La Ley Orgánica de Protección de Datos, LOPD, tiene como objetivo el defender un derecho fundamental de los individuos: el honor e intimidad personal y familiar. Se trata de una Ley que nos ofrece, como ciudadanos, una serie de garantías que se transforman para las empresas en obligaciones respecto a sus clientes, proveedores y personal.
Los datos de carácter personal son un aspecto más de la gestión de la información en la empresa. Su correcto manejo puede suponer un uso más eficiente de los recursos, una oportunidad para aportar valor añadido a nuestra organización y ofrecer un producto de mayor calidad a los clientes.
La Ley afecta a los datos de carácter personal registrados en soporte físico (papel y cualquier medio informático) que los haga susceptibles de tratamiento.
Sin embargo la ley no es de aplicación a:
- Datos de personas jurídicas (empresas, organizaciones, etc.) ni fallecidas.
- Ficheros dedicados exclusivamente a actividades personales o domésticas.
- Ficheros que se limiten a incorporar los datos de las personas físicas que presten sus servicios en empresas, consistentes únicamente en su nombre y apellidos, las funciones o puestos desempeñados, así como la dirección postal o electrónica, teléfono y número de fax profesionales.
- Datos personales de autónomos, cuando hagan referencia a ellos como empresarios individuales.
CUESTIONES BÁSICAS
El responsable de un fichero es la entidad, persona u órgano administrativo que decide sobre la finalidad, contenido y uso del tratamiento de los datos personales.
- La empresa debe adoptar todas las medidas necesarias para garantizar la seguridad de los datos personales e impedir cualquier alteración, pérdida, tratamiento o acceso no autorizado. En este punto se incluye la prohibición de ceder datos de forma no autorizada por el interesado.
- Los datos de carácter personal serán exactos y puestos al día regularmente. La empresa debe velar por el adecuado cumplimiento de los derechos de Acceso, Rectificación, Cancelación y Oposición.
- Las personas a las que se les solicitan los datos deberán ser informadas de forma expresa, precisa e inequívoca de:
- La existencia del fichero
- Su finalidad
- De la posibilidad de ejercitar sus derechos
- De la identidad del propietario del fichero.
NIVELES DE PROTECCIÓN
La Ley establece diferentes grados de protección en función de la tipología y naturaleza de datos tratados.
- Nivel alto: datos de ideología, afiliación sindical, religión, creencias, origen racial, salud, vida sexual y los derivados de actos de violencia de género.
- Nivel medio: comisión de infracciones administrativas o penales, solvencia patrimonial y crédito, administraciones tributarias, de prestación de servicios financieros, mutuas de accidentes de trabajo y enfermedades profesionales, Entidades Gestoras y Servicios Comunes de Seguridad Social (gestorías).
- Nivel básico: nombre, dirección, teléfono, correo electrónico, DNI y en general los que no estén incluidos en los niveles medio o alto
Las medidas a aplicar son progresivas (las de nivel medio incorporan las de nivel básico, y las de nivel alto incluyen las de nivel medio). Entre las medidas de carácter básico y, por tanto, comunes, están:
- Identificar e inscribir los ficheros que contienen datos personales. Se puede llevar a cabo por vía electrónica. Ejemplo: fichero pacientes, fichero informes, fichero nóminas, fichero clientes, etc. En la web de la Agencia se facilitan las instrucciones necesarias para llevar a cabo este trámite.
- Redactar el Documento de Seguridad adaptado a las características de la organización y del nivel de protección requerido, detallando las medidas adoptadas. En la web de la Agencia también se dispone de guías para que cada empresa las personalice y adapte a sus características.
- Redactar contratos para suscribir con colaboradores, asesores, etc. que accedan a los datos de carácter personal de la empresa.
- Solicitar el consentimiento de los afectados para la utilización de sus datos, cuando éstos no se hayan obtenido de medios accesibles al público.
Los ámbitos que deben considerar las empresas para cumplir con los requisitos de la LOPD son:
- Proveedores. En general se tratará de empresas (datos no afectados por la LOPD), pero debe verificarse la tipología de los datos que se incluyen.
- Clientes. En función de la actividad puede tratarse de empresas o particulares. La empresa debe tener presente que la información que se recopile debe ser únicamente la necesaria y que se informa debidamente de ello.
- Personal. Se deben tener en cuenta procesos de selección, gestión de nóminas, prevención de riesgos laborales, control de acceso y videovigilancia.
