Reglamento de desarrollo de la LOPD. “Zonas de incertidumbre: problemas de interpretación”. Emilio del Val Puerto Subdirector General de Inspección y Tutela de Derechos Agencia de Protección de Datos de la Comunidad de Madrid

V Encuentro Agencias Autonómicas de Protección de Datos – Madrid, 28 de octubre de I. Disposiciones generales (objeto, ámbito y definiciones) II. Principios de Protección de Datos III. Derechos de las personas IV. Disposiciones aplicables a determinados ficheros privados V. Obligaciones previas al tratamiento de los datos VI. Transferencias internacionales de datos VII. Códigos tipo VIII. Medidas de seguridad IX. Procedimientos Títulos

V Encuentro Agencias Autonómicas de Protección de Datos – Madrid, 28 de octubre de Ámbito de aplicación: –Idea previa:  Disposición final primera: Título competencial.  La reserva de Ley como reserva a la LOPD.  Interpretación a la luz de las leyes autonómicas.  ¿Reglamento “secundum legem”? –Artículo 2.2: Los datos de ficheros de contactos de empresa.  Breve referencia al principio de calidad (Vg. DNI).  “Business to business” vs “business to consumer”.  Supuestos específicos:  El fichero “agenda de correo electrónico” y otros Directorios institucionales.  Los Directorios de empresa en el marco de la actividad laboral y al margen de dicha actividad (como fichero separado del fichero de personal).  Los datos de Concejales, Alcaldes, Secretarios de Aytos, etc. Título I: Ámbito de aplicación, definiciones y plazos (I)

V Encuentro Agencias Autonómicas de Protección de Datos – Madrid, 28 de octubre de Ámbito de aplicación: –Artículo 2.3: Los datos relativos a empresarios individuales.  Exclusión total: del régimen de protección de datos.  Breve referencia al principio de finalidad:  La excepción no opera si los datos se refieren tanto a la esfera personal como a la empresarial.  La tesis del sometimiento al código de comercio.  Los ficheros de colegiados como ficheros sometidos a la LOPD.  Colectivos específicos: farmacéuticos, explotaciones agrarias, etcétera.  Los “profesionales” no organizados en forma de empresa.  El Registro de licitadores.  Problemas prácticos a superar: el “status quo” actual. Los ficheros inscritos ¿Baja de oficio?. Título I: Ámbito de aplicación, definiciones y plazos (II)

V Encuentro Agencias Autonómicas de Protección de Datos – Madrid, 28 de octubre de Ámbito de aplicación: –Artículo 2.4: Los datos de las personas fallecidas.  Interpretación de la Directiva: los documentos de trabajo del Grupo del Artículo 29 vs. definición dato de salud.  Los problemas derivados del tratamiento de “datos genéticos”.  La información genética no tiene un único titular.  Solución más plausible: aplicación de la normativa sectorial sanitaria. »Acceso a datos genéticos obrantes en historia clínica de los padres por motivos de salud (como acceso al propio dato). »El dato genético del fallecido se constituye en dato personal de sus descendientes, quedando dentro del ámbito de la LOPD. Título I: Ámbito de aplicación, definiciones y plazos (III)

V Encuentro Agencias Autonómicas de Protección de Datos – Madrid, 28 de octubre de Definiciones: –Artículo 5.1: Los entes sin personalidad jurídica.  Algunas interpretaciones:  Las comunidades de bienes, herencias yacentes y otros patrimonios separados susceptibles de imposición (art de Ley 58/2003, de 17 diciembre, General Tributaria). Las UTES.  La “representación sindical”: secciones sindicales vs. comités de empresa y delegados de personal.  Requisitos formales: identificación por nº CIF o DNI. –Artículo 5.1 t): Concepto de tratamiento de datos. .- Inclusión de las “cesiones”dentro del concepto. .- Interpretación en consonancia con el artículo 2.1. –Artículo 5.2 b) y artículo 8.6: Concepto de cancelación de datos y momento y procedimiento de cancelación.  Problemas de técnica jurídica.  ¿Cancelación, bloqueo, supresión, conservación, disociación? Título I: Ámbito de aplicación, definiciones y plazos (IV)

V Encuentro Agencias Autonómicas de Protección de Datos – Madrid, 28 de octubre de Cómputo de plazos: –Repercusión práctica del cómputo en días “hábiles”. –Referencia a los artículos 14 y 55 del Reglamento. Título I: Ámbito de aplicación, definiciones y plazos (V)

V Encuentro Agencias Autonómicas de Protección de Datos – Madrid, 28 de octubre de Título II: Principios de protección de datos (I) Procedimiento para el tratamiento con fines estadísticos, históricos o científicos. –Artículo 9: ¿Aplicación de la sección segunda del capítulo VII del Título IX (artículo 157 y siguientes) como procedimiento a seguir por las Agencias autonómicas? –¿Otras aplicaciones del Título IX a procedimientos de las Agencias autonómicas? Supuestos que legitiman el tratamiento o cesión de los datos. –Artículo 10.1 y 10.2: Tratamiento o cesión de los datos.  Avance en la definición conjunta de los supuestos habilitantes.  Incongruencia en relación con la definición previa de tratamiento.  Carácter de la norma de derecho comunitario habilitante.  Inaplicación del artículo 7 f) de la Directiva (mero interés legítimo cedente-cesionario). –Artículo 10.3: Tratamiento como recogida de datos.  Las Administraciones públicas en el ámbito de sus competencias y la exigencia de una norma con rango de ley: interpretación como referencia al “bloque de legalidad” y no a la ley formal.

