Archivado en la categoría (Protección de datos) por Elena
Publicado el 16-12-2010

Recuerdo la primera vez que leí: Encargado de Tratamiento.

No fue ni en una novela ni en el periódico, si no en la misma ley.

Atículo 3. Definiciones

g) Encargado del tratamiento: la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento.

Y una explicación muy sencilla: Es el responsable de los datos, pero externalizado.

Eso sí, debemos tener correctamente el contrato respectivo, en concreto, la seguridad de los Datos Personales que tratará esta otra organización.

Esta empresa sólo podrá tratar esos datos con la misma finalidad para los que los ha recogido la organización original.

Muchas veces este rol no se suele tratar correctamente: o no se trata o se confunde con una cesión de datos.

Como explica la propia AEPD en el Informe 0177/2010:

… delimitaremos si nos encontramos ante una cesión de datos o ante una realización de actividades reguladas por el artículo 12 de la Ley Orgánica, y para ello será preciso atender a las circunstancias de cada caso, de tal forma que existirá cesión en aquellos supuestos en los que quien reciba los datos pueda aplicar los mismos a sus propias finalidades, decidiendo sobre el objeto y finalidad del tratamiento, lo que la convertirá a su vez en un responsable del fichero o tratamiento, mientras que la figura regulada por el artículo 12 de la Ley Orgánica tendrá cabida en aquellos otros casos en que la entidad receptora de los datos se limite a efectuar determinadas operaciones sobre los mismos, sin decidir sobre su finalidad, restituyendo los datos al responsable una vez concluida la prestación contratada con aquél.

Así que cuando entre otra organización en escena, deberemos preguntarnos y tener claro con que careta subirá al escenario.

En el caso de que se trate de cesión lo más importante es que el propietario de los datos sea consciente de este hecho y nos haya dado su consentimiento.

Respecto al contrato entre la organización original y el Encargado de Tratamiento citado anteriormente, éste debe ser por escrito o en cualquier otra forma que permita acreditar su celebración y contenido, que deberá especificar las circunstancias previstas por los apartados 2 y 3 del artículo 12.

En el citado informe, recoge también la Sentencia de 19 de noviembre de 2003 de la Audiencia Nacional:

Para tener la condición legal de encargado del tratamiento, al que por cierto le es de aplicación el régimen sancionador que establece la Ley Orgánica 15/1999, según dispone el artículo 43.1 de la expresada Ley, es necesario cumplir una serie de exigencias necesarias, que operan a modo de garantías, establecidas en el artículo 12 de la Ley Orgánica 15/1999. Así es, cuando el tratamiento se realice por cuenta de un tercero debe constar “por escrito o en alguna otra forma que permita acreditar su celebración y contenido.”, por lo que no basta con acreditar que existe una relación jurídica entre el responsable del fichero y el encargado del tratamiento, sino que ésta ha de constar por escrito o por otra forma que permita acreditar su “celebración y contenido”. En este sentido, la propia Ley prevé un contenido mínimo del contrato entre las partes en el que deben constar una serie de estipulaciones necesarias, a saber, seguir las instrucciones del responsable del tratamiento, no utilizar los datos para un fin distinto, no comunicarlos a otras personas, estipular las medidas de seguridad.

En otro post será interesante hablar del periodo de conservación de los datos, establecido por el artículo 12.3:

Una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto del tratamiento.

Y más interesante aún, hablar de la realización por cuenta de un tercero de software que trate Datos Personales. ¿Cuántas veces hemos visto que para realizar un software se han dado directamente todos los datos reales? Eso no es ni cesión, ni Encargado de Tratamiento. Es directamente una bestialidad. Pero no quiero adelantarme en esta temática. Próximamente…

Referencias:

Escribe un comentario
Nombre:
Correo electrónico:
Website o Proveedor de OpenID:
Comentarios: