La protección de datos personales - Entornos Microsoft

La Proteccin de Datos Personales:

Soluciones en Entornos Microsoft

Autores

D. Gonzalo Gallo Ruiz. Responsable del Departamento Jurdico de IPSCertification Authority, S.L. Es Licenciado en Derecho por la Universidad delPas Vasco y posee diversos Masters y Cursos Postgrado sobre DerechoInformtico.

D. Iigo Coello de Portugal Martnez del Peral. Director del ServicioJurdico de Legister Abogados, Abogado del Estado y Letrado del Consejo deEstado. Es Doctor en Derecho por la Universidad de Navarra.

D. Fernando Parrondo Garca. Consultor Senior de Microsoft ConsultingServices de Microsoft Iberica, S.R.L. Desarrolla su labor como Consultor Senioren la Divisin de Servicios. Su misin es ayudar a las empresas a establecer ladefinicin de los procesos que integran el ciclo de vida de las tecnologas de lainformacin.

D. Hctor Snchez Montenegro. Responsable de Seguridad de MicrosoftIbrica y Supervisor de ingeniera de Preventa de Enterprise and Partner Group .Anteriormente fue responsable del ISP y del rea de Servicios de seguridad deempresas como DINSA y Level Data. Es licenciado en Ciencias Fsicas por laUniversidad Autnoma de Madrid.

La Proteccin de Datos Personales:

Soluciones en Entornos Microsoft

Gonzalo Gallo Ruiz

Iigo Coello de Portugal Martnez del Peral

Fernando Parrondo Garca

Hctor Snchez Montenegro

Publicado por:

Microsoft Ibrica S.R.L.

C/ Ronda de Poniente, 10

28760 Tres Cantos (Madrid)

Copyright 2003 Microsoft Ibrica S.R.L.

Aviso Legal:

Los autores, colaboradores, organismos pblicos y empresas mencionadas en este libro, no se hacen responsables

de que lo contenido en este libro garantice el total cumplimiento de los requisitos establecidos en la legislacin

espaola sobre proteccin de datos personales. Este libro nica y exclusivamente posee un propsito informativo

en relacin a la legislacin espaola sobre proteccin de datos de carcter personal.

La informacin sobre los productos de Microsoft representa la visin que los autores, colaboradores y empresas

mencionadas en este libro tienen sobre los mismos, por lo que no otorgan ninguna garanta, ni expresa ni

implcita, en referencia a la informacin incluida en este libro sobre los mencionados productos.

Es responsabilidad del usuario el cumplimiento de toda la legislacin sobre derechos de autor y proteccin de

datos de carcter personal que sean aplicables.

Sin limitar los derechos que se deriven sobre propiedad intelectual, ninguna parte de este documento puede ser

reproducida, almacenada, ni introducida en ningn sistema de recuperacin, ni transmitida de ninguna forma, ni

por ningn medio, ya sea electrnico, mecnico por fotocopia, grabacin o de otro tipo, con ningn propsito, sin la

autorizacin por escrito de los titulares de los derechos de propiedad intelectual de este libro. Quedan reservados

todos los derechos.

Los nombres de las compaas y productos reales aqu mencionados pueden ser marcas comerciales de sus

respectivos propietarios.

EJEMPLAR GRATUITO. PROHIBIDA SU VENTA.

Depsito legal: M-8025-2003

Coordinador editorial: Juan Costa. Microsoft Press.

Diseo y maquetacin: Susana Albal. Newcomlab, S.L.L.

Revisin tcnica: Newcomlab, S.L.L.

Imprime: Grficas Marcar, S.A.

Impreso en Espaa - Printed in Spain

Realizado en papel reciclado.

ndice de contenidos

VII

ndice de contenidos

Agradecimientos ............................................................................................. XIPrlogo.......................................................................................................... XIII

1. Introduccin ........................................................................................................... 1

1.1 Ficheros y bases de datos............................................................................. 11.2 La intimidad, un Derecho ............................................................................... 21.3 El concepto de intimidad ............................................................................. 3

2. Datos de Carcter Personal ................................................................................ 7

2.1 Los datos de carcter personal y sus tipos .................................................. 82.2 Diversos tipos de datos personales ................................................................ 8

3. La Ley Orgnica de Proteccin de Datos de Carcter Personal ........................ 11

3.1 Cundo se aplica la LOPD? ........................................................................113.2 Son iguales todos los datos de carcter personal? .....................................113.3 Se aplica la LOPD a todos los ficheros? ..................................................... 123.4 Qu tipo de soportes? Tambin a los ficheros en papel? ..........................133.5 Desde qu da es obligatoria? ..................................................................... 13

4. La Legtima Toma de Posesin de los Datos ...................................................... 15

4.1 La recogida de los datos................................................................................ 154.1.1 La informacin a los interesados durante la recogida de datos ......... 164.1.2 El consentimiento del afectado ............................................................ 174.1.3 Recogidas prohibidas ............................................................................17

4.2 La creacin de ficheros .................................................................................19

5. Durante la Posesin de los Datos ........................................................................21

5.1 Obligaciones del responsable .......................................................................215.1.1 Obligacin de seguridad .......................................................................215.1.2 Deber de secreto y de utilizacin legtima ........................................... 225.1.3 Permitir el derecho de acceso de los interesados a sus datos

y a su rectificacin ..................................................................................... 225.1.4 Deber de conservacin y puesta al da de los datos ............................ 245.1.5 Cmo conservar y tratar los datos ....................................................... 25

5.2 Derechos del responsable: utilizacin de y comercio con los datos decarcter personal ............................................................................................475.2.1 Cesin de datos ..................................................................................... 475.2.2 Acceso de terceros a los datos............................................................... 48

La proteccin de datos personales: Soluciones en entornos Microsoft

VIII

5.2.3 Utilizacin de datos incluidos en fuentes de acceso pblico ............... 495.2.4 En especial, los servicios de informacin sobre solvencia

patrimonial y crdito ................................................................................. 505.2.5 Tratamientos con fines de publicidad y de prospeccin comercial ..... 515.2.6 El Censo promocional ........................................................................... 515.2.7 Cdigos tipo........................................................................................... 515.2.8 Movimiento internacional de datos ..................................................... 525.2.9 Procedimiento de autorizacin ............................................................. 53

6. Infracciones y Sanciones...................................................................................... 55

6.1 Introduccin .................................................................................................. 556.1.1 Estructura orgnica .............................................................................. 566.1.2 Funciones .............................................................................................. 576.1.3 Procedimientos...................................................................................... 596.1.4 Actuaciones ms relevantes ................................................................. 63

6.2 Infracciones ................................................................................................... 676.2.1 Leves......................................................................................................676.2.2 Graves ................................................................................................... 676.2.3 Muy graves ............................................................................................68

6.3 Sanciones....................................................................................................... 696.3.1 Sanciones para las entidades privadas ................................................ 696.3.2 Sanciones para las entidades pblicas ................................................ 70

7. Conclusin ............................................................................................................ 71

8. La Seguridad en Sistemas Microsoft .................................................................. 73

8.1 TrustWorthy Computing. La estrategia de Microsoft ................................. 748.2 Construyendo la plataforma segura ............................................................ 74

8.2.1 Seguridad en el diseo.......................................................................... 748.2.2 Seguridad por defecto ........................................................................... 838.2.3 Seguridad en el despliegue ...................................................................83

9. La Aplicacin del Reglamento de Seguridad en los Sistemas Microsoft........... 87

9.1 Tecnologa de seguridad en Microsoft Windows..........................................889.2 Tecnologa aplicable a las medidas de nivel bsico .....................................89

9.2.1 Ficheros temporales en Microsoft Windows 2000 y MicrosoftWindows XP ............................................................................................... 91

9.2.2 Artculo 9.2 (Conocimiento de los procedimientos) ............................. 949.2.3 Artculo 10. Registro de incidencias. (Auditora) ................................969.2.4 Artculo 11.1 (Autentificacin) ........................................................... 112

ndice de contenidos

IX

9.2.5 Artculo 11.2 (Autentificacin) ........................................................... 1239.2.6 Artculo 11.3 (Autentificacin) ........................................................... 1259.2.7 Artculo 12.2 (Autorizacin) ............................................................... 1289.2.8 Artculo 12.3 (Autorizacin) ............................................................... 1449.2.9 Artculo 12.4 (Autorizacin) ............................................................... 1459.2.10 Artculo 13.1. Gestin de soportes ................................................... 1459.2.11 Artculo 14.2. Copias de respaldo..................................................... 1469.2.12 Artculo 14.3. Copias de respaldo..................................................... 153

9.3 Tecnologa aplicable a medidas de nivel medio......................................... 1549.3.1 Artculo 18.1. Identificacin y autenticacin ..................................... 1549.3.2 Artculo 18.2 (Autentificacin) ........................................................... 1579.3.3 Artculo 20.4. Gestin de soportes (Encrypted File System) ............ 1579.3.4 Artculo 21.1 Registro de incidencias. (Auditora de copias de

seguridad) ................................................................................................ 1609.4 Tecnologa aplicable a medidas de nivel alto ............................................ 160

9.4.1 Artculo 23. Distribucin de soportes ................................................. 1609.4.2 Artculo 24.1 Registro de accesos ....................................................... 1639.4.3 Artculo 24.2. Registro de accesos ...................................................... 1679.4.4 Artculo 24.3. Responsable de los registros ....................................... 1679.4.5 Artculo 25. Copias de respaldo y recuperacin ................................ 1679.4.6 Artculo 26. Telecomunicaciones ........................................................ 169

10. Poltica de Seguridad........................................................................................ 173

ANEXO I: Plan de Adaptacin al Reglamento de Medidas de Seguridadde los Ficheros Automatizados que Contengan Datos de CarcterPersonal de IPS Certification Authority S.L. (ipsCA)...................................... 183

Introduccin al PAR ..................................................................................... 183Fase I: Anlisis de seguridad ....................................................................... 183Fase II: Elaboracin de la normativa de seguridad .................................... 185Fase III: Implementacin de la normativa de seguridad............................ 186Fase IV: Formacin a los responsables de seguridad y de los ficheros ...... 186Fase V: Auditora de seguridad.................................................................... 186

ANEXO II: Ley Orgnica de Proteccin de Datos ................................................. 189

ANEXO III: Reglamento de Medidas de Seguridad de los FicherosAutomatizados que Contengan Datos de Carcter Personal........................... 205

ANEXO IV: Recursos, fuentes y documentacin sobre Seguridad ....................... 209

Agradecimientos

Los autores desean agradecer a las siguientes personas, quienes sin suinestimable colaboracin, hubiera resultado imposible la edicin de este libro:

! Rodolfo Lomascolo Szittyay, Director General de IPS CertificationAuthority, S.L. (ipsCA)

! Olvido Nicols, TechNet Program Manager Enterprise Marketing deMicrosoft Ibrica S.R.L.

! Jess Pintado, Enterprise Marketing Program Manager de MicrosoftIbrica S.R.L.

! Juan Costa, Business Development Manager Microsoft Press para Espaa,Portugal y Latinoamrica de Microsoft Ibrica S.R.L.

! Mnica Pujad Coll, Directora Financiera de IPS Certification Authority,S.L. (ipsCA).

! Eduardo Azanza, Technology Specialist Enterprise Solutions Group deMicrosoft Ibrica S.R.L.

! Francisco Serrano, Technology Specialist Enterprise Solutions Group deMicrosoft Ibrica S.R.L.

! Susana Juan, Technology Specialist Enterprise Solutions Group deMicrosoft Ibrica S.R.L.

! Miguel Vega Martn, Director Comercial de IPS Certification Authority,S.L. (ipsCA)

! Eva Mara Corral, Technology Specialist Enterprise Solutions Group deMicrosoft Ibrica S.R.L.

! Juan Carlos Pascual Chichn, Director Tcnico de IPS CertificationAuthority, S.L. (ipsCA)

! Alberto Pecci Surez, Director Tcnico de Internet Publishing Services,S.L. (IPS).

! Mar Bastida, Product Manager de Microsoft Windows XP de MicrosoftIbrica S.R.L.

! Germn Daz, Servers Product Manager de Microsoft Ibrica S.R.L.

Prlogo

La automatizacin de los procesos de tratamiento de datos nos haproporcionado evidentes ventajas que han mejorado y aumentado tanto laproductividad personal como la de las empresas. La tecnologa est paraaumentar nuestra capacidad de desarrollo tanto personal como profesional,permitindonos alcanzar metas impensables tan solo hace unos aos. Losbeneficios que nos reporta su uso exceden con mucho los problemas, como losderivados de la impersonalizacin en el tratamiento de los datos que manejamos.Por eso debemos poner lmite al grado de intrusin en nuestra privacidad que eltratamiento automatizado de datos puede generar.

Desde una doble perspectiva, reconocemos que es nuestro derecho comociudadanos la proteccin adecuada de nuestra privacidad y nuestro deber comosuministradores de tecnologa, facilitar el acceso a las tecnologas que ayuden enla consecucin de este derecho.

Quin no se ha preguntado alguna vez si aquellos que tratan sus datospersonales no tendrn demasiada informacin sobre su vida privada ycotidiana? Es obvio que debe existir un control sobre nuestros datos personalespara que podamos sentirnos protegidos.

La Ley sobre Proteccin de Datos de Carcter Personal (LOPD) establece unlmite sobre la tenencia y utilizacin de este tipo de datos as como sobreel trfico de los mismos. De esta manera, la Agencia de Proteccin de Datos seencarga de facilitar al ciudadano el derecho a conocer quin est utilizando susdatos personales y para qu, y negar el permiso sobre el uso de sus datos a quienconsidere oportuno.

El planteamiento de este libro es bastante sencillo. No existen pretensionestcnicas ni legales ambiciosas. Para eso ya estn los manuales especializados alrespecto. El objetivo es doble: concordar la tecnologa de seguridad implcita a laplataforma Microsoft con determinados requerimientos tecnolgicos derivados delcumplimiento de la ley y, en segundo lugar (pero no menos importante), acercaral lector el conocimiento necesario sobre una ley que, como ciudadano protegenuestros derechos de privacidad, y que como responsable del proceso de datosajenos necesito conocer para proteger eficazmente los derechos de los dems.

Fdo. Rosa Garca

Consejera Delegada de Microsoft Ibrica S.R.L.

11

Introduccin

Como en casi todos los mbitos de la vida la cuestin del tratamiento de losdatos personales por terceros se encuentra en una situacin de tensin. Estatensin deriva de que los ficheros que reflejan circunstancias y perfiles depersonas concretas han llegado a ser de tal maleabilidad y magnitud queostentan un indudable valor econmico. Una base de datos de personas puede serfiltrada en trminos tales que recoja slo la lista de las personas que dan elperfil correcto para un negocio. Tener esos datos es por tanto valioso paracualquier actividad de mrketing, y por tanto objeto de comercio.

Pero por otro lado estamos hablando de datos de personas, que no son cosas,y que tienen una natural dignidad(1). Y por tanto tienen derecho a ser tratadascomo tales: a que se respete su condicin, a saber qu se est haciendo con sunombre, a saber qu se est haciendo con sus datos personales en una palabra,a la intimidad. Vamos a desarrollar estas ideas.

1.1 Ficheros y bases de datos

Los ficheros que afectan a la vida de las personas, y que trataninformacin de carcter personal, han existido desde siempre, slo que en papel.El cambio que opera la informtica es que multiplica para cualquier organizacino persona la posibilidad de realizar un tratamiento automtico y racional de lainformacin. sta se encuentra recogida en archivos informticos llamadosbases de datos, que sustituyen a los antiguos ficheros de papel. Estos archivos

1 Hay ficheros informticos de datos que son cosas (qumicos, programas, etc.) que tambin son valiosos, yestn protegidos. Pero por otras reglas no menos estrictas pero distintas.


2

informticos, las bases de datos, son tambin ficheros. Lo nico que cambia es elformato: son ficheros (archivos) informticos.

La mayor potencia de los ordenadores sobre el papel a la hora de tratar lainformacin que suministran las bases de datos, y la generalizacin de su uso porcualquiera que tenga un PC, ha obligado a los gobiernos a publicar normasjurdicas que regulen el tratamiento de la informacin. Ya en 1951 se cre enEstados Unidos la Oficina Intergubernamental para la informtica (I.B.I). Esteorganismo ya pona de manifiesto la influencia que tiene la Informtica en lasociedad y que los pases deberan de disponer de mecanismos para facilitar eluso de la misma y contribuir al bienestar de la humanidad en su contextocultural, econmico y social.

Estas normas jurdicas nuevas son de extraordinaria importancia, porqueafectan a los derechos fundamentales de la persona. Son los mismos derechosfundamentales que la persona tena antes de que la informtica se introdujera enla vida cotidiana, pero ahora ms protegidos, en la medida en que las nuevastecnologas permiten un abuso mayor y ms extendido.

1.2 La intimidad, un Derecho

La intimidad es un valor que se reconoce unnimemente en todo el mundocivilizado desde el Siglo XX. La intimidad ya fue recogida como uno de losderechos humanos en el artculo 12 de la Declaracin Universal de DerechosHumanos (1944) al sealar que: Nadie ser objeto de injerencias arbitrarias ensu vida privada, su familia, su domicilio o su correspondencia, ni de ataques a suhonra o a su reputacin. Toda persona tiene derecho a la proteccin de la leycontra tales injerencias o ataques.

Centrndonos en Espaa, este derecho viene reconocido en el artculo 18 dela Constitucin (1978) que seala lo siguiente:

1. Se garantiza el derecho al honor, a la intimidad personal y familiar y a lapropia imagen.

2. El domicilio es inviolable. Ninguna entrada o registro podr hacerse en lsin consentimiento del titular o resolucin judicial, salvo en caso deflagrante delito.

3. Se garantiza el secreto de las comunicaciones y, en especial, de laspostales, telegrficas y telefnicas, salvo resolucin judicial.

4. La Ley limitar el uso de la informtica para garantizar el honor y laintimidad personal y familiar de los ciudadanos y el pleno ejercicio de susderechos.

Introduccin

2

Vemos, por lo tanto, que la intimidad es uno de los derechos fundamentalesque se recoge en el ordenamiento jurdico espaol, adems de ser uno de losderechos humanos reconocidos internacionalmente.

1.3 El concepto de intimidad

La pregunta en este punto es qu se entiende por intimidad. Aunque cabenmuchas interpretaciones, podemos definir el derecho a la intimidad, hablando engeneral, como el derecho que poseen las personas de poder excluir a las demspersonas del conocimiento de su vida personal, es decir, de sus sentimientos, desus emociones, de sus datos biogrficos y personales y de su imagen. En trminostcnico-jurdicos, puede hacerse una distincin bastante clara entre el derecho alhonor, el derecho a la intimidad personal y el derecho a la propia imagen. Pero setrata de sutilezas que en este momento no interesa detallar.

El derecho a la intimidad abarca muchas circunstancias de la vida personal.ltimamente, con el desarrollo de la informtica, la intimidad ha expandido elmbito a que ella misma se refiere y se ha ido observando que las nuevasherramientas informticas pueden suponer una intromisin en la vida privada delas personas. Por ello, el concepto de intimidad ha ido aproximando al deprivacidad. Es ms que nada una cuestin de palabras. Lo que se denominacorrectamente en castellano intimidad muchas veces la gente, empleando unanglicismo, lo llama privacidad. El anglicismo trae causa de que los britnicosdenominan private a lo que no es public, esto es, a aquellos mbitos de la vidaen los que los dems no tienen derecho a inmiscuirse, a lo ntimo.(2 ) As se han idomezclando los conceptos de intimidad y privacidad, de tal suerte que porprivacidad se entiende no slo a la facultad que una persona tiene para poderexcluir a cualquier persona o ente del conocimiento de su vida personal sino que,adems, se incluye la posibilidad de controlar que aspectos de esta vida personal,puedan ser conocidos por otras personas. La intimidad ha ido ampliando ymezclando su concepto, incluye la definicin de privacidad y ofrece una doblefaceta:

! Por un lado, ser el derecho que poseen las personas de poder excluir a lasdems personas del conocimiento de su vida personal, es decir, sussentimientos, sus emociones, sus datos biogrficos y personales y su imagen.

