Source: http://germar.es/areadetrabajo/ley-de-proteccion-de-datos.html
Timestamp: 2018-04-23 23:11:04
Document Index: 196191475

Matched Legal Cases: ['Artículo 4', 'Artículo 4', 'Artículo 5', 'Artículo 96', 'Artículo 6', 'Artículo 13', 'Artículo 14', 'Artículo 17', 'Artículo 18', 'Artículo 19', 'artículo 9', 'Artículo 43', 'Artículo 89', 'Artículo 89', 'artículo 43']

Germar Gestión de Calidad - PROTECCIÓN DE DATOS Y LSSI
1. ADECUACIÓN A LA LEY DE PROTECCIÓN DE DATOS PARA EMPRESAS.
En este apartado, GERMAR le ofrece los servicios de asesoría para la adecuación y cumplimiento de la ley de Protección de Datos y de la LSSI.
La Ley Orgánica de Protección de Datos de Carácter Personal 15/1999, de 13 de Diciembre, (en adelante LOPD) impone una serie de obligaciones legales para aquellas personas físicas o jurídicas que posean uno o varios ficheros con datos de carácter personal, tanto en soporte informático como en papel.
Así mismo, desde el 26 de Junio de 1999 estaba en vigor el Reglamento de Seguridad contenido en el R.D. 994/99 de 11 de junio, que desarrolla la mencionada Ley Orgánica y que establece la obligación de las empresas de poner en marcha diversas medidas destinadas a garantizar la protección de dichos datos, afectando a sistemas informáticos, archivos de soportes de almacenamiento, personal, procedimientos operativos, etc.
Además, existen otras disposiciones legales que complementan y desarrollan las aquí mencionadas y que se deben de contemplar.
IMPORTANTE: El 19 de abril de 2009 ha entrado en vigor el nuevo Reglamento que s ustituye y deroga al Reglamento de Seguridad contenido en el R.D. 994/99 de 11 de junio.
El nuevo Reglamento está en el REAL DECRETO 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal.
Hay una serie de novedades en el nuevo Reglamento, que es necesario tener en cuenta y que hay que trasladar a las medidas de seguridad y al Documento de Seguridad de los ficheros existentes en la actualidad.
En el nuevo Reglamento que desarrolla la Ley Orgánica de Protección de Datos de carácter personal, podemos destacar de forma resumida los siguientes aspectos:
El interesado dispondrá de un medio sencillo y gratuito, para ejercitar su derecho de acceso, rectificación, cancelación y oposición, sin tener que usar correo certificado ni otros medios que le supongan un gasto adicional.
A los ficheros de solvencia, se debe informar en la firma de los contratos la posible inclusión, cancelar inmediatamente cuando la deuda haya sido pagada y para ser incluido ésta debe ser cierta, vencida y exigible en su impago.
Se prohíbe pedir o tratar datos de menores de catorce años sin el consentimiento de sus padres Si son mayores de esa edad, no se exige dicho consentimiento, salvo que sean actos que los menores de dieciocho años no puedan realizar sin permiso paterno. Además, si se pretende recoger datos con información relativa a los miembros del grupo familiar o sus características, será necesario que los titulares de los mismos den su consentimiento.
Se establece un régimen sistemático de las Transferencias Internacionales de datos introduciéndose en el Reglamento la opción de suspensión o revocación de una determinada transferencia que hubiera sido previamente autorizada por parte del Director de la Agencia Española de Protección de Datos cuando se hubiera dado incumplimiento o falta de garantías.
Incremento de medidas de seguridad:
Pasan de un nivel básico a un nivel medio los ficheros de los que son responsables los operadores de servicios de comunicaciones electrónicas disponibles al público o exploten redes públicas de comunicaciones electrónicas sobre datos de tráfico y de localización. Se exige establecer un registro de acceso a tales datos para determinar quien ha intentado acceder a estos datos, fecha y hora en que se ha intentado este acceso y si ha sido autorizado o denegado.
