Apuntes - Tema 3. PDF

Fundamentos Deontológicos y Jurídicos de las TIC Unidad 3. La Protección de los Datos Rosa Mª Sánchez Saiz  Fundamentos Deontológicos y Jurídicos de las TIC 24/25 U3 ÍNDICE DE CONTENIDO ÍNDICE DE CONTEN...

Fundamentos Deontológicos y Jurídicos de las TIC Unidad 3. La Protección de los Datos Rosa Mª Sánchez Saiz  Fundamentos Deontológicos y Jurídicos de las TIC 24/25 U3 ÍNDICE DE CONTENIDO ÍNDICE DE CONTENIDO.................................................................................................................................... 2 UNIDAD 3 – LA PROTECCIÓN DE LOS DATOS.................................................................................................... 3 GENERALIDADES..................................................................................................................................................... 3 DATOS, INFORMACIÓN E INFORMÁTICA....................................................................................................................... 3 LA PROTECCIÓN DE DATOS........................................................................................................................................ 3 La expresión “Protección de Datos”............................................................................................................... 4 Momentos del tratamiento de datos personales........................................................................................... 4 Ley Española de Protección de Datos............................................................................................................. 4 Datos de Carácter Personal............................................................................................................................ 4 Clasificación de los Datos............................................................................................................................... 4 Clasificación Según su Importancia............................................................................................................................. 5 Clasificación Según su Nivel de Seguridad................................................................................................................... 5 Principios de la Protección de Datos.............................................................................................................. 5 Calidad de los Datos.................................................................................................................................................... 5 Deber de Confidencialidad.......................................................................................................................................... 5 Consentimiento del Afectado...................................................................................................................................... 5 Categorías Especiales de Datos................................................................................................................................... 6 Tratamiento de Datos de Naturaleza Penal................................................................................................................ 6 Derechos de las Personas............................................................................................................................... 6 Transparencia e Información....................................................................................................................................... 6 Ejercicios de los Derechos........................................................................................................................................... 6 El Consentimiento Interesado........................................................................................................................ 7 Agentes que Intervienen................................................................................................................................ 7 Órganos de Control........................................................................................................................................ 7 LA LEY ESPAÑOLA DE PROTECCIÓN DE DATOS............................................................................................................... 7 Agencia Española de Protección de Datos..................................................................................................... 7 Responsable del Tratamiento de Datos......................................................................................................... 7 Lugar de Establecimiento del Responsable o del Encargado....................................................................................... 8 Delegado de Protección de Datos.................................................................................................................. 8 EL REGISTRO DE ACTIVIDADES DE TRATAMIENTO DE DATOS (REPD)................................................................................. 