Centros Colaboradores

PROTECCIÓN DE DATOS DE CARÁCTER PERSONAL

Junio 2007

PROTECCION DE DATOS DE CARACTER PERSONAL

Altia Consultores, S.L. Empresa especializada en soluciones avanzadas de seguridad informática y de la información cuenta con un ámbito de actuación por todo el estado español y proporciona servicios dirigidos a la protección de la información y el conocimiento de las organizaciones, aplicando metodologías y desarrollos propios. El Departamento de Protección de Datos Personales cuenta con gran experiencia en la realización de proyectos de adaptación a la normativa en organizaciones públicas y privadas. Lorena García _ Licenciada en Derecho. Consultora experta en NNTT [email protected]

2

PROTECCION DE DATOS DE CARACTER PERSONAL

objetivos

O B J

9 Fundamentos y conceptos fundamentales de la normativa que afecta a la Protección de Datos de Carácter Personal.

T

9 Instruir en las medidas organizativas y técnicas exigidas por la normativa en el tratamiento de ficheros de carácter personal.

I

9 Documento de Seguridad.

E

V O S

9 Formar en la recogida, tratamiento, conservación, acceso y cancelación de datos de carácter personal. 9 Derechos de oposición.

acceso,

rectificación,

cancelación

y

3

PROTECCION DE DATOS DE CARACTER PERSONAL

1.

Introducción y conceptos fundamentales

2.

Escenario legal

3.

Derechos del interesado

4.

Relaciones con terceros

5.

Medidas de seguridad

6.

Funciones y obligaciones

7.

Implantación de medidas

4

PROTECCION DE DATOS DE CARACTER PERSONAL

situación de incumplimiento

Encuesta seguridad de la información en el Estado: LOPD

50 %

De empresas no cumple la LOPD y reconoce que sus bases de datos son ilegales y permiten el acceso a terceros sin contrato

46 %

Consideran que sus ficheros requieren un nivel de seguridad básico. Tras analizar la tipología de datos que se manejan, el nivel de seguridad requerido es mayor

5

PROTECCION DE DATOS DE CARACTER PERSONAL

introducción La confidencialidad en el ámbito laboral ► Deber de confidencialidad Æ inherente al empleado ► Aspectos novedosos - Trabajo en equipo - Uso de Nuevas Tecnologías (TICs) f Modificación de las relaciones entre Administración / empresas/ ciudadanos. - Centralización de datos f Gestión más eficaz. ► ¿Qué hacer? 1 Garantizar los derechos de los interesados 2 Difundir y conocer Æ leyes, códigos deontológicos, normas, recomendaciones sectoriales, políticas internas de seguridad 3 Implantar en las organizaciones las salvaguardas necesarias Æ logística material y humana 4 Explicar las ventajas de la centralización de la información y las garantías de seguridad de los datos 6

PROTECCION DE DATOS DE CARACTER PERSONAL

conceptos fundamentales

Dato de carácter personal Cualquier información concerniente a personas físicas identificadas o identificables Fumador/a Enferma/o de asma [email protected]

“… toda información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo, susceptible de recogida, registro, tratamiento o transmisión concerniente a una persona física identificada o identificable”.

Fichero Todo conjunto organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso.

Soporte Cualquier objeto físico susceptible de ser tratado en un sistema de información y sobre el cual se puede grabar o recuperar datos.

7

PROTECCION DE DATOS DE CARACTER PERSONAL

conceptos fundamentales Responsable de Fichero (RF): Persona Jurídica o Física. Funciones: 9 Tomar las decisiones sobre la finalidad y usos de los ficheros. 9 Nombrar a una o varias persona/s como Responsable/s de Seguridad. 9 Notificación de Fichero/s en el Registro de la AEPD.

Responsable de Seguridad (RS): persona física, externa o interna. Funciones: 9 Controlar y coordinar el cumplimiento de las medidas de seguridad establecidas en el RMS. 9 Hacer cumplir las decisiones adoptadas por el/los RF respecto a cada uno de los ficheros.

Encargado del Tratamiento (ET): Persona Jurídica o Física. Funciones: 9 Cumplir las medidas técnico - organizativas reflejadas en el contrato de prestación de servicios. 9 Secreto profesional respecto a la información a la que tengan acceso. 9 Adoptar las mismas medidas de seguridad que el responsable del fichero respecto a los datos y ficheros a los que accedan. 8

PROTECCION DE DATOS DE CARACTER PERSONAL

1.

Introducción y conceptos fundamentales

2.

Escenario legal

3.

Derechos del interesado

4.

Relaciones con terceros

5.

Medidas de seguridad

6.

Funciones y obligaciones

7.

