Source: https://ofiseg.wordpress.com/tag/lopd/
Timestamp: 2017-10-19 00:00:06
Document Index: 193859301

Matched Legal Cases: ['artículo 10', 'artículo 45', 'artículo 6', 'artículo 44', 'artículo 45', 'artículo 6', 'artículo 37', 'artículo 44', 'artículo 37', 'artículo 44', 'artículo 15', 'artículo 21', 'artículo 10', 'artículo 21', 'artículo 10', 'artículo 49', 'artículo 11', 'artículo 11', 'artículo 45', 'artículo 96', 'artículo 12']

lopd | PROTEC-DATOS
Amplían la querella contra los dos celadores del Hospital Nuestra Señora de La Candelaria
Publicado por Leocadio Marrero Trujillo ⋅ 04/11/2012 ⋅ Deja un comentario
Según informa el diario digital http://www.canariasahora.com el abogado de la paciente que ha denunciado a dos celadores de este centro hospitalario, ha ampliado la querella al contrastar los accesos de los imputados al historial clínico de la denunciante con la que realmente, según fuentes del hospital, les correspondía.
Este personal sanitario solo puede acceder a la historia clínica cuando realizan sus funciones administrativas (ingresos o traslados), no pudiendo realizar otro tipo de accesos. Según las diligencias que tramita el juzgado, ninguno de los accesos de los celadores imputados al historial clínico guardaban relación con esas necesidades administrativas ni de gestión de incidencias. Consta que han “entrado mas veces al historial clínico que los propios médicos que la han intervenido y que siguen su evolución”, según consta en la intranet del hospital.
Hasta tal punto llegó el acceso a esta historia clínica que según ha puesto de manifiesto la auditoría realizada, la segunda persona imputada accedió hasta en cinco ocasiones a la historia clínica de la denunciante cuando esta ya no se encontraba en el centro hospitalario, ni siquiera estaba en Tenerife, sino en Pamplona, recuperándose de una intervención. Además, el primer imputado también ha realizado accesos en multitud de ocasiones a la historia clínica de la denunciante sin necesidad.
La Asociación para la Defensa de la Sanidad Pública en Canarias, que en un comunicado reciente afirmaba que “la seguridad y la privacidad de los datos son cruciales en las historias clínicas y en cuanto a los permisos de acceso a las mismas, ya que los pacientes son los propietarios de sus propias historias, son ellos mismos quienes han de decidir quién puede ver su información sanitaria y cuándo.Por tanto resulta inconcebible e intolerable que cosas como la denunciada puedan suceder en el Servicio Canario de la Salud cuando es éste el que ha de proteger las historias clínicas electrónicas de intrusos como los denunciados que no tienen la correspondiente autorización escrita por parte de la paciente “.
Habrá que seguir las evoluciones jurídicas de este caso así como la posible actuación de oficio de la propia Agencia Española de Protección de Datos, ya que, como todo parece apuntar, estamos ante una infracción grave, (art. 44.3.d), del deber de secreto , según regula el artículo 10 de la Ley Orgánica de Protección de Datos Personales.
Fuente: Canarias Ahora.
http://www.canariasahora.com/noticia/240139/
Sanción por incumplimiento de requerimiento de retirada de cámaras de videovigilancia ficticias.
Publicado por Leocadio Marrero Trujillo ⋅ 23/10/2012 ⋅ Deja un comentario
El 17 de mayo el Director de la AEPD acordó APERCIBIR a un ciudadano con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, con relación a la denuncia por infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.b) de la citada Ley Orgánica por la instalación de una videocámara de seguridad que el denunciado afirmó ser ficticia.
En el mismo acuerdo el Director resolvió REQUERIR de acuerdo con lo establecido en el apartado 6 del artículo 45 de la Ley 15/1999 para que acreditase en el plazo de un mes el cumplimiento de lo previsto en el artículo 6.1 de la LOPD, debiendo aportando a esta Agencia justificación documental de que las cámaras instaladas no captan zonas comunes del inmueble. En caso de no atender este requerimiento, se le advirtió que se procedería a acordar la apertura de un procedimiento sancionador.