9 Medidas de Seguridad del Nuevo REPD......................................................................................................... 9 Protección de Datos desde el Diseño y por Defecto................................................................................................... 9 Notificación de Violaciones de Seguridad................................................................................................................. 10 Realización de Evaluaciones de Impacto................................................................................................................... 10 OTROS ASPECTOS PARA TENER EN CUENTA DE LA LOPD............................................................................................... 11 Códigos de Conducta y Certificación o Sellos de Marca............................................................................... 11 Inscripción de Ficheros en la AEPD............................................................................................................... 11 Plazo de Conservación de Datos Personales................................................................................................ 11 Deber de Cancelación................................................................................................................................................ 11 Bloqueo de Datos...................................................................................................................................................... 11 Periodos Largos de Conservación.............................................................................................................................. 11 Responsables de Sanciones.......................................................................................................................... 12 Las Infracciones............................................................................................................................................ 12 Casos Especiales........................................................................................................................................................ 12 Ejemplos de Infracciones........................................................................................................................................... 12 Universidad de Burgos Alejandro José Álvarez López  Fundamentos Deontológicos y Jurídicos de las TIC 24/25 U3 Unidad 3 – La Protección de los Datos. Generalidades. Mediante la utilización de las técnicas informáticas, hoy en día es posible ejercer un control sobre las personas sin que estas se percaten. Para solucionar este problema, se ha empezado a estudiar el “derecho de la persona” cuyo origen se encuentra en la dignidad humana y recogido en las modernas constituciones. Además, la libertad del hombre y los requisitos para una convivencia social justa, exigen la protección jurídica de su intimidad, lo que lleva al desarrollo de las llamadas leyes de protección de datos. Datos, Información e Informática. DATO: antecedente o noticia cierta que sirve de punto de partida para la investigación de la verdad. Se encuentra en un documento o soporte (tanto físico como lógico)con calidad de testimonio. DOCUMENTACIÓN: conjunto de datos, noticias o pruebas que se refieren a un determinado asunto. Cuando el dato o documentación son sometidos a un tratamiento o adecuación a un fin para obtener un resultado elaborado se convierte en información. La información contribuye a la difusión de conocimientos y la formación de las personas. Por todo ello la información y las comunicaciones van íntimamente ligadas con un fin de difusión y ampliación del patrimonio universal. Las comunicaciones son las encargadas de transmitir toda esta información (por su gran capacidad de transmisión de información y acercamiento. INFORMÁTICA: es la ciencia del tratamiento automático de la información. Los ordenadores: Tratan los datos con rapidez. Transfieren datos. Almacenan información de datos. Por ello todos estos datos deben estar protegidos del acceso de otras personas no autorizadas a ellos. PARA ELLO SE CREA LA PROTECCION DE DATOS. La Protección de Datos. Es la protección jurídica de las personas en lo que concierne al tratamiento automatizado de sus datos personales. Universidad de Burgos Alejandro José Álvarez López  Fundamentos Deontológicos y Jurídicos de las TIC 24/25 U3 La expresión “Protección de Datos”. Ha sufrido criticas debido a que no es a los datos a los que se les protege, sino a la persona titular de estos. Su término protección es realmente significativo, ya que se centra en el estudio de los datos, la defensa del bien jurídico protegido y la defensa de los intereses a los que pueda afectar. Momentos del tratamiento de datos personales. Los momentos del tratamiento de datos personales son los siguientes. Ley Española de Protección de Datos. Las leyes que regulan la protección de datos en España son las siguientes: La Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales. Reglamento UE 2016/679 relativo a