2 Muchas veces puede verse escrito en las puertas: privado. ste es el uso anglosajn de la palabra,importado al castellano. Privado es el lugar o el mbito de la vida al que la gente no tiene derecho aacceder, porque uno mismo lo impide. El mbito de la privacidad en la que uno exige intimidad es, portanto, personal y variable, pues unos exigen ms intimidad que otros, pero dentro de ciertos lmitesobjetivos, que son los que configuran el derecho a la intimidad.


4

! Por otro lado, adems, ser la facultad de determinar en qu medida esasdimensiones de la vida personal pueden ser legtimamente comunicadas oconocidas por otras personas.

Lo novedoso de esta nueva concepcin de lo que es la intimidad viene dadopor el hecho de que una persona tiene el derecho al control sobre cundo y quinpuede percibir diferentes aspectos de su vida personal, aspecto que, lgicamente,se concretan en la informacin o en sus datos personales.

Ya sabemos que la intimidad supone la no injerencia de terceros en la vidaprivada de una persona y el control que esa persona tiene para que determinadosaspectos de su vida privada puedan ser conocidos por terceros. Ahora slo hacefalta saber como se hace efectivo este derecho.

La primera ley sobre proteccin de datos se redacta por el Land Alemn deHesse el 7 de Octubre de 1.970. En cambio, el primer pas que posee unalegislacin especfica sobre proteccin de datos ser Suecia, en 1973. En EstadosUnidos se dict la Privacy Act (Ley de Privacidad) en 1974.

En un rango normativo superior, la Constitucin portuguesa de 1976 fue laprimera Constitucin en el mundo que limit el uso de la informtica parasalvaguardar la intimidad: en su artculo 35 establece no solamente el derecho deacceso de los ciudadanos a los registros mecanogrficos y la peticin de surectificacin y actualizacin, sino que excluye la posibilidad de usar lainformtica para tratamiento de datos referentes a las convicciones polticas, fereligiosa o vida privada excepto cuando se tratare un de proceso de datos noidentificables para fines estadsticos.

Muy poco ms tarde, en 1978, la Constitucin espaola tambin limit eluso de la informtica para preservar la intimidad de sus ciudadanos en el artculo18.4 (el referido a intimidad y que ya recogimos antes): La Ley limitar el uso dela informtica para garantizar el honor y la intimidad personal y familiar de losciudadanos y el pleno ejercicio de sus derechos.

La ley a la que se refiere este apartado de nuestra Constitucin se previen la misma pero no se dict hasta que no hizo falta. Lo que ocurri cuando lainformtica, por la fuerza de la tecnologa y el abaratamiento de los sistemas deproceso de la informacin (hardware y software) result tan potente que se hizoun peligro(3 ). Esto sucedi en 1992, ao en que se dict la Ley Orgnica 5/1992,de 29 de octubre, de Regulacin del Tratamiento Automatizado de los Datos de

3 Hay incluso pelculas, que hoy podemos considerar antiguas, antes consideradas de ciencia ficcin yhoy autnticos clsicos del cine de profeca, que reflejan esta realidad. As 2001, una odisea en elespacio, de Stanley Kubrick, y La Red, sobre internet.

Introduccin

4

Carcter Personal (LORTAD) que en su da fue muy contestada y recurridaante el Tribunal Constitucional. Esta Ley ha sido sustituida por la LeyOrgnica 15/1999, de 13 de diciembre, de Proteccin de Datos de CarcterPersonal (LOPD) (4 ), dictada con el objeto garantizar y proteger, en lo queconcierne al tratamiento de los datos personales, las libertades pblicas y losderechos fundamentales de las personas fsicas y, especialmente, de su honor eintimidad personal y familiar(5 ).

Tambin en el seno de la Unin Europea existen varias normas relativas ala proteccin de datos personales, entre las que podemos citar la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a laproteccin de las personas fsicas en lo que respecta al tratamiento de datospersonales y a la libre circulacin de estos datos (Directiva de Proteccin deDatos), y la Directiva 97/66/CE del Parlamento Europeo y del Consejo, de 15 dediciembre de 1997, relativa al tratamiento de los datos personales y a la proteccinde la intimidad en el sector de las telecomunicaciones. Recientemente se haaprobado la Directiva 2002/58/CE del Parlamento Europeo y del Consejo, de 12de julio de 2002, relativa al tratamiento de los datos personales y a la proteccinde la intimidad en el sector de las comunicaciones electrnicas (Directiva sobre laprivacidad y las comunicaciones electrnicas, (DOCE 201/2002 de 31-07-2002).

4 El Tribunal Constitucional se pronunci slo parcialmente sobre la Ley Orgnica 15/1999, de 13 dediciembre, de Proteccin de Datos de Carcter Personal porque para cuando dict sentencia estaba ya envigor la Ley Orgnica 15/1999, de 13 de diciembre, de Proteccin de Datos de Carcter Personal. Fue en lasentencia 290/2000, de 30 de noviembre.

5 Artculo 1 de la Ley.

72

Datos de CarcterPersonal

Hasta ahora hemos hablado de informacin en un concepto muy amplio ygenrico. Pero debemos concretar qu se entiende por informacin. Podemosconvenir que informacin es todo dato o conjunto de datos que transmiten unconocimiento en un proceso de comunicacin entre un emisor y un receptor.

La nocin sobre la que se basa el concepto de informacin es el dato (oconjunto de datos), y ello es lgico ya que la informacin, de una u otra manera,est en el dato (o conjunto de datos) que hace perceptible el concepto.

Por ello definiremos dato como aquel hecho o valor a partir del cual sepuede inferir una conclusin o, como se define por la Real Academia de la LenguaEspaola, ser el antecedente necesario para llegar al conocimiento exacto de unacosa o para deducir las consecuencias legtimas de un hecho.

Los datos informticos constituyen uno de los valores ms importantes delas empresas hoy en da debido a la generalizacin en el uso de los instrumentosinformticos. Las empresas deben inventariar estos activos y dotarlos de ciertasmedidas de proteccin y seguridad, no slo para el cumplimiento legal de ciertosrequisitos sino tambin para asegurar accesos deliberados no consentidos deterceros. Siguiendo a D. Emilio del Peso Navarro, podemos clasificar los datosinformticos de la siguiente manera:

! Datos confidenciales: Son aquellos datos de difusin no autorizada. Su usopuede suponer un importante dao a la organizacin.

! Datos restringidos: Son aquellos datos de difusin no autorizada. Suutilizacin ira contra los intereses de la organizacin y/o sus clientes.


8

! Datos de uso interno: Son aquellos datos que no necesitan ningn grado deproteccin para su difusin dentro de la organizacin.

! Datos no clasificados: Son aquellos datos que no necesitan ningn grado deproteccin para su difusin.

! Datos de carcter personal: Son aquellos datos relacionados con laintimidad de las personas y son un tipo de datos especficos que legalmentedeben ser protegidos.

2.1 Los datos de carcter personal y sus tipos

No entraremos a analizar los primeros cuatro tipos de datos expuestos alfinal del apartado anterior. Por el contrario, nos vamos a detener en lo que seentiende por dato de carcter personal o dato personal.

En lneas generales se entender por dato personal aquel dato inherente deuna persona determinada, es decir, cualquier tipo de dato que permita conocer lascaractersticas personales, en el sentido ms amplio, de alguien.

Aparte de las opiniones particulares, la definicin importante, no obstante,es la definicin legal.

El artculo 2.a de la Directiva 95/46 CE del Parlamento Europeo y delConsejo, de 24 de Octubre de 1995, relativa a la proteccin de las personas fsicasen lo que respecta al tratamiento de datos personales y a la libre circulacin deesos datos (en adelante Directiva de 1995), define el dato personal como:

toda informacin sobre una persona identificada o identificable (...) seconsiderar identificable toda persona, directa o indirectamente, enparticular mediante un nmero de identificacin o uno o varioselementos especficos, caractersticos de su identidad fsica, fisiolgica,psquica, econmica, cultural o social.

Este mismo concepto es el recogido por la legislacin espaola sobre proteccinde datos y, as, en el artculo 3.a de la LOPD se define al dato personal como:

cualquier informacin concerniente a personas fsicas identificadas oidentificables.

2.2 Diversos tipos de datos personales

Conocido lo que es un dato personal nos parece conveniente sealar en estepunto que, legalmente, hay varios tipos de datos personales y la clasificacin sepuede llevar a cabo segn dos criterios:

Datos de carcter personal

9

! Segn su importancia.

! Segn su seguridad.

El primer criterio (segn su importancia) clasifica a los datos personales enfuncin de la relacin que tienen esos datos personales con el derecho a laintimidad. Hay datos personales especialmente protegidos.

La relacin de cules son esos datos especialmente protegidos est en losartculos 7 y 8 de la LOPD. Son precisamente a los que nos referamos hace uninstante, es decir, son los datos que tienen mayor relacin con los aspectos msimportantes del derecho a la intimidad. As, datos personales son todos los datospersonales que no estn especialmente protegidos. Y datos personalesespecialmente protegidos son los referidos a la ideologa, religin, creencias,afiliacin sindical, salud, vida sexual, origen racial o tnico y comisin deinfracciones penales o administrativas (6).

6 El artculo 7 de la Ley Orgnica 15/1999, de 13 de diciembre, de Proteccin de Datos de CarcterPersonal, dice as:

1. De acuerdo con lo establecido en el apartado 2 del art. 16 de la Constitucin, nadie podr ser obligadoa declarar sobre su ideologa, religin o creencias .

Cuando en relacin con estos datos se proceda a recabar el consentimiento a que se refiere el apartadosiguiente, se advertir al interesado acerca de su derecho a no prestarlo.

