Source: http://docplayer.es/14269255-Acuerdo-de-acceso-a-datos-de-caracter-personal-por-cuenta-de-terceros-entre-xxxxx-y-xxxxxxx-reunidos.html
Timestamp: 2017-11-20 12:55:11
Document Index: 287960547

Matched Legal Cases: ['artículo 12', 'artículo 21', 'artículo 9', 'artículo 9', 'artículo 22', 'artículo 21', 'artículo 89']

ACUERDO DE ACCESO A DATOS DE CARÁCTER PERSONAL POR CUENTA DE TERCEROS ENTRE XXXXX Y XXXXXXX REUNIDOS - PDF
Download "ACUERDO DE ACCESO A DATOS DE CARÁCTER PERSONAL POR CUENTA DE TERCEROS ENTRE XXXXX Y XXXXXXX REUNIDOS"
Luis Miguel Río Paz
1 ACUERDO DE ACCESO A DATOS DE CARÁCTER PERSONAL POR CUENTA DE TERCEROS ENTRE XXXXX Y XXXXXXX En Barcelona a X de XXXX de 20 REUNIDOS DE UNA PARTE BARCELONA DE SERVEIS MUNICIPALS, S.A. (en adelante PATSA) domiciliada en Barcelona,, provista de CIF, representada por la Sra. en calidad de Subdirectora General de Operaciones en virtud de los poderes concedidos a su favor mediante escritura pública otorgada ante el Notario de Barcelona, Sr., con fecha, bajo el número de protocolo. DE OTRA PARTE EMPRESA (en adelante EMPRESA) domiciliada en.. y provista de CIF.., representada por., en calidad de apoderados en virtud de los poderes concedidos a su favor mediante escritura pública otorgada ante Notario con fecha de., bajo el número de protocolo.. Ambas partes, reconociéndose previa y recíprocamente la capacidad legal necesaria para el otorgamiento del presente Acuerdo: EXPONEN Que PATSA es una sociedad Unipersonal del Excelentísimo Ayuntamiento de Barcelona, encontrándose entre las actividades propias de su objeto social, la promoción, construcción, condicionamiento, gestión y explotación de diferentes aparcamientos en la ciudad de Barcelona, en el marco de la movilidad. Que EMPRESA es una compañía dedicada a la realización de... CLÁUSULAS PRIMERA.- OBJETO. PATSA ha contratado los servicios de EMPRESA con el objeto de que la misma le preste servicios de PATSA es Responsable del Fichero que contiene datos de carácter personal notificados a la Agencia de Protección de Datos con nombre y nº de inscripción. En virtud del objeto de este contrato, EMPRESA accederá a ficheros que contienen datos de carácter personal en calidad de Encargado del Tratamiento según lo 1
2 dispuesto en los artículos 12 de la Ley Orgánica 15/1999 de 13 de diciembre, de Protección de Datos de Carácter Personal, en adelante, LOPD y los artículos 20 y siguientes del Real Decreto 1720/2007 de 21 de diciembre por el que se aprueba el Reglamento de Desarrollo de la LOPD (en adelante RLOPD), en vigor desde el 19 de abril de Dado que el acceso a estos datos es necesario para la prestación del servicio objeto del presente contrato al arriba denominado Responsable del Fichero, y con el fin de proteger dichos datos de carácter personal y dar cumplimiento a lo establecido en el artículo 12 de la Ley 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en adelante LOPD), y en el RLOPD se celebra el presente contrato. SEGUNDA.- DEBER DE SECRETO. EMPRESA se compromete a guardar la máxima reserva y secreto sobre la información clasificada como confidencial. Se considerará información confidencial cualquier dato al que EMPRESA acceda en virtud del presente contrato y/o en el acuerdo general que regula los servicios a prestar por parte de EMPRESA a PATSA, en especial la información y datos propios de PATSA a los que haya accedido o acceda durante la ejecución del mismo. No tendrán el carácter de confidencial todas aquellas informaciones y datos que fueran de dominio público o que estuvieran en posesión de EMPRESA con anterioridad a iniciar la prestación de sus servicios y hubieran sido obtenidas por medios lícitos. La obligación de confidencialidad recogida en el presente contrato tendrá carácter indefinido, manteniéndose en vigor con posterioridad a la finalización, por cualquier causa, de la relación entre las partes. De igual manera, EMPRESA será responsable de que su personal, colaboradores, directivos y en general, todas las personas