V Encuentro Agencias Autonómicas de Protección de Datos – Madrid, 28 de octubre de Título II: Principios de protección de datos (II) Verificación de solicitudes. Artículo 11: Los medios electrónicos y la disposición del dato vs. la exigencia del consentimiento del afectado. Aplicación de la Ley 30/1992, de RJAPAC, y recientes desarrollos. Aplicación de la Ley 11/2007, de 22 junio, de acceso electrónico de los ciudadanos a los Servicios Públicos. Consentimiento de menores. Redacción del artículo 13. Problemas en la comprobación de la edad y del consentimiento prestado por sus padres, madres o tutores: Tesis anterior y problemas actuales. Consecuencias prácticas: Ejercicio de los derechos ARCO. Presentación de denuncias. Análisis de algunos supuestos específicos: sanidad, servicios sociales, educación, protección del menor, etcétera.

V Encuentro Agencias Autonómicas de Protección de Datos – Madrid, 28 de octubre de Título II: Principios de protección de datos (III) Encargado del Tratamiento. La subcontratación “previsible” y la “sobrevenida” (21.2 y 21.3). Una excepción a la contratación en nombre y por cuenta del responsable (únicamente referida al artículo 21.1). Cadena de “encargados de tratamiento”. La identidad “única” del Responsable del tratamiento. Problemas prácticos: Interlocución multilateral. Posibilidad de cesiones. Responsabilidad en casos de cesiones indebidas. Análisis a la vista de la Disposición Adicional 31 de la Ley 30/2007, de Contratos del Sector Público. Reproducción de la LOPD. Aplicación de esta Disposición en los supuestos de concurrencia de los requisitos definitorios del encargo: “en su caso”. Algunas excepciones: El régimen de concierto con persona natural o jurídica privada.

V Encuentro Agencias Autonómicas de Protección de Datos – Madrid, 28 de octubre de Título III: Derechos ARCO (I) Disposiciones Generales –Artículo 23: Requisitos exigibles a la representación voluntaria (representación legal vs. mandato no representativo). Su acreditación. –Artículo 24:  24.3: Referencias a “medios que impliquen un coste excesivo” para el interesado.  24.4: La mera “facultad” del ejercicio de derechos a través de servicios de atención al público o de ejercicio de reclamaciones. –La carga de la prueba en el ejercicio del derecho y la licitud del medio empleado (Vg. grabación telefónica para asegurar la prueba). –El silencio negativo como forma de desestimación de la petición de ejercicio de derechos ARCO: su encaje jurídico (versus artículo 43.2 LRJPAC).

V Encuentro Agencias Autonómicas de Protección de Datos – Madrid, 28 de octubre de Título III: Derechos ARCO (II) Derecho de Acceso –Artículo 27.2: La petición “indiscriminada de acceso”: la petición “genérica”. Análisis de sus límites. Interpretación de los requisitos en relación con el acceso a datos concretos o a ficheros concretos. –Artículo 27.3: “La independencia del derecho de acceso” LOPD respecto de las leyes especiales y de la Ley 30/1992).  Algunos supuestos problemáticos: Ley 41/2002, de “autonomía del paciente”.  ¿Una exclusión de la “información de base” establecida por la LOPD?  ¿Una exclusión de los plazos establecidos por la LOPD?  ¿Una exclusión de la solicitud de Tutela a las autoridades de control?  Aplicación e inaplicación de las propias excepciones establecidas por leyes especiales (Vg. anotaciones subjetivas en historia clínica).  Su interpretación en consonancia con el artículo 30.2: denegación del acceso por previsión legal.  Las limitaciones de las normas especiales frente a la independencia del “acceso LOPD”.  Solución más plausible. –Artículo 28.3: Inexistencia de “aviso” en el supuesto de elección de sistemas de acceso de coste desproporcionado. Derecho de Oposición: Ausencia de remisión a la posibilidad de Tutela ante las autoridades de control (artículo 35).

V Encuentro Agencias Autonómicas de Protección de Datos – Madrid, 28 de octubre de Título IV: Determinados ficheros privados Ficheros sobre cumplimiento o incumplimiento de obligaciones dinerarias –Artículo 38.1:  Concreción “in plus” de los requisitos necesarios para la inclusión en dichos ficheros.  Problemas prácticos derivados del planteamiento de una mera “reclamación” contraria a la existencia de la deuda. Tratamientos para actividades de publicidad y prospección comercial –Artículo 49.1: La “previsión” en la creación de ficheros comunes. –Artículo 49.4: Concreción “in plus” de los requisitos necesarios para la realización de actividades de publicidad o prospección comercial:  Establecimiento de requisitos “ex novo”.  Inseguridad Jurídica: necesidad de transparencia y actualización de ’ficheros de autoexclusión’ (“Ficheros Robinson”).

