RESUMEN LEY PROTECCIÓN DE DATOS, Apuntes de Derecho Administrativo

¡Descarga RESUMEN LEY PROTECCIÓN DE DATOS y más Apuntes en PDF de Derecho Administrativo solo en Docsity!

PROTECCIÓN DE DATOS

LUIS JOSE MUÑOZ CARO

2017

• Ley Orgánica 15/1999 de 13 de diciembre de Protección de Datos de Carácter Personal
• Real Decreto 1720/2007 de 21 de diciembre del Reglamente de desarrollo de la LOPD
• Artículo 18 CE. Derecho a la intimidad de las personas Los Principios de Protección de Datos son un conjunto de reglas que indican como se deben recoger, tratar y ceder los datos de carácter personal para garantizar la intimidad y demás derechos fundamentales de los ciudadanos. Se encuentran regulados en el Título II de la LOPD y constituyen el núcleo central de las obligaciones del responsable del fichero quien debe ser especialmente diligente a la hora de aplicar estos principios. Su incumplimiento puede dar lugar a sanciones económicas. Los principios de protección de los datos son: ➢ La calidad de los datos ➢ El derecho de información ➢ El consentimiento del afectado ➢ Los datos especialmente protegidos ➢ Los datos relativos a la salud ➢ La seguridad de los datos ➢ La comunicación de los datos ➢ El acceso a los datos por cuenta de terceros 1. LA CALIDAD DE LOS DATOS Indica los parámetros que deben guiar la recogida y el tratamiento de los datos de carácter personal, estableciendo que tipo de datos se deben recoger, como se deben obtener, como se deben almacenar, cómo se deben utilizar, como se deben mantener en el fichero y cuando deben ser eliminados.
• Los datos de carácter personal solamente se podrán recoger utilizando medios que no sean desleales o ilícitos.
• Únicamente se recogerán aquellos datos personales que sean adecuados, pertinentes y no excesivos en relación a la finalidad que persiga en su tratamiento.
• Los datos de carácter personal solamente serán utilizados para finalidades compatibles con la finalidad que originó su recogida.
• Una vez recogidos, los datos personales deberán mantenerse exactos y actualizados de forma que respondan con veracidad a la situación actual del titular
• Los datos de carácter personal deberán ser cancelados cuando hayan dejado de ser necesarios para la finalidad que originó su recogida.
• Deben ser almacenados de manera que el titular de los datos pueda ejercer su derecho de acceso cuando considere oportuno. 2. EL DERECHO DE INFORMACIÓN Establece que cuando se recojan datos de carácter personal es necesario informar al titular de los datos de aquellos extremos que le permitan saber, entro otras cosas, la identidad de la persona o entidad que recoge sus datos, la finalidad que justifica la

6. LA SEGURIDAD DE LOS DATOS

Se establecen cuáles son las condiciones de seguridad bajo las cuales deben tratarse los datos de carácter personal de las personas físicas, obligando al responsable del fichero y, en su caso, al responsable del tratamiento, a adoptar todas las medidas técnicas y organizativas que sean necesarias para garantizar la seguridad de los datos y evitar su alteración, pérdida, tratamiento o acceso no autorizado.