Implantación de medidas

9

PROTECCION DE DATOS DE CARACTER PERSONAL

escenario legal

L.O.P.D. Ley Orgánica 15/1999 de Protección de Datos de Carácter Personal La normativa afecta a todo aquel que, con fines profesionales: ► Trate datos personales (clientes, proveedores, empleados, etc.) Especial atención si se utilizan NNTT → informatización

(ficheros automatizados)

Real Decreto 994/1999, de 11 de junio, de Medidas de Seguridad ► Se establecen obligaciones que afectan a la seguridad de la información Por la tipología de los datos 9 Básico (identificativos, profesionales,etc.) 9 Medio (comisión infracciones administrativas o penales, relativos a la Hacienda pública, etc)

9 Especialmente protegidos

Por el uso que se realiza de los datos 9 acceso de terceros 9 fines promocionales 9 cesión de datos 9 transferencias internacionales

(salud, creencias, ideología, vida sexual, etc.) 10

PROTECCION DE DATOS DE CARACTER PERSONAL

escenario legal

Borrador del Nuevo Reglamento de Medidas de Seguridad Grupo de Trabajo formado por el Ministerio de Justicia y la Agencia Española de Protección de Datos ha diseñado un texto que conforma el primer borrador de Reglamento de la LOPD, que viene a plasmar dos objetivos principales:

- El desarrollo específico de aspectos jurídicos que ya venían contemplados de forma abstracta como principios generales en la LOPD, tales como el deber de información, la obtención del consentimiento, las cesiones de datos, el encargo de tratamiento, etc. - La delimitación de los procedimientos organizativos y medidas técnicas a implantar tanto en ficheros automatizados, como en ficheros no automatizados, entendiendo incluido dentro de este concepto aquellos ficheros organizados en soporte papel y de manejo manual.

11

PROTECCION DE DATOS DE CARACTER PERSONAL

escenario legal

Constitución Española Art. 18: Se garantiza el derecho al honor, a la intimidad personal y familiar. La Ley limitará el uso de la informática para garantizar el honor y la intimidad personal y familiar de la ciudadanía.

Directiva Europea 95/46/CE Protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de esos datos.

Legislación Autonómica: Leyes de protección de datos de carácter personal en el ámbito de las Administraciones Públicas y de creación de Agencias Autonómicas de Protección de Datos. ¾Ley 2/2004 de 25 febrero de ficheros de carácter personal de titularidad pública y de creación de la Agencia Vasca de Protección de Datos

L.O.P.D. 15/1999

Garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas. Ficheros excluidos Æ ámbito personal. Ámbito de aplicación: f Objetivo: Datos almacenados en un soporte físico f Subjetivo: Personas físicas f Territorial: Responsable del fichero en territorio español 12

PROTECCION DE DATOS DE CARACTER PERSONAL

escenario legal

Instrucciones de la Agencia de Protección de Datos (AEPD) Control de acceso a edificios, salas de juegos, movimientos internacionales de datos, cámaras de videovigilancia, etcétera. (Actualmente 7 instrucciones)

Agencia Española de Protección de Datos (AEPD)

http://www.agpd.es

Características: 9 Ente con personalidad jurídica propia; plena independencia de las Administraciones Públicas 9 Asignación económica a cargo de los Presupuestos Generales del Estado Funciones: ¾

Velar por el cumplimiento de la legislación sobre protección de datos

¾

Atender peticiones y reclamaciones formuladas por los interesados

¾

Proporcionar información a los interesados acerca de sus derechos

¾

Inspección

¾

Potestad sancionadora en caso de incumplimiento 13

PROTECCION DE DATOS DE CARACTER PERSONAL

escenario legal

Registro General de Protección de Datos Ente integrado en la Agencia Española de Protección de Datos que tiene por objeto la inscripción de: 1 Ficheros de los que sean titulares las Administraciones Públicas. 2 Ficheros de titularidad privada. 3 Códigos tipo.

Registros de Agencias Autonómicas Exclusiva competencia sobre ficheros de titularidad pública

Nota Importante ! La inscripción de un fichero en el Registro General de Protección de Datos, únicamente acredita que se ha cumplido con la obligación de notificación dispuesta en la LOPD, sin que de esta inscripción se pueda desprender el cumplimiento por parte del responsable del fichero del resto de las obligaciones previstas en dicha Ley y demás disposiciones reglamentarias. 14

PROTECCION DE DATOS DE CARACTER PERSONAL

escenario legal

ESCENARIO LEGAL (Servicio LANBIDE):

9Decreto 326/2003, 326/2003 de 23 de diciembre: regula el Servicio Vasco de Colocación/LANGAI artículo 1 se establece que dicho servicio es de titularidad y responsabilidad de la Dirección de Empleo y Formación y que las acciones que regula se instrumentan a través de EGAILAN S.A. “que gestionará el Servicio en los términos establecidos por el titular” y una red de centros colaboradores conectados a su sistema de información. 9Decreto 327/2003, 327/2003 de 23 de diciembre, se prevé en su artículo 1.2. la constitución de un red vasca de servicios de Orientación, constituida mediante una estructura propia y una estructura de centros o servicios colaboradores. En su artículo 12.2, se prevé la existencia de centros colaboradores en la conformación del catálogo formativo al servicio de la inserción laboral.

15

PROTECCION DE DATOS DE CARACTER PERSONAL

escenario legal

Centros Colaboradores doble vertiente • Ficheros de los Centros Colaboradores que actúan como ET: 9 DEMANDANTES POLÍTICAS ACTIVAS (ALTO) 9 CENTROS DE EMPLEO Y FORMACIÓN (BÁSICO) 9 OFERENTES DE EMPLEO (BÁSICO)

• Ficheros de los Centros Colaboradores que actúan como RF: 9 PROVEEDORES 9 PERSONAL 9 CONTROL DE ACCESO 9 CLIENTES

16

PROTECCION DE DATOS DE CARACTER PERSONAL

1.

