EL PAPEL DEL OFICIAL DE PRIVACIDAD O DE PROTECCIÓN DE DATOS EN EL CUMPLIMIENTO DE LA NORMATIVA DE PROTECCIÓN DE DATOS

Transcripción

1 EL PAPEL DEL OFICIAL DE PRIVACIDAD O DE PROTECCIÓN DE DATOS EN EL CUMPLIMIENTO DE LA NORMATIVA DE PROTECCIÓN DE DATOS 1

2 1. Intrducción Marc nrmativ españl de prtección de dats en relación cn la designación de ls ficiales de prtección de dats Cnsecuencias del marc nrmativ españl de prtección de dats en la ntificación de fichers Relacines cn ls respnsable de fichers Inspeccines sectriales Códigs de cnducta Cnvenis de clabración cn entidades públicas y privadas Cnsultres de prtección de dats Distints escenaris para el cumplimient en prtección de dats Funcines del ficial de prtección de dats Cnclusines...9 2

3 1. Intrducción La designación, de un varis ficiales de privacidad de prtección de dats, cn adecuada cualificación, recurss y cmpetencias suficientes para ejercer sus funcines de supervisión, se cnsidera una medida muy adecuada de cara a prmver el mejr cumplimient de la nrmativa sbre prtección de dats, tal y cm se establece en la Directiva 95/46/CE de prtección de dats. En este sentid, ls Estándares Internacinales sbre Prtección de Dats Persnales y Privacidad aprbads en la 31ª Cnferencia Internacinal de Autridades de Prtección de Dats y Privacidad, celebrada en Madrid en nviembre de 2009, animaban a ls Estads a adptar medidas practivas en el tratamient de dats de carácter persnal, tant en el sectr públic cm en el privad, mediante: El establecimient de prcedimients destinads a prevenir y detectar infraccines, que pdrán basarse en mdels estandarizads de gbiern y/ gestión de la seguridad de la infrmación. La designación, de un varis ficiales de privacidad de prtección de dats. La realización periódica de prgramas de cncienciación, educación y frmación entre ls miembrs de la rganización destinads al mejr cncimient de la legislación que resulte aplicable en materia de prtección de dats. La realización periódica de auditrías transparentes pr parte de sujets cualificads y preferentemente independientes, que verifiquen el cumplimient de la nrmativa de prtección de dats que resulte de aplicación. La adaptación de aquells sistemas y/ tecnlgías de infrmación destinads al tratamient de dats de carácter persnal a la nrmativa que resulte aplicable. La puesta en práctica de estudis de impact sbre la privacidad previs a la implementación de nuevs sistemas y/ tecnlgías de infrmación. La adhesión a acuerds de autrregulación cuya bservancia resulte vinculante, que cntengan elements que permitan medir sus niveles de eficacia en cuant al cumplimient y grad de cumplimient. La implementación de planes de cntingencias que establezca unas pautas de actuación en cas de que se verifique un incumplimient de la nrmativa de prtección de dats que resulte aplicable. La designación de un ficial de prtección de dats en las diferentes denminacines adptadas pr ls Estads Miembrs que han adptad esta figura (data prtectin fficer, persnal data representatives, persn respnsable fr the prtectin f persnal data) se encuentra directamente relacinada cn la simplificación la excepción de la bligación de ntificar ls fichers cn dats de carácter persnal a la Autridad de Cntrl. Pr su parte, en el ámbit de ls Estads Unids esta figura se encuentra relacinada cn un nivel más alt de la rganización, adptand la denminación de Chief Privacy Officer (CPO), n implicand entre sus tareas la publicidad de ls fichers, tal y cm establece la nrmativa eurpea. 3

