Protección de Datos Personales y Derechos ARCO: Normativa y Seguridad

Ámbito de Aplicación y Exclusiones

Excluidos: Se encuentran fuera de esta normativa los ficheros mantenidos en el ejercicio de actividades exclusivamente personales o domésticas.

Derechos ARCO

Con estas siglas se hace referencia al conjunto de derechos ciudadanos en relación con los datos personales registrados en el Registro General de Protección de Datos. Estos derechos son:

• Derecho de acceso: Es el derecho a tener acceso a sus datos de carácter privado que se encuentren en ficheros de empresas y entidades, conocer el tratamiento al que están sometidos esos datos, la fuente de donde se obtuvieron y las comunicaciones que se realicen o prevean realizarse de los mismos a otras organizaciones.
• Derecho de rectificación: Cuando los datos incluidos en cualquier fichero, automatizado o no, son inexactos, incompletos o excesivos, se tiene derecho a solicitar su rectificación y a que su petición sea atendida.
• Derecho de cancelación: El titular tiene derecho a que sus datos sean cancelados definitivamente de los ficheros cuando así lo solicite.
• Derecho de oposición: Consiste en la facultad que posee el titular de los datos para dirigirse al responsable del fichero y requerirle para que deje de tratar sus datos de carácter personal en los siguientes supuestos:
  • Cuando se están tratando sus datos personales sin su consentimiento.
  • Cuando el tratamiento de sus datos se realice con fines de publicidad o de prospección comercial.
  • Cuando el tratamiento tenga por finalidad la adopción de una decisión referida al afectado y basada únicamente en un tratamiento automatizado de sus datos de carácter personal.

Recogida de los Datos

Los datos se pueden obtener por tres vías:

• A través del propio interesado o sus representantes legales.
• A través de terceras personas que hayan cedido los datos obtenidos con anterioridad a sus titulares.
• De fuentes accesibles al público.

Deber de Información

Cuando las empresas solicitan datos a una persona en un cuestionario o formulario (en papel o formato informático), deben informar previamente de:

• La existencia del fichero y su finalidad.
• La identidad y dirección del responsable.
• Los derechos que tiene el afectado.
• Las consecuencias que tendría la negativa a facilitar los datos.

Conservación de los Datos

Se deberán adoptar las medidas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado. Los datos no podrán usarse para finalidades incompatibles con aquellas para las que hubieran sido recogidos y deben mantenerse actualizados.

Obligaciones de la Empresa

Cuando los ficheros contengan datos personales, la empresa tiene las siguientes obligaciones:

• Inscribirlos en el Registro de Protección de Datos.
• Informar a los afectados de que sus datos figuran en un archivo.
• No ceder los datos sin el expreso consentimiento de sus titulares.
• Guardar secreto y mantener la confidencialidad de los datos recogidos.
• Adoptar, en la conservación de los datos, las medidas de seguridad exigidas por la legislación.
• Permitir a los titulares de los datos el ejercicio de sus derechos de acceso, rectificación, cancelación y oposición.

Niveles de Seguridad

Existen principios específicos para el tratamiento de los datos por parte del responsable del fichero, con el fin de garantizar su correcto tratamiento, conservación, acceso y destrucción.

• Documento de Seguridad: Entre las medidas obligatorias está la elaboración de este documento, donde se detallarán los datos almacenados, las medidas de seguridad adoptadas y las personas que tienen acceso a esos datos.
• Tres niveles de medidas de seguridad: BÁSICO, MEDIO y ALTO.
• Criterios de aplicación: Deberán ser adoptados en función de los distintos tipos de datos personales tratados.
• Carácter acumulativo: Los niveles de seguridad se aplican de forma acumulativa; por ejemplo, al nivel de seguridad Medio se le aplicarán también las medidas del nivel Básico.