Introducción y conceptos fundamentales

2.

Escenario legal

3.

Derechos del interesado

4.

Relaciones con terceros

5.

Medidas de seguridad

6.

Funciones y obligaciones

7.

Implantación de medidas

17

PROTECCION DE DATOS DE CARACTER PERSONAL

contenido del derecho

CONTENIDO DEL DERECHO :

Poder de disposición y control :Facultad de Consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el Estado o un particular. Y ese derecho requiere como complementos indispensables: 1. Saber en cada momento quién dispone de esos datos personales.

3. El poder oponerse a esa posesión y usos.

2. A qué uso los está sometiendo.

Presentación oposición

18

PROTECCION DE DATOS DE CARACTER PERSONAL

derecho a ser informado

Información DATOS RECABADOS DIRECTAMENTE DEL INTERESADO

Informará previamente al consentimiento para el tratamiento de los datos, sobre: La identidad del Responsable del Fichero La existencia y la finalidad de un fichero con sus datos Quienes son los destinatarios de ese fichero El carácter obligatorio o voluntario de facilitar esos datos. Las consecuencias de la negativa a facilitarlos La existencia de la posibilidad de ejercitar los derechos de acceso, cancelación, oposición y rectificación de esos datos.

Obligaciones en la recogida de la información Lanbide: a) Informar previamente a las personas que faciliten datos personales de lo que establece el artículo 5 LOPD. b) Obtener el consentimiento de esas personas para el tratamiento automatizado de sus datos personales. Para la obtención de dicho consentimiento, cuando se trate de la inscripción como demandantes de Lanbide se recogerá la firma del documento de autorización de la inscripción que se obtiene desde las aplicaciones informáticas de Lanbide ó, en caso de fallo en dicho sistemas, del equivalente en formato papel autorizado por el servicio.

19

PROTECCION DE DATOS DE CARACTER PERSONAL

derecho a ser informado

DATOS NO RECABADOS DIRECTAMENTE DEL INTERESADO

- Los datos se han obtenido de fuentes accesibles al público. - Cuando los datos han sido cedidos de una entidad a otra: En este caso el responsable del fichero cuenta con un plazo de tres meses, contados desde la fecha del registro, para informar al interesado de la procedencia de los datos y de los términos que se indican en el artículo 5.4º LOPD. 9 9 9

Excepciones : Cuando una ley así lo prevea Cuando el tratamiento tenga fines históricos, estadísticos o científicos Cuando el cumplimiento del deber de información al interesado resulte imposible o exija un esfuerzo desproporcionado, a criterio de la Agencia de Protección de Datos, en consideración al número de interesados o a la antigüedad de los datos

20

PROTECCION DE DATOS DE CARACTER PERSONAL

consentimiento

Consentimiento Comprobar que existe consentimiento del titular de cada dato antes de incluirlo en sus BBDD Todo tratamiento requiere del consentimiento previo inequívoco del afectado, salvo que una Ley disponga lo contrario. Excepciones: 1.

La Administración Pública en el ámbito de su competencia

2.

Contratos o precontratos

3.

Interés vital del interesado

4.

Datos extraídos de fuentes accesibles al público

21

PROTECCION DE DATOS DE CARACTER PERSONAL

consentimiento

¾ Los datos personales son titularidad de cada persona y sólo pueden recogerse con su consentimiento inequívoco:

TIPO DE DATOS ORIGEN RACIAL SALUD VIDA SEXUAL IDEOLOGIA AFILIACION SINDICAL RELIGION CREENCIAS RESTO DE DATOS

CONSENTIMIENTO EXPRESO

EXPRESO POR ESCRITO

TÁCITO

SIEMPRE

REVOCABLE CON CAUSA JUSTIFICADA, (ART. 6.3 LOPD)

NUNCA

PRESUNTO

22

PROTECCION DE DATOS DE CARACTER PERSONAL

Método recogida de DCP PROTECCION DE DATOS DE CARÁCTER PERSONAL

Método de recogida de datos DEMANDANTES EMPLEO: La información con datos de carácter personal que engrosa este fichero se obtiene directamente del propio interesado, durante el transcurso de sucesivas entrevistas (Colocación, Orientación). Cabe destacar que a la finalización de la entrevista de inscripción al servicio de colocación, el resultado de la misma es impreso por el técnico de LANBIDE y firmado por el propio interesado.

CENTROS DE EMPLEO Y FORMACION: Hace referencia a los Centros que colaboran en la promoción, difusión y ejecución de las distintas políticas activas. Incluye datos de carácter personal de las personas de contacto de las entidades y organismos, así como de sus representantes legales y del personal adscrito a dichos Centros, tanto de los homologados y de los centros que no necesitan de un proceso de homologación previo. Los datos de carácter personal, de los colectivos arriba indicados, se recaban a través de un formulario denominado: “SOLICITUD DE ALTA DE ENTIDAD, UBICACIONES, SERVICIOS Y PERSONAS USUARIAS PARA EL APLICATIVO DE GESTIÓN DE LANBIDE”. 23

PROTECCION DE DATOS DE CARACTER PERSONAL

Método recogida de DCP

Método de recogida de datos OFERENTES EMPLEO: Formulario Web del Servicio LANBIDE de solicitud de oferta existente y mediante la solicitud de candidatos mediante Fax.

