Source: http://docplayer.es/985362-Gabinete-juridico-informe-0545-2009.html
Timestamp: 2016-10-23 00:14:30+00:00

Document:
⭐Gabinete Jurídico. Informe 0545/2009
Download "Gabinete Jurídico. Informe 0545/2009"
Alejandro Sandoval Villalobos
1 Informe 0545/2009 La consulta plantea diversas dudas respecto a la aplicación de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), a la prestación a otras empresas de un servicio de gestión de los datos de carácter personal de candidatos que hayan sido recibidos desde portales de empleo. I La primera cuestión que resulta de la consulta es la relativa a si la empresa consultante tiene el carácter de encargada del tratamiento respecto de las empresas a quienes preste sus servicios. El artículo 3.g de la Ley Orgánica 15/1999 define al responsable del tratamiento en el artículo 3 d) como la persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento. Dicha Ley regula la figura del encargado del tratamiento en su artículo 12 al establecer: No se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento. Por consiguiente, la empresa consultante, tendrá la condición de encargado del tratamiento siempre que no pueda en modo alguno decidir sobre el contenido, finalidad y uso del tratamiento, puesto que en ese caso pasaría a ser responsable del fichero, existiendo una cesión de datos de carácter personal que, tal y como exige el artículo 11.1 de la Ley Orgánica 15/1999, requerirá el consentimiento de los afectados. A este respecto, debe tomarse, además en consideración, que el Reglamento de desarrollo de la Ley Orgánica 15/1999, aprobado por Real Decreto 1720/2007, de 21 de diciembre, precisa en el último apartado del número primero del artículo 20 que No obstante, se considerará que existe comunicación de datos cuando el acceso tenga por objeto el establecimiento de un nuevo vínculo entre quien accede a los datos y el afectado. Para que la relación entre responsable y encargado del tratamiento pueda darse y se ajuste a la Ley, es preciso que se cumplan los requisitos expresados en el artículo 12 de la Ley Orgánica 15/1999, considerando los siguientes aspectos: 12 En primer lugar, es preciso que el acceso a los datos por el tercero se efectúe con la exclusiva finalidad de prestar un servicio al responsable del fichero, y que dicha relación de servicios se encuentre contractualmente establecida. En lo que atañe a los requisitos formales de este tipo de contratos, el artículo 12.2 de la Ley Orgánica 15/1999 impone que la realización de tratamientos por cuenta de terceros deberá estar regulada en un contrato que deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, estableciéndose expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas. El hecho de que la relación derivada del contrato sea la existente entre un responsable y un encargado del tratamiento implicará que al término de la relación sea aplicable lo establecido en el artículo 12.3 de la misma Ley, de forma que una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto del tratamiento. El incumplimiento de esta previsión llevará aparejada la consecuencia, prevista en el artículo 12.4 de la citada Ley Orgánica, de que En el caso de que el encargado del tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato, será considerado, también, responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente. Esta Agencia Española de Protección de Datos ha venido indicando que el deber de devolución al que se refiere el artículo 12.3 de la Ley Orgánica 15/1999 podrá verificarse mediante la entrega directa de los datos al propio responsable del tratamiento o mediante la realización de dicha entrega al encargado del tratamiento que este designase, toda vez que en este segundo caso el encargado actuaría como mero mandatario del responsable, siendo precisamente éste el que establece a quién han de entregarse los datos en su