Ley Orgánica de Protección de Datos de Carácter Personal

En este tema, veremos la normativa desde 2 puntos de vista. La Ley Orgánica de Protección de datos(LOPD) que pretende proteger el uso de los datos de carácter personal por parte de empresas y profesionales y la Ley de Servicio de la Sociedad de la Información y del Comercio Electrónico (LSSICE) que regula ciertos aspectos de las webs que posean a través de ellas actividades económicas como publicidad, venta online, etc... Así como las notificaciones comerciales electrónicas como sms o correos electrónicos publicitarios.

2. Ley Orgánica de Protección de Datos de Carácter Personal

2.1 Ámbito de aplicación de la LOPD.

Una de las principales dudas que encuentran los empresarios y profesionales con respecto a la LOPD es la determinación de qué ficheros o datos de carácter personal tratados se encuentran amparados por la normativa.

La presente ley será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento y a toda modalidad de uso posterior de estos datos por los sectores públicos y privados.

Debemos tener en cuenta 3 conceptos:

• Dato de carácter personal: entendido como cualquier información concerniente a personas físicas identificadas o identificables; es decir, toda información numérica, gráfica, fotográfica, acústica o de cualquier otro tipo susceptible de recogida, tratamiento o transmisión concerniente a una persona física identificada o identificable.

Así de cara a la ley, dato de carácter personal es cualquier elemento que permite determinar de manera directa o indirecta la identidad física, fisiológica, psíquica, económica, cultural o social de una persona física.

• Fichero: entendido como conjunto organizado de datos de carácter personal, cualquiera que sea la forma o modalidad de su creación, almacenamiento, organización y acceso. Es por tanto el soporte físico(sea automatizado o no) en el que se recoge y almacena de manera organizada el conjunto de datos que integran la información.

• Tratamiento: entendido como las operaciones y procedimientos técnicos de carácter automatizado o no que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.

Si bien, entendemos que los ficheros de carácter personal que se mantengan en soporte informático o telemático, no presentan grandes dudas para su determinación puesto que para su creación se exige con carácter previo la grabación, depuración y estructuración de una forma determinada no sucede lo mismo para los ficheros de soporte papel. Para poder determinar cuando los datos registrados en soporte papel son susceptibles de tratamiento y en consecuencia se encuentran incluidos en el ámbito de aplicación de la LOPD, hay que tener encuenta los siguientes requisitos: Que dichos datos se encuentren organizados, estructurados o ordenados por criterios específicos no considerándose en consecuencia fichero la existencia de carpetas no estructuradas aunque estas contengan datos de carácter personal.

Ficheros excluidos del ámbito de la aplicación del LOPD:

o Ficheros mantenidos por personas físicas en el ejercicio de actividades exclusivamente personales o domésticas.

o Ficheros sometidos a la normativa sobre protección de materias clasificadas.

o Los ficheros establecidos para la investigación del terrorismo y de forma graves de delincuencia organizada. En estos supuestos, el responsable del fichero comunicará previamente la existencia del mismo, sus características generales y su finalidad a la Agencia Española de Protección de Datos.

2.2. Agencia española de protección de datos (AGPD).

Una vez que han sido localizados y determinados los ficheros de carácter personal, se procederá a la notificación de los mismos a la agencia española de protección de datos para su inscripción.

La AGPD aprobó los formularios que deben ser utilizados para la amplificación de ficheros, si están disponibles en la página web www.agpd.es en el apartado “canal del responsable de ficheros” → “inscripción de ficheros”.

El procedimiento para la modificación y supresión de ficheros inscritos en la AGPD es el mismo que el indicado para la creación de ficheros aunque necesitamos el código de inscripción otorgado en el momento de la inscripción del fichero.

La LOPD establece una serie de limitaciones de tratamiento de los datos para garantizar un uso lícito no excesivo y con las medidas de seguridad que impidan la alteración, pérdida o tratamiento no autorizado de los datos.

En la mayoría de los supuestos, la voluntad se manifiesta a través del consentimiento y en los casos en los que operan excepciones legales al consentimiento, el aceptado manifiesta su voluntad a través de su derecho de oposición al tratamiento de los datos (como por ejemplo en el caso de datos procedentes de fuentes accesibles al público donde no es necesario recabar el consentimiento previo del afectado para su tratamiento).

La recogida de los datos es una operación previa al tratamiento por lo que no suele plantear problemas en referencia al consentimiento del afectado puesto que si este proporciona los datos se entiende que existe un consentimiento implícito. Lo que si es importante en la recogida es proporcionar al afectado una serie de informaciones o elementos fijados por la ley en el derecho de información para que el afectado pueda suministrar o no sus datos con pleno consentimiento del alcance del tratamiento que se va a realizar, la información que habrá de proporcionarse es:

• El titular del fichero.

• Las finalidades del tratamiento.

• El carácter obligatorio/ facultativo de las respuestas.

• Los derechos que le asisten y su posibilidad de ejercicio.

• La dirección y en su caso las condiciones para ejercitar tal derecho.

Además tenemos que tener en cuenta que se regulan con la ley una serie de casos en los que será necesario además a la hora de la recogida de datos, recabar el consentimiento expreso del afectado:

• Para el tratamiento de datos de salud, origen racial y vida sexual.

• Para el tratamiento de datos de ideología, afiliación sindical, religión y creencias.

El tratamiento en sí consiste en las operaciones de grabación de datos, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones y acceso a los datos.

El afectado siempre podrá ejercer los derechos que le ejerce la ley (impugnación de valoraciones, acceso, rectificación, cancelación y oposición) y podrá revocar el consentimiento dado al tratamiento de sus datos o manifestar su oposición parcial a dicho tratamiento.

2.3. Niveles de seguridad.

La LOPD y el reglamento de medidas de seguridad (RD994/1999) establece la obligación de tomar una serie de medidas de carácter técnico y organizativo que garantice la seguridad de los datos de carácter personal medidas que habrán de adoptarse e implementarse por la empresa o profesional que almacene esos datos. Entre esas medidas se incluye la elaboración de un documento de seguridad en donde se detallarán los datos almacenados, las medidas de seguridad adoptadas así como las personas que tienen acceso a esos datos.

La ley identifica 3 niveles de medidas de seguridad básico, medio y alto que deberá ser adoptados en función de los distintos tipos de datos personales(salud, ideología, religión, creencias), el reglamento ha establecido los niveles de seguridad de forma acumulativa, es decir que al nivel de seguridad medio se aplicarán las medidas de seguridad de nivel básico.

Tipo de datos Medida de seguridad

Nivel básico -Nombre.

-Apellidos.

-Direcciones de contacto(físicas o electrónicas).

-Teléfono (fijo o móvil).

-Otros. -Documento de seguridad.

-Régimen de funciones y obligaciones del personal.

-Registro de incidencias.

-Identificación y autenticación de usuarios.

-Control de acceso.

-Gestión de soportes.

-Copias de respaldo y recuperación

Nivel medio -Comisión, infracciones penales.

-Infracciones administrativas.

-Información de hacienda pública.

-Información de servicios financieros. -Medidas de seguridad de nivel básico.

-Responsable de seguridad.

-Auditorías bianual.

-Medidas adicionales de identificación y autenticación de usuarios.

-Control de acceso físico.

Nivel alto -Ideología.

-Religión.

-Creencias.

-Origen racial.

-Salud.

-Vida -Medidas de seguridad de nivel básico y medio.

-Seguridad en la distribución de soportes.

-Registro de accesos.

-Medidas adicionales de copias de respaldo

2.4. Sanciones.

El órgano de control de cumplimiento de la normativa de protección de datos dentro del territorio español con carácter general es la Agencia Española de Protección de Datos (AEPD), existiendo otras agencias de protección de datos de carácter autonómico en las comunidades autónomas como Madrid, Cataluña y País Vasco.

Las sanciones dependen de la infracción cometida y se dividen en:

• Leves desde 601 a 60.001 euros.

• Sanciones graves desde 60.001 a 300.506 euros.

• Sanciones muy graves que van desde 300.506 a 601.012 euros.

En el sector público la citada ley regula igualmente el uso y manejo de la información y los ficheros con datos de carácter personal utilizados por todas las administraciones públicas.

3. Ley de Servicios de la Sociedad de la Información y del Comercio Electrónico

3.1 Introducción a la LSSI, Ley de Servicios de la Sociedad de la Información

Durante la tramitación de la LSSI, ley 34/2002 de 11 de Julio, de servicios de la sociedad de la información y de Comercio Electrónico (LSSICE) surgió una importante polémica sobre cómo esta normativa vulneraba el derecho a la intimidad y la privacidad del webmaster o propietario de una página o espacio web que, bien fuera por negocio, bien por poner un simple banner para poder pagarse el alojamiento en el servidor y mantener así su hobby, resultaba obligado a poner a disposición de “cualquier” usuario de la página datos personales de tal importancia como su nombre y apellidos, su nif y su própio domicilio.

Pese a la polémica mencionada y posterior aprobación de la ley las aguas volvieron a su cauce. Algunos cumplen con esta normativa desde la entrada en vigor de la Ley. Otros, comprensiblemente, aún son reacios a incluir sus datos personales en sus páginas alegando que tampoco a nadie le ha pasado nada por no ponerlos cuando, en la práctica, esto no es así...

No son pocos los webmasters a los que les ha tocado ser cabeza de turco y recibir una amenazante denuncia requiriéndole entre 30.000 y 50.000 € (entre 5.000.000 y 8.300.000 de las antiguas pesetas) por que, por ejemplo, muestra en su página un banner de Adsense que apenas le da 15 € al año.

En cualquier caso siempre es recomendable acudir a un Abogado para la resolución de las dudas que, en el caso concreto, puedan surgir en la aplicación de esta ley. Una inversión en un estudio jurídico o auditoría jurídica sobre nuestras páginas compensa con creces el revés económico, la angustia y la ansiedad que puede acarrear una denuncia de este tipo.

3.2 Objeto de la LSSICE

La Ley de servicios de la sociedad de la información y del comercio electrónico tiene como objeto la regulación del régimen jurídico de los servicios de la sociedad de la información y de la contratación por vía electrónica.

La Ley entiende por "servicio de la sociedad de la información", toda actividad que cumple con los siguientes requisitos:

• Recibe una contraprestación económica.

• La actividad se realiza a distancia (no presencial).

• Por medios electrónicos o telemáticos.

• A petición individual del destinatario del servicio.

Para el caso que nos interesa, y tal como se ha demostrado en la aplicación práctica de la LSSI por parte de la Administración, siempre que se pueda percibir un ingreso económico (independientemente de la cuantía) a través de una página web, esta actividad entra en el ámbito de aplicación de esta ley.

3.3 Ámbito de aplicación de la LSSI

El artículo 2 de la ley 34/2002 de 11 de Julio, de servicios de la sociedad de la información y de Comercio Electrónico establece el ámbito de aplicación subjetivo de la ley:

3.3.1 Artículo 2. Prestadores de servicios establecidos en España.

1. Esta Ley será de aplicación a los prestadores de servicios de la sociedad de la información establecidos en España y a los servicios prestados por ellos. Se entenderá que un prestador de servicios está establecido en España cuando su residencia o domicilio social se encuentren en territorio español, siempre que éstos coincidan con el lug

...