TUTORIAL PROTECCIÓN DE DATOS.

Presentación del tema: "TUTORIAL PROTECCIÓN DE DATOS."— Transcripción de la presentación:

1 TUTORIAL PROTECCIÓN DE DATOS

2 PRESENTACIÓN La Ley Orgánica 15/1999 regula el derecho fundamental a la protección de datos de carácter personal. La entidad de derecho público que vela por el cumplimiento de la normativa de protección de datos de carácter personal es la Agencia Española de Protección de Datos (AEPD)

3 CONCEPTOS BÁSICOS Dato de carácter personal: Cualquier información concerniente a personas físicas identificadas o identificables, ya sea numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo siempre que sea concerniente a personas físicas identificadas o identificables. Quedan excluidos del ámbito de aplicación de la Ley los tratamientos referidos a: Personas jurídicas. Personas físicas que presten sus servicios en aquéllas, consistentes únicamente en su nombre y apellidos, las funciones o puestos desempeñados, la dirección postal o electrónica, el teléfono y el número de fax profesionales. Empresarios individuales, cuando hagan referencia a ellos en su calidad de comerciantes, industriales o navieros. Personas fallecidas, no obstante la personas vinculadas al fallecido, por razones familiares o análogas, podrán dirigirse a los responsables de los ficheros solicitando su cancelación. Personas físicas en el ejercicio de actividades exclusivamente personales o domésticas, o sea, aquellas actividades que se inscriben en el marco de la vida privada o familiar de los particulares. Tratamiento de datos: cualquier operación o procedimiento técnico, sea o no automatizado, que permita la recogida, grabación, conservación, elaboración, modificación, cancelación, bloqueo o supresión, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias. Consentimiento del interesado: Toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de los datos personales que le conciernen.

4 CONCEPTOS BÁSICOS Fichero: Todo conjunto organizado de datos de carácter personal que permita el acceso a los datos con arreglo a criterios determinados, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso. Responsable del fichero o del tratamiento: Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento, aunque no lo realizase materialmente. Cesión o comunicación de datos: Tratamiento de datos que supone revelación a una persona distinta del interesado. Encargado del Tratamiento: Persona física o jurídica, pública o privada, u órgano administrativo, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento o del responsable del fichero, como consecuencia de la existencia de una relación jurídica que le vincula con el mismo y delimita el ámbito de su actuación para la prestación de un servicio. Tercero: Persona física o jurídica, pública o privada u órgano administrativo distinta del afectado o interesado, del responsable del tratamiento, del responsable del fichero, del encargado del tratamiento y de las personas autorizadas para tratar los datos bajo la autoridad directa del responsable del tratamiento o del encargado del tratamiento. Cancelación: Procedimiento en virtud del cual el responsable cesa en el uso de los datos. La cancelación implica el bloqueo de los datos.

5 PRINCIPIO DE CALIDAD Los datos deben: Tratarse de manera lícita.
Recogerse con fines determinados, explícitos y legítimos. Ser adecuados, pertinentes y no excesivos en relación con el ámbito y los fines para los que se han recogido. Ser exactos y mantenerse actualizados de manera que respondan con veracidad a la situación actual de su titular. Sólo deben conservarse durante el tiempo necesario para las finalidades del tratamiento para el que han sido recogidos. Ser cancelados cuando hayan dejado de ser necesarios o pertinentes para el fin con que se obtuvieron.

6 PRINCIPIO DE INFORMACIÓN
Se debe informar al interesado: De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información. Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas. De las consecuencias de la obtención de los datos o de la negativa a suministrarlos. De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición. De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. De las comunicaciones a terceros de sus datos, indicando la finalidad del fichero, la naturaleza de los datos que han sido cedidos y el nombre y la dirección del cesionario.

