¿Qué Derechos tiene el interesado? ¿De que se le informará? ¿Hace falta su consentimiento para el tratamiento de datos personales?
Derecho de Información en la recogida de datos: Los interesados a los que se soliciten datos personales deberán ser previamente informados:
- De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante
- La existencia de un fichero o tratamiento en el que incluirán nuestros datos.
- Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
- De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
- La finalidad, para la qué los necesitan o requieren.
- Si los van a facilitar con posterioridad a un tercero.
- Como ejercitar los derechos de acceso y rectificación.
Cuando los datos no se han recogido directamente de la persona interesada, los responsables deben informarle dentro de los tres meses siguientes al momento del registro de los datos, salvo que ya hubiera sido informado con anterioridad.
Consentimiento del afectado:
- REGLA GENERAL: los datos personales solamente pueden recogerse y emplearse si se cuenta con el consentimiento inequívoco del afectado. Este consentimiento es revocable.
- EXCEPCIÓN: si la Ley disponga otra cosa.
- Supuestos en los que los datos de carácter personal pueden tratarse sin autorización del afectado:
Cuando los datos se recojan para el ejercicio de las funciones propias de las Administraciones Públicas
Que sean necesarios para formalizar un contrato
Cuando se utilizan datos que figuren en fuentes accesibles al público
- Datos especialmente protegidos: Medidas de protección estrictas para los datos clasificados como especiales: SALUD, ORIGEN RACIAL O ÉTNICO, VIDA SEXUAL, IDEOLOGÍA, AFILIACIÓN SINDICAL, RELIGIÓN O CREENCIAS. Sólo podrán ser recogidos, tratados o cedidos, con el consentimiento expreso y por escrito del afectado. Sin embargo, estos tipos de datos sí podrán tratarse cuando resulte necesario para la prevención o para el diagnóstico médico, la prestación de asistencia sanitaria o tratamientos médicos, o la gestión de servicios sanitarios.
Comunicación o cesión de datos: Una cesión o comunicación de datos se produce cuando el dato se facilita, aunque sólo sea para su consulta a alguien distinto del responsable, de las personas que prestan sus servicios en la entidad, o del afectado cuyos datos se traten. En estos casos, sólo con consentimiento o cuando una Ley lo permita pueden cederse datos personales.
¿Cómo deben tratarse los datos por parte del Responsable del tratamiento?
- Debe GARANTIZARSE LA CALIDAD DE LOS DATOS.
- Los datos de carácter personal NO PODRÁN USARSE para finalidades distintas de aquellas para las que hayan sido recogidos (Art. 4 LOPD)
- OBLIGATORIEDAD DEL SECRETO PROFESIONAL: los Responsables de los ficheros están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero
- EXACTITUD: Los datos serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado.
- El responsable debe ACTUAR DE MODO LEGAL Y LÍCITO EN LA RECOGIDA de datos, no puede ni debe usar engaños o infringir la ley.
- Redacción e implantación del documento de seguridad: que incluya toda la normativa de seguridad de índole técnica y organizativa necesaria para garantizar la seguridad de los datos objeto de tratamiento. Será de obligado cumplimiento para el personal con acceso a los datos automatizados de carácter personal y a los sistemas de información.
- Inscripción de los ficheros en el Registro General de la Agencia Española de Protección de Datos (RGPD), en el caso de ficheros de titularidad pública con la previa publicación en Boletín Oficial de una Disposición General con la declaración de los ficheros.
- Auditoría cada dos años del cumplimiento de la legislación y de los procedimientos de seguridad.
¿Qué derechos tiene el interesado?
- Derecho de acceso. En la página web de la Agencia de Protección de Datos (AEPD), se facilitan unos modelos de cartas para poder hacer una solicitud de información ante cualquier empresa u organismo. http://www.agpd.es. La petición debe ser atendida en el plazo máximo de un mes a contar desde la recepción de la solicitud, momento a partir del cual el acceso deberá hacerse efectivo en un máximo de 10 días hábiles. Sólo podrá ser ejercitado a intervalos no inferiores a doce meses, salvo que se acredite un interés legítimo al efecto. El afectado podrá optar por recibir la información a través de uno o varios de los siguientes sistemas de consulta del fichero:
- Visualización en pantalla.
