Qué se entiende por DATOS DE CARÁCTER PERSONAL?

GRUPO GIE
INTRODUCCIÓN A LA L.O.P.D.
La Ley:
El artículo 1 de la Ley Orgánica 15/1.999 de 13 de diciembre, relativa a la Protección de Datos de Carácter
Personal, determina que el OBJETO de esta Ley es: “GARANTIZAR Y PROTEGER en lo que concierte al
TRATAMIENTO de los DATOS PERSONALES, las libertades públicas y los derechos fundamentales de las
PERSONAS FÍSICAS y especialmente de su HONOR E INTIMIDAD personal y familiar”.
¿Qué se entiende por DATOS DE
CARÁCTER PERSONAL?:
El artículo 3.1. del mismo Cuerpo Legal define que son datos de carácter personal: “CUALQUIER
INFORMACIÓN CONCERNIENTE A PERSONAS FÍSICAS IDENTIFICADAS O IDENTIFICABLES”.
Con mejor acierto, el artículo 5.1 f) del Real Decreto 1720/2.007, de 21 de diciembre, por el que se aprueba
el Reglamento de la LO 15/99, señala que son datos de carácter personal: “CUALQUIER INFORMACIÓN,
REPRESENTACIÓN NUMÉRICA, ALFABÉTICA, GRÁFICA, FOTOGRÁFICA, ACÚSTICA O DE CUALQUIER TIPO
concerniente a PERSONAS FÍSICAS identificadas o identificables”.
Por lo tanto, el concepto coloquial que pudiéramos tener relativo a los datos de carácter personal
entendidos como una representación completa de la identidad de una persona, no sería suficiente con
arreglo a la LO 15/99; ya que, como hemos visto, cualquier información o representación (imagen, voz, nº de
teléfono, nº de DNI) que sirva para identificar a una persona, es un dato de carácter personal.
Ámbito de aplicación:
El artículo 2 de la LO 15/99 determina que será de aplicación a esta Ley “los DATOS DE CARÁCTER
PERSONAL REGISTRADOS EN SOPORTE FÍSICO que los haga susceptibles de tratamiento, y a toda
modalidad de uso posterior de estos datos por los sectores públicos y privados”.
A efectos de la Ley, un soporte físico (ya sea PAPEL o INFORMÁTICO) se considera FICHERO DE DATOS.
¿Qué se entiende por FICHERO de DATOS?:
Según el artículo 3 de la LO 15/99, FICHERO es “TODO CONJUNTO DE ORGANIZACIÓN DE DATOS de carácter
personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y
acceso”.
PRIMERAS CONCLUSIONES:
 La Ley de Protección de Datos de Carácter Personal SOLO es de aplicación a los datos de PERSONAS
FÍSICAS. No debemos, por tanto, de proteger o registrar los datos de personas jurídicas, ya que estos
Documento redactado por Raimundo Díaz Valentín. Ed. 1/2009. ©
GRUPO GIE
INTRODUCCIÓN A LA L.O.P.D.
siempre son públicos (Registro Mercantil, Hacienda, etc.). Sin embargo, ya entraríamos en el ámbito
de aplicación de la LOPD si registramos (entendiéndose por captar, almacenar, etc.) los datos
personales del gerente de una compañía mercantil, la personal de contacto en la empresa, un
comercial, etc.
 Los datos susceptibles de protección son cualquier información que sirva para identificar a una
persona física.
 Los datos de carácter personal deben estar registrados en algún soporte físico. Insistimos, es
independiente que sea en formato papel, digital, etc.
¿Qué OBLIGACIONES tiene la empresa?:
A. En primer lugar, se debe INSCRIBIR O REGISTRAR EL FICHERO, esto es, COMUNICAR
a la Agencia de
Protección de Datos que se dispone de un fichero; identificar su denominación, los campos o tipos
de datos personales que van a ser almacenados en dicho fichero y quién es el responsable o
encargado del tratamiento de este fichero. Hay que precisar, que no es necesario comunicar cada
uno de los datos personales que componen el fichero, solo la tipología. Para ello, es conveniente
realizar previamente un CUESTIONARIO.