2. Slo con el consentimiento expreso y por escrito del afectado podrn ser objeto de tratamiento losdatos de carcter personal que revelen la ideologa, afiliacin sindical, religin y creencias. Seexceptan los ficheros mantenidos por los partidos polticos, sindicatos, iglesias, confesiones ocomunidades religiosas y asociaciones, fundaciones y otras entidades sin nimo de lucro, cuya finalidadsea poltica, filosfica, religiosa o sindical, en cuanto a los datos relativos a sus asociados o miembros, sinperjuicio de que la cesin de dichos datos precisar siempre el previo consentimiento del afectado.

3. Los datos de carcter personal que hagan referencia al origen racial, a la salud y a la vida sexualslo podrn ser recabados, tratados y cedidos cuando, por razones de inters general, as lo dispongauna ley o el afectado consienta expresamente.

4. Quedan prohibidos los ficheros creados con la finalidad exclusiva de almacenar datos de carcter personalque revelen la ideologa, afiliacin sindical, religin, creencias, origen racial o tnico, o vida sexual.

5. Los datos de carcter personal relativos a la comisin de infracciones penales o administrativasslo podrn ser incluidos en ficheros de las Administraciones pblicas competentes en los supuestosprevistos en las respectivas normas reguladoras.

6. No obstante lo dispuesto en los apartados anteriores, podrn ser objeto de tratamiento los datos decarcter personal a que se refieren los apartados 2 y 3 de este artculo, cuando dicho tratamiento resultenecesario para la prevencin o para el diagnstico mdicos, la prestacin de asistencia sanitaria otratamientos mdicos o la gestin de servicios sanitarios, siempre que dicho tratamiento de datos serealice por un profesional sanitario sujeto al secreto profesional o por otra persona sujeta asimismo a unaobligacin equivalente de secreto.

Tambin podrn ser objeto de tratamiento los datos a que se refiere el prrafo anterior cuando eltratamiento sea necesario para salvaguardar el inters vital del afectado o de otra persona, en el supuestode que el afectado est fsica o jurdicamente incapacitado para dar su consentimiento.


10

El segundo criterio de clasificacin de los datos personales (segn suseguridad), est basado en las medidas de seguridad que se deben cumplir cuandose posean datos personales.

Estas medidas de seguridad se encuentran previstas en el artculo 9 de laLOPD y se desarrollan en el Real Decreto 994/1999, de 11 de junio, por el que seaprueba el Reglamento de medidas de seguridad de los ficheros automatizadosque contengan datos de carcter personal (en adelante, Reglamento de Seguridad),del que posteriormente realizaremos una exposicin ms detenida, porque tieneuna gran importancia prctica.

! Datos de nivel bsico: Son aquellos datos personales que no se clasifiquencomo de nivel medio atenuado, de nivel medio o de nivel alto.

! Datos de nivel medio atenuado: Aquellos datos personales que permitanobtener una evaluacin de la personalidad del individuo.

! Datos de nivel medio: Aquellos datos personales relativos a la comisin deinfracciones administrativas o penales, Hacienda Pblica, serviciosfinancieros y prestacin de servicios de informacin sobre solvenciapatrimonial y crdito.

! Datos de nivel alto: Aquellos datos personales relativos a la ideologa,religin, creencias, origen racial, salud, vida sexual y datos recabados parafines policiales sin consentimiento del interesado.

Es importante saber que los datos personales estn altamente protegidos porla Ley. La utilizacin, no ya abusiva o fraudulenta, sino incluso negligente, dedichos datos es sancionable administrativamente con importantes multas y otrotipo de sanciones y est castigada como delito.

Para la proteccin del derecho a la intimidad en relacin a los datos personales,en Espaa, como en los dems estados del mundo occidental civilizado, esobligatorio el cumplimiento de una serie de requisitos legales que las entidades(pblicas o privadas) que gestionan estos datos personales deben cumplir (sobretodo, medidas de seguridad para proteger dichos datos), y existen rganosadministrativos especializados dedicados exclusivamente a velar por elcumplimiento de las normas protectoras al Derecho a la Intimidad en materia dedatos personales. En Espaa este rgano es la Agencia de Proteccin de Datos, ala que haremos referencia ms adelante.

El Artculo 8 (Datos relativos a la salud) dice lo siguiente: Sin perjuicio de lo que se dispone en el art. 11respecto de la cesin, las instituciones y los centros sanitarios pblicos y privados y los profesionalescorrespondientes podrn proceder al tratamiento de los datos de carcter personal relativos a la saludde las personas que a ellos acudan o hayan de ser tratados en los mismos, de acuerdo con lo dispuestoen la legislacin estatal o autonmica sobre sanidad.

11

3La Ley Orgnicade Proteccin de Datosde Carcter Personal

3.1 Cundo se aplica la LOPD?

La Ley Orgnica 15/1999, de 13 de diciembre, de Proteccin de Datos deCarcter Personal, se aplica a los datos de carcter personal registrados ensoporte fsico, que los haga susceptibles de tratamiento, y a toda modalidad deuso posterior de estos datos por los sectores pblico y privado. Como ya hemosdicho, la Ley considera dato de carcter personal a cualquier informacinconcerniente a personas fsicas identificadas o identificables. Y protege estosdatos en orden a su tratamiento, que no es otra cosa que las operaciones yprocedimientos tcnicos de carcter automatizado o no que permitan la recogida,grabacin, conservacin, elaboracin, modificacin, bloqueo y cancelacin, ascomo las cesiones de datos que resulten de comunicaciones, consultas,interconexiones y transferencias.

3.2 Son iguales todos los datos de carcterpersonal?

No, como ya mencionamos en el apartado anterior, tambin en esto haycategoras. De entre todo el elenco de datos personales sobresalen un tipo dedatos que la LOPD califica de especialmente protegidos. Bajo nuestro punto devista, son los ms cercanos al derecho fundamental a la intimidad, en el sentidode que son los que ms se aproximan al concepto de zona reservada de losindividuos (puede no ser relativamente importante en relacin a la intimidad queuna entidad conozca el nombre de una persona, pero s que es importante el queconozca que esa persona tiene una enfermedad crnica). Estos datos, como yasealramos anteriormente son los que se refieren a la ideologa, religin,


12

creencias, afiliacin sindical, salud, vida sexual, origen racial o tnico y comisinde infracciones penales o administrativas. El legislador trata a este tipo de datosde forma diferenciada ya que entiende que, en principio, todos los datospersonales no deberan ser conocidos por nadie si el interesado no lo desea, peroestos datos an en menor medida deben ser conocidos (a no ser que existaconsentimiento del interesado o exista una necesidad de conocerlos parapreservar otro derecho de nivel superior al de la intimidad, como pudiera ser elderecho a la vida en una situacin mdica urgente). Estos datos especialmenteprotegidos tienen un rgimen jurdico especial que explicaremos en cadaapartado de este libro, sealando las especialidades que les afectan.

3.3 Se aplica la LOPD a todos los ficheros?

La LOPD considera Fichero todo conjunto organizado de datos de carcterpersonal, cualquiera que fuere la forma o modalidad de su creacin, almacenamiento,organizacin y acceso. Respecto de stos, cualquier tratamiento de datos estlimitado.

Pero no son fichero a estos efectos los ficheros que posean personas fsicasen el ejercicio de actividades exclusivamente personales o domsticas (porejemplo, los de una agenda electrnica o PDA), ni los sometidos a la normativasobre proteccin de materias clasificadas (por ejemplo, los secretos del CESID).Tampoco entran dentro del mbito de la LOPD los ficheros establecidos para lainvestigacin del terrorismo y de formas graves de delincuencia organizada,aunque el Ministerio del Interior debe comunicar su existencia y su finalidad a laAgencia de Proteccin de Datos.

Tampoco entran dentro del mbito de la LOPD, aunque se encuentranprotegidos por otro tipo de legislacin, muchos ficheros de las AdministracionesPblicas: los ficheros regulados por la legislacin de rgimen electoral (sobretodo, el censo), los que se utilicen para fines estadsticos y estn amparadospor la legislacin sobre la funcin estadstica pblica, los que almacenen datosen informes personales de calificacin que se encuentran amparados por lalegislacin del Rgimen del personal de las Fuerzas Armadas, los del RegistroCivil, el Registro Central de penados y rebeldes, los que contengan imgenes ysonidos obtenidos de videocmaras de las Fuerzas y Cuerpos de Seguridad delEstado y se encuentren amparados por su legislacin especfica, etc.

Para los efectos de este libro, estos ficheros dan igual porque este libro serefiere al pblico en general, no a las Administraciones Pblicas y, por tanto, notratamos el rgimen jurdico de los ficheros de titularidad pblica.

La Ley Orgnica de Proteccin de datos de Carcter Personal

12

3.4 Qu tipo de soportes? Tambin a los ficherosen papel?

En teora, la LOPD se aplica tanto a los datos personales registrados ensoporte fsico que los haga susceptible de tratamiento como a toda modalidad deuso posterior de los datos personales llevados a cabo por los sectores pblico yprivado. Una de las grandes diferencias con la anterior legislacin (LORTAD) eraque nicamente era de aplicacin al tratamiento automatizado (informtico) dedatos personales. La LOPD es de aplicacin a todo tipo de tratamiento (no sloinformtico), aunque en la prctica no es del todo as, como podr verse en elapartado siguiente.

3.5 Desde qu da es obligatoria?

Sin embargo, la obligatoriedad de declarar los ficheros en papel esinexistente en la prctica, porque los ficheros no automatizados deben adaptarsea la LOPD para el 24 de octubre del 2007(7) .

Para los efectos de lo que ahora importa, procede sealar que los ficherosautomatizados (en soporte informtico) creados con anterioridad al 14 de enerodel 2000 (que es la fecha de entrada en vigor de la LOPD), deben adecuarse a laLOPD antes del 14 de enero del 2003.

7 Segn la Disposicin Final Primera de la LOPD

15

4

La Legtima Toma dePosesin de los Datos

4.1 La recogida de los datos

No se pueden recoger datos personales porque s. Slo se pueden recogerdatos personales mediando determinadas circunstancias . La primera de todas,que es una declaracin de principios establecida por la Ley, es que slo se puedenrecoger para su tratamiento datos de calidad: datos que sean adecuados,pertinentes y no excesivos en relacin con el mbito y las finalidades determinadas,explcitas y legtimas para las que se hayan obtenido(8) . Es ste un criterio muygeneral pero que sirve para conocer los criterios en que la Ley se basa. Los datosno se pueden obtener indiscriminadamente por el puro placer de obtenerlos, pormero comercio. Pueden recabarse, s, pero en un contexto adecuado, mediandobuena fe por parte de quien los obtiene.

Pinsese el caso, por ejemplo, de recoger los datos de Nombre, Apellido,Domicilio, Nmero de Identificacin Fiscal, Cuenta Bancaria y EstadoCivil de una persona cuando esa persona decide comprar un electrodomstico. Lafinalidad de recoger estos datos personales en este supuesto parece claro, esdecir, pueden ser tiles para la entrega del electrodomstico comprado en eldomicilio de la persona, tambin pueden ser adecuados para la realizacin de lafactura o como datos contables para el vendedor. No obstante, existe un dato(Estado Civil) que no tiene relacin alguna con las finalidades expuestas, por loque consideramos que este datos es inadecuado, no pertinente y excesivo enrelacin con la finalidad de la recogida.

8 Artculo 4 de la LOPD.


16

4.1.1 La informacin a los interesados durante la recogida dedatos

Se considera afectado o interesado a la persona fsica titular de los datospersonales que sean objeto del tratamiento.

Los interesados a los que se soliciten datos personales deben serpreviamente informados de modo expreso, preciso e inequvoco, de la existenciade un fichero o tratamiento de datos de carcter personal, de la finalidad de larecogida de stos y de los destinatarios de la informacin.

Por ejemplo, es lo ms habitual advertir de que los datos que se dan en unaencuesta sern incorporados a un fichero de carcter personal, y de que, portanto, pueden responder o no responder.

Debe informarse del carcter obligatorio o facultativo de su respuesta a laspreguntas que les sean planteadas y las consecuencias de la obtencin de losdatos o de la negativa a suministrarlos(9).

En la www esto suele tener lugar sealando en rojo, o en otro color, qudatos son imprescindibles en la contestacin, indicndose por ejemplo que, de nosuministrarse el dato del nmero de la tarjeta de crdito, no se admite otro mediode pago, y por tanto no hay contrato.

Tambin se debe dar a conocer la posibilidad de ejercitar los derechos deacceso, rectificacin, cancelacin y oposicin, de los que nos ocuparemos msadelante, as como de la identidad y direccin del responsable del tratamiento o,en su caso, de su representante(10).

Es de notar que normalmente este ltimo requisito (identificar alresponsable del fichero) es algo que se olvida.

En los cuestionarios u otros impresos debe hacerse figurar, en formaclaramente legible, las mencionadas advertencias.

Si los datos de carcter personal no se obtienen directamente del interesadosino de otra fuente, el interesado debe ser informado de forma expresa, precisa einequvoca por el responsable del fichero o su representante, dentro de los tres

9 Como se prev en la Ley que no es necesario informar del derecho de rectificacin y otros si el contenidode ella se deduce claramente de la naturaleza de los datos personales que se solicitan o de lascircunstancias en que se recaban, a veces hay quien omite este trmite. No es aconsejable.

10 Cuando el responsable del tratamiento no est establecido en el territorio de la Unin Europea y utiliceen el tratamiento de datos medios situados en territorio espaol, se debe designar, salvo que tales mediosse utilicen con fines de trmite, un representante en Espaa. Todo ello sin perjuicio de las acciones quepudieran emprenderse contra el propio responsable del tratamiento.

La legtima toma de posesin de los datos

16

meses siguientes al momento del registro de los datos, salvo que ya hubiera sidoinformado con anterioridad, del contenido del tratamiento, de la procedencia de losdatos y de todo lo dems que hemos sealado, salvo que el tratamiento tenga fineshistricos, estadsticos o cientficos, o cuando la informacin al interesado resulteimposible o exija esfuerzos desproporcionados, a criterio de la Agencia de Proteccinde Datos o del organismo autonmico equivalente, en consideracin al nmero deinteresados, a la antigedad de los datos y a las posibles medidas compensatorias.

En la prctica, esto obliga a consultar a la Agencia de Proteccin de Datos.No se puede soslayar esta obligacin.

Tampoco hay obligacin de comunicar cuando los datos proceden de fuentesaccesibles al pblico y se destinan a la actividad de publicidad o prospeccincomercial. En cuyo caso, en cada comunicacin que se dirija al interesado, se leinformar del origen de los datos y de la identidad del responsable deltratamiento as como de los derechos que le asisten.

4.1.2 El consentimiento del afectado

Vale como consentimiento manifestado por el interesado toda manifestacinde voluntad, libre, inequvoca, especfica e informada, mediante la que elinteresado consienta el tratamiento de datos personales que le conciernen.

Para que se pueda realizar el tratamiento de los datos de carcter personalse requiere el consentimiento inequvoco del afectado. No es preciso, sin embargo,cuando se refieran a las partes de un contrato o precontrato de una relacinnegocial o laboral y sean necesarios para su mantenimiento o cumplimiento, ocuando los datos figuren en fuentes accesibles al pblico y su tratamiento seanecesario para la satisfaccin del inters legtimo perseguido por el responsabledel fichero o por el del tercero a quien se comuniquen los datos, siempre que no sevulneren los derechos y libertades fundamentales del interesado.

El consentimiento puede ser revocado por el interesado cuando exista causajustificada para ello, sin efectos retroactivos. Y adems ste, en los casos en losque no sea necesario el consentimiento del afectado para el tratamiento de losdatos de carcter personal y siempre que una ley no disponga lo contrario, puedeoponerse a su tratamiento cuando existan motivos fundados y legtimos relativosa una concreta situacin personal. En tal supuesto, el responsable del fichero estobligado a excluir del tratamiento los datos relativos al afectado.

4.1.3 Recogidas prohibidas

Est prohibida la recogida de datos por medios fraudulentos, desleales oilcitos. Es una prohibicin muy general pero que con un poco de sentido comnresulta fcil de concretar.


18

Por ejemplo, est prohibido recoger datos personales obligando al interesadopor la fuerza a prestarlos: sugiriendo a los trabajadores de una empresa que loscedan revistiendo el hecho de recogida de firmas contra el SIDA, etc.

Pero hay una cosa clara: determinados datos estn adems especialmenteprotegidos, tambin para su recogida. Cuando se trata de solicitar datos quepuedan tener cualquier relacin, por remota que sea, con la ideologa, religin ocreencias, o afiliacin sindical, es una obligacin legal recabar de modo expreso ypor escrito el consentimiento del afectado para el tratamiento de sus datos(11) , yadems debe advertirse igualmente de modo expreso que tiene derecho a noprestar su consentimiento.

Por ejemplo, cuando se solicita para una encuesta para la venta de libros detexto si prefiere tal o cual marca por motivos ideolgicos, deben hacerse constarlas referidas circunstancias.

Los datos de carcter personal que hagan referencia al origen racial, a lasalud y a la vida sexual slo pueden ser recabados, tratados y cedidos cuando, porrazones de inters general, as lo disponga una ley, que para las empresas noexiste, o el afectado consienta expresamente.

Por tanto, si una empresa dedicada a la venta de medicamentos realiza unaencuesta a sus pacientes de cules son sus enfermedades y desea que esos datosformen parte de un fichero informtico, deber solicitar a stos el consentimientoexpreso y por escrito. De otra forma, no podr tratar esos datos.

En fin, los datos de carcter personal relativos a la comisin de infraccionespenales o administrativas slo pueden ser incluidos en ficheros de lasAdministraciones Pblicas competentes y, an as, slo en los supuestos previstosen las respectivas normas reguladoras.

Por ejemplo, una aseguradora, aunque tenga inters en saber cules de susasegurados han sido condenados por alcoholemia al volante, no puede incluirestos datos en sus ficheros ya que es un delito. Tendr que aprenderlo dememoria.

Hay una excepcin. Entre todos los datos antes mencionados pueden serobjeto de tratamiento los datos de carcter personal que revelen la ideologa,afiliacin sindical, religin y creencias, origen racial, salud y vida sexual, cuandosea necesario para la prevencin o para el diagnstico mdicos, la prestacin de

11 Se exceptan los ficheros mantenidos por los partidos polticos, sindicatos, iglesias, confesiones ocomunidades religiosas y asociaciones, fundaciones y otras entidades sin nimo de lucro, cuya finalidadsea poltica, filosfica, religiosa o sindical, en cuanto a los datos relativos a sus asociados o miembros, sinperjuicio de que la cesin de dichos datos precisar siempre el previo consentimiento del afectado.

La legtima toma de posesin de los datos

18

asistencia sanitaria o tratamientos mdicos, o la gestin de servicios sanitarios(12).Pero aun entonces hay una limitacin: que dicho tratamiento de datos se realicepor un profesional sanitario sujeto al secreto profesional o por otra persona sujetaasimismo a una obligacin equivalente de secreto(13) .

Nadie sabe qu es profesional sanitario ni quien tiene una obligacinequivalente de guardar secreto. En nuestra opinin, puede ser un licenciado, unATS o un auxiliar de enfermera, porque todos estn obligados a guardar secreto.Es sta una de las inconcreciones sublimes de la Ley.

4.2 La creacin de ficheros

Pueden crearse todos los ficheros privados que contengan datos de carcterpersonal que sean necesarios para el logro de la actividad u objeto legtimos de lapersona, empresa o entidad titular, siempre que se respeten las garantas quevamos a mencionar. Pero est prohibido crear ficheros con la finalidad exclusivade almacenar datos de carcter personal que revelen la ideologa, afiliacinsindical, religin, creencias, origen racial o tnico o vida sexual.

Para la creacin del fichero debe seguirse este procedimiento: toda persona oentidad que quiera crear un fichero que contenga datos de carcter personal debenotificarlo previamente a la Agencia de Proteccin de Datos, cuyo RegistroGeneral inscribe el fichero. Si falta algn dato en la solicitud, se pide al interesadoque complete los datos que faltan o subsane lo que proceda. Transcurrido un mesdesde la presentacin de la solicitud de inscripcin sin que la Agencia de Proteccinde Datos haya resuelto, el fichero queda inscrito a todos los efectos.