que tengan acceso a la información confidencial y a los ficheros de PATSA, respeten la confidencialidad de la información, así como las obligaciones relativas al tratamiento automatizado de datos de carácter personal. Por tanto, EMPRESA realizará cuantas advertencias y suscribirá cuantos documentos sean necesarios, con dichas personas, con el fin de asegurar el cumplimiento de tales obligaciones. Las partes reconocen que EMPRESA podrá tener acceso a ficheros que contienen datos de carácter personal, de los que PATSA es responsable, para la prestación del servicio arriba indicado, y que este servicio es necesario para el desarrollo de la actividad de EMPRESA. No obstante lo anterior, PATSA es, con carácter único, quien decidirá sobre la finalidad, contenido y uso de los ficheros de datos existentes o que puedan ser creados y a los que pueda tener acceso EMPRESA, como resultado de las actividades realizadas por ésta. TERCERA.- OBLIGACIONES DEL ENCARGADO DEL TRATAMIENTO. EMPRESA, en su calidad de Encargada del Tratamiento asume las obligaciones siguientes: Acceder a los ficheros o bases de datos de carácter personal de PATSA, únicamente, cuando el mismo sea imprescindible para el buen desarrollo de los servicios para los que ha sido contratado. Respetar todas las obligaciones que pudieran corresponderle como Encargado del Tratamiento con arreglo a las disposiciones de la LOPD y del RLOPD, o de cualquier otra disposición o regulación complementaria que le fuera igualmente aplicable. 2
3 Únicamente tratará los datos conforme a las instrucciones que reciba expresamente de PATSA. EMPRESA no destinará, aplicará o utilizará los datos a los que tenga acceso con fin distinto al expresamente indicado o de cualquier otra forma que suponga un incumplimiento de las instrucciones expresas que PATSA, en su condición de Responsable del Tratamiento, le proporcione. No revelar, transferir, ceder o de otra forma comunicar los ficheros o datos en ellos contenidos, ya sea verbalmente o por escrito, por medios electrónicos, papel o mediante acceso informático, ni siquiera para su conservación, a ningún tercero, salvo la correspondiente autorización a la subcontratación en caso de ser necesario, en los términos del artículo 21 del RLOPD. A tal efecto EMPRESA sólo podrá permitir el acceso a los datos a aquellos empleados que tengan la necesidad de conocerlos para la prestación de los servicios contratados. EMPRESA mantendrá indemne a PATSA frente a cualquier reclamación que derive del tratamiento de datos de carácter personal que realice en relación con el objeto del presente contrato como consecuencia del incumplimiento de dicha normativa. CUARTA.- OBLIGACIONES DEL RESPONSABLE DEL FICHERO. PATSA manifiesta y hace constar, a los efectos legales oportunos que: Los ficheros a cuyos datos accederá EMPRESA se hallan debidamente legalizados, legitimados y cumplen con todas las medidas de seguridad previstas en el artículo 9 de la LOPD y en RLOPD. Los términos del presente contrato en nada alteran ni sustituyen las obligaciones y responsabilidades que sean atribuibles a PATSA, como Responsable del Fichero, en virtud de la vigente legislación en materia de protección de datos. QUINTA.- MEDIDAS DE SEGURIDAD. EMPRESA manifiesta estar al corriente en lo que concierne a las obligaciones derivadas de la normativa de protección de datos y más concretamente, en lo que se refiere a la implantación de las medidas de seguridad de nivel básico previstas en el artículo 9 de la LOPD así como en los artículos 82 y 85 al 94, ambos inclusive, del RLOPD, con respecto de los ficheros automatizados. De igual manera, será necesario aplicar las medidas de nivel básico recogidas en los artículos 105 a 108, ambos inclusive, para todos aquellos datos que se encuentren en ficheros no automatizados, en el caso de que el servicio prestado por el Encargado del Tratamiento requiera el acceso a este tipo de ficheros. Asimismo, EMPRESA garantiza el mantenimiento de estas medidas de seguridad que se adjuntan en el Anexo I así como cualesquiera otras que le fueran impuestas, de índole técnica y organizativas, necesarias para garantizar la seguridad, presente y futura, de los datos de carácter personal y evitar su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural, conforme a lo establecido en la normativa sobre protección de datos de carácter personal. 3
