Protección de datos

Intentaremos, a través de estas páginas, describir de manera práctica como afecta la implantación de la Ley Orgánica 15/1999, de 13 de Diciembre, de Protección de Datos de Carácter Personal, a nosotros, los abogados.

En primer lugar, diremos que esta Ley impone a empresarios y entidades que traten datos de carácter personal (y por tanto, a todos los abogados) una serie de obligaciones que muy resumidamente son:

1. Inscripción de los ficheros. Se debe realizar la inscripción de los ficheros que contengan datos de carácter personal en la Agencia de Protección de Datos. Esta inscripción consiste en una simple comunicación a la Agencia de la existencia de ese fichero, ademas de aportar una serie de datos como quién es el responsable del fichero o qué tipo de datos personales se almacenan. A través del siguiente enlace puedes acceder al formulario que ofrece la Agencia, llamado NOTA (NOtificaciones Telematicas a la Agencia) que puedes rellenar en el ordenador y que posteriormente debes remitir a la Agencia.
   Debemos aclarar que el concepto de fichero de datos, no tiene por qué coincidir con el concepto físico de fichero. Es decir, los datos de nuestros clientes pueden estar en varias localizaciones fisicas (agenda en papel, fichero metálico con carpetas de expedientes, programa informático en un ordenador), pero a la hora de inscribir el fichero podemos indicar "Fichero de clientes" sin más o "Fichero de gestión del despacho" donde se englobarán todos los datos de carácter personal que manejemos (clientes o no).
   Lo mas aconsejable sería registrar por lo menos un fichero por cada nivel de seguridad existente, es decir, si tenemos datos de empleados cuyo nivel de seguridad es básico, registrarlo separadamente al de clientes, cuyo nivel de seguridad puede ser medio o alto, según los datos de que dispongamos.
   
   El envio del formulario puede realizarse :
   - Por correo. Una vez impreso el formulario se remitirá a
   Agencia Española de Protección de Datos
   C/. Jorge Juan, 6
   28001- Madrid
   - Por internet. Una vez cumplimentado el formulario, se pulsa en el botón que existe al final denominado "Generar/enviar" . Posteriormente se recibirá una hoja en formato PDF que se debe firmar y enviar a la dirección antes indicada. (No se considerará recibida la notificación hasta que se reciba el impreso firmado)
   - Con firma electrónica. Tras rellenar el formulario y pulsar en el botón "Finalizar formulario", el ordenador establece comunicación con la Agencia y una vez seleccionada la firma electrónica que dispongamos se enviarán los datos firmados. Posteriormente se recibe una confirmación del envio correcto. Este metodo funciona las 24 horas del día a efectos de plazo de presentación.
   
   
2. Notificación al interesado. La Ley dice que el interesado debe ser informado previamente de la existencia del fichero, de la finalidad de la recogida de esos datos, y de los destinatarios de la información; del carácter obligatorio o facultativo de su respuesta a las preguntas que le sean planteadas; de las consecuencias de la obtención de los datos o de la negativa a suministrarlos; de la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición; de la identidad y dirección del responsable del tratamiento o, en su caso, de su representante
   No obstante, este deber no es absoluto, no siendo necesario cuando se trate de datos para fines históricos, estadísticos o científicos, cuando resulte imposible o exija esfuerzos desproporcionados el llevarlo a cabo (siempre segun criterio de la Agencia de Protección de Datos), o en otros casos que no nos atañen específicamente.
   A efectos prácticos bastará que añadamos una pequeña leyenda comentando lo anteriormente expuesto, en un documento que haremos firmar a nuestros clientes, como puede ser la hoja de encargo, o un documento redactado especificamente con esta finalidad.
   En este sentido, es importante leer el informe dictado por la agencia en lo que respecta al tratamiento por abogados y procuradores de las partes de un proceso.
   Tambien es interesante el inforne 170/2008 en cuanto a la la comunicación de la documentación señalada al Colegio de Abogados a los efectos de que los abogados de oficio perciban la remuneración correspondiente.
   
