|
|
|
|
|
|
|||
|
||||||
|
|
||||||
Este artículo no pretendemos que sea un manual sobre Protección de Datos, porque ni por espacio, ni por objetivos puede serlo. Solo queremos referirnos a algunos aspectos concretos, y llamar la atención del Graduado social o profesional sociolaboral, sobre las implicaciones que para sus despachos pueden tener la interpretación, y las consecuencias derivadas del artículo 12 de la Ley Orgánica de Protección de Datos (en adelante LOPD). La Ley de Protección de Datos hace una clara distinción entre dos conceptos aparentemente distintos, y decimos aparentemente puesto que en la práctica muchas veces no es fácil distinguir uno de otro, que son, de un lado, la Cesión o Comunicación de los Datos Personales, y de otro lado, el Acceso a los Datos realizado por un tercero para la prestación de un servicio. La distinción entre uno y otro régimen es de capital importancia, ya que en teoría corresponde a la primera categoría, es decir la Cesión de Datos, una regulación más garantista (Artículo 11 LOPD ), mientras que al Acceso a los Datos, un sistema de protección, que podríamos calificar de más atenuado ( Artículo 12 LOPD). Entrando rápidamente en la materia, la norma sobre la que trataremos, establece lo siguiente: Artículo 12. Acceso a los datos por cuenta de terceros. 1. No se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento. 2. La realización de tratamientos por cuenta de terceros deberá estar regulada en un contrato que deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, estableciéndose expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas. En el contrato se estipularán, asimismo, las medidas de seguridad a que se refiere el artículo 9 de esta Ley que el encargado del tratamiento está obligado a implementar. 3. Una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto del tratamiento. 4. En el caso de que el encargado del tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato, será considerado, también, responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente. Tal como se aprecia de un simple lectura del primer párrafo del texto legal, el despacho socio laboral cae claramente dentro de la categoría de Prestador de Servicios o Encargado del Tratamiento, por cuenta del Responsable de Fichero, dígase cliente en este caso, ya que el Graduado social es quien recibe los datos relativos a los trabajadores para la confección de nóminas, seguridad social, y la gestión en general de todos los aspectos relacionados con la normativa laboral. Este traspaso de información no tiene por tanto la consideración de cesión o comunicación de datos, regulada en el artículo 11 de esta norma. No obstante, está consideración diferenciada de lo que es una cesión de datos, lógica por otro lado, conlleva el cumplimiento de una serie de requisitos formales, y otros no tanto, que son los siguientes:
“La recogida y el tratamiento de los datos especialmente protegidos de salud en el entorno de gestión de nóminas está motivada por la declaración del dato del grado de minusvalía para el cálculo de las retenciones prevista en la legislación del IRPF. Cuando el fichero incluye las fechas de alta y baja de los trabajadores por razón de enfermedad, asociados a un código que identifique la causa de la baja como enfermedad profesional, accidente laboral o enfermedad común, se considera que incluyen y tratan datos de salud, por lo tanto, en ambos casos, se debe declarar el tipo de dato de salud en el apartado correspondiente de Estructura básica y descripción de los tipos de datos / otros datos especialmente protegidos. La consideración de este tipo de información como un dato de salud, y la consiguiente obligatoriedad de implantar las medidas de nivel alto, hace que los sistemas informáticos que tratan este tipo de datos de carácter personal relativos a las cotizaciones a la seguridad social y a las retenciones del I.R.P.F. tengan que adoptar las medidas de nivel alto. El artículo 23 del Reglamento de Medidas de Seguridad, establece que la distribución de soportes que contengan datos de carácter personal se realizará cifrando dichos datos o bien utilizando cualquier otro mecanismo que garantice que dicha información no sea inteligible ni manipulada durante su transporte. Asimismo, el artículo 24 del Reglamento de Medidas de Seguridad, dispone para este tipo de datos la obligación de implantar un registro de accesos. Es cada día más común que las normas legales citen circunstancias personales y familiares del perceptor que haya que tener en cuenta por el pagador para la aplicación de porcentaje de retención correspondiente. En relación con los tratamientos cuya finalidad es la gestión de nóminas de la cual se obtienen las cotizaciones a la Seguridad Social, es necesario tratar los datos de fechas de alta y baja de los trabajadores por razón de enfermedad, asociados a un código que identifique la causa de baja como enfermedad profesional, accidente laboral o enfermedad común, la consideración de este tipo como un dato de salud hace necesario aplicar las medidas de seguridad de nivel alto anteriormente expuesto. Esta problemática, ha puesto de manifiesto la existencia de un colectivo de responsables, cuyos tratamientos se encuentran obligados a tener implantadas las medidas de seguridad calificadas de nivel alto, con la consiguiente dificultad y coste al acometer los requerimientos que el reglamento de medidas de seguridad exige para este nivel de seguridad. Esto hace conveniente contemplar la necesidad de estudiar el establecimiento de determinadas excepciones a la obligación de adoptar las medidas de nivel alto, para determinados tratamientos de datos, con el fin de que no conlleve una dificultad y coste excesivo, teniendo en cuenta que estos responsables recaban este tipo de datos obligados por la legislación específica. Todo ello limitado a los supuestos en que el tratamiento de estos datos venga exigido por disposiciones legales y se evite la realización de tratamientos con fines diferentes.”
Como hemos podido ver a lo largo de estas líneas, y por ir sacando algunas conclusiones, el solo régimen aplicable a los Prestadores de Servicios por cuenta de los Responsables de los Ficheros, acarrea no solo dudas interpretativas de la norma legal en vigor para los asesores sociolaborales, sino que a resultas de la misma es obvio que tendrá que poner especial cuidado en implantar los procedimientos y medidas de seguridad a las que obliga la ley, y lo que quizá, es por lo menos tan importante, dedicar una especial atención a revisar y regular el contenido de los contratos que se celebran con sus clientes.
José A. Lucas Socio fundador de Alper2000 www.alper2000.com
|
|
© 2002-2008 · Asociación de Asesores de Empresa en Internet |