CÓDIGO TIPO DE LA ASOCIACIÓN CATALANA DE RECURSOS ASISTENCIALES (ACRA).

Transcripción

1 CÓDIGO TIPO DE LA ASOCIACIÓN CATALANA DE RECURSOS ASISTENCIALES (ACRA).

2 ÍNDICE DEL CONTENIDO 1.- PRESENTACIÓN CAPÍTULO PRIMERO.- CONDICIONES GENERALES DEL CÓDIGO TIPO APARTADO 1.- OBJETO DEL CÓDIGO TIPO DE ACRA APARTADO 2.- APLICACIÓN DEL CÓDIGO TIPO DE ACRA APARTADO 3.- EFICACIA DEL CÓDIGO TIPO DE ACRA APARTADO 4.- DEFINICIONES DEL CÓDIGO TIPO CAPÍTULO SEGUNDO.- DERECHOS DE LOS TITULARES DE LOS DATOS APARTADO 5.- PRINCIPIOS GENERALES APARTADO 6.- EL DERECHO DE INFORMACIÓN DEL RESIDENTE O USUARIO APARTADO 7.- ENCARGADOS DEL TRATAMIENTO APARTADO 8.- DERECHOS DE ACCESO, RECTIFICACIÓN, CANCELACIÓN Y OPOSICIÓN APARTADO 9.- DERECHOS DE ACCESO APARTADO 10.- DERECHOS DE RECTIFICACIÓN Y CANCELACIÓN APARTADO 11.- DERECHO DE OPOSICIÓN APARTADO 12.- MODELOS PARA EL EJERCICIO DE LOS DERECHOS DE ACCESO, RECTIFICACIÓN, CANCELACIÓN Y OPOSICIÓN CAPÍTULO TERCERO.- USO DE LOS DATOS DEL RESIDENTE O USUARIO APARTADO 13.- LEGISLACIÓN APLICABLE AL USO DE LOS DATOS DEL RESIDENTE O USUARIO APARTADO 14.- CONDICIONES DE UTILIZACIÓN DE LOS DATOS DEL RESIDENTE O USUARIO APARTADO 15.- LOS DATOS RELATIVOS A LA SALUD DEL RESIDENTE O USUARIO APARTADO 16.- LOS DATOS RELATIVOS A LA RELIGIÓN DEL RESIDENTE O USUARIO APARTADO 17.- FICHERO DE RESIDENTES O USUARIOS: EXPEDIENTE ASISTENCIAL E HISTORIA CLÍNICA

3 5.- CAPÍTULO CUARTO.- CONSERVACIÓN DE LOS DATOS DEL RESIDENTE O USUARIO APARTADO 18.- PRINCIPIOS RELATIVOS A LA CALIDAD DE LOS DATOS APARTADO 19.- CONDICIONES DE SEGURIDAD E INTEGRIDAD DE LOS DATOS APARTADO 20.- EL DEBER DE GUARDAR SECRETO SOBRE LOS DATOS DEL RESIDENTE O USUARIO CAPÍTULO QUINTO.- LA CESIÓN DE DATOS DEL RESIDENTE O USUARIO APARTADO 21.- SUPUESTOS QUE LEGITIMAN EL TRATAMIENTO O CESIÓN DE LOS DATOS APARTADO 22.- LA CESIÓN DE LOS DATOS DE CARÁCTER PERSONAL DEL RESIDENTE O USUARIO CAPÍTULO SEXTO.- NORMATIVA INTERNA DE LOS ASOCIADOS ADHERIDOS SOBRE LA PROTECCIÓN DE DATOS DE CARÁCTER PERSONAL APARTADO 23.- REQUISITOS DE LA NORMATIVA INTERNA APARTADO 24.- RESUMEN DE LAS MEDIDAS DE SEGURIDAD CAPÍTULO SÉPTIMO.- EL COMITÉ DE PROTECCIÓN DEL TRATAMIENTO DE DATOS DE CARÁCTER PERSONAL APARTADO 25.- ORGANIZACIÓN Y FUNCIONAMIENTO DEL COMITÉ DE ACRA APARTADO 26.- PROCEDIMIENTO DE ADHESIÓN AL CÓDIGO TIPO APARTADO 27.- PROCEDIMIENTO DE RESOLUCIÓN DE CONFLICTOS CAPÍTULO OCTAVO.- INFRACCIONES Y SANCIONES APARTADO 28.- RESPONSABLES APARTADO 29.- TIPOS DE INFRACCIONES APARTADO 30.- TIPOS DE SANCIONES APARTADO 31.- NOTIFICACIÓN Y PUBLICIDAD CAPÍTULO NOVENO.- ACCIONES FORMATIVAS E MATERIA DE PROTECCIÓN DE DATOS APARTADO 32.- ACCIONES FORMATIVAS CAPÍTULO DÉCIMO.- OBLIGACIONES POSTERIORES A LA INSCRIPCIÓN DEL CÓDIGO TIPO

4 12.- ANEXOS... A.- MODELO DEL EJERCICIO DEL DERECHO DE ACCESO, RECTIFICACIÓN, CANCELACIÓN Y OPOSICIÓN... B.- MODELO DE RESPUESTA AL EJERCICIO DEL DERECHO DE ACCESO, RECTIFICACIÓN, CANCELACIÓN Y OPOSICIÓN... C.- FORMULARIO DE QUEJA AL COMITÉ DE PROTECCIÓN DE DATOS DE ACRA... D.- MODELO DE DOCUMENTO DE INFORMACIÓN AL AFECTADO PARA RECABAR SUS DATOS DE CARÁCTER PERSONAL... E.- MODELO DE COMPROMISO POR ESCRITO DEL PERSONAL DE GUARDAR SECRETO SOBRE LOS DATOS DE CARÁCTER PERSONAL DE LOS RESIDENTES O USUARIOS... F.- MODELOS DE CLÁUSULAS RELATIVAS A LA PROTECCIÓN DE DATOS DE CARÁCTER PERSONAL PARA CONTRATOS DE SERVICIOS ASISTENCIALES Y REGLAMENTOS DE RÉGIMEN INTERNO... F.1.- MODELO DE CLÁUSULA PARA CONTRATO CENTRO DE DÍA... F.2.- MODELO DE CLÁUSULA PARA CONTRATO DE HOGAR RESIDENCIAL... F.3.- MODELO DE CLÁUSULA PARA CONTRATO DE RESIDENCIA ASISTIDA... F.4.- MODELO DE ARTÍCULO SOBRE LA PROTECCIÓN DE DATOS PARA EL REGLAMENTO DE RÉGIMEN INTERNO DE CENTRO DE DÍA... F.5.- MODELO DE ARTÍCULO SOBRE LA PROTECCIÓN DE DATOS PARA EL REGLAMENTO DE RÉGIMEN INTERNO HOGAR RESIDENCIA Y RESIDENCIA ASISTIDA... G.- MODELO DE DOCUMENTO RELATIVO A LA REGULACIÓN DE LA RELACIÓN JURÍDICA ENTRE EL RESPONSABLE DEL FICHERO Y EL ENCARGADO DEL TRATAMIENTO DE CONFORMIDAD CON LO ESTABLECIDO EN EL ARTÍCULO 12 DE LA LOPD... H.- MODELO DE DOCUMENTO PARA OBTENER EL CONSENTIMIENTO EXPRESO Y POR ESCRITO DEL RESIDENTE O USUARIO PARA LA RECOGIDA Y EL TRATAMIENTO DE LA INFORMACIÓN RELATIVA A SU RELIGIÓN O CREENCIAS... I.- RELACIÓN DE ASOCIADOS A ACRA ADHERIDOS AL CÓDIGO TIPO

5 PRESENTACIÓN. ACRA, Asociación Catalana de Recursos Asistenciales, es una asociación sin animo de lucro, fundada en 1989, y que agrupa entidades de recursos asistenciales para personas en situación de dependencia de toda Cataluña. ACRA tiene por misión la promoción del bienestar de las personas en situación de dependencia, de su calidad asistencial y de vida, mediante la defensa de sus intereses y los de sus asociados, en directa colaboración con las Administraciones Públicas. La Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en adelante LOPD), y el Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en adelante RLOPD), tienen por objeto proteger los derechos fundamentales del honor e intimidad personal, en lo referente al tratamiento de los datos de carácter personal de las personas físicas. Nuestros asociados disponen de información personal relativa a la salud de sus residentes o usuarios. Esta información merece la máxima confidencialidad y protección, no sólo por referirse a una de las esferas más íntimas de la persona física, como es su salud, sino también por el hecho de pertenecer a un sector de la población, el de las personas en situación de dependencia, que precisa de una especial protección, ya que en muchas ocasiones se encuentran en una situación que les impide conocer y ejercitar sus derechos en igualdad de condiciones. Por ello, la Asociación Catalana de Recursos Asistenciales, buscando el mejor modo de colaborar con sus asociados, para facilitar la protección y el ejercicio de los derechos de los residentes o usuarios y el cumplimiento de sus obligaciones de adaptación al marco legal de protección de datos de carácter personal, ha decidido confeccionar un Código Tipo aplicable a todos los centros asociados que deseen adherirse al mismo. Esta solución tiene muchas ventajas, entre ellas, se sensibiliza al sector sobre la importancia de esta materia, y especialmente sobre la obligatoriedad de guardar la máxima confidencialidad en todo lo referente a la intimidad de los residentes o usuarios y a sus datos de carácter personal, se consigue implantar unas directrices homogéneas en el seno de ACRA y se logra que los residentes o usuarios obtengan facilidades en el ejercicio de sus derechos y la defensa de sus intereses. Los asociados a ACRA que lo deseen, podrán adherirse al presente Código Tipo, después de cumplir todos los requisitos establecidos por ACRA, por tanto, el Código Tipo será un distintivo de calidad en el tratamiento de datos personales necesarios para la prestación de los servicios asistenciales, para aquellos asociados que se adhieran al mismo, y una garantía para los residentes o usuarios y las Administraciones Públicas, sobre el correcto funcionamiento del centro o establecimiento asociado en materia de Protección de Datos. 4

6 CAPÍTULO I.- CONDICIONES GENERALES DEL CÓDIGO TIPO. Apartado 1.- Objeto del Código Tipo de ACRA. El presente Código, en desarrollo de lo previsto en el artículo 32 de la LOPD, tiene por objeto establecer: A) Respecto a los responsables de los ficheros: 1. Las condiciones generales de aplicación del propio Código. 2. Las condiciones de utilización de los datos de carácter personal. 3. Las condiciones de conservación de los datos de carácter personal. 4. El régimen de cesión o comunicación de los datos de carácter personal. 5. Las directrices de la normativa interna de los asociados adheridos al Código sobre la Protección de los datos de carácter personal. 6. La creación de un Comité de protección de datos en el seno de ACRA, con competencias para asesorar y facilitar a los asociados adheridos al Código, el cumplimiento de la legislación en materia de Protección de Datos y del propio Código, y en última instancia, sancionar en los términos del Capítulo Octavo de este Código a los asociados adheridos que infrinjan las disposiciones del Código Tipo de ACRA. 7. Establecer un régimen de infracciones y sanciones. B) Respecto a los titulares de los datos de carácter personal: 1. Definir y delimitar los procedimientos para ejercer los derechos de los titulares de los datos de carácter personal en aras a obtener las mayores garantías de estos derechos, tanto en lo que ser refiere a su difusión como a su ejercicio. 2. La protección, en lo que concierne al tratamiento de los datos de carácter personal, de las libertades públicas y los derechos fundamentales de los residentes o usuarios en cualquiera de los centros o establecimientos asociados y adheridos al Código, así como, su derecho al honor e intimidad personal y familiar. 5