24

PROTECCION DE DATOS DE CARACTER PERSONAL

calidad

Calidad de los datos Art. 4.1 LOPD Los datos de carácter personal sólo se podrán recoger para su tratamiento así como someterlos a dicho tratamiento, cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido.

25

PROTECCION DE DATOS DE CARACTER PERSONAL

finalidad

Todo Fichero debe tener una finalidad determinada por el Responsable del Fichero.

Ésta debe ser:

1

determinada

2

explícita

3

legítima

La finalidad del tratamiento debe ser coincidente con la finalidad de la captación y una vez se cumpla la misma, los datos deberán cancelarse

26

PROTECCION DE DATOS DE CARACTER PERSONAL

derechos ARCO

Ejercicio de derechos ARCO 9 Derechos ARCO (instrucción 1/1998) f Derechos personalísimos. f Sólo ejercidos por el afectado frente al responsable del fichero (representante legal si menor o incapaz). f Derechos independientes entre si. f Existen requisitos para su ejercicio. f Obligatoria contestación del responsable del fichero.

27

PROTECCION DE DATOS DE CARACTER PERSONAL

derechos ARCO

•Derecho a consultar el registro general de la agencia. (art. 14 de la Ley Orgánica 15/1999). El Registro General de Protección de Datos en la Agencia de Protección de Datos es un registro de consulta PÚBLICA Y GRATUITA. Inlcuso este derecho puede ejercer a través de Internet.

•Derecho de acceso a los datos (Art. 15 de la Ley Orgánica 15/1999, arts. 12 y 13 del R.D. 1332/94, normas 1ª y 2ª de la instrucción 1/1998 de la Agencia). El acceso podrá consistir en la mera consulta de los ficheros por medio de la visualización, o en la indicación de los datos objeto de tratamiento por escrito, copia, telecopia, o fotocopia, certificada o no. La información deberá ser legible e inteligible sin utilizar claves o códigos cualquiera que sea el medio utilizado. Intervalos inferiores a 12 meses. •LANBIDE:

¾Cuando sea posible: mostrar la pantalla con el CV o impreso, evitando todo el proceso de solicitud al RF. ¾Si la solicitud es de información sobre las comunicaciones de sus datos por las ofertas de trabajo: Informar al interesado sobre la existencia de “Mi Lanbidenet”: Posibilidad de consulta de las ofertas en las que ha sido candidato. 28

PROTECCION DE DATOS DE CARACTER PERSONAL

derechos ARCO

•Derechos de rectificación y cancelación

(Art. 16 de la Ley Orgánica 15/1999, arts. 15 del R.D. 1332/94, normas 1ª y 3ª de la instrucción 1/1998 de la Agencia). El interesado puede instar al responsable del fichero, a cumplir

la obligación de mantener la exactitud de los datos, rectificando o cancelando los datos de carácter personal cuando resulten incompletos o inexactos, o bien sean inadecuados o excesivos para la finalidad de la recogida, en su caso o cuyo tratamiento no se ajuste a la Ley. •LANBIDE:

¾ Cuando sea posible o máximo en 2 días: opción de modificar el CV en ese mismo centro o en otro. (rectificación) ¾ Si son datos de contacto: posibilidad de modificación por el mismo interesado en “mi lanbidenet”. (rectificación) ¾ En todos los casos: plazo de 10 días para la modificación. Si no es posible: solicitud formal LOPD. ¾ En cuanto a la cancelación: Bloqueo de datos para cualquier tratamiento excepto para la visualización por la aplicación. (cambio de opinión no implica nuevas entrevistas)

29

PROTECCION DE DATOS DE CARACTER PERSONAL

derechos ARCO

•Derecho de oposición

(Art. 6.3/6.4 Y 30.4(fines publicitarios) de la Ley

Orgánica 15/1999). El consentimiento podrá ser revocado cuando exista

causa justificada para ello y no se le atribuyan efectos retroactivos. •LANBIDE:

¾ Posibilidades: Baja de la demanda, cambio de colectivo, comprobación de disponibilidad con resultado negativo, suspensión sin intermediación. ¾ En cualquier caso: solicitud formal.

•Derecho de impugnación

(art. 13 de la Ley Orgánica 15/1999). El

afectado podrá impugnar los actos administrativos o decisiones privadas que impliquen una valoración de su comportamiento cuyo único fundamento sea un tratamiento automatizado de datos de carácter personal que ofrezca una definición de sus características o personalidad.

30

PROTECCION DE DATOS DE CARACTER PERSONAL

derechos ARCO

Modelos de formularios : “Próximamente en la Intranet” Ejemplo : Modelo de solicitud Derecho de acceso

En caso de no conocer su identidad, acudir a la AEPD

DATOS RESPONSABLE DEL FICHERO

DATOS INTERESADO O REPRESENTANTE LEGAL Plazo máximo un mes

SOLICITUD DEL DERECHO

Debe comprender: Datos,Origen,Cesionarios, Usos y finalidades

De forma gratuita FIRMA

31

PROTECCION DE DATOS DE CARACTER PERSONAL

1.