4 SEXTA.- DESTINO DE LOS DATOS AL FINALIZAR LA RELACIÓN CONTRACTUAL. En cumplimiento del artículo 22.1 del RLOPD, una vez cumplida o resuelta la prestación contractual acordada entre EMPRESA y PATSA, y que justifica el acceso a los datos de carácter personal respecto de los cuales es responsable PATSA, los datos de carácter personal serán destruidos o devueltos a PATSA, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto del tratamiento. La destrucción no procederá en el caso de que una previsión legal exija la conservación de los datos, en cuyo caso deberá procederse a la devolución de los mismos garantizando el Responsable del Fichero dicha conservación. En cualquier caso, los datos permanecerán convenientemente bloqueados.. SÉPTIMA.- EJERCICIO DE DERECHOS. Si los afectados ejercitan sus derechos de acceso, rectificación, cancelación u oposición ante EMPRESA y solicitan el ejercicio de tales derechos ante la misma, EMPRESA deberá dar traslado de la mencionada solicitud, en el plazo máximo de 3 días, a PATSA a fin de que por el mismo se resuelva, en los plazos establecidos por la normativa vigente. OCTAVA.- DEBER DE INFORMACIÓN MUTUO. Las partes, de acuerdo con lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, se informan mutuamente de que los datos de la/ s persona/ s de contacto que figura en el encabezamiento del presente contrato así como los datos personales de cualquier empleado que se proporcionen entre sí como consecuencia de la relación de negocio objeto del presente contrato serán incorporados a los ficheros titularidad de cada una de las partes con la finalidad de gestionar dicha relación. Las partes podrán ejercitar sus derechos de acceso, rectificación, cancelación u oposición de sus datos, dirigiendo una notificación al efecto, a la dirección de la otra parte que figura en el encabezado del presente documento. NOVENA.- CONFIDENCIALIDAD. La totalidad de los términos y condiciones del presente documento, incluidos sus anexos, tienen carácter confidencial, estando sujetos a las obligaciones expuestas a lo largo del acuerdo. DÉCIMA.- SUBCONTRATACIÓN. En el caso de que EMPRESA tuviera que subcontratar todos o algunos de los servicios contratados por PATSA en los que intervenga el tratamiento automatizado de datos personales, la subcontratación requerirá de una autorización expresa por parte de PATSA en la que autorice a EMPRESA a contratar en nombre y por cuenta de PATSA detallándose de forma expresa los servicios autorizados para la subcontratación, así como la empresa encargada de su realización. No será necesaria la autorización de empresa para llevar a cabo la subcontratación en los siguientes casos: Que se especifiquen en el contrato los servicios que puedan ser objeto de subcontratación y, si ello fuera posible, la empresa con la que se vaya a subcontratar. Cuando no se identificase en el contrato la empresa con la que se vaya a subcontratar, será preciso que el Encargado del Tratamiento comunique al responsable los datos que la identifiquen antes de proceder a la subcontratación. Que el tratamiento de datos de carácter personal por parte del subcontratista se ajuste a las instrucciones del Responsable del Fichero. 4
5 Que el Encargado del Tratamiento y la empresa subcontratista formalicen el contrato, en los términos previstos en el apartado anterior. No obstante, en relación con la subcontratación se estará en todo momento a lo establecido por el RLOPD en su artículo 21 y en cualquier caso el subcontratista será considerado Encargado de Tratamiento siéndole de plena aplicación lo establecido en la cláusula undécima del presente contrato. Asimismo, EMPRESA se compromete a suscribir un contrato de servicios y confidencialidad con la empresa subcontratada que regule los servicios encargados, las instrucciones para el tratamiento, la no comunicación de los datos objeto de tratamiento a terceros, garantizándose la correcta utilización de los datos, la devolución o destrucción de los mismos una vez realizado el servicio, así como la custodia y adopción de las medidas de seguridad legalmente establecidas y demás obligaciones previstas en el art. 12 de la Ley Orgánica de Protección de Datos de Carácter Personal y en los arts. 20 a 22, ambos inclusive, del RLOPD. UNDÉCIMA.- RESPONSABILIDAD. EMPRESA se compromete a cumplir con las obligaciones establecidas en el presente Contrato y en la normativa vigente, en relación con el presente encargo de tratamiento. De conformidad con lo establecido en el art de la LOPD y 20.3 del RLOPD, EMPRESA será considerada Responsable del Tratamiento en el caso de que destine los datos a otras finalidades, los comunique o los utilice incumpliendo las estipulaciones del presente Contrato, respondiendo de las infracciones en que hubiera incurrido personalmente. Ambas partes, en prueba de su conformidad, firman el presente contrato, por duplicado ejemplar, en el lugar y fecha arriba indicados. EMPRESA PARC D ATRACCIONS DEL TIBIDABO, SAU 5
6 ANEXO I AL ACUERDO DE ACCESO A DATOS DE CARÁCTER PERSONAL POR CUENTA DE TERCEROS ENTRE XXXXX Y XXXXXXX MEDIDAS DE SEGURIDAD DE NIVEL BÁSICO Medidas de Seguridad de nivel básico adoptadas por EMPRESA de los ficheros automatizados. 1. Acceso a datos a través de redes de comunicaciones Las medidas de seguridad exigibles a los accesos a datos de carácter personal a través de redes de comunicaciones, sean o no públicas, deberán garantizar el nivel de seguridad, según el art. 85 del RLOPD, equivalente al correspondiente a los accesos en modo local, conforme a los criterios establecidos según el art. 80 del RLOPD. 2. Régimen de trabajo fuera de los locales del Responsable del Fichero o Encargado del Tratamiento. Cuando los datos personales se almacenen en dispositivos portátiles o se traten fuera de los locales del Responsable del Fichero, o del Encargado del Tratamiento, será preciso que exista una autorización previa del Responsable del Fichero o Tratamiento, y en todo caso deberá, según el art. 86 del RLOPD, garantizarse el nivel de seguridad correspondiente al tipo de fichero tratado. Esta autorización deberá constar en el documento de seguridad y podrá establecerse para un usuario o para un perfil de usuarios y determinando un periodo de validez para las mismas. 3. Ficheros temporales o copias de trabajo de documento. Aquellos ficheros temporales o copias de documentos que se hubiesen creado exclusivamente para la realización de trabajos temporales o auxiliares, según el art. 87 del RLOPD, deberán cumplir el nivel de seguridad que les corresponda conforme a los criterios establecidos en el art. 81 del RLOPD. Todo fichero temporal o copia de trabajo así creado será borrado o destruido una vez que haya dejado de ser necesario para los fines que motivaron su creación. 4.- Documento de Seguridad El documento de seguridad, según el art. 88 del RLOPD, contiene información relativa a los siguientes aspectos: a.- Ámbito de aplicación del documento con especificación detallada de los recursos protegidos. b.- Medidas, normas, procedimientos, reglas y estándares internos encaminados a garantizar el nivel de seguridad exigido por la normativa aplicable en protección de datos de carácter personal. c.- Funciones y obligaciones del personal que tengan acceso a la base de datos. 6
