FAQ

Derechos de los afectados

Nos gustaría saber si la publicación de los resultados de nuestros exámenes (exposición en la puerta del aula de un listado con el nombre y apellidos de los alumnos y la calificación obtenida), vulnera de alguna manera la ley de protección de datos.

La publicación de las calificaciones de los alumnos en los tablones de anuncios de la Universidad, no queda amparado en los supuestos de procesos selectivos, sino ante una forma de comunicación y/o traslado de las notas de calificación correspondientes a cada asignatura, que tienen como destinatario únicamente a los alumnos afectados, anotándose –a su vez- en su expediente académico.

La difusión de dichas notas de calificación a través de los tablones de anuncios de la Universidad, constituirá una cesión de datos de carácter personal de los alumnos autorizada por una norma con rango de ley formal, en virtud de la Ley Orgánica 4/2007 de Universidades, que en su disposición adicional vigésimo primera, en el punto 3, señala ” no será preciso el consentimiento de los estudiantes para la publicación de los resultados de las pruebas relacionadas con la evaluación de sus conocimientos y competencias ni de los actos que resulten necesarios para la adecuada realización y seguimiento de dicha evaluación”.

Mi consulta va referida a si tiene un ayuntamiento potestad para publicar en tablón de anuncios los consumos de agua de sus vecinos.

El hecho de hacer públicos los nombres de personas físicas en tablones de anuncios podría implicar un tratamiento de datos en los términos que la Ley Orgánica 15/1999 de Protección de Datos de Carácter Personal lo considera, dado que según la definición regulada en dicha Ley, por tratamiento de datos hay que entender aquellas operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencia.

No obstante si la exposición publica de los datos viene regulada en una Ley, es perfectamente licita. (En periodo de elecciones a representantes sindicales, la ley permite esa exposición pública)

Los titulares de los datos personales pueden instar la oposición al tratamiento, automatizado o no, de sus datos, de conformidad con lo previsto en el articulo 6.4 de la Ley Orgánica 15/1999.

Si en el plazo de un mes no recibe contestación o esta es insatisfactoria, puede reclamar ante esta Agencia Española de Protección de Datos, acompañando la documentación acreditativa de haber solicitado la oposición al tratamiento de datos ante la entidad que se trate.

Aparerezco en Internet, en unos listados de la Administración publica, como participante de una pruebas, entiendo que es normal que aparezca mi nombre y apellido ¿pero el DNI? ?”

Internet no es una fuente accesible al publico según la Ley Orgánica 15/1999 (LOPD). La publicación de datos personales en Internet constituye un tratamiento automatizado de datos personales. Por ello, se requiere el previo consentimiento de los titulares de los datos para esa publicación, salvo que los datos figuren, a su vez, en fuentes accesibles al publico (como los Boletines Oficiales).

La información general que no contenga datos personales puede ser publicada en Internet sin ninguna traba.

Los titulares de los datos personales pueden instar la oposición al tratamiento, automatizado o no, de sus datos, de conformidad con lo previsto en el articulo 6.4 de la Ley Orgánica 15/1999

Si en el plazo de un mes no recibe contestación o esta es insatisfactoria, puede reclamar ante esta Agencia Española de Protección de Datos, acompañando la documentación acreditativa de haber solicitado la oposición al tratamiento de datos ante la entidad que se trate.

¿Cómo puedo conseguir que eliminen mis datos de los ficheros de las empresas que me remiten publicidad continuamente a mi casa? ¿Cómo puedo eliminar mis datos de un fichero de morosidad en el que estoy incluido? La empresa de luz me remite a mi domicilio un recibo que contiene un error en uno de los números del DNI. ¿Puedo exigir que me lo modifiquen?

El titular de los datos puede ejercitar su derecho de cancelación o rectificación mediante escrito dirigido al responsable del fichero de la entidad de que se trate. La Agencia Española de Protección de Datos no tiene los datos personales de los ciudadanos.

El ejercicio del derecho de cancelación o rectificación es personalísimo, lo que significa que el titular de los datos deberá dirigirse directamente a dicha entidad, utilizando cualquier medio que permita acreditar el envío y la recogida de su solicitud, para el ejercicio de sus derechos, acompañando copia de su D.N.I..

Vd. debe dirigirse a la dirección del responsable del fichero y solicitar allí la cancelación pretendida. Si desconoce esa dirección, puede solicitarla a la Agencia Española de Protección de Datos.