Introducción y conceptos fundamentales

2.

Escenario legal

3.

Derechos del interesado

4.

Relaciones con terceros

5.

Medidas de seguridad

6.

Funciones y obligaciones

7.

Implantación de medidas

32

PROTECCION DE DATOS DE CARACTER PERSONAL

Relaciones con terceros

Revelación de datos a personas distintas del interesado Cesión datos de carácter personal (Art. 11 LOPD)

1 Necesario el previo consentimiento del interesado. Excepciones: -

Cesión autorizada por Ley. Relación jurídica libre y legítima que implique comunicación. Entre Administraciones Públicas para fines históricos, estadísticos o científicos. Necesaria para urgencia médica o epidemiológica.

2 El interesado debe conocer la finalidad y el destinatario. 3 No aplicable si procedimiento de disociación previo.

RF RECABA CONSENTIMIENTO

CESION DE DATOS POR EL RESPONSABLE FICHERO

CONSENTIMIENTO

CESIONARIO

RESPONSABLE FICHERO

INFORMA

INTERESADO 33

PROTECCION DE DATOS DE CARACTER PERSONAL

Relaciones con terceros

Elaboración de la cobertura contractual con terceros PROTOCOLOS CONTRATOS TIPO CONVENIOS DE COLABORACION CLAUSULAS DE CONFIDENCIALIDAD ACUERDOS ENTRE ADMINISTRACIONES

34

PROTECCION DE DATOS DE CARACTER PERSONAL

Relaciones con terceros

CONVENIOS ENTRE ENTIDADES: I.

Dirección de Empleo y Formación & EGAILAN

II.

Dirección de Empleo y Formación y Terceras Entidades

III.

Dirección de Empleo y Formación & Centros Colaboradores: Centros de Colocación y diversa normativa : Decretos. Asegurar que todos los Centros, conocen y van a adoptar las medidas de seguridad establecidas en el Real Decreto 994/1999, de 11 de junio, para garantizar la confidencialidad, disponibilidad e integridad de la información titularidad de la Dirección de Empleo y Formación

35

PROTECCION DE DATOS DE CARACTER PERSONAL

Relaciones con terceros ACCESO DE TERCEROS A DATOS DE CARÁCTER PERSONAL (Art. 12 LOPD)

► Necesidad de regulación contractual de prestación del servicio ► Requisitos del contrato / cláusula de confidencialidad: 1 2 3 4 5

Contrato que permita acreditar su celebración y contenido. Tratamiento conforme a las instrucciones del responsable del fichero. Prohibición de utilizar los datos con fines distintos a los determinados. Implementación de medidas de seguridad. Cumplida la prestación contractual: DCP destruidos o devueltos al RF.

► El encargado del tratamiento será considerado responsable

del fichero a los efectos de infracciones y aplicación de sanciones cuando: Destine los datos a otra finalidad Comunique o ceda los datos o Utilice los datos incumpliendo las estipulaciones del contrato 36

PROTECCION DE DATOS DE CARACTER PERSONAL

Relaciones con terceros

Normativa Interna Decreto 326/2003, de 23 diciembre: diciembre regula el Servicio Vasco de Colocación/LANGAI. Artículo 1: - Servicio titularidad y responsabilidad de la Dirección de Empleo y Formación. - Las acciones que regula se instrumentan a través de EGAILAN S.A. “que gestionará el Servicio en los términos establecidos por el titular” y una red de centros colaboradores conectados a su sistema de información. Artículo 15: Los centros colaboradores, de conformidad con lo dispuesto en la LOPD, actuarán en calidad de encargados del tratamiento, conforme a las instrucciones de la Dirección de Empleo y Formación. 37

PROTECCION DE DATOS DE CARACTER PERSONAL

Relaciones con terceros ACCESO DE TERCEROS A DATOS DE CARÁCTER PERSONAL (Art. 12 LOPD)

La prestación de los servicios desempeñado por cada CENTRO, conlleva la necesidad acceder a DCP sobre los siguientes ficheros: ¾ El Fichero DEMANDANTES DE POLÍTICAS ACTIVAS que contienen datos de carácter personal de las personas interesadas en recibir la prestación de cualquiera de los servicios de LANBIDE. ¾ Sobre el fichero OFERENTES DE EMPLEO, que contiene datos del personal de contacto de las entidades que ofrecen un puesto de trabajo vacante a los demandantes de empleo inscritos en LANBIDE. ¾ Y, en su caso, sobre el fichero CENTROS DE EMPLEO Y FORMACION, que contiene datos de carácter personal del personal y demás personas de contacto de los Centros Colaboradores de Formación, Colocación y Orientación adscritas al servicio LANBIDE.

