Guía rápida de la Protección de Datos Personales en España

1. Guía rápida de la Protección de Datos Personales en España www.inap.map.es Alberto López Tallón

2. La problemática de los datos personales y su regulación

3. Objetivo principal: “… garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honoreintimidad personal y familiar” (artículo 1, LOPD)

4. ¿Qué hace exactamente la LOPD? Regula el tratamiento de los datos y ficheros, de carácter personal, independientemente del soporte en el cual sean tratados, los derechos de los ciudadanos sobre ellos y las obligacionesde aquellos que los crean o tratan

5. Motivos: Desarrollar el artículo 18 de la Constitución Transponer a la normativa española la Directiva 95/46/CE sobre el tratamiento de datos personales y libre circulación de esos datos Afrontar la enorme amenaza que suponen las TIC para la privacidad e intimidad de las personas

6. Ejemplos de riesgos actuales: Actividades criminales, especialmente relativas a menores y a través de redes sociales Uso de información por buscadores como Google para elaborar perfilesde hábitos y personalidad Discriminaciónde personas por datos relativos a ámbitos como la salud, privacidad y profesional

7. Ejemplos de riesgos actuales: Amenazas para la democracia, derechos y libertades: ciudadano transparente Diseño de nuevas estafas que combinan las TIC con el uso de datos personales, ejemplo: phishing Uso de datos personales para realizar prácticas comerciales abusivas

8. Marco legal: Artículo 18 de la Constitución Española Directiva 95/45/CE, de protección de datos personales Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal Real Decreto 1720/2007, Reglamento de desarrollo de la Ley Orgánica 15/1999 Real Decreto 428/1993, Estatuto de la Agencia Española de Protección de Datos

9. La Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal (LOPD)

10. LOPD - Ámbito Cuando sea de aplicación la legislación española, haya un establecimiento en territorio español o medios usados se hallan en territorio español Se excluyen de la LOPD: ficheros domésticos, protección de materias clasificadas, investigación del terrorismo y formas graves de delincuencia Tienen además normativa propia ficheros de: régimen electoral, datos estadísticos, Registro Civil, audio/video Fuerzas de Seguridad, etc.

11. LOPD - Conceptos clave Fichero Fuentes accesibles al público Datos de carácter personal Responsable del fichero Encargado del tratamiento Procedimiento de disociación

12. LOPD - Contenidos Título I. Disposiciones Generales Título II. Principios de la Protección de Datos Título III. Derechos de las Personas Título IV. Disposiciones Sectoriales Capítulo I. Ficheros de Titularidad Pública Capítulo II. Ficheros de Titularidad Privada Título V. Movimiento Internacional de Datos Título VI. Agencia Española de Protección de Datos Título VII. Infracciones y Sanciones

13. LOPD - Principios Calidad de los datos: adecuados, pertinentes y no excesivos, exactos, puestos al día, ... Derecho de información en la recogida de los datos y necesidad de consentimiento del afectado Datos especialmente protegidos(ideología, afiliación sindical, religión, creencias, raza, salud vida sexual) Deber de secreto del responsable y quienes intervengan en el tratamiento Límites en el acceso a los datos por terceros

14. LOPD - Derechos de las personas Impugnación de valoraciones: no sometimiento a efectos jurídicos basados únicamente en la valoración de datos relativos a la personalidad Derecho de consulta al Registro General de Protección de Datos, acceso, oposición, rectificación y cancelación de datos personales Tutela de los derechos, Agencia Española de Protección de Datos Derecho a indemnización

15. LOPD - Disposiciones sector público Disposición en BOE para la creación, modificación o supresión de ficheros bajo LOPD Comunicación entre AAPP solo para el ejercicio de sus competencias, salvo fines históricos, estadísticos o científicos Disposiciones específicas para los ficheros de las Fuerzas y Cuerpos de Seguridad Excepciones a los derechos (acceso, rectificación y cancelación) para supuestos de seguridad pública y persecución de infracciones penales