Pasado ese tiempo el Director de la AEPD abre un Expediente de Actuaciones Previas de investigación del cual se desprende que no consta que se hayan adoptado las medidas correctoras solicitadas y no consta que se haya atendido el requerimiento efectuado.
El hecho constatado de la falta de atención al requerimiento del Director de esta Agencia Española de Protección de Datos al imputado en este procedimiento, establece la base de facto para fundamentar la imputación de la infracción del artículo 37.1.a).
El artículo 44.3.i) de la LOPD considera que es infracción grave “no atender los requerimientos o apercibimientos de la Agencia Española de Protección de Datos o no proporcionar a aquélla cuantos documentos e informaciones sean solicitados por la misma.”
En el presente caso ha quedado acreditado que no se ha atendido el requerimiento efectuado en la resolución de apercibimiento notificada al denunciado.
Por tanto, ante la falta de atención al requerimiento el Director de la AEPD ha impuesto una sanción de 1.500€, por una infracción del artículo 37.1 de la LOPD, tipificada como grave en el artículo 44.3.i de dicha norma.
Hay que tener presente el criterio mantenido hasta la fecha por la AEPD sobre la instalación de cámaras de seguridad ficticias, o sobre carcasas de cámaras colocadas en el exterior de las fachadas de los edificios para dar la impresión de que existe un CCTV o sistema de circuito cerrado de televisión o sistema de videovigilancia. En todos ellos, la AEPD ha instado a la retirada de los mismos. Por tanto, recordamos que la instalación de estos “supuestos dispositivos de captación de imágenes” no están autorizados, no cuentan con amparo legal, a criterio de la AEPD.
Por otro lado, hay que tener en cuenta siempre que los procedimientos de apercibimiento conlleva siempre una resolución en la que es insta al denunciado a enmendar o corregir la situación que ha causado la denuncia y la apertura del procedimiento administrativo que ha concluido con un APERCIBIR. Por tanto, siempre habrá que corregir la situación objeto de denuncia. Ya que de lo contrario, cuando pase el plazo concedido de treinta días, se abrirá un Expediente de Actuaciones Previas de Investigación que podría dar lugar a la imposición de una multa.
Denuncian a dos celadores en Tenerife por un posible delito contra la intimidad al acceder de forma indebida a la historia clínica de la denunciante
Publicado por Leocadio Marrero Trujillo ⋅ 19/10/2012 ⋅ Deja un comentario
Sorprendente la noticia de la que en el día de hoy se hace eco el diario digital Canariasahora, según este medio el tribunal de instrucción nº 2 de Santa Cruz de Tenerife ha imputado a dos celadores del Hospital Universitario Nuestra Señora de la Candelaria por un posible delito contra la intimidad.
Según consta en la denuncia, los imputados accedieron en numerosas ocasiones a los datos clínicos de la querellante, quién solicitó una auditoría al centro hospitalario para poner comprobar estos hechos. El informe de la auditoría ha sido contundente, al poner negro sobre blanco, que los imputados tenían “pleno conocimiento de qué días debía acudir la víctima al centro médico, qué tratamiento se le suministraba, el historial de informes o el historial de radiología, sin que ninguno de los dos tuviera consentimiento por escrito para ello”, según reza en el propio diario digital.
La denuncia también salpica a los responsables del centro hospitalario, el Servicio Canario de Salud, como responsables subsidiarios, por lo que la gerente del centro ha tenido que prestar declaración. La gerente ha reconocido que no todos los trabajadores del centro pueden acceder a la historia clínica, y que en su caso, necesitaría el consentimiento expreso de los titulares de la misma, hecho que los denunciantes niegan haber realizado.
Para entender mejor el alcance de esta noticia y todo lo que ello pudiera implicar debemos tener presente algunos aspectos jurídicos de la historia clínica. Las cuestiones relativas al concepto de “historia clínica”, su régimen de acceso, propiedad, contenido, conservación, custodia, y el deber de secreto en relación con la misma, se encuentran recogidas, con carácter general, en la Ley 41/2002, de 14 noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica.
La “historia clínica” incorpora el conjunto de datos sanitarios referentes a una determinada persona física, agrupados en un único expediente con vocación de uniformidad. En dicho historial podrán contenerse desde el cuadro médico o la sintomatología con la que acude una persona a un centro sanitario, hasta los episodios asistenciales a los que ha sido sometido, pasando por el tratamiento y diagnóstico del paciente.
La definición legal de la “historia clínica” se infiere de lo dispuesto por el artículo 15 de la Ley 41/2002, de 14 de noviembre, entendiéndose como tal el conjunto de información relativa al estado de salud del paciente “que comprenderá al menos:
o) El informe clínico de alta”.
Por otro lado, hay que tener presente que el acceso a la historia clínica está limitado y regulado por la citada ley, así como por la LOPD, Ley 15/1999 de 13 de diciembre sobre el derecho a la protección de datos personales. La LOPD establece que el nivel de seguridad de la historia clínica, al contener datos de salud, se establecerá como nivel alto de seguridad. Y entre las medidas de seguridad especiales que este tipo de fichero conlleva están los siguientes según establece el RD 1720/2007, de 21 de diciembre:
Para ficheros automatizados:
1. De cada intento de acceso se guardarán, como mínimo, la identificación del usuario, la fecha y hora en que se realizó, el fichero accedido, el tipo de acceso y si ha sido autorizado o denegado.
3. Los mecanismos que permiten el registro de accesos estarán bajo el control directo del responsable de seguridad competente sin que deban permitir la desactivación ni la manipulación de los mismos.
5. El responsable de seguridad se encargará de revisar al menos una vez al mes la información de control registrada y elaborará un informe de las revisiones realizadas y los problemas detectados.
6. No será necesario el registro de accesos definido en este artículo en caso de que concurran las siguientes circunstancias:
a) Que el responsable del fichero o del tratamiento sea una persona física.
b) Que el responsable del fichero o del tratamiento garantice que únicamente él tiene acceso y trata los datos personales.
La concurrencia de las dos circunstancias a las que se refiere el apartado anterior deberá hacerse constar expresamente en el documento de seguridad.
Para ficheros no automatizados:
1. El acceso a la documentación se limitará exclusivamente al personal autorizado.
2. Se establecerán mecanismos que permitan identificar los accesos realizados en el caso de documentos que puedan ser utilizados por múltiples usuarios.
3. El acceso de personas no incluidas en el párrafo anterior deberá quedar adecuadamente registrado de acuerdo con el procedimiento establecido al efecto en el documento de seguridad.
Y muy interesante es tener presente el informe jurídico emitido por la Agencia de Protección de Datos de la Comunidad de Madrid bajo el título: “¿Qué acceso tiene el personal auxiliar a las Historias Clínicas, en formato papel, a los efectos de la localización, traslado y entrega de dicha documentación clínica a los médicos?” accesible en el siguiente enlace:
http://www.madrid.org/cs/Satellite?blobcol=urldata&blobheader=application%2Fpdf&blobheadername1=Content-disposition&blobheadername2=cadena&blobheadervalue1=filename%3Dconsultas+web+colegios-+31.pdf&blobheadervalue2=language%3Des%26site%3DPortalAPDCM&blobkey=id&blobtable=MungoBlobs&blobwhere=1311006521309&ssbinary=true
Fuente: http://www.canariasahora.com/noticia/237911/
Abre una perfumería y le sancionan por enviar un email a su lista de contactos en hotmail.
Un empresario abre una perfumería y, con toda la buena intención del mundo, pone en conocimiento de su lista de contactos su nueva actividad a fin de que puedan estar informado de ello.
El envío del email lo realizó solo a 17 direcciones de correo entre las que se encontraba la dirección del denunciante; además, las direcciones estaban incluidas en el campo “Para”, por lo que todas ellas resultaban visibles a todos los contactos.