38

PROTECCION DE DATOS DE CARACTER PERSONAL

Relaciones con terceros ACCESO DE TERCEROS A DATOS DE CARÁCTER PERSONAL (Art. 12 LOPD)

Encargado del tratamiento : sujeto a las instrucciones definidas por el Responsable del Fichero: la Dirección de Empleo y Formación (DEF). Deberán: ƒ Adoptar todas las medidas de índole técnica y organizativas necesarias y que garanticen la seguridad de los DCP y eviten su alteración, pérdida, tratamiento o acceso no autorizado. ƒ

Tener a disposición de la DEF y de Egailan – en calidad de entidad gestora - los datos personales tratados.

ƒ

Colaborar en el ejercicio de derechos ARCO.

ƒ

No utilizar los datos personales para finalidades distintas de las directamente relacionadas con el Servicio LANBIDE.

ƒ

Guardar el secreto profesional (artículo 15.6)

ƒ

Colaborar en la garantía de los derechos de acceso, rectificación y cancelación de los datos personales de los demandantes en la forma indicada en el artículo 15.7.LOPD

39

PROTECCION DE DATOS DE CARACTER PERSONAL

1.

Introducción y conceptos fundamentales

2.

Escenario legal

3.

Derechos del interesado

4.

Relaciones con terceros

5.

Medidas de seguridad

6.

Funciones y obligaciones

7.

Implantación de medidas

40

PROTECCION DE DATOS DE CARACTER PERSONAL

niveles

1. Documento de seguridad NIVEL BÁSICO

2. Funciones y obligaciones del personal 3. Registro de incidencias 4. Identificación y autenticación 5. Control de acceso 6. Gestión de soportes 7. Copias de respaldo y recuperación 8. Responsable de seguridad 9. Auditoria

NIVEL MEDIO

10. Control de acceso físico 11. Pruebas con datos reales 12. Distribución de soportes

NIVEL ALTO

13. Registro de accesos 14. Telecomunicaciones

41

PROTECCION DE DATOS DE CARACTER PERSONAL

instrucciones

Instrucciones de Colaboración DEF – Centros Colaboradores

• Instrucciones y medidas técnico organizativas a implantar

• Asumir la responsabilidad en el cumplimiento de dichas normas: como RF y como ET • Acceso únicamente por personal habilitado previamente por la DEF • Colaboración en la detección y comunicación de incidencias • Obligaciones de conservación y custodia de la documentación • Cumplimiento de las obligaciones como usuario (uso de contraseñas de acceso) • Prohibiciones • Medidas Técnicas

42

PROTECCION DE DATOS DE CARACTER PERSONAL

medidas de seguridad

MEDIDAS TECNICAS:

¾Protección de acceso físico al puesto de cada usuario Medidas de seguridad respecto al posible acceso por parte de terceros al puesto individual de cada usuario que trata DCP. Cada centro debe informar y exigir el cumplimiento de las medidas que se determinen para cada puesto de trabajo Evitando por ejemplo: -accesos no autorizados, -visualización de pantallas por personas no autorizadas -.... Se deben adoptar por tanto, medidas preventivas como por ejemplo, uso del protector de pantallas con desbloqueo por contraseña, etc. ¾Deberán nombrar Colaborador .

al

responsable

de

seguridad

de

cada

Centro

¾Telecomunicaciones Únicamente se podrán llevar a cabo las transmisiones propias del Sistema Integrado de Información de LANBIDE que estén expresamente autorizadas. 43

PROTECCION DE DATOS DE CARACTER PERSONAL

medidas de seguridad

MEDIDAS TECNICAS:

¾ Deberán llevar un control de las incidencias acontecidas, entendiéndose por incidencia cualquier anomalía que afecte o pudiera afectar a la seguridad de los datos;( ejemplo: la clave de identificación de un usuario es conocida por otra ). ¾ En concreto : ‰ Se deberán comunicar a EGAILAN todas las incidencias que hayan tenido lugar por descuidos o malas gestiones del propio centro. Y será EGAILAN quien establezca las medidas correctoras a llevar a cabo. ‰ Asimismo se comunicarán todas aquellas posibles incidencias detectadas por usuarios del centro que pongan en riesgo la seguridad o integridad de los datos afectados, bien sea por incorrecciones, falta de datos ...., no generadas por el propio centro. Dirección de correo para comunicación de incidencias: ______________________

44

PROTECCION DE DATOS DE CARACTER PERSONAL

medidas de seguridad

MEDIDAS TECNICAS:

Gestión de las incidencias que se produzcan según el procedimiento establecido en el DS.

ALGUIEN DESCUBRE MI CLAVE DE ACCESO ALGUIEN ACCEDE A MI DESPACHO SIN AUTORIZACIÓN SE HA IDO LA LUZ

45

PROTECCION DE DATOS DE CARACTER PERSONAL

medidas de seguridad

MEDIDAS ORGANIZATIVAS:

¾Obligaciones en la conservación y tratamiento de la documentación Conservar a disposición tanto de EGAILAN, S.A. como de la Dirección de Empleo y Formación los documentos producto del tratamiento de datos de carácter personal que ha llevado a cabo en calidad de encargado del tratamiento siempre que así esté indicado en la correspondiente norma reguladora del servicio del que derive tal documentación. ¾

PLAZOS: Los plazos establecidos en la respectiva normativa reguladora.