Protección de las Personas Físicas en lo que respecta al tratamiento de datos personales y circulación de estos Datos. Datos de Carácter Personal. Nos referimos a datos de carácter personal cuando hablamos de cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de otro tipo, concerniente a personas físicas identificadas o identificables. Clasificación de los Datos. Los datos pueden ser clasificados según su importancia o según su nivel de seguridad, a continuación se muestra un esquema al respecto. Universidad de Burgos Alejandro José Álvarez López  Fundamentos Deontológicos y Jurídicos de las TIC 24/25 U3 Clasificación Según su Importancia. Los datos públicos son aquellos datos personales conocidos por un numero cuantioso de personas. Los datos privados son aquellos que tiene regulados y tasadas las situaciones en que la persona este obligada a proporcionarlos. Los datos íntimos son aquellos datos que el titular debe proporcionar regularmente en el cumplimiento de sus obligaciones cívicas. Los datos secretos son aquellos datos que el ciudadano no está obligado a revelar, salvo excepciones reguladas en las leyes. o Los datos profundos son aquellos que bajo ningún concepto el titular está obligado a dar a conocer, salvo excepciones (leyes). (Ejemplos: salud, orientación sexual). o Los datos reservados son aquellos que bajo ningún concepto el titular está obligado a dar a conocer; sin excepciones. (Ejemplos: ideología, religión, creencias). Clasificación Según su Nivel de Seguridad. Según el artículo 7 de la LOPD, los datos especialmente protegidos o datos sensibles son los que requieren una mayor protección que otros datos personales, por su especial influencia en la intimidad, por ser derechos fundamentales y libertades públicas del individuo. Los datos sensibles son: Datos que revelen ideología, afiliación sindical, religión y creencias. Datos que reflejan origen racial, salud y vida sexual. Datos relativos a infracciones penales o administrativas. Principios de la Protección de Datos. Los principios de la protección de datos deben ser respetados por el responsable y el encargado del tratamiento de datos. A continuación se detallan los principios. Calidad de los Datos. Pertinencia: finalidad por los que se adquieren. Exactitud: veracidad. Actualización: situación actual y real. Deber de Confidencialidad. Los responsables y encargados del tratamiento de datos así como todas las personas que intervengan en cualquier fase de este estarán sujetas al deber de confidencialidad y el deber de secreto aun cuando hubiese finalizado la relación del obligado con el responsable o encargado del tratamiento. Consentimiento del Afectado. Esto da manifestación de voluntad libre, específica, informada e inequívoca por la que acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen. Cuando se pretenda fundar el tratamiento de los datos en el consentimiento del afectado para una pluralidad de finalidades será preciso que conste de manera específica e inequívoca que dicho consentimiento se otorga para todas ellas. Menores: mayor de14 años, salvo excepciones. Antes titular patria potestad. Universidad de Burgos Alejandro José Álvarez López  Fundamentos Deontológicos y Jurídicos de las TIC 24/25 U3 Categorías Especiales de Datos. El solo consentimiento del afectado, no basta para tratar datos cuya finalidad sea identificar ideología, afiliación sindical, religión, orientación sexual, creencias, origen racial o étnico. Los datos por razones de interés público, para protección frente amenazas transfronterizas graves, medicina preventiva laboral… (g, h, i del artículo 9.2) requieren amparo de la norma rango de ley. Tratamiento de Datos de Naturaleza Penal. El tratamiento de datos solo podrá llevarse a cabo amparado en norma de Derecho de la Unión, en esta ley orgánica o en normas con rango de ley. Derechos de las Personas. Transparencia e Información. Exige que toda información y comunicación relativa al tratamiento de los datos personales sea fácilmente accesible y sea fácil de entender. Deben quedar totalmente claros los siguientes puntos: Que se están recogiendo, utilizando, consultando o tratando datos personales. La medida en que dichos datos son o serán tratados. La identidad del responsable del tratamiento. Conocer los fines para los que se tratan los datos personales. El plazo de tratamiento. Los destinatarios si fuesen a cederse. Los derechos que les asisten de ejercitar el derecho a presentar una reclamación ante una autoridad de control. Ejercicios de los Derechos. DERECHO DE ACCESO: del titular sobre los datos que existan sobre él en los ficheros y el fin de estos. DERECHO DE RECTIFICACIÓN Y SUPRESIÓN: del interesado en caso de que los datos sean inexactos o hayan dejado de ser necesarios para el fin para el que se han recabado. DERECHO A LA LIMITACIÓN DEL TRATAMIENTO: Solicitar al responsable del tratamiento que aplique medidas sobre unos datos personales para, entre otras cosas, evitar su modificación o, en su caso, su borrado o supresión. DERECHO A LA PORTABILIDAD: derecho