Entre los hechos probados en este procedimiento sancionador que abrió la AEPD constan los siguientes:
1.- Que se envió un email desde la cuenta de correo del denunciado a la del denunciante.
2.- Que el contenido del mensaje es de carácter comercial.
3.- Queda acreditado el envío a 17 contactos sin ocultar la identidad o dirección de los mismos.
Actualmente se denomina “spam” a todo tipo de comunicación no solicitada, realizada por vía electrónica. De este modo se entiende por “spam” cualquier mensaje no solicitado y que, normalmente, tiene el fin de ofertar, comercializar o tratar de despertar el interés respecto de un producto, servicio o empresa. Aunque se puede hacer por distintas vías, la más utilizada entre el público en general es el correo electrónico.
Esta conducta es particularmente grave cuando se realiza en forma masiva. El envío de mensajes comerciales sin el consentimiento previo está prohibido por la legislación española, tanto por la LSSI (a consecuencia de la transposición de la Directiva 2000/31/CE, de 8 de junio) como por la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD).
La LSSI, en su artículo 21.1, prohíbe de forma expresa “el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas”. Es decir, se desautorizan las comunicaciones comerciales dirigidas a la promoción directa o indirecta de los bienes y servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional, si bien esta prohibición encuentra la excepción en el segundo párrafo del citado artículo, que autoriza el envío cuando “el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que fueron objeto de contratación”. De este modo, el envío de comunicaciones comerciales no solicitadas, fuera del supuesto excepcional del art. 21,2 de la LSSI, puede constituir una infracción leve o grave de la LSSI.
Como ya se ha señalado, la LSSI prohíbe las comunicaciones comerciales no solicitadas, partiendo de un concepto de comunicación comercial que se califica como servicio de la sociedad de la información y que se define en su Anexo de la siguiente manera:
“f) Comunicación comercial»: toda forma de comunicación dirigida a la promoción, directa o indirecta, de la imagen o de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional.
A efectos de esta Ley, no tendrán la consideración de comunicación comercial los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, ni las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica”.
En el presente supuesto, ha quedado acreditado que el denunciante recibió en su buzón de correo electrónico una comunicación comercial por medios electrónicos sin autorización expresa y sin que concurriera alguna relación comercial previa de productos similares que pudiera legitimar el envío.
En cuanto al ámbito de la LOPD, el artículo 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, establece:
En el presente caso se ha acreditado la vulneración del deber de secreto que incumbe a todo aquel que intervenga en el tratamiento, como la denunciante, pues de la comunicación comercial enviada por ésta y analizada se desprende que más de 15 destinatarios de dicha comunicación conocieron datos personales de aquellos que también eran destinatarios y viceversa, quedando a disposición de éstos y sustrayendo
el control a sus titulares.
Es por ello, que la AEPD ha sancionado a este empresario con dos sanciones, una por infracción del artículo 21.1 de la LSSI, una multa de 1.200€; y por una infracción del artículo 10 de la LOPD a una multa de 900€.
¿Cómo se deben notificar los tratamientos que se realizan sobre los ficheros de exclusión del envío de comunicaciones comerciales (LISTAS ROBINSON)?
El artículo 49.1 del Reglamento de desarrollo de la LOPD (RD 1720/200, de 21 de diciembre) prevé la creación de ficheros comunes, de carácter general o sectorial, en los que sean objeto de tratamiento los datos de carácter personal que resulten necesarios para evitar el envío de comunicaciones comerciales a los interesados que manifiesten su negativa u oposición a recibir publicidad
Con el fin de facilitar su consulta en el Catálogo de ficheros, éstos deberán ser notificados por sus promotores para su inscripción en el Registro General de Protección de Datos haciendo constar como nombre del fichero LISTAS ROBINSON o FICHERO COMÚN DE EXCLUSIÓN DEL ENVÍO DE COMUNICACIONES COMERCIALES. Asimismo, se advierte que el tratamiento que de los ficheros comunes creados en aplicación del art. 49.1 del RLOPD puedan realizar las entidades que los consulten no será preciso notificarlos, siempre que se limiten a la consulta regulada en el art. 49.4 del RLOPD.
