CONCEPTES BÀSICS

Què són les dades de caràcter personal?

Podem crear nous fitxers per recollir dades personals als centres o serveis educatius?

Qui té dret d’accés a unes dades concretes?

Què és la cessió de dades?

Quan es fan cessions?

Què comporta la cessió de dades?

Quina relació hi ha entre el dret d’accés i la cessió de dades?

Un cop recollides des d’un organisme oficial, com són les escoles, els EAP, etc., de qui són les dades de caràcter personal?

Hi ha moltes coses gratuïtes a internet?

Què és la LOPD?

Què és l’Article 29?

Què és el Document de seguretat?

Quines són les funcions de l’Agència Catalana de Protecció de Dades?

Què són les dades de caràcter personal?

Discriminació del tipus de dades de caràcter personal

Les dades de caràcter personal ordenades pels nivells de seguretat
Les mesures de seguretat exigides per la LOPD/Article 20/2/h, classifica les dades de caràcter personal en tres nivells. Els criteris per determinar cada nivell estan al Reial Decret 994/1999,Articles 3 i 4. Segons la normativa, totes les dades de caràcter personal han de rebre unes mesures bàsiques de seguretat, però les de nivell mig i alt tenen tractament diferenciat.
Els criteris són els següents:

Podem crear nous fitxers per recollir dades personals als centres o serveis educatius?

Sí, però amb condicions…El Departament d’Educació, tal com indica la normativa, va declarar en el seu moment un nombre determinat de fitxers a l’Agència de Protecció de Dades. Si pensem crear un nou fitxer, diferent dels declarats, encara que sigui amb finalitats professionals, caldria abans de començar a recollir informació consultar amb els serveis jurídics del Departament d’Educació. La LOPD diu que s’han de declarar tots els fitxers que es creïn a l’Agència de Protecció de Dades.

LOPD, Fitxers de titularitat pública
Article 20
Creació, modificació o supressió
1. La creació, la modificació o la supressió dels fitxers de les administracions públiques només es poden fer per mitjà d’una disposició general publicada en el Butlletí Oficial de l’Estat o en el diari oficial corresponent.
2. Les disposicions de creació o de modificació de fitxers han d’indicar:
….
h) Les mesures de seguretat amb indicació del nivell bàsic, mitjà o alt exigible.

Els fitxers amb dades de caràcter personal, per llei (LOPD Article 39), han d’ésser inscrits en el Registre General de Protecció de Dades.

LOPD, Article 39
El Registre General de Protecció de Dades
1. El Registre general de protecció de dades és un òrgan integrat a l’Agència de Protecció de Dades.
2. Són objecte d’inscripció en el Registre General de Protecció de Dades:
a) Els fitxers de què siguin titulars les administracions públiques.
b) Els fitxers de titularitat privada.
c) Les autoritzacions a què es refereix aquesta Llei.
d) Els codis tipus a què es refereix l’article 32 d’aquesta Llei.
e) Les dades relatives als fitxers que siguin necessàries per a l’exercici dels drets d’informació, accés, rectificació, cancel·lació i oposició.
3. Per via reglamentària s’ha de regular el procediment d’inscripció dels fitxers, tant de titularitat pública com de titularitat privada, en el Registre General de Protecció de Dades, el contingut de la inscripció, la seva modificació, la cancel·lació, les reclamacions i els recursos contra les resolucions corresponents i altres aspectes pertinents.
El Departament d’Educació en el seu moment va inscriure els següents fitxers de centres i serveis educatius amb aquests nivells de seguretat:

Els CRP i els ELIC no tenen cap fitxer inscrit.

Qui té dret d’accés a unes dades concretes?