¾

SALIDAS / CONSERVACION: todas las salidas impresas que contengan DCP obtenidos a partir del Sistema Integrado de Información, motivadas por las tareas propias del Servicio, o porque fuese necesario su conservación en los propios locales, se custodiarán única y exclusivamente por las personas autorizadas. Cuando no conlleve la necesidad u obligación de ser conservada, y la finalidad para la cual se recabaron dichos datos ya se ha satisfecho, deberá ser destruida según las instrucciones del Responsable del Fichero.

46

PROTECCION DE DATOS DE CARACTER PERSONAL

buenas prácticas

Documentación en soporte papel: Los Ficheros No Automatizados (FNA) con datos carácter personal son aquellos ficheros estructurados cuyo soporte físico es un soporte ‘no informático’ y cuyo tratamiento es, por lo tanto, manual.

¾ Ejemplos: documentación en papel, cintas magnetofónicas, cintas VHS… 1.

IDENTIFICACION DE ZONAS

2.

NO DEJAR DOCUMENTOS CON DCP EN LA BANDEJA DE SALIDA

3.

CAJONES CERRADOS

4.

ARMARIOS BAJO LLAVE

5.

DESTRUCCION CUANDO YA NO SEAN NECESARIOS

6.

PRINCIPIO DE MESA LIMPIA

47

PROTECCION DE DATOS DE CARACTER PERSONAL

buenas prácticas

6¿SE INCLUYEN DENTRO DE LA APLICACIÓN DE LA LEY LOS FICHEROS EN PAPEL? Sí, la LOPD, amplia el ámbito de aplicación a estos ficheros. Principios a seguir: 9Custodiar correctamente los documentos en los que consten DCP. 9Informar a los afectados de los tratamientos que se efectúan en soporte papel y de las cesiones que se prevean. 9Introducir cláusulas de confidencialidad en las relaciones con terceros. 9Establecer controles de acceso: limitar el acceso a terceros no autorizados. 9Principio de destrucción salvo motivo que justifique conservación. 9Establecer plazos de expurgo. 48

PROTECCION DE DATOS DE CARACTER PERSONAL

documento de seguridad

Artículo 8 RMS: DOCUMENTO DE SEGURIDAD “El responsable del fichero elaborará e implantará la normativa de seguridad mediante un documento de obligado cumplimiento para el personal con acceso a los datos automatizados de carácter personal y a los sistemas de información.”

49

PROTECCION DE DATOS DE CARACTER PERSONAL

documento de seguridad

Î

ASPECTOS GENERALES: GENERALES

f Es una visión general de las políticas de seguridad que haya definido la empresa para garantizar la protección de los ficheros que contiene datos personales. f

Debe reflejar la situación real existente en la organización y describir con el máximo detalle posible todas las actividades que se realizan para garantizar la seguridad de los datos de carácter personal.

f

Es importante que el DS sea puesto a disposición del personal de la organización, para que conozca su contenido y colabore al máximo con la aplicación de las medidas de seguridad.

El personal debe conocer en todo momento las implicaciones de sus acciones de cara a la seguridad de los datos afectados por la LOPD. Para esto es conveniente diseñar una política de recursos humanos orientada a la concienciación del personal frente al cumplimiento de la LOPD en el desarrollo de sus funciones diarias y la existencia del documento de seguridad. 50

PROTECCION DE DATOS DE CARACTER PERSONAL

1.

Introducción y conceptos fundamentales

2.

Escenario legal

3.

Derechos del interesado

4.

Relaciones con terceros

5.

Medidas de seguridad

6.

Funciones y obligaciones

7.

Implantación de medidas

51

PROTECCION DE DATOS DE CARACTER PERSONAL

prohibiciones

PROHIBICIONES CENTROS COLABORADORES LANBIDE:

9 Intentar descifrar las claves, sistemas o algoritmos de cifrado y cualquier otro elemento de seguridad que intervenga en los procesos telemáticos del Servicio LANBIDE. 9 Destruir, alterar, inutilizar o de cualquier otra forma dañar los datos, programas o documentos electrónicos de la entidad o de terceros. Dañar, interrumpir o generar errores en los sistemas informáticos. 9 Utilizar el sistema para intentar acceder restringidas de los sistemas informáticos.

a

áreas

9 Introducir voluntariamente programas, virus, macros, applets, o cualquier otro dispositivo lógico o secuencia de caracteres que causen o sean susceptibles de causar cualquier tipo de alteración en los sistemas informáticos.

52

PROTECCION DE DATOS DE CARACTER PERSONAL

prohibiciones

PROHIBICIONES CENTROS COLABORADORES LANBIDE:

9 Utilizar los datos de carácter personal objeto de tratamiento para finalidades diferentes a las correspondientes al fichero o comunicarlos a terceros fuera de los supuestos previamente autorizados en la normativa reguladora del servicio correspondiente utilizando procedimientos contrarios a las instrucciones de la Dirección de Empleo y Formación o de EGAILAN S.A. 9 Se prohíbe expresamente la extracción de datos de carácter personal desde el Dispositivo Integrado de Información de LANBIDE mediante la realización de copias o reproducción a otros soportes del centro o de un tercero. 9 Cualquier otra actividad expresamente prohibida en este documento o en las normas sobre protección de datos e instrucciones de la Agencia de Protección de Datos. 53

PROTECCION DE DATOS DE CARACTER PERSONAL

prohibiciones

El usuario/a que realice la actuación deberá registrar los datos del demandante que le pide la aplicación :

No conservar o solicitar más datos de los que la aplicación solicita.

