Cómo cumplir la LOPD – Protección de datos en Málaga

¿QUIÉN SOY?

Soy VANESA, abogada especializada en LOPD, LSSI, seguridad de la información, derecho de las nuevas tecnologías en general y prevención del blanqueo de capitales

Mi número de Colegiada es el 4882 de Málaga.

Mi equipo de trabajo lo compongo YO. Cuando me llames, te atenderé YO. Cuando te dé cita, te recibiré YO. Cuando tengas una duda y consultes conmigo, te la resolveré YO. La documentación de la adaptación te la hago íntegramente YO. Cuando te vuelva a dar cita para entregarte y explicarte la documentación, otra vez te atenderé YO. Cuando tenga que facturarte, te facturaré YO. Es mucho más operativo, y aunque tal vez acabes cansándote de mi egocentrismo, al menos tendrás la impresión de haber encargado un simple y eficaz servicio profesional y no de haber pedido una cita con el Papa. Voy a adaptarte a la LOPD, no a salvar tu alma de las llamas del infierno.

Para adaptarte a la LOPD (salvo raras excepciones) no necesitas un equipo multidisciplinar compuesto por abogados, informáticos, técnicos ni otras rarezas.

Conmigo tienes de sobra. Y si te surgen dudas técnicas, puedes acudir al informático con quien habitualmente trabajes.

No obstante, hay cientos de despachos multidisciplinares que le prestan un servicio integral al cliente.

Siempre puedes llamarlos: suelen tener unas secretarias muy simpáticas, que luego te pasan con el departamento, que a su vez te pasa con el subdepartamento, que a su vez te pone en contacto con el responsable de.

¿CUÁL ES MI TITULACIÓN?

Soy Licenciada en Derecho por la Universidad de Málaga.

De otra forma, y sin dicha licenciatura, no podría ser la colegiada nº 4882 del Ilustre Colegio de Abogados de Málaga, al que siempre puedes llamar si tienes alguna duda sobre la autenticidad de mi colegiación y mi profesión (cosa que además le recomiendo a todos aquellos que quieran contratar a un letrado: no es el primero que se hace pasar por abogado, te pide una jugosa provisión de fondos y se larga con tu dinero…).

Cada vez son más las empresas y profesionales dedicados a estas materias que se muestran como Consultores homologados o exhiben titulos adicionales, como el máster, que intentan vender como garantía de profesionalidad. En la mayoría de los casos te estarán tomando el pelo ya que hoy día no se exige ningún tipo de titulación para hacer adaptaciones a la LOPD. Es más: te la puedes hacer tú mismo, informándote en la página de la Agencia Española de Protección de Datos.

Por eso, el mono de mi título homologado de máster del universo en LOPD, se va de vez en cuando de chupitos con el mono del título de profesor de salsa, homologado por su prima, de mi amigo Antonio el de la salsa, al que puedes conocer aquí (y a su mono, que por razones obvias, es primo hermano en 2º grado del mío):

Antonio el de la salsa y su mono

¿QUÉ SERVICIOS PUEDO PRESTARTE?

– Adaptación a la normativa de protección de datos de carácter personal.

– Auditorías LOPD.

– Adaptación de páginas web a la LSSICE.

– Asesoramiento jurídico sobre nuevas tecnologías en general.

– Formación para ti y tus trabajadores.

Delegado de protección de datos

¿Necesito nombrar un Delegado de Protección de Datos?
¿Necesito nombrar un Delegado de Protección de Datos?

A raíz de la aprobación del Reglamento Europeo de Protección de Datos, mucho se oye hablar de la figura del DELEGADO DE PROTECCIÓN DE DATOS, similar a la del Responsable de Seguridad establecida en el actual RD 1720/2007, por el que se aprueba el Reglamento de desarrollo de la LOPD.

Dicho Delegado viene definido en los artículos 37, 38 y 39 del Reglamento Europeo.

Lo primero que debemos preguntarnos es si siempre es obligatorio su nombramiento.

La respuesta es no, y sólo procederá en los siguientes casos:

1º. Cuando el tratamiento de datos lo realice una autoridad u organismo público, con excepción de los tribunales de justicia.

