Desde su entrada en vigor, la

Transcripción

1 140 Borrador del reglamento de desarrollo de la LOPD EL BORRADOR DEL REGLAMENTO DE DESARROLLO YA DISTINGUE LOS TRATAMIENTOS EN SOPORTE PAPEL DE LOS TRATAMIENTOS AUTOMATIZADOS, EXIGIENDO MEDIDAS DE SEGURIDAD ESPECÍFICAS PARA LOS DOCUMENTOS EN PAPEL Gonzalo Martínez Flechoso ABOGADO - CISA MARZO - ASESORES Desde su entrada en vigor, la vigente Ley Orgánica 15/ 1999, de 13 de diciembre, de de Carácter Personal, más conocida como LOPD, no ha sido desarrollada por ningún reglamento, a diferencia de la ya derogada Ley Orgánica 5/1992 de 29 de octubre, de regulación automatizada de los datos de carácter personal LORTADque fue desarrollada en parte por el Real Decreto 1332/94, de 20 de junio. Sin embargo, a lo largo del pasado año 2005, la Agencia Española de Protección de Datos en colaboración con el Ministerio de Justicia, se encuentran manos a la obra trabajando en el contenido del tan esperado Reglamento de desarrollo de la LOPD cuyo texto final parece que entrará en vigor durante la primavera del año recién estrenado. Hasta el momento, de este reglamento de desarrollo de la LOPD, se conoce un primer borrador dónde se incluyen disposiciones generales y aspectos relativos a los principios de protección de datos, se desarrollan los derechos de acceso, rectificación, cancelación y oposición de las personas físicas, se regulan las medidas de seguridad en el tratamiento de datos de carácter personal y se articulan aspectos referentes a las transferencias internacionales de datos. La Agencia Española de y el Ministerio de Justicia se encuentran manos a la obra trabajando en el contenido del Reglamento de desarrollo de la LOPD Aunque todavía no disponemos de un texto definitivo, en las siguientes líneas, se destacan las principales novedades incluidas en este borrador del reglamento de desarrollo de la LOPD conocido hasta la fecha, respecto a la vigente normativa en materia de tratamiento de datos de carácter personal y que, con carácter general, afectan a la organización interna de cualquier empresa que para el desarrollo habitual de su actividad lleve a cabo el tratamiento de datos de carácter personal. Disposiciones generales y principios El primer aspecto a destacar, dentro de las disposiciones generales, es que el ámbito de aplicación del citado borrador del reglamento de desarrollo, aparte de los datos de carácter personal registrados en cualquier soporte tal y como establece la LOPD, abarca los datos de las personas físicas que dependen o están relacionadas con las personas jurídicas para las que prestan sus servicios. En segundo lugar, respecto a los conceptos regulados en el citado borrador del reglamento de desarrollo, se define al responsable del fichero o tratamiento como la persona que decide sobre la finalidad, uso, y contenido del tratamiento, independientemente de que materialmente realice o no este tratamiento, así como las personas integrantes de entes sin personalidad jurídica, que traten datos de carácter personal.