16. LOPD - Disposiciones sector privado Notificación a AEPD del fichero e inscripción en el Registro General de Protección de Datos Comunicación de cesión de datos a los afectados Los datos incluidos en las fuentes de acceso públicodeben ceñirse a su finalidad Condiciones y limitaciones para servicios de solvencia patrimonial y crédito Datos con fines de publicidad y de prospección comercial, censo promocional y códigos tipo

17. LOPD - Movimiento internacional de datos Regla general: no pueden cederse datos personales a países sin un nivel de protección similar a la LOPD La AEPD es quien evalúa si el país destino se considera con un nivel de protección adecuado Excepción: tratados con España, países UE o declarados aptos por la UE Otras excepciones: auxilio judicial internacional, asistencia médica, consentimiento del afectado, salvaguarda interés público, contratos, …

18. LOPD - AEPD Naturaleza: Ente de Derecho Público, personalidad jurídica propia, plena capacidad pública y privada Actúa con independencia de las AAPP Funciones: velar por el cumplimiento de LOPD, autorizaciones, informes, control e inspección, potestad sancionadora, memorias, … Aloja el Registro General de Protección de Datos Las CCAA pueden crear órganos propios, similares a la AEPD, con ciertas limitaciones

20. LOPD - Infracciones y Sanciones Afectados: responsables del fichero y encargados de los tratamientos Tipos de infracciones y sanciones: leves (600 - 60.000€), graves (60.000 - 300.000€) y muy graves (300.000 - 600.000€) En caso de ficheros de titularidad pública el Director de la AEPD dictará una resolución con las medidas correctivas a adoptar El Director de la AEPD tiene la potestad de inmovilizar los ficheros en infracciones muy graves

21. El Reglamento de Desarrollo de la LOPD: el Real Decreto 1720/2007

22. Motivos: El anterior databa de 1999, se ha adquirido mucha experiencia nueva. Se pasa de 29 a 158 artículos Era necesario aclarar determinados conceptos, por ejemplo: actividades domésticas El anterior (RD 994/1999) no regulaba los ficheros en papel , sólo los automatizados El RD 994/1999 se centraba en las medidas de seguridad, éste desarrolla la LOPD entera

23. Medidas de Seguridad - Niveles Medidas de nivel básico: se aplican a cualquier fichero o tratamiento de datos personales Medidas de nivel medio: infracciones administrativas o penales, solvencia patrimonial y crédito, gestión tributaria, datos financieros, Seguridad Social, mutuas, evaluación personalidad Medidas de nivel alto: datos especialmente protegidos, recogidos sin consentimiento para fines policiales, violencia de género

24. Medidas de Seguridad - Doc. de Seguridad Elaborado por responsable del fichero o encargado del tratamiento Recoge medidas técnicas y organizativas obligatorias para el personal con acceso a los datos Contenido mínimo: ámbito de aplicación, normas de actuación, funciones y obligaciones del personal, estructura de los ficheros, procedimiento de notificación, gestión y respuesta ante incidencias, …

25. Medidas de Seguridad - Medidas TIC Nivel básico: registro de incidencias, control de acceso, identificación y autenticación, gestión de soportes y documentos, copias de seguridad Nivel medio: creación de un responsable de seguridad, auditorías, registro de entrada/salida de soportes, control de acceso físico, … Nivel alto: etiquetado y cifrado de soportes, cifrado de portátiles, almacenar copias de seguridad fuera de las instalaciones, telecomunicaciones cifradas, …

26. Medidas de Seguridad - Medidas papel Nivel básico: registro de incidencias, control de acceso, gestión de soportes, criterios de archivo, dispositivos de almacenamiento “bajo llave”, … Nivel medio: creación de un responsable de seguridad, auditorías Nivel alto: protección de acceso a áreas de almacenamiento, copias sólo bajo supervisión, acceso a documentos sólo para personal autorizado, medidas de seguridad para traslados

27. Muchas Gracias www.inap.map.es Alberto López Tallón