Source: http://www.agencialopd.com/aviso-legal-y-politica-de-privacidad-en-paginas-web
Timestamp: 2017-07-28 14:42:08+00:00

Document:
Aviso Legal y Política de Privacidad - Agencia LOPD
Aviso legal web y cumplimiento LOPD
Categoría: General	Publicado el 13 Abril 2014	Visitas: 1338	1. Aviso legal web
El aviso legal es el documento que recoge las cuestiones que la Ley de Servicios de la Información –LSSI en adelante- obliga a incluir prácticamente en todas las webs, concretamente en aquellos “prestadores de servicios de la sociedad de la información”, es decir personas físicas o jurídicas, que realicen actividades económicas por internet u otros medios telemáticos siempre que la dirección y gestión de su negocio esté centralizada en España o posea una sucursal, oficina o cualquier otro tipo de establecimiento permanente situado en España.
Afinando un poco más con carácter particular debes tener un aviso legal en tu web si te encuentras en alguna de estas circunstancias.
En primer lugar indicar que el acceso al aviso legal debe ser siempre por medios electrónicos de una forma “permanente, fácil, directa y gratuita”, es decir siempre visible por parte del usuario. En este sentido muchas webs lo colocan en el footer.El contenido obligatorio viene recogido en el artículo 10 de la LSSI.
Este punto aclara los derechos de los contenidos mostrados en la web, indicando el propietario de los mismos y el uso que cede. Por contenido se entiende el texto, imágenes, animaciones, bases de datos, programas informáticos y demás elementos gráficos o sonoros de la web. La utilización de los contenidos propios por parte de terceros deberá ir acordes con la estrategia empresarial y los intereses comerciales de nuestra web. Puede ser que al autor le compense que su contenido sea compartido siempre y cuando se cite al autor –y se enlace-.
Además de propiedad intelectual e industrial, se debería incluir otro contenido como:
Ley aplicable y jurisdicción para la resolución de controversias o cuestiones relacionadas con la web
Responsabilidad del titular ante caídas del servicio, mal funcionamiento o links externos.
Nota: A partir del 1 de abril de 2012 es de obligado cumplimiento avisar previamente sobre las cookies existentes en la web al usuario, para que éste acepte su uso o lo rechace. Podéis consultar este artículo al respecto.
Se deberá incluir, si es posible antes del inicio del proceso de compra, las condiciones generales de venta. De este modo, el usuario antes de empezar a comprar ha leído su contenido.
Esto conlleva una serie de obligaciones:
Será aceptada por los usuarios de manera previa en los formularios de recogida de datos, y deberán de ser informados de manera inequívoca, según el artículo 5 de la LOPD:
Un fichero es según el artículo 5 del reglamento de desarrollo de la LOPD: “Todo conjunto organizado de datos de carácter personal, que permita el acceso a los datos con arreglo a criterios determinados, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso.”.
Para facilitar a los responsables de ficheros con datos de carácter personal cumplir con la obligación que la LOPD establece de notificar sus ficheros, la AEPD creó el sistema de notificaciones telemáticas NOTA, accesible de forma gratuita desde su web. David Bonilla te explica en su Blog como cumplimentar el NOTA.
Los niveles de seguridad del Fichero
Las medidas de seguridad y el nivel de obligaciones del fichero depende de los datos personales almacenados, es por ello por lo que es importante plantearse en primer lugar que información vamos a solicitar a nuestros usuarios. Puede ser superior el coste de implementación y mantenimiento del nivel de seguridad al beneficio de poseer dicha información.
Es el reglamento de desarrollo de la LOPD, el Real Decreto 1720/2007, el que describe los tres niveles en los que se clasifican los ficheros.
Los tres niveles de seguridad en función de la información solicitada.
Todos los ficheros, por el mero hecho de contener información de carácter personal, le corresponde al menos el nivel básico, debiendo aplicar a su responsable unas mínimas medidas, que identificaremos más adelante.
Confiere el nivel medio a aquellos ficheros que, además de contener información personal básica, incluyen alguno de estos tipos de datos:
Información sobre infracciones administrativas o penales.
Los datos que hagan alusiones a la situación patrimonial o de crédito de las personas físicas, entre ellos por ejemplo los registros de impagados a los que acuden las entidades bancarias para conceder o denegar un préstamo o crédito en función del scoring asignado al solicitante.
Los datos que posean las Administraciones tributarias de cada uno de los contribuyentes.