2 141 Protección integral de los Datos de Carácter Personal. Asimismo, se incorpora un nuevo término referido al Tercero, entendido éste como la persona distinta del responsable del fichero o tratamiento, del encargado del tratamiento y de las personas dependientes y bajo la autoridad del responsable y del encargado del tratamiento. Por último, a diferencia de la actual normativa dónde se considera transferencia a cualquier movimiento internacional de datos fuera del territorio español, el borrador del reglamento de la LOPD define la Transferencia Internacional, como la transmisión de datos fuera del Espacio Económico Europeo. Por lo que se refiere a los principios de protección de datos, el borrador del reglamento de desarrollo comienza con el de calidad de los datos, obligando a rectificar o cancelar en el plazo de diez días desde que se tenga conocimiento de la inexactitud, sin precisarse cuales son los medios por los que el responsable del tratamiento conoce que datos No obstante, una vez cancelados los datos, se permite mantener unos datos mínimos para identificar a los interesados son inexactos, y garantizan la veracidad de la inexactitud. Por otra parte, con relación al principio del consentimiento, el borrador del reglamento de desarrollo, regula los mecanismos tendentes a recabar los consentimientos para el tratamiento y la cesión de los datos; en concreto, para obtener el consentimiento tácito, se obliga al responsable a facilitar un mecanismo sencillo y gratuito a través del cual el afectado pueda manifestar su negativa al tratamiento de los datos, como por ejemplo un envío prefranqueado o un teléfono gratuito, y un plazo de treinta días para contestar. Y, finalmente, en cuanto al resto de principios, se establece la posibilidad de subcontratación de servicios que impliquen un acceso a los datos de carácter personal del responsable por parte del encargado del tratamiento. Subcontratación que podrá realizar el encargado del tratamiento siempre que tenga poder suficiente otorgado por el responsable del tratamiento, y

3 142 Derechos echos de acceso, rectificación, cancelación y oposición. se realice en nombre y por cuenta de dicho responsable. Dicha subcontratación de servicios también podrá llevarse a cabo sin necesidad de apoderamiento, siempre y cuando en el contrato suscrito entre el responsable y el encargado del tratamiento, se establezcan los servicios objeto de subcontratación, la identidad del subcontratista y demás obligaciones impuestas por el citado borrador de reglamento, para el acceso a datos por cuenta de terceros. Acceso, rectificación, cancelación y oposición Otro de los aspectos novedosos del citado borrador del reglamento relacionado con los derechos de las personas físicas es la regulación del derecho de oposición, que si bien se menciona tanto en la vigente LOPD como en la Instrucción dictada por la Agencia Española de en materia de derechos, hasta la fecha se El borrador abarca los datos de las personas físicas que dependen o están relacionadas con las personas jurídicas para las que prestan sus servicios encuentra pendiente de desarrollo, sin existir un procedimiento que establezca cuando y como se puede ejercitar este derecho. En este sentido, y según lo dispuesto en el citado borrador de reglamento, el derecho de oposición podrá ejercitarse cuando no se requiera el consentimiento para el tratamiento de los datos, cuando se trate de ficheros cuya finalidad sea la publicidad y prospección comercial, y cuando el tratamiento tenga por finalidad la adopción de una decisión personal automatizada sobre aspectos de la personalidad. Como en el resto de derechos, el ejercicio del derecho de oposición, deberá realizarse ante el responsable del fichero o tratamiento quién, si la resolución es satisfactoria, tendrá que resolver en el plazo de diez días admitiendo o no el derecho de oposición, y debiendo excluir del fichero los datos sobre los que se haya ejercido el derecho de oposición. Cuando los ficheros sobre los que se ejercita el derecho de oposición sean de publicidad y prospección comercial, a la simple solicitud de los interesados el responsable deberá cancelar los datos, y deberá facilitar un medio sencillo y gratuito para que los interesados se opongan a dicho tratamiento, sin poder el responsable exigir a aquellos el envío de cartas certificadas o procedimientos similares. No obstante, una vez cancelados los datos, se permite al responsable mantener unos datos mínimos imprescindibles para identificar a los interesados y con ello no enviarles publicidad en futuras campañas comerciales, constituyéndose así las denominadas Listas Robinson. Para terminar con el apartado relativo a los derechos de acceso, rectificación, cancelación y oposición, en lo referido a las historias clínicas, el borrador del reglamento de desarrollo, se remite a lo establecido en la Ley 41/ 2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica y en la normativa autonómica reguladora de esta materia aunque, a este respecto, es importante destacar que la referida Ley 41/2002, únicamente contempla el derecho de acceso, sin especificar las condiciones

