Principales obligaciones para las empresas que exige la normativa de protección de datos personales

Las pymes, como agentes que manejan y tratan datos de carácter personal, están obligadas a asegurar el derecho fundamental a la protección de los datos personales de que disponen, para lo que deben cumplir con las disposiciones previstas en la Ley orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal y el Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley orgánica 15/1999.

En el Estudio sobre el grado de adaptación de las Pequeñas y Medianas Empresas españolas a la Ley Orgánica de Protección de Datos (LOPD) y el nuevo Reglamento de Desarrollo (RDLOPD) elaborado por INTECO sintetiza de manera muy clara cuales son las principales obligaciones legales que deben cumplir las empresas.

1. Declaración de los ficheros automatizados, no automatizados o mixtos en la Agencia de Protección de Datos. (Art. 39 LOPD - Título V, Capítulo II, Art. 55 RDLOPD).
2. Información al interesado sobre la recogida de datos. (Art. 5 LOPD - Capítulo II sección 2ª RDLOPD).
3. Solicitud de consentimiento del interesado para el tratamiento de sus datos. (Art. 6 LOPD - Capítulo II sección 1ª RDLOPD). Solicitud de consentimiento para tratar datos de menores de edad. (Art. 13 LOPD).
4. Determinación de la finalidad y definición de la calidad de los datos: clasificación, reclasificación (si fuese necesario), ordenación y agrupación de ficheros automatizados y no automatizados. (Art. 8 LOPD - Título II Capítulo I RDLOPD).
5. Información al interesado y gestión de la comunicación o cesión de datos de carácter personal. (Art. 11 LOPD – Art. 10, 12, 16 RDLOPD).
6. Gestión de derechos de acceso, rectificación, cancelación y oposición (derechos A.R.C.O.) (Título III LOPD - Título III RDLOPD).
7. Gestión del tratamiento de datos de carácter personal en transferencias internacionales. (Título V LOPD – Título VI RDLOPD).
8. Tratamiento de datos de carácter personal con fines publicitarios y prospección comercial. (Art. 30 LOPD – Título IV, Sección 2ª, Capítulo II).
9. Definición del encargado del tratamiento y el responsable del fichero. (Art. 12 LOPD – Art. 5, 20, 82 RDLOPD).
10. Gestión de medidas de seguridad aplicables a las distintas tipologías de datos. (Disposición transitoria segunda, Título VIII RDLOPD):
    

• Desarrollo del documento de seguridad en el que consten las medidas tanto técnicas como organizativas que garanticen un adecuado tratamiento de los datos de carácter personal. (Art. 88 RDLOPD).
• Divulgación de las normas de seguridad adoptadas a todo el personal de la empresa. (Art. 89.2 RDLOPD).
• Control de acceso por parte de los usuarios a los datos de carácter personal. (Art. 91, 99 RDLOPD).
• Definición del mecanismo de identificación/autenticación de los usuarios(Art. 93 RDLOPD). del sistema.
• Gestión de copias de respaldo y recuperación de los ficheros con datos de carácter personal. (Art. 94, 102 RDLOPD).
• Desarrollo del registro de incidencias en el que conste fecha, posible motivo y responsable en el momento de ocurrir las incidencias relativas a datos de carácter personal. (Art. 90, 100 RDLOPD).
• Gestión de soportes y documentos. (Art. 92, 97, 101 RDLOPD).
• Definición del responsable de seguridad (Art.95 RDLOPD).
• Auditoría bienal sobre los sistemas de información, instalaciones, personas y procesos cuyos ficheros sean declarados de nivel medio o alto. (Art. 96, 110 RDLOPD).
• Criterios de archivo para la correcta conservación y localización de documentos que contengan datos de carácter personal. (Art. 106 RDLOPD).
• Gestión de accesos a la documentación sólo por personal autorizado. (Art. 113 RDLOPD).
• Definición del responsable de seguridad para los documentos que contengan datos de carácter personal. (Art 109 RDLOPD).
• Despliegue de medidas de protección física para los ficheros no automatizados con datos de carácter personal. (Art. 107, 111 RDLOPD).
• Definición de mecanismos contra la copia y reproducción no autorizada de ficheros no automatizados. (Art. 112 RDLOPD ).