nombre y por su cuenta. Y así se recoge en el artículo 20.3 del Reglamento antes citado no obstante, el encargado del tratamiento no incurrirá en responsabilidad cuando, previa indicación expresa del responsable, comunique los datos a un tercero designado por aquél, al que hubiera encomendado la prestación de un servicio conforme a lo previsto en el presente capítulo. Por su parte, el artículo 22 del aludido Reglamento dispone respecto de la conservación de los datos lo siguiente: 23 1. Una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento o al encargado que éste hubiese designado, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto del tratamiento. No procederá la destrucción de los datos cuando exista una previsión legal que exija su conservación, en cuyo caso deberá procederse a la devolución de los mismos garantizando el responsable del fichero dicha conservación. 2. El encargado del tratamiento conservará, debidamente bloqueados, los datos en tanto pudieran derivarse responsabilidades de su relación con el responsable del tratamiento. En cuanto a las medidas de seguridad que hayan de ser adoptadas por quienes realicen trabajos de tratamiento de datos por cuenta de tercero, habrán de ser, en principio, las mismas que las impuestas al responsable del fichero, tal y como se desprende de lo previsto en los artículo 9 y 12.2 de la Ley Orgánica 15/1999. II En cuanto al alojamiento de datos en un servidor de un tercero prestador de este servicio a la empresa responsable del fichero, debe tenerse en cuenta que dicha actividad constituye un tratamiento de datos, de manera que el prestador del servicio de hosting adquirirá, igualmente, el carácter de encargado del tratamiento siempre que no pueda en modo alguno decidir sobre el contenido, finalidad y uso del tratamiento y siempre que su actividad no le reporte otro beneficio que el derivado de albergar las bases de datos, sin utilizarlas en modo alguno en su provecho. Al prestador del servicio de hosting le será aplicable todo lo anteriormente dicho respecto al encargado del tratamiento. Si dicho servicio de alojamiento es contratado por el encargado del tratamiento, será de aplicación lo previsto en el artículo 21 del Reglamento, respecto a la posibilidad de subcontratar los servicios. Dispone dicho artículo lo siguiente 1. El encargado del tratamiento no podrá subcontratar con un tercero la realización de ningún tratamiento que le hubiera encomendado el responsable del tratamiento, salvo que hubiera obtenido de éste autorización para ello. En 34 este caso, la contratación se efectuará siempre en nombre y por cuenta del responsable del tratamiento. 2. No obstante lo dispuesto en el apartado anterior, será posible la subcontratación sin necesidad de autorización siempre y cuando se cumplan los siguientes requisitos: a. Que se especifiquen en el contrato los servicios que puedan ser objeto de subcontratación y, si ello fuera posible, la empresa con la que se vaya a subcontratar. Cuando no se identificase en el contrato la empresa con la que se vaya a subcontratar, será preciso que el encargado del tratamiento comunique al responsable los datos que la identifiquen antes de proceder a la subcontratación. b. Que el tratamiento de datos de carácter personal por parte del subcontratista se ajuste a las instrucciones del responsable del fichero. c. Que el encargado del tratamiento y la empresa subcontratista formalicen el contrato, en los términos previstos en el artículo anterior. En este caso, el subcontratista será considerado encargado del tratamiento, siéndole de aplicación lo previsto en el artículo 20.3 de este reglamento. 3. Si durante la prestación del servicio resultase necesario subcontratar una parte del mismo y dicha circunstancia no hubiera sido prevista en el contrato, deberán someterse al responsable del tratamiento los extremos señalados en el apartado anterior III En cuanto a las restantes cuestiones planteadas, dado el carácter genérico con que se encuentran formuladas, cabe solamente hacer las siguientes consideraciones La comunicación de los datos de los demandantes de empleo por parte del portal de empleo a otras empresas constituye una cesión de datos de carácter personal, definida en el artículo 3 i) de la Ley Orgánica 15/1999 como Toda revelación de datos realizada a una persona distinta del interesado. Tal cesión debe sujetarse al régimen general de comunicación de datos de carácter personal establecido en el artículo el artículo 11 de la misma Ley, donde se establece que la misma solo puede verificarse para el cumplimiento 45 de fines directamente relacionados con las funciones legitimas del cedente y cesionario y exige para que pueda tener lugar, el previo consentimiento del interesado (artículo 11.1), otorgado con carácter previo a la cesión y suficientemente informado de la finalidad a que se destinarán los datos cuya comunicación se autoriza o el tipo de actividad de aquél a quien se pretenden comunicar (artículo 11.3), y que debe recabar el cedente como responsable del fichero que contiene los datos que se pretenden ceder. Por consiguiente, para determinar el alcance de la cesión habrá que estar a la cláusula que, en cada caso, se haya aceptado por el demandante de empleo cuando incorpora sus datos en el portal de empleo. El empleador que incorpore a un fichero datos de demandantes de empleo obtenidos de un portal de empleo y no del propio interesado, deberá cumplir con lo previsto en el artículo 5.4 de la Ley Orgánica 15/1999, que dispone que Cuando los datos de carácter personal no hayan sido recabados del interesado, éste deberá ser informado de forma expresa, precisa e inequívoca, por el responsable del fichero o su representante, dentro de los tres meses siguientes al momento del registro de los datos, salvo que ya hubiera sido informado con anterioridad, del contenido del tratamiento, de la procedencia de los datos, así como de lo previsto en las letras a, d y e del apartado 1 del presente artículo. A este respecto, dispone el artículo 5 en su apartado 1 que Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco: a. De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información. b. Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas. c. De las consecuencias de la obtención de los datos o de la negativa a suministrarlos. d. De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición. e. De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. Por otra parte, debe recordarse que el artículo 4 de la Ley Orgánica 15/1994, bajo el título Calidad de los Datos recoge una serie de principios esenciales en materia de protección de datos. El primero de ellos se contiene en el apartado primero que exige que los datos personales que se recogen para su tratamiento sean adecuados pertinentes y no excesivos en relación 56 con el ámbito y las finalidades determinadas, explicitas y legítimas para las que se hayan obtenido. Este principio, calificado como de proporcionalidad, se encuentra estrechamente ligado al de finalidad recogido en el apartado segundo según el cual Los datos de carácter personal objeto de tratamiento no podrán usarse para finalidades incompatibles con aquellas para las que los datos hubieran sido recogidos. La doctrina de la Audiencia Nacional ha puesto de relieve que la conexión entre ambos es un elemento esencial del derecho de protección de datos al señalar que la recogida sólo puede hacerse con fines determinados, explícitos y legítimos y el tratamiento posterior no puede hacerse de manera incompatible con dichos fines. Debe tenerse en cuenta, además, que en cuanto a la interpretación del término incompatible la Audiencia Nacional ha venido a concluir que la Ley Orgánica 15/ 1999 utiliza la expresión finalidades incompatibles como sinónimo de finalidades distintas. Asimismo, el artículo 4.5 de la Ley Orgánica 15/1999, dispone que Los datos de carácter personal serán cancelados cuando hayan dejado de ser necesarios o pertinentes para la finalidad para la cual hubieran sido recabados o registrados. No serán conservados en forma que permita la identificación del interesado durante un período superior al necesario para los fines en base a los cuales hubieran sido recabados o registrados. Reglamentariamente se determinará el procedimiento por el que, por excepción, atendidos los valores históricos, estadísticos o científicos de acuerdo con la legislación específica, se decida el mantenimiento integro de determinados datos. Esta Agencia ha señalado, en su informe de conclusiones y recomendaciones sobre selección de personal a través de Internet, que los datos de carácter personal serán cancelados a propia iniciativa del responsable del fichero cuando hayan dejado de ser necesarios o pertinentes para la finalidad para la cual hubieran sido recabados. Igualmente serán cancelados cuando así lo solicite el interesado. En particular, se indicaba que los datos personales de los solicitantes de empleo, que hubieran sido facilitados por éstos o hubieran sido obtenidos con su consentimiento para una oferta concreta de empleo, serán cancelados por el empleador tan pronto como éste haya resuelto negativamente la solicitud, salvo que el solicitante exprese explícitamente su voluntad en sentido contrario. Por último, debe tenerse en cuenta que el responsable del fichero o tratamiento de datos personales deberá atender las solicitudes de acceso, rectificación, cancelación y oposición realizadas por éstos, de conformidad con lo previsto en los artículos 15 y 16 de la Ley Orgánica 15/1999 y en el Título III 67 del Reglamento de desarrollo de dicha Ley. Asimismo, el interesado podrá revocar el consentimiento para el tratamiento de sus datos personales, en la forma establecida en el artículo 17 del citado Reglamento. 7 Documentos relacionados
Informe 0411/2010 La consulta plantea diversas dudas en relación con la aplicación de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal a las comunicaciones de datos Más detalles GUIA BÁSICA DE PROTECCIÓN DE DATOS
GUIA BÁSICA DE PROTECCIÓN DE DATOS DE CARÁCTER PERSONAL Página 1 Índice 1.1 Introducción...3 1.2 Diposiciones generales...7 1.2.1 Ámbito de aplicación LOPD y RDLOPD 1720/2007...7 1.2.2 Computo de plazos...8 Más detalles A N T E C E D E N T E S D E H E C H O
RESOLUCIÓN DE DECLARACIÓN DE ADECUACIÓN DE GARANTÍAS PARA LAS TRANSFERENCIAS INTERNACIONALES DE DATOS A LOS ESTADOS UNIDOS CON MOTIVO DE LA PRESTACIÓN DE SERVICIOS DE COMPUTACIÓN EN NUBE Nº Expediente: Más detalles Manual de procedimientos de protección de datos
Manual de procedimientos de protección de datos Ley Orgánica de Protección de Datos de Carácter Personal 1 ÍNDICE I. INTRODUCCIÓN...3 II. DEFINICIONES...4 III. PROCEDIMIENTO SOBRE CALIDAD DE LOS DATOS Más detalles Compendio LOPD para Centros Educativos
Compendio LOPD para Centros Educativos Informes Jurídicos, Tutelas de Derechos y Preguntas más Frecuentes. Gesdatos Software, S.L 02/11/2011 Página 1 de Índice. INTRODUCCIÓN... 3 INFORMES JURÍDICOS.... Más detalles MANUAL PRACTICO DE PROTECCION DE DATOS INDICE DE FICHAS
INDICE DE FICHAS (1) 0.a FICHA I: LA PROTECCIÓN DE DATOS DE CARÁCTER PERSONAL - Qué es la protección de datos de carácter personal? - Dónde se regula? - A qué me obliga como empresario? - Qué consecuencias Más detalles PROTECCIÓN DE DATOS DE
Guías Legales PROTECCIÓN DE DATOS DE CARÁCTER PERSONAL OBSERVATORIO DE LA SEGURIDAD DE LA INFORMACIÓN Área Jurídica de la Seguridad y las TIC Qué son los datos de carácter personal y quién debe cumplir Más detalles AGENCIA DE PROTECCIÓN DE DATOS CALLE SAGASTA, 22-28004 MADRID TELÉFONO 91 3996200
