LEY DE PROTECCIÓN DE DATOS (LOPD) Ampliación:

La normativa sobre protección de datos de carácter personal obliga a empresas, instituciones y profesionales y, en general, a todas las personas jurídicas o físicas que operen sobre ficheros de datos de carácter personal al cumplimiento de una serie de obligaciones.

La Ley afecta a "los datos de carácter personal registrados en soporte físico, que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado” (art. 2.1), entendiendo por datos de carácter personal, de conformidad con las definiciones contenidas en el artículo 3, “cualquier información concerniente a personas físicas identificadas o identificables”. Igualmente el término soporte físico habría que asimilarlo al de “fichero” que en el referido artículo 3 se define como “todo conjunto de organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso.”


• Inscripción de los ficheros en el Registro General de la Protección de Datos. Artículo 26 LOPD. Artículos. 5 y 6 R.D 1332/1994, de 20 de Junio. Esta inscripción debe realizarse con carácter previo a la creación del fichero de datos de carácter personal.

• Documento de Seguridad. Si se decide "legalizar" el fichero mediante la inscripción, es necesario entonces entonces elaborar, conforme a las prescripciones legales, un documento de seguridad.

  "El responsable del fichero elaborará e implantará la normativa de seguridad mediante un documento de seguridad de obligado cumplimiento para el personal con acceso a los datos automatizados de carácter personal y a los sistemas de información... El documento deberá mantenerse en todo momento actualizado y deberá ser revisado siempre que se produzcan cambios relevantes en el sistema de información o en la organización del mismo... El contenido del documento deberá adecuarse, en todo momento, a las disposiciones vigentes en materia de seguridad de los datos de carácter personal." Art. 8 del R.D 994/1999

• Deber de información al interesado. El artículo 5 LOPD obliga a proporcionar cierta información al interesado cuando se recaban sus datos, esta circunstancia obliga revisar los formularios, leyendas y procedimientos que se empleen en la recogida de los datos.

• El titular de los datos tiene que arbitrar los procedimientos para permitir a los interesados el ejercicio de los derechos que la normativa le reconoce (fundamentalmente, acceso, rectificación y cancelación.

• Implantación medidas de seguridad. Se deben implantar de manera efectiva la medidas de seguridad de índole técnica y organizativas necesarias para garantizar la seguridad de los datos objeto de tratamiento. Artículos 9 y 10 LOPD y R.D 994/1999, de 11 de junio, de conformidad con el nivel de seguridad que tenga el fichero.

• Efectuar una Auditoría periódica del cumplimiento de la normativa y de las medidas de seguridad implantadas. R.D. 994/1999.

• Contratos. Si en el tratamiento de los datos intervien terceros, tales como proveedores de alojamiento o empresas de tratatamiento documental, es necesario que esta relaciones estén documentadas mediante contrato en el que deben figurar unas menciones mínimas. Artículo 12 LOPD.

NIVELES DE SEGURIDAD

El reglamento instaura tres niveles de seguridad, en función de la información tratada y la mayor o menor necesidad de garantizar la confidencialidad e integridad de la información.

• El nivel básico se configura como el aplicable por defecto a cualquier fichero que se encuentre dentro del ámbito de aplicación.

• El nivel medio es de aplicación para ficheros que contengan datos relativos a la comisión de infracciones administrativas o penales, Hacienda Pública, servicios financieros y los de solvencia patrimonial y crédito.

• El nivel alto lo forman los ficheros con datos sobre la ideología, religión, creencias, origen racial, salud o vida sexual, y los recabados para fines policiales sin consentimiento del afectado. Básicamente, aunque de momento no existe una correspondencia total, los datos de este nivel de seguridad se corresponden con los datos especialmente protegidos a los que hace referencia el artículo 7 de la Ley.

MEDIDAS TÉCNICAS

El Real Decreto enumera las medidas técnicas de seguridad que deberán ser implementadas por el técnico encargado de los datos, configurándose como será el máximo responsable del cumplimiento de las medidas.

• Nivel básico: deben implantarse las siguientes medidas:

  - Elaboración e implantación de la normativa de seguridad mediante un documento que deberá contener como mínimo las indicaciones del artículo 8 del Real Decreto.
  - Definición clara y documentada de las funciones que desempeñará y obligaciones que asumirá cada persona con acceso a los datos y sistemas de información, así como mantener una relación actualizada de usuarios con acceso autorizado y el establecimiento de sistemas de identificación y autentificación.
  - Creación de un registro de incidencias.
  - Verificación, por parte del responsable del fichero, de la definición y correcta aplicación de los procedimientos de copias de seguridad.

• En el nivel medio, hay que añadir a las medidas de nivel básico algunos requisitos adicionales como, por ejemplo, más menciones en el documento de seguridad. Destaca especialmente de este nivel la obligación de realizar una auditoría, interna o externa, que verifique el cumplimiento de las medidas, al menos cada dos años. El informe de auditoría quedará a disposición de la Agencia de Protección de Datos.

• Las medidas de seguridad de nivel alto, añade a los requisitos anteriores algunos en materia de distribución de soportes, registro de accesos, la realización de copias de seguridad y la transmisión cifrada a través de redes telemáticas
  

INFRACCIONES

La Ley sistematiza y ordena los posibles incumplimientos de la Ley en la tipificación de las infracciones que, en una exposición somera y no exhaustiva, se encuentran relacionadas, fundamentalmente, con la inatención del afectado en el ejercicio de sus derechos (acceso, rectificación o cancelación) o insuficiencia en la información que se le suministra en la recogida de los datos, la falta de colaboración con la Agencia, la ausencia de notificaciones preceptivas (como las de creación), así como la creación, tratamiento, comunicación, cesión y mantenimiento de ficheros sin la observancia de las prescripciones de la Ley.

SANCIONES
Infracciones LEVES Multa de 601,01 a 60.101,21 (100.000 a 10.000.000 de pesetas)
Infracciones GRAVES Multa de 60.101,21 a 300.506,05 (10.000.000 a 50.000.000 pesetas)
Infracciones MUY GRAVES Multa de 300.506,05 a 601.012,10 (50.000.000 a 100.000.000 de pesetas)

[+] Info LOPD - Texto íntegro.