7 Apartado 2.- Aplicación del Código Tipo de ACRA. 1. El presente Código será de aplicación a los datos de carácter personal de los residentes o usuarios registrados en soportes automatizados o no, que los hagan susceptibles de tratamiento, y a toda modalidad de uso posterior de los mismos, de los que sean responsables los asociados de ACRA que se adhieran al Código Tipo. 2. Los ficheros objeto del Código son todos aquellos que contengan información sobre los residentes o usuarios de los centros o establecimientos asociados y adheridos al Código. Esta información puede gestionarse a través de aplicaciones informáticas o a través de documentos en soporte papel. Dentro de esta información, tiene especial importancia, la referente a la salud de los residentes o usuarios. Hay que tener en cuenta que ésta puede recogerse en múltiples formatos, normalmente en los informes médicos, informes sociales, informes de enfermería y del resto de profesionales que intervienen en el cuidado de los residentes o usuarios. Por ello la aplicación del Código tiene carácter extensivo, entendiendo que se deben interpretar sus prescripciones en un sentido amplio, tomando como objeto de su aplicación toda la información referente a la persona del residente o usuario sea cuál sea la fuente de origen o el formato donde esté recogida. 3. La finalidad de estos ficheros es la prestación de los servicios asistenciales por parte de las residencias, centros o servicios asociados a sus residentes o usuarios, en ejecución de los contratos asistenciales. Destacando toda la información relativa a la salud de los residentes o usuarios, que debe ser objeto de un tratamiento de datos, con la finalidad de garantizar el mejor estado de salud de éstos. 4. Además del fichero de residentes o usuarios, que contiene una parte asistencial y otra administrativa, es decir, una parte que recoge los datos necesarios para la prestación de los servicios asistenciales y que incluye la información relativa a la salud del residente o usuario, y otra parte destinada a la administración de esos servicios y de la relación jurídico-contractual existente entre el centro o establecimiento asistencial y el residente o usuario, también son objeto de este Código Tipo el resto de los ficheros y tratamientos sujetos a la LOPD de los que sean responsables los adheridos al Código Tipo. De forma orientativa podemos decir que estos ficheros son: el fichero de Contabilidad y el fichero de Personal. El presente Código se centra principalmente en el fichero de residentes o usuarios por ser el de mayor importancia a los efectos de la LOPD, ello no obstante, todas sus disposiciones serán igualmente aplicables, si procede, al resto de ficheros sujetos a la LOPD, en los que el asociado adherido al Código ostente la condición de responsable del fichero. 6

8 5. Todos los ficheros deben cumplir la obligación de inscripción en el Registro General de Protección de Datos de conformidad con lo establecido en la LOPD. Será un requisito previo e indispensable, antes de proceder a la adhesión al Código Tipo de ACRA, que los asociados que deseen adherirse, procedan a la inscripción de sus ficheros en el Registro General de Protección de Datos. 6. Los actores que intervienen en el tratamiento de datos de carácter personal en el ámbito de aplicación de este Código son: 1. El asociado de ACRA, titular de la residencia, centro o servicio asociado que es el responsable de los ficheros. 2. Los encargados del tratamiento, cuando traten los datos de carácter personal por cuenta del responsable de los ficheros. 3. El personal y los profesionales de los centros y establecimiento asociados, que son las personas que tienen acceso a los datos de carácter personal para el ejercicio de las funciones propias de sus cargos. 7. En el tratamiento de los datos de carácter personal de los residentes o usuarios tiene especial importancia la cuestión de la incapacidad declarada o no por sentencia judicial de éstos. En el sector de la prestación de los servicios asistenciales a personas en situación de dependencia, nos encontramos con tres situaciones al respecto: 1. Que el residente o usuario esté plenamente capacitado para expresar libremente su voluntad, al no estar declarado incapaz por sentencia judicial firme, y no padezca ningún tipo de demencia. En este caso, el residente o usuario actuará en todos los supuestos relativos al presente Código Tipo en nombre propio. 2. Que el residente o usuario esté declarado incapaz por una sentencia judicial firme. En este caso, el residente o usuario actuará en todos los supuestos relativos al presente Código Tipo representado por la persona designada como su tutor en la sentencia judicial de incapacitación. 3. Que el residente o usuario no esté declarado incapaz por sentencia firme pero padezca algún tipo de demencia o deterioro cognitivo que le impida manifestar su voluntad libremente. En este caso, hay que tener en cuenta el artículo 23 del RLOPD, que establece que los derechos de acceso, rectificación, cancelación y oposición son personalísimos y serán ejercidos por el afectado. Igualmente, el mismo artículo dispone que tales derechos se ejercitarán: 7

9 a.- Por el afectado, acreditando su identidad. b.- Cuando el afectado se encuentre en situación de incapacidad o minoría de edad que le imposibilite el ejercicio personal de estos derechos, podrán ejercitarse por su representante legal, en cuyo caso será necesario que acredite tal condición. c.- Los derechos también podrán ejercitarse a través de representante voluntario, expresamente designado para el ejercicio del derecho. En ese caso, deberá constar claramente acreditada la identidad del representado, mediante la aportación de copia de su Documento Nacional de Identidad o documento equivalente, y la representación conferida por aquél. En este mismo sentido, la previsión que contiene el artículo 18.2 de la Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica, estableciendo respecto del derecho de acceso a la historia clínica, que además del propio interesado, podrá ejercitarse también por representación debidamente acreditada. Por lo tanto, el ejercicio de los derechos de acceso, rectificación, cancelación y oposición podrán ejercerse por representante voluntario con poder suficiente para ello, cuando el residente o usuario no esté declarado incapaz por sentencia judicial firme y padezca algún tipo de demencia que le impida manifestar libremente su voluntad, a criterio del médico responsable de su asistencia. Sobre el procedimiento para ejercitar los derechos de acceso, rectificación, cancelación y oposición, se estará a lo establecido en el apartado 8.3 de este Código Tipo. Apartado 3.- Eficacia del Código Tipo de ACRA. 1. El presente Código Tipo entrará en vigor y será plenamente eficaz desde la fecha de su inscripción en el Registro General de Protección de Datos. 2. Además del cumplimiento de la LOPD y del RLOPD, los centros y establecimientos sanitarios pertenecientes a ACRA, y adheridos voluntariamente al presente Código Tipo, estarán obligados a adoptar todas las medidas necesarias para adecuar su organización y funcionamiento al contenido del mismo. 3. Entre las medidas necesarias para adecuar su organización y funcionamiento, se incluirán las destinadas a asegurar la debida instrucción del personal autorizado para acceder a los datos de carácter personal, de las disposiciones del presente Código Tipo y del régimen de derechos y obligaciones, procedimientos y cautelas que comporta, de conformidad con la Ley. Dicha instrucción también comprende las funciones del personal, que deben definirse y delimitarse en el preceptivo documento de seguridad, según establece el RLOPD. 8

