcance a todo tipo de soportes, el cumplimiento de gran parte de los nuevos procedimientos estará basado fundamentalmente en la concienciación y la participación de los empleados. Análisis del flujo de información Revisión de la situación actual Plan de Acción Identificación de ficheros lógicos Recepción Tratamiento Destrucción Análisis de las declaraciones de ficheros Conocimiento del entorno Medidas físicas Medidas técnicas Medidas organizativas Medidas jurídicas Plan de concienciación Análisis GAP Definición del Plan de Acción

5 La diferencia Deloitte Deloitte es la firma líder de servicios profesionales en España, cuenta con cerca de profesionales en sus 20 oficinas en España. Es miembro de Deloitte Touche Tohmatsu que es una organización de firmas independientes. Todas las firmas se centran en el servicio al cliente mediante una estrategia global aplicada a nivel local en cerca de 140 países. Con acceso a un enorme capital intelectual de personas en todo el mundo, Deloitte presta servicios en cuatro áreas profesionales: Auditoría, Asesoramiento legal y tributario, Consultoría y Asesoramiento financiero. La estrategia y visión de Deloitte está centrada en ser modelo de excelencia en todos los sectores de actividad y en todos los servicios que prestamos, atraídos por la amplitud y profundidad de nuestros servicios a nivel internacional y la experiencia sectorial atesorada. Deloitte en España, para el área de protección de datos, ha creado un equipo multidisciplinar formado por abogados y expertos en seguridad, con una metodología contrastada para la realización de colaboraciones relacionadas con la LOPD en más de 250 clientes. Deloitte mantiene contactos periódicos con la Agencia Española de Protección de Datos en los que se contrastan criterios e interpretaciones muy útiles en el desarrollo de trabajos en materia de protección de datos. Países con presencia de Deloitte CIS (Commonwealth of Idependent States) Europe Canada Estados Unidos Middle East Mexico and South America Central America/ Caribbean Africa Asia Pacific/Japan Australia Brunei Darussalam China Fiji Guam India Indonesia Japan Korea Malaysia New Zealand Pakistan Philippines Singapore Taiwan Thailand Vietnam Canada EMEA Albania Algeria Austria Azerbaijan Bahrain Belarus Belgium Bosnia and Herzegovina Bulgaria Croatia Cyprus Czech Republic Denmark Egypt Estonia Finland France FYR Macedonia Gaza Strip/West Bank Georgia Germany Gibraltar Greece Hungary Iceland Ireland Isarel Italy Jordan Kazakhstan Kenya Krgyzstan Kuwait Latvia Lebanon Libya Lithuania Luxembourg Malta Moldova Morocco Netherlands Nigeria Norway Oman Poland Portugal Qatar Romania Russia Saudi Arabia Serbia Montenegro Slovak Republic Slovenia South Africa Spain Sweden Switzerland Syria Tunisia Turkey United Arab Emirates United Kingdom Uzbekistan Yemen LACRO Antilles Argentina Aruba/Netherl ands Bahamas Barbados Bermuda Brazil Brisith Virgin Islands Cyamn Islands Chile Colombia Costa Rica Ecuador Guatemala Jamaica Mexico Nicaragua Panama Paraguay Peru Uruguay Venezuela United States 20 oficinas y más de profesionales en España Casi profesionales repartidos en cerca de 140 países Oficinas de Deloitte en España La Coruña Vigo Oviedo Santa Cruz de Tenerife Valladolid Las Palmas de Gran Canaria Bilbao San Sebastián Madrid Sevilla Granada Málaga Pamplona Huesca Zaragoza Valencia Murcia Alicante Barcelona Palma de Mallorca

6 Contactos Área Security & Privacy Javier Urtiaga Socio Marta García Rey Senior Manager (Madrid) Elisa de Hevia Gerente (Barcelona) Daniel Madrid Gerente (Valencia) Área Legal Manuel Verdera Socio María Martínez-Añón Asociada (Madrid) Jaume Muntane Asociado (Barcelona) Gloria Casas Asociada (Valencia) Oficinas Madrid Plaza Pablo Ruiz Picasso, 1 Torre Picasso Madrid Tel: Fax: Barcelona Av. Diagonal, 654 5ª Planta, edificio C Barcelona Tel: Fax: Valencia Av. Aragón, 30 Edificio Europa Valencia Tel: Fax: Si desea información adicional, por favor, visite Deloitte Touche Tohmatsu es una organización de firmas independientes, dedicadas a la prestación de servicios y asesoramiento profesional de máxima calidad, y que se centran en el servicio al cliente mediante una estrategia global aplicada a nivel local en cerca de 140 países. Con acceso a un enorme capital intelectual de aproximadamente personas en todo el mundo, Deloitte presta servicios en cuatro áreas profesionales (auditoría, asesoramiento tributario, consultoría y asesoramiento financiero) a más del 80% de las empresas más importantes del mundo, así como a grandes empresas públicas, aunque por diversos motivos, entre los que se hallan las regulaciones específicas de cada país, no todas las Firmas miembro de Deloitte prestan toda la gama de servicios. Deloitte hace referencia, individual o conjuntamente, a Deloitte Touche Tohmatsu (Swiss Verein), sus firmas miembro y respectivas filiales y asociadas. Al tratarse de un Verein suizo (asociación), ni Deloitte Touche Tohmatsu ni ninguna de sus firmas miembro es responsable de los actos u omisiones de las otras. Cada firma miembro es una entidad independiente con personalidad jurídica propia que opera bajo los nombres de Deloitte, Deloitte & Touche, Deloitte Touche Tohmatsu, u otros nombres asociados. Los servicios son prestados a través de las firmas miembro y sus respectivas filiales y asociadas y no por Deloitte Touche Tohmatsu (Swiss Verein). Copyright Deloitte S.L. Todos los derechos reservados. Reservados todos los derechos. El contenido de esta publicación no puede ser total ni parcialmente reproducido, transmitido ni registrado por ningún sistema de recuperación de información, de ninguna forma ni a través de ningún medio o soporte, sin el previo consentimiento por escrito de los titulares del copyright. Deloitte no se hace responsable del uso que de esta información puedan hacer terceras personas. Nadie puede hacer uso de este material salvo autorización expresa por parte de Deloitte. Diseñado y producido por CIBS, Dpto. Comunicación, Imagen Corporativa y Business Support, Madrid.