Source: http://formu.info/preguntas-frecuentes-v3.html
Timestamp: 2018-10-16 23:15:01+00:00

Document:
Descargar 52.25 Kb.
Fecha de conversión 09.08.2017
Tamaño 52.25 Kb.
¿Qué son datos de carácter personal
¿Deben las clínicas veterinarias cumplir con la legislación sobre protección de datos
¿Es de aplicación esta normativa a los datos referentes a los animales
¿Qué es el “tratamiento” de datos personales
¿Quién es el “responsable del fichero o el tratamiento”
¿Quién es el encargado del “tratamiento”
OBLIGACIONES ATRIBUIDAS POR LA LEGISLACIÓN
DEBER DE OBTENER CONSENTIMIENTO
UN CASO ESPECIAL: LA VIDEOVIGILANCIA
LAS INFRACCIONES Y EL RÉGIMEN SANCIONADOR
CUESTIONES RELATIVAS A LA NORMATIVA ESPAÑOLA EN MATERIA DE PROTECCIÓN DE DATOS EN EL ÁMBITO DE LAS CLÍNICAS VETERINARIAS
Según la Ley Orgánica de Protección de Datos, “cualquier información concerniente a personas físicas identificadas o identificables”. Hablamos de aspectos tales como nombre, apellidos, teléfonos, dirección, fotografías, D.N.I., numeración de tarjetas de crédito, y en definitiva, cualquier otro dato con aptitud para identificar a una persona física.
¿Deben las clínicas veterinarias cumplir con la legislación sobre protección de datos?
Sí, dado que el ámbito de aplicación de la norma se extiende a toda persona, física o jurídica, que en su proceder recabe datos de carácter personal registrados en soporte físico que les haga susceptibles de tratamiento y a toda modalidad de uso posterior.
¿Es de aplicación esta normativa a los datos referentes a los animales?
No, al no tratarse de datos atinentes a personas físicas. Sin embargo, si estamos ante un documento en el que, junto a las características del animal, figuran otros datos concernientes a su dueño, estos últimos tendrían igualmente carácter de “datos de carácter personal”.
La Ley lo define como “todo conjunto organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso”. En función del soporte empleado para su almacenamiento se distinguirán en automatizados (pendrive, CD/DVD, discos duros…) y no automatizados (contratos, facturas, fichas de clientes en formato papel…). Tal diferenciación cobra importancia en orden a las diversas medidas de protección aplicables.
En la práctica, es frecuente encontrar diversos ficheros que dividan la información relativa a CLIENTES, PROVEEDORES, PERSONAL, PROCESOS DE SELECCIÓN, USUARIOS WEB, etc..
¿Qué es el “tratamiento” de datos personales?
Se entiende por “tratamiento de datos personales” a los efectos de la normativa que nos ocupa, cualquier acción que permita la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como cualquier cesión de datos que resulte de comunicaciones, consultas, interconexiones y transferencias.
¿Quién es el “responsable del fichero o el tratamiento”?
La Ley Orgánica atribuye esta condición a toda persona, física o jurídica, que decida sobre la finalidad, contenido y uso del tratamiento, aunque no lo realice materialmente.
Desde el punto de vista jurídico, es aconsejable que si se trata de una clínica sometida a algún tipo de forma societaria limitativa de responsabilidad, sea ésta quien asuma dicha titularidad con objeto de limitar la cuantía de las sanciones que pudieren imponerse al patrimonio de la mercantil, evitando que trascienda al patrimonio personal de los socios o al de alguno de sus empleados.
¿Quién es el encargado del “tratamiento”?
Según el artículo 3 de la norma examinada, aquella persona física o jurídica (u organismo público), que trate datos personales por cuenta del responsable del tratamiento.
A los efectos de las obligaciones que pasarán a desglosarse a continuación, el acceso de este tercero a los datos no tendrá la consideración de “comunicación”, siempre que dicho acceso sea necesario para la prestación de un servicio para el encargado del fichero o tratamiento, y que la relación jurídica sea plasmada por escrito, debiendo incluirse en el contrato suscrito los extremos a los que hace referencia el apartado 2 del artículo 12 de la Ley Orgánica de Protección de Datos.
Un ejemplo de esta figura referido al ámbito que nos ocupa, podría ser el responsable del mantenimiento informático, así como la gestoría laboral o el asesor fiscal de la clínica.
Para facilitar dichas actuaciones, la Agencia ha puesto a disposición de los responsables de los ficheros, a través de su página web (http://www.agpd.es), un formulario de notificaciones telemáticas denominado NOTA, que permite agilizar notablemente la tramitación de las exigencias referidas, pudiendo éstas ser realizadas total o parcialmente (en función de si se está o no en posesión de un certificado de firma digital) a través de Internet.