Conceptos Fundamentales

• Fuentes accesibles al público: Son aquellos ficheros que pueden ser consultados por cualquier persona.
• Confidencialidad: Es la obligación que persiste aun después de la cancelación o destrucción de los documentos con los datos personales.
• Cesión de datos: Es la revelación de datos realizada a una persona distinta del interesado.
• Documento de seguridad: Es un documento formal que recoge la normativa de seguridad de la empresa, incluyendo todas las medidas de seguridad y confidencialidad para la protección de datos personales.
• INTECO: El Instituto Nacional de Tecnologías de la Comunicación. Sus objetivos son servir como instrumento para desarrollar la sociedad de la información basándose en la investigación aplicada, la prestación de servicios y la información.

Elementos de la Información

• Integridad: Implica el mantenimiento de la exactitud y completitud de la información y sus métodos de proceso.
• Confidencialidad: Implica que únicamente pueden acceder a la información quienes estén autorizados para ello.
• Disponibilidad: Supone la posibilidad de que los usuarios autorizados puedan acceder a la información cuando lo deseen.

Seguridad Informática vs. Seguridad de la Información

La Seguridad informática es un término que recoge todas las acciones destinadas a la protección tanto física como lógica de un sistema informático y su contenido. Por otro lado, la Seguridad de la información hace referencia específicamente a la seguridad de los datos que son tratados.

Implantación de un SGSI

La implantación de un Sistema de Gestión de Seguridad de la Información (SGSI) se resume en un proceso cíclico continuo que pasa por las fases Plan-Do-Check-Act (Planificar-Hacer-Verificar-Actuar) y vuelta a empezar:

• Arranque: Es necesario un compromiso de la empresa u organización, una buena planificación y la asignación de responsables.
• Planificación: Se deben concretar aspectos como la definición del alcance del SGSI, la política y los objetivos en materia de seguridad, la metodología y el enfoque a utilizar para la evaluación de riesgos, etc.
• Revisión: Es necesario revisar el proceso con el fin de medir la eficacia de los controles y revisar otros riesgos. Se realizan auditorías internas del SGSI, así como un registro de las distintas acciones y eventos.
• Actuación: Se implantarían mejoras y se adoptarían medidas correctoras y preventivas.

Agencia Española de Protección de Datos (AEPD)

Intervinientes en el Tratamiento y Mantenimiento

• Afectado: Es la persona física titular de los datos objeto del mantenimiento.
• Responsable del fichero o tratamiento: Es la persona física, jurídica o entidad sin personalidad que decide sobre la finalidad, contenido y uso del tratamiento de los datos, aunque no lo realice materialmente.
• Responsable de seguridad: Es la persona a la que el responsable del fichero ha asignado la función de coordinar y controlar las medidas de seguridad aplicadas.
• Encargado del tratamiento: Es la persona física o jurídica, pública o privada, que lleva a cabo el tratamiento de datos personales por cuenta del responsable. Trata los datos, pero no tiene capacidad para decidir el porqué ni la finalidad del mismo.
• El cesionario: La persona física o jurídica, distinta del afectado, a la que se ceden los datos por parte del responsable.
• El tercero: Cualquier persona física o jurídica distinta de todos los demás intervinientes.

Derechos Detallados de los Afectados

• Derecho de consulta: Al Registro General de Protección de Datos para conocer la existencia de tratamientos, sus finalidades y la identidad del responsable.
• Derecho de acceso: El interesado tendrá derecho a solicitar y obtener gratuitamente información de sus datos personales, su origen y las comunicaciones realizadas o previstas.
• Derecho de oposición: Derecho a que no se lleve a cabo el tratamiento de sus datos o se cese en el mismo cuando no sea necesario su consentimiento.
• Derecho de rectificación y cancelación: El afectado tiene derecho a rectificar o cancelar sus datos cuando el tratamiento no se ajuste a la ley, especialmente si son inexactos o incompletos.
• Derecho a indemnización: Por los daños o lesiones ocasionados en sus bienes y derechos debido al incumplimiento de la normativa.