10 4. Las directrices, que en materia de protección de datos, dicte la dirección de los centros y establecimientos asociados a sus empleados, en cumplimiento del presente Código Tipo, podrán tener el carácter de obligaciones laborales para éstos Para ello la dirección de los centros asociados podrán adoptar las fórmulas legales oportunas, como la inclusión de cláusulas en los contratos laborales, teniendo presente el Convenio marco estatal de servicios de atención a las personas dependientes y desarrollo de la promoción de la autonomía personal, que establece como falta muy grave, entre las consecuencias sancionadoras de orden laboral, las del artículo 57.C.1. del Convenio: 1. Dar a conocer el proceso patológico e intimidad del residente o usuario y cualquier dato de índole personal protegido por la legislación vigente, y como sanción aplicable a las faltas muy graves: Suspensión de empleo y sueldo de uno a tres meses. Despido, así como cualquier otro convenio de análoga aplicación. 5. El objetivo es que la protección de la intimidad del residente o usuario, forme parte de las obligaciones inherentes al desempeño normal de las funciones de todos los empleados y profesionales de una residencia, centro o servicio asociado, al igual que las de cumplir un horario, utilizar determinados registros o protocolos o realizar sus funciones bajo determinadas condiciones higiénicas. 6. La eficacia del Código no se logra con el mero cumplimiento formal de las obligaciones establecidas en la LOPD y en el RLOPD. La eficacia del Código se logrará cuando se alcance un alto nivel de concienciación en el sector de la prestación de servicios asistenciales para las personas en situación de dependencia, respecto a la necesidad de guardar la máxima confidencialidad sobre la información relativa a la intimidad y la salud de los residentes o usuarios. Para cumplir dicho objetivo, ACRA viene informando y asesorando, y continuará haciéndolo, a sus asociados respecto a sus obligaciones legales. Apartado 4.- Definiciones del Código Tipo. A los efectos del presente Código se entenderá por: a) ACRA: La Asociación Catalana de Recursos Asistenciales. b) Asociados: Todos y cada uno de los centros o establecimientos de servicios asistenciales para personas en situación de dependencia, legitimadas para el ejercicio de la actividad y admitidas en la Asociación. c) Asociados adheridos: Aquellos asociados que voluntariamente deseen adherirse al Código, y ACRA admita su adhesión. d) Datos de carácter personal: Cualquier información concerniente a los residentes o usuarios de los centros y establecimientos asociados y adheridos. 9

11 e) Fichero: Todo conjunto organizado de datos de carácter personal de los residentes o usuarios, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso. f) Tratamiento de datos: Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias. g) Responsable del fichero o tratamiento: Son los centros y establecimientos asociados a ACRA y adheridos al Código Tipo, que deciden sobre la finalidad, contenido y uso del tratamiento de los datos de los residentes o usuarios. h) Titular, afectado o interesado: Es el residente o usuario, titular de los datos que sean objeto del tratamiento a que se refiere el apartado d) del presente apartado. i) Representante legal: Es la persona que ostenta la representación legal del residente o usuario, bien por apoderamiento voluntario, o bien por obligación legal en caso de incapacidad del residente o usuario. j) Familiares y/o responsables del residente o usuario: El cónyuge o pareja estable que convivía con el residente o usuario en el momento de su ingreso, descendiente mayor de edad o ascendiente, los hermanos y/o la persona que haya asumido la guardia de hecho, previa comunicación de la misma al juzgado o ministerio fiscal. k) Consentimiento del interesado: Toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el residente o usuario o su representante legal, consientan el tratamiento de los datos de carácter personal del residente o usuario. l) Cesión o comunicación de datos: Toda revelación de datos realizada a una persona distinta del interesado o su representante legal. 10

12 CAPÍTULO II.- DERECHOS DE LOS TITULARES DE LOS DATOS. Apartado 5.- Principios generales. 1. El responsable del tratamiento deberá obtener el consentimiento del interesado para el tratamiento de sus datos de carácter personal salvo en aquellos supuestos en que el mismo no sea exigible con arreglo a lo dispuesto en las leyes. 2. La solicitud del consentimiento deberá ir referida a un tratamiento o serie de tratamientos concretos, con delimitación de la finalidad para los que se recaba, así como de las restantes condiciones que concurran en el tratamiento o serie de tratamientos. 3. Cuando se solicite el consentimiento del afectado para la cesión de sus datos, éste deberá ser informado de forma que conozca inequívocamente la finalidad a la que se destinarán los datos respecto de cuya comunicación se solicita el consentimiento y el tipo de actividad desarrollada por el cesionario. En caso contrario, el consentimiento será nulo. 4. Corresponderá al responsable del tratamiento la prueba de la existencia del consentimiento del afectado por cualquier medio de prueba admisible en derecho. 5. Forma de recabar el consentimiento. El responsable del tratamiento podrá solicitar el consentimiento del interesado a través del procedimiento establecido en el artículo 14 de la LOPD y en este apartado, salvo cuando la Ley exija al mismo la obtención del consentimiento expreso para el tratamiento de los datos. El responsable podrá dirigirse al afectado, informándole en los términos previstos en los artículos 5 de la LOPD y 12.2 del RLOPD y deberá concederle un plazo de treinta días para manifestar su negativa al tratamiento, advirtiéndole de que en caso de no pronunciarse a tal efecto se entenderá que consiente el tratamiento de sus datos de carácter personal. En particular, cuando se trate de responsables que presten al afectado un servicio que genere información periódica o reiterada, o facturación periódica, la comunicación podrá llevarse a cabo de forma conjunta a esta información o a la facturación del servicio prestado, siempre que se realice de forma claramente visible. En todo caso, será necesario que el responsable del tratamiento pueda conocer si la comunicación ha sido objeto de devolución por cualquier causa, en cuyo caso no podrá proceder al tratamiento de los datos referidos a ese interesado. 11