4 La previsión de la designación del Oficial de Prtección de Dats, cm frma de excepcinar la bligación de ntificar a la Agencia, n ha sid transpuesta a la nrmativa españla. 2. Marc nrmativ españl de prtección de dats en relación cn la designación de ls ficiales de prtección de dats. La precupación pr la prtección de dats en España aparece en la Cnstitución Españla cm un derech fundamental que debe ser desarrllad pr la nrmativa adecuada. En 1992, el Parlament españl aprbó la primera Ley de Prtección de Dats, la denminada LORTAD (Ley Orgánica reguladra de ls tratamients autmatizads de dats), dergada pr la actualmente vigente Ley Orgánica 15/1999, de 13 de diciembre de prtección de dats de carácter persnal. Ya en la primera nrma citada, en 1992, el Parlament estableció las principales áreas que deberían ser abrdadas en esta materia y que n han experimentad cambis sustanciales en la nrmativa en vigr: Defensa y cncienciación de ls derechs de ls titulares de ls dats. Cumplimient de las bligacines de ls respnsables de fichers y de ls encargads de tratamient. Creación de una autridad de cntrl independiente cn amplis pderes para velar pr el cumplimient de la nrmativa. Teniend en cuenta ls aspects relativs a la transparencia y la publicidad de ls fichers cn dats de carácter persnal, es necesari señalar que: En relación cn el ejercici de ls derechs de ls titulares de ls dats, se estableció que cualquier persna pdría cnsultar el Registr General de Prtección de Dats, órgan incrprad en la Agencia Españla de Prtección de Dats. En relación cn las bligacines de ls respnsables, ambas nrmas establecían la bligación de ntificar ls fichers cn dats de carácter persnal a la Agencia Españla de Prtección de Dats para su inscripción en el Registr General de Prtección de Dats, cn carácter previ al inici del tratamient. En cnsnancia, entre las funcines de la Agencia Españla de Prtección de Dats, se estableció la publicación del Catálg de Fichers inscrits en el Registr General de Prtección de Dats para su cnsulta pr cualquier persna. Otr aspect relevante, relacinad cn las medidas de seguridad y, en cierta manera, cn la figura del ficial de prtección de dats, es la previsión de nmbrar a un respnsable de seguridad para aquells fichers tratamients que deban implantar las medidas catalgadas de nivel medi alt al que se refiere el Títul VIII del Reglament de desarrll de la LOPD. La designación del respnsable de seguridad n representa una exención de la respnsabilidad crrespndiente al respnsable del ficher al encargad de tratamient. Además, también relacinad cn ls fichers catalgads cm de nivel medi alt, el reglament de desarrll de la LOPD establece la bligación de realizar una auditría de carácter intern extern que verifique el cumplimient de las 4

5 previsines relativas a las medidas de seguridad que deban implantarse en ls fichers tratamients cn dats de carácter persnal. 3. Cnsecuencias del marc nrmativ españl de prtección de dats en la ntificación de fichers. De acuerd cn la nrmativa españla de prtección de dats, la mayría de ls fichers que incluyan dats de carácter persnal deben ser ntificads a la Agencia para su inscripción en el Registr General de Prtección de Dats. Es precis tener en cuenta que la ntificación de ls fichers tiene un carácter declarativ, pr l que n cnstituye una autrización sbre ls tratamients ntificads, ni exime al respnsable del cumplimient de rest de las bligacines establecidas en la nrmativa. Teniend en cuenta estas previsines legales, la Agencia Españla de Prtección de Dats ha tenid que ir adaptand ls prcedimients para atender ls requerimients derivads de las bligacines de ls respnsables de fichers. Ests prcedimients han tenid que evlucinar desde ls primers frmularis a ls actuales en ls que se incluyen mdels simplificads así cm prcedimients de administración electrónica (firma electrónica, ntificación electrónica, seguimient electrónic del estad de la tramitación, etc). Además, se han tenid que adptar medidas adecuadas para afrntar ests rets: Mdels de ntificación simplificads para aquells fichers más habituales: clientes/prveedres, recurss humans, nóminas, etc. Elabración de guías para la ntificación de fichers. Elabración de guía para la implantación de medidas de seguridad. Elabración de guía para ls respnsables de fichers. Herramienta EVALUA para la autevaluación del cumplimient de la nrmativa de prtección de dats y las medidas de seguridad. Cm cnsecuente de la bligación de ntificar ls fichers a la Agencia Españla de Prtección de Dats para su inscripción en el Registr General de Prtección de Dats, al final de 2009, figuraban inscrits fichers crrespndientes a empresas y rganisms públics. Es precis señalar que la ntificación de fichers ha mantenid una tendencia cnstantemente creciente, tal y cm figura en la figura siguiente, y que esta tendencia parece dar señales de mantenerse en el crt y medi plaz. 5