En relación con lo anterior, recordamos que las clínicas veterinarias tienen la obligación de archivar los protocolos clínicos y los elementos materiales de diagnóstico durante un plazo mínimo de tres años desde la última anotación en la historia clínica del paciente, según establece el artículo 20.2 del Código Deontológico para el ejercicio de la Profesión Veterinaria.
Estas advertencias deberán figurar en los cuestionarios o documentos empleados por la clínica para la recogida de datos, motivo por el cual es frecuente encontrar en facturas, contratos o formularios, cláusulas como la siguiente:
“Sus datos están incluidos en un fichero responsabilidad de [RAZÓN SOCIAL DE LA CLÍNICA], con domicilio en: [DOMICILIO SOCIAL], con la finalidad de gestionar la relación comercial. Podrá ejercer sus derechos de acceso, rectificación, cancelación y oposición a través de comunicación escrita a la dirección indicada aportando fotocopia de su DNI o documento equivalente y concretando su solicitud”.
Tal y como continúa exponiendo la norma estudiada, en el caso de que los datos personales no hayan sido recabados directamente del afectado, éste deberá ser informado expresamente por el responsable del fichero en el plazo máximo de tres meses desde su registro.
Estrechamente vinculado al deber anterior, el artículo 6 establece la obligación de obtener el consentimiento inequívoco del afectado. No obstante, se prevé la posibilidad de prescindir de dicho consentimiento en los siguientes supuestos:
Cuando se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias
Cuando una ley así lo disponga expresamente.
Cuando los datos personales se refieran a las partes de algún tipo de relación contractual y sean necesarios para su mantenimiento o cumplimiento, aclarando sin embargo que esta exención no se extiende a la obligación anterior, subsistiendo por tanto el deber de informar al afectado igualmente.
Cuando se trate de datos de salud necesarios para proteger el interés vital del interesado.
Los datos que hayan sido obtenidos de fuentes accesibles al público, entendiendo como tales las descritas en el artículo 7 del R.D. 1720/2007, entre las que se destacan: las guías de servicios y grupos profesionales, los diarios y boletines oficiales o los medios de comunicación social, debiendo cumplir en cualquiera de los casos el requisito de que puedan ser consultados por cualquier persona.
El consentimiento prestado podrá ser revocado por el interesado siempre que concurra causa justa, aunque no tendrá efectos retroactivos.
En los supuestos en los que no sea necesario el consentimiento, el afectado podrá oponerse al tratamiento de sus datos personales, siempre que medie causa justificada y una ley no disponga lo contrario.
Tanto el responsable del fichero, como aquellos otros que intervengan en cualquier fase del tratamiento de datos de carácter personal, estarán obligados a guardar secreto sobre los mismos, obligación que subsistirá aún finalizadas las relaciones del personal con el responsable del fichero.
A tenor de lo dispuesto en la normativa vigente, la comunicación de datos a terceros requiere para su licitud de dos requisitos, en primer lugar, que responda al cumplimiento de fines legítimos directamente relacionados con las actividades legítimas del cedente (la clínica veterinaria) y el cesionario (tercero receptor), y en segundo lugar, el previo consentimiento del afectado.
Dicho consentimiento, será prescindible en los siguientes supuestos:
Cuando la cesión sea autorizada por la Ley
Cuando se trate de datos recogidos de fuentes accesibles al público (en los términos anteriormente descritos)
Cuando la cesión de los datos personales responda a una relación jurídica cuyo desarrollo, cumplimiento y control implique necesariamente la conexión de dicho tratamiento con ficheros de terceros, siempre que la comunicación se limite a la finalidad que la justifique
Cuando la cesión tenga por destinatario a Jueces, Tribunales u órganos análogos
Cuando se produzca entre Administraciones Públicas
Cuando sea necesario para la realización de estudios epidemiológicos en los términos previstos legislativamente
En cualquier caso, el consentimiento tendrá carácter revocable, y se considerará nulo cuando no se le haya permitido conocer al afectado la finalidad a que se destinarán sus datos o el tipo de actividad de aquel a quien se pretendan comunicar.
La disposición reglamentaria establece, en primer lugar, la obligación del responsable del fichero o tratamiento de elaborar un “documento de seguridad” en el que consten las medidas de índole organizativa y técnica empleadas para garantizar la seguridad de los datos de carácter personal y que será de obligado cumplimiento para el personal con acceso a los sistemas de información. A estos efectos, la página Web de la AEPD pone también a disposición de los responsables un modelo de documento.
Estos protocolos podrán ser plasmados en un único documento, o bien en varios agrupados por tipos de ficheros o tratamientos según el sistema empleado para su organización.