12 Los datos sobre la salud no son tan secretos, cuando quien accede al dato o su tratamiento es unmdico, en pro de la salud del enfermo o de la sanidad general. Las instituciones y los centros sanitariospblicos y privados y los profesionales correspondientes pueden tratar los datos de carcter personalrelativos a la salud de las personas que a ellos acudan o hayan de ser tratados en los mismos, de acuerdocon lo dispuesto en la legislacin estatal o autonmica sobre sanidad.

13 Lo que tambin vale para cuando el dato sea necesario para salvaguardar el inters vital del afectado ode otra persona, en el supuesto de que el afectado est fsica o jurdicamente incapacitado para dar suconsentimiento. En este caso no se necesita que el tratamiento lo realice profesional sanitario.

21

5

Durante laPosesin de los Datos

5.1 Obligaciones del responsable

El responsable del fichero, tambin llamado responsable del tratamiento,es la persona fsica o jurdica, de naturaleza pblica o privada, u rganoadministrativo, que decide sobre la finalidad, contenido y uso del tratamiento.

5.1.1 Obligacin de seguridad

El responsable del fichero y, en su caso, el encargado del tratamiento,(14)

tienen que velar por la seguridad de los datos. Para ello deben adoptar lasmedidas de ndole tcnica y organizativas necesarias que garanticen la seguridadde los datos de carcter personal y eviten su alteracin, prdida, tratamiento oacceso no autorizado, habida cuenta del estado de la tecnologa, la naturaleza delos datos almacenados y los riesgos a que estn expuestos, ya provengan de laaccin humana o del medio fsico o natural.

En la prctica, esta obligacin da lugar a que no se puedan registrar datos decarcter personal en ficheros que no renan las condiciones que se han determinadopor va reglamentaria con respecto a su integridad y seguridad y a las de loscentros de tratamiento, locales, equipos, sistemas y programas. Por Reglamentose han establecido adems requisitos y condiciones ulteriores que deben reunir losficheros de clase A y las personas que intervengan en el tratamiento de losdatos, en particular los datos .

14 Es encargado del tratamiento la persona fsica o jurdica, autoridad pblica, servicio o cualquier otroorganismo que, slo o conjuntamente con otros, trate datos personales por cuenta del responsable deltratamiento.


22

5.1.2 Deber de secreto y de utilizacin legtima

El responsable del fichero y quienes intervengan en cualquier fase deltratamiento de los datos de carcter personal estn obligados al secretoprofesional respecto de los mismos y al deber de guardarlos. Estasobligaciones no terminan con el borrado del fichero, sino que subsisten andespus de finalizar sus relaciones con el titular del fichero o, en su caso, con elresponsable del mismo. Adems, los datos de carcter personal objeto detratamiento no pueden usarse para fines incompatibles con aqullos para los quelos datos hubieran sido recogidos(15). El uso que la entidad que gestiona con datospersonales da a los mismos es otra de las cuestiones fundamentales. Ya dijimosque los datos deben ser adecuados, pertinentes y no excesivos en relacin a lasfinalidades concretas para los que se hayan obtenido. Por tanto, si se deseanrecoger datos personales, se debe informar que stos son para unas determinadasfinalidades y no recogerlos para una y utilizarlos para otra. Adems, queremosrecordar que esta actuacin (tratar los datos con una finalidad diferente a lainicial) podra considerarse una infraccin muy grave por recoger los datos enforma engaosa y fraudulenta que lleva aparejada una sancin de 300.000 a600.000 euros, aproximadamente.

En nuestro ejemplo anterior de la compra del electrodomstico supngaseque los datos recogidos, con las finalidades antes expuestas, son utilizados para elenvo de publicidad no solicitada al domicilio del comprador. Es decir, sesolicitaron unos datos con una finalidad lcita y posteriormente son utilizados conotra finalidad.

5.1.3 Permitir el derecho de acceso de los interesados a susdatos y a su rectificacin

Una vez creado el fichero y obtenidos los datos, incluso si ha mediadoconsentimiento del interesado para el tratamiento, los interesados tienen derechoa acceder a sus propios datos. Por eso, los datos de carcter personal debenalmacenarse de forma que permitan el ejercicio del derecho de acceso, salvo quesean legalmente cancelados. Los interesados tienen derecho a solicitar y obtenergratuitamente informacin de sus datos de carcter personal sometidos atratamiento; sobre cul sea el origen de dichos datos y sobre las comunicacionesrealizadas o que se prevn hacer de los mismos. Repetimos que esta actividad esgratuita: no se puede exigir contraprestacin alguna por el ejercicio de losderechos de oposicin, acceso, rectificacin o cancelacin. Esta informacin puedeobtenerse mediante la mera consulta de los datos, por medio de su visualizacin, omediante la indicacin de los datos que son objeto de tratamiento por medio

15 No se considera incompatible el tratamiento posterior de stos con fines histricos, estadsticos ocientficos.

Durante la posesin de los datos

23

escrito, copia, telecopia o fotocopia, certificada o no, en forma legible e inteligible,sin utilizar claves o cdigos que requieran el uso de dispositivos mecnicosespecficos.

Para que los interesados no se pasen la vida interfiriendo en las organizaciones,este derecho de acceso slo puede ser ejercitado a intervalos que no seaninferiores a doce meses, salvo que se acredite un inters legtimo al efecto, encuyo caso podrn ejercitarlo antes.

Adems de los interesados, cualquier persona puede conocer la existencia detratamientos de datos de carcter personal, sus finalidades y la identidad delresponsable del tratamiento, recabando a tal fin la informacin oportuna delRegistro General de Proteccin de Datos de la Agencia de Proteccin de Datos.Este Registro es de consulta pblica y gratuita.

El interesado, como dueo de los datos, puede obligar al responsable deltratamiento a que haga efectivo el derecho de rectificacin o cancelacin en elplazo de diez das si su tratamiento no se ajusta a lo dispuesto en la LORTAD; enparticular, cuando resulten inexactos o incompletos. La cancelacin da lugar albloqueo de los datos, conservndose stos nicamente a disposicin de lasAdministraciones Pblicas, jueces y tribunales para la atencin de las posiblesresponsabilidades nacidas del tratamiento durante el plazo de prescripcin destas. Cumplido el citado plazo deber procederse a la supresin. Si los datosrectificados o cancelados hubieran sido comunicados previamente a un tercero, elresponsable del tratamiento debe notificar la rectificacin o cancelacin yaefectuada a quien se hayan comunicado, en el caso de que ste mantenga eltratamiento deber tambin proceder a la cancelacin.

Para ejercitar el derecho de oposicin, acceso, as como los de rectificacin ycancelacin, el procedimiento ha sido establecido reglamentariamente. Se recogeen una Instruccin de la Agencia de Proteccin de Datos antes sealada. As, elprocedimiento ser el siguiente:

! Se deber remitir una solicitud al responsable del fichero en la quecontenga lo siguiente:

! Nombre, apellidos y fotocopia del DNI del interesado.

! Peticin en que se concreta la solicitud, en este caso ejercitar elderecho de acceso.

! Domicilio del solicitante a efectos de notificaciones.

! Fecha.

! Firma del solicitante.


24

! Respecto a la forma de acreditar el envo de la solicitud del derecho deacceso, el interesado deber utilizar cualquier medio que permita acreditarel envo y la recepcin de la solicitud. Respecto a este medio, el que mejorcumple este requisito es el bureau-fax, aunque una carta certificadatambin podra entenderse que cumple con este mandato.

! En cualquier caso, el responsable del fichero deber contestar a estasolicitud y le indicar qu datos personales posee del solicitante o, por elcontrario, si no posee datos personales de l. Esta contestacin deberproducirse en un mes desde la recepcin de la solicitud. No obstante, en elcaso de que se estime el derecho de acceso (es decir, el responsable poseedatos del solicitante), ste se deber materializar en diez das desde que senotifica la solicitud.

Si por la razn que fuere, el interesado y el responsable del fichero no seponen de acuerdo, el interesado puede presentar reclamacin ante la Agencia deProteccin de Datos en la forma que estudiamos ms adelante. En sntesis, elinteresado al que se deniegue total o parcialmente el ejercicio de los derechos deoposicin, acceso, rectificacin o cancelacin, puede ponerlo en conocimiento de laAgencia de Proteccin de Datos que debe asegurarse de la procedencia oimprocedencia de la denegacin, dictando resolucin expresa de tutela dederechos en el plazo de seis meses. Contra las resoluciones de la Agencia deProteccin de Datos cabe recurso ante los tribunales.

Los interesados que sean objeto de un tratamiento de sus datos queincumpla la LOPD y adems sufran dao o lesin en sus bienes o derechos,tendrn derecho a ser indemnizados, ejercitndose la accin ante los rganos de lajurisdiccin ordinaria.

5.1.4 Deber de conservacin y puesta al da de los datos

Los datos de carcter personal deben ser conservados durante los plazosprevistos en las disposiciones aplicables o, en su caso, en las relacionescontractuales entre la persona o entidad responsable del tratamiento y elinteresado.

El responsable del fichero no slo est obligado a conservarlos sino tambina que stos sean exactos y estn puestos al da de forma que respondan converacidad a la situacin actual del afectado.

Cmo debe cumplirse esta obligacin es una cuestin muy discutible. Enrealidad el primer interesado es el titular del fichero puesto que no coleccionadatos por placer, sino porque los necesita para su actividad o trabajo. Por tanto,como toda otra herramienta, si no est afilada no tiene utilidad.


25

En nuestro ejemplo, pinsese el caso que nuestro comprador vuelve acomprar otro electrodomstico al da siguiente pero informa al vendedor que sudomicilio ha cambiado. El vendedor deber cambiar el dato Domicilio ya que,segn est recogido en su fichero, no es exacto.