13 Deberá facilitarse al interesado un medio sencillo y gratuito para manifestar su negativa al tratamiento de los datos. En particular, se considerarán adecuados los procedimientos en el que tal negativa pueda efectuarse, entre otros, mediante un envío prefranqueado al responsable del tratamiento, la llamada a un número telefónico gratuito o a los servicios de atención al público que el mismo hubiera establecido. Cuando se solicite el consentimiento del interesado a través del procedimiento establecido en este artículo, no será posible solicitarlo nuevamente respecto de los mismos tratamientos y para las mismas finalidades en el plazo de un año a contar de la fecha de la anterior solicitud. 6. Solicitud del consentimiento en el marco de una relación contractual para fines no relacionados directamente con la misma. Si el responsable del tratamiento solicitase el consentimiento del afectado durante el proceso de formación de un contrato para finalidades que no guarden relación directa con el mantenimiento, desarrollo o control de la relación contractual, deberá permitir al afectado que manifieste expresamente su negativa al tratamiento o comunicación de datos. En particular, se entenderá cumplido tal deber cuando se permita al afectado la marcación de una casilla claramente visible y que no se encuentre ya marcada en el documento que se le entregue para la celebración del contrato o se establezca un procedimiento equivalente que le permita manifestar su negativa al tratamiento. 7. Revocación del consentimiento. El afectado podrá revocar su consentimiento a través de un medio sencillo, gratuito y que no implique ingreso alguno para el responsable del fichero o tratamiento. En particular, se considerarán adecuados los procedimientos en el que tal negativa pueda efectuarse, entre otros, mediante un envío prefranqueado al responsable del tratamiento o la llamada a un número telefónico gratuito o a los servicios de atención al público que el mismo hubiera establecido. No se considerarán conformes a lo dispuesto en la LOPD, los supuestos en que el responsable establezca como medio para que el interesado pueda manifestar su negativa al tratamiento el envío de cartas certificadas o envíos semejantes, la utilización de servicios de telecomunicaciones que implique una tarificación adicional al afectado o cualesquiera otros medios que impliquen un coste adicional al interesado. El responsable cesará en el tratamiento de los datos en el plazo máximo de diez días a contar desde el de la recepción de la revocación del consentimiento, sin perjuicio de su obligación de bloquear los datos conforme a lo dispuesto en el artículo 16.3 de la LOPD. Cuando el interesado hubiera solicitado del responsable del tratamiento la confirmación del cese en el tratamiento de sus datos, éste deberá responder expresamente a la solicitud. 12

14 Si los datos hubieran sido cedidos previamente, el responsable del tratamiento, una vez revocado el consentimiento, deberá comunicarlo a los cesionarios, en el plazo máximo de diez días, para que éstos, cesen en el tratamiento de los datos en caso de que aún lo mantuvieran, conforme al artículo 16.4 de la LOPD. Apartado 6.- El derecho de información del residente o usuario. 1. El deber de información al que se refiere el artículo 5 de la LOPD, deberá llevarse a cabo a través de un medio que permita acreditar su cumplimiento, debiendo conservarse mientras persista el tratamiento de los datos del afectado. 2. El responsable del fichero o tratamiento deberá conservar el soporte en el que conste el cumplimiento del deber de informar. Para el almacenamiento de los soportes, el responsable del fichero o tratamiento podrá utilizar medios informáticos o telemáticos. En particular podrá proceder al escaneado de la documentación en soporte papel, siempre y cuando se garantice que en dicha automatización no ha mediado alteración alguna de los soportes originales. 3. En los supuestos en que se produzca una modificación del responsable del fichero como consecuencia de una operación de fusión, escisión, cesión global de activos y pasivos, aportación o transmisión de negocio o rama de actividad empresarial, o cualquier operación de reestructuración societaria de análoga naturaleza, contemplada por la normativa mercantil, no se producirá cesión de datos, sin perjuicio del cumplimiento por el responsable de lo dispuesto en el artículo 5 de la LOPD. 4. Cuando se recopilen datos de carácter personal mediante cuestionarios, se ha de poner claramente de manifiesto que los datos recopilados serán utilizados para los legítimos fines de los asociados adheridos, evitando de este modo cualquier inducción a engaño o error a sus titulares en cuanto al fin de la recopilación. 5. Para proceder a la recogida de los datos, en cualquiera de las formas indicadas en los puntos anteriores, se solicitará el consentimiento del residente o usuario o su representante legal. Siempre que sea posible este consentimiento se obtendrá por escrito después de informar al afectado. Siempre que se recojan datos relativos a la salud será necesario el consentimiento expreso y por escrito. Dicho consentimiento se entenderá concedido con la firma del contrato de prestación asistencial. 6. El asociado, estará obligado a facilitar al afectado o interesado, información ampliatoria al respecto, en el caso de que éste la solicite. 7. Además de lo dicho, el Derecho de información en la recogida de datos se ajustará a la siguientes normas: 7.1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco: 13

15 a) De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información. b) Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas. c) De las consecuencias de la obtención de los datos o de la negativa a suministrarlos. d) De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición. e) De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior. En el Anexo D del Código se recoge un modelo o cuestionario para la recogida de datos No será necesaria la información a que se refieren las letras b), c) y d) del apartado 7.1 si del contenido de ella se deduce claramente la naturaleza de los datos personales que se solicitan o de las circunstancias en que se recaban. Esta situación se produciría en el caso de la obtención de los datos mediante la firma de los correspondientes contratos asistenciales, y en el momento del ingreso del residente o usuario, en el que se aportan los informes sociales y el informe previo al ingreso de los residentes o usuarios Cuando los datos de carácter personal no hayan sido recabados del interesado, éste deberá ser informado de forma expresa, precisa e inequívoca, por el responsable del fichero o su representante, dentro de los tres meses siguientes al momento del registro de los datos, salvo que ya hubiera sido informado con anterioridad, del contenido del tratamiento, de la procedencia de los datos, así como de lo previsto en las letras a), d) y e) del apartado 7.1 del presente apartado No será de aplicación lo dispuesto en el apartado anterior cuando expresamente una Ley lo prevea, tampoco cuando el tratamiento tenga fines históricos, estadísticos o científicos 7.6. No será necesario informar al residente o usuario, de la posibilidad de que sus datos de carácter personal sean utilizados para investigaciones epidemiológicas, siempre y cuando sus datos se traten de formar anónima, si no fuera posible anonimizar la información, se requerirá el consentimiento expreso del residente o usuario. En todo lo referente a las investigaciones epidemiológicas, se estará a los dispuesto al efecto en la legislación sobre sanidad estatal o autonómica. 14

