TALLER DE PROTECCIÓN DE DATOS: Aplicación práctica de la LOPD para PYMES. Palencia, 14 de febrero de 2008

Transcripción

1 TALLER DE PROTECCIÓN DE DATOS: Aplicación práctica de la LOPD para PYMES. Palencia, 14 de febrero de 2008

2 LOPD OPORTUNIDAD PARA LA ORGANIZACIÓN Actuaciones Internas: 2 Medidas de Seguridad Procedimientos ORGANIZACIÓN 3 Flujo de información Necesita los datos del afectado para operar. Actuaciones Externas: METODOLOGÍA EMPLEADA POR LA ORGANIZACIÓN EN LA ADAPTACIÓN 4 4 REPERCUSIONES Información al Afectado Consentimiento Expreso PARA LA ORGANIZACIÓN EN FUNCIÓN DE LA METODOLOGÍA EMPLEADA 1 PERSONA Dueño de los datos IMAGEN PERCIBIDA DE LA ORGANIZACIÓN POR LA PERSONA -2-

3 1. Principio fundamental 1. Principio fundamental 2. Definiciones 2. Definiciones 3. Cumplimiento Legislativo 3. Cumplimiento Legislativo 4. Derechos y obligaciones 4. Derechos y obligaciones 5. Agencia Española de Protección de Datos 5. Agencia Española de Protección de Datos 6. Responsabilidades y Sanciones 6. Responsabilidades y Sanciones -3-

4 Datos Los datos son de las personas, no de las ORGANIZACIONES. -4-

5 Artículo 18 De los derechos fundamentales y de las libertades públicas 1. Se garantiza el derecho al honor, a la intimidad personal y familiar y a la propia imagen. 4. La ley limitará el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos y el pleno ejercicio de sus derechos. Convenio Europeo para la Protección de los Derechos Humanos y de las Libertades Fundamentales. Directiva 46 UE, Protección del tratamiento de datos personales y a la libre circulación de éstos. Poder Legislativo Español LORTAD (1992): Formato Electrónico LOPD (13/12/1999): Formato Electrónico y Papel RD 1720/2007: Desarrollo LOPD Reciente Publicación Nuevo Reglamento LOPD (RD 1720/2007) Reglamento de Medidas de Seguridad (1999). Formato Electrónico (DEROGADO) -5-

6 Ficheros de datos de carácter personal de titularidad pública o privada. Conjunto organizado de datos. Formato papel. Formato electrónico. Cualquier información concerniente a personas físicas identificadas o identificables. Administraciones Públicas. Empresa privada (Autónomos y Sociedades). Niveles de Ficheros: BÁSICOS: Todos los ficheros deberán adoptar las medidas de seguridad calificadas como de nivel básico. MEDIOS: Datos relativos a: Infracciones administrativas o penales. Hacienda Pública. Ficheros de Solvencia Patrimonial y Crédito (ASNEF, RAI, etc...). Servicios Financieros. Caso especial: Valoración de la personalidad (i.e.curriculum Vitae) ALTOS: Datos relativos a: Ideología / Filiación Sindical. Religión / Creencias. Origen Racial. Salud. Vida Sexual. -6-

8 LOPD 15/1999 Ley Orgánica de Protección de Datos de Carácter Personal Datos de carácter personal Cualquier información concerniente a personas físicas identificadas o identificables. Ficheros de datos de carácter personal Todo conjunto organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso. Titularidad pública Creados por las Administraciones Públicas en el Tipos ejercicio de sus funciones. Titularidad privada Creados por un particular o ORGANIZACIÓN privada para el desarrollo de actividades Tratamiento de los datos - Operaciones y procedimientos técnicos - De carácter automatizado o no legítimas. Recogida / grabación / conservación elaboración / modificación / bloqueo cancelación / cesiones de datos -Comunicaciones - Consultas - Interconexiones - Transferencias. -8-

9 LOPD 15/1999 Ley Orgánica de Protección de Datos de Carácter Personal Responsable del fichero o del tratamiento - persona física o jurídica - pública o privada, u órgano administrativo fichero de datos personales - finalidad - contenido - uso Encargado del tratamiento - persona física o jurídica - autoridad pública - servicio u organismo - acceso al fichero de datos personales - realiza un tratamiento de los datos por cuenta del responsable del fichero. Afectado o interesado - persona física (nunca una persona jurídica) titular de los datos de carácter personal -9-

11 Recogida de datos de carácter personal Inscripción del fichero ante la Agencia de Protección de Datos Informar a las personas dueñas de los datos. - Información previa, expresa precisa e inequívoca de la recogida de datos. - Finalidad y destinatarios de la información. - Consecuencias de la obtención de los datos o de la negativa. - Identidad del Responsable del Fichero. - Derechos de acceso, rectificación, cancelación y oposición. Calidad de los datos - El tratamiento no puede ser arbitrario. - Adecuados, pertinentes y no excesivos. - En relación con la finalidad legítima para la que se obtengan. - Exactos y puestos al día. - Cancelados cuando ya no sean necesarios para la finalidad para la que se recogieron. - Nunca deberán recogerse por medios fraudulentos, desleales o lícitos. -11-