En relación con los tratamientos necesarios para identificar y adoptar las medidas necesarias que eviten el envío de publicidad al que se refiere el art. 48 del RLOPD, los responsables de los mismos podrán incluir la finalidad de evitar el envío de comunicaciones comerciales a aquellas personas que han manifestado su negativa u oposición a recibir publicidad, en el fichero relacionado con la gestión comercial de clientes de la entidad. Alternativamente, podrán notificar el RGPD un nuevo fichero en el que se hará constar como nombre del mismo GESTION DE EXCLUIDOS DE COMUNICACIONES COMERCIALES.
Haciendo una compra me obligaban a poner mi DNI en el tiket de compra o a firmar mi tarjeta de credito ¿Es eso legal?
Los ticket de compra son unos indicativos o comprobantes de que se ha llevado a cabo una relación comercial inicialmente aceptada por ambas partes, la compradora y la vendedora.
En consecuencia, es un tratamiento de datos amparado en el propio articulo 6 de la citada Ley Orgánica, que permite el tratamiento de los datos cuando se lleva a cabo una relación negocial con el titular de los datos.
Por lo tanto, es perfectamente legal ese tratamiento siempre que el responsable del fichero informe al titular de los datos de los derechos que le asisten y no utilice esos datos para finalidades distintas para las que fueron recabados.
No obstante, los titulares de los datos personales pueden instar de forma gratuita la oposición al tratamiento, automatizado o no, de sus datos, de conformidad con lo previsto en el articulo 6.4 de la Ley Orgánica 15/1999, de 13 de diciembre, que establece:
“…En los casos en los que no sea necesario el consentimiento del afectado para el tratamiento de los datos de carácter personal, y siempre que una Ley no disponga lo contrario, éste podrá oponerse a su tratamiento cuando existan motivos fundados y legítimos relativos a una concreta situación personal. En tal supuesto, el responsable del fichero excluirá del tratamiento los datos relativos al afectado”.
El ejercicio del derecho de oposición es personalismo, lo que significa que el titular de los datos personalmente deberá dirigirse a dicha entidad, salvo poder expreso y por escrito del titular de los datos y fotocopia de los dos DNI (del titular de los datos y su representante) utilizando cualquier medio que permita acreditar el envío y la recogida de su solicitud (fax, burofax, correo ordinario, certificado o no, e-mail….), para el ejercicio de sus derechos, acompañando copia de su D.N.I. Puede sustituirse la presentación del documento de identidad por el uso de la firma electrónica identificativa
En el caso de los menores de edad, los padres o tutores pueden ejercitar el derecho en su nombre, aportando el DNI del adulto y documentos de la filiación o la tutela
Si en el plazo de diez días hábiles no recibe contestación o esta es insatisfactoria, puede reclamar ante esta Agencia Española de Protección de Datos, acompañando la documentación acreditativa de haber solicitado la oposición al tratamiento de datos ante la entidad que se trate.
Finalmente, si existe una norma con rango de Ley que impide oponerse a un determinado tratamiento de los datos, tampoco es ejercitable el derecho de oposición.
¿Cómo puedo conseguir que cancelen mis datos de una empresa?
El titular de los datos puede ejercitar su derecho de cancelación o rectificación de sus datos personales mediante escrito dirigido al responsable del fichero de la entidad de que se trate.
La Agencia Española de Protección de Datos no tiene los datos personales de los ciudadanos ni sabe qué empresas los manejan.