Si en el plazo de 10 días no recibe contestación o ésta es insatisfactoria, puede reclamar ante esta Agencia Española de Protección de Datos, acompañando la documentación acreditativa de haber solicitado la cancelación de datos ante la entidad que se trate.

Necesito saber cómo ha obtenido mis datos una empresa que me ofrece un seguro de vida para mí y mi familia, sin que yo le haya proporcionado ningún dato mío o de mis familiares. ¿Qué tengo que hacer?

La legislación vigente en materia de protección de datos (Ley Orgánica 15/1999), reconoce una serie de derechos a los ciudadanos, como son el derecho de acceso, rectificación y cancelación de sus datos personales. El ejercicio de los mismos es personalísimo, y debe, por tanto, ser ejercido directamente por los interesados ante cada uno de los responsables/titulares de los ficheros automatizados, lo que significa que Vd. puede dirigirse a cada una de las empresas u organismos públicos, de los que sabe o presume que tienen sus datos, solicitando información sobre qué datos tienen y cómo los han obtenido (derecho de acceso), la rectificación de los mismos, o en su caso, la cancelación de los datos en sus ficheros (derecho de cancelación). En este caso, deberá dirigirse directamente al responsable del fichero en donde se encuentren sus datos personales, utilizando cualquier medio que permita acreditar el envío y la recogida de su solicitud para el ejercicio de sus derechos, acompañando copia de su D.N.I. e indicando el fichero o ficheros a consultar.

Si en el plazo de un mes para el derecho de acceso desde la recepción de la solicitud en la oficina referida, ésta no ha sido atendida adecuadamente, podrá dirigirse a la Agencia con copia de la solicitud cursada y de la contestación recibida (si existiera), para que ésta a su vez se dirija a la oficina designada con el objetivo de hacer efectivo el ejercicio de sus derechos.

En el caso expuesto, podrá acceder a la información pretendida si se trata de información sobre sus datos personales, pero no si se trata de información de terceros.

Efectivamente, el derecho de acceso no puede ser ejercitado en intervalos inferiores a 12 meses, salvo que se acredite un interés legitimo.

Mantengo una relación contractual con una empresa que me proporciona ciertos servicios que me interesan. Sin embargo, dicha empresa me remite información de otros productos que no quiero que me envíen ¿Me ampara la LOPD?

Los titulares de los datos pueden instar la oposición al tratamiento automatizado de ese tipo de datos, de conformidad con lo previsto en el articulo 6.4 de la Ley Orgánica 15/1999, de 13 de diciembre, que establece:

‘…En los casos en los que no sea necesario el consentimiento del afectado para el tratamiento de los datos de carácter personal, y siempre que una Ley no disponga lo contrario, éste podrá oponerse a su tratamiento cuando existan motivos fundados y legítimos relativos a una concreta situación personal. En tal supuesto, el responsable del fichero excluirá del tratamiento los datos relativos al afectado.’

 Datos especialmente protegidos

La consulta plantea si el dato relativo al hecho de que un determinado alumno de un centro docente opta por cursar la asignatura de religión o la alternativa prevista por la Ley ha de ser considerado como dato especialmente protegido a los efectos previstos en la Ley Orgánica 15/1999.

El artículo 7.2 de la Ley Orgánica 15/1999 dispone que “sólo con el consentimiento expreso y por escrito del afectado podrán ser objeto de tratamiento los datos de carácter personal que revelen la ideología, afiliación sindical, religión y creencias”, prohibiendo el artículo 7.4 “los ficheros creados con la finalidad exclusiva de almacenar datos de carácter personal que revelen la ideología, afiliación sindical, religión, creencias, origen racial o étnico, o vida sexual” .

De este modo, ha de considerarse que los datos a los que se refiere el artículo citado son aquéllos que efectivamente se encuentran directamente vinculados con las verdaderas creencias religiosas, filosóficas, políticas o morales de la persona, protegidas constitucionalmente a través del derecho fundamental a la libertad ideológica, religiosa y de culto.

Pues bien, el hecho mismo de cursar la asignatura de religión no revela necesariamente que el estudiante profese las creencias a las que tal asignatura se refiere, del mismo modo que el hecho de no cursarla no revela la inexistencia de esas creencias, sino que tal circunstancia puede deberse al estudio de la religión en otros foros distintos del escolar. Es decir, a nuestro juicio, lo único que revela el dato de optar por cursar la asignatura de religión sería el interés del alumno por conocer los principios, historia y preceptos de la misma, sin que ello implique una efectiva confesionalidad del mismo, a cuya declaración no podría encontrarse obligado.

