Registro General de Protección de Datos

Transcripción

1 GUÍA PARA LA CREACIÓN, MODIFICACIÓN Y SUPRESIÓN DE FICHEROS DE TITULARIDAD PÚBLICA Y SU INSCRIPCIÓN EN EL REGISTRO GENERAL DE PROTECCIÓN DE DATOS DE LA AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS Introducción Cómo realizar la inscripción de los ficheros o, en su caso, actualizarla. a) Cómo elaborar una disposición de carácter general de creación, modificación o supresión de ficheros. b) Cómo realizar una notificación de ficheros. c) Inscripción en el RGPD de los ficheros de titularidad pública. Cómo consultar el contenido de la inscripción de ficheros en el RGPD por su responsable a través de la página web de la Agencia Española de Protección de Datos. Cómo solicitar una copia de contenido de los ficheros inscritos o el listado de ellos.

2 Introducción El, en adelante RGPD, es el órgano de la Agencia Española de Protección de Datos al que corresponde velar por la publicidad de la existencia de los ficheros y tratamientos de datos de carácter personal, con miras a hacer posible el ejercicio de los derechos de información, acceso, rectificación y cancelación de datos regulados en los artículos 14 a 17 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, en adelante LOPD. Según el artículo 39.2 de la LOPD, serán objeto de inscripción los ficheros de los que sean titulares las Administraciones públicas. Cómo realizar la inscripción de los ficheros o, en su caso, actualizarla. Para realizar la inscripción del alta de un fichero de titularidad pública en el RGPD, así como también de su modificación o supresión, se han de seguir los siguientes pasos: - Creación del fichero, que debe hacerse por medio de una disposición de carácter general - Publicación de la disposición en el boletín oficial correspondiente - Notificación de la creación (también de la modificación o supresión) al RGPD para su inscripción. a) Cómo elaborar una disposición de carácter general de creación, modificación o supresión de ficheros. De conformidad con el artículo 20 de la LOPD, así como al artículo 52 del RLOPD 1, la creación, modificación o supresión de los ficheros de las Administraciones públicas sólo podrán hacerse por medio de disposición general publicada en el Boletín Oficial del Estado o Diario oficial correspondiente 2. - Disposición de creación del fichero Cuando se trate de ficheros de los que sean responsables las comunidades autónomas la disposición de carácter general deberá revestir la forma que establezca su legislación específica (artículo 53.3 del RLOPD) 3 y, según detalla el artículo 54 del RLOPD, deberá contener los siguientes extremos:! " #$ # #" %%% " &' ()($ (#*+,! &' ()($ ('-+#&& ( +##.

3 a) La identificación del fichero: denominación y descripción de la finalidad y usos previstos. b) El origen de los datos indicando el colectivo de personas del que provienen los datos, el procedimiento de recogida y su procedencia. c) La descripción detallada de los datos identificativos y en su caso de los especialmente protegidos, así como de las restantes categorías de datos de carácter personal incluidas en el mismo y el sistema de tratamiento utilizado en su organización (indicando si se trata de un fichero automatizado, no automatizado o parcialmente automatizado -mixto). d) Los destinatarios o categorías de destinatarios de las comunicaciones de datos previstas. e) Las transferencias internacionales de datos previstas f) Los órganos responsables del fichero. g) Las unidades ante los que pudiesen ejercitarse los derechos de acceso, rectificación, cancelación y oposición. h) El nivel básico, medio o alto de seguridad exigible. - Disposición de modificación del fichero De conformidad con lo dispuesto en el artículo 58 del RLOPD, la inscripción de los ficheros en el RGPD deberá encontrarse actualizada en todo momento, por lo que cualquier modificación que afecte al contenido de la inscripción de un fichero deberá ser previamente notificada, para su inscripción en el RGPD, por el órgano competente de la Administración responsable del fichero, según establece el artículo 55 del RLOPD. La disposición de modificación de ficheros ya existentes deberá indicar las modificaciones producidas en cualquiera de los extremos señalados en el apartado anterior. Esto implica tanto las modificaciones de la información que ya conste en la inscripción del fichero como a la nueva que se pretenda incluir (cesiones de datos, ), y no sería necesaria la íntegra publicación de todas las características del fichero que el citado artículo 54 establece para su creación, sino sólo aquellas que hayan sufrido variaciones o que supongan una novedad. Cuando la modificación de los ficheros obedezca exclusivamente a una restructuración de los organismos responsables sería suficiente, como disposición de carácter general reguladora de dicha modificación, aquella en la que se establezcan los cambios orgánicos. - Disposición de supresión del fichero Cuando se decida la supresión del fichero, ésta deberá notificarse a efectos de que se proceda a la cancelación de la inscripción en el RGPD. De forma análoga, la disposición en la que se acuerde la supresión de ficheros se deberá indicar el destino que vaya a darse a los datos o, en su caso, las previsiones que se adopten para su destrucción.!