12 Recogida de datos de carácter personal Consentimiento del afectado - Consentimiento de la persona de la que se recaban los datos. - Consentimiento específico para el tratamiento de datos e informado del mismo. - No será necesario consentimiento - Administración Pública en ejercicio de sus funciones. - Entre las partes en un contrato comercial, laboral o administrativo. - Para proteger un interés vital del interesado. - Cuando los datos se encuentren en fuentes accesibles al público y haya un interés legítimo del responsable del fichero o del destinatario de los datos. -12-

13 Recogida de datos de carácter personal Seguridad de los datos - Tratamiento que garantice la seguridad de los mismos. - Evitar su alteración, pérdida, tratamiento o acceso no autorizado. Deber de secreto - Secreto profesional respecto de los datos incluidos en el fichero. - Prohibición de revelar a terceras personas tales datos.. Responsable del fichero de datos Encargado de su tratamiento -13-

14 Tratamiento de datos de carácter personal Tratamiento por cuenta de terceros Relación con el Encargado del tratamiento - Regulada en un contrato - Contenido del contrato - las instrucciones del responsable del fichero - el fin de la utilización de los datos - la prohibición de comunicación a otras personas - las medidas de seguridad a implementar. - Destrucción o devolución de los datos finalizado el contrato -14-

15 Cesión o comunicación a terceros Cumplimiento de los fines directamente relacionados con las funciones legítimas del cedente y del cesionario. Con el previo consentimiento del interesado. - Indicando la finalidad a qué se destinarán los datos. - Identidad del cesionario. - Naturaleza de los datos cedidos. Siempre puede revocarse una vez prestado. -15-

16 Transferencia internacional de datos Autorización previa del Director de la APD Excepciones - Transferencia internacional a través de los tratados o convenios firmados por España. - Cuando se refiera a transferencias dinerarias. - Consentimiento inequívoco a la transferencia prevista. - Para un contrato entre el afectado y el responsable del fichero, o entre éste y un tercero. - Registro público y sea acorde con la finalidad del mismo. - Estado miembro de la UE, o un Estado que garantiza un nivel de protección adecuado. Cumplimiento de la LOPD Inclusión de la transferencia en la declaración del fichero -16-

17 RESUMIENDO... FASES DEL TRATAMIENTO RECOGIDA DE DATOS TRATAMIENTO DE DATOS UTILIZACIÓN DE DATOS Principio de Calidad Principio de Consentimiento Seguridad de los Datos Deber de Secreto Comunicación de los Datos Principio de Información Acceso a Datos por cuenta de terceros DATOS PERSONALES INTERESADOS Derecho de Acceso Derecho de Rectificación, Oposición y Cancelación Derecho de Indemnización -17-

19 Obligaciones del Responsable del Fichero Notificar a la APD Creación Modificación Eliminación Recogida de datos Adecuados Pertinentes No excesivos Calidad de datos Deber de Información Tratamiento y Cesión Colaboración con la APD Acceso a los derechos Acceso Rectificación Cancelación Oposición Deber de guardar secreto Atención de los derechos de las personas -19-

20 Responsabilidades de administradores y Responsable de Seguridad Puesta en marcha de las medidas de seguridad Mantener actualizado el Documento de seguridad Colaborar en la difusión del Documento de seguridad Controlar el cumplimiento de las medidas de seguridad - Medidas técnicas - Medidas Organizativas -20-

21 Responsabilidades de administradores y Responsable de Seguridad (Cont.) Gestionar las incidencias del sistema - Analizar las incidencias - Tomar las medidas oportunas Controles periódicos de verificación del cumplimiento Periodicidad al menos anual - Listas de usuarios, actualizando altas y bajas en el Documento de Seguridad - Comprobación de copias de seguridad - Registros de entradas y salidas - Estructura de datos de los ficheros -Plataformas hardware y software - Incidencias en los datos y en el sistema, y las medidas adoptadas - Auditoria bienal Velar por la política de seguridad en colaboración con el Responsable del Fichero -21-

22 Garantizar Consentimiento del afectado - consentimiento de la persona de la que se recaban los datos. - consentimiento específico para el tratamiento de datos e informado del mismo. - No será necesario consentimiento - Administración Pública en ejercicio de sus funciones. - Entre las partes en un contrato comercial, laboral o administrativo. - Para proteger un interés vital del interesado. - Cuando los datos se encuentren en fuentes accesibles al público y haya un interés legítimo del responsable del fichero o del destinatario de los datos. Seguridad de los datos - Tratamiento que garantice la seguridad de los mismos. - Evitar su alteración, pérdida, tratamiento o acceso no autorizado. Responsable del fichero de datos Encargado de su tratamiento Deber de secreto - Secreto profesional respecto de los datos incluidos en el fichero. - Prohibición de revelar a terceras personas tales datos. -22-

23 Funciones y obligaciones Salvaguarda y protección de las contraseñas personales Notificación de incidencias - Responsable de Seguridad - Administradores Gestión de los soportes con datos de carácter personal - Ficheros - Envíos, identificación: - Nivel de seguridad - Fecha - Reutilización - Garantizar la no recuperación de datos Si no es posible Destrucción -23-

24 Funciones y obligaciones de los usuarios con acceso a datos Cumplimiento de la política de seguridad Cumplimiento de las medidas de seguridad Respetar la finalidad, el uso y contenido del fichero Garantizar el acceso a los derechos de los ficheros Acceso Rectificación Cancelación Oposición Deber de secreto sobre los datos de carácter personal -24-

25 -25-

26 ERROR: undefined OFFENDING COMMAND: f ~ STACK: