Lopd: la ley orgánica de protección de datos de carácter personal

La Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal ( LOPD ), fue una ley orgánica española que tuvo como objetivo principal garantizar y proteger las libertades públicas y los derechos fundamentales de las personas físicas en lo que respecta al tratamiento de sus datos personales. Esta ley se desarrolló en el artículo 18 de la Constitución Española de 1978, sobre el derecho a la intimidad familiar.

Qué es la LOPD

La LOPD se creó para asegurar la protección de la intimidad, la privacidad y el honor de las personas físicas, así como para controlar el uso y tratamiento de sus datos personales. La ley establecía una serie de principios y requisitos para el tratamiento de datos, incluyendo el consentimiento del afectado, la seguridad de los datos y la transparencia.

Objetivos de la LOPD

• Garantizar y proteger las libertades públicas y los derechos fundamentales de las personas físicas, especialmente su honor, intimidad y privacidad personal y familiar.
• Regular el tratamiento automatizado de los datos de carácter personal, estableciendo las condiciones y límites para su uso.
• Proteger la privacidad de los ciudadanos frente a posibles abusos o usos indebidos de sus datos personales.
• Establecer un marco legal para el tratamiento de datos personales en España, en línea con las normas internacionales de protección de datos.

Ámbito de aplicación de la LOPD

La LOPD se aplicaba a todos los tratamientos de datos de carácter personal realizados en España, tanto por personas físicas como jurídicas, públicas o privadas. La ley no se aplicaba a los datos personales recogidos para uso doméstico ni a las materias clasificadas del estado.

Desarrollo normativo de la LOPD

El Real Decreto 1720/2007, de 21 de diciembre, desarrolló la LOPD, estableciendo las medidas de seguridad que se deben aplicar en los sistemas de información y ampliando los principios de la ley. Este decreto se aplica tanto a ficheros en soporte automatizado como a cualquier otro tipo de soporte.

Órganos de control y posibles sanciones

La Agencia Española de Protección de Datos ( AEPD ) era la encargada de velar por el cumplimiento de la LOPD a nivel estatal. Además, existían otras Agencias de Protección de Datos de carácter autonómico, como las de Cataluña y el País Vasco.

La LOPD establecía un sistema de sanciones para las empresas que incumplían la normativa. Las sanciones se dividían en tres grupos dependiendo de la gravedad del hecho cometido:

España tenía las sanciones más altas en materia de protección de datos en la Unión Europea. Sin embargo, muchas empresas en España no se habían adaptado a la normativa o lo habían hecho de forma parcial, por lo que resultaba esencial el mantenimiento y la revisión periódica de la adecuación.

Procedimientos de inspección y tutela de derechos

La AEPD tenía la responsabilidad de realizar inspecciones para verificar el cumplimiento de la LOPD por parte de las empresas y las administraciones públicas. La agencia también se encargaba de tutelar los derechos de los ciudadanos en relación con la protección de sus datos personales.

En el sector público, la LOPD regulaba el uso y manejo de la información y los ficheros con datos de carácter personal utilizados por todas las administraciones públicas. La AEPD fue creada en 1994 conforme a lo establecido en la derogada Ley Orgánica Reguladora del Tratamiento Automatizado de Datos de Carácter Personal (LORTAD).

Deber de información

La LOPD establecía el deber de información a los afectados por el tratamiento de sus datos personales. Este deber de información implicaba que el responsable del fichero debía informar a las personas sobre:

• La existencia de un fichero o tratamiento de datos de carácter personal.
• La finalidad de la recogida de los datos.
• Los destinatarios de la información.
• El carácter obligatorio o facultativo de la respuesta a las preguntas.
• Las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
• La posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
• La identidad y dirección del responsable del tratamiento o, en su caso, de su representante.

La LOPD permitía el tratamiento de datos de carácter personal sin haber sido recabados directamente del afectado, siempre que el responsable del fichero informara dentro de los tres meses siguientes al inicio del tratamiento.

Excepción al deber de información

No era necesaria la comunicación de la información en tres meses si los datos habían sido recogidos de "fuentes accesibles al público" y se destinaban a la actividad de publicidad o prospección comercial. En este caso, se debía informar en cada comunicación al interesado del origen de los datos, la identidad del responsable del tratamiento y los derechos que le asistían.