16 8. Todos los asociados adheridos, en los nuevos contratos asistenciales que firmen con los residentes o usuarios, introducirán una cláusula relativa a la protección de datos de carácter personal, según lo establecido en este apartado. Respecto a los contratos ya firmados se adjuntará un anexo con el mismo contenido, que previamente se entregará a los residentes o usuarios, para ser firmado por ambas partes como anexo al contrato asistencial firmado en su momento. En el Anexo F del Código se recogen los modelos de contratos y reglamentos de régimen interno de ACRA, con dicha cláusula. Apartado 7.- Encargados del Tratamiento. 1. Relaciones entre el responsable y el encargado del tratamiento. El acceso a los datos por parte de un encargado del tratamiento que resulte necesario para la prestación de un servicio al responsable no se considerará comunicación de datos, siempre y cuando se cumpla lo establecido en la LOPD, en el RLOPD y en el presente apartado. El servicio prestado por el encargado del tratamiento podrá tener o no carácter remunerado y ser temporal o indefinido. No obstante, se considerará que existe comunicación de datos cuando el acceso tenga por objeto el establecimiento de un nuevo vínculo entre quien accede a los datos y el afectado. Cuando el responsable del tratamiento contrate la prestación de un servicio que comporte un tratamiento de datos personales sometido a lo dispuesto en este capítulo deberá velar por que el encargado del tratamiento reúna las garantías para el cumplimiento de lo dispuesto en este Reglamento. En el caso de que el encargado del tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato al que se refiere el apartado 2 del artículo 12 de la LOPD, será considerado, también, responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente. No obstante, el encargado del tratamiento no incurrirá en responsabilidad cuando, previa indicación expresa del responsable, comunique los datos a un tercero designado por aquél, al que hubiera encomendado la prestación de un servicio conforme a lo previsto en el presente apartado. 2. Posibilidad de subcontratación de los servicios. El encargado del tratamiento no podrá subcontratar con un tercero la realización de ningún tratamiento que le hubiera encomendado el responsable del tratamiento, salvo que hubiera obtenido de éste autorización para ello. En este caso, la contratación se efectuará siempre en nombre y por cuenta del responsable del tratamiento. 15

17 No obstante lo dispuesto en el apartado anterior, será posible la subcontratación sin necesidad de autorización siempre y cuando se cumplan los siguientes requisitos: a. Que se especifiquen en el contrato los servicios que puedan ser objeto de subcontratación y, si ello fuera posible, la empresa con la que se vaya a subcontratar. Cuando no se identificase en el contrato la empresa con la que se vaya a subcontratar, será preciso que el encargado del tratamiento comunique al responsable los datos que la identifiquen antes de proceder a la subcontratación. b. Que el tratamiento de datos de carácter personal por parte del subcontratista se ajuste a las instrucciones del responsable del fichero. c. Que el encargado del tratamiento y la empresa subcontratista formalicen el contrato, en los términos previstos en el artículo anterior. En este caso, el subcontratista será considerado encargado del tratamiento, siéndole de aplicación lo previsto en el artículo 20.3 del RLOPD. Si durante la prestación del servicio resultase necesario subcontratar una parte del mismo y dicha circunstancia no hubiera sido prevista en el contrato, deberán someterse al responsable del tratamiento los extremos señalados en el apartado anterior. 3. Conservación de los datos por el encargado del tratamiento. Una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento o al encargado que éste hubiese designado, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto del tratamiento. No procederá la destrucción de los datos cuando exista una previsión legal que exija su conservación, en cuyo caso deberá procederse a la devolución de los mismos garantizando el responsable del fichero dicha conservación. El encargado del tratamiento conservará, debidamente bloqueados, los datos en tanto pudieran derivarse responsabilidades de su relación con el responsable del tratamiento. 16

18 4. Posibles encargados del tratamiento de los datos personales. Los posibles encargados del tratamiento de los datos personales que realicen el tratamiento de éstos por cuenta del asociado adherido al Código pueden ser: - Gestorías, asesorías jurídicas, despachos profesionales de asesores, abogados, economistas, contables, etc., encargados del tratamiento de los ficheros de PERSONAL y CONTABILIDAD. - Personal cualificado del sector de los servicios sociales, contratados en régimen de arrendamiento de servicios, como por ejemplo: educador social, psicólogos, trabajador social, etc., que pueden ser encargados del tratamiento de los ficheros de RESIDENTES O USUARIOS, o al sub-fichero de EXPEDIENTE ASISTENCIAL. Dichos profesionales no serán encargados del tratamiento cuando exista una relación laboral y no mercantil con el asociado adherido al Código Tipo. Respecto a los médicos y/o personal cualificado del sector sanitario, contratados en régimen de arrendamiento de servicios, como por ejemplo: médicos, ATS-DUE, terapeuta ocupacional, fisioterapeuta, etc., que tengan acceso a los ficheros de RESIDENTES O USUARIOS, o de los sub-ficheros de EXPEDIENTE ASISTENCIAL y HISTORIA CLÍNICA, se significa que por aplicación de lo dispuesto en el artículo 2 de la Ley 44/2003, de 21 de noviembre, de Profesiones Sanitarias, y en relación con los usos de la historia clínica en el marco del centro sanitario, el artículo 11 de la Ley 21/2000, de 29 de diciembre, sobre los Derechos de información concernientes a la salud y la autonomía del paciente, y a la documentación clínica, se establece un régimen específico que delimita la aplicación de la LOPD, y habilitan el acceso a la historia clínica de los mencionados profesionales, no siendo por tanto considerados encargados del tratamiento. Ello no obstante cabe precisar que por aplicación del artículo 4.1 de la LOPD, que consagra el principio de proporcionalidad en el tratamiento de los datos de carácter personal, dicho acceso deberá limitarse a los datos que efectivamente resulten necesarios para el cumplimiento de las finalidad que justifique dicho acceso, sin que deba extenderse a datos no vinculados a dicha finalidad. Respecto a los psicólogos, cabe poner de manifiesto que de conformidad con la mencionada Ley 44/2003, 21 de noviembre, de Profesiones Sanitarias, sólo son considerados como profesionales sanitarios aquellos psicólogos que posean el Título de Especialista en Psicología Clínica, otorgado por el Ministerio de Educación, Cultura y Deporte. Dichos psicólogos entrarían dentro del régimen especificado en el párrafo anterior. El encargado del tratamiento sólo tratará los datos necesarios para la prestación de sus servicios, siendo responsabilidad del asociado adherido, como Responsable del Fichero, vigilar que los datos no sean excesivos. A los efectos de dar cumplimiento a lo establecido en el artículo 12 de la LOPD, los centros o establecimientos asistenciales adheridos al Código Tipo suscribirán con los encargados del tratamiento un contrato según el modelo recogido en el anexo G. 17