2º. Cuando la actividad principal del responsable de fichero consista en operaciones de tratamiento que requieran observación habitual y sistemática de interesados a gran escala.

3º. Cuando la actividad principal del responsable de ficheros consista en el tratamiento a gran escala de categorías especiales de datos personales del artículo 9 (origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o las orientación sexuales de una persona física) y de datos sobre condenas e infracciones penales.

¿Y qué significa exactamente aquí “gran escala”? Leyendo, no obstante, los Considerandos del Reglamento Europeo, encontramos las siguientes aclaraciones:

1º . El tratamiento de datos personales no debe considerarse a gran escala si lo realiza, respecto de datos personales de pacientes o clientes, un solo médico, otro profesional de la salud o abogado.

2º. […] operaciones de tratamiento a gran escala que persiguen tratar una cantidad considerable de datos personales a nivel regional, nacional o supranacional y que podrían afectar a un gran número de interesados y entrañen probablemente un alto riesgo, por ejemplo, debido a su sensibilidad…

Sus funciones exactas están definidas en el artículo 39 del Reglamento Europeo, y serían las siguientes:

1. Informar y asesorar al responsable o al encargado del tratamiento y a los empleados que se ocupen del tratamiento de las obligaciones que les incumben en virtud del presente Reglamento y de otras disposiciones de protección de datos de la Unión o de los Estados miembros;

 2. Supervisar el cumplimiento de lo dispuesto en el presente Reglamento, de otras disposiciones de protección de datos de la Unión o de los Estados miembros y de las políticas del responsable o del encargado del tratamiento en materia de protección de datos personales, incluida la asignación de responsabilidades, la concienciación y formación del personal que participa en las operaciones de tratamiento, y las auditorías correspondientes;

3. Ofrecer el asesoramiento que se le solicite acerca de la evaluación de impacto relativa a la protección de datos y supervisar su aplicación de conformidad con el artículo 35;

4. Cooperar con la autoridad de control;

5. Actuar como punto de contacto de la autoridad de control para cuestiones relativas al tratamiento, incluida la consulta previa a que se refiere el artículo 36, y realizar consultas, en su caso, sobre cualquier otro asunto.

¿Y quién puede ser, por último, Delegado?

Dice el Reglamento en sus Considerandos  lo siguiente:

  • Una persona con conocimientos especializados del Derecho y la práctica en materia de protección de datos.

  • Tales delegados de protección de datos, sean o no empleados del responsable del tratamiento, deben estar en condiciones de desempeñar sus funciones y cometidos de manera independiente.

Adaptación Reglamento Europeo Protección de Datos

Reglamento Europeo Protección de Datos
Reglamento Europeo Protección de Datos

 

La Agencia Española de Protección de Datos (AEPD), publicó el pasado 29 de julio de 2016, una nota de prensa titulada IMPLICACIONES PRÁCTICAS DEL REGLAMENTO GENERAL DE PROTECCIÓN DE DATOS PARA ENTIDADES EN EL PERIODO DE TRANSICIÓN. Veamos un resumen de lo que se ha dicho, ya que sin duda, afecta a profesionales, empresas y organizaciones para su adecuación futura al Reglamento europeo:

1º. La AEPD recomienda que las empresas se vayan adaptando a la nueva situación, aunque el reglamento no se aplique hasta 2018.

2º. Se ha de tener en cuenta que el consentimiento que las personas otorguen para tratamiento de sus datos, deberá ser siempre expreso, claro e inequívoco. Los consentimientos tácitos que pudieran existir, dejarán de tener validez, por lo que siempre se habrán de obtener de forma expresa.

3º. Las cláusulas informativas sobre protección de datos, se han de revisar, con objeto de adaptarlas al Reglamento.

4º. En algunas organizaciones se hace obligatoria la realización de un informe de evaluación de impacto. Se habrá de revisar si procede en cada caso.

5º. Se prevé la emisión de certificaciones en materia de protección de datos, al igual que ya se viene haciendo con temas como calidad o medio ambiente.

6º. Se crea la figura del Delegado de Protección de Datos. No se aclara de momento si este delegado debe cumplir algún requisito profesional. No obstante, la AEPD entiende que servirá que se acredite ser profesional con conocimiento y experiencia en la materia.