Consentimiento

La LOPD establecía distintos tipos de consentimiento para el tratamiento de datos personales:

Tipos de consentimiento

• Consentimiento inequívoco : El tratamiento de los datos de carácter personal requería el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa.
• Consentimiento tácito : Esta era la forma normal del consentimiento en los supuestos que no se exija un consentimiento expreso o expreso y por escrito.
• Consentimiento expreso : Los datos de carácter personal que hacían referencia al origen racial, a la salud y a la vida sexual solo podían ser recabados, tratados y cedidos cuando, por razones de interés general, así lo disponga una ley o el afectado consienta expresamente.
• Consentimiento expreso y por escrito : Se requería consentimiento expreso y por escrito del afectado respecto a los datos relativos a la ideología, afiliación sindical, religión y creencias, y solo podían ser cedidos con consentimiento expreso.

Comunicación de datos

La LOPD regulaba la comunicación de datos personales a terceros, estableciendo una serie de requisitos y excepciones.

Responsabilidad en la comunicación de datos

No solo las personas jurídicas (empresas) tenían responsabilidad en la comunicación y tratamiento de los datos, sino también los autónomos, freelancers, asociaciones, colectivos y personas propietarias de un blog (blogueros) a través del cual se recojan datos de terceros para realizar consultas y para cualquier otra transacción.

Requisitos para la comunicación de datos

Los datos de carácter personal objeto del tratamiento solo podían ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado.

Excepciones al consentimiento para la comunicación de datos

El consentimiento no era preciso en los siguientes casos:

• Cuando la cesión está autorizada en una ley.
• Cuando se trate de datos recogidos de fuentes accesibles al público.
• Cuando el tratamiento responda a la libre y legítima aceptación de una relación jurídica cuyo desarrollo, cumplimiento y control implique necesariamente la conexión de dicho tratamiento con ficheros de terceros.
• Cuando la comunicación que deba efectuarse tenga por destinatario al Defensor del Pueblo, el Ministerio Fiscal o los Jueces o Tribunales o el Tribunal de Cuentas, en el ejercicio de las funciones que tiene atribuidas.
• Cuando la cesión se produzca entre Administraciones públicas y tenga por objeto el tratamiento posterior de los datos con fines históricos, estadísticos o científicos.
• Cuando la cesión de datos de carácter personal relativos a la salud sea necesaria para solucionar una urgencia que requiera acceder a un fichero o para realizar los estudios epidemiológicos en los términos establecidos en la legislación sobre sanidad estatal o autonómica.

Nulidad del consentimiento para la comunicación de datos

El consentimiento para la comunicación de datos personales era nulo si la información facilitada al interesado no le permitía conocer la finalidad a que destinarán los datos cuya comunicación se autoriza o el tipo de actividad de aquel a quien se pretenden comunicar.

Revocabilidad del consentimiento para la comunicación de datos

El consentimiento para la comunicación de datos personales tenía también un carácter de revocable.

Obligaciones del receptor de los datos

Aquel a quien se comunicaban los datos de carácter personal se obligaba, por el solo hecho de la comunicación, a la observancia de las disposiciones de la LOPD.

Acceso a los datos por cuenta de terceros

La LOPD establecía las condiciones para el acceso a los datos personales por parte de terceros que actúan como encargados del tratamiento.

Encargado del tratamiento

No se consideraba comunicación de datos el acceso de un tercero a los datos cuando dicho acceso era necesario para la prestación de un servicio al responsable del tratamiento. La realización de tratamientos por cuenta de terceros debía estar regulada en un contrato que debía constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido.

Obligaciones del encargado del tratamiento

En el contrato se debía establecer expresamente que el encargado del tratamiento únicamente trataría los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicaría o utilizaría con fin distinto al que figura en dicho contrato, ni los comunicaría, ni siquiera para su conservación, a otras personas.

Medidas de seguridad

El contrato debía estipular las medidas de seguridad a que se refiere el artículo 9 de la LOPD que el encargado del tratamiento estaba obligado a implementar.

Destino de los datos tras la prestación contractual

Una vez cumplida la prestación contractual, los datos de carácter personal debían ser destruidos o devueltos al responsable del tratamiento, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto del tratamiento.

Responsabilidad del encargado del tratamiento

En el caso de que el encargado del tratamiento destinara los datos a otra finalidad, los comunicara o los utilizara incumpliendo las estipulaciones del contrato, también sería considerado responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente.

Críticas y principales problemas

La LOPD ha sido objeto de críticas y ha presentado algunos problemas en su aplicación.

Inconstitucionalidad de algunos aspectos

Ciertos aspectos de la ley fueron declarados inconstitucionales en noviembre del 2000 y suprimidos del texto vigente.

Aumento en la creación de ficheros

Se consideraba que el aumento en la creación de ficheros y tratamientos de datos de carácter personal incidía en el derecho a la protección de los datos de los ciudadanos.

Cumplimiento riguroso de la normativa

Un cumplimiento muy riguroso de la regulación sobre la protección de datos podía ralentizar el trabajo normal de un Responsable de Ficheros por la acreditación documental de los principios de información y consentimiento de la LOPD.

Cumplimiento meramente formal

Un cumplimiento meramente formal de las obligaciones de la LOPD podía dejar sin sentido a la ley y desprotegidos a los ciudadanos, yendo en contra del "espíritu" de la ley.

Posibilidad de recabar datos sin consentimiento

La posibilidad de que las empresas pudieran recabar datos sin el consentimiento del afectado ha sido criticada.

Resoluciones controvertidas de la AEPD

Ciertas resoluciones de la AEPD han sido motivo de controversia, como por ejemplo:

• La posibilidad que ofrecen algunas webs de "enviar a un amigo" cierta información, o "recomienda esta página a un amigo", también han sido sancionadas en aplicación estricta de la LOPD .
• La AEPD resolvió que los datos relativos a los abortos practicados eran confidenciales.
• En 2008, una sentencia del Tribunal Supremo declaró que los "libros de bautismo" de la Iglesia católica no son "ficheros de datos".
• Por incumplimientos de la legislación de protección de datos han sido sancionadas diversas aseguradoras y centros de salud.
• La AEPD sancionó a una empresa después de que un pirata informático intentara chantajearla al encontrar un agujero en su seguridad.

Lagunas en la LOPD

La LOPD setutorial teniendo lagunas y los agentes sociales han solicitado ciertas reformas. En agosto de 2008, Bernat Soria, ministro socialista de Sanidad y Consumo, declaró que se actuaría mediante la creación de una Ley contra las empresas que estaban realizando llamadas comerciales no consentidas a los domicilios, habitualmente a las horas de las comidas, lo cual constituía un comportamiento popularmente denominado "spam telefónico".

Reglamento Europeo de Protección de Datos (RGPD)

El Reglamento General de Protección de Datos ( RGPD ) entró en vigor el 24 de mayo de 2016 y fue de aplicación el 25 de mayo de 201El RGPD es una nueva normativa de Protección de Datos a nivel Unión Europea y de obligatoria implantación, que derogó parte de la LOPD y el Reglamento de desarrollo de la misma (RD 1720/2007).

El RGPD actualiza y armoniza la legislación de protección de datos en la Unión Europea, con el objetivo de reforzar la protección de los datos personales y facilitar su libre circulación dentro del espacio económico europeo. El RGPD introduce nuevos derechos para las personas y nuevas obligaciones para las empresas.

Herramientas para el análisis de riesgos

Existen herramientas que permiten realizar el análisis de riesgos en materia de protección de datos:

• PILAR : Herramienta que permite realizar el análisis de riesgos.
• SECITOR : Herramienta de Análisis y Gestión de Riesgos de alto nivel que permite la gestión integral de la Seguridad de la Información.

La LOPD fue una ley importante que marcó un hito en la protección de datos personales en España. Sin embargo, con la entrada en vigor del RGPD, la LOPD ha sido derogada. El RGPD es una normativa más moderna y completa, que se adapta a las nuevas realidades del tratamiento de datos en la era digital. Es importante que las empresas y las administraciones públicas se adapten a las nuevas exigencias del RGPD para garantizar la protección de los datos personales de los ciudadanos.

Si quieres conocer otros artículos parecidos a Lopd: la ley orgánica de protección de datos de carácter personal puedes visitar la categoría Salud.