4 DISPONE Para facilitar la tarea de elaboración de la disposición de carácter general de creación, modificación o supresión de ficheros, la Agencia Española de Protección de Datos (AEPD) ha puesto a disposición de todas las Administraciones Públicas y de aquellas Corporaciones responsables de ficheros de titularidad pública una herramienta que, bajo el nombre genérico de DISPONE,, ayuda a generar la correspondiente disposición de carácter general. DISPONE incorpora ejemplos a los que se podrá acceder en cada uno de los apartados a cumplimentar y que pueden ser de utilidad a la hora de la descripción de los ficheros de cada Administración. DISPONE está accesible a través de ofreciendo una sencilla ayuda que convierte su uso en ágil e intuitivo. x-ides-idphp.phpidphp.php Adoptada la disposición de carácter general, deberá publicarse en el boletín oficial correspondiente. b) Cómo realizar una notificación de ficheros. Una vez publicada en el boletín oficial correspondiente la disposición de carácter general por la que se crean, modifican o suprimen ficheros de titularidad pública, se deberá notificar a la AEPD para su inscripción en el RGPD en el plazo de 30 días desde la publicación. La notificación se deberá realizar cumplimentando los formularios electrónicos del sistema de Notificaciones Telemáticas de la AEPD -Sistema NOTA-,, disponibles en la web de la Agencia (aprobado mediante Resolución de la AEPD de 12 de julio de B.O.E. nº 181, de 31 de julio).

5 _tele/obtencion_formulario/index-ides-idphp.php En esta página se accede al formulario electrónico NOTA, así como a la información técnica que facilita su instalación y cumplimentación de forma gratuita (para cualquier incidencia relativa al Sistema NOTA se puede contactar en la dirección de correo electrónico incidenciasnota@agpd.es/. Este formulario permite la presentación de forma gratuita de notificaciones a través de Internet con certificado de firma electrónica. En caso de no disponerse de un certificado de firma electrónica, también se puede presentar la notificación a través de Internet, para lo cual se deberá remitir a la AEPD la hoja de solicitud correspondiente al envío realizado debidamente firmada. Por último, también se puede optar por el modo de presentación en soporte papel. El sistema NOTA dispone de formularios tipo para notificar de forma simplificada los ficheros de titularidad pública de: Nóminas, Recursos humanos, Agenda, Control de acceso, Gestión económica, Historia clínica, Registro, Padrón, Alumnos y/o Profesores. A través de esta opción, el formulario electrónico muestra una notificación precumplimentada que podrá, en su caso, adaptarse a la situación concreta del fichero a notificar. En el caso de que ninguna de las notificaciones tipo disponibles se adapten al fichero que se pretende notificar, se deberá seleccionar la opción de notificación normal. La notificación debe venir acompañada de una copia de la disposición de carácter general por la que se crea, modifica o suprime el fichero, salvo que, como ya es común, el boletín oficial en el que se haya publicado sea accesible electrónicamente, en cuyo caso basta con indicar en el formulario NOTA la dirección electrónica que permita su localización (artículo RLOPD). En las notificaciones de modificación y supresión de ficheros se deberá indicar el código de inscripción, que se facilita al responsable del fichero en la resolución por la que se acordó la inscripción del fichero. Tanto para la creación como para la modificación o supresión de ficheros se deberá haber adoptado, con carácter previo a la notificación correspondiente, la disposición de carácter general.

6 c) Inscripción en el RGPD de los ficheros de titularidad pública. Una vez recibida la notificación de creación, modificación o supresión de ficheros de titularidad pública, si contuviera la información preceptiva y se cumplieran los restantes requisitos legales, el Director de la AEPD dictará resolución acordando el alta, modificación o supresión de los ficheros. Con el alta se asignará un código de inscripción, que se comunicará al responsable con la resolución y que será necesario para posteriores notificaciones de modificación o supresión (artículo 132 RLOPD). Si la notificación no contuviese la información preceptiva o se advirtiesen defectos formales el RGPD requerirá que se complete o subsane. Si la subsanación precisase la modificación de la disposición de carácter general el plazo será de 3 meses (artículo RLOPD). Sin perjuicio del plazo de 3 meses para la subsanación de defectos, la duración máxima del procedimiento es de 1 mes, entendiéndose inscrito, modificado o suprimido el fichero si no se hubiese dictado y notificado en dicho plazo la correspondiente resolución (artículo 134 RLOPD). A través de la Sede Electrónica de la Agencia o del Canal del responsable de la página web de la Agencia se puede consultar el estado de tramitación de las solicitudes de inscripción (notificaciones en trámite), mediante certificado de firma electrónico de la persona que presentase en su día la notificación o, en caso de no disponer de certificado de firma electrónico, se puede realizar la consulta identificándose mediante el NIF del declarante del fichero y el código de envío o código de inscripción para los supuestos de modificación o supresión. Cómo consultar el contenido de la inscripción de ficheros en el RGPD por su responsable a través de la página web de la Agencia Española de Protección de Datos. Igualmente, a través de la Sede Electrónica de la Agencia o del Canal del responsable de la página web de la Agencia se puede consultar el contenido completo de la inscripción mediante certificado de firma electrónico de la persona que presentase en su día la notificación o, en caso de no disponer de un certificado de firma electrónico, se puede realizar la consulta identificándose mediante NIF y el código de inscripción. Esta vía proporciona el código de inscripción, que la normativa reserva exclusivamente a los responsables de los ficheros.

7 Cómo solicitar una copia de contenido de los ficheros inscritos o el listado de ellos. A través de la Sede Electrónica de Agencia el responsable de ficheros, además de realizar los trámites anteriormente señalados, puede solicitar una copia de los ficheros inscritos: Esta copia se ofrece en tres modalidades: Relación de ficheros (incluye el código de la inscripción de cada uno de ellos junto a la información más relevante respecto a los mismos). Copia de la resolución de inscripción (creación, modificación o supresión) de un fichero. Copia del contenido íntegro de la inscripción de los ficheros de la entidad (máximo de 35 ficheros). El formulario permite la solicitud a través de Internet con certificado de firma electrónica. En caso de no disponer de un certificado de firma electrónica, se puede optar por el modo de presentación en soporte papel.