Jornada sobre el nuevo Reglamento de la LOPD

Ayer asistí, junto con Andy y otros 280 interesados, a un desayuno de trabajo organizado por Landwell-PricewaterhouseCoopers e INTECO, sobre el nuevo Reglamento de desarrollo de la Ley Orgánica de Protección de Datos.

Como sabéis, el próximo 19 de abril de 2008 entrará en vigor el Reglamento de desarrollo de la LOPD, que incrementa el nivel de protección de los datos personales y lo extiende a los que se encuentren en soporte papel. Las empresas deberán adecuarse, por tanto, a las medidas contempladas en la mencionada normativa.

Mis impresiones sobre las ponencias son excelentes. Por su especial interés para los lectores de este blog, en el presente post trataré de resumiros las impartidas por:

• D. Xavier Ribas, Socio de Landwell-PwC que aproveché para saludar y, como él me dijo, “ponernos cara”
• D. José Guerrero Zaplana, Magistrado Sección 1ª de la Audiencia Nacional
• D. Carlos Rodríguez Sau, Socio de Landwell-PwC

 

1) D. Xavier Ribas. La generación de pruebas para acreditar el cumplimiento de las medidas de seguridad.

En primer lugar, hizo alusión al gran número de actuaciones iniciadas por la Agencia Española de Protección de Datos (AEPD) en 2006: 1282 de las cuales 301 derivaron en procedimiento sancionador. La Audiencia Nacional, por su parte, entró a conocer 118 recursos, estimando sólo 18. En su opinión, parece que con el nuevo Director de la AEPD Artemi Rallo, las cuantías de las sanciones impuestas han disminuido de forma considerable.

Acto seguido nos comentó un caso curioso en el que, por un error humano al cruzar los registros de un fichero con los contenidos en una lista Robinson (fichero en el que se apuntan quienes no quieran recibir publicidad comercial), una empresa realizó un mailing masivo a todos los registros incluidos en la mencionada lista Robison. Por tanto, para D. Xavier el objetivo de toda empresa debe centrarse en poder acreditar el esfuerzo preventivo realizado así como poder demostrar que el error ha sido inevitable

Para ello se hace necesario establecer una política de recopilación de evidencias consistente en:

• Controles periódicos
• Auditorías bienales
• Creación de evidencias
• Organización y sistematización

Merecen una especial atención las siguientes elementos:

• Logs de navegación
• CGC y formulario web, que se modifican constantemente
• Soportes que se degradan con el transcurso del tiempo, como es el caso del: papel térmico o químico

Por último, y como ejemplo de evidencias que recomienda recabar, quiso destacar las siguientes:

• Escaneado de los consentimientos otorgados por los titulares de los datos
• Escaneado de documentos con certificación de un tercero para constatar que se ha dado información suficiente al titular de los datos
• Formación, controles, medidas correctoras y doble validación para evitar, en la medida de lo posible, el error humano
• Revisión anual de los proveedores que acceden a los datos, así como de los contratos firmados con ellos
• Pruebas de haber contestado dentro de plazo establecido en la normativa a la solicitud de los derechos ejercitados por los titulares de los datos
• Protocolizar nuestras páginas webs
• Proceder a la destrucción del papel con una auditoría del proveedor

 

2) D. José Guerrero. Últimas sentencias dictadas en materia de protección de datos.

En su opinión, hay 44 tipos de conductas sancionables en la LOPD. Las principales empresas sancionadas son las de telefonía, las de venta telefónica y las que prestan servicios financieros.

Las sanciones suelen imponerse por los siguientes motivos:

• Respecto al principio de consentimiento (art.. 6 LOPD)
  • Por incorporar registros a ficheros sin el pertinente consentimiento del titular de los datos
  • Por la existencia de “contratos falsos” (en preasignaciones, principalmente) en los que queda demostrado que el titular no dio su consentimiento y que, por tanto, su identidad fue suplantada
• Por tratamientos de datos sin el consentimiento del titular
• Respecto al principio de calidad de los datos (art. 4 LOPD): Por anotar en los registros de morosos a personas con deudas inciertas o a aquellas a las que no se les ha requerido previamente el pago, tal y como establece la normativa aplicable
• Respecto a la cesión de datos (arts. 11 y 12 LOPD):
  • En contratos entre empresas cuyo objeto supone la cesión del listado de clientes sin contar con el consentimiento de los titulares
  • En los contratos de outsorcing que no respetan la obligación de contar con el consentimiento de los titulares para que se produzca la cesión de sus datos
• Por infracción del deber de secreto (art. 10 LOPD), como pudiera ocurrir con las entidades financieras que ofrecen información indebida a una persona, por no ser ella la titular de la cuenta bancaria

A continuación, un listado de sentencias que pudieran resultar de interés en esta materia:

• Contratación de suministro sin consentimiento: 265/2006 y 91/2007
• Tratamiento de firma digitalizada en las compras con tarjeta de crédito
• Publicación de las retribuciones de los concejales: 336/2006
• Consentimiento para el “análisis de sangre” que da lugar a la práctica de la prueba del SIDA: 352/2006

 

3) D. Carlos Rodríguez Sau. Principales novedades del Reglamento de desarrollo de la LOPD y consejos prácticos.

En esta presentación se analizaron las principales novedades que se derivan del Reglamento. A continuación os doy detalle de cuáles son, en su opinión, los artículos que hay que observar con detenimiento:

• Artículo 2. Ámbito objetivo de aplicación
• Artículo 14. Forma de recabar el consentimiento
• Artículo 19. Supuestos especiales
• Artículo 26. Ejercicio de los derechos ante un encargado del tratamiento
• Artículo 36. Derecho de oposición a las decisiones basadas únicamente en un tratamiento automatizado de datos
• Artículo 38. Requisitos para la inclusión de los datos
• Artículo 39. Información previa a la inclusión
• Artículo 42. Acceso a la información contenida en el fichero
• Artículo 46. Tratamiento de datos en campañas publicitarias
• Artículo 46. Tratamiento de datos en campañas publicitarias
• Artículo 57. Ficheros en los que exista más de un responsable
• Título VII. Códigos tipo
• Título VI. Transferencias Internacionales De Datos
• Título VIII. De las medidas de seguridad
• Título IX. Procedimientos tramitados por la AEPD
• Disposición Adicional Única. Productos de software

En definitiva, una jornada de alto nivel en la se hizo consciente a la audiencia de la importancia de la protección de datos en las empresas, principalmente por lo elevado de las sanciones, y la que se dieron interesantes para cumplir con lo establecido en la recién aprobada normativa y evitar así posibles sanciones por el órgano competente.