7 PRINCIPIO DE CONSENTIMIENTO
Los datos personales de un ciudadano sólo pueden tratarse si el interesado ha dado su consentimiento inequívoco, excepto:  Cuando el tratamiento es necesario para el mantenimiento o cumplimiento de un contrato o precontrato de una relación negocial, laboral o administrativa. Cuando el tratamiento es necesario para proteger un interés vital del interesado o de otra persona, en el supuesto que el afectado esté física o jurídicamente incapacitado para dar su consentimiento. Cuando el tratamiento es necesario para cumplir funciones de las Administraciones Públicas en el ámbito de sus competencias. Los datos de ideología, creencias, religión o afiliación sindical sólo pueden ser objeto de tratamiento con el consentimiento expreso y por escrito del afectado. Los datos relativos al origen racial, a la salud y a la vida sexual sólo podrán ser recogidos, tratados y cedidos, si alguna Ley así lo dispone por razones de interés general, o en caso de que el afectado haya consentido expresamente.

8 PRINCIPIO DE SEGURIDAD
El responsable del fichero deberá adoptar las medidas de seguridad necesarias para evitar la alteración, pérdida, tratamiento o acceso no autorizado a los datos de carácter personal.

9 PRINCIPIO DE DEBER DE SECRETO
El responsable del fichero, así como todas las personas que intervengan en el tratamiento de los datos, están obligados a respetar el secreto profesional sobre los mismos y a mantenerlo aun cuando su relación con el responsable del fichero haya finalizado.

10 PRINCIPIO DE COMUNICACIÓN DE LOS DATOS
Para ceder datos de carácter personal a terceros será necesario haber obtenido con carácter previo el consentimiento del interesado o afectado, salvo: Cuando exista una autorización legal. Cuando se trate de datos recogidos de fuentes accesibles al público. Cuando la cesión se realice con motivo del desarrollo, cumplimiento y mantenimiento de una relación jurídica cuyo desarrollo, cumplimiento y control implique necesariamente la conexión de dicho tratamiento con ficheros de terceros, siempre y cuando la comunicación de datos se limite a la finalidad que la justifique. Cuando el destinatario de la cesión se el defensor del Pueblo, el Ministerio Fiscal o los Jueces o tribunales o el tribunal de Cuentas, en el ejercicio de las funciones que tiene atribuidas. Tampoco será preciso el consentimiento cuando la comunicación tenga como destinatario a instituciones autonómicas con funciones análogas al defensor del Pueblo o al tribunal de Cuentas. Cuando la cesión se produzca entre administraciones públicas y tenga por objeto el tratamiento posterior de los datos con fines históricos, estadísticos o científicos. Cuando la cesión de datos de carácter personal relativos a la salud sea necesaria para solucionar una urgencia que requiera acceder a un fichero o para realizar los estudios epidemiológicos en los términos establecidos en la legislación sobre sanidad estatal o autonómica.

11 ENCARGO DEL TRATAMIENTO
El encargado tratará los datos siguiendo las instrucciones del responsable del tratamiento, no utilizándolos para finalidades distintas, y que no los comunicará, ni siquiera para su conservación, a otras personas. En el contrato deben quedar reguladas las medidas de seguridad que el encargado del tratamiento está obligado a implementar. Cuando finalice la prestación contractual, el encargado del tratamiento deberá destruir o devolver los datos al responsable. Si el encargado del tratamiento destinara los datos a otra finalidad, los comunicara o los utilizara incumpliendo las estipulaciones del contrato, será considerado también responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente.

12 NOTIFICACIÓN A LA AEPD El responsable del fichero debe notificar al Registro de la Agencia Española de Protección de Datos, la creación, modificación o cancelación de todo fichero que contenga datos de carácter personal.

13 DERECHOS ARCO

14 DERECHO DE ACCESO Es el derecho del afectado a obtener información sobre si sus datos están siendo objeto de tratamiento, la finalidad del tratamiento, el origen de los datos y las comunicaciones realizadas o previstas de los mismos. El responsable del fichero resolverá la solicitud de acceso en el plazo máximo de 1 mes desde la recepción de la solicitud y se computará de fecha a fecha.