Los datos no pueden ser conservados de forma que se permita laidentificacin del interesado durante un perodo superior al necesario para losfines en base a los cuales hubieran sido recabados o registrados.(16)

Si los datos de carcter personal registrados resultaran ser inexactos entodo o en parte o incompletos, deben ser cancelados y sustituidos por el propioresponable del fichero desde el momento en que tenga noticia del error,incorporando los correspondientes datos rectificados o completados. Sinperjuicio del derecho del propio interesado a promover la rectificacin.

En el ejemplo del electrodomstico suponemos que la finalidad para larecogida de los datos es el envo del bien al domicilio del comprador. Una vez queste haya recibido su compra, en principio, la finalidad que motiv el envo delelectrodomstico ha concluido por lo que deberan ser cancelados.

Se han de cancelar (borrar) los datos que hayan dejado de ser necesarios opertinentes para la finalidad para la cual hubieran sido recabados o registrados.

5.1.5 Cmo conservar y tratar los datos

La conservacin y tratamiento de los datos depende del tipo de datos de quese trate. Los datos pueden ser de nivel bsico, medio atenuado, medio y alto.Sealamos a continuacin las medidas que deben adoptarse.

Medidas de nivel bsico

El artculo 4.1 del Reglamento de Seguridad establece que todos los ficherosque contengan datos de carcter personal debern adoptar las medidas deseguridad calificadas como de nivel bsico. Con ello se pretende que cualquierdato de carcter personal est protegido con ciertas medidas de seguridad. Las denivel bsico se encuentran recogidas en el Captulo II del Reglamento deSeguridad (artculos 8-14) y en el artculo 7. En concreto estas medidas deseguridad son las siguientes:

16 Reglamentariamente se ha determinado el procedimiento por el que, por excepcin, atendidos losvalores histricos, estadsticos o cientficos, se puede llegar a decidir el mantenimiento ntegro dedeterminados datos.


26

Ficheros temporales

Los Ficheros temporales deben cumplir el nivel de seguridad que lescorresponda con arreglo a los dems criterios sealados en el Reglamento, ydeben ser borrados una vez que hayan dejado de ser necesarios para los fines quemotivaron su creacin. Vulgarmente se entiende por fichero temporal aquelfichero, distinto del original y creado por la aplicacin informtica que lo gestiona,cuya finalidad es un procesamiento paralelo de los datos originales sin afectar alfichero original, y/o con la finalidad de copia de seguridad temporal ante unaparada anormal del sistema. Es lo que denominamos fichero temporal creado porla aplicacin. Usualmente, los programadores los apellidan tmp. Pero laacepcin legal, viene dada por el mencionado artculo 7 del Reglamento deSeguridad y por el artculo 3.b de la LOPD que definen el fichero temporal comotodo conjunto organizado de datos, independientemente de su forma o modalidadde creacin, almacenamiento, organizacin o acceso, y que fue creado para unespacio determinado de tiempo que variar en funcin de la finalidad para la quese cre ese fichero. Parece obvio que un fichero temporal creado por la aplicacincaera dentro del mbito conceptual de fichero temporal legal. Por lo mismo,cuando un programa se utiliza para tratar datos personales debe procedertambin al borrado del fichero temporal una vez que haya cesado el fin quemotiv su creacin. Hecho que, generalmente ocurre automticamente. Perodentro del concepto de fichero temporal en su versin legal, entendemos quetambin cabra incluir un fichero creado manualmente para una concreta finalidady que contiene datos que han sido obtenidos de un fichero matriz. Una vezterminada esa finalidad, se procedera al borrado, tambin manual, de ese fichero.

En definitiva, con la medida de seguridad del artculo 7 del Reglamento deSeguridad se pretende que no exista una gestin paralela, a travs de un ficherotemporal, de datos personales, obtenidos de un fichero original o matriz. En casode que exista la mencionada gestin paralela, sta nicamente podra ser llevadaa cabo para una finalidad concreta dentro de un espacio determinado de tiempo ysiempre cumpliendo las medidas de seguridad definidas para el fichero original omatriz. Adems, tenemos que sealar que dentro de las gestiones que se puedenrealizar con ese fichero temporal, nicamente se permitira la consulta de datosya que, por ejemplo, si se introdujeran nuevos datos que no provinieran delfichero original o matriz, ello implicara que ese fichero temporal fuera consideradocomo un nuevo fichero y, por tanto, sujeto a todos los requisitos legales, no slo encuanto a medidas de seguridad, que se establecen en la LOPD.

Los Documentos de seguridad

Es un punto fundamental. Se trata de un documento privado pero de accesopblico en el que se sealan las polticas de seguridad que se seguirn por quienestraten datos personales. No debe confundirse con un documento informtico.Aqu se utiliza la palabra documento en el sentido ms clsico de la expresin.


27

La idea es que el responsable del fichero, normalmente una empresa, estobligada a personalizar el uso que va a hacer de los datos personales elaborando eimplantando un documento que, una vez asumido, ser de obligado cumplimientopara el personal con acceso a los datos automatizados de carcter personal y a lossistemas de informacin. Este documento deber contener los mnimos que seseguirn en la poltica de seguridad de la empresa, y por tanto al menos lossiguientes aspectos:

a) mbito de aplicacin del propio documento, con especificacin detalladade los recursos protegidos.

b) Medidas, normas, procedimientos, reglas y estndares encaminados agarantizar el nivel de seguridad exigido en este Reglamento.

c) Funciones y obligaciones del personal.

d) Estructura de los ficheros con datos de carcter personal y descripcin delos sistemas de informacin que los tratan.

e) Procedimiento de notificacin, gestin y respuesta ante incidencias.

f) Los procedimientos de realizacin de copias de respaldo y de recuperacinde datos.

Este documento debe mantenerse en todo momento actualizado y ha derevisarse siempre que se produzcan cambios relevantes en el sistema deinformacin o en la organizacin del mismo. Su contenido debe adecuarse en todomomento a los cambios normativos en materia de seguridad de los datos decarcter personal.

Responsable del fichero

Es la persona fsica o jurdica, de naturaleza pblica o privada, u rganoadministrativo, que decide sobre la finalidad, contenido y uso del tratamiento. Endefinitiva, la entidad que gestiona datos personales.

El responsable del fichero tiene la obligacin de realizar un documentollamado Documento de seguridad en el que se establecern diferentes medidasde seguridad. Estas medidas de seguridad tienen que ser cumplidas obligatoriamentepor las personas que acceden a datos personales y por los sistemas informticosque gestionan estos datos.

Personas con acceso a los datos de carcter personal

Las funciones y obligaciones de cada una de las personas con acceso a losdatos de carcter personal y a los sistemas de informacin deben estar claramentedefinidas y documentadas en el documento de seguridad.


28

El responsable del fichero debe adoptar las medidas necesarias para que elpersonal conozca las normas de seguridad que afecten al desarrollo de susfunciones as como las consecuencias en que pudiera incurrir en caso deincumplimiento.

Como ya hemos sealado, el instrumento donde deben recogerse las funcionesy obligaciones es el documento de seguridad. Respecto a cmo deben ser conocidaspor el personal, el Reglamento de Seguridad no se pronuncia al respecto. Se otorgalibertad a la entidad que posee datos personales para que establezca un mecanismode conocimiento. En la prctica hay varias opciones, desde la firma de undocumento por parte del personal en el que se recojan sus funciones y obligacionesrespecto al tratamiento de datos personales y su acatamiento a las mismas, hasta ladisposicin del documento de seguridad (en el que se incluyen estas funciones yobligaciones) en un lugar de libre acceso al personal de la empresa. Aunque lo ciertoes que, a nuestro entender, cualquier mecanismo sera vlido siempre y cuandopermitiera conocer estas funciones y obligaciones. Nos parece que la firma de undocumento por parte del personal (va contrato laboral o va acuerdo deconfidencialidad autnomo), es el mecanismo ms correcto para permitir conocerlas funciones y obligaciones relativas a los datos personales.

Para finalizar, hemos de sealar que sta es una medida eminentementejurdica que intenta evitar, en la medida de lo posible, un incorrecto o ilegaltratamiento o gestin de los datos personales por parte de la plantilla de laempresa que posee datos de carcter personal.

Registro de incidencias

Esta medida se encuentra en el artculo 10 del Reglamento de Seguridadque establece que El procedimiento de notificacin y gestin de incidenciascontendr necesariamente un registro en el que se haga constar el tipo deincidencia, el momento en que se ha producido, la persona que realiza lanotificacin, a quin se le comunica y los efectos que se hubieran derivado de lamisma.

Antes de sealar los aspectos ms caractersticos de esta medida hemos deindicar que por incidencia, segn el artculo 2.9 del Reglamento de Seguridad, seentiende cualquier anomala que afecte o pudiera afectar a la seguridad de losdatos. Vemos por tanto que el legislador ha optado por un concepto amplio deincidencia, dejando la descripcin de la misma abierta a las empresas. Por otrolado, debemos sealar que este concepto de incidencia no se refiere nicamente acuestiones informticas (malfuncionamiento de sistemas, por ejemplo), sino quetambin a otras cuestiones reflejadas en el documento de seguridad (prdida decontraseas, por ejemplo).


29

Esta medida viene a reflejar lo siguiente:

! Deber existir un procedimiento de notificacin de incidencias relativo alos datos de carcter personal. La descripcin del procedimiento estar enmanos de cada entidad en concreto. No obstante, habr una serie decuestiones que son obligatorias:

! Tipo de incidencia.

! Momento en que se ha producido.

! Persona que la notifica.

! A quien se comunica.

! Efectos derivados de la incidencia.

! Deber existir un registro de las incidencias que se han producido. En elregistro debern recogerse obligatoriamente las mismas cuestionessealadas en el prrafo anterior.

A continuacin procederemos a comentar algunos aspectos de estamedida. En primer lugar, y por lo que se refiere a los tipos de incidencia, elReglamento de Seguridad no define los tipos de incidencia que se puedendetectar. As, bajo nuestro punto de vista, los entes que gestionen datospersonales debern identificar las incidencias que pudieran surgir con mayorhabitualidad y, de este modo, clasificarlas. No obstante, creemos necesario nocerrar el campo de las incidencias y dejar una de tipo abierto para cualquierotra incidencia que pudiera surgir y que no se encuentre clasificada. Porejemplo, se podra clasificar este tipo de incidencia abierta como Otrasincidencias.

