Artículos

Encargados de Tratamiento

ENCARGADO DE TRATAMIENTO CAMBIOS EN EL NUEVO REGLAMENTO

La LOPD en su artículo 12, establece una serie de obligaciones y deberes del responsable del fichero y el encargado de tratamiento,(la celebración de un contrato en el que se especifiquen los datos a tratar, la finalidad del tratamiento, las medidas de seguridad a aplicar, la autorización o no para subcontratar servicios y el tratamiento de datos personales, la destrucción y/o devolución de los datos una vez concluida la prestación del servicio, etc.

1. El responsable del fichero o tratamiento es la persona jurídica y/o física, privada o pública, que decide sobre el tratamiento de los datos, es decir, toma decisiones sobre qué hacer con los mismos, es el responsable desde que el dato entra a formar parte del sistema de información hasta la eliminación del mismo, es el responsable durante toda la “vida” del dato.

2. El encargado de tratamiento, (al igual que el responsable del fichero), es la persona jurídica y/o física, privada o pública, que trata los datos del responsable del fichero con la finalidad de prestar un determinado servicio a aquel. El nuevo reglamento, en aras a salvaguardar la seguridad, no sólo de los datos sino de los sistemas de información que tratan los mismos, ha pretendido que se engloben dentro del presente concepto aquellas personas que, sin tratar datos personales, prestan un determinado servicio que para su desarrollo efectivo precisan acceder a las instalaciones donde se encuentran los recursos que tratan datos personales. Por tanto, el encargado de tratamiento, puede asumir esta figura además de la de responsable del fichero sobre los datos que son recabados y tratados por él mismo.

OBLIGACIONES

1.- Es la de que el encargado de tratamiento esté adaptado a la normativa de protección de datos para poder tratar datos personales del responsable del fichero. El nuevo reglamento alude a que el responsable del fichero deberá “velar” para que el encargado de tratamiento cumpla con las “garantías” exigidas por la normativa al efecto.. Así mismo, impone “la obligación” de que, al menos, se contemple en el contrato de prestación de servicios la presunción de que la empresa que se convierta en encargado de tratamiento, se encuentre adaptada a la normativa de protección de datos, imponiendo la prueba en caso de sanción a dicho prestador de servicios.

2.- Es la asunción de responsabilidad, por parte del encargado de tratamiento, cuando incumpla las obligaciones y deberes previstos en la normativa de protección de datos, siempre y cuando esté suscrito el contrato por el cual se determinan aquellas.

3.- Es que el nuevo reglamento explícitamente permite la subcontratación , es decir, que un determinado servicio junto con los datos necesarios para poder desarrollar aquel puede ser prestado por dos o más entidades, siempre y cuando haya autorización expresa del responsable del fichero y cumpliendo con las exigencias de la normativa al efecto. Así mismo, se exige que el encargado de tratamiento y el subcontratista —segundo, tercero, etc. encargado de tratamiento— suscriban un contrato en los términos fijados por el artículo 12 LOPD.

4.-Es la imposición al encargado de tratamiento del bloqueo de los datos que haya tratado por si se produjere alguna responsabilidad derivada de la relación mantenida con el responsable del fichero. Dicho bloqueo cesará cuando se cumpla el plazo de prescripción establecido al efecto para reclamar la responsabilidad que pudiere haberse acaecido. Así mismo, cuando se prevea la devolución de los datos al responsable del fichero, una vez finalizado el servicio contratado, además del bloqueo de los datos por parte del encargado de tratamiento, el responsable del fichero deberá mantener los datos, es decir, conservarlos en deferencia a alguna previsión legal —por ejemplo, datos laborales: TC1, TC2, etc.—

5.- Es las medidas de seguridad a implantar por parte de las dos figuras intervinientes, distinguiendo dos situaciones, a saber:

1. Si el encargado de tratamiento va a tener acceso o tratar los datos del responsable del fichero en los locales de éste, bien físicamente en las instalaciones del responsable, bien vía remota. En este caso, el responsable debe proceder a indicarlo en el Documento de Seguridad y debe dar pautas al personal del encargado de tratamiento para que siga las instrucciones impuestas por el responsable del fichero.

2. Aquellos encargados de tratamiento que no tienen acceso a la información y/o al tratamiento, pero que por el contrario acceden a las instalaciones donde se encuentra sitos los recursos y/o sistema de información del responsable del fichero. En este caso, debe exigirse la prohibición de acceso a los datos e información y la obligación del deber de secreto sobre aquellos.