¿Puede una empresa pedirme los antecedentes penales durante el proceso de selección de personal?

El articulo 2, apartado 3, de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal (LOPD), señala que los datos derivados del Registro Civil y del Registro Central de penados y rebeldes , relativo a los antecedente penales, queda al margen de la aplicación de la Ley Orgánica 15/1999. Asimismo, dichos datos no se encuentran registrados en este Organismo, sino en el Registro Central habilitado al efecto.

No obstante, se le informa que las empresas privadas no pueden tener ficheros con datos de carácter personal relativos a la comisión de infracciones penales o administrativas, ya que éstos solamente podrán ser incluidos en ficheros de las Administraciones Públicas competentes en los supuestos previstos en las respectivas normas reguladoras (Articulo 7.5 de la LOPD)

¿Se consideran datos sobre la salud de los trabajadores, los informes de las revisiones médicas anuales que las empresas están obligadas a efectuar según la Ley de Prevención de Riesgos Laborales, aún cuando no es la empresa obligada a proporcionar estas revisiones quien las efectúa (la ley establece obligatoriedad de que lo haga una Mutua o el propio INSS), y cuando tan solo recibe un informe de aptitud (o inaptitud) de aquella a quien subcontrate?

Entendemos que la calificación de aptitud o no viene derivada de los reconocimientos médicos resultado de la aplicación de la Ley 31/1995, de 8 de noviembre, de Prevención de riesgos laborales.

En estos supuestos, el hecho de que el empresario y las personas u órganos con responsabilidades en materia de prevención sean informados de las conclusiones que se deriven de los reconocimientos efectuados en relación con la aptitud del trabajador para el desempeño del puesto de trabajo, no será considerado un dato de salud.

No obstante si “los datos de apto o no apto” no aparecen aislados sino asociados a otros que motiven su calificación, como por ejemplo, una situación de minusvalía o enfermedad crónica que motiven una adaptación del puesto de trabajo, sin lugar a dudas, será considerado un dato de salud.

¿Han de ser considerados datos de salud los relativos a la enfermedad común y accidente profesional?

Es criterio reiterado de esta Agencia que en cuanto el fichero pueda contener datos relativos a las fechas de baja o alta de trabajadores, asociadas a un código que permita la identificación de la causa de la baja como motivada por enfermedad común, profesional o maternidad, estaremos en presencia de un dato de salud que implicará la necesidad de aplicar a dicho fichero medidas de seguridad de nivel alto.

No sería así, por ejemplo, si figuran únicamente las fechas y la indicación de “baja” u otros supuestos análogos de los que no pueda fácilmente deducirse que la baja se debe a algún tipo de enfermedad.

¿Es legal tratar datos de salud de personas físicas?

El artículo 8 de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal, establece y regula los datos relativos a la salud señalando que sin perjuicio de lo que se dispone en el artículo 11 respecto de la cesión, las instituciones y los centros sanitarios públicos y privados y los profesionales correspondientes podrán proceder al tratamiento de los datos de carácter personal relativos a la salud de las personas que a ellos acudan o hayan de ser tratados en los mismos, de acuerdo con lo dispuesto en la legislación estatal o autonómica sobre sanidad.

Fuera de estos casos, es preciso el consentimiento expreso de los titulares de los datos o la existencia de una Ley que permita el tratamiento de dichos datos.

¿Se considera dato especialmente protegido el relativo a la aportación, en el IRPF, de un contribuyente a la Iglesia Católica? ¿Y los relativos a la minusvalía y a la afiliación sindical?

Se plantea en esta consulta si la inclusión en los ficheros de datos relacionados con la opción del contribuyente de contribuir al sostenimiento de la Iglesia Católica es un dato relacionado con la ideología, religión o creencias del afectado.

El Artículo 81 del Reglamento que desarrolla la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre, dispone que Los ficheros que contengan datos relativos a la ideología, religión, creencias, origen racial, salud o vida sexual deberán reunir, además de las medidas de nivel básico y medio, las calificadas de nivel alto. Si los ficheros incluyen valoraciones que permitan elaborar evaluaciones sobre la personalidad de las personas físicas, entonces el nivel de seguridad será medio. Si entre esas valoraciones se incluye información sobre ideología, religión, creencias, origen racial, salud o vida sexual, el nivel de protección será el alto. Si no concurre ninguno de los anteriores supuestos, el nivel de protección será el básico.

