Legislación

A continuación se exponen, con carácter meramente informativo u orientativo, algunas de las principales obligaciones publicadas por la Agencia Española de Protección de Datos:

Al recoger y tratar datos

Informar a los afectados

Deben conocer para qué se utilizan sus datos.
Deben conocer que existe un fichero o un tratamiento con sus datos.
Se debe indicar el responsable del fichero y su dirección o la de su representante.

Pedir su consentimiento de forma expresa

Sólo así se podrán tratar los datos del interesado.

Atención a los derechos de los ciudadanos

Derecho de acceso
Derecho de rectificación
Derecho de cancelación
Derecho de oposición
Derecho de portabilidad
Derecho al olvido

Al recibir un servicio en el que se accede a los datos

La realización de ese tratamiento por terceros, a los que denominaremos encargados del tratamiento, deberá estar regulada por un contrato escrito o cualquier otra forma que permita acreditar su celebración y contenido que expresamente indique las obligaciones del encargado del tratamiento.

Medidas de seguridad

Se deben adoptar las medidas de índole técnica que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado.

Entre estas medidas, se encuentra la elaboración e implantación de la normativa de seguridad mediante un protocolo de seguridad de obligado cumplimiento para el personal con acceso a los datos de carácter personal.

Las medidas de seguridad exigibles a los ficheros y tratamientos de datos personales se clasifican en tres niveles de riesgos: BAJO y ALTO.

Divulgar y controlar

Definir las funciones y obligaciones de las personas con acceso a los datos de carácter personal y a los sistemas de información.

Asegurarse de que todos conozcan las normas de seguridad que les afectan y las consecuencias de incumplirlas.

Deber de guardar en secreto

Obligación de guardar secreto profesional sobre los datos de carácter personal a los que se tenga acceso.

Para todos los que intervengan en cualquier fase del tratamiento.

Al comunicar datos a terceros

Es necesario (arts. 11 y 21 LOPD), el consentimiento previo del interesado.

Sanciones

Éstas pueden llegar hasta los 20 millones de euros o el 4% del volumen de negocio global anual del ejercicio financiero anterior de la compañía infractora.

Utilizar los datos con distinta finalidad con la se recogieron.
No tener el consentimiento del interesado para recabar sus datos personales
No permitir el acceso a los ficheros.
Mantener datos inexactos o no efectuar las modificaciones solicitadas
No seguir los principios y garantías de la LOPDGDD y RGPD
Tratar datos especialmente protegidos sin la autorización del afectado
No remitir a la AGPD las notificaciones previstas en la LOPDGDD y RGPD.
Mantener los ficheros sin las debidas condiciones de seguridad.
Crear ficheros para almacenar datos que revelen datos especialmente protegidos.
Recogida de datos de manera engañosa o fraudulenta.
Recabar datos especialmente protegidos sin la autorización del afectado.
Vulnerar el secreto sobre datos especialmente protegidos.

No atender u obstaculizar de forma sistemática las solicitudes de cancelación o rectificación.
La comunicación o cesión de datos cuando ésta no esté permitida.
No cesar en el uso ilegítimo a petición de la AEPD.
Tratar los datos de forma ilegítima o con menosprecio de principios y garantías que le sean de aplicación.
No atender de forma sistemática los requerimientos de la AEPD.
La transferencia temporal o definitiva de datos de carácter personal con destino a países sin nivel de protección equiparable o sin autorización
Recopilar datos personales sin informar previamente
No atender a las solicitudes de rectificación o cancelación
No atender las consultas por parte de la AEPD.