Pasan de un nivel básico a un nivel medio los ficheros de Entidades Gestoras y Servicios Comunes de la Seguridad Social que tengan relación con sus competencias y las mutuas de accidentes de trabajo y de enfermedades profesionales de la Seguridad Social. También pasan al nivel medio de seguridad los ficheros que contengan datos de carácter personal sobre características o personalidad de los ciudadanos que permitan deducir su comportamiento.
Sobre los datos personales incluidos en un nivel alto de seguridad, se incorpora la obligación de cifrar estos datos si se encuentran almacenados en dispositivos portátiles.
Bastará con aplicar las medidas de seguridad de nivel básico, en lugar de nivel alto, respecto a datos especialmente protegidos cuando sólo se utilicen para el pago de cuotas a las entidades de las que los titulares de los datos sean miembros. Lo mismo se permite respecto a los datos referentes exclusivamente al grado de discapacidad o la simple declaración de la condición de discapacidad o invalidez, cuando tengan por única finalidad cumplir una obligación legal. Esto es particularmente aplicable a los datos relativos a la afiliación sindical o respecto a la salud en los ficheros de nóminas.
Para el cumplimiento de las nuevas medidas de seguridad se establece un régimen transitorio de implantación de las mismas a los ficheros y tratamientos actualmente existentes. En este caso, para los ficheros en soportes no automatizados se fijan plazos de un año, dieciocho meses y dos años para los niveles básicos, medio y alto, respectivamente.
2. OBLIGACIONES DE LOS RESPONSABLES DE LOS FICHEROS.
Los datos de carácter personal han de ser recogidos por medios legales, leales y lícitos, y sólo se podrán recoger para su tratamiento, así como someterlos a dicho tratamiento, cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido. Artículo 4 LOPD.
Los datos de carácter personal han de ser exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado, y no podrán usarse para finalidades incompatibles con aquellas para las que los datos hubieran sido recogidos. Estos datos serán cancelados cuando hayan dejado de ser necesarios o pertinentes para la finalidad para la cual hubieran sido recabados o registrados. Artículo 4 LOPD.
Redacción del documento de seguridad. " El responsable del fichero o tratamiento elaborará un documento de seguridad que recogerá las medidas de índole técnica y organizativa acordes a la normativa de seguridad vigente que será de obligado cumplimiento para el personal con acceso a los sistemas de información." R.D 1720/2007, de 21 de diciembre.
Redacción de cláusulas de protección de datos. Artículo 5 LOPD. Auditoría. Artículo 96 y 110 R.D. 1720/2007, de 21 de diciembre.
Demás medidas de seguridad de índole técnica y organizativas necesarias para garantizar la seguridad de los datos objeto de tratamiento. Artículos 9 y 10 LOPD y R.D 1720/2007, de 21 de diciembre.
3. DERECHOS QUE OTORGA LA NORMATIVA DE PROTECCIÓN DE DATOS A LOS USUARIOS.
Necesidad de solicitud de su consentimiento. Artículo 6 LOPD.
La impugnación de valoraciones. Artículo 13 LOPD.
Derecho de consulta al Registro General de Protección de Datos. Artículo 14 LOPD.
Derecho de acceso, rectificación y cancelación de datos. Artículos 15, 16 y 17 LOPD.
Derecho de oposición. Artículo 17 LOPD.
Tutela de los derechos. Artículo 18 LOPD.
Derecho de indemnización. Artículo 19 LOPD.