Igualmente, el nivel es básico si los datos están en ficheros no automatizados y se almacenan datos especialmente protegidos de manera incidental o accesoria sin guardar relación con su finalidad. En estos casos se encuadran los relativos al enunciado de la pregunta, es decir, la aportación, en el IRPF, de un contribuyente a la Iglesia Católica y los relativos a la minusvalía y a la afiliación sindical cuando estan incluidos en el fichero de manera accidental o accesoria.

¿Qué se entiende por datos de salud? El dato de que una persona es fumadora ¿entra dentro del concepto de dato de salud?

Por lo que se refiere a los datos de salud, deberá partirse del concepto que quepa dar a los mismos, a partir de las normas, nacionales e internacionales, vigentes en España.

La norma esencial en la protección de datos automatizados de carácter personal en nuestro país es la Ley Orgánica 15/1999. Sin embargo esta norma, si bien se refiere expresamente a los datos de salud, considerándolos expresamente protegidos y limitando la posibilidad de su recopilación y cesión, no establece un concepto concreto de este tipo de datos.

El apartado 45 de la Memoria Explicativa del Convenio 108 del Consejo de Europa viene a definir la noción de ‘datos de carácter personal relativos a la salud’ , considerando que su concepto abarca ‘las informaciones concernientes a la salud pasada, presente y futura, física o mental, de un individuo’ , pudiendo tratarse de informaciones sobre un individuo de buena salud, enfermo o fallecido. Añade el citado apartado 45 que ‘debe entenderse que estos datos comprenden igualmente las informaciones relativas al abuso del alcohol o al consumo de drogas’.

En este mismo sentido, la Recomendación nº R (97) 5, del Comité de Ministros del Consejo de Europa, referente a la protección de datos médicos, afirma que ‘la expresión datos médicos hace referencia a todos los datos de carácter personal relativos a la salud de una persona. Afecta igualmente a los datos manifiesta y estrechamente relacionados con la salud, así como con las informaciones genéticas’.

De lo anteriormente señalado se puede desprender, en principio, que los datos indicados por Vd. en la medida en que pueden ser datos relacionados con la salud serán datos médicos y les será de aplicación las medidas de protección de nivel alto, tal y como establece el artículo 4 del Reglamento de Medidas de Seguridad de los Ficheros Automatizados que contengan Datos de Carácter Personal aprobado por Real Decreto 994/1999, de 11 de junio.

Ahora bien, dado que su consulta se plantea solamente en los términos de que si el dato de que una persona fume o no fume se puede considerar dato de salud, habrá que estarse al contexto en el que se encuentra dicha anotación y la finalidad para la que se usa. Es evidente que no es lo mismo anotar en un fichero de control de pasajeros y billetes la condición o no de fumador de una persona (porque no se van a realizar posteriores evaluaciones médicas del mismo) que anotar dicha condición en un fichero de seguros de vida, en el que dicha anotación no va aislada, sino junto con otros datos de salud. En uno y otro caso, las finalidades para las que se va a usar esa anotación son diferentes.

Si el dato de fumador o no fumador no sirve para realizar evaluaciones de salud o médicas, en principio, no parece que sea dato de salud, ya que, aunque sea un dato de riesgo potencial para la salud, no informa por sí solo del estado de salud / pasado, presente o futuro – de la persona. En caso contrario, sí será un dato de salud.

 Inscripción de ficheros

¿Cómo se inscriben, modifican o suprimen los ficheros de mi empresa?

El concepto de fichero esta descrito en el artículo 3.b) de la Ley Orgánica 15/1999, de 13 de diciembre, según el cual, se define el fichero como ‘todo conjunto organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso’.

En consecuencia, Vd. debe inscribir en el Registro General de Protección de Datos todos los ficheros que contengan datos de carácter personal (por ejemplo: fichero pacientes, fichero informes, fichero nóminas, fichero clientes, etc.).

Dichos ficheros deben ser inscritos en el Registro General de Protección de Datos a nombre de cada uno de los responsables y conforme al formulario disponible de forma gratuita en la web de la Agencia.