6 4. Relacines cn ls respnsable de fichers. Aunque, tal y cm se ha señalad anterirmente, n se ha cntad cn una previsión específica para la designación de un ficial de prtección de dats que pudiera ejercer de punt de cntact efectiv cn ls respnsable de fichers, una de las mayres precupacines de la Agencia Españla de Prtección de Dats ha sid establecer ls canales de cmunicación adecuads, ya sea directamente cn ls respnsables de fichers a través de las distintas frmas de representación adptadas. Entre las vías de cmunicación utilizadas para lgrar un efectiv cumplimient de la nrmativa de prtección de dats, se pdrían citar: Elabración de infrmes sbre las cnsultas planteadas pr ls respnsables de fichers, ya sea directamente través de las persnas departaments que tienen asignada la función de velar pr el cumplimient de la nrmativa de prtección de dats en las entidades. Clabración cn ls respnsables de fichers sus representantes en temas relacinads cn tratamients de dats cn riesgs en materia de prtección de dats de carácter persnal, transferencias internacinales de dats, reglas crprativas vinculantes, elabración de códigs de cnducta, etc. Emisión de infrmes jurídics sbre ls pryects de nrmas reguladras de creación, mdificación supresión de fichers presentads pr lsdepartaments de las Administracines Públicas relacinads cn el cumplimient de la nrmativa de prtección de dats. Además, durante el tiemp de vigencia de la nrmativa de prtección de dats, diversas iniciativas de carácter practiv se han desarrllad, tant pr parte de ls respnsables, cm pr parte de la Agencia Españla de Prtección de Dats para facilitar el cumplimient en materia de prtección de dats y privacidad, tales cm, la realización de inspeccines sectriales, la elabración de códigs de cnducta, la firma de cnvenis y prtcls de clabración cn entidades públicas y privadas, así cm el frtalecimient de la relación cn ls cnsultres de prtección de dats. 6

7 4.1. Inspeccines sectriales Desde su puesta en funcinamient la Agencia Españla de Prtección de Dats ha tenid entre sus priridades la realización de auditrías de prtección de dats dirigidas tant al sectr públic cm al sectr privad cn el fin de evaluar el grad de cumplimient del sectr y pder emitir las recmendacines derivadas de dichas auditrías. Estas inspeccines sectriales se han dirigid a distints sectres cm, entre trs: Administracines Públicas. Selección de persnal a través de Internet. Grandes superficies. Hteles. Centrs de enseñanza. Banca electrónica. Videvigilancia en Internet Institucines sanitarias Sectr aseguradr. Mensajes cmerciales SMS Transferencias internacinales relacinadas cn un Call Center Slvencia patrimnial 4.2. Códigs de cnducta La Agencia Españla de Prtección de Dats, tal y cm establece la LOPD y su reglament de desarrll, ha estimulad la adpción de Códigs de Cnducta cm frma de autrregulación en materia de prtección de dats. Ls códigs de cnducta sn códigs étics de buenas prácticas prfesinales y deben ser de cumplimient bligatri pr las entidades adheridas a ls misms, debiend cntener reglas específicas estándares que permitan la armnización de ls tratamients realizads pr sus adherids, facilitand el ejercici de ls derechs de ls interesads y favreciend el cumplimient de las previsines de la nrmativa de prtección de dats. Además, ls códigs de cnducta deben incluir prcedimients de cntrl independientes que garanticen el cumplimient de las bligacines asumidas pr las entidades adheridas, estableciend un adecuad y eficaz régimen disciplinari en cas de incumplimient. Entre ls Códigs de Cnducta actualmente registrads en el Registr General de Prtección de Dats, se pueden citar, entre trs: Farmaindustria. Asciación de Ayuntamients del País Vasc. Universidades Organizacines sectriales del sectr sanitari Cmerci electrónic 4.3. Cnvenis de clabración cn entidades públicas y privadas. Otra vía de clabración cn ls respnsables de fichers ha sid la de prmver la firma de cnvenis de clabración cn las entidades y asciacines de representantes tant del sectr públic cm privad, así cm asciacines sin ánim de lucr cn el ánim de prmver el cumplimient de la nrmativa de prtección de dats. 7