15 DERECHO DE RECTIFICACIÓN
Es el derecho del afectado a que se modifiquen los datos que resulten inexactos o incompletos. El responsable del fichero resolverá la solicitud de rectificación en el plazo máximo de 10 días desde la recepción de la solicitud.

16 DERECHO DE CANCELACIÓN
Es el derecho del afectado a que se supriman los datos que resulten inadecuados o excesivos. El responsable del fichero resolverá la solicitud de cancelación en el plazo máximo de 10 días desde la recepción de la solicitud. La cancelación de los datos no conlleva en todos los casos la supresión de la información sino que puede dar lugar al bloqueo de los datos.

17 DERECHO DE OPOSICIÓN Es el derecho del afectado a que no se lleve a cabo el tratamiento de sus datos de carácter personal o se cese en el mismo. El responsable del fichero resolverá la solicitud de rectificación, cancelación y oposición del afectado en el plazo máximo de 10 días hábiles a contar desde la recepción de la solicitud.

18 OBLIGACIONES

19 OBLIGACIONES DE LA UNIVERSIDAD
Declarar los ficheros de datos personales, en papel o automatizados. Recoger y tratar adecuadamente los datos. Facilitar a los alumnos, al personal y a otros interesados el ejercicio de sus derechos. Garantizar la seguridad en el tratamiento de datos personales mediante la implantación de las medidas de seguridad reglamentarias. Garantizar también estos aspectos cuando el tratamiento de datos sea realizado por un tercero a cuenta de la Universidad (es lo que se conoce como Encargado del Tratamiento). Para ello se elaborará un contrato que incluirá unas cláusulas específicas en materia de protección de datos y se supervisará el cumplimiento del mismo.

20 OBLIGACIONES DEL RESPONSABLE DE SEGURIDAD
Coordinar la puesta en marcha de las medidas de seguridad establecidas por el responsable del Fichero según el nivel de protección exigido por la Ley y controlar periódicamente su cumplimiento. Habilitar un libro de incidencias, a disposición de todos los usuarios y administradores del fichero, para que se registre en él cualquier incidencia que pueda suponer un peligro para la seguridad del mismo y analizar las incidencias registradas. Realizar los controles internos de verificación del cumplimiento de las medidas de seguridad exigidas por la ley y analizar los informes de los controles externos que se hubieren ordenado, elevando sus conclusiones al Secretario General para que éste adopte las medidas correctoras adecuadas. Controlar los mecanismos que permiten el registro de los accesos que se hayan producido sobre el fichero sin que se le permita, en ningún caso, la desactivación de los mismos. Revisar periódicamente la información de control registrada y elaborar un informe mensual de las revisiones realizadas y de los problemas detectados. Controlar la existencia y cumplimiento de los procedimientos de acceso establecidos. Habilitar y gestionar un inventario de soportes y un libro-registro de entradas y salidas de soportes informáticos, que contengan datos de carácter personal fuera del ámbito físico de la Universidad. Verificar la definición y correcta aplicación de los procedimientos de realización de copias de respaldo y de recuperación de los datos. Realizar los controles de las medidas de seguridad establecidas, a entidades externas a la Universidad que asumen funciones de custodia de archivos. Asumir todas las funciones que en su ámbito de actuación le encomiende el Secretario General.

