Cómo afecta la Ley Orgánica de Protección de Datos de carácter personal a una Asesoría de Empresas y a sus Clientes

Transcripción

1 Cómo afecta la Ley Orgánica de Protección de Datos de carácter personal a una Asesoría de Empresas y a sus Clientes Si usted dirige una asesoría, contacte con nosotros, le ofreceremos VENTAJAS directas para su organización y para sus clientes

2 Por qué es conveniente que la asesoría recomiende el cumplimiento de la LOPD a sus clientes? Porque esta ley es de Obligado cumplimiento para todas las empresas, asociaciones, autónomos, comunidades de propietarios, susceptibles de manejar datos de carácter personal. Porque si no cumple con la ley puede ser objeto de ser sancionado con multas desde los 900 a los Una empresa que garantiza la protección de los datos personales con los que trabaja ofrece una mayor confianza a sus clientes. Mejora la imagen profesional de la empresa, es un sello más de calidad. Porque cada vez más administraciones públicas requieren a las empresas que tengan sus ficheros debidamente inscritos antes de admitir a trámite sus solicitudes, como por ejemplo determinadas subvenciones. Porque a veces, la Asociación puede actuar como Encargado de Tratamiento de Datos Personales del asociado, y deberá mediar un contrato de cesión de datos a terceros donde ambas partes garanticen el cumplimiento de la Ley de Protección de Datos. El asociado al ser informado de sus obligaciones en esta materia valorará la atención de la Asociación, y además tendrá su reconocimiento por recibir un servicio MÁS ECONÓMICO y de MEJOR CALIDAD que el que encontraría sin su ayuda.

3 En qué beneficia a mi organización cumplir con la Ley Orgánica de Protección de Datos de Carácter Personal? Los beneficios de cumplir correctamente la LOPD para la empresa, son diversos: Ayuda a establecer pautas y procedimientos que de forma directa ayudan a la empresa a proteger su activo más valioso: sus clientes (copias de seguridad, custodia de documentación, etc.). Inicia a la organización en la gestión de la seguridad de la información que poseen (imprescindible para la implantación efectiva de la factura electrónica, ya que las facturas dejarán de estar en papel para estar en los equipos informáticos). Clarifica el organigrama de la empresa, las funciones de cada individuo y a qué puede y no puede acceder. Ayuda a tener un conocimiento del inventario tecnológico de la empresa, de sus posibilidades y vulnerabilidades (muchos clientes no se habían planteado si sus empleados podían acceder desde casa al servidor de la empresa hasta que se les hizo la pregunta, a veces no sabiendo qué responder). Aporta una mejor imagen ante los clientes, ya que les demostramos que nos preocupamos por sus datos. Cada vez más los ciudadanos están sensibilizados con sus datos personales y el uso que hacen las empresas y entidades de ellos.

4 PRECAUCIONES DE QUE DEBEN TENER LAS EMPRESAS EN LA LOPD 1.-Inscribir los ficheros necesarios correctamente en el Registro de la Agencia Española de Protección de datos. 2.- Al poner cámaras de video vigilancia. Se debe inscribir un fichero nuevo, poner cartel informativo y firmar un documento con el encargado de tratamiento si lo hubiera. 3.- Elaborar un documento de seguridad completo, que incluya todos los Anexos, las obligaciones del personal, autorizaciones. 4.- Firmar contratos de protección de datos con empresas o encargados del tratamiento que garanticen el cumplimiento de la ley. 5.- Firmar documentos de confidencialidad con los trabajadores para evitar fugas de información. 6.- Firmar consentimientos con sus trabajadores en previsión de las posibles cesiones de datos que puedan surgir, por ejemplo cuando a una empresa le exigen que envíen la documentación del plan de PRL en el que figuran datos de los trabajadores, si no se realiza podría incurrir en una posible cesión de datos indebida. 7.- Incluir las cláusulas legales en los documentos que correspondan, en fichas de clientes, presupuestos, facturas, correos electrónicos 8.- Obtener el consentimiento del interesado para el tratamiento de sus datos. 9.- Tener especial cuidado con las comunicaciones comerciales, además de la LOPD hay que tener el cuenta la LSSI Garantizar el nivel de seguridad que se indique en el propio documento, por ejemplo incorporando contraseñas de acceso a los equipos y aplicaciones, o guardando la información en carpetas y en armarios bajo llave Actualizar documentos y ficheros. Cuando se de dé de baja un trabajador, cliente, paciente, es imprescindible cancelar los datos del interesado.

5 QUÉ ES LA FIGURA DEL ENCARGADO DE TRATAMIENTO? ASESORÍAS GESTORÍAS ADMINISTRADORES DE FINCAS EMPRESAS INFORMÁTICAS CONSULTORÍAS EMPRESAS DE MARKETING ASOCIACIONES O FEDERACIONES EMPRESARIALES Con el término encargado del tratamiento, la Ley Orgánica de Protección de Datos de Carácter Personal (LOPD) hace referencia a la persona o entidad que accede a los datos de carácter personal para prestar algún tipo de servicio al responsable del fichero (contabilidad, nóminas, marketing, hosting etc.). Esta figura está definida legalmente como la persona física o jurídica, pública o privada, u órgano administrativo que, solo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento o del responsable del fichero, como consecuencia de la existencia de una relación jurídica que le vincula con el mismo y delimita el ámbito de su actuación para la prestación de un servicio, (artículo 3.g de la Lopd y artículo 5.1.i de su Reglamento).