Sobre el dret d’accés de l’interessat:
LOPD
Article 4, 6. Les dades de caràcter personal han de ser emmagatzemades de manera que permetin l’exercici del dret d’accés, llevat que siguin legalment cancel·lades.
Article 5, 1. Els interessats als quals se sol·licitin dades personals han de ser prèviament informats de manera expressa, precisa i inequívoca:
d) De la possibilitat d’exercir els drets d’accés, rectificació, cancel·lació i oposició.
Article 15Dret d’accés
1. L’interessat té dret a sol·licitar i obtenir gratuïtament informació de les seves dades de caràcter personal sotmeses a tractament, l’origen de les dades i les comunicacions efectuades o que es prevegin fer.
2. La informació es pot obtenir mitjançant la mera consulta de les dades per mitjà de la visualització, o la indicació de les dades que són objecte de tractament mitjançant escrit, còpia, telecòpia o fotocòpia, certificada o no, en forma llegible i intel·ligible, sense utilitzar claus o codis que requereixin l’ús de dispositius mecànics específics.
3. El dret d’accés a què es refereix aquest article només pot ser exercit a intervals no inferiors a dotze mesos, llevat que l’interessat acrediti un interès legítim a aquest efecte, cas en què el poden exercir abans.
Article 18Tutela dels drets
2. L’interessat al qual es denegui, totalment o parcialment, l’exercici dels drets d’oposició, accés, rectificació o cancel·lació, ho pot posar en coneixement de l’Agència de Protecció de Dades o, si s’escau, de l’organisme competent de cada comunitat autònoma, que s’ha d’assegurar de la procedència o la improcedència de la denegació.
Article 44
Tipus d’infraccions
1. Les infraccions es qualifiquen de lleus, greus o molt greus.
3. Són infraccions greus:
e) Impedir o obstaculitzar l’exercici dels drets d’accés i oposició i la negativa a facilitar
la informació que sigui sol·licitada.
4. Són infraccions molt greus:
h) No atendre o obstaculitzar de manera sistemàtica l’exercici dels drets d’accés, rectificació, cancel·lació o oposició.

Únicament tenen dret d’accés a les dades de caràcter personal les persones autoritzades que són les que per la seva funció han de treballar necessàriament amb elles. Sovint les  raons de la creació del fitxer determina el dret d’accés. En els fitxers automatitzats ha d’existir una relació actualitzada de les persones autoritzades. Aquesta relació ha de figurar al Document de Seguretat del fitxer. Les mesures de seguretat dels fitxers automatitzats són bastant restrictives i demanen uns procediments estrictes, veure el Reial Decret 994/1999.

LOPD
Article 9. Seguretat de les dades
1. El responsable del fitxer i, si s’escau, l’encarregat del tractament han d’adoptar les mesures de caràcter tècnic i organitzatiu necessàries que garanteixin la seguretat de les dades de caràcter personal i n’evitin l’alteració, la pèrdua, el tractament o l’accés no autoritzat, tenint en compte l’estat de la tecnologia, la naturalesa de les dades emmagatzemades i els riscos a què estan exposats, tant si provenen de l’acció humana o del medi físic o natural.

994/1999 Reglament de Mesures de Seguretat dels Fitxers Automatitzats que continguin dades de caràcter personal
Article 5
Accés a dades per mitjà de xarxes de comunicacions
Les mesures de seguretat exigibles als accessos a dades de caràcter personal per mitjà de xarxes de comunicacions han de garantir un nivell de seguretat equivalent al corresponent als accessos de manera local.
Article 11
Identificació autenticació
1. El responsable del fitxer s’encarrega que hi hagi una relació actualitzada d’usuaris que tinguin accés autoritzat al sistema d’informació i d’establir procediments d’identificació i autenticació per a aquest accés.
Article 12
Control d’accés
1. Els usuaris tenen accés autoritzat únicament a les dades i els recursos que requereixin per a l’exercici de les seves funcions.
2. El responsable del fitxer ha d’establir mecanismes per evitar que un usuari pugui accedir a dades o recursos amb drets diferents dels autoritzats.
3. La relació d’usuaris a què es refereix l’article 11.1 d’aquest Reglament ha de contenir l’accés autoritzat per a cadascun d’ells.
4. Exclusivament el personal autoritzat per fer-ho en el document de seguretat pot concedir, alterar o anul·lar l’accés autoritzat sobre les dades i els recursos, d’acord amb els criteris que estableixi el responsable del fitxer.
Article 18
Identificació i autenticació
1. El responsable del fitxer estableix un mecanisme que permeti la identificació de manera inequívoca i personalitzada de tots els usuaris que intentin accedir al sistema d’informació i la verificació que està autoritzat.
2. Es limita la possibilitat d’intentar reiteradament l’accés no autoritzat al sistema d’informació.
Article 19
Control d’accés físic
Exclusivament el personal autoritzat en el document de seguretat pot tenir accés als locals on es trobin ubicats els sistemes d’informació amb dades de caràcter personal.

(Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal)
Capítulo III
Medidas de seguridad aplicables a ficheros y tratamientos automatizados
Artículo 91. Control de acceso.
1. Los usuarios tendrán acceso únicamente a aquellos recursos que precisen para el desarrollo de sus funciones.
2. El responsable del fichero se encargará de que exista una relación actualizada de usuarios y perfiles de usuarios, y los accesos autorizados para cada uno de ellos.
3. El responsable del fichero establecerá mecanismos para evitar que un usuario pueda acceder a recursos con derechos distintos de los autorizados.
4. Exclusivamente el personal autorizado para ello en el documento de seguridad podrá conceder, alterar o anular el acceso autorizado sobre los recursos, conforme a los criterios establecidos por el responsable del fichero.
5. En caso de que exista personal ajeno al responsable del fichero que tenga acceso a los recursos deberá estar sometido a las mismas condiciones y obligaciones de seguridad que el personal propio.

Artículo 93. Identificación y autenticación.
1. El responsable del fichero o tratamiento deberá adoptar las medidas que garanticen la correcta identificación y autenticación de los usuarios.
2. El responsable del fichero o tratamiento establecerá un mecanismo que permita la identificación de forma inequívoca y personalizada de todo aquel usuario que intente acceder al sistema de información y la verificación de que está autorizado.
3. Cuando el mecanismo de autenticación se base en la existencia de contraseñas existirá un procedimiento de asignación, distribución y almacenamiento que garantice su confidencialidad e integridad.
4. El documento de seguridad establecerá la periodicidad, que en ningún caso será superior a un año, con la que tienen que ser cambiadas las contraseñas que, mientras estén vigentes, se almacenarán de forma ininteligible.

Artículo 98. Identificación y autenticación.
El responsable del fichero o tratamiento establecerá un mecanismo que limite la posibilidad de intentar reiteradamente el acceso no autorizado al sistema de información.

Artículo 103. Registro de accesos.
1. De cada intento de acceso se guardarán, como mínimo, la identificación del usuario, la fecha y hora en que se realizó, el fichero accedido, el tipo de acceso y si ha sido autorizado o denegado.
2. En el caso de que el acceso haya sido autorizado, será preciso guardar la información que permita identificar el registro accedido.
3. Los mecanismos que permiten el registro de accesos estarán bajo el control directo del responsable de seguridad competente sin que deban permitir la desactivación ni la manipulación de los mismos.
4. El período mínimo de conservación de los datos registrados será de dos años.
5. El responsable de seguridad se encargará de revisar al menos una vez al mes la información de control registrada y elaborará un informe de las revisiones realizadas y los problemas detectados.
6. No será necesario el registro de accesos definido en este artículo en caso de que concurran las siguientes circunstancias:
a) Que el responsable del fichero o del tratamiento sea una persona física.
b) Que el responsable del fichero o del tratamiento garantice que únicamente él tiene acceso y trata los datos personales.
La concurrencia de las dos circunstancias a las que se refiere el apartado anterior deberá hacerse constar expresamente en el documento de seguridad.

Què és la cessió o comunicació de dades?

Tractament de dades que suposa la seva revelació a una persona diferent de l’interessat.

Quan es fan cessions?

Quan ens coordinem o reunim i parlem d’un alumne concret el que fem normalment és intercanviar les informacions que tenim sobre aquest alumne els professionals que participem en la coordinació. Aquest intercanvi d’informacions comporta una cessió de dades ja que revelem dades a una persona diferent a l’interessat.
El mateix passa en les entrevistes amb diversos professionals de qualsevol servei, sempre que es parli d’un alumne en concret.
Les reunions, entrevistes amb professionals i pares, coordinacions amb serveis sanitaris, serveis socials, etc.., normalment comporten cessions de dades.
També s’ha considerar cessió el lliurament d’informació per escrit, en paper o en format electrònic: email, mms, enregistrament, filmació, fax, fotocòpia, etc…

Què comporta la cessió de dades?

Quan cedim dades de caràcter personal facilitem una informació que algú ens va revelar i de la que nosaltres tenim la responsabilitat de seva custòdia. Això comporta, entre altres coses, un ús determinat d’aquestes dades. Aquesta responsabilitat també es fa extensiva al fet de la cessió: No podem cedir dades a persones que no tenen dret d’accés a elles. Al fer la cessió traspassem també la responsabilitat de la custòdia i les persones a les que cedim les dades han de vetllar per aquesta custòdia.

Relació entre dret d’accés i cessió

Únicament podem cedir dades de caràcter personal a usuaris amb dret d’accés a aquestes dades. Per això el dret d’accés i la cessió han d’anar íntimament units. Podeu revisar qui té dret d’accés i que és cessió.

Un cop recollides des d’un organisme oficial, com són les escoles, els EAP, etc., de qui són les dades de caràcter personal?

Les dades sempre són dels titulars, dels interessats. Si ens arriben al centre o servei educatiu i ens fem dipositaris, també ens hem de fer càrrec de la seva custòdia, que comportarà un tractament determinat d’elles.

Hi ha moltes coses gratuïtes a internet?

Aparentment sí, però hem de pensar sempre que ningú regala res per res. Tothom obté alguna cosa quan regala programes o viatges o cotxes... Sovint són les dades personals, però també coses més subtils com: que ens agrada, que ens interessa, a on viatgem, quan, amb qui, com és la nostra família, a on vivim, a quines hores fem moltes coses, etc... Aquestes dades són molt importants per a moltes persones: a partir d'elles poden oferir-nos productes, serveis, etc, en el moment adequat i amb la seguretat que ens agraden.

Què és la LOPD?

Llei Orgànica de Protecció de Dades, 15/1999, de 13 de desembre, (BOE núm. 298, de 14.12.1999, edició catalana en el suplement núm. 17, de 30.12.1999), norma bàsica.

Complementen i desenvolupen aquesta llei els reials decrets:

Reial Decret 994/1999, d’11 de juny, pel qual s'aprova el Reglament de Mesures de Seguretat dels fitxers automatitzats que continguin dades de caràcter personal (BOE núm. 151, de 25.6.1999, edició catalana en el suplement núm. 11, de 24.7.1999).
Real Decreto 1720/2007, de 21 de desembre, pel qual s’aprova el Reglament de desenvolupament de la Llei orgànica 15/1999, de 13 de desembre, de protecció de dades de caràcter personal.

Què és l’Article 29?

Artículo 29- És un grup de treball sobre protecció de dades del Parlament de la Comunitat Europea. Es va crear a partir de l’article 29 de la Directiva 95/46/CE. Es tracta de l’òrgan consultiu de la UE sobre protecció de dades i la vida privada. Les seves tasques es defineixen en l’article 30 de la Directiva 95/46/CE i en l’article 15 de la Directiva 2002/58/CE.
La secretaria pertany a la Direcció C (Justícia Civil, Drets fonamentals i Ciutadania) de la Comissió Europea, Direcció General de Justícia, Llibertat i Seguretat, B-1049, Bruselas, Bèlgica, Oficina nº LX-46 06/80.

Què és el Document de seguretat?

És un document que recull tota la normativa de seguretat elaborada per protegir les dades recollides als fitxers electrònics i/o manuals.

El contingut principal d’aquest document podria tenir la següent estructura:
. Àmbit d’aplicació del document
. Mesures, normes, procediments, regles adreçades a garantir els nivells de seguretat exigits en aquest document.
. Procediment general d’informació al personal.
. Funcions i obligacions del personal.
. Procediment de notificació, gestió i respostes davant les incidències.
. Procediments de revisió.
. Conseqüències de l’incompliment del Document de Seguretat.
Annex I Aspectes específics relatius als diferents fitxers.
Annex Ia Aspectes relatius al fitxer ..XXX
Annex Ib Aspectes relatius al fitxer ..XXY
Annex II Nomenaments.
Annex III Autoritzacions signades per a la sortida o recuperació de dades.
Annex IV Inventari de suports.
Annex V Registre d’incidències.
Annex VI Registre d’entrada i sortida de suports
Etc.
Aquest document ha d’actualitzar-se regularment. Qualsevol modificació rellevant als sistemes d’informació automatitzats o no, en l’organització d’aquests, o en les disposicions vigents en matèria de seguretat de les dades de caràcter personal comportarà la revisió de la normativa i, si procedeix, la seva modificació total o parcial

