Regulación Básica: Artículo 18.4 Constitución Española (Derecho Fundamental) Ley Orgánica 15/1999, de 13 diciembre, de Protección de Datos de Carácter Personal (LOPD). R.D. 1720/2007, de 21 diciembre, Reglamento de desarrollo de la Ley Orgánica 15/1999. Sentencia Tribunal Constitucional 292/2000 Obliga: En general a cualquier persona (física o jurídica, pública o privada) que posean datos de carácter personal de personas físicas en cualquier soporte (ficheros electrónicos o papel). La Ley distingue entre: Responsable del Fichero (titular o propietario del mismo) Encargado del Tratamiento (por cuenta del responsable). Se excluyen los ficheros mantenidos por personas físicas en el ejercicio de actividades exclusivamente personales o domésticas. Definiciones: Art. 3 LO 15/1999

Definiciones: a) Datos de carácter personal: cualquier información concerniente a personas físicas identificadas o identificables. b) Fichero: todo conjunto de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso. c) Tratamiento de datos: operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias. d) Responsable del fichero o tratamiento: persona física o jurídica, de naturaleza pública o privada u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento. e) Afectado o interesado: persona física titular de los datos que sean objeto del tratamiento. f) Procedimiento de disociación: todo tratamiento de datos personales de modo que la información que se obtenga no pueda asociarse a persona identificada o identificable. g) Encargado del tratamiento: la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento.

Principios de la protección de datos: Consentimiento, del afectado o interesado salvo ley que diga otra cosa Calidad de los datos. Ser pertinentes, adecuado y no excesivos a las finalidades determinadas, expresas y legítimas Deber de secreto, de quienes intervengan aunque temporalmente Medidas de Seguridad, dependiendo del nivel de los datos: Básico, nombre, dni, dirección, teléfono, correo-e, fotografía, edad, sexo, nacionalidad…(art. 16 C.1978 Nadie obligado a declarar) Medio, comisión infracciones, servicios financieros, solvencia, Hacienda pública, datos de los que se extraiga la personaclidad Alto, ideología, afiliación sindical, creencias, raza, salud, vida sexual. (art. 16 C.1978 Nadie obligado a declarar) Cesión de datos, únicamente con consentimiento del interesado. Acceso a datos por cuenta de terceros. Necesidad formalizar contrato entre encargado del tratamiento y responsable del fichero que especifique cómo va a llevarse a cabo el tratamiento.

Obligaciones: Inscripción de Ficheros en el Registro General de Protección de Datos Creación del Documento de Seguridad y actualización constante Deber de información al interesado Adopción de medidas de seguridad de índole técnica y organizativa que garanticen la seguridad de los datos Creación de contratos, formularios y cláusulas necesarias para la recogida de datos, los tratamientos por terceros y las cesiones o comunicaciones de datos Establecimiento de procedimientos para que los interesados puedan ejercitar sus derechos: Información Acceso Rectificación Oposición Cancelación Auditoría bienal de protección de datos (art. 110 RD 1720/2007) Colaborar con la Agencia de Protección de Datos

Medidas de Seguridad Obligatorias: Datos Básicos: Documento de Seguridad Régimen de Funciones y obligaciones del personal Registro de incidencias Identificación y Autenticación de usuarios Control de acceso Gestión de Soportes Copias de respaldo y recuperación Datos nivel medio: Responsable de Seguridad Auditoría bianual Medidas adicionales de identificación y autenticación de usuarios. Control de acceso físico Datos nivel alto: Seguridad en la distribución de soportes Registro de accesos Medidas adicionales de copias de respaldo Cifrado de telecomunicaciones

Inscripción de Ficheros: Registro General de Protección de Datos. Órgano integrado en la Agencia Española de Protección de Datos de dar publicidad de los ficheros y tratamientos existentes para facilitar al ciudadano el ejercicio de sus derechos. Ficheros de Titularidad Pública se crean mediante norma publicada en Diario Oficial y notificar en 30 días. Ficheros de Titularidad Privada simplemente el responsable decide su creación, pero debe notificarlos antes de crearlos y comenzar el tratamiento. Inscripción según procedimiento RD 1720/2007. Solo acredita cumplir la obligación de notificar, no del resto de obligaciones (formulario electrónico) Información que hay que aportar: responsable del fichero, identificación fichero, finalidades y usos previstos, sistema de tratamiento empleado, colectivo de personas sobre el que se obtienen los datos, procedimiento y procedencia de los datos, categorías, servicio o unidad de acceso, nivel de medidas de seguridad, identificación del encargado del tratamiento, ubicación del fichero, destinatarios de cesiones y transferencias internacionales. 1 mes para dictar Resolución inscripción o denegación inscripción. Responsable obligado a mantener actualizada la inscripción.

Sanciones Administrativas: Leves de 601 a €: No atender solicitud rectificación o cancelación motivos formales No informar a la APD (Agencia Española de Protección de Datos) No solicitar inscripción si son datos básicos. Recoger información sin proporcionar información a los afectados Incumplir deber de secreto si son datos básicos. Graves de ,01 a €: Recogida sin consentimiento expreso Tratar incumplir la legislación (puede ser muy grave) Mantener datos inexactos, sin rectificar o cancelar. Mantener ficheros, locales, programas o equipos sin condiciones seguridad Vulnerar deber secreto en datos de nivel medio. Muy Graves de ,01 a €: Recoger datos de forma engañosa o fraudulenta Comunicar o ceder datos de forma no permitida Transferencia de datos a países sin nivel de protección equiparable ni autorización de la AEPD No atender sistemáticamente derechos de acceso, rectificación, cancelación u oposición. No atender sistemáticamente deber notificación de la inclusión de datos personales

Sanciones Civiles: Art y 1903 del Código civil. Si se contrata con un tercero que tendrá acceso a los datos personales, hay que formalizar el correspondiente contrato de acceso en el que: Limiten facultades de tratamiento Especifiquen medidas de seguridad Se determinen las responsabilidades derivadas del incumplimento. Sanciones Penales: Art. 197 y ss Tipifican delitos contra la intimidad, el descubrimiento y revelación de secretos. Sanciones Laborales: Si se impone una sanción a la Organización, suele originar una derivación de responsabilidad laboral al causante del tratamiento inadecuado, acceso no autorizado, protección inadecuada, etc..