Los datos que posean las entidades financieras y bancarias sobre sus clientes.
Los datos que posean las entidades gestoras dela Seguridad Social sobre los cotizantes y perceptores de prestaciones y subsidios, así como los que traten las mutuas de accidentes de trabajo y enfermedades profesional asociados a la Seguridad Social.
Y por último los datos que siendo combinados por el responsable del tratamiento puedan formar una idea de la personalidad y del comportamiento de los afectados.
Estableciendo unas medidas más rigurosas, encuadra en el nivel alto a aquellos tipos de datos relativos a:
Medidas de seguridad aplicables a cada nivel
En el caso del nivel básico de seguridad:
Implantación de un procedimiento de notificación de incidencias para que el personal que gestiona la web o comunidad pueda reportar los incidentes que pudieran afectar a los datos de carácter personal custodiados.
Mantenimiento de una relación actualizada de todos los usuarios que administran la web, y por tanto acceden a los datos de carácter personal en ella alojados.
El sistema de validación que empleemos para acceder a la web o comunidad como usuarios administrador forzará el cambio de contraseña, como mínimo una vez al año.
Implementación de un sistema de copia de seguridad y restauración, que se salvaguardará los datos con una periodicidad mínima semanal -salvo que en ese periodo no se hayan producido cambios sobre los datos.
Si nuestro fichero da el salto al nivel medio, tendremos que aplicar las siguientes medidas de seguridad:
Se deberá asignar formalmente un responsable de Seguridad que vele por la aplicación continuada de las medidas de seguridad correspondientes a este nivel.
Se realizará una auditoria interna, o externa, cada dos años, que determinará la correcta aplicación de las medidas en el periodo de tiempo auditado.
Si los datos personales son objeto de trasiego en soportes físicos deberemos implementar un sistema de control de dichos soportes que permita conocer la fecha, hora destinatario y tipo de información que contiene, así como el responsable de la salida de la información, que deberá tener la autorización suficiente para ello.
Se implementará un sistema que evite el acceso fallido y reiterado al sistema de información. Se trata del acceso de los usuarios que administran los datos personales alojados en la web, y no de los propios usuarios finales.
El servidor que aloja la página web se ubicará en una dependencia cerrada y restringida exclusivamente a aquellas personas que estén identificadas en el documento de seguridad.
Al registro de notificación de incidencias descrito en las medidas aplicables al nivel básico se le añaden aquí todas aquellas contingencias que impliquen la aplicación del procedimiento de restauración o recuperación de datos por una pérdida de información. Indicando quién ha restaurado la información, qué datos se han restaurado, y si ha sido necesaria la introducción manual de información.
En el caso de información de grado alto aplicaríamos las siguientes medidas de seguridad:
Las copias de seguridad deberá ser albergadas en una dependencia distinta de donde se ubiquen los servidores que alojan el sitio web.
Se registrará en un log cada acceso a los datos existentes en el fichero. Este registro, que mantendrá la información de accesos de los últimos dos años contendrá el nombre de usuario que accede a los datos, la fecha, la hora, el tipo de acceso realizado y si el acceso ha sido autorizado o denegado
Se exige que las comunicaciones electrónicas por la red que incluyan datos de nivel alto solo puedan transmitirse si se han cifrado previamente o si se han encapsulado de tal manera que no puedan ser interceptadas por terceras personas.
El Real Decreto 1720/2007 se especifica, entre otras medidas, la elaboración de un documento que recogerá las medidas de índole técnica y organizativa acorde a la normativa de seguridad vigente que será de obligado cumplimiento para el personal con acceso a los datos de carácter personal.
Las auditorías periódicas.
El Real Decreto 1720/2007 indica en su artículo 96, que a partir del nivel medio se someterán al menos cada dos años a una auditoria interna o externa. Con carácter extraordinario deberá realizarse siempre una auditoria cuando se realicen modificaciones sustanciales.
El informe de auditoria deberá dictaminar sobre la adecuación de las medidas y controles a la Ley y su desarrollo reglamentario, identificar sus deficiencias y proponer las medidas correctoras o complementarias necesarias. Deberá, igualmente, incluir los datos, hechos y observaciones en que se basen los dictámenes alcanzados y las recomendaciones propuestas.
Deberá quedar a disposición de la Agencia Española de Protección de Dato

References: artículo 10
 resolución 
 artículo 5
 artículo 5
 Real Decreto 
 Real Decreto 
 Real Decreto 
 artículo 96