Regulación sobre protección de datos No hay duda de la importancia que las tecnologías de la información y de la comunicación han alcanzado en los últimos años. Las llamadas TIC (Tecnologías de la Información y de la Comunicación) han entrado en nuestra sociedad de un modo extremadamente acelerado, produciendo una auténtica revolución de la información, del mismo modo que en su día fue la revolución industrial; amenazando con transformar por completo nuestra idea de sociedad y de las estructuras que la conforman. La enorme capacidad de tratamiento y transmisión de la información que ofrecen las nuevas tecnologías hacen más apremiante la necesidad de proteger los derechos fundamentales del individuo, en concreto los contemplados en el artículo 18 de la Constitución, el derecho al honor, a la intimidad personal y familiar y a la propia imagen. La Constitución Española, en su artículo 18.4, emplaza al legislador/a a limitar el uso de la informática para garantizar el honor, la intimidad personal y familiar de los/as ciudadanos/as y el legítimo ejercicio de sus derechos. Asimismo, el derecho a la protección de datos personales ha sido calificado por el Tribunal Constitucional como un derecho fundamental. Un primer intento fue la Ley Orgánica 5/1992, de 29 de octubre, de regulación del tratamiento automatizado de los datos de carácter personal (LORTAD), que vino a tratar de llenar la laguna legal existente en esta materia. La LORTAD solo era aplicable a los ficheros automatizados, sin embargo con la Ley Orgánica 15/99, de 13 de diciembre, (que derogó a la LORTAD) sobre Protección de Datos de Carácter Personal (LOPD), actualmente en vigor, el objeto se ha ampliado a los no automatizados también. El ámbito de aplicación de esta Ley afecta a los datos registrados en soporte físico susceptibles de tratamiento con independencia de que se trate de ficheros automatizados o no automatizados. Pág 1 de 9
La LOPD tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas. El fín de esta Ley es que los datos de carácter personal objeto de tratamiento no puedan utilizarse para finalidades incompatibles con áquellas para la que los datos se hubieran recogido. No se considerará incompatible el tratamiento posterior de éstos con fines históricos, estadísticos o científicos. La Ley habla de finalidades incompatibles, la LORTAD hablaba de finalidades distintas. A estos efectos la Agencia de Protección de Datos (APD) interpreta incompatible como distinto La LORTAD no hacía referencia al consentimiento ni a sus requisitos, sin embargo la LOPD establece que el tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco, es decir, expreso o tácito, del afectado, salvo que la ley disponga otra cosa. Principios de la LOPD La Ley Orgánica de Protección de Datos consagra los siguientes principios: Los datos objetos de tratamiento no podrán usarse para finalidades incompatibles con aquellas para las que los datos hubieran sido recogidos. Introduce la regulación del derecho de información cuando los datos no han sido recabados del propio/a interesado/a. También se introduce el derecho de oposición previa petición y sin gastos, al tratamiento de los datos que les conciernan, en cuyo caso serán dados de baja del tratamiento, cancelándose las informaciones que sobre ellos figuren en aquél, a su simple solicitud. Incluye dentro de los datos especialmente protegidos, los referidos a la afiliación sindical. No se considerará cesión de datos, el acceso a los datos de un tercero cuando dicho acceso es necesario para la prestación de un servicio al responsable del tratamiento. Esto soluciona los problemas que surgen con ocasión de la prestación de servicios por externalización o «outsourcing». Pág 2 de 9
Funcionamiento La Ley otorga una serie de derechos a los/as afectados/as por el tratamiento de sus datos: Derecho de información. A la hora de prestar nuestro consentimiento en la recogida de datos personales nos asiste un derecho de información por el que se nos debe informar de modo expreso, preciso e inequívoco, de la existencia de un fichero, de la finalidad de la recogida de los datos, del carácter obligatorio o facultativo de su respuesta, de las consecuencias de la obtención o de la negativa de suministrar los datos, de la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición y, finalmente, de la identidad y del responsable del tratamiento. Desgraciadamente