- Escrito, copia o fotocopia remitida por correo, certificado o no.
- Correo electrónico u otros sistemas de comunicaciones electrónicas.
- Cualquier otro sistema que sea adecuado a la configuración o implantación material del fichero o a la naturaleza del tratamiento, ofrecido por el responsable.
- Derecho de Rectificación (corregir errores o modificar datos inexactos o incompletos). El responsable del fichero resolverá sobre la solicitud de rectificación o cancelación en el plazo máximo de 10 días hábiles a contar desde la recepción. Si los datos rectificados hubieran sido cedidos previamente, el responsable del fichero deberá comunicar la rectificación efectuada al cesionario, en idéntico plazo, para que éste, también en el plazo de diez días contados desde la recepción de dicha comunicación, proceda, asimismo, a rectificar los datos.
- Derecho de Cancelación: implica el bloqueo de los datos, consistente en la identificación y reserva de los mismos con el fin de impedir su tratamiento excepto para su puesta a disposición de las Administraciones Públicas, Jueces y Tribunales. Transcurrido el plazo legal de prescripción de las responsabilidades legales derivadas del tratamiento, deberá procederse a la supresión de los datos. Plazo máximo para resolver: 10 hábiles a contar desde la recepción.
- Derecho de oposición. Puede ejercitarse en tres supuestos:
- Cuando no sea necesario su consentimiento para el tratamiento, como consecuencia de la concurrencia de un motivo legítimo y fundado, referido a su concreta situación personal, que lo justifique, siempre que una Ley no disponga lo contrario.
- Cuando se trate de ficheros que tengan por finalidad la realización de actividades de publicidad y prospección comercial.
- Cuando el tratamiento tenga por finalidad la adopción de una decisión referida al afectado y basada únicamente en un tratamiento automatizado de sus datos de carácter personal.
En todos los casos el derecho de oposición deberá ser atendido en un máximo de 10 días hábiles.
¿Qué puede hacer el interesado si no se ha respetado sus derechos?
Pueden presentar denuncia poniendo en conocimiento de la Agencia la existencia de un determinado hecho que pudiera constituir infracción administrativa en materia de protección de datos. ¿Cómo?
- Enviarla por correo postal o,
- a través de la sede electrónica de la agencia (http://sedeagpd.gob.es/sede-electronica-web/)
Dicho escrito deberá contener:
- a) Nombre y apellidos del interesado y, en su caso, de la persona que lo represente, así como la identificación del medio preferente o del lugar que se señale a efectos de notificaciones.
- b) Hechos, razones y petición en que se concrete, con toda claridad, la solicitud.
- c) Lugar y fecha.
- d) Firma del solicitante o acreditación de la autenticidad de su voluntad expresada por cualquier medio.
- e) Órgano, centro o unidad administrativa a la que se dirige.
Igualmente, las denuncias deberán expresar la identificación de los presuntos responsables y acompañar los documentos o cualquier otro tipo de prueba o indicio que permita corroborar los hechos denunciados.
La página web dispone de modelos de reclamaciones en el Canal del Ciudadano.
¿Puede pedir indemnización en la denuncia?
Sí, la ley reconoce un derecho de indemnización, en el caso de que sufran daño o lesión en sus bienes o derechos, como consecuencia del incumplimiento de lo dispuesto en la misma por el responsable o el encargado del tratamiento.
Infracciones LOPD: Sanciones a los Responsables de los ficheros que contengan datos de carácter personal:
- LEVES. Este tipo de infracciones pueden originarse por: No solicitar la inscripción del fichero de datos; Incumplimiento del deber de información al afectado; No atender la solicitud del interesado de rectificación o cancelación.
- GRAVES. Pueden originarse, entre otros, por: Creación de ficheros de titularidad pública sin autorización; Tratar los datos de carácter personal sin recabar el consentimiento; Denegar derechos de acceso, rectificación, cancelación y oposición; Mantener los ficheros sin las debidas condiciones de seguridad.
- MUY GRAVES. Pueden originarse, entre otras, por: Recogida de datos en forma engañosa, Ceder datos de carácter personal especialmente protegidos; Transferencia internacional de datos de carácter personal.