Un ejemplo practico: Adaptación de un entorno empresarial a la normativa sobre protección de datos personales
| Autor | Francisco de Quinto Zumárraga |
| Cargo del Autor | Piqué Abogados Asociados |
Ya hemos tratado a lo largo del libro que la protección de datos personales es un tema de total actualidad por diferentes motivos: la obligatoriedad de su aplicación, su emergente conocimiento, el carácter expansivo del objeto y ámbito de la vigente LOPDP y, sin duda, las millonarias sanciones impuestas por la Agencia de Protección de Datos y que aparecen con asiduidad en los medios de información.
Pese a la obligatoriedad general de su aplicación, ya que prácticamente todos los ficheros poseen algún dato personal, ya sea la persona de contacto, un e-mail perteneciente a una persona física, un N.I.F., etc, su grado de implantación dista bastante de ser generalizado y aceptado debido en gran medida al profundo desconocimiento existente sobre la materia a todos los niveles.
En este contexto, concretamente el de ser una normativa aplicable a todos los casos de ficheros que contengan datos de carácter personal, hace que no sea sencillo el citar un ejemplo práctico debido a la gran cantidad de casos posibles existentes, ya que además cada uno de ellos tiene múltiples peculiaridades y, por supuesto, dificultades.
A continuación expondremos el ejemplo práctico que comentaremos. El supuesto es el de una empresa, concretamente una fábrica de mediano tamaño que iniciará su actividad en breve, con todos los servicios centralizados en una única sede social, y que dispone de un departamento interno que será el que realizará las nóminas de sus empleados.
En cualquier aplicación que se realice en materia de protección de datos personales se deben tener en cuenta en principio como mínimo tres partes fundamentales: LA LEGALIZACION, LA LEGITIMACION Y LA APLICACION DE LAS MEDIDAS DE SEGURIDAD.
Comenzaremos por la LEGALIZACIÓN, que consiste en declarar el fichero o ficheros que posea el Responsable ante la Agencia de Protección de Datos, concretamente ante el Registro General de Protección de Datos. Concretamente, en nuestro ejemplo, nuestra fábrica posee un fichero de personal, uno de clientes y otro de proveedores, que por otra parte suele ser lo más común.
Una vez delimitados los ficheros, procederemos a su declaración, la cual se realizará entregando a la Agencia de Protección de Datos los modelos de declaración de ficheros debidamente cumplimentados. El modelo de notificación a la Agencia consta de diferentes apartados los cuales cumplimentaremos en función de este caso en concreto. El primer apartado se titula Responsable del fichero o tratamiento, y es la persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento. Deberemos cumplimentar este apartado con toda la información que se nos solicita referente a la fábrica cuyos ficheros vamos a declarar.
El punto segundo se titula literalmente «Servicio o Unidad concreto ante el que puedan ejercitarse los derechos de oposición, acceso, rectificación y cancelación. (Cumplimentar en el caso de que sea diferente al declarado en el apartado 1. Responsable del Fichero o Tratamiento)». Como en el caso que nos ocupa, los derechos que vayan a ejercer en su caso los titulares de los datos los realizarían en la sede social de la fábrica que ya hemos descrito en el punto primero del Responsable, es decir, que será en la misma dirección, este apartado se deberá dejar en blanco.
En el tercer apartado deberemos cumplimentarlo con el nombre y descripción del fichero o tratamiento. Por lo tanto daremos un nombre a los ficheros que vayamos a proceder a su notificación y los describiremos brevemente.
Siguiendo con la declaración, el siguiente punto es el de la ubicación principal, y como ya hemos visto que la fábrica tiene todos sus servicios y gestión centralizados, y por lo tanto los ficheros se encuentran ubicados en la misma dirección ya detallada en el apartado primero, dejaremos también este apartado en blanco, al igual que el apartado quinto, ya que ninguna entidad realiza ningún tratamiento de datos por cuenta de la fábrica al realizarse su gestión de manera interna.
El sistema de tratamiento de la información es el título del apartado sexto de la declaración, y lo cumplimentaremos con la descripción general del sistema además de hacer constar si se poseen conexiones remotas y si se trata de una página web lo cual en nuestro ejemplo contestaremos que de forma negativa.
El brevísimo apartado siete es uno de los que reviste mayor importancia. Deberemos declarar si las medidas de seguridad adoptadas son de nivel básico, medio o alto. En nuestra fábrica todos los datos que se poseen son identificativos y por ello declararemos un nivel de seguridad básico. Más adelante, concretamente cuando hagamos referencia a las medidas de seguridad explicaremos más detenidamente los niveles de seguridad y su importancia.
En el octavo apartado detallaremos los tipos de datos que contiene cada fichero y en el noveno la finalidad y los usos previstos.
En el apartado décimo señalaremos la procedencia de los datos, que en el caso de la fábrica será del propio interesado; el procedimiento de recogida, por ejemplo mediante formularios y el soporte utilizado para la obtención, que será papel.
El resto de apartados de la declaración los dejaremos sin cumplimentar dado que no se realizan por la fábrica cesiones de datos, al igual que tampoco transferencias internacionales. Los dos últimos apartados de la declaración no se completará debido a que están reservados para la modificación o supresión de los ficheros, y en el presente caso lo que estamos haciendo es una declaración.
Una vez cumplimentado el formulario de declaración se enviará a la Agencia de Protección de Datos la cual si en un plazo de un mes no recibimos respuesta en contrario, podremos considerar que el fichero o ficheros en su caso, están inscritos a todos los efectos.
La segunda vertiente de la protección de datos es lo que se denomina la LEGITIMACION, es decir, resumidamente, poseer el consentimiento de los titulares de los datos para estar en nuestros ficheros. El consentimiento para incluir datos personales en un fichero no será preciso en lo que a la fábrica afecta cuando se refiera a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento. Pese a poseer el consentimiento sí será preciso el cumplir cuando se soliciten datos con el llamado por el artículo 5 de la L.O.P.D. derecho de información es decir, que a las personas que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco de:
-
De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
-
Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
-
De las consecuencias de la obtención de...
Para continuar leyendo
Solicita tu prueba