Tanto para inscribir, como para suprimir o modificar la inscripción de un fichero en el Registro General de Protección de Datos, se deberá cumplimentar el modelo establecido en la Resolución de 12 de julio de 2006, de la Agencia Española de Protección de Datos, por la que se aprueban los formularios electrónicos a través de los que deberán efectuarse las solicitudes de inscripción de ficheros en el Registro General de Protección de Datos, así como los formatos y requerimientos a los que deben ajustarse las notificaciones remitidas en soporte informático o telemático.

El formulario electrónico de NOtificaciones Telemáticas a la AEPD (NOTA) permite la presentación de notificaciones a través de Internet con certificado de firma electrónica reconocido. Dicho formulario interactivo, en formato PDF, se encuentra disponible en la página web de la Agencia ( www.agpd.es ).

Mediante este sistema de notificación se pueden realizar notificaciones de forma simplificada mediante notificaciones tipo precumplimentadas. Esta opción del formulario electrónico permite notificar de forma simplificada una serie de ficheros de titularidad privada relacionados con la gestión de comunidades de propietarios, clientes, libro recetario de las oficinas de farmacia, historial clínico, nóminas y recursos humanos.

Cualquier modificación posterior en el contenido de la inscripción de un fichero en el RGPD, deberá comunicarse a la Agencia Española de Protección de Datos, mediante la solicitud de modificación o de supresión de la inscripción, según corresponda.

Para modificar la inscripción de un fichero, previamente inscrito en el RGPD, deberá cumplimentar el formulario electrónico, la hoja de solicitud, el apartado de Modificación de la inscripción del fichero, indicando el código de inscripción asignado por la Agencia y señalando aquellos apartados que se modifican respecto a la notificación anterior, según las instrucciones que acompañan al modelo.

Los apartados señalados que pretendan modificar deben cumplimentarse por completo, indicando todos los datos y no sólo los modificados respecto a notificaciones previas, ya que esta notificación es sustitutiva a efectos de inscripción en el RGPD. Así mismo, únicamente se cumplimentarán los apartados que hayan sido señalados para su modificación en el apartado Modificación de la inscripción del fichero.

En el caso de que notifique la supresión de un fichero, deberá cumplimentar, del modelo de notificación, la hoja de solicitud y el apartado de Supresión, indicando el código de inscripción del fichero asignado por la Agencia. También deberá indicar el motivo de la supresión en el texto correspondiente, y el destino de la información en el siguiente campo. Si va a proceder a destruir el fichero, deberá indicar las previsiones adoptadas para ello.

La notificación de un nuevo fichero o tratamiento nunca invalida o sustituye a una inscripción previa. Si no se notifica una solicitud de supresión de la inscripción anterior se produciría un duplicado de la inscripción.

¿Debo obligatoriamente inscribir los ficheros manuales o en papel (listados, fichas, etc…)?

El soporte papel (como son los listados o las fichas) entra dentro de la definición de soportes físicos en general.

Desde octubre del año 2007 es obligatoria la inscripcion de ficheros manuales o en soporte papel, cualquiera que fuera su fecha de creacion.

Medidas de Seguridad

¿Qué se quiere decir en el Reglamento de desarrollo de la LOPD (Real Decreto 1720/2007, de 21 de diciembre), con la expresión será preciso guardar la información que permita identificar el registro accedido?

De conformidad con lo dispuesto en el artículo 103 del Reglamento de desarrollo de la LOPD, para cada acceso deberán guardarse, como mínimo, la identificación del usuario, la fecha y hora en que se realizó, el fichero accedido, el tipo de acceso y si ha sido autorizado o denegado. En el caso de que el acceso haya sido autorizado, será preciso guardar la información que permita identificar el registro accedido.

De lo expuesto se deduce que el registro de accesos se refiere, en primer lugar al fichero y dentro del fichero, a los distintos registros accedidos (es decir, a los concretos datos personales que se consultan).

¿Los empleados de un banco pueden acceder libremente a todos los datos que figuran en las Bases de datos del banco?

El artículo 91 del Reglamento de desarrollo de la LOPD, relativo al control de acceso, establece que:

1.- Los usuarios tendrán acceso únicamente a aquellos recursos que precisen para el desarrollo de sus funciones.

2.- El responsable del fichero se encargará de que exista una relación actualizada de usuarios y perfdiles de usuarios y los accesos autorizados para cada uno de ellos.

3.- El responsable del fichero establecerá mecanismos para evitar que un usuario pueda acceder a recursos con derechos distintos de los autorizados.