“LA LEY LIMITARÁ EL USO DE LA INFORMÁTICA PARA GARANTIZAR EL HONOR Y LA INTIMIDAD PERSONAL Y FAMILIAR DE LOS CIUDADANOS Y EL PLENO EJERCICIO DE SUS DERECHOS.”

CONSTITUCIÓN ESPAÑOLA (art. 18.4.)

La LORTAD, 5/1992, de 29 de Octubre, estableció una primera vía de protección administrativa de los datos automatizados, que sin embargo fue derogada por la LOPD, Ley 15/1999, de 13 de diciembre, o Ley de Protección de Datos.

Hasta el año 2008 se mantuvo en vigor el Reglamento de Medidas de Seguridad de los ficheros automatizados (R.D. 994/1999), dicho reglamento establecía las medidas de seguridad mínimas para proteger los datos personales que se tratasen de forma automatizada.

 En el año 2008, el Reglamento de Medidas de Seguridad ha sido derogado por el Reglamento de desarrollo de la Ley Orgánica de Protección de Datos (R.D. 1720/2007), viniendo a aclarar ciertas medidas de seguridad, así como a abarcar en su ámbito de aplicación los ficheros no automatizados.

 Todas las empresas públicas o privadas, sin excepción e independientemente de su tamaño, tienen que cumplir con las siguientes obligaciones:

     * Inscribir los ficheros con datos personales en el Registro de la Agencia Española de Protección Datos (RGPD), previo estudio, evaluación y clasificación de los mismos.

    * Generar el Documento de Seguridad para cada uno de los ficheros que contengan datos de carácter personal, indicando el responsable de seguridad, usuarios, mecanismos de seguridad, procedimientos, normas y estándares, etc.

    * Implantar todas las Medidas de Seguridad técnicas, jurídicas y organizativas que la ley prevé.

    * Estudiar todos los casos de Cesión y Acceso a datos por cuenta de terceros, a fin de que sean realizados conforme a las exigencias legales.

     * Constituyen una cesión de datos, todos los casos en que se produce una comunicación de datos a cualquier persona distinta del interesado.

      *  Estamos ante un acceso a datos por cuenta de terceros, cuando se comunican datos personales como consecuencia directa de la prestación de un servicio que es necesario para el normal funcionamiento de la empresa. En estos casos, la ley no exige consentimiento expreso para la comunicación de datos personales, pero sí que ésta sea regulada a través de un contrato en el que el tercero que accede a la información se comprometa a garantizar el cumplimiento de la Ley en los mismos términos en que ésta obliga al titular de los datos.

    * Garantizar entre otros, el Derecho de Información en la recogida de los datos personales, así como los derechos de Acceso, Rectificación, Cancelación y Oposición.

NIVELES DE SEGURIDAD DE LOS FICHEROS

NIVEL ALTO

Ficheros o tratamientos con datos:

De ideología, afiliación sindical, religión, creencias, origen racial, salud o vida sexual y respecto de los que no se prevea la posibilidad de adoptar el nivel básico. 

• Recabados con fines policiales sin consentimiento de las personas afectadas.
• Derivados de actos de violencia de género.

NIVEL MEDIO

Ficheros o tratamientos con datos:

* Relativos a la comisión de infracciones administrativas o penales.

* Que se rijan por el artículo 29 de la LOPD (prestación de servicios de solvencia patrimonial y crédito).

* De Administraciones tributarias, y que se relacionen con el ejercicio de sus potestades tributarias.

* De entidades financieras para las finalidades relacionadas con la prestación de servicios financieros.

* De Entidades Gestoras y Servicios Comunes de Seguridad Social, que se relacionen con el ejercicio de sus competencias.

* De mutuas de accidentes de trabajo y enfermedades profesionales de la Seguridad Social.

* Que ofrezcan una definición de la personalidad y permitan evaluar determinados aspectos de la misma o del comportamiento de las personas.

* De los operadores de comunicaciones electrónicas, respecto de los datos de tráfico y localización.

NIVEL BÁSICO

Cualquier otro fichero que contenga datos de carácter personal. También aquellos ficheros que contengan datos de ideología, afiliación sindical, religión, creencias, salud, origen racial o vida sexual, cuando:

*Los datos se utilicen con la única finalidad de realizar una transferencia dineraria a entidades de las que los afectados sean asociados o miembros.

* Se trate de ficheros o tratamientos no automatizados o sean tratamientos manuales de estos tipos de datos de forma incidental o accesoria, que no guarden relación con la finalidad del fichero.

* En los ficheros o tratamientos que contengan datos de salud, que se refieran exclusivamente al grado o condición de discapacidad o la simple declaración de invalidez, con motivo del cumplimiento de deberes públicos.

Sanciones:

El órgano pertinente  para la realización de las inspecciones es la AEPD, que puede  hacer cuando considere oportuno.

Serán atendidas también  todas las denuncias presentadas en la AEPD.  Se inician como procedimiento de oficio.

Estas denuncias pueden ser presentadas por los titulares de los datos o por cualquier otro tercero que tenga conocimiento de un incumplimiento de la ley.

La agencia se pondrá en contacto con el responsable del fichero de la empresa denunciada, para darle el derecho a replica. Posteriormente el Director de la AEPD, determinara las acciones a realizar. Puede realizar un sobreseimiento de la demanda o bien imponer una sanción. Las cuantías económicas van desde 600€ a 600.000€.

Cualquier empleado, cliente o proveedor, puede realizar una denunciar a la empresa sobre este tema y en la AEPD tienen obligación legal de investigar dicha denuncia.

Las cuantías exigibles a los trabajadores, en caso de que se demuestre una violación del secreto profesional, oscilan entre los 601,01€  y  300.506,10€. Dicho importe depende el carácter de los datos revelados