7. EL DEBER DE SECRETO La ley obliga al responsable del fichero a guardar secreto profesional sobre los datos tratados y a mantener la confidencialidad de los mismos dentro de su organización. Para garantizar en mayor medida la confidencialidad de los datos, la ley extiende el deber de secreto a cualquier personal o entidad que intervenga en cualquiera de las fases del tratamiento aun después de finalizar sus relaciones con el titular del fichero, en su caso, con el responsable de mismo. 8. LA COMUNICACIÓN DE LOS DATOS Se establecen cuáles son las condiciones para que el responsable del fichero pueda entregar los datos de carácter personal a otras personal o entidades sin perjudicar la intimidad y demás derechos fundamentales del titular de los datos. En aplicación de este principio “los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un ternero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y de cesionario con previo consentimiento del interesado” , deben tener en cuenta que el propio artículo 11.2 establece determinadas excepciones en las que se podrá proceder a la comunicación de datos sin disponer del “consentimiento previo del interesado” 9. EL ACCESO A LOS DATOS POR CUENTA DE TERCEROS Se establecen cuáles son las condiciones para que el responsable del fichero pueda contratar a otra persona o entidad para que le preste algún tipo de servicio utilizando los datos de carácter personal almacenados en sus ficheros. Para que de esta forma el acceso a los datos sea legal y garantice los derechos del titular de los datos debe de estar fundamentada la necesidad de la prestación de un servicio al responsable del fichero y debe estar formalizada en un contrato cuya forma, contenido y características se encuentren reguladas en el art. 12. LOS DERECHOS DE LAS PERSONAS La ley 15/1999 pone a disposición de los ciudadanos un conjunto de derechos que les va a permitir controlar por si mismos el uso que se hace de sus datos personales y adoptar una serie de medidas cuando detecten que dichos datos están siendo sometidos a un tratamiento que les perjudica o no se adopta a lo dispuesto en le LOPD. Los “derechos de las personas” se encuentran regulados en el título tercer de la ley y son los siguientes: ➢ El derecho de acceso ➢ El derecho de rectificación y cancelación ➢ El derecho de oposición ➢ El derecho de impugnación de valoraciones

➢ El derecho de consulta del registro ➢ El derecho de indemnización

1. EL DERECHO DE ACCESO El derecho de acceso faculta al ciudadano para dirigirse al responsable del fichero que supone que está utilizando sus datos y requerirle para que le facilite la siguiente información: - Información sobre si sus propios datos de carácter personal están siendo objeto de tratamiento - Finalidad del tratamiento que se esté realizando - Información disponible sobre el origen de los datos y las cesiones realizadas o previstas a terceros Podrá solicitar al responsable del fichero información relativa a datos concretos, a datos incluidos en un determinado fichero, o a la totalidad de sus datos sometidos a tratamiento, pudiendo optar por visualizar directamente los datos en pantalla u obtenernos por medio escrito, copia, fotocopia, telecopia, correo electrónico o cualquier otro sistema adecuado al tipo de fichero de que se trate. El derecho de acceso cuenta con límite temporal. Sólo podrá ejercitarse a intervalos no inferiores a doce meses , salvo que el interesado acredite un interés legítimo al efecto, en cuyo caso podrá ejercitarlo antes. El responsable del fichero debe resolver la solicitud del derecho de acceso (otorgándola o denegándola motivadamente) en el plazo de un mes a contar desde la recepción de la solicitud, debiendo dar respuesta al interesado aunque no disponga de ningún dato en sus ficheros. Transcurrido el plazo sin que de forma expresa se responda a la petición de acceso, el interesado podrá interponer una “reclamación de tutela por denegación de derechos” ante la Agencia Española de Protección de Datos” o, en su caso, ante la autoridad de control de la Comunidad Autónoma correspondiente. Si la solicitud de acceso fuera estimada, el responsable del fichero se lo comunicará al interesado aportándole la información solicitada, si en dicha comunicación no se aporta la información requerida en la solicitud, el acceso se hará efectivo durante los 10 días siguientes a dicha comunicación utilizando el sistema de consulta procedente. Independientemente de cual sea el sistema de consulta seleccionado, el responsable del fichero debe aportar la siguiente comunicación: - Todos los datos de base del afectado - Los datos resultantes de cualquier elaboración de proceso informático - La información disponible sobre el origen de los datos - La información disponible sobre los cesionarios de los datos - La especificación de usos y finalidades para los que se almacenaron los datos