RECOMENDACIONES DE LA AGENCIA DE PROTECCIÓN DE DATOS EN RELACIÓN CON EL FICHERO HISTÓRICO DE SEGUROS DEL AUTOMÓVIL, DEL QUE ES RESPONSABLE LA UNIÓN ESPAÑOLA DE ENTIDADES ASEGURADORAS Y REASEGURADORAS, Más detalles GUÍA. Computing. Cloud. clientes que. contraten servicios. para
GUÍA para clientes que contraten servicios de Cloud Computing GUÍA para clientes que contraten servicios de Cloud Computing AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS-2013 índice 5 QUÉ ES CLOUD COMPUTING? Más detalles Depositado en el Registro de la Propiedad Intelectual, Núm. Exp: 12/RTPI-003861/2004 1
REGLAMENTO PARA LA DEFENSA DEL CLIENTE Pont Grup Correduría de Seguros S.L Queda prohibida la reproducción, comunicación, el uso y la transformación o modificación del contenido del presente Reglamento Más detalles CÓDIGO TIPO DEL FICHERO DE AUTOMÓVILES PERDIDA TOTAL, ROBO E INCENDIOS
CONDICIONES DEL CONTRATO DE JUEGO DE LA ONCE Aprobadas por Resolución del Director General de la ONCE de 03 de junio de 2014. Vigentes desde su publicación en la Web oficial de juego de la ONCE. Las presentes Más detalles Utilización del Cloud Computing por los despachos de abogados y el derecho a la protección de datos de carácter personal INFORME:
INFORME: Utilización del Cloud Computing por los despachos de abogados y el derecho a la protección de datos de carácter personal CONSEJO GENERAL DE LA ABOGACÍA ESPAÑOLA INFORME: Utilización del Cloud Más detalles ORIENTACIONES. para. PRESTADORES de SERVICIOS. Cloud. Computing
ORIENTACIONES PRESTADORES de SERVICIOS de para Cloud Computing ORIENTACIONES para PRESTADORES de SERVICIOS de Cloud Computing AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS-2013 índice 4 INTRODUCCIÓN 5 LOS SUJETOS Más detalles El derecho fundamental a la protección de datos: Guía. para el. Ciudadano
El derecho fundamental a la protección de datos: Guía para el Ciudadano 2 El derecho fundamental a la protección de datos: Guía para el Ciudadano El derecho fundamental a la protección de datos: Guía para Más detalles CONDICIONES GENERALES DE CONTRATACIÓN DE REDSYS SERVICIOS DE PROCESAMIENTO, S.L
CONDICIONES GENERALES DE CONTRATACIÓN DE REDSYS SERVICIOS DE PROCESAMIENTO, S.L. (EN ADELANTE, REDSYS ) PARA LA CONTRATACIÓN DE LOS SERVICIOS CREOMICOMERCIO PRIMERA.- Las presentes condiciones generales Más detalles Guía para cumplir con los principios y deberes de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares
Guía para cumplir con los principios y deberes de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares Julio de 2014. Contenido GLOSARIO... 1 I. INTRODUCCIÓN... 2 II. CONCEPTOS Más detalles LEGISLACIÓN CONSOLIDADA. Real Decreto 1796/2010, de 30 de diciembre, por el que se regulan las agencias de colocación.
Real Decreto 1796/2010, de 30 de diciembre, por el que se regulan las agencias de colocación. Ministerio de Trabajo e Inmigración «BOE» núm. 318, de 31 de diciembre de 2010 Referencia: BOE-A-2010-20151 Más detalles Condiciones generales de contratación de los servicios web de CDmon.com
Condiciones generales de contratación de los servicios web de CDmon.com El presente acuerdo regula las condiciones generales de contratación para los diversos servicios que se prestan en esta página web, Más detalles Orden HAC/1181/2003, de 12 de mayo
Orden HAC/1181/2003, de 12 de mayo, por la que se establecen normas específicas sobre el uso de la firma electrónica en las relaciones tributarias por medios electrónicos, informáticos y telemáticos con Más detalles CONTRATO DE ALOJAMIENTO WEB
CONTRATO DE ALOJAMIENTO WEB 1.- PARTES DEL CONTRATO De una parte, Soria Center con domicilio social en C/Rota de Calatañazor 17 de Soria, 42001, representada por su administrador Félix Latorre Ortega, Más detalles PLIEGO DE CONDICIONES QUE HAN DE REGIR EN LA CONTRATACIÓN DEL SERVICIO DE TESORERIA PARA LA SOCIEDAD ESTATAL LOTERÍAS Y APUESTAS DEL ESTADO, S.A.