En razón a la tipología de los datos, se determina el NIVEL DE SEGURIDAD que le es de aplicación, esto
es, las medidas de seguridad, de índole técnica y organizativa, que debe implantar la empresa para, de
acuerdo con el objeto de la Ley, garantizar y proteger los datos de carácter personal.
A efectos ilustrativos, señalamos que son ficheros o tratamientos con datos de:
Nivel alto.
de ideología, afiliación sindical, religión, creencias, origen racial, salud o vida sexual y respecto de los
que no se prevea la posibilidad de adoptar el nivel básico;
recabados con fines policiales sin consentimiento de las personas afectadas; y
derivados de actos de violencia de género.
Nivel medio.
relativos a la comisión de infracciones administrativas o penales;
que se rijan por el artículo 29 de la LOPD (prestación de servicios de solvencia patrimonial y crédito);
de Administraciones tributarias, y que se relacionen con el ejercicio de sus potestades tributarias;
de entidades financieras para las finalidades relacionadas con la prestación de servicios
financieros.ocumento de Seguridad
Documento redactado por Raimundo Díaz Valentín. Ed. 1/2009. ©
GRUPO GIE
INTRODUCCIÓN A LA L.O.P.D.
de Entidades Gestoras y Servicios Comunes de Seguridad Social, que se relacionen con el ejercicio de
sus competencias;
de mutuas de accidentes de trabajo y enfermedades profesionales de la Seguridad Social;
que ofrezcan una definición de la personalidad y permitan evaluar determinados aspectos de la
misma o del comportamiento de las personas; y
de los operadores de comunicaciones electrónicas, respecto de los datos de tráfico y localización
Nivel básico.
Cualquier otro fichero que contenga datos de carácter personal.
B. El artículo 9 de la LO 15/1999,establece en su punto 1 que “el responsable del fichero, y, en su caso,
el encargado del tratamiento, deberán ADOPTAR LAS MEDIDAS DE ÍNDOLE TÉCNICA Y
ORGANIZATIVAS NECESARIAS QUE GARANTICEN LA SEGURIDAD DE LOS DATOS DE CARÁCTER
PERSONAL Y EVITEN SU ALTERACIÓN, PÉRDIDA, TRATAMIENTO O ACCESO NO AUTORIZADO,
habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que
están expuestos, ya provengan de la acción humana o del medio físico o natural”.
Esta obligación se resume en CREAR UN DOCUMENTO DE SEGURIDAD, una vez se hayan inscrito los
ficheros. A efectos prácticos significa que:
Por un lado, cualquier empleado que maneje datos de carácter personal de nuestros clientes, deberá
tratarlos y almacenarnos con arreglo a las directrices marcadas por la empresa, utilizando, en todo caso, los
protocolos, bases de datos, ficheros y demás documentos que ponga a disposición la empresa para la
captación y almacenamiento de datos. VÉASE EL DOC. DE CLÁUSULAS Y FORMULARIOS.
Concretamente, como medida de índole técnica y organizativa, la empresa creará un documento de
seguridad que será entregado a cada empleado para su conocimiento y aplicación, con el fin de garantizar la
protección, confidencialidad, integridad y disponibilidad de los datos de carácter personal; de suerte que:
En todo momento, se informará al usuario/cliente que sus datos personales serán incorporados a
un fichero identificado y con una finalidad de tratamiento previamente determinada, debiendo el
usuario/cliente de consentir que sus datos sean cedidos o comunicados para otra finalidad
diferente a la inicial.
Igualmente, se informará al usuario/cliente de los derechos que le asisten para acceder, rectificar
o cancelar sus datos personales, poniendo a su disposición los documentos-modelos precisos en
cada caso.
Queda prohibida la cesión de datos de carácter personal de los usuarios/clientes de la empresa,
salvo los supuestos autorizados, debiendo en todo momento de garantizar su confidencialidad.
Documento redactado por Raimundo Díaz Valentín. Ed. 1/2009. ©
GRUPO GIE
INTRODUCCIÓN A LA L.O.P.D.
Por otro lado, en el documento de seguridad se deben identificar a tres personas, particularmente:
1) El responsable del fichero o tratamiento, que es la persona física o jurídica que decide sobre la
finalidad, contenido y uso del tratamiento de los datos. Lo que viene a ser, en la práctica, la propia
empresa.