de la persona a recibir del responsable del tratamiento, sus datos personales o solicitar la transmisión a otro responsable del tratamiento. DERECHO DE OPOSICIÓN: Derecho de la persona a oponerse al tratamiento de sus datos personales. DERECHO AL OLVIDO: Contra información obsoleta sin pertenencia o interés público, aunque sea verdadera. El derecho a impedir la difusión de información personal a través de internet sólo afecta a los resultados obtenidos en las búsquedas hechas mediante el nombre de la persona. Las fuentes permanecen inalteradas. Universidad de Burgos Alejandro José Álvarez López  Fundamentos Deontológicos y Jurídicos de las TIC 24/25 U3 El Consentimiento Interesado. El consentimiento para el tratamiento de los datos personales debe darse mediante un acto afirmativo claro que refleje una manifestación de voluntad libre, específica, informada, e inequívoca del interesado de aceptar el tratamiento de datos de carácter personal: Declaración por escrito, una declaración verbal, marcar una casilla, escoger parámetros técnicos para la utilización de servicios informático,… El silencio, las casillas ya marcadas o la inacción, no constituyen consentimiento. El consentimiento debe darse para todas las actividades de tratamiento realizadas con el mismo o los mismos fines. Cuando el tratamiento tenga varios fines, debe darse el consentimiento para todos ellos. Agentes que Intervienen. Los agentes que intervienen en la protección de datos son: Responsable del tratamiento de datos. Encargado del tratamiento de datos (lleva a cabo el tratamiento). Delegado de protección de datos. Órganos de Control. Los órganos de control que intervienen en la protección de datos son: La Agencia Española de Protección de Datos (órgano de control en España). El reglamento incluye la creación de un Consejo Europeo de Protección de Datos: o Organismo de la Unión. o Garantiza la aplicación coherente del reglamento. o Formado por los representantes de cada una de las 28 autoridades de control independientes. La Ley Española de Protección de Datos. Agencia Española de Protección de Datos. La Agencia Española de Protección de Datos es un órgano independiente con capacidad de obrar y potestad inspectora. Las funciones de la agencia son: Atender peticiones y reclamaciones de personas afectadas. Informar a los interesados sobre sus derechos en esta materia. Potestad sancionadora. Control y Adoptar las autorizaciones que procedan en relación con los movimientos internacionales de datos. Velar por cumplimiento de legislación en materia de protección de datos. Investigación y auditorías preventivas. Responsable del Tratamiento de Datos. Quien en su propio nombre, sin actuar por cuenta de otro, establezca relaciones con afectados Quien figurando como encargado de tratamiento utilice datos para sus propias finalidades. Universidad de Burgos Alejandro José Álvarez López  Fundamentos Deontológicos y Jurídicos de las TIC 24/25 U3 Las funciones del responsable del tratamiento de datos son: Aplicará medidas técnicas y organizativas apropiadas a fin de garantizar y demostrar que el tratamiento es conforme al REGLAMENTO. Dichas medidas se revisarán y actualizarán cuando sea necesario. Valorar si procede la realización de la evaluación de impacto en la protección de datos. Mantener el registro de actividades de tratamiento. Bloquear los datos cuando proceda a su rectificación o supresión. Decide al finalizar el tratamiento los datos del encargado deben ser destruidos, devueltos al responsable o entregados, en su caso, a un nuevo encargado”. El responsable del fichero debe cumplir las siguientes condiciones con los “DATOS SENSIBLES”: 1) Derecho a no declarar sobre ideología, afiliación sindical, religión y creencias (art. 16.2 de la CE) y debe advertirse al interesado de su derecho a no prestarlo. El tratamiento de estos datos solo podrá realizarse con el consentimiento expreso y por escrito del interesado. 2) El tratamiento de datos que reflejan origen racial, salud y vida sexual, sólo pueden ser recabados, tratados y cedidos cuando, por razones de interés general o sean necesarios para la prevención o diagnósticos médicos y así se disponga y con consentimiento expreso del interesado. 3) El tratamiento de datos relativos a infracciones penales o administrativas sólo puede ser incluido en ficheros de las administraciones públicas competentes. Lugar de Establecimiento del Responsable o del Encargado. El responsable o el encargado de tratamiento de datos de ciudadanos de la UE deben tener una dirección en la UE. En caso contrario, deben designar a un representante. Excepción: no será necesario para un tratamiento ocasional y si no incluye el tratamiento de datos especialmente protegidos o si el responsable del tratamiento es una autoridad u organismo público. Responderán solidariamente de los daños y perjuicios causados. Delegado de Protección de Datos. El Reglamento impone la creación de una nueva figura llamada Delegado de Protección de Datos (DPO, en inglés). Es el interlocutor del responsable o encargado