V Encuentro Agencias Autonómicas de Protección de Datos – Madrid, 28 de octubre de Título V: Obligaciones previas al tratamiento de los datos Artículo 52: Disposición o Acuerdo de creación, modificación o supresión del fichero. Artículo 56: Notificación única en relación con tratamientos almacenados en diferentes soportes. Artículo 57: Ficheros en los que exista más de un responsable. La multiplicidad de notificaciones. Artículo 63: La escasa virtualidad del acuerdo de inscripción de oficio de ficheros ya publicados en boletines oficiales (la experiencia de la APDCM: su informe previo).

V Encuentro Agencias Autonómicas de Protección de Datos – Madrid, 28 de octubre de Análisis del artículo 81.2 e) (nivel medio de seguridad): –Ficheros o tratamientos de las Entidades Gestoras y Servicios Comunes de la Seguridad Social relacionados con el ejercicio de sus competencias (Vg. ¿Datos de salud en servicios de ILT de la Inspección SS?). –Ficheros o tratamientos de las mutuas de accidentes de trabajo y enfermedades profesionales de la Seguridad Social (Vg. ¿Historia clínica de los pacientes-trabajadores atendidos por mutuas?). Título VIII: Medidas de seguridad (I)

V Encuentro Agencias Autonómicas de Protección de Datos – Madrid, 28 de octubre de (nivel básico de seguridad): –A) La transferencia dineraria a entidades de las que los afectados sean asociados o miembros.  (Vg. partidos políticos o sindicatos de los que sean miembros los afectados) –B) Ficheros o tratamientos no automatizados en los que de forma incidental o accesoria se contengan datos “especialmente protegidos” sin guardar relación con su finalidad del fichero.  Requisitos:  La finalidad del fichero no debe ser tratar este tipo de datos.  El responsable no debe haber solicitado (obligatoriamente) del titular este tipo de datos.  Generalmente será el titular del dato quien espontáneamente lo aporte.  Algunos supuestos: Ficheros de recursos humanos con partes de alta y baja y, a veces, con diagnósticos médicos (siempre que no se informaticen los datos). Concesiones de acción social de ayudas para prótesis. Solicitudes de subvenciones con declaración de datos sobre discapacidad. Título VIII: Medidas de seguridad (II)

V Encuentro Agencias Autonómicas de Protección de Datos – Madrid, 28 de octubre de Análisis del artículo 81.6 (nivel básico de seguridad): –Ficheros o tratamientos que contengan datos de salud, referentes exclusivamente al grado de discapacidad o la simple declaración de la condición de discapacidad o invalidez del afectado con motivo del cumplimiento de deberes públicos. –Algunos ejemplos:  Ficheros de nóminas.  Discapacidad sí/no (para ayudas públicas, subvenciones, etc.).  Porcentaje de discapacidad (para ayudas públicas, subvenciones, etc.).  Apto/no apto (Vg. en “riesgos laborales”).  Invalidez (para ayudas públicas y participación subvenciones)  Incapacidad laboral (sí/no, fecha).  Enfermedad común, accidente laboral, enfermedad profesional (manejados por el empresario).  Cualquiera otros que se recojan exclusivamente con motivo del cumplimiento de deberes públicos (retenedores, subvenciones, otros deberes públicos). Título VIII: Medidas de seguridad (III)

V Encuentro Agencias Autonómicas de Protección de Datos – Madrid, 28 de octubre de Análisis del artículo 82 (encargo de tratamiento en “locales propios o ajenos”): –Encargo desarrollado en locales del Responsable. –Encargo desarrollado, “en remoto”, sin incorporación de datos a ficheros propios. –Encargo realizado “en los propios locales del encargado”, ajenos a los del responsable. –Una crítica constructiva a esta definición. Análisis del artículo 88.2 (el documento de seguridad): –Libertad en la elección de uno o varios documentos: Flexibilidad.  Único o múltiples documentos. –Factores en los que se puede apoyar la decisión de dicha elección.  Por ficheros o tratamientos.  Agrupándolos según sistema de tratamiento o bien por criterios organizativos del responsable. Título VIII: Medidas de seguridad (IV)

V Encuentro Agencias Autonómicas de Protección de Datos – Madrid, 28 de octubre de Análisis del artículo 96 (Auditoría): su alcance. –Apartado 1: “sistemas de información e instalaciones de tratamiento y almacenamiento”. –Apartado 2: “dictamen sobre la adecuación de las medidas y controles a la Ley y su desarrollo reglamentario”. –Solución más plausible. Análisis del nivel de seguridad en ficheros “parcialmente automatizados” (APDCM): –Inscripción nivel seguridad más alto. –Aplicación medidas de seguridad.  Parte automatizada: Medidas ficheros automatizados.  Parte manual: Medidas ficheros manuales. Título VIII: Medidas de seguridad (V)

V Encuentro Agencias Autonómicas de Protección de Datos – Madrid, 28 de octubre de