21 OBLIGACIONES DEL RESPONSABLE DE UN FICHERO DE LA UNIVERSIDAD
Crear y suprimir los ficheros físicos de acuerdo con el procedimiento establecido en el artículo 11 de la normativa de protección de datos de la Universidad para la creación de nuevos ficheros físicos adscritos a uno lógico. Incorporar a los formularios, impresos, folletos, trípticos, cupones o transmisiones electrónicas a través de los que se recaben datos personales con los que se nutran sus ficheros, las cláusulas o notas de protección de datos determinadas por la Secretaria General para cada caso. Informar al interesado, cuando los datos no hayan sido recabados directamente del mismo y de las comunicaciones de sus datos a terceros. Informar al personal autorizado de las obligaciones que le incumben en materia de protección de datos, en particular de los deberes de guarda y custodia, de los deberes de información en la recogida de los datos, del ejercicio de los derechos de acceso, rectificación, cancelación y oposición, del secreto profesional y del deber de adoptar las medidas de seguridad determinadas para cada caso. Controlar que el personal autorizado cumpla sus funciones. Comunicar los cambios que se produzcan al Gestor del Fichero a efectos de actualización del Documento de Seguridad. Colaborar con el Responsable de Seguridad en la adopción de las medidas de seguridad establecidas por la Secretaria General para el fichero cuya gestión tiene encomendada.

22 OBLIGACIONES DEL PERSONAL DE LA UNIVERSIDAD QUE ACCEDE A DATOS PERSONALES
Acceder exclusivamente a aquellos datos y recursos necesarios para el ejercicio de sus funciones y cumplir con el secreto profesional respecto de los datos personales a los que tenga acceso. Utilizar los datos personales exclusivamente para las finalidades para las que fue creado el fichero o para finalidades que no se consideren incompatibles con aquellas para las que los datos hubieran sido recogidos Garantizar la confidencialidad de las contraseñas que tengan asignadas de forma que no puedan ser conocidas por terceros. Cualquier sospecha respecto al acceso a la contraseña o clave por un tercero de forma fraudulenta deberá ser registrada, tramitada como incidencia y comunicada al administrador del sistema para proceder al cambio de las mismas. No permitir el acceso de terceros no autorizados a la visualización del monitor que trata datos personales durante la utilización de los sistemas informáticos. Seguir el procedimiento centralizado para el ejercicio de los derechos de acceso, rectificación, cancelación y oposición de los datos personales.

23 MEDIDAS DE SEGURIDAD El STIC es el Servicio encargado de coordinar y controlar las medidas de seguridad aplicables en los ficheros. Su Director es el Responsable de Seguridad designado por la Secretaria General para desempeñar dichas funciones. NIVEL BÁSICO: Aplicables a todos los ficheros que contengan datos de carácter personal. NIVEL MEDIO: Aplicables a todos los ficheros: Que traten datos de carácter personal y que contengan información sobre infracciones administrativas o penales, o para cualquier fichero que contenga un conjunto de datos que permita definir o evaluar la personalidad de un individuo. Cuya finalidad sea la prestación de servicios de información sobre solvencia patrimonial y crédito y para los ficheros de los que sean responsables Administraciones tributarias y se relacionen con el ejercicio de sus potestades tributarias. De los que sean responsables las Entidades Gestoras y Servicios Comunes de la Seguridad Social y se relacionen con el ejercicio de sus competencias. De igual modo, aquellos de los que sean responsables las mutuas de accidentes de trabajo y enfermedades profesionales de la Seguridad Social. NIVEL ALTO: Aplicables a todos los ficheros que traten datos de carácter personal y contengan información sobre ideología, religión, creencias, afiliación sindical, origen racial, salud, vida sexual, o con fines policiales sin consentimiento de las personas afectadas o información de actos de violencia de género.

24 PROCEDIMIENTO SANCIONADOR
El régimen sancionador establecido en los artículos 43 y siguientes de la LOPD articula las infracciones en tres tipos: leves, graves y muy graves. Las sanciones oscilan entre los 900 € y € dependiendo del tipo de infracción. La normativa de la Universidad sobre protección de datos dispone en su artículo 28 las infracciones internas en materia de protección de datos aplicables al personal o a los alumnos de la Universidad, a los que se les podrá exigir responsabilidad conforme al régimen disciplinario establecido en la Universidad.

25 La información de esta Guía puede ser ampliada en www. comillas
La información de esta Guía puede ser ampliada en Secretaría General Alberto Aguilera, 23 28015 Madrid