7 d.- Estructura de los ficheros con datos de carácter personal y descripción de los sistemas de información que los tratan. e.- Procedimiento de notificación, gestión y respuesta ante las incidencias. El procedimiento contiene un registro en el que se hace constar el tipo de incidencia, el momento en que se ha producido, la persona que realiza la notificación, a quien se comunica y los efectos que se hubieran derivado de la misma. f.- Los procedimientos de realización de copias de respaldo y de recuperación de los datos. El documento deberá mantenerse actualizado y será revisado cuando se produzcan cambios relevantes en el sistema de información o en la organización del mismo. El contenido del documento de seguridad deberá adecuarse, en todo momento a las disposiciones vigentes en materia de seguridad de los datos de carácter personal. 5.- Funciones y obligaciones del personal de EMPRESA que tenga acceso a la base de datos. a.- Las funciones y obligaciones de cada una de las personas con acceso a los datos de carácter personal y a los sistemas de información estarán claramente definidas y documentadas, de acuerdo con lo previsto en el artículo 89 del RLOPD, tanto para los ficheros automatizados como para los no automatizados, esto último en virtud del artículo del mismo RLOPD. b.- EMPRESA adoptará las medidas necesarias para que el personal conozca las normas de seguridad que afecten al desarrollo de sus funciones así como las consecuencias en que pudiera incurrir en caso de incumplimiento. 6.- Registro de incidencias. Se indicará, según el art. 90 del RLOPD, la naturaleza de todas y cada una de las incidencias, la fecha y hora en que se produjo la incidencia, el nombre de la persona que notificó la incidencia, y el nombre de la persona que recibió dicha notificación, así como los efectos de la incidencia, ya se trate de incidencias que afecten a datos contenidos en ficheros automatizados o no automatizados. 7.- Control de acceso. Según el art. 91 del RLOPD: a.- Los usuarios de EMPRESA sólo tienen acceso autorizado a aquellos datos y recursos que precisen para el desarrollo de sus funciones. b.- EMPRESA establecerá mecanismos para evitar que un usuario pueda acceder a datos o recursos con derechos distintos de los autorizados. c.- El Responsable del Fichero establecerá mecanismos para evitar que un usuario pueda acceder a recursos con derechos distintos de los autorizados. 7
8 d.- Exclusivamente el personal autorizado para ello en el documento de seguridad podrá conceder, alterar o anular el acceso autorizado sobre los datos y recursos, conforme a los criterios establecidos por el Responsable del Fichero. e.- En caso de que exista personal ajeno al Responsable del Fichero que tenga acceso a los recursos deberá estar sometido a las mismas condiciones y obligaciones de seguridad que el personal propio 8.- Gestión de soportes y documentos. Según el art. 92 del RLOPD: a.- Los soportes y documentos informáticos que contengan datos de carácter personal deberán permitir identificar el tipo de información que contienen, ser inventariados y almacenarse en un lugar con acceso restringido al personal autorizado para ello en el documento de seguridad. b.- La salida de soportes y documentos informáticos que contengan datos de carácter personal, incluidos los comprendidos y/o anejos a un correo electrónico, fuera de los locales en los que esté ubicado el fichero, únicamente podrá ser autorizada por EMPRESA. c.- En el traslado de la documentación se adoptarán las medidas dirigidas a evitar la sustracción, pérdida o acceso indebido a la información durante su transporte. d.- Siempre que vaya a desecharse cualquier documento o soporte que contenga datos de carácter personal deberá procederse a su destrucción o borrado, mediante la adopción de medidas dirigidas a evitar el acceso a la información contenida en el mismo o su recuperación posterior. e.- La identificación de los soportes que contengan datos de carácter personal que la organización considerase especialmente sensibles se podrá realizar utilizando sistemas de etiquetado comprensibles y con significado que permitan a los usuarios con acceso autorizado a los citados soportes y documentos identificar su contenido, y que dificulten la identificación para el resto de personas. 9.- Identificación y autenticación. EMPRESA, según el art. 93 del RLOPD, garantiza que: a.