2) El encargado del tratamiento, que es la persona, profesional o empresa, que presta un servicio al
responsable del fichero; y en caso de que no lo preste un servicio, será la propia empresa o
responsable del fichero, es decir, que ambos coincidirán.
Por ejemplo, si una empresa comunica los datos de sus clientes a una gestoría para que ésta le realice la
contabilidad, el encargado del tratamiento de los datos de estos clientes, será dicha gestoría. En cambio,
si es la propia empresa la que hace su contabilidad con estos datos, entonces, el encargado del
tratamiento es a la vez el responsable del fichero.
3) El administrador del sistema, que es el encargado de administrar y mantener el entorno operativo
de los ficheros; es decir, que se encargará del tratamiento de los respaldos de seguridad, gestión de
altas de usuarios y contraseñas y administración de soportes de las bases de datos.
C. Por último, EVITAR LA CESIÓN INCONSENTIDA DE LOS DATOS DE CARÁCTER PERSONAL, puesto que
dicha obligación comprende la mayor infracción y consiguiente sanción en materia disciplinaria por
parte de la Administración.
En este sentido, debemos diferenciar lo que es CESIÓN DE DATOS de la COMUNICACIÓN DE DATOS,
necesaria cuando sea preciso que un tercero nos preste un servicio; por ejemplo, una gestoría para elaborar
las nóminas de los empleados. En estos casos, NO ES NECESARIO el consentimiento del titular de los datos,
sino DOCUMENTAR la relación contractual o de prestación de servicios, a través de un documento de
externalización, en el cual, el encargado del tratamiento de los datos (por ejemplo, el gestor) se
compromete a guardar CONFIDENCIALIDAD.
Pasemos, por tanto, a definir una serie de conceptos básicos:
1) Comunicación de datos: son aquellas revelaciones de datos a terceros que sean necesarios para el
cumplimiento directo relacionado con la finalidad de la relación jurídica y/o cuando alguna Ley lo
autorice.
Por ejemplo, la comunicación de datos de los trabajadores de una empresa a la Seguridad Social, que
viene contemplada en la propia Ley como comunicación de datos.
Documento redactado por Raimundo Díaz Valentín. Ed. 1/2009. ©
INTRODUCCIÓN A LA L.O.P.D.
GRUPO GIE
2) Cesión de datos: son aquellas revelaciones de datos a terceros más allá del cumplimiento directo
relacionado con la finalidad de la relación jurídica establecida. Requiere el CONSENTIMIENTO
EXPRESO de la persona afectada. Asimismo, se entiende por consentimiento, toda manifestación de
voluntad, libre, inequívoca, específica e informada, mediante la cual una persona muestra su
conformidad con que sus datos sean tratados.
Por ejemplo, si una empresa revela los datos de sus clientes a una entidad financiera para que le pueda
ofrecer a éstos un fondo de inversión.
La cesión, por tanto, se diferencia de la comunicación de datos en que la empresa a la que se revelan
los datos, los va a utilizar para fines propios, y no para prestarle un servicio a la empresa.
EN LA PRÁCTICA
¿Qué ficheros vamos a INSCRIBIR?:
Principalmente, dos y de tipo básico.
CLIENTES Y PROVEEDORES
PERSONAL Y RR.HH.
¿Qué PASOS vamos a seguir?:
1. Inscribir los ficheros.
2. Divulgar e implantar las cláusulas editadas para la captación, almacenamiento y tratamiento
de datos, así como los formularios sobre el ejercicio de los derechos de los usuarios y titulares
de los datos: acceso, oposición, rectificación y cancelación de datos.
3. Crear un documento de seguridad: dentro de los anexos se incluirán las cláusulas y formularios
antes mencionados.
4. Divulgar entre los empleados un documento de confidencialidad de datos.
5. Suscribir un contrato de tratamiento de datos con nuestros proveedores de servicios a los que
les debamos comunicar datos de carácter personal, comprendiendo la obligación de éstos de
guardar confidencialidad sobre los mismos.
Documento redactado por Raimundo Díaz Valentín. Ed. 1/2009. ©