Cuando exista un tratamiento de datos por cuenta de terceros, el documento de seguridad deberá reflejar tal circunstancia, detallando los ficheros objeto de tratamiento, la identificación del responsable de los mismos y la concreta mención al contrato que regule el encargo, así como su período de vigencia.
En la actividad habitual de una clínica veterinaria, los datos recogidos no revestirán una especial entidad, por lo que en la inmensa mayoría de los casos quedarán circunscritos a las medidas propias del nivel de seguridad básico, que se implementarán ante datos como: nombres y apellidos, números de teléfono, fotografías, números de tarjetas de crédito, currículums, firmas, D.N.I, etc…
No obstante, es importante tener en cuenta que los protocolos de seguridad son cumulativos, es decir que cuando corresponda aplicar medidas de seguridad de nivel “medio”, se adoptarán siempre sumadas a las de nivel “básico”.
Los protocolos de nivel básico figuran reflejados en los artículos 89 a 94 y 105 a 108 del Real Decreto objeto de análisis, dependiendo de si nos encontramos ante ficheros automatizados o no automatizados.
Las disposiciones normativas que hemos venido analizando, contemplan, bajo el epígrafe “Derechos de los afectados”, la posibilidad de que estos puedan ejercitar directamente ante al responsable del fichero o tratamiento los derechos de acceso, rectificación, cancelación y oposición (ARCO) ya sea personalmente, o bien a través de su representante debidamente acreditado.
Acceso: El interesado tendrá derecho a conocer si sus datos de carácter personal están siendo objeto de tratamiento, la finalidad del tratamiento que en su caso se esté realizando, así como la información acerca del origen de los mismos y de las comunicaciones realizadas o previstas. El responsable tendrá un plazo de diez días hábiles a contar desde la fecha de recepción de la solicitud para estimar su procedencia, contando desde entonces con un mes para hacer efectiva la entrega de la información solicitada.
El afectado sólo tendrá derecho a un acceso cada 12 meses, salvo que acredite la concurrencia de un interés legítimo.
Rectificación: El responsable del fichero o tratamiento tendrá la obligación de hacer efectiva la rectificación de los datos inexactos o incompletos instada por el interesado en un plazo máximo de 10 días hábiles desde la recepción de la comunicación. Si los datos objeto de rectificación hubiesen sido previamente cedidos, el responsable del fichero deberá comunicar la rectificación efectuada al cesionario, en idéntico plazo.
Cancelación: El ejercicio de este derecho comporta la posibilidad de que sean suprimidos los datos que resulten ser inadecuados o excesivos. En el mismo plazo que en el supuesto anterior (diez días hábiles desde la recepción de la comunicación), el responsable del fichero o tratamiento deberá proceder a su eliminación, sin perjuicio del “deber de bloqueo” (Conservación de los datos a los únicos efectos de ser puestos a disposición de las Administraciones Públicas, Jueces y Tribunales, para la atención de las posibles responsabilidades nacidas del tratamiento y sólo durante el plazo de prescripción de las mismas).
Podrá denegarse la cancelación cuando no se ajuste a los períodos de conservación establecidos en otras disposiciones legales, así como en el contrato existente entre el responsable del tratamiento y el interesado, y que motivó la recogida de los datos (Ejemplo: Solicitud de cancelación de datos instada por un cliente mientras la relación comercial sigue activa).
Al igual que en el supuesto anterior, el responsable del fichero o tratamiento tendrá un plazo de diez días hábiles para comunicar a los terceros a quienes hubiese cedido los datos del interesado, el ejercicio de su derecho de cancelación.
Oposición: El interesado, podrá ejercitar el derecho a oponerse al tratamiento de sus datos, o bien instar el cese del mismo en los siguientes supuestos:
Cuando no sea necesario su consentimiento, pero concurra un motivo legítimo y fundado referido a su situación personal.
Cuando se trate de ficheros que tengan como finalidad la realización de labores de publicidad o prospección comercial
Cuando el tratamiento tenga por finalidad la adopción de una decisión referida al afectado y basada únicamente en un tratamiento automatizado de sus datos de carácter personal
El responsable del tratamiento contará de nuevo con diez días hábiles para responder, ya sea excluyendo de tratamiento los datos objeto de oposición, o denegando la solicitud motivadamente.
En lo que respecta a la rectificación, cancelación y oposición, el encargado del fichero deberá ponerse en contacto con el interesado para informarle de su solicitud en el plazo de diez días hábiles referido, siempre a través de algún medio que acredite el envío de la comunicación.
Las clínicas deberán prever mecanismos gratuitos para el ejercicio de los derechos mencionados, de tal manera que no suponga ningún coste adicional para el interesado.