3. DERECHO DE OPOSICIÓN

Herramienta jurídica que permite al ciudadano negarse a que sus datos personales sean objeto de tratamiento en los siguientes supuestos: ▪ Cuando no sea necesario su consentimiento para el tratamiento, y exista un motivo legítimo y fundado, referido a su concreta situación personal, que lo justifique, siempre que una ley no disponga lo contrario. ▪ Cuando se trate de ficheros que tengan por finalidad la realización de actividades de publicidad y prospección comercial cualquiera que sea la empresa responsable de su creación. ▪ Cuando el tratamiento tenga por finalidad la adopción de una decisión referida al afectado y basada únicamente en un tratamiento automatizado de sus datos de carácter personal. Se ejercitará:

• utilizando los medios que el propio responsable del fichero disponga para ello (atención al cliente)
• mediante comunicación por escrito El responsable del fichero deberá excluir del tratamiento los datos relativos al afectado que ejercite su derecho de oposición o denegar motivadamente la solicitud del interesado en el plazo de 10 días a contar desde la recepción de la solicitud, debiendo dar respuesta al interesado aunque no disponga de ningún dato en sus ficheros. En el supuesto de que el responsable del fichero no atienda al ejercicio del derecho de oposición dentro del plazo establecido o deniegue total o parcialmente su ejercicio, la persona interesada podrá acudir a la Agencia Española de Protección del Datos u organismo competente de la comunidad para interponer una “reclamación de tutela”. 4. DERECHO DE IMPUGNACIÓN DE VALORACIONES Herramienta jurídica para que los ciudadanos puedan proteger su privacidad frente ala posibilidad de que alguien utilice sus datos personales para evaluar determinados aspectos de su personalidad (rendimiento laboral, crédito, fiabilidad, hábitos, conducta…) y utilice la información obtenida para tomar algún tipo de decisión que afecte significativamente (determinar si es válido para un puesto de trabajo, conceder una hipoteca…) Art. 13

1. Los ciudadanos tienen derecho a no verse sometidos a una decisión con efectos jurídicos, sobre ellos o que les afecte de manera significativa, que se base únicamente en un tratamiento de datos destinados a evaluar determinados aspectos de su personalidad
2. El afectado podrá impugnar los actos administrativos o decisiones privadas que impliquen una valoración de su comportamiento, cuyo único fundamento sea un tratamiento de datos de carácter personal que ofrezca una definición de sus características o personalidad.
3. En este caso, el afectado tendrá derecho a obtener información responsable del fichero sobre los criterios de valoración y el programa utilizados en el tratamiento que sirvió para adoptar la decisión en que consistió el acto.

4. La valoración sobre el comportamiento de los ciudadanos, basada en un tratamiento de datos, únicamente podrá tener valor probatorio a petición del afectado. Las excepciones a estos supuestos son: (art. 36 del Reglamento. RD 1720/2007) a) Cuando dicha decisión se haya adoptado en el marco de la celebración o ejecución de un contrato a petición del interesado, siempre que se le otorgue la posibilidad de alegar lo que estimara pertinente a fin de defender su derecho o interés. En todo caso, el responsable del fichero deberá informar previamente al afectado, de forma clara y precisa, de que se adoptarán decisiones con las características señaladas en el apartado 1 y cancelará los datos en caso de que no llegue al celebrarse finalmente el contrato. b) Cuando dicha decisión esté autorizada por una norma de rango de Ley que establezca medidas legítimas que garanticen el interés legítimo del interesado RESUMEN DEL REGLAMENTO DE MEDIDAS DE SEGURIDAD El RD 1720/2007 establece las medidas de índole técnica y organizativas necesarias para garantizar la seguridad que deben reunir los ficheros, centros de tratamiento, locales, equipos, sistemas, programas y personas que intervengan en el tratamiento de los datos de carácter personal sujetos al régimen de la LOPD. El RD 1720/2007 identifica tres niveles de medidas de seguridad: ▪ BÁSICO ▪ MEDIO ▪ ALTO Los cuales deberán ser adoptados en función de los distintos tipos de datos personales de los que se disponga en cada fichero