esta obligación de información no siempre se cumple. Derecho de acceso. Todo/a interesado/a tiene derecho a que el/la responsable del fichero o tratamiento le facilite el acceso a sus ficheros y obtener gratuitamente la información que solicite mediante la mera consulta por medio de la visualización o por escrito. Derecho de Rectificación y Cancelación. Cualquier tipo de datos que no se ajusten a la LOPD o resulten inexactos o incompletos deberán ser rectificados o cancelados por el responsable del fichero cuando así lo exija el interesado. También es gratuito. Derecho a ser indemnizado. Si como consecuencia del incumplimiento de los preceptos establecidos en la LOPD por el/la responsable del fichero o del tratamiento, la persona cuyos datos han sido objeto de tratamiento sufre algún daño o lesión en sus bienes o derechos, como la violación del derecho constitucional a la intimidad, tendrá derecho a indemnización. Pág 3 de 9
Niveles de protección los datos La LOPD organiza la protección de los datos en función de varios niveles y en función de la calidad de los datos que se manejen se deberá recurrir a distintos tipos de protección. 1. Nivel básico: todos los ficheros que contengan datos de carácter personal. 2. Nivel medio: todos los ficheros que contengan datos relativos a: La comisión de infracciones administrativas o penales. Hacienda Pública. Servicios financieros. La prestación de servicios de información sobre solvencia patrimonial y crédito. Los datos suficientes para permitir obtener una evaluación de la personalidad del individuo. 3. Nivel alto: todos los ficheros que contengan datos acerca de: Ideología. Religión. Creencias. Origen racial. Salud. Vida sexual. Los que contengan datos recabados con fines policiales sin consentimiento de las personas afectadas Pág 4 de 9
Medidas de seguridad exigibles por cada nivel Nivel básico Las medidas de seguridad exigidas en el nivel básico son: 1. Documento de seguridad. 2. Registro de incidencias. 3. Identificación y autenticación. 4. Control de acceso. 5. Gestión de soportes. 6. Copias de respaldo y recuperación. Nivel medio Las medidas de seguridad exigidas en el nivel medio, además de las indicadas para el nivel básico, son: 1. Limitación del número de intentos reiterados de acceso fallidos. 2. Designación de un/a Responsable de seguridad. 3. Control de acceso físico a los locales donde se encuentren ubicados los sistemas de información con datos de carácter personal. 4. Realización de una auditoría interna o externa, al menos cada dos años. Nivel alto Las medidas de seguridad exigidas en el nivel alto, además de las indicadas para el nivel básico y el medio, son: 1. Distribución mediante cifrado de datos. 2. De cada acceso se guardarán, como mínimo, la identificación del/de la usuario/a, la fecha y hora en que se realizó, el fichero accedido, el tipo de acceso y si ha sido autorizado o denegado. 3. Cifrado de datos si se transmiten a través de redes de comunicación. Pág 5 de 9
Para cualquiera de los niveles, las medidas de seguridad, en general, que se deben cumplir son: 1. Las medidas de seguridad exigibles a los accesos a datos de carácter personal a través de redes de comunicaciones deberán garantizar un nivel de seguridad equivalente al correspondiente a los accesos en modo local. 2. La ejecución de tratamiento de datos de carácter personal fuera de los locales de la ubicación del fichero deberá ser autorizada expresamente por el responsable del fichero y, en todo caso, deberá garantizarse el nivel de seguridad correspondiente al tipo de fichero tratado. Aplicación El Reglamento de Seguridad (R.D. 994/99) establece la obligación de las empresas de poner en marcha diversas medidas destinadas a garantizar la protección de datos, afectando a sistemas informáticos, archivos de soportes de almacenamiento, personal, procedimientos operativos, etc. Para adaptarse a las exigencias de la Ley, las organizaciones o empresas deben realizar los siguientes pasos: Identificar los ficheros de datos que se manejan y determinar el nivel de seguridad aplicable. Redactar el Documento de Seguridad en el que se recojan las medidas adoptadas en función del nivel correspondiente (el documento de seguridad ha de estar a disposición de la Agencia de Protección de Datos). Redactar y aplicar las cláusulas y contratos que sean necesarios en caso de tener que recabar el consentimiento de los afectados o que exista tratamiento de datos por terceros. Notificar a la Agencia de Protección de Datos la existencia del fichero. Algunas de las consideraciones que debe tener un/a usuario/a a la hora de facilitar sus datos personales en un sitio web son: Debe solicitar el consentimiento previo de los/as usuarios/as en caso de cesión, venta o intercambio de información contenida en los ficheros. Debe advertir de la utilización de «cookies» (herramienta informática que un sitio web puede incluir para conocer datos del equipo del/de la usuario/a y de su comportamiento durante la visita a dicho sitio). Pág 6 de 9