PLIEGO DE CONDICIONES QUE HAN DE REGIR EN LA CONTRATACIÓN DEL SERVICIO DE TESORERIA PARA LA SOCIEDAD ESTATAL LOTERÍAS Y APUESTAS DEL ESTADO, S.A. PROCEDIMIENTO ABIERTO Número de expediente: 11/2012 Sociedad Más detalles CONDICIONES GENERALES DE CONTRATACIÓN PARA LA PRESTACIÓN DEL SERVICIO DE HOTEL DE SERVIDORES (Housing) DE AVANZAS
CONDICIONES GENERALES DE CONTRATACIÓN PARA LA PRESTACIÓN DEL SERVICIO DE DE AVANZAS De una parte, Óscar López Carreiras, con NIF 36044604Q, en nombre y representación de la sociedad INDI3 COMUNICACIONES, Más detalles 4.8 ISO 22301:2012 Societal security - Business continuity management systems Requirements.
4.8 ISO 22301:2012 Societal security - Business continuity management systems Requirements. Introducción. Este estándar especifica los requerimientos para planear, establecer, implementar, operar, supervisar, Más detalles CÓDIGO TIPO FICHERO HISTÓRICO DE SEGUROS DEL AUTOMÓVIL
CÓDIGO TIPO FICHERO HISTÓRICO DE SEGUROS DEL AUTOMÓVIL (Código Inscripción Registro Agencia Protección de Datos Nº 1982110017) 1 Índice 1. EXPOSICION DE MOTIVOS 3 2. AMBITO SUBJETIVO 3 2.1. TITULAR - RESPONSABLE Más detalles LEGISLACIÓN CONSOLIDADA. TEXTO CONSOLIDADO Última modificación: 10 de mayo de 2014
Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico. Jefatura del Estado «BOE» núm. 166, de 12 de julio de 2002 Referencia: BOE-A-2002-13758 TEXTO CONSOLIDADO Más detalles CONTRATO DE CONDICIONES GENERALES DE PRESTACION DE SERVICIOS DE ALOJAMIENTO COMPARTIDO ( HOSTING ) V1.0
CONTRATO DE CONDICIONES GENERALES DE PRESTACION DE SERVICIOS DE ALOJAMIENTO COMPARTIDO ( HOSTING ) DE UNA PARTE SPC NET SOLUCIONES DE NEGOCIO ELECTRONICO,S.L ( en adelante EL PRESTADOR ) con C.I.F B-01361658 Más detalles Reglamento de la Junta General de Accionistas. Meliá Hotels International, S.A.
Reglamento de la Junta General de Accionistas Meliá Hotels International, S.A. Palma de Mallorca, 8 de Junio de 2004 Título I Introducción PREÁMBULO La Ley 26/2003, de 17 de julio, por la que se modifican Más detalles GUíA. de Videovigilancia
GUíA de Videovigilancia AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS NIPO: 052-08-007-8 Diseño Gráfico: É N Imprime: NILO Industria Gráfica, S.A. GUíA de Videovigilancia GUíA de Videovigilancia indice 4 6 8 Más detalles se encuentran accesibles en todo momento en línea, en la página web «www.comalis.com» que prevalecen en sus propios condiciones de compra.
Condiciones Generales de Uso de los servicios de Comalis ELB Web Hosting SL Registro, Renovación, Traslado y Gestión de los Nombres de dominios Actualizado el 1 de Febrero de 2014 Preámbulo / objeto Las Más detalles 2016 © DocPlayer.es Política de privacidad | Condiciones del servicio | Feedback

References: artículo 3
 artículo 3
 artículo 12
 artículo 11
 Real Decreto 
 artículo 20
 artículo 12
 artículo 12
 artículo 12
 artículo 12
 artículo 12
 artículo 20
 artículo 22
 artículo 9
 artículo 21
 artículo 20
 artículo 3
 artículo 11
 artículo 5
 artículo 5
 artículo 4
 artículo 4
 artículo 17

RESOLUCIÓN 
 Resolución 
 Real Decreto 

Real Decreto