El nuevo reglamento de desarrollo de la Ley de protección de datos

1- Introducción

El próximo 19 de Abril entrará en vigor el nuevo Reglamento de Desarrollo de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal (LOPD) que fue publicado en el B.O.E. número 17 de fecha 19 de Enero de 2008 (Real Decreto 1720/2007, de 21 de Diciembre).

Hasta la aparición de este reglamento, el desarrollo reglamentario de la LOPD se venía haciendo con la regulación que se dictó en su día para desarrollar la anterior Ley de Protección de Datos, es decir, por el Real Decreto 1332/1994, de 20 de Junio, por el que se regulaban determinados aspectos de la Ley Orgánica 5/1992, de 29 de Octubre, de Regulación del tratamiento automatizado de los datos de carácter personal, y el Real Decreto 994/1999, de 11 de Junio, por el que se aprobaba el Reglamento de Medidas de Seguridad de los ficheros automatizados que contengan datos de carácter personal. Ambos decretos han sido derogados en virtud de la Disposición derogatoria única del nuevo reglamento.

2- Estructura del Reglamento

El Reglamento está dividido en 9 Títulos y éstos a su vez en capítulos  quedando los 158 artículos del reglamento clasificados dentro de cada capítulo. El reglamento finaliza con una disposición adicional única y una final única:

Título I.- Disposiciones Generales.

Título II.- Principios de protección de datos.

Título III.- Derechos de acceso, rectificación, cancelación y oposición.

Título IV.- Disposiciones aplicables a determinados ficheros de titularidad privada.

Título V.- Obligaciones previas al tratamiento de los datos.

Título VI.- Transferencias internacionales de datos.

Título VII.- Códigos tipo.

Título VIII.- De las medidas de seguridad en el tratamiento de datos de carácter personal.

Título IX.- Procedimientos tramitados por la Agencia Española de Protección de Datos.

Disposición adicional única.- Productos de software.

Disposición final única.- Aplicación supletoria.

3- Ámbito objetivo del Reglamento

Este reglamento se aplicará a los datos de carácter personal registrados en soporte físico quedando fuera de su ámbito de aplicación los siguientes datos:

datos referidos a personas jurídicas;

ficheros que se limiten a incorporar los datos de personas físicas que presten sus servicios en aquéllas cuando tan sólo se haga constar nombre y apellidos, función o puesto que desempeña, dirección postal o electrónica, teléfono y número de fax profesionales;

datos relativos a empresarios individuales, cuando hagan referencia en su calidad de comerciantes;

datos referidos a personas fallecidas.

Las personas vinculadas a un fallecido podrán dirigirse a los responsables de los ficheros que contengan datos de éste solicitando la cancelación de los mismos. Será imprescindible aportar la documentación necesaria que acredite el óbito.

4- Consentimiento para el tratamiento de datos

En el Capítulo II del Título II se establece un procedimiento para garantizar que cualquier persona, antes de consentir que sus datos sean recogidos y tratados, pueda tener pleno conocimiento de la utilización que éstos vayan a tener. Por ello, se prevé de forma expresa que  “cuando se solicite el consentimiento del afectado para la cesión de sus datos, éste deberá ser informado de forma que conozca inequívocamente la finalidad a la que se destinarán los datos respecto de cuya comunicación se solicita el consentimiento y el tipo de actividad desarrollada por el cesionario”.

Para el supuesto que se desee pedir o tratar datos de menores de catorce años, será necesario el consentimiento de sus padres. Además, los menores deberán ser informados con un lenguaje claro, de fácil comprensión y se deberá comprobar la edad del menor y la autenticidad del consentimiento prestado.

Le corresponde al responsable del fichero demostrar la existencia del consentimiento del afectado por cualquier medio de prueba admisible en derecho.

 5- Ficheros de solvencia patrimonial y crédito

5.1.- Requisitos para la inclusión de los datos.

Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos:

Existencia previa de una deuda cierta, vencida y exigible.

Que no se haya entablado reclamación judicial, arbitral o administrativa.

Que no hayan transcurrido seis años desde la fecha en que hubo de procederse al pago de la deuda o del vencimiento de la obligación o del plazo concreto si aquella fuera de vencimiento periódico.

Requerimiento previo de pago a quien corresponda el cumplimiento de la obligación.

5.2.- Información previa a la inclusión.

El acreedor deberá informar al deudor, en el momento en que se celebre el contrato, que en caso de no producirse el pago en el término previsto para ello, los datos relativos al impago podrán ser comunicados a ficheros relativos al cumplimiento o incumplimiento de obligaciones dinerarias.

5.3.- Notificación de inclusión.

El responsable del fichero deberá notificar a los interesados en el plazo de treinta días desde el registro una referencia de los que hubiesen sido incluidos. Se efectuará una notificación por cada deuda concreta con independencia de que ésta se tenga con el mismo o con distintos acreedores.

5.4.- Conservación de los datos.

El pago o cumplimiento de la deuda determinará la cancelación inmediata de todo dato relativo a la misma. En los restantes supuestos, los datos deberán ser cancelados cuando se hubieran cumplido seis años contados a partir del vencimiento de la obligación .

6- Nivel de protección de los datos personales

Las medidas de seguridad exigibles a los ficheros y tratamientos se clasifican en tres niveles: básico, medio y alto. Para determinar a cada dato de carácter personal qué nivel de protección le corresponde se deberá acudir al artículo 81 del Reglamento.