El pasado día 19 de Febrero se organizó en la Cámara Oficial de Comercio e Industria de la provincia de Huesca una jornada divulgativa sobre las consecuencias de la entrada en vigor de la norma y las modificaciones que va a requerir en las políticas de protección de datos de las empresas y profesionales.
El ponente fue D. José Félix Muñoz. Doctor en Derecho, responsable del Laboratorio Jurídico Empresarial de la Univesridad de Zaragoza e el Parque Tecnológico Walqa. Profesor asociado de la Escuela Universitaria de Zaragoza en el Parque Tecnológico Walqa. Profesor asociado de la Escuela Universitaria de Estudios Empresariales.
A continuación mostramos un resumen de las novedades que ofrece el reglamento:
REGLAMENTO DESARROLLO LEY DE PROTECCIÓN DE DATOS DE CARÁCTER PERSONAL:
El 19 de enero de 2008, aparece publicado en el Boletín Oficial del Estado, el Real Decreto 1720/2007 de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LO 15/1999 de 13 diciembre, de protección de datos de carácter personal.
La LO 15/1999 de 13 diciembre, de protección de datos de carácter personal, adaptó a nuestro Ordenamiento lo dispuesto en la Directiva 95/46/CE del Parlamento Europeo.
Este Reglamento comparte con la Ley Orgánica la finalidad de hacer frente a los riesgos que para los derechos de la persona supone el acopio y tratamiento de datos personales, y nace con la finalidad de desarrollar aquellos preceptos de la Ley Orgánica se ha demostrado que precisan de un mayor desarrollo normativo.
La Disposición Transitoria tercera, contempla que a las solicitudes para el ejercicio de los derechos de acceso, oposición, rectificación y cancelación que hayan sido efectuadas antes de la entrada en vigor del presente real decreto, no les será de aplicación el mismo, rigiéndose por la normativa anterior.
El presente Reglamento será de aplicación a los datos de carácter personal registrados en soporte físico, que los haga susceptible de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado. Este Reglamento no será de aplicación a los datos referidos a personas jurídicas, ni a los ficheros que incorporen datos de personas que trabajen en éstas, consistentes en su nombre y apellidos, funciones, la dirección postal o electrónica, teléfono y número de fax profesionales. Los datos relativos a empresarios individuales, en su calidad de comerciantes, industriales o navieros, también se entienden excluidos. Tampoco será de aplicación a los datos referidos a fallecidos.
El régimen de protección de datos no será aplicable:
a) A los realizados o mantenidos por personas físicas en el ejercicio a actividades exclusivamente personales o domésticas.
b) A los sometidos a la normativa de protección de materias clasificadas.
c) A los establecidos para la investigación del terrorismo y formas graves de delincuencia.
Dentro del Título II “Principios de protección de datos” el artículo octavo, recalca la prohibición de recoger datos de forma fraudulenta, desleal o ilícita. También se señala que los datos de carácter personal serán cancelados cuando ya no sean necesarios para la finalidad para la cual se hubieran recabado. No obstante, se apunta la posibilidad de que se puedan conservar durante el tiempo en que se pueda exigir algún tipo de responsabilidad.
El artículo décimo menciona que los datos de carácter personal , únicamente podrán ser objeto de tratamiento o cesión, si el interesado hubiera prestado previamente su consentimiento.
El artículo duodécimo prescribe que el responsable del tratamiento deberá obtener el consentimiento del interesado para el tratamiento de sus datos de carácter personal salvo en aquellos supuestos en que el mismo no sea exigible con arreglo a lo dispuesto en las leyes.
El artículo veintitrés contempla que los derechos de acceso, rectificación, cancelación y oposición son personalísimos y serán ejercidos por el afectado. Deberá concederse al interesado un medio sencillo y gratuito para el ejercitar los anteriores derechos, y deberá llevarse a cabo mediante comunicación al responsable del fichero que contendrá:
- Nombre y apellidos del interesado, fotocopia del DNI del interesado. La utilización de firma electrónica eximirá de la presentación de fotocopias del DNI.
- Dirección a efectos de notificación, fecha y firma del solicitante.
- Documentos de la petición que formula, si procede.
En cuanto a las medidas de seguridad aplicables a los ficheros y tratamientos automatizados: se concreta que las funciones y obligaciones de los usuarios con accesos a los datos estarán claramente definidas y documentadas. El responsable del fichero adoptará las medidas necesarias para que el personal conozca de forma comprensible las normas de seguridad que afectan al desarrollo de sus funciones, así como las consecuencias en las que se pueda incurrir en caso de incumplimiento. Existirá un registro de las incidencias que afecten a los datos de carácter personal, haciendo constar el tipo de incidencia, el momento, la persona que realiza la notificación, a quien se le comunica, los efectos derivados de la misma y las medidas correctoras aplicadas. El responsable del fichero se encargará de que exista una relación actualizada de usuarios y los accesos autorizados a cada uno de ellos.
Deberán establecerse procedimientos para la realización como mínimo de copias de seguridad. Así mismo, se establecerán procedimientos para la recuperación de los datos. Al responsable del fichero se le exige que cada seis meses verifique la correcta definición, funcionamiento y aplicación de los procedimientos de realización de copias de respaldo y de recuperación de datos.
En cuanto a las medidas de seguridad aplicables a los ficheros y tratamientos no informatizados, se deberá garantizar la correcta conservación de los documentos, la localización y consulta de la información y posibilitar el tratamiento, acceso, rectificación y cancelación. Los dispositivos de almacenamiento de los documentos deberán disponer de mecanismos que obstaculicen su apertura. Los armarios, archivadores u otros elementos en los que se almacenen los ficheros no automatizados, deberán encontrarse en áreas en las que el acceso esté protegido con puertas de acceso dotadas de sistema de apertura mediante llave u otro dispositivo equivalente. El acceso a la documentación se limitará exclusivamente al personal autorizado. El acceso de personas no incluidas en el párrafo anterior deberá quedar adecuadamente registrado. Siempre que se proceda al traslado físico de la documentación, deberán adoptarse medidas dirigidas a impedir el acceso o manipulación de la información.