Reial Decret 994/1999
Article 4
Aplicació dels nivells de seguretat
1. Tots els fitxers que continguin dades de caràcter personal han d’adoptar les mesures de seguretat  qualificades de nivell bàsic.
Capítol II. Mesures de seguretat de nivell bàsic
Article 8. Document de seguretat
1. El responsable del fitxer ha d’elaborar i implantar la normativa de seguretat mitjançant un document de compliment obligatori per al personal amb accés a les dades automatitzades de caràcter personal i als sistemes d’informació

Una de les mesures de seguretat en el tractament de dades de caràcter personal del Real Decreto 1720/2007, és l’elaboració i implementació del document de seguretat:

Real Decreto 1720/2007
Capítulo II
Artículo 88. El documento de seguridad.
1. El responsable del fichero o tratamiento elaborará un documento de seguridad que recogerá las medidas de índole técnica y organizativa acordes a la normativa de seguridad vigente que será de obligado cumplimiento para el personal con acceso a los sistemas de información.
2. El documento de seguridad podrá ser único y comprensivo de todos los ficheros o tratamientos, o bien individualizado para cada fichero o tratamiento. También podrán elaborarse distintos documentos de seguridad agrupando ficheros o tratamientos según el sistema de tratamiento utilizado para su organización, o bien atendiendo a criterios organizativos del responsable. En todo caso, tendrá el carácter de documento interno de la organización.
3. El documento deberá contener, como mínimo, los siguientes aspectos:
a) Ámbito de aplicación del documento con especificación detallada de los recursos protegidos.
b) Medidas, normas, procedimientos de actuación, reglas y estándares encaminados a garantizar el nivel de seguridad exigido en este reglamento.
c) Funciones y obligaciones del personal en relación con el tratamiento de los datos de carácter personal incluidos en los ficheros.
d) Estructura de los ficheros con datos de carácter personal y descripción de los sistemas de información que los tratan.
e) Procedimiento de notificación, gestión y respuesta ante las incidencias.
f) Los procedimientos de realización de copias de respaldo y de recuperación de los datos en los ficheros o tratamientos automatizados.
g) Las medidas que sea necesario adoptar para el transporte de soportes y documentos, así como para la destrucción de los documentos y soportes, o en su caso, la reutilización de estos últimos.
4. En caso de que fueran de aplicación a los ficheros las medidas de seguridad de nivel medio o las medidas de seguridad de nivel alto, previstas en este título, el documento de seguridad deberá contener además:
a) La identificación del responsable o responsables de seguridad.
b) Los controles periódicos que se deban realizar para verificar el cumplimiento de lo dispuesto en el propio documento.
5. Cuando exista un tratamiento de datos por cuenta de terceros, el documento de seguridad deberá contener la identificación de los ficheros o tratamientos que se traten
en concepto de encargado con referencia expresa al contrato o documento que regule las condiciones del encargo, así como de la identificación del responsable y del período de vigencia del encargo.
6. En aquellos casos en los que datos personales de un fichero o tratamiento se incorporen y traten de modo exclusivo en los sistemas del encargado, el responsable deberá anotarlo en su documento de seguridad. Cuando tal circunstancia afectase a parte o a la totalidad de los ficheros o tratamientos del responsable, podrá delegarse en el encargado la llevanza del documento de seguridad, salvo en lo relativo a aquellos datos contenidos en recursos propios. Este hecho se indicará de modo expreso en el contrato celebrado al amparo del artículo 12 de la Ley Orgánica 15/1999, de 13 de diciembre, con especificación de los ficheros o tratamientos afectados. En tal caso, se atenderá al documento de seguridad del encargado al efecto del cumplimiento de lo dispuesto por este reglamento.
7. El documento de seguridad deberá mantenerse en todo momento actualizado y será revisado siempre que se produzcan cambios relevantes en el sistema de información, en el sistema de tratamiento empleado, en su organización, en el contenido de la información incluida en los ficheros o tratamientos o, en su caso, como consecuencia de los controles periódicos realizados. En todo caso, se entenderá que un cambio es relevante cuando pueda repercutir en el cumplimiento de las medidas de seguridad implantadas.
8. El contenido del documento de seguridad deberá adecuarse, en todo momento, a las disposiciones vigentes en materia de seguridad de los datos de carácter personal.