8 Entre ls cnvenis de clabración firmads, se pdrían citar: Institucines educativas Asciación de entidades de seguridad privada Cámaras de Cmerci. Asciación Españla para el Sectr Electrónic y de las Tecnlgías de la Infrmación y de las Cmunicacines (ASIMELEC) Institut Nacinal de Tecnlgías de la Cmunicación (INTECO) Federación de Municipis y Prvincias 4.4. Cnsultres de prtección de dats Paralelamente al aument de la cncienciación en materia de prtección de dats, la labr de cnsultría en materia de prtección de dats ha experimentad un auge permanente. Ls cnsultres en prtección de dats frecen servicis relacinads cn la implantación de las medidas tendentes a facilitar el cumplimient de las bligacines en materia de prtección de dats. Ests servicis, dependiend de las necesidades de ls respnsables, pueden llegar ir desde el cumplimient de general de las previsines en materia de prtección de dats, a la implantación de las medidas técnicas y rganizativas relacinadas cn las medidas de seguridad. También se pueden frecer servicis más especializads relacinads cn las transferencias internacinales, las reglas crprativas vinculantes ls códigs de cnducta. Además, aquells cnsultres que han desarrllad aplicacines infrmáticas de prtección de dats, utilizan las guías y ls prcedimients que les permiten cmunicarse cn la Agencia de frma electrónica, manteniéndse una cmunicación que permite reslver las incidencias técnicas. 5. Distints escenaris para el cumplimient en prtección de dats Tant las rganizacines públicas cm las entidades privadas, han adptad distints enfques a la hra de afrntar el cumplimient en materia de prtección de dats, dependiend de su tamañ, recurss dispnibles así cm de sus particularidades rganizativas. Las slucines adptadas pueden ser resumidas en las siguientes: a) Entidades privadas pertenecientes al sectr de la pequeña y mediana empresa en las que el cumplimient se realiza pr el prpi respnsable del ficher cn ls medis puests a dispsición de la Agencia Españla de Prtección de Dats y las Agencias Autnómicas. b) Entidades que cntratan, ttalmente parcialmente, cn un tercer el cumplimient en materia de prtección de dats. c) Entidades que afrntan el cumplimient en materia de prtección de dats desde ls departaments relacinads cn la seguridad de la infrmación. d) Entidades que implantan el esquema de cumplimient en materia de prtección de dats de una frma glbal a través de un departament persna encargada del cumplimient. Este enfque, que representa un mayr grad de madurez rganizacinal, puede incluir además también el cumplimient en relación cn tras regulacines (prpiedad intelectual, 8

9 nrmativa específica del sectr, Sarbanes-Oxley, administración electrónica, etc). 6. Funcines del ficial de prtección de dats. Cn independencia que las funcines relacinadas cn el cumplimient en material de prtección de dats sean crdinadas pr una persna pr un departament, deberá ser frmalmente designad pr el Respnsable del ficher para crdinar, impulsar y supervisar el cumplimient de la nrmativa de prtección en relación cn ls tratamients de dats de carácter persnal. Entre las principales funcines atribuidas a esta figura, se pueden citar: Establecer, mantener y supervisar el cumplimient en materia de prtección de dats y privacidad. Valrar el impact sbre el marc de privacidad y la prtección de ls dats persnales de nuevs pryects de nrmas que afecten a la rganización. Centralizar la atención de ls ejercicis de ls derechs de ls interesads. Centralizar la atención de las reclamacines frmuladas pr ls interesads. Centralizar las relacines institucinales de frma interna cn el tds ls departaments afectads pr el cumplimient: respnsables interns de ls distints fichers, Departament de Recurss Humans, Departament de Tecnlgías, Departament de Seguridad, Departament Legal, etc. Crdinar las relacines cn la Agencia Españla de Prtección de Dats y/, en su cas, cn la Agencia de Prtección de Dats de la Cmunidad Autónma crrespndiente. Supervisar y crdinar la ntificación de fichers. Supervisar la gestión de incidencias. Crdinar ls planes de auditría, ya sea de carácter intern extern. Impulsar la adpción de medidas crrectras y de mejra para asegurar el cumplimient de la nrmativa de prtección de dats. Impulsar y prmver buenas prácticas en prtección de dats. Prmver e impulsar la frmación, educación y cncienciación en prtección de dats. 7. Cnclusines a) La designación, de un varis ficiales de privacidad de prtección de dats, cn adecuada cualificación, recurss y cmpetencias suficientes para ejercer sus funcines de supervisión, se cnsidera una medida muy adecuada y útil de cara a prmver el mejr cumplimient de la nrmativa sbre prtección de dats, tal y cm se establece en la Directiva 95/46/CE de prtección de dats. b) Ls Estándares Internacinales sbre Prtección de Dats Persnales y Privacidad aprbads en la 31ª Cnferencia Internacinal de Autridades de Prtección de Dats y Privacidad, celebrada en Madrid en nviembre de 2009, animaban a ls Estads a adptar medidas practivas en el tratamient de dats de carácter persnal, tant en el sectr públic cm en el privad, entre las que se encuentra la designación de un varis ficiales de privacidad de prtección de dats. 9

10 c) En la nrmativa eurpea, la designación del ficial de prtección de dats se encuentra directamente relacinad cn la excepción en la bligación de ntificación de ls fichers, en la medida en que la designación de ests ficiales cnlleva que la publicidad de ls fichers de la rganización queda asegurada pr esta figura, pudiend ls interesads acudir a ests prfesinales para cnsultar ls fichers que incluyen sus dats. d) En la nrmativa españla n se ha transpuest la previsión de excepcinar la ntificación de fichers ligada a la designación de un ficial de prtección de dats. e) Sin embarg, la Agencia cnsidera de gran valr la psibilidad de establecer canales de cmunicación cn las persnas departaments que realicen esta labr relacinada cn el cumplimient en materia de prtección de dats y privacidad. f) En este sentid, durante el tiemp de vigencia de la nrmativa de prtección de dats, diversas iniciativas de carácter practiv se han desarrllad, tant pr parte de ls respnsables, cm pr parte de la Agencia Españla de Prtección de Dats para facilitar el cumplimient en materia de prtección de dats y privacidad. g) El rl de ficial de prtección de dats debe ser cnsiderad desde una perspectiva más amplia que la centralización de las labres relacinadas cn la ntificación. h) También debe ser cnsiderada desde una perspectiva más amplia que la implantación de las medidas de seguridad. De hech, desde un punt de vista ideal sería recmendable que la labr del ficial de prtección de dats se independizará de las labres de seguridad, dad que pueden surgir cnflicts de intereses entre un departament y tr. i) La labr del ficial de prtección de dats tiene que cntar cn el respald decidid de la dirección de la rganización asegurand su independencia. j) Para desarrllar esta función se debe cntar cn ls cncimients adecuads en prtección de dats, nrmativas relacinadas cn el sectr de actividad de la rganización, cncimients amplis de la rganización, cncimients de análisis y gestión de riesgs relacinads cn ls sistemas de infrmación, entre trs. 10