6 QUÉ ES EL CONTRATO DE ACCESO DE DATOS A TERCEROS? Para que una cesión de datos sea considerada acceso a los datos por cuenta de terceros tiene que estar fundamentada en la prestación de un servicio que debe estar formalizado en un contrato cuya forma, contenido y características se encuentran regulados en el artículo 12 de la LOPD en los siguientes términos: Forma del contrato. Para que el contrato sea válido, deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido Tratamiento de los datos. El encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento. Finalidad del tratamiento. En el contrato quedará reflejada la finalidad con la que se deben tratar los datos, y el encargado del tratamiento obligará a no utilizar los datos con otros fines. Comunicación de datos. El encargado del tratamiento no comunicará los datos, ni siquiera para su conservación, a otras personas. Medidas de seguridad. En el contrato se estipularán, asimismo, las medidas de seguridad que el encargado del tratamiento está obligado a implementar. Finalización del servicio. Una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto del tratamiento. Consecuencias del incumplimiento del contrato. Si el encargado del tratamiento destina los datos a otra finalidad, los comunica o los utiliza incumpliendo las estipulaciones del contrato, será también considerado responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente.

7 INFRACCIONES Y SANCIONES POR INCUMPLIMIENTO DE LA FIRMA DEL DOCUMENTO DE CESIÓN DE DATOS A TERCEROS Cada figura deberá asumir su propia responsabilidad: RESPONSABLE DEL FICHERO. Entregar los datos a un tercero para la prestación de un servicio sin observar las condiciones previstas en el art. 12 de la LOPD, supone estar efectuando una comunicación de datos que si no se lleva a cabo en las condiciones previstas en el art. 11 de la LOPD, sería constitutivo de una infracción muy grave sancionable por la AGPD con multas desde los hasta los en función del daño causado y de las circunstancias en que se haya cometido la infracción ENCARGADO DE TRATAMIENTO. Está obligado a tratar los datos siguiendo estrictamente las instrucciones del responsable del fichero en los términos y condiciones que se hayan estipulado contractualmente, debiendo tener en cuenta que si destina los datos a otra finalidad, los comunica o los utiliza incumpliendo las cláusulas del contrato, será también considerado responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente. SUBCONTRATISTA. Debe tener en cuenta que, a pesar de estar subcontratado, también asume el papel de encargado de tratamiento, debiendo tratar los datos siguiendo estrictamente las condiciones del contrato de subcontratación de servicios, de manera que si destina los datos a otra finalidad, los comunica o los utiliza incumpliendo las cláusulas del contrato, será también considerado responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente. BOLETÍN OFICIAL DEL ESTADO Núm. 55 Sábado 5 de marzo de 2011 Sec. I. Pág Modificación LOPD Se da nueva redacción a los apartados 2 a 4 del artículo 44, que quedan redactados en los siguientes términos: «2. Son infracciones leves: d) La transmisión de los datos a un encargado del tratamiento sin dar cumplimiento a los deberes formales establecidos en el artículo 12 de esta Ley. Se modifican los apartados 1 a 5 del artículo 45, siendo la redacción resultante la siguiente: 1. Las infracciones leves serán sancionadas con multa de 900 a euros. 2. Las infracciones graves serán sancionadas con multa de a euros. 3. Las infracciones muy graves serán sancionadas con multa de a euros.

8 Cuándo se ha de actualizar el Documento de Seguridad? Artículo 88.7 del RD1720/2007: El documento de seguridad deberá mantenerse en todo momento actualizado y será revisado siempre que se produzcan cambios relevantes en el sistema de información, en el sistema de tratamiento empleado, en su organización, en el contenido de la información incluida en los ficheros o tratamientos o, en su caso, como consecuencia de los controles periódicos realizados. Estas son algunas de las situaciones en las que debemos actualizar el documento de seguridad: Se incorpora un nuevo trabajador que va a tratar datos personales a la empresa. Deberá añadir a la lista de usuarios y accesos permitidos. Se va de la empresa un trabajador que tenía acceso a datos personales. Deberá eliminar de la lista de usuarios y accesos. Se compra nuevo equipamiento informático. Se deberá añadir al inventario de equipamiento de la sede. Se adquiere un nuevo software. Se deberá añadir el software en su sección así como los perfiles que tienen acceso a mismo. Se recogen nuevos tipos de datos. Se deberá modificar, además, la inscripción del fichero. Se incorpora o cambia algún encargado del tratamiento. Se deberá suscribir el contrato y modificar la inscripción del fichero, si es caso. Cuando se produzcan otros cambios en la organización que puedan afectar a los datos. A TENER EN CUENTA: No disponer de un Documento de Seguridad actualizado y que refleje la situación real de la empresa es una infracción grave, sancionada con multa de entre y