del tratamiento de datos ante la AEPD y las autoridades autonómicas de protección de datos. CUALIFICACIÓN: Persona física o jurídica con titulación universitaria, que acredite conocimientos especializados en derecho y la práctica en materia de protección de datos. GARANTIAS: Si pertenece a la empresa no podrá: ser despedido, removido ni sancionado. Situaciones en las que es obligatorio designar un Delegado de Protección de Datos (DPO) bajo el Reglamento General de Protección de Datos (RGPD): Administración Pública. Tratamientos de datos sistemáticos y a gran escala. (Cuando una empresa realiza un seguimiento sistemático y habitual de personas a gran escala, como en los casos de estudios de solvencia o evaluaciones de mercados o riesgos). Universidad de Burgos Alejandro José Álvarez López  Fundamentos Deontológicos y Jurídicos de las TIC 24/25 U3 Tratamiento a gran escala de categorías especiales de datos personales (artículo 9 del RGPD). (Datos relativos a creencias religiosas, preferencias políticas, salud, sexualidad, etc…). Centros sanitarios que están legalmente obligados al mantenimiento de historias clínicas de pacientes. Datos relativos a condenas e infracciones penales. Las funciones del delegado de protección de datos son: 1) Informar y asesorar al responsable o al encargado del tratamiento y a los empleados. 2) Supervisar el cumplimiento del Reglamento, de otras disposiciones de protección de datos de la Unión o de los Estados miembros y de las políticas en materia de protección de datos personales. 3) Asesoramiento acerca de la evaluación de impacto relativa a la protección de datos y supervisar su aplicación. 4) Cooperar con la autoridad de control, actuando como interlocutor para cuestiones relativas al tratamiento. (Autoridades autonómicas, AEPD 10 días, listas actualizadas). El Registro de Actividades de Tratamiento de Datos (REPD). Medidas de Seguridad del Nuevo REPD. En resumen, se pueden destacar las siguientes medidas de seguridad para el nuevo REPD. 1) Protección de Datos desde el Diseño y por Defecto. Registro de actividades. Implantación medidas de seguridad. o La pseudonimización y el cifrado de datos. o Mecanismos que permitan garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes en los sistemas y servicios de tratamiento. o Mecanismos que tengan la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en casos de incidente físico o técnico. o Procesos de verificación, evaluación y valoración regulares de la eficacia de las medidas de seguridad. 2) Notificación de Violaciones de Seguridad. 3) Realización de Evaluaciones de Impacto relativas a la Protección de los Datos. 4) Nombramiento del Delegado de Protección de Datos. Protección de Datos desde el Diseño y por Defecto. El nuevo Reglamento Europeo de Protección de Datos impone la obligación a las organizaciones de que “antes, y no sólo durante, cualquier tratamiento de datos de carácter personal adopte aquellas medidas adecuadas para garantizar la seguridad de los datos (“desde el Diseño”) que impliquen únicamente el tratamiento de datos necesarios para la creación y el desenvolvimiento normal del procedimiento, producto, servicio o aplicación (“por Defecto”).” Universidad de Burgos Alejandro José Álvarez López  Fundamentos Deontológicos y Jurídicos de las TIC 24/25 U3 Los responsables y los encargados están obligados (siempre en los casos de tratamientos de datos de salud, genéticos o biométricos) a mantener un registro de las actividades de tratamiento que realicen. Este registro debe de contener al menos los siguientes datos: Identificación y datos de contacto de responsable, corresponsable, representante y delegado de protección de datos. Fines del tratamiento. Descripción de categorías de interesados y datos. Categorías de destinatarios existentes o previstos (inclusive en terceros países u organizaciones internacionales). Transferencias internacionales de datos y documentación de garantías para transferencias de datos internacionales exceptuadas sobre base de intereses legítimos imperiosos. Notificación de Violaciones de Seguridad. Pueden ser violaciones de seguridad: brechas de seguridad y exposición de los datos. El responsable de los datos debe notificar antes de 72 horas la violación de la seguridad de los datos personales a la autoridad de control competente y notificar el riesgo al interesado permitiéndole tomar las precauciones necesarias. Si no fuera posible en el plazo de 72 horas, debe acompañarse de una indicación de los motivos. Realización de Evaluaciones de Impacto. La autoridad de control indicará una lista de los tipos de tratamiento que requieren una evaluación de impacto. Esta evaluación del impacto debe ser previa cuando se considere que existe un alto riesgo debido a el tipo de datos, medios o fines para los que se realiza el tratamiento. Debe consultarse a la autoridad de control antes de iniciar las actividades de tratamiento si una evaluación de impacto muestra que entrañaría un alto riesgo para los derechos y libertades de las personas físicas, y ese