Aquest nou reglament, Real Decreto 1720/2007, fa extensiu l’ús del document de seguretat als fitxers manuals, no automatitzats, com recull el Capítulo IV, Medidas de seguridad aplicables a los ficheros y tratamientos no automatizados:

Capítulo IV
Medidas de seguridad aplicables a los ficheros y tratamientos no automatizados
Sección 1.ª medidas de seguridad de nivel básico
Artículo 105. Obligaciones comunes.
1. Además de lo dispuesto en el presente capítulo, a los ficheros no automatizados les será de aplicación lo dispuesto en los capítulos I y II del presente título en lo relativo a:
a) Alcance.
b) Niveles de seguridad.
c) Encargado del tratamiento.
d) Prestaciones de servicios sin acceso a datos personales.
e) Delegación de autorizaciones.
f) Régimen de trabajo fuera de los locales del responsable
del fichero o encargado del tratamiento.
g) Copias de trabajo de documentos.
h) Documento de seguridad.

Un model de document de seguretat el teniu aquí: Document de Seguretat

Quines són les funcions de l’Agència Catalana de Protecció de Dades?

a- Vetllar pel compliment de la legislació vigent sobre protecció de dades de caràcter personal i controlar-ne l’aplicació, especialment allò que fa referència als drets d’informació, accés, rectificació, cancel·lació i oposició.
b) Vetllar pel compliment de les disposicions que la Llei d’estadística de Catalunya disposa respecte a la recollida de dades estadístiques i al secret estadístic, i adoptar les mesures corresponents per a garantir les condicions de seguretat dels fitxers constituïts amb finalitats exclusivament estadístiques, llevat d’allò que fa a les transferències internacionals de dades. A aquests efectes, l’Agència, dins del seu àmbit de competències, pot adoptar instruccions i resolucions adreçades als òrgans administratius i sol·licitar la col·laboració de l’Institut d’Estadística de Catalunya, quan s’escaigui.
c) Dictar, si escau i sens perjudici de competències d’altres òrgans, les instruccions necessàries per a adequar els tractaments personals als principis de la legislació en matèria de protecció de dades de caràcter personal.
d) Requerir als responsables i als encarregats del tractament l’adopció de les mesures necessàries per a l’adequació del tractament de dades personals objecte d’investigació a la legislació vigent en matèria de protecció de dades de caràcter personal i, si s’escau, ordenar el cessament dels tractaments i la cancel·lació dels fitxers, excepte el que fa referència a les transferències internacionals de dades.
e) Proporcionar informació sobre els drets de les persones en matèria de tractament de dades personals.
f) Atendre les peticions i les reclamacions formulades per les persones afectades.
g) Obtenir dels responsables dels fitxers l’ajuda i la informació que consideri necessàries per a l’exercici de les seves funcions. Les administracions, els organismes, les entitats autònomes, els consorcis i les societats compresos dins l’àmbit d’aplicació d’aquesta Llei tenen l’obligació d’auxiliar, amb caràcter preferent i urgent, l’Agència Catalana de Protecció de Dades en les seves investigacions, si aquesta els ho demana.
h) Exercir la potestat d’inspecció en els termes establerts per l’article 8, excepte el que fa referència a les transferències internacionals de dades.
i) Exercir la potestat sancionadora en els termes establerts pel capítol V.
j) Informar, amb caràcter preceptiu, sobre els projectes de disposicions de caràcter general de la Generalitat de Catalunya en matèria de protecció de dades de caràcter personal.
k) Respondre les consultes que l’Administració de la Generalitat, els ens locals i les universitats de Catalunya li formulin sobre l’aplicació de la legislació de protecció de dades de caràcter personal i col·laborar amb aquestes administracions públiques en la difusió de les obligacions derivades de la dita legislació.
l) Totes les altres que li siguin atribuïdes d’acord amb les lleis.
m) L’Agència col·labora amb el Síndic de Greuges i també amb l’Agència de Protecció de Dades de l’Estat i la resta d’institucions i organismes de defensa dels drets de les persones

Introducció Conceptes Orientacions Materials Glossari Normativa Links