El ejercicio del derecho de cancelación o rectificación es personalísimo, lo que significa que el titular de los datos personalmente deberá dirigirse a dicha entidad, salvo poder expreso y por escrito del titular de los datos y fotocopia de los dos DNI (del titular de los datos y su representante) utilizando cualquier medio que permita acreditar el envío y la recogida de su solicitud (fax, burofax, correo ordinario, certificado o no, e-mail….),, para el ejercicio de sus derechos, acompañando copia de su D.N.I. Puede sustituirse la presentación del documento de identidad por el uso de la firma electrónica identificativa
En el caso de datos de menores, pueden ejercitar el derecho en su nombre, los padres, tutores o representantes legales, aportando documentos de la filiación
Si en el plazo de 10 días hábiles no recibe contestación o esta es insatisfactoria, puede reclamar ante esta Agencia Española de Protección de Datos, acompañando la documentación acreditativa de haber solicitado la cancelación de datos ante la entidad que se trate.
La cancelación de datos no debe confundirse con la solicitud de baja de un servicio previamente contratado o con la devolución de copias de documentos o contratos o con la supresión de comentarios en foros, que no es materia de protección de datos.
En consecuencia, el titular de los datos deberá dirigirse a la empresa responsable solicitándole el derecho de cancelación y debe aportar los documentos que acrediten haber solicitado la cancelación previamente a efectuar la reclamación/denuncia frente a este Organismo
¿Pueden los hoteles ceder datos de sus huéspedes a la policia?
Publicado por Leocadio Marrero Trujillo ⋅ 25/06/2012 ⋅ Deja un comentario
Como punto de partida, debe analizarse si el tratamiento y posterior comunicación de los datos se encuentran amparados por lo establecido en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de datos de Carácter Personal.
En este sentido, el artículo 11.1 dispone que “Los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado”. No obstante este consentimiento no será necesario ”Cuando la cesión está autorizada en una Ley” (artículo 11.2 a).
El tratamiento y cesión de datos a los que se refiere la consulta trae su causa de lo establecido en el artículo 45.1 del Convenio de Schengen, ratificado por España en fecha 23 de julio de 1993. Según este precepto:
“Las Partes contratantes se comprometen a adoptar las medidas necesarias para garantizar que:
a) El director de un establecimiento de hospedaje o su encargado procuren que los extranjeros alojados, incluidos los nacionales de las demás Partes contratantes y de otros Estados miembros de las Comunidades Europeas, con excepción de los cónyuges o menores que les acompañen o de los miembros de grupos de viaje, cumplimenten y firmen personalmente las fichas de declaración y que justifiquen su identidad mediante la presentación de un documento de identidad vigente.
b) Las fichas de declaración así cumplimentadas sean conservadas por las autoridades competentes o transmitidas a éstas, siempre que dichas autoridades lo estimen necesario para prevenir peligros, para perseguir delitos o para dilucidar el paradero de personas desaparecidas o víctimas de accidentes, excepto si el Derecho nacional dispusiera otra cosa.”
En este sentido, es preciso recordar que el artículo 96.1 de la Constitución dispone que “Los tratados internacionales válidamente celebrados, una vez publicados oficialmente en España, formarán parte del ordenamiento interno. Sus disposiciones sólo podrán ser derogadas, modificadas o suspendidas en la forma prevista en los propios tratados o de acuerdo con las normas generales del Derecho internacional”.
Del mismo modo, el artículo 12 de la Ley Orgánica 1/1992, de 21 de febrero, dispone que “Las personas naturales o jurídicas que desarrollen actividades relevantes para la seguridad ciudadana, como las de hospedaje, el comercio o reparación de objetos usados, el alquiler o el desguace de vehículos de motor, o la compraventa de joyas y metales preciosos, deberán llevar a cabo las actuaciones de registro documental e información previstas en la normativa vigente”, habiendo sido desarrollada esta previsión por la Orden INT/1922/2003, de 3 de julio.
Por este motivo, el tratamiento de los datos mencionados y su comunicación a las Fuerzas y Cuerpos de Seguridad se encuentra amparado por lo establecido en los artículos 6.1 y 11.2 a) de la Ley Orgánica 15/1999, dado que existe una norma con rango de Ley que da cobertura al tratamiento y cesión de los datos.
113,060 Visitas