El contrato de acceso a datos por cuenta de terceros

Siempre que una empresa externa acceda o pueda acceder a datos personales de nuestra entidad (ej: asesor fiscal, mantenimiento informático, etc.) hay que firmar un contrato para regular ese acceso.

Este contrato se denomina contrato de acceso a datos por cuenta de terceros, y a la empresa externa que presta el servicio se le denomina encargado del tratamiento.

Para que sea válido, el contrato ha de contener la siguiente información:

  • El servicio que se va a prestar.

  • Los ficheros o datos personales a los que puede tener acceso el encargado.

  • Dónde y cómo se va a prestar el servicio.

  • Si el servicio implica, o no, almacenar datos en los sistemas del encargado.

  • Las medidas de seguridad que el encargado del tratamiento está obligado a implementar.

  • Además, se indicará en el contrato expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas.

 

El contrato debe constar por escrito o en alguna otra forma que permita acreditar

A TENER EN CUENTA

No disponer de este contrato con un encargado del tratamiento puede acarrear una sanción de entre 900 y 40.000€.

Sanción por existencia de cámaras sin cartel informativo

En la resolución R/02180/2010 de la AEPD se puede ver la sanción que puede sufrir una organización instalar cámaras de videovigilancia sin colocar los carteles indicativos de zona videovigilada y sin las indicaciones del lugar donde se pueden ejercer los derechos de los afectados.

Con fecha de 20/08/09 tiene entrada en la AEPD un escrito del Área de Gobierno de Seguridad y Movilidad del Ayto de Madrid en el que se remite a un informe de la Policía Municipal de Madrid comunicando una posible infracción de la LOPD motivada por la existencia de cámaras de vieovigilancia en el local comercial Madrid Juegos cuyo titular es la entidad JOYPAZAR S.A..

En el informe se indica que durante una inspección realizada a JOYPAZAR se comprobó que existen seis cámaras de videovigilancia sin presentar carteles informativos y sin las indicaciones de donde pueden ejercerse los derechos.

Una vez instruido el procedimiento, se constata que existe un sistema de videovigilancia instalado y en funcionamiento que recoge imágenes de personas sin los carteles informativos, con lo que se está procediendo al tratamiento de datos sin el consentimiento de los mismos al no existir un cartel informativo que indicase que se estaban realizando dichas grabaciones. Y siendo ésta la información básica requerida para que los titulares puedan prestar dicho consentimiento, ya que difícilmente va a ser posible prestar consentimiento de algo que desconoce (en este caso, que está siendo grabada).

Resultado: Sanción de 2.500€ por infracción del artículo 6.1 de la LOPD, relativo al consentimiento.

IMPORTANTE

El cartel informativo ha de contener siempre el nombre del responsable y el domicilio en el cual se han de ejercer los derechos.

Cesión de datos de padrón a notario

El informe jurídico 0074/2013 de la AEPD resuelve la consulta planteada relativa a si es conforme a la LOPD la cesión del certificado de empadronamiento de dos personas por parte del Ayuntamiento a un Notario que lo ha solicitado a efectos de considerar si un determinado inmueble constituye o no vivienda habitual en un expediente de venta extrajudicial de bien hipotecado.

De dicho informe jurídico se extrae lo siguiente:

  • Cualquier comunicación o cesión de los datos del Padrón deberá fundarse en la necesidad por la Administración cesionaria, en el ejercicio de sus competencias, de conocer el dato del domicilio de la persona afectada.

  • En este caso, nos encontramos ante un expediente de venta extrajudicial de un inmueble hipotecado, previsto en el artículo 129 de la Ley Hipotecaria de 8 de febrero 1946.

  • El art. 1858 del Código Civil afirma que “es también de esencia de estos contratos que, vencida la obligación principal, puedan ser enajenadas las cosas en que consiste la prenda o hipoteca para pagar al acreedor”. El procedimiento aparece desarrollado en el RD 6/2012, de 9 de marzo sobre medidas urgentes de protección de deudores hipotecarios sin recursos.

Por tanto, esta norma con rango de ley determina que el Notario que tramita el procedimiento ejecutivo extrajudicial de un bien hipotecado deba conocer si el inmueble constituye o no vivienda habitual. Conciliando dicha norma legal con la regulación contenida en la Ley de Bases de Régimen Local antes citada, llegamos a la conclusión de que existe habilitación legal suficiente para, en el seno un procedimiento concreto – como sucede en la consulta planteada – comunicar el dato de empadronamiento.

A TENER EN CUENTA

La cesión de datos requiere siempre del consentimiento del titular o el amparo de alguna de las excepciones previstas.

 

Quiero contratar un servicio de copia de seguridad remota. ¿Qué he de hacer?

Un servicio de copia de seguridad remota es un tratamiento de datos por cuenta de terceros (siempre y cuando realicemos copia de seguridad de datos personales).

Es decir, la empresa que nos presta el servicio es un encargado del tratamiento, y como tal, hemos de tener en cuenta los siguientes puntos:

  1. Asegurarnos que cumple la LOPD. El reglamento de desarrollo de la LOPD, en su artículo 20.2 dice: “Cuando el responsable del tratamiento contrate la prestación de un servicio que comporte un tratamiento de datos personales sometido a lo dispuesto en este capítulo deberá velar por que el encargado del tratamiento reúna las garantías para el cumplimiento…”.
    Es decir, es     nuestra responsabilidad escoger encargados del tratamiento que cumplan la LOPD.

  2. Firmar un contrato de acceso a datos por cuenta de terceros que especifique el servicio, los ficheros afectados, las condiciones del mismo y las medidas de seguridad que debe cumplir.

  3. Indicar en el Documento de Seguridad esta circunstancia (encargado, servicio, implicaciones, etc.).

  4. Asegurarnos por contrato que los datos no salen de la Unión Europea para evitar realizar una Transferencia Internacional de Datos.

A TENER EN CUENTA

Realizar una Transferencia Internacional de Datos no autorizada es una infracción Muy Grave y puede suponer una sanción de entre 300.001€ y 600.000 €.