Respecto al momento en que se ha producido la incidencia, entendemos quelo que realmente ha deseado el legislador es sealar el momento en que se hadetectado.

Para terminar con el anlisis de esta medida y en lo relativo a los efectosderivados de la incidencia, entendemos que no slo se deben especificar losaspectos negativos de la misma, sino tambin, y en caso de ser posible preverlos,los efectos correctores que se han implantado para solucionar la mencionadaincidencia.

En definitiva, con esta medida se pretende, bajo nuestro punto de vista,reflejar los posibles defectos que se detecten en la implantacin y el funcionamientode las medidas de seguridad para su correcta solucin y, en su caso, puesta enmarcha.


30

Identificacin y autenticacin

La presente medida de seguridad viene establecida por el artculo 11 delReglamento de Seguridad que seala lo que a continuacin procedemos areproducir:

1. El responsable del fichero se encargar de que exista una relacinactualizada de usuarios que tengan acceso autorizado al sistema deinformacin y de establecer procedimientos de identificacin yautenticacin para dicho acceso.

2. Cuando el mecanismo de autenticacin se base en la existencia decontraseas existir un procedimiento de asignacin, distribucin yalmacenamiento que garantice su confidencialidad e integridad.

3. Las contraseas se cambiarn con la periodicidad que se determineen el documento de seguridad y, mientras estn vigentes, se almacenarnen forma ininteligible.

Por lo tanto, el examen que podemos realizar de esta medida es el siguiente:

! Los usuarios que accedan al sistema de informacin deben estarclaramente identificados. Al respecto, se entiende por sistema deinformacin, en virtud del artculo 2.1 del Reglamento de Seguridad, alconjunto de ficheros automatizados, programas, soportes y equiposempleados para el almacenamiento y tratamiento de datos de carcterpersonal. El listado de estos usuarios se deber contener en el documentode seguridad.

! Se prev la existencia del sistema tradicional de identificacin yautenticacin. As, la identificacin se hara por Nombre de usuario y laautenticacin por contrasea. Este sistema no es obligatorio y podranimplantarse otros, como por ejemplo, la identificacin y autenticacinmediante tarjeta criptogrfica, mediante tarjeta con banda magntica obasada en parmetros biomtricos.

! Si se opta por la identificacin y autenticacin tradicional (Nombre deusuario y Contrasea) se deber especificar un mecanismo, que se recogeren el documento de seguridad, de asignacin, distribucin y almacenamientoininteligible de las contraseas. Adems, las contraseas debern sercambiadas con la periodicidad que se recoja en el documento de seguridad.

De lo recogido en esta medida de seguridad, lo que a nuestro entender esms complejo de determinar es el concepto del almacenamiento de formaininteligible. Este ltimo concepto significa que se debe almacenar las


31

contraseas de tal forma que no se puedan entender. Y esto puede ser llevado acabo por medios informticos, lo que parece lo ms lgico hoy en da, o por mediono informticos (pinsese en un almacenamiento de las contraseas en un sobrelacrado y guardado en una caja de seguridad).

En definitiva, con esta medida se pretende tener identificados claramente alos usuarios que acceden, tratan o gestionan datos personales y evitar, asimismo,el acceso no autorizado por parte de terceros a datos de carcter personal del enteque los gestiona.

Control de acceso:

La presente medida de seguridad legal viene definida por el artculo 12 delReglamento de Seguridad que establece lo siguiente:

1. Los usuarios tendrn acceso autorizado nicamente a aquellosdatos y recursos que precisen para el desarrollo de sus funciones.

2. El responsable del fichero establecer mecanismos para evitar queun usuario pueda acceder a datos o recursos con derechos distintos delos autorizados.

3. La relacin de usuarios a que se refiere el artculo 11.1 de esteReglamento contendr el acceso autorizado para cada uno de ellos.

4. Exclusivamente el personal autorizado para ello en el documento deseguridad podr conceder, alterar o anular el acceso autorizado sobredatos y recursos, conforme a los criterios establecidos por elresponsable del fichero.

Los aspectos ms significativos de esta medida son los siguientes:

! El personal que acceda a datos personales slo podr acceder a aquellosdatos que sean necesarios en el ejercicio de sus funciones. (Por ejemplo,una persona del rea de Recursos Humanos no tendra derecho aacceder a datos personales contables concernientes a clientes de sucompaa).

! Se deben establecer mecanismos que eviten que un usuario pueda accedera datos a los que no debera tener acceso. Estos mecanismos debenrecogerse en el documento y generalmente son elementos informticos,tales como control de acceso directo, grupos de usuarios o perfiles, endefinitiva, son tcnicas de administracin de sistemas.


32

! En el listado de usuarios que sealbamos en la medida anterior, se debenespecificar, por cada usuario, los datos personales a los que accede. Estamedida puede ser llevada a cabo, bajo nuestra perspectiva, de diferentesmaneras, desde sealar especficamente los datos a los que accede el usuario,hasta especificar el tipo de perfil, por ejemplo, que posee un usuario.

! Cada usuario tendr el derecho a consultar, alterar o anular los datos a losque tiene acceso, en funcin de las directrices marcadas en el documento deseguridad sobre esta materia. En este sentido tambin existenherramientas informticas, para establecer los derechos de consulta,alteracin o anulacin de datos personales. Estas tcnicas son las mismasque administran el acceso a los datos personales, es decir, son las tcnicasde administracin de sistemas.

En definitiva, con esta medida, como su nombre indica, se pretende controlary gestionar el acceso al sistema de informacin que contiene los datos de carcterpersonal.

Gestin de soportes

La penltima medida de seguridad de nivel bsico se encuentra recogida enel artculo 13 del Reglamento que, a continuacin, procedemos a transcribir:

1. Los soportes informticos que contengan datos de carcter personaldebern permitir identificar el tipo de informacin que contienen, serinventariados y almacenarse en un lugar con acceso restringido alpersonal autorizado para ello en el documento de seguridad.

2. La salida de soportes informticos que contengan datos de carcterpersonal, fuera de los locales en los que est ubicado el fichero,nicamente podr ser autorizada por el responsable del fichero.

Previamente a examinar lo que seala este artculo hemos de realizar unaserie de aclaraciones. Por soporte informtico, segn el artculo 2.10 delReglamento de Seguridad se entiende a cualquier objeto fsico susceptible de sertratado en un sistema de informacin y sobre el cual se puedan grabar o recuperardatos. Con esta definicin legal parece claro que un CD- ROM, una cinta deback-up o un disquete, entre otros, son soportes informticos. La pregunta que eneste punto nos realizamos es si un ordenador, un servidor o un porttil se consideranun soporte informtico. En un sentido estricto y fijndonos en la definicin anteriorparece que la respuesta es negativa ya que, en si mismos, no seran soportes sino msbien los sistemas que los tratan. No obstante, en un ordenador, en un servidor o enun porttil si que existe un soporte, su disco duro, sobre el que se pueden grabar orecuperar datos. En definitiva, desde nuestro punto de vista y, segn lo expresado enel presente prrafo, soporte ser tanto un CD-ROM, una cinta de back-up o undisquete, como un ordenador, un servidor o un porttil.


33

Lo caracterstico de esta medida de seguridad es lo siguiente:

! Los soportes que contengan datos personales debern permitir especificarel tipo de informacin que contienen. Creemos que la mejor forma deidentificacin de estos soportes ser a travs de etiquetas identificativasque, si bien no nos van a permitir conocer directamente cules son losdatos concretos que se contienen en ellos, si que nos van a permitir conocerindirectamente estos datos. Por ejemplo si una cinta de back-up posee unaetiqueta que seala Copia de la BBDD XXXX del da 01-01-2002,indirectamente sabremos que el mencionado soporte contiene los datos dela BBDD XXXX.

! Los soportes que contienen datos personales debern estar inventariadoscorrectamente.

! Los soportes que contienen datos personales debern ser almacenados en unlugar en el que nicamente las personas que se especifiquen en el documentode seguridad puedan tener acceso. Este lugar, por ejemplo, puede ser unarmario cerrado con llave que es controlado por un nmero determinado depersonas o una habitacin cerrada con llave a la que nicamente tendracceso un nmero determinado de personas.

! La salida de soportes informticos fuera del lugar habitual donde se ubiqueel fichero que contiene esos datos personales deber ser debidamenteautorizada. Con esta medida lo que se pretende es establecer unprocedimiento o un rgimen de salidas de soportes para evitar una cesinno consentida de datos personales.

Copias de respaldo y recuperacin

La ltima medida de nivel bsico se encuentra recogida en el artculo 14 delReglamento de Seguridad que seala lo siguiente:

1. El responsable del fichero se encargar de verificar la definicin ycorrecta aplicacin de los procedimientos de realizacin de copias derespaldo y de recuperacin de datos.

2. Los procedimientos establecidos para la realizacin de copias derespaldo y para la recuperacin de los datos deber garantizar sureconstruccin en el estado en que se encontraban al tiempo deproducirse la prdida o destruccin.

3. Debern realizarse copias de respaldo al menos semanalmente, salvoque en dicho periodo no se hubiera producido ninguna actualizacin delos datos.


34

Las cuestiones ms caractersticas de este apartados son las siguientes:

! Se debe establecer a travs del documento de seguridad un procedimiento derealizacin de copias de respaldo y de recuperacin de los datos.

! Estos procedimientos sealados en el punto anterior debern garantizar lareconstruccin de los datos en el estado en el que se encontraban losmismos en el momento en que se perdieron o destruyeron por cualquiermotivo.

! Las copias de respaldo debern realizarse peridicamente. En principio,existe libertad para especificar cada cuanto se deben realizar estas copias.No obstante, se ha establecido que una vez semanalmente se tienen querealizar copias de seguridad, excepto en el caso de que no hayan sidoactualizados datos del fichero.

En relacin con esta medida de seguridad y con la

La protección de datos personales - Entornos Microsoft

Documents

Transcript of La protección de datos personales - Entornos Microsoft