L’ASSESSOR INFORMA: EL NOU REGLAMENT DE DESENVOLUPAMENT DE LA LLEI ORGÀNICA DE PROTECCIÓ DE DADES (LOPD)

El passat 19 de gener es va aprovar, amb la publicació al BOE el Reial Decret 1720/2007 de 21 de desembre, el Reglament de Desenvolupament de la Llei Orgànica de Protecció de Dades (LOPD).

La nova llei, que entrarà en vigor el proper 19 d'abril, que substitueix i deroga els decrets següents:

- R.D. 195/2000, que regula els terminis per implantar les mesures de seguretat als fitxers automatitzats que continguin dades de caràcter personal.
- R.D. 999/1999 de Mesures de Seguretat dels fitxers automatitzats que continguin dades de caràcter personal.
- R.D.1332/1994, on es desenvolupaven alguns aspectes de l'antiga LORTAD.

A més aquest reial decret amplia i millora molts aspectes de la LOPD que havien quedat ambigus, incorporant tota la jurisprudència existent i recollint i donant esperit de llei a les sentències judicials i les resolucions que sobre la matèria s'han produït fins avui.

No entrarem a fons en el seu contingut (no volem avorrir al lector ni tampoc és l'objectiu d'aquest article), però volem analitzar els seus punts principals i les diferències més destacades respecte l'anterior Reglament de Mesures de Seguretat per tal que els agremiats puguin fer-se una idea aproximada de la incidència del nou reglament en els seus sistemes d'informació.

Fitxer en paper

El primer punt, i potser el més remarcable és la redacció de la normativa de seguretat per a fitxers tradicionals en paper. Des del passat 1 de novembre era obligació de declarar-los però no hi havia cap disposició que definís com s'havien de protegir. Fixem-nos com el concepte de fitxer de dades de caràcter personal s’ha anat ampliant: el novembre del 2006 s'aprovava la normativa per a sistemes de videovigilància, ja comentada en un article anterior, i un any més tard s'afegeixen els fitxers en paper.
A continuació us mostrem un resum de la normativa:

· Cal aplicar uns criteris d'arxiu que garanteixin la correcta conservació dels documents en paper.
· Caldrà que els armaris, arxivadors, etc. que continguin aquests documents disposin de pany amb clau per tal de protegir-los de l'accés a dades per part de persones no autoritzades. Mentre els documents no s'hagin arxivat, la persona que els tingui a càrrec haurà de custodiar-los impedint-ne l'accés a persones no autoritzades.

· Si els fitxers contenen dades d’alt nivell cal que les sales que els contenen disposin, a més, de mecanismes de seguretat (com a mínim que es puguin tancar amb clau).

· La generació de còpies o reproduccions estarà limitada quan es tracti de dades de nivell alt.

Els nivells de seguretat

El segon és la modificació del nivell de seguretat de determinats fitxers. Especialment destacable és la simplificació per a les empreses, sobretot respecte els fitxers de nòmines,  que perden la condició de fitxers de nivell alt.

Passen a ser de nivell bàsic tots aquells fitxers que compleixin els requisits següents:

· Fitxers automatitzats que continguin dades d'ideologia, afiliació sindical, religió creences, origen racial, salut o vida sexual, sempre que aquestes dades s’utilitzin per efectuar una transferència bancària a entitats de les quals els afectats en siguin membres o associats (per exemple, el pagament de la quota sindical mitjançant la nòmina).
· Fitxers no automatitzats (és a dir en paper), on aquestes dades constin de manera incidental o accessòria, i no tinguin cap tractament previst en la finalitat del fitxer.
· Les dades de salut, quan es refereixin de forma exclusiva al grau de discapacitat, o la declaració de discapacitat o invalidesa de l'afectat, per tal de donar compliment als deures públics.

En canvi passen de nivell bàsic a nivell mig (amb l'obligació per tant de passar una auditoria bianual) els fitxers següents:
· Fitxers d'Entitats Gestores i Serveis Comuns de la Seguretat Social que tinguin relació amb les competències i les mútues de la S.S.
·  Fitxers que contenen dades personals sobre característiques o personalitat dels afectats, que permetin deduir el seu comportament.

Finalment passen a nivell alt:
· Totes les dades derivades de la violència de gènere.
· Tots els fitxers responsabilitat de les operadores que prestin serveis de comunicacions electròniques disponibles al públic en general, o que explotin xarxes públiques de comunicacions electròniques, en referència a les dades de tràfic i localització.

Sancions

A efectes pràctics, si pensem en les possibles sancions a incórrer en cas de denúncia o inspecció, val a dir que no s'han modificat ni les definicions ni el imports, de manera que es mantenen les sancions de 600€ a 60.000€ per a faltes lleus, de 60.000 a 300.000€  per a les greus, i de 300.000€ a 600.000€ per a les molt greus.

Josep Puy i Campàs
Enginyer Superior de Telecomunicacions
Director Tècnic de Data Risc
93 870 72 53
info@datarisc.es