4 144 y plazos para su ejercicio y contestación por el responsable. Medidas de seguridad Es precisamente el apartado de medidas de seguridad dónde el borrador del reglamento de desarrollo recoge los cambios más significativos con relación a la vigente normativa en esta materia. En primer lugar, respecto a los niveles de seguridad que siguen siendo el básico, medio y alto, se suprime el nivel intermedio entre el básico y el medio para los conjuntos de datos que permitan obtener la personalidad del individuo, y tales datos quedan incorporados directamente al nivel medio de seguridad. Dentro de este nivel medio también se engloban los datos relativos a menores de catorce años y a víctimas de violencia de género. A título de ejemplo, todos los colegios, escuelas, guarderías, etc, con alumnos menores de 14 años, vendrán obligadas a implantar medidas de seguridad del nivel medio. Mayor complejidad surge con los datos de las víctimas de violencia de género y la obligación de implantar sobre los mismos medidas de seguridad de nivel medio, ya que la dificultad estriba a la hora de determinar si las víctimas de violencia de género tienen esta condición cuando se haya dictado sentencia firme, o simplemente por una denuncia, o cuando se hayan adoptado medidas cautelares para proteger a la víctima, o si la sentencia dictada es recurrida. En segundo lugar, respecto al nivel alto de seguridad, el borrador del reglamento de desarrollo incluye dos importantes cambios: uno, la inclusión dentro del nivel de seguridad alto, de los datos de las operadoras que presten servicios de comunicaciones electrónicas o exploten redes públicas de comunicaciones electrónicas respecto a los datos de tráfico o localización, también los datos y claves necesarios para emitir los certificados digitales para realizar firma electrónica, salvo los datos de naturaleza pública de dichos certificados; y otro, como excepción de los datos de ideología, afiliación sindical, religión, creencias y salud, que siguen encuadrándose dentro del nivel alto, cuando estos datos se traten con la única finalidad de gestión y cumplimiento de las obligaciones por el retenedor, o la transferencia dineraria a las entidades de las que los afectados sean asociados o miembros, se podrán adoptar sobre ellos las medidas de nivel básico. Cuando los ficheros sean de publicidad y prospección comercial el responsable deberá facilitar un medio sencillo y gratuito para que los interesados se opongan a dicho tratamiento De esto último, parece desprenderse que la intención del legislador es excluir del nivel de seguridad alto tanto los datos de salud que el cien por cien de las empresas que tienen trabajadores a su cargo mantienen, simplemente, con la finalidad de calcular las retenciones para el pago de rentas, como los datos de afiliación sindical para el descuento de la cuota sindical. Sin embargo, a pesar de la intención del legislador, hay todavía un gran número de empresas que están obligadas a implantar medidas de seguridad de nivel alto sobre determinados datos que son objeto de trata- miento, como por ejemplo, para cumplir con la normativa en materia de prevención de riesgos laborales. En tercer lugar, una nueva exigencia de seguridad para el responsable del tratamiento que se contempla en el borrador del reglamento de desarrollo, es la obligación de adoptar medidas para limitar la posibilidad de acceder a datos a las personas que si bien no deben acceder a dichos datos, durante la prestación de los servicios contratados tienen la posibilidad de acceder a los mismos. Es el caso, por ejemplo, de contratación de servicios de limpieza o mantenimiento en cuyos contratos de servicios deberán incorporarse las correspondientes cláusulas relativas a dicha prohibición. En cuarto lugar, el borrador del reglamento de desarrollo ya distingue los tratamientos en soporte papel de los tratamientos automatizados, exigiendo medidas de seguridad específicas para los documentos en papel. Así, para el nivel básico, se exige el almacenamiento de los documentos con datos de carácter personal en lugares con mecanismos que obstaculicen su apertura, medida ésta que a priori no plantea mayores problemas de implantación; también se exige que se identifique el tipo de información que contienen los documentos, y que éstos sean inventariados y almacenados en lugares controlados por personal autorizado, medida ésta que, sin embargo, si resultará más costosa de implantar, igual que otra medida de seguridad del nivel básico para los documentos, los «criterios de archivo», donde se obliga al responsable del fichero a establecer los procedimientos que deban seguirse para los ficheros no automatizados, dirigidos a garantizar la correcta conservación de los documentos, la localización y consulta de la información y posibilitar el ejercicio de los derechos de acceso, rectificación, cancelación y oposición.