19 Apartado 8.- Derechos de acceso, rectificación, cancelación y oposición. Disposiciones generales 1. Los derechos de acceso, rectificación, cancelación y oposición son personalísimos y serán ejercidos por el afectado. 2. Tales derechos se ejercitarán: a. Por el afectado, acreditando su identidad, del modo previsto en el presente apartado. b. Cuando el afectado se encuentre en situación de incapacidad o minoría de edad que le imposibilite el ejercicio personal de estos derechos, podrán ejercitarse por su representante legal, en cuyo caso será necesario que acredite tal condición. c. Los derechos también podrán ejercitarse a través de representante voluntario, expresamente designado para el ejercicio del derecho. En ese caso, deberá constar claramente acreditada la identidad del representado, mediante la aportación de copia de su Documento Nacional de Identidad o documento equivalente, y la representación conferida por aquél. 3. Los derechos serán denegados cuando la solicitud sea formulada por persona distinta del afectado y no se acreditase que la misma actúa en representación de aquél. 4. Condiciones generales para el ejercicio de los derechos de acceso, rectificación, cancelación y oposición. Los derechos de acceso, rectificación, cancelación y oposición son derechos independientes, de tal forma que no puede entenderse que el ejercicio de ninguno de ellos sea requisito previo para el ejercicio de otro. Deberá concederse al interesado un medio sencillo y gratuito para el ejercicio de los derechos de acceso, rectificación, cancelación y oposición. El ejercicio por el afectado de sus derechos de acceso, rectificación, cancelación y oposición será gratuito y en ningún caso podrá suponer un ingreso adicional para el responsable del tratamiento ante el que se ejercitan. No se considerarán conformes a lo dispuesto en la LOPD, y al RLOPD los supuestos en que el responsable del tratamiento establezca como medio para que el interesado pueda ejercitar sus derechos el envío de cartas certificadas o semejantes, la utilización de servicios de telecomunicaciones que implique una tarificación adicional al afectado o cualesquiera otros medios que impliquen un coste excesivo para el interesado. Cuando el responsable del fichero o tratamiento disponga de servicios de cualquier índole para la atención a su público o el ejercicio de reclamaciones relacionadas con el servicio prestado o los productos ofertados al mismo, podrá concederse la posibilidad al afectado de ejercer sus derechos de 18

20 acceso, rectificación, cancelación y oposición a través de dichos servicios. En tal caso, la identidad del interesado se considerará acreditada por los medios establecidos para la identificación de los clientes del responsable en la prestación de sus servicios o contratación de sus productos. El responsable del fichero o tratamiento deberá atender la solicitud de acceso, rectificación, cancelación u oposición ejercida por el afectado aún cuando el mismo no hubiese utilizado el procedimiento establecido específicamente al efecto por aquél, siempre que el interesado haya utilizado un medio que permita acreditar el envío y la recepción de la solicitud, y que ésta contenga los elementos referidos a continuación. 5. Procedimiento. Salvo en el supuesto en que el responsable del fichero o tratamiento disponga de servicios de atención a su público, como veíamos anteriormente, el ejercicio de los derechos deberá llevarse a cabo mediante comunicación dirigida al responsable del fichero, que contendrá: a. Nombre y apellidos del interesado; fotocopia de su documento nacional de identidad, o de su pasaporte u otro documento válido que lo identifique y, en su caso, de la persona que lo represente, o instrumentos electrónicos equivalentes; así como el documento o instrumento electrónico acreditativo de tal representación. La utilización de firma electrónica identificativa del afectado eximirá de la presentación de las fotocopias del DNI o documento equivalente. El párrafo anterior se entenderá sin perjuicio de la normativa específica aplicable a la comprobación de datos de identidad por las Administraciones Públicas en los procedimientos administrativos. b. Petición en que se concreta la solicitud. c. Dirección a efectos de notificaciones, fecha y firma del solicitante. d. Documentos acreditativos de la petición que formula, en su caso. El responsable del tratamiento deberá contestar la solicitud que se le dirija en todo caso, con independencia de que figuren o no datos personales del afectado en sus ficheros. En el caso de que la solicitud no reúna los requisitos especificados en el apartado primero, el responsable del fichero deberá solicitar la subsanación de los mismos. La respuesta deberá ser conforme con los requisitos previstos para cada caso en el presente título. Corresponderá al responsable del tratamiento la prueba del cumplimiento del deber de respuesta, debiendo conservar la acreditación del cumplimiento del mencionado deber. 19

21 El responsable del fichero deberá adoptar las medidas oportunas para garantizar que las personas de su organización que tienen acceso a datos de carácter personal puedan informar del procedimiento a seguir por el afectado para el ejercicio de sus derechos. El ejercicio de los derechos de acceso, rectificación, cancelación y oposición podrá modularse por razones de seguridad pública en los casos y con el alcance previsto en las Leyes. Cuando las leyes aplicables a determinados ficheros concretos establezcan un procedimiento especial para la rectificación o cancelación de los datos contenidos en los mismos, se estará a lo dispuesto en aquéllas. 6. Ejercicio de los derechos ante un encargado del tratamiento. Cuando los afectados ejercitasen sus derechos ante un encargado del tratamiento y solicitasen el ejercicio de su derecho ante el mismo, el encargado deberá dar traslado de la solicitud al responsable, a fin de que por el mismo se resuelva, a menos que en la relación existente con el responsable del tratamiento se prevea precisamente que el encargado atenderá, por cuenta del responsable, las solicitudes de ejercicio por los afectados de sus derechos de acceso, rectificación, cancelación u oposición. Apartado 9.- Derechos de acceso. 1. El derecho de acceso es el derecho del afectado a obtener información sobre si sus propios datos de carácter personal están siendo objeto de tratamiento, la finalidad del tratamiento que, en su caso, se esté realizando, así como la información disponible sobre el origen de dichos datos y las comunicaciones realizadas o previstas de los mismos. En virtud del derecho de acceso el afectado podrá obtener del responsable del tratamiento información relativa a datos concretos, a datos incluidos en un determinado fichero, o a la totalidad de sus datos sometidos a tratamiento. No obstante, cuando razones de especial complejidad lo justifiquen, el responsable del fichero podrá solicitar del afectado la especificación de los ficheros respecto de los cuales quiera ejercitar el derecho de acceso, a cuyo efecto deberá facilitarle una relación de todos ellos. El derecho de acceso es independiente del que otorgan a los afectados las leyes especiales y en particular la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común. 2. Ejercicio del derecho de acceso. Al ejercitar el derecho de acceso, el afectado podrá optar por recibir la información a través de uno o varios de los siguientes sistemas de consulta del fichero: 20

22 a. Visualización en pantalla. b. Escrito, copia o fotocopia remitida por correo, certificado o no. c. Telecopia. d. Correo electrónico u otros sistemas de comunicaciones electrónicas. e. Cualquier otro sistema que sea adecuado a la configuración o implantación material del fichero o a la naturaleza del tratamiento, ofrecido por el responsable. Los sistemas de consulta del fichero previstos en el apartado anterior podrán restringirse en función de la configuración o implantación material del fichero o de la naturaleza del tratamiento, siempre que el que se ofrezca al afectado sea gratuito y asegure la comunicación escrita si éste así lo exige. El responsable del fichero deberá cumplir al facilitar el acceso lo establecido en el Título VIII del RLOPD. Si tal responsable ofreciera un determinado sistema para hacer efectivo el derecho de acceso y el afectado lo rechazase, aquél no responderá por los posibles riesgos que para la seguridad de la información pudieran derivarse de la elección. Del mismo modo, si el responsable ofreciera un procedimiento para hacer efectivo el derecho de acceso y el afectado exigiese que el mismo se materializase a través de un procedimiento que implique un coste desproporcionado, surtiendo el mismo efecto y garantizando la misma seguridad el procedimiento ofrecido por el responsable, serán de cuenta del afectado los gastos derivados de su elección. 3. Otorgamiento del acceso. El responsable del fichero resolverá sobre la solicitud de acceso en el plazo máximo de un mes a contar desde la recepción de la solicitud. Transcurrido el plazo sin que de forma expresa se responda a la petición de acceso, el interesado podrá interponer la reclamación prevista en el artículo 18 de la LOPD. En el caso de que no disponga de datos de carácter personal de los afectados deberá igualmente comunicárselo en el mismo plazo. Si la solicitud fuera estimada y el responsable no acompañase a su comunicación la información a la que se refiere el artículo 27.1 del RLOPD, el acceso se hará efectivo durante los diez días siguientes a dicha comunicación. 21

23 La información que se proporcione, cualquiera que sea el soporte en que fuere facilitada, se dará en forma legible e inteligible, sin utilizar claves o códigos que requieran el uso de dispositivos mecánicos específicos. Dicha información comprenderá todos los datos de base del afectado, los resultantes de cualquier elaboración o proceso informático, así como la información disponible sobre el origen de los datos, los cesionarios de los mismos y la especificación de los concretos usos y finalidades para los que se almacenaron los datos. 4. Denegación del acceso. El responsable del fichero o tratamiento podrá denegar el acceso a los datos de carácter personal cuando el derecho ya se haya ejercitado en los doce meses anteriores a la solicitud, salvo que se acredite un interés legítimo al efecto. Podrá también denegarse el acceso en los supuestos en que así lo prevea una Ley o una norma de derecho comunitario de aplicación directa o cuando éstas impidan al responsable del tratamiento revelar a los afectados el tratamiento de los datos a los que se refiera el acceso. En todo caso, el responsable del fichero informará al afectado de su derecho a recabar la tutela de la Agencia Española de Protección de Datos o, en su caso, de las autoridades de control de las comunidades autónomas, conforme a lo dispuesto en el artículo 18 de la LOPD. Apartado 10.- Derechos de rectificación y cancelación. 1. Derechos de rectificación y cancelación. El derecho de rectificación es el derecho del afectado a que se modifiquen los datos que resulten ser inexactos o incompletos. El ejercicio del derecho de cancelación dará lugar a que se supriman los datos que resulten ser inadecuados o excesivos, sin perjuicio del deber de bloqueo conforme a este reglamento. En los supuestos en que el interesado invoque el ejercicio del derecho de cancelación para revocar el consentimiento previamente prestado, se estará a lo dispuesto en la LOPD y en el RLOPD. 2. Ejercicio de los derechos de rectificación y cancelación. La solicitud de rectificación deberá indicar a qué datos se refiere y la corrección que haya de realizarse y deberá ir acompañada de la documentación justificativa de lo solicitado. En la solicitud de cancelación, el interesado deberá indicar a qué datos se refiere, aportando al efecto la documentación que lo justifique, en su caso. 22