En caso de cambiar su política de confidencialidad, deben avisar a los/as usuarios/as mediante correo electrónico o mediante un anuncio en sus páginas. Deben identificarse los responsables de: la página la base de datos, dirección y teléfono. Debe determinar cuál es la finalidad de los datos obtenidos del/de la usuario/a. Debe determinar el mecanismo de seguridad establecido para los/as usuarios/as, (mediante un nombre y una clave que es personal y secreta, por ejemplo). Debe declarar el derecho de los/as usuarios/as a ejercer los derechos de acceso, rectificación, modificación y cancelación de sus datos y el mecanismo para hacerlo. Debe hacer referencia a la cesión de los datos a terceros y garantizar el nivel de seguridad que ofrecen esos terceros. Pág 7 de 9
Agencia de Protección de Datos http://www.agpd.es Es el Ente Público encargado de velar por el cumplimiento de la legislación en materia de protección de datos personales. Como autoridad de control, configurada como un órgano que actúa con independencia de las Administraciones Públicas, es controlador y fiscalizador de la aplicación de la Ley y posee capacidad investigadora y sancionadora. La APD tiene la facultad de imponer sanciones pecuniarias, proceder a la inmovilización de ficheros e incluso iniciar actuaciones disciplinarias contra funcionarios/as públicos/as. La Agencia dispone del Registro General de Protección de Datos para velar por la publicidad de la existencia de los ficheros de datos de carácter personal y para hacer posible el ejercicio de los derechos de información, oposición, acceso, rectificación y cancelación de datos. Según la Ley, cualquier persona podrá conocer, recabando a tal fin la información oportuna del Registro, la existencia de tratamientos de datos de carácter personal, sus finalidades y la identidad del/la responsable del fichero o tratamiento. La consulta será gratuita. Pág 8 de 9
Infracciones y sanciones La LOPD contempla una larga serie de actuaciones consideradas como infracciones que pueden dar lugar a sanciones consistentes en multas elevadas. A modo de ejemplo, mencionamos algunos casos en los que habría lugar a sanción, clasificados por nivel de infracción: 1. Leves Las infracciones leves serán sancionadas con multas de 601 a 60.101 euros. Las siguientes infracciones se consideran leves: No atender, por motivos formales, la solicitud del interesado de rectificación o cancelación de los datos personales objeto de tratamiento cuando legalmente proceda. No solicitar la inscripción del fichero de datos de carácter personal en el registro General de Protección de datos (puede llegar a ser infracción grave). 2. Graves Las infracciones graves serán sancionadas con multas de 60.101 a 300.056 euros. Las siguientes infracciones se consideran graves: Proceder a la creación de ficheros de titularidad privada o iniciar la recogida de datos de carácter personal con finalidades distintas de las que constituyen el objeto legítimo de la empresa o entidad. Proceder a la recogida de datos de carácter personal sin recabar el consentimiento expreso de las personas afectadas, en los casos en que éste sea exigible. 3. Muy graves Las infracciones muy graves serán sancionadas con multa de 300.506 a 601.012 euros. Las siguientes infracciones se consideran muy graves: La recogida de datos en forma engañosa y fraudulenta. La comunicación o cesión de los datos de carácter personal, fuera de los casos en que están permitidas. La transferencia temporal o definitiva de datos de carácter personal que hayan sido objeto de tratamiento o hayan sido recogidos para someterlos a dicho tratamiento, con destino a países que proporcionen un nivel de protección equiparable sin la autorización del Director de la Agencia de Protección de Datos. Pág 9 de 9