5 146 En quinto lugar, con relación a las medidas de seguridad de nivel medio, se destaca por una parte, que el documento de seguridad deberá contener los controles periódicos que se deban realizar para verificar el cumplimiento de lo dispuesto en el propio documento. Y por otra parte, que la medida de seguridad del registro de accesos que se incluye actualmente para el nivel alto, en el borrador del reglamento de desarrollo pasa a incorporarse como una medida de seguridad del nivel medio, con la excepción de que no será necesario el registro de accesos cuando el responsable del fichero o tratamiento garantice que sólo él tiene acceso y trata los datos personales, quedándonos la duda de si se refiere este excepción a «él» como persona física responsable del fichero o tratamiento, o también a «él» como persona jurídica responsable del fichero o tratamiento. Asimismo, en este nivel medio, se exige que los datos almacenados en dispositivos portátiles o tratados fuera de los locales del responsable del fichero, estén cifrados. Y, en cuanto a las medidas para ficheros no automatizados, destacar que los lugares donde se encuentren estos ficheros deben estar do- tados de mecanismos que impidan la destrucción o no recuperación de la información, como dispositivos ignífugos, equipamiento contra incendios etc. En cuanto al copiado y reproducción de documentos, el nivel medio exige para los datos en ficheros no automatizados, que se establezcan procedimientos para que sólo las personas En el nivel medio se exige que los datos almacenados en dispositivos portátiles o tratados fuera de los locales del responsable del fichero estén cifrados autorizadas puedan realizar copias de documentos, y se arbitren controles para evitar que por la generación de copias se produzcan accesos no autorizados. Medida de seguridad ésta que podrá ser, en mayor o menor medida, implantada en cuanto a la generación de copias por medio de impresoras, pero que se hace complicada su implantación en el uso de fotocopiadoras. Finalmente, en cuanto a las medidas de nivel alto para los ficheros no automatizados, el borrador del reglamento de desarrollo obliga que para el traslado de la documentación se adopten medidas dirigidas a impedir el acceso o manipulación de la información que se traslade, y a establecer controles que permitan detectar si se ha producido algún acceso no autorizado. En definitiva, a través de este borrador de reglamento de desarrollo de la LOPD y su versión final, y reiteramos borrador, porque sobre ésta y otras versiones posteriores está trabajando la Agencia Española de Protección de Datos junto con el Ministerio de Justicia para la aprobación de un texto definitivo, esperamos se aclaren las distintas interpretaciones que se desprenden tanto del contenido de la LOPD como del resto de normas vigentes sobre protección de datos, así como de la actual doctrina y jurisprudencia dictada por los Órganos competentes en materia de protección de datos personales. NIVEL ALTO DE SEGURIDAD En sexto lugar, por lo que se refiere al nivel alto de seguridad, el borrador del reglamento de desarrollo obliga a la realización de un registro de accesos para los ficheros no automatizados, donde una persona designada a quién se le solicite documentos, deberá registrar estos accesos, conservándose este registro por un mínimo de dos años. Por otro lado, las áreas donde se encuentren los documentos con datos de carácter personal, deberán estar protegidas con puertas con llave o dispositivo equivalente, debiendo permanecer cerradas cuando no sea preciso el acceso. Y si esta medida no fuese posible, se elaborará un informe por el responsable de seguridad al responsable del fichero con medidas alternativas, dotándose a los armarios y archivadores donde se almacenen los datos con sistemas que obstaculicen al acceso. Igualmente, cuando los documentos no se encuentren archivados en el lugar establecido, ya sea antes o después de su archivo, la información deberá ser custodiada para impedir el acceso a personas no autorizadas, por la persona que se encuentre al cargo de la misma, bien porque haya sido generado por ésta o dicha información haya sido solicitada del registro de accesos.