Los sistemas de video-vigilancia, cada vez más frecuentes en todo tipo de establecimientos mercantiles, son por definición instrumentos aptos para la recopilación de datos de carácter personal, y por ello, objeto de aplicación de la normativa que venimos enunciando. Sin embargo, su particular configuración los ha hecho merecedores de varias previsiones específicas, recogidas en la Instrucción de la Agencia Española de Protección de Datos 1/2006.
En primer lugar, las cámaras deberán estar ubicadas en lugares en los que la vigilancia no pueda obtenerse por otros medios menos intrusivos para la intimidad de las personas, y no podrán captar imágenes de espacios públicos, salvo que resulte absolutamente imprescindible o no pueda impedirse por razón de su ubicación, en cuyo caso deberán abarcar el mínimo indispensable.
Respecto al deber de información, se establecen dos particularidades. Por un lado, la obligación de tener a disposición de los interesados un impreso en el que se detalle la información a la que hacíamos referencia en el primer párrafo del apartado “deber de información”, y por otro, la exigencia de colocar en las zonas video-vigiladas un distintivo en un lugar suficientemente visible en el que figuren la razón y el domicilio social del responsable del tratamiento, facilitando la propia Agencia de Protección de Datos un modelo a través de su página Web.
Las grabaciones realizadas por las cámaras podrán conservarse durante el máximo de un mes, advirtiendo en cualquier caso que la mera visualización de las imágenes, sin posterior grabación en soporte físico, es considerada “tratamiento de datos personales”, y por tanto queda subordinada a la reglamentación precedente.
Las infracciones podrán calificarse como leves, graves y muy graves, y la responsabilidad dimanante recaerá sobre el responsable del fichero o el encargado del tratamiento.
No atender la solicitud del interesado de rectificación o cancelación de los datos personales objeto de tratamiento cuando legalmente proceda.
No proporcionar la información que solicite la AEPD en el ejercicio de sus competencias.
No solicitar la inscripción del fichero de datos de carácter personal en el Registro General de Protección de Datos, cuando no sea grave.
Proceder a la recogida de datos de carácter personal de los propios afectados sin cumplir con el deber de información.
Incumplir el deber de secreto, salvo que constituya infracción grave.
Recabar datos sin consentimiento expreso de las personas, en los casos en que éste sea exigible.
El impedimento de los derechos de acceso y oposición y la negativa a facilitar la información solicitada.
Mantener datos de carácter personal inexactos o no efectuar las rectificaciones o cancelaciones.
La vulneración del deber de guardar secreto sobre datos de nivel medio.
Incumplir las medidas de seguridad.
No remitir a la AEPD las informaciones que sean requeridas.
No inscribir el fichero, cuando haya sido requerido por el Director de la AEPD.
Crear ficheros públicos sin disposición publicada en Boletín Oficial.
La comunicación o cesión de los datos de carácter personal sin habilitación legal o consentimiento.
Recabar y tratar los datos especialmente protegidos sin el consentimiento debido o habilitación legal.
No cesar en el uso ilegítimo de los tratamientos de datos cuando sea requerido por el Director de la AEPD o por las personas titulares del derecho de acceso.
La transferencia internacional a países que no proporcionen un nivel de protección equiparable sin autorización del Director de la AEPD.
La vulneración del deber de guardar secreto sobre los datos especialmente protegidos.
No atender, u obstaculizar de forma sistemática el ejercicio de los derechos ARCO.
No atender de forma sistemática el deber legal de notificación de ficheros a la AEPD.
Las sanciones aplicables, oscilarán:
LEVES: Multa de 900 € a 40.000 €
GRAVES: Multa de 40.001 € a 300.000 €
MUY GRAVES: Multa de 300.001 € a 600.000 €
A su vez, el amplio margen de discrecionalidad apreciable dentro de cada categoría, será acotado en base a una serie de criterios de carácter graduador, como son el volumen de negocios del infractor, el carácter continuado de la infracción, el grado de intencionalidad y la reincidencia, entre otros.
Ante una infracción tipificada como leve o grave, la AEPD puede, en atención a la existencia de circunstancias atenuantes de la responsabilidad, sustituir la sanción económica por un apercibimiento.
Por último, las infracciones leves, graves y muy graves, prescribirán en uno, dos y tres años, respectivamente.
Guía mutuas las 150 preguntas más frecuentes sobre enfermedades profesionales y de la Seguridad Social
Las 150 preguntas más frecuentes sobre enfermedades profesionales y de la Seguridad Social
Preguntas Frecuentes Actualizada a Abril de 2016
Régimen de Información de Participaciones Societarias Res. Gral. 2763/2010-afip: Preguntas frecuentes afip
Compilado de treinta consultas y respuestas frecuentes efectuadas al fisco nacional del "Régimen de Información societario" y otros,...

References: artículo 3
 artículo 12
 artículo 20
 artículo 6
 artículo 7
 Real Decreto