   
3. Implantar las medidas de seguridad pertinentes. Estas medidas vienen descritas en el Reglamento de Desarrollo de la Ley Organica, aprobado por Real Decreto 1720/2007, de 21 de diciembre, que establece tres niveles de seguridad atendiendo a la naturaleza de la información tratada en relación con la mayor o menor necesidad de garantizar la confidencialidad y la integridad de la misma, con independencia de la finalidad en virtud de la cual se haya procedido al tratamiento de los datos personales. Debemos aclarar que estas medidas afectan a todo tipo de ficheros, estén en papel o en soporte magnético, existiendo un plazo para adaptar los ficheros no automatizados que existieran antes de la entrada en vigor de la Ley Orgánica, el 14 de enero de 2000, que finalizó el 24 de Octubre de 2007.(esta fecha viene de aplicar la directiva 95/46/CE del Parlamento Europeo, y posteriormente reflejada en la disposicion adicional primera de la LOPD 15/1999)
   El resumen de las medidas de seguridad en el caso de los abogados podría resumirse en :
   -Restringir el acceso a los datos unicamente a los usuarios autorizados (ficheros y habitaciones cerradas con llave, claves en ordenadores, ...)
   -Registro de entrada y salida de soportes (unicamente el responsable del fichero puede autorizar que los datos salgan fuera de la ubicación establecida para su almacenamiento)
   -Auditoria, interna o externa, cada dos años.
   -Establecer los procedimientos para la realización de las copias de seguridad y para su recuperación, si los datos están en soporte magnético.
   -Difundir entre el personal las normas y obligaciones que les afectan.
   
   
4. Creación del documento de seguridad. Este es un documento, mas o menos extenso, en el que se describe la normativa de seguridad que se ha implantado en el despacho. En él haremos una descripción de todas las medidas de seguridad anteriormente expuestas, siendo un documento de obligado cumplimiento para el personal con acceso a los datos de carácter personal. También la Agencia nos facilita un modelo de documento que nosotros podemos adaptar a nuestro caso concreto. Sus principales secciones son:
   -Ámbito de aplicación (a qué ficheros afecta)
   -Medidas que garantizan el nivel de seguridad exigido.(identificación y autenticación del personal, control de acceso, gestion de soportes, regimen de trabajo fuera de los locales, copias de seguridad, ...)
   -Procedimiento de información al personal
   -Funciones y obligaciones del personal
   -Procedimiento de notificación, gestión y respuesta ante las incidencias.
   -Procedimientos de revisión
   -Consecuencias del incumplimiento del documento de seguridad
   -Descripción de cada uno de los ficheros afectados(nombre, autorizaciones, nivel de seguridad, estructura y tipo de datos, finalidad, procedimiento de recogida de los datos, terceros que puedan acceder para la prestación de un servicio,...)
   -Registro de autorizaciones para la salida de datos, y de las salidas correspondientes
   -Inventario de soportes
   -Registro de incidencias
   
   Por supuesto, este documento debe irse actualizando constantemente, y no olvidarle perdido en un cajón, despues de haberlo redactado.
   
   
5. Informar al personal de sus obligaciones, las normas que se han establecido y las consecuencias de su incumplimiento, tal como se habrá descrito en el documento de seguridad.
   
   
6. Prohibición de comunicar o ceder datos a terceros, sin consentimineto previo del interesado. Existen excepciones, que en el caso de la abogacía, son indispensables para realizar nuestro ejercicio. Pongamos el caso de que somos una asesoria laboral de una empresa, y por tanto, accedemos a los datos personales de sus empleados. La empresa debería recabar la autorización de todos sus trabajadores para cedernos esos datos, que a su vez los trabajadores podrían dar o no, siendo imposible prestar nuestros servicios a esa empresa. En este caso no sería necesaria la autorización, aunque si sería necesaria la obligatoriedad de que conste por escrito el encargo del tratamiento de los datos a un tercero (a nosotros) y que se acuerden las medidas de seguridad que en este caso la Asesoría ha de cumplir.
   
   
7. Realizar una auditoría interna o externa cada dos años.
   
   
8. Atender los derechos de los ciudadanos, es decir, las peticiones que nos lleguen de acceso, oposición, cancelación y rectificación.

El contenido de estas páginas es de carácter meramente informativo, y se ofrece con el único fin de orientar a los colegiados en los principales trámites que entendemos se deben realizar. No ofrece necesariamente información exhaustiva, completa, exacta o actualizada, por lo que se recomienda consultes la publicación oficial correspondiente.

Puedes encontrar una más amplia información en la página de la Agencia de Protección de Datos.

También existen muchos libros sobre la materia, como

• "Guia práctica sobre protección de datos : cuestiones y formularios" (Lex Nova 2011)
• "Manual de Protección de Datos para Abogados" (Aranzadi 2006)
• "Guia práctica sobre protección de datos de carácter personal para abogados" (Difusion Juridica 2008)

Volver