riesgo no puede mitigarse por medios razonables en cuanto a tecnología disponible y costes de aplicación. La evaluación del impacto de la protección de datos se debe llevar a cabo de la siguiente manera: Análisis del riesgo permite a los responsables del tratamiento tomar medidas adecuadas para reducir dichos riesgos: o Minimizar la probabilidad de su materialización. o Minimizar las consecuencias negativas para los interesados. Asimismo, las medidas de seguridad y los protocolos que se deban llevar a cabo han de plasmarse en un Documento de Seguridad. Dicho documento deberá estar siempre a disposición de la Agencia Española de Protección de Datos para su consulta si así lo requiriera. Universidad de Burgos Alejandro José Álvarez López  Fundamentos Deontológicos y Jurídicos de las TIC 24/25 U3 Otros Aspectos para tener en cuenta de la LOPD. Códigos de Conducta y Certificación o Sellos de Marca. Se promueve la creación de mecanismos de certificación en materia de protección de datos y de sellos y marcas de protección de datos. La certificación será voluntaria. Los organismos de certificación expedirán y renovarán las certificaciones una vez informada la autoridad de control (AEPD). Inscripción de Ficheros en la AEPD. No será necesario la inscripción de ficheros en la Agencia de Protección de Datos. Obligación de crear “Procedimientos y mecanismos que se centren, en los tratamientos con un alto riesgo para los derechos y libertades de las personas físicas” debido al tipo de datos o las formas de tratarlos. Los encargados o el representante del encargado, debe mantener un registro de todas las actividades y categorías de actividades de tratamiento. Obligatorios para: Empresa u organización con 250 o más personas. Cuando el tratamiento que se realice pueda entrañar un riesgo. Plazo de Conservación de Datos Personales. El mínimo necesario. No más tiempo del necesario para los fines del tratamiento de los datos personales. El responsable del tratamiento ha de establecer plazos para su supresión o revisión periódica (software de borrado de datos programado). Los datos deben ser conservados durante los plazos que se señalen en las disposiciones aplicables o si así está previsto en las relaciones contractuales entre el responsable y el interesado, siempre que sirva a finalidades legítimas cumplimiento del contrato. Deber de Cancelación. Se debe destruir o devolver los datos al responsable una vez cumplida la prestación contractual. Bloqueo de Datos. El Responsable del tratamiento deberá conservar los datos, sin que nadie pueda acceder a ellos, para poder utilizarlos para determinadas reclamaciones de las administraciones competentes. Esto debe darse en los siguientes casos: Interesado solicite rectificación de datos inexactos. Interesado solicite supresión de datos. Periodos Largos de Conservación. Sólo pueden conservarse durante períodos más largos si existe una previsión legal que exija su conservación: Archivo en interés público. Archivos con fines de investigación científica o histórica. Archivos con fines estadísticos. Universidad de Burgos Alejandro José Álvarez López  Fundamentos Deontológicos y Jurídicos de las TIC 24/25 U3 El responsable del fichero garantizará dicha conservación, siendo en ocasiones preciso, la seudonimización de los datos. Responsables de Sanciones. Pueden ser responsables de las sanciones los siguientes agentes: Los responsables de los tratamientos. Los encargados de los tratamientos. Los representantes de los responsables o encargados de los tratamientos no establecidos en el territorio de la Unión Europea. Las entidades de certificación. Las entidades acreditadas de supervisión de los códigos de conducta. NO es responsable de sanciones el DELEGADO de protección de datos. Las Infracciones. Las infracciones se califican como: Prescribirán al año, a los dos años y a los 3 años respectivamente. Casos Especiales. Dispone sanciones muy severas contra los responsables o encargados del tratamiento: Multa de hasta 20 millones de euros o un 4% del volumen del negocio total anual global del ejercicio financiero anterior: o Derechos de los afectados. o Incumplimiento de los principios básicos del tratamiento. Multa de hasta 10 millones de euros o un 2% del volumen del negocio total anual global del ejercicio financiero anterior: o No adoptar medidas de seguridad apropiadas. o No nombrar a un delegado de protección de datos cuando sea obligatorio. Más indemnización por daños y perjuicios. Ejemplos de Infracciones. LEVES: No facilitar toda la información exigida. GRAVES: Mantener ficheros sin condiciones de seguridad. No disponer Registro de Actividades de Tratamiento. Tratamiento de Datos sin consentimiento. Impedir acceso y rectificación. Cesión de datos. MUY GRAVES: Recogida de datos de forma engañosa. Tratamiento de datos sensibles. Tratamiento datos finalidad diferente a la del consentimiento. Incumplimiento de “Bloqueo de datos”. Transferencia de datos a países con menor protección legal que en España. Universidad de Burgos Alejandro José Álvarez López