4. NIVELES DE SEGURIDAD.
- Direcciones de contacto (tanto físicas como electrónicas)
- Teléfono (tanto fijo como móvil)
- Nº cuenta corriente
- Régimen de funciones y obligaciones del personal
- Identificación y autenticación de usuarios
- Comisión infracciones penales
- Comisión infracciones administrativas
- Información de Hacienda Pública
- Información de servicios financieros
- Entidades Gestoras de la Seguridad Social
- Conjunto de datos que permitan evaluar la personalidad
- Datos de tráfico y de localización que tengan los operadores que presten servicios de comunicaciones electrónicas
- Auditoría bianual
- Medidas adicionales de Identificación y autenticación de usuarios
- Control de acceso físico
- Medidas adicionales de gestión de soportes
- Pruebas sin datos reales
- Datos para fines policiales sin consentimiento
- Datos relativos a actos de violencia de género
- Medidas de seguridad de nivel básico y medio
- Seguridad en la distribución de soportes
- Registro de accesos
- Medidas adicionales de copias de respaldo
- Cifrado de telecomunicaciones
5. PROTECCIÓN DE DATOS DE CARÁCTER PERSONAL. SANCIONES.
- Multa de 601,01 € a 60.101,21 € (100.000 a 10.000.000 de pesetas)
- Multa de 60.101,21 € a 300.506,05 € (10.000.000 a 50.000.000 pesetas)
- Multa de 300.506,05 € a 601.012,10 € (50.000.000 a 100.000.000 de pesetas)
6. SERVICIOS PRESTADOS POR GERMAR EN PROTECCIÓN DE DATOS.
Asesoramiento jurídico en la redacción de las cláusulas necesarias en los contratos para los tratamientos de los datos por terceros.
Llevar a cabo una labor de mantenimiento y puesta al día de todas aquellas cuestiones jurídicas surgidas como consecuencia de los cambios y novedades en la normativa de protección de datos de carácter personal.
Auditoría: El equipo de especialistas de GERMAR, analiza y estudia las vulnerabilidades de su empresa en todos los temas jurídicos relacionados con el uso de las Nuevas Tecnologías y la Sociedad de la información.
7. AUDITORÍA DE PROTECCIÓN DE DATOS.
Todo fichero automatizado que contenga datos personales debe tener implantadas las medidas de seguridad correspondientes al nivel de sensibilidad de los datos personales que contenga, tal y como establece el artículo 9 de la Ley Orgánica 15/99,de 13 de Diciembre, de Protección de Datos de Carácter Personal.
Estas medidas de seguridad, técnicas y organizativas, están reguladas en el Real Decreto 1720/2007, de 21 de diciembre.
Entre las obligaciones para los ficheros con medidas de seguridad de nivel medio y alto es necesario hacer mención a una muy importante que es la AUDITORÍA de protección de datos.
Por lo tanto, el objeto de la auditoría es verificar la adaptación de los ficheros automatizados de datos personales a las obligaciones impuestas, no sólo por la LOPD, sino también por el Reglamento de Medidas de Seguridad y las restantes disposiciones normativas que resulten de aplicación, en especial, a las medidas de seguridad y a los procedimientos llevados a cabo para la recogida y tratamiento de los datos personales GERMAR ofrece entre sus servicios, la realización de dichas auditorías avalados por la experiencia de nuestros profesionales.
Toda Auditoría de Protección de Datos debe seguir un desarrollo, a través de distintas fases que a continuación exponemos:
Fase: Identificación de los datos personales.
En ella se obtiene el mayor volumen de información posible, necesaria para poder desarrollar y elaborar la Política de Seguridad a seguir, así como para desarrollar el resto de fases de la auditoria. Tanto en esta fase como en las demás, nuestro equipo se desplazará a sus oficinas las veces que sean necesarias para completar con eficacia el proceso de auditoría.
Fase: Nivel y medidas de seguridad aplicables.
Fase: Entrega del informe de auditoría.
Fase: Ejecución de la auditoría.
Por último, y como consecuencia lógica de la labor anteriormente descrita, se procederá a la puesta en práctica de las medidas necesarias para la correcta adecuación a la normativa sobre protección de datos.