7º. Se han de revisar los contratos de encargados de tratamiento, para adaptarlos al Reglamento. La Agencia emitirá más adelante, recomendaciones al respecto.

8º. No obstante, se ha de seguir atento a las instrucciones de la AEPD, pues según la misma manifiesta:

La AEPD está trabajando en la preparación de herramientas que ayuden a responsables y encargados al entendimiento y cumplimiento del Reglamento. Entre ellas, hay que destacar un recurso online orientado a las pymes que realicen tratamientos de bajo o muy bajo riesgo, de forma que puedan constatar de una manera sencilla que se encuentran en esa situación y, a la vez, disponer de una lista de las medidas que tienen que implantar en función de ese bajo nivel de riesgo. 

Está previsto que este recurso se complemente con otros más avanzados, orientados a las pymes que desarrollan tratamientos que conllevan un nivel de riesgo algo mayor como consecuencia de alguna circunstancia concreta -como puede ser el manejo de datos sensibles- y que incluirá un apartado dedicado a las medidas de seguridad que deben implantarse.

La AEPD está trabajando junto a las Agencias autonómicas en cláusulas informativas adaptadas al nuevo Reglamento para sectores o tratamientos diferenciados. Así, está previsto ofrecer una serie de recomendaciones o criterios para ayudar a reflejar los distintos puntos que el Reglamento exige en la información.

INVALIDEZ ACUERDO PUERTO SEGURO

Acuerdo de Puerto Seguro

Con mucha frecuencia, empresas y profesionales recurren en la actualidad al uso de sistemas de almacenamiento de datos en la llamada “nube” de internet, para llevar a cabo copias de seguridad on line, entre otros muchos ejemplos.

En estos casos, se plantea muchas veces la situación de estar transfiriendo datos personales a terceros países, ya que los servidores físicos de esas “nubes” se encuentran fuera de España.

Un supuesto muy utilizado y conocido es DROPBOX, que cuenta con servidores en Estados Unidos.

Las transferencias internacionales de datos se regulan expresamente en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de datos de carácter personal. La norma general es que no están permitidas, salvo que se hagan a países que garanticen un nivel de protección equiparable al de la propia normativa española o estén autorizadas por la Agencia Española de Protección de Datos (artículo 33 LOPD).

No obstante, el artículo 34 LOPD, establece ciertas excepciones, de manera que –por ejemplo- para las transferencias de datos a terceros países cuando la empresa prestadora del servicio se había adherido al acuerdo de PUERTO SEGURO, no era necesario ningún requisito especial (autorización del Director de la Agencia).

Empresas como DROPBOX, están adheridas a dicho acuerdo, por el que se venía entendiendo que proporcionaba un nivel de seguridad suficiente y equiparable al de nuestro país.

Pero esta situación ha cambiado recientemente, a consecuencia de la Sentencia del Tribunal de Justicia de la Unión Europea, publicada el pasado 6 de octubre, y que anula la Decisión de la Comisión 2000/520/CE, que estableció el nivel adecuado de protección de las garantías para las transferencias internacionales de datos a EEUU ofrecidas por el acuerdo de Puerto Seguro.

La consecuencia práctica es que ya no se puede entender que la transferencia internacional de datos que hacemos –por ejemplo nuevamente- mediante DROPBOX sea 100% lícita sin más garantías adicionales.

¿Quiere esto decir que no podemos seguir usando DROPBOX y sistemas asimilados?

Rotundamente, no.

Pero habrá que analizar en cada caso, para empezar, las excepciones del artículo 34 LOPD, por si pudiera darse alguna de ellas.

Ningún problema de plantea, por otra parte, cuando la transferencia se realiza a países miembros de la Unión Europea (artículo 34-k LOPD) o cuando el afectado haya prestado su consentimiento inequívoco para llevarla a cabo (artículo 34-e LOPD).

Insisto, por tanto, en la importancia de llevar a cabo una revisión y análisis en cada caso, para comprobar si la transferencia se está haciendo de forma correcta y si es necesario o no algún cambio o replanteamiento del sistema.