INFRACCIONES LOPD

Se establecen una serie de sanciones a los Responsables de los ficheros que contengan datos de carácter personal. Estas se clasifican en leves, graves y muy graves, atendiendo a la infracción cometida. LEVES a) No atender la solicitud del interesado de rectificación o cancelación b) No inscribir el fichero en el RGPD c) No informar al afectado (según Art. 5 LOPD) al recoger sus datos d) Incumplir el deber de secreto del Art. 10 LOPD GRAVES a) Crear fichero de titularidad pública o iniciar la recogida de datos sin que la correspondiente disposición general haya sido publicada en el Boletín oficial. b) Crear fichero de titularidad privada o iniciar la recogida de datos con finalidad distinta del objeto empresarial. c) Recoger datos sin el consentimiento expreso del afectado d) Tratar o usar los datos conculcando principios de la LOPD o del RD 1720/ e) Impedir u obstaculizar ejercicio de los derechos de acceso y oposición f) Mantener datos inexactos, o no rectificarlos o cancelarlos cuando afecte derechos de las personas. g) Vulnerar el deber de secreto sobre ficheros de nivel Medio h) Mantener los ficheros, locales, programas o equipos incumpliendo las condiciones de seguridad del RD 1720/ i) No proporcionar a la AEPD cuantos documentos sean requeridos o obstruir la inspección j) No inscribir el fichero en el RGPD, cuando haya sido requerido por la AEPD k) No informar al afectado según los Art. 5, 28 y 29 LOPD, si han sido recabados de persona distinta del afectado MUY GRAVES a) Recoger datos en forma engañosa y fraudulenta b) Comunicar o ceder datos, fuera de los casos en que esté permitido c) Recabar y tratar datos especialmente protegidos sin consentimiento del afectado o excepción LOPD d) No cesar el uso o tratamiento ilegítimo de datos tras requerimiento de la AEPD o del afectado e) Transferencia temporal o definitiva de datos a países no homologados sin autorización de la AEPD f) Tratar datos de forma ilegítima o con menosprecio de principios y garantías, cuando se impida o se atente el ejercicio de derechos fundamentales g) Vulnerar el deber de secreto sobre datos especialmente protegidos o de nivel Alto h) No atender u obstaculizar sistemáticamente el ejercicio de derechos de acceso, rectificación, cancelación y oposición i) No atender sistemáticamente el deber de notificación al afectado de la inclusión en un fichero

SANCIONES LOPD

La cuantía de las sanciones se graduará atendiendo a la naturaleza de los derechos personales afectados, al volumen de los tratamientos efectuados, a los beneficios obtenidos, al grado de intencionalidad, a la reincidencia, a los daños y perjuicios causados a las personas interesadas y a terceras personas y a cualquier otra circunstancia que sea relevante para determinar el grado de incumplimiento de la legislación y de culpabilidad presentes en los hechos sancionados. SANCIONES a entidades privadas LEVES Multa de 601 euros a 60.101 euros (de 100.000 a 10 millones de Pts.) GRAVES Multa de 60.101 euros a 300.506 euros (de 10 a 50 millones de Pts.) MUY GRAVES Multa de 300.506 euros a 601.012 euros (de 50 a 100 millones de Pts.) Si el Responsable del tratamiento de los ficheros es una Administración Pública , el Director de la Agencia Española de Protección de Datos (AEPD) podrá proponer, si procedieran, la iniciación de actuaciones disciplinarias. El procedimiento y las sanciones serán las establecidas en la legislación sobre régimen disciplinarios de la Administraciones Públicas. Adicionalmente, en el caso de utilización o cesión ilícita de datos que atenten contra los derechos fundamentales, el Director de la AEPD podrá requerir a los responsables de los ficheros, tanto públicos como privados, el cese de la utilización o cesión ilícita de los datos. Si se desatiende el requerimiento, se podrán inmovilizar los ficheros mediante resolución motivada.