8. DOCUMENTO DE SEGURIDAD LOPD.
El documento de seguridad es una de las partes fundamentales de la protección de datos. Se trata de un documento mediante el cual se elaboran y adoptan las medidas técnicas y organizativas necesarias para garantizar la seguridad de los datos de carácter personal. Su adopción es de obligado cumplimiento para el responsable de cualquier fichero que contenga datos de carácter personal, o en su caso, del encargado del tratamiento.
Además, el documento de seguridad debe mantenerse actualizado, y revisado en el momento en el que se produzca cualquier cambio que afecte a su contenido.
El Real Decreto 1720/2007,de 21 de diciembre, por el que se aprueba el Reglamento de medidas de seguridad de los ficheros automatizados que contengan datos de carácter personal (en adelante R.D), establece que es obligatoria su adopción siempre que se traten datos personales, cualquiera que sea el nivel de seguridad al que correspondan.
Se considera una infracción grave "Mantener lo ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen" Artículo 43.3.h) Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal (en adelante LOPD).
“Las funciones y obligaciones de cada uno de los usuarios o perfiles de usuarios con acceso a los datos de carácter personal y a los sistemas de información estarán claramente definidas y documentadas en el documento de seguridad”. Artículo 89.1. del R.D 1720/2007.
Además, es responsabilidad del Responsable del fichero adoptar las medidas necesarias para que el personal conozca las normas de seguridad que afecten al desarrollo de sus funciones, así como las consecuencias en que pudieran incurrir en caso de incumplimiento. Artículo 89.2. del R.D 1720/2007.
En GERMAR le asesoramos y elaboramos el documento de seguridad correspondiente al nivel de seguridad de sus ficheros. El contenido del documento de seguridad será distinto según el nivel de seguridad correspondiente a cada fichero.
A modo de ejemplo se muestra a continuación un resumen del contenido de un documento de seguridad:
Contenido del documento de seguridad de nivel básico:
El responsable del fichero elaborará e implantará la normativa de seguridad, mediante un documento de obligado cumplimiento para el personal con acceso a los datos automatizados de carácter personal y a los sistemas de información.
El documento deberá contener, como mínimo, los siguientes aspectos: Ámbito de aplicación del documento con especificación detallada de los recursos protegidos.
Medidas, normas, procedimientos, reglas y estándares encaminados a garantizar el nivel de seguridad exigido en el Reglamento.
Contenido del documento de seguridad de nivel medio:
La identificación del responsable o responsables de seguridad. El responsable del fichero designará uno o varios responsables de seguridad encargados de coordinar y controlar las medidas definidas en el documento de seguridad. En ningún caso esta designación supone una exoneración de la responsabilidad, que corresponde al responsable del fichero de acuerdo con este Reglamento.
Los controles periódicos que se deban realizar para verificar el cumplimiento de lo dispuesto en el propio documento. Los sistemas de información e instalaciones de tratamiento de datos se someterán a una auditoría interna o externa, que verifique el cumplimiento del presente Reglamento, de los procedimientos e instrucciones vigentes en materia de seguridad de datos, al menos, cada dos años.
Deberá establecerse un sistema de registro de entrada y salida de soportes informáticos. Cuando un soporte vaya a ser desechado o reutilizado, se adoptarán las medidas necesarias para impedir cualquier recuperación posterior de la información almacenada en él, previamente a que se proceda a su baja en el inventario.
Contenido del documento de seguridad de nivel alto:
La distribución de los soportes que contengan datos de carácter personal se realizará cifrando dichos datos, o bien utilizando cualquier otro mecanismo que garantice que dicha información no sea inteligible ni manipulada durante su transporte.
Deberá conservarse una copia de respaldo y de los procedimientos de recuperación de los datos, en un lugar diferente de aquél en que se encuentren los equipos informáticos que los tratan cumpliendo en todo caso, las medidas de seguridad exigidas en este Reglamento.
LEY DE LA SOCIEDAD DE LA INFORMACIÓN. LSSI.
ADECUACIÓN Y CUMPLIMIENTO DE LA LSSI. OBJETO DE LA LSSI
La llegada e implantación de Internet y las nuevas tecnologías tropieza con algunas incertidumbres jurídicas, que es preciso aclarar con el establecimiento de un marco jurídico adecuado, que genere en todos los actores intervinientes la confianza necesaria para el empleo de este nuevo medio.
La presente Ley tiene como objeto regular jurídicamente determinados aspectos de los servicios de la sociedad de la información, en particular, el comercio electrónico en el mercado interior (Directiva sobre el comercio electrónico). Asimismo, regula una acción de cesación contra las conductas que contravengan lo dispuesto en esta Ley acciones de cesación en materia de protección de los intereses de los consumidores, lo que la ley pretende es regular, en la mayor medida posible, las actividades de a sociedad de la información.
ÁMBITODE APLICACIÓN DE LA LSSI
Desde un punto de vista subjetivo, la Ley se aplica, con carácter general, a los prestadores de servicios establecidos en España. La ley explica que se entiende por «establecimiento» y cómo afecta a los servicios de la sociedad de la información procedentes de otros países pertenecientes al Espacio Económico Europeo y no pertenecientes al Espacio Económico Europeo.
Se acoge, en la Ley, un concepto amplio de «servicios de la sociedad de la información», que engloba, además de la contratación de bienes y servicios por vía electrónica, el suministro de información por dicho medio (como el que efectúan los periódicos o revistas que pueden encontrarse en la red), las actividades de intermediación relativas a la provisión de acceso a la red, a la transmisión de datos por redes de telecomunicaciones, a la realización de copia temporal de las páginas de Internet solicitadas por los usuarios, al alojamiento en los propios servidores de información, servicios o aplicaciones facilitados por otros o a la provisión de instrumentos de búsqueda o de enlaces a otros sitios de Internet, así como cualquier otro servicio que se preste a petición individual de los usuarios (descarga de archivos de vídeo o audio ... ), siempre que represente una actividad económica para el prestador.
La Ley establece las condiciones en las que los prestadores de servicios deberán comunicar al Registro Público en que estén inscritos, el nombre de dominio o dirección de Internet que empleen para su identificación en Internet.
Las responsabilidades que pueden derivar del incumplimiento de estas normas no son sólo de orden administrativo, sino de tipo civil o penal, según los bienes jurídicos afectados y las normas que resulten aplicables. Destaca, por otra parte, en la Ley, su afán por proteger los intereses de los destinatarios de servicios, de forma que éstos puedan gozar de garantías suficientes a la hora de contratar un servicio o bien por Internet.
Se favorece, además, el uso de medios electrónicos en la tramitación de dichos procedimientos, respetando, en su caso, las normas que, sobre la utilización de dichos medios, establezca la normativa específica sobre arbitraje.
La imposición de sanciones por el incumplimiento de lo previsto en la LSSI corresponde al Ministerio de Industria, Turismo y Comercio en los términos previstos por el artículo 43 de la Ley. Las infracciones y sanciones previstas por el incumplimiento de las obligaciones establecidas en la LSSI son las que se recogen en el cuadro siguiente:
- Multa hasta 30.000 euros
- Muelta de 30.001 a 150.000 euros
- Multa de 150.001 a 600.000 euros
La Ley otorga las funciones de supervisión y control de la misma al Ministerio de Industria, Turismo y Comercio. En esta función de control podrá llevar a cabo las actuaciones inspectoras que sean precisas.
La potestad sancionadora viene atribuida por la Ley, en el caso de infracciones muy graves, al Ministro de industria, Turismo y Comercio, y en el caso de graves y leves al Secretario de Estado de Telecomunicaciones y para la Sociedad de la Información.
Dicha potestad sancionadora se llevará a cabo de conformidad con el procedimiento establecido en la Ley 30/1992 de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, y en sus normas de desarrollo en la materia, especialmente el RD 1398/1993 que regula el procedimiento para el ejercicio de la potestad sancionadora.