- Mantiene una relación actualizada de los usuarios que tengan acceso autorizado al sistema de información y que ha establecido procedimientos de identificación y autenticación para dicho acceso, que permite la identificación de forma inequívoca y personalizada de todo aquel usuario que intente acceder al sistema de información y la verificación de que está autorizado. b.- Cuando el mecanismo de autenticación se base en la existencia de contraseñas existirá un procedimiento de asignación, distribución y almacenamiento que garantice su confidencialidad e integridad. c.- Las contraseñas se cambiarán con la periodicidad que se determine en el documento de seguridad, que nunca será superior a un año, y mientras estén vigentes se almacenarán de forma ininteligible. 10. Copias de respaldo 8
9 según el art. 94 del RLOPD: a.- EMPRESA se encargará de verificar la definición y correcta aplicación de los procedimientos de realización de copias de respaldo y de recuperación de los datos. b.- Los procedimientos establecidos para la realización de copias de respaldo y para la recuperación de los datos deberán garantizar su reconstrucción en el estado en que se encontraban al tiempo de producirse la pérdida o destrucción. c.- Deberán realizarse copias de respaldo, al menos semanalmente, salvo que en dicho periodo no se hubiera producido ninguna actualización de los datos. En virtud de lo establecido en el artículo RLOPD todo lo establecido anteriormente será de aplicación a los ficheros no automatizados en lo relativo a: - Funciones y obligaciones del personal. - Registro de incidencias. - Control de acceso. - Gestión de soportes. 9
10 Además de todo ello, para los ficheros no automatizados que contengan datos de carácter personal, habrán de seguirse las siguientes medidas de seguridad de nivel básico, exclusivas de este tipo de ficheros. 1. Criterios de archivo. El archivo de los soportes o documentos se realizará de acuerdo con los criterios previstos en su respectiva legislación, art. 106 del RLOPD. Estos criterios deberán garantizar la correcta conservación de los documentos, la localización y consulta de la información y posibilitar el ejercicio de los derechos de oposición al tratamiento, acceso, rectificación y cancelación. En aquellos casos en los que no exista norma aplicable, el Responsable del Fichero deberá establecer los criterios y procedimientos de actuación que deban seguirse para el archivo. 2. Dispositivos de almacenamiento. Los dispositivos de almacenamiento de los documentos que contengan datos de carácter personal, según el art. 107 del RLOPD, deberán disponer de mecanismos que obstaculicen su apertura. Cuando las características físicas de aquéllos no permitan adoptar esta medida, el Responsable del Fichero o Tratamiento adoptará medidas que impidan el acceso de personas no autorizadas. 3. Custodia de soportes. Mientras la documentación con datos de carácter personal no se encuentre archivada en los dispositivos de almacenamiento establecidos en el artículo anterior, por estar en proceso de revisión o tramitación, ya sea previo o posterior a su archivo, la persona que se encuentre al cargo de la misma, según el art. 108 del RLOPD, deberá custodiarla e impedir en todo momento que pueda ser accedida por persona no autorizada. EMPRESA BARCELONA DE SERVEIS MUNICIPALS, S.A. 10
Propuesta de Colaboración Profesional para la Implantación de la Ley Orgánica de Protección de Datos de Carácter Personal LOPD (Ley Orgánica 15/1999)
Propuesta de Colaboración Profesional para la Implantación de la Ley Orgánica de Protección de Datos de Carácter Personal LOPD (Ley Orgánica 15/1999) - 00 de XXXXX de 0000 - ONG PROP 00XX00.v1 Propuesta_Implantacion_LOPD.doc
LEY ORGÁNICA DE PROTECCIÓN DE DATOS DE CARÁCTER PERSONAL Nombramiento del Responsable de Seguridad
LEY ORGÁNICA DE PROTECCIÓN DE DATOS DE CARÁCTER PERSONAL Nombramiento del Responsable de Seguridad En VALENCIA, a... de... de 20... Yo, D. HUGO SANFELIX HANCOCK, con DNI 33568635C, en nombre y representación