54

PROTECCION DE DATOS DE CARACTER PERSONAL

funciones y obligaciones

¾Artículo 10 LOPD: Deber de Secreto.

Cada usuario, así como quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal, están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el responsable de dichos ficheros. “Guardar el secreto profesional respecto de los datos de carácter personal tratados” Artículo 15.6 Decreto 326/2003, 23 de Diciembre, Servicio Vasco de Colocación LANGAI DEBER DE CARÁCTER ESENCIAL Y ELEMENTAL RECOGIDO POR DIVERSAS NORMATIVAS SECTORIALES CONSIDERADA INFRACCION GRAVE O MUY GRAVE DEPENDIENDO DEL CARÁCTER DE LOS DATOS DESVELADOS 55

PROTECCION DE DATOS DE CARACTER PERSONAL

funciones y obligaciones

56

PROTECCION DE DATOS DE CARACTER PERSONAL

funciones y obligaciones

Decálogo con recomendaciones para combatir y prevenir el Spam. 1-Ser cuidadoso al facilitar la dirección de correo. 2-Utilizar dos o más direcciones de correo electrónico. 3- Elegir una dirección de correo poco identificable. 4-No publicar la dirección de correo. 5-Leer detenidamente las Políticas de Privacidad y las Condiciones de Cancelación. 6-Sensibilizar a los niños sobre la utilización del correo y la mensajería instantánea. Los niños son objetivos ideales para promocionar información sobre la composición y las prácticas de consumo del hogar. Además, los correos que pueden tener contenidos no aptos para los niños. 7- No es conveniente contestar al Spam. 8- No pinche sobre los anuncios de los correos basura. 9- Utilice filtros de correo. 10-Mantenga al día su sistema. Utilice programas antivirus y actualizaciones y parches que corrigen los problemas detectados en los programas de su equipo. Además, es muy recomendable la instalación de cortafuegos para monitorizar lo que ocurre en el ordenador. 57

PROTECCION DE DATOS DE CARACTER PERSONAL

1.

Introducción y conceptos fundamentales

2.

Escenario legal

3.

Derechos del interesado

4.

Relaciones con terceros

5.

Medidas de seguridad

6.

Funciones y obligaciones

7.

Implantación de medidas

58

PROTECCION DE DATOS DE CARACTER PERSONAL

implantación

RESULTADOS DE LA ADECUACION LOPD ASPECTOS ORGANIZATIVOS Y TÉCNICOS

PLAN DE ACCION

¿QUÉ PASOS SEGUIMOS PARA LLEGAR A LA PERFECTA IMPLANTACIÓN Y TOTAL ADECUACION DE LA LOPD?

SEGUIMIENTO

59

PROTECCION DE DATOS DE CARACTER PERSONAL

tratamiento DCP

ACTIVIDADES PROPIAS DE LAS FUNCIONES DE LOS ORIENTADORES:

¾

Atención personalizada directa con el uso de las Nuevas Tecnologías para dar respuesta a las necesidades individuales de las personas desempleadas o en riesgo de pérdida de empleo, integrando todos los recursos de los que cada Centro tiene a su disposición. 9Plan personal para la inserción laboral. 9Asesoramiento técnico por los profesionales de la orientación 9Análisis de la situación personal, nivel de cualificación profesional, experiencia laboral, intereses y expectativas profesionales... 9Análisis de las oportunidades de empleo

9 Entrevistas individuales = DCP 9 Pruebas para medir la nivel de cualificación profesional = DCP

60

PROTECCION DE DATOS DE CARACTER PERSONAL

implantación

El personal debe conocer en todo momento las implicaciones de sus acciones de cara a la seguridad de los datos afectados por la LOPD. Para esto es conveniente diseñar una política de recursos humanos orientada a la concienciación del personal frente al cumplimiento de la LOPD en el desarrollo de sus funciones diarias y la existencia del documento de seguridad.

61

PROTECCION DE DATOS DE CARACTER PERSONAL

implantación

L O P D

¿Qué supone la Adaptación a la Ley de Protección de Datos? Aporta valor añadido a la organización: Â Al cliente, proveedor, empleado, etc.: le garantiza que sus datos personales son tratados de forma adecuada y con todas las garantías de confidencialidad.

Además: Â Se evitan las sanciones por incumplimiento (aspectos económicos e imagen pública). Â Se inicia la concienciación de los usuarios respecto a la importancia de la seguridad. Â Se incorpora la seguridad de la información como elemento de gestión empresarial. 62

PROTECCION DE DATOS DE CARACTER PERSONAL

L O P D

En la actualidad es una temeridad vivir de espaldas a la protección de datos, ya que el ciudadano se acerca cada vez con más propiedad al derecho de protección de sus datos personales.

63

PROTECCION DE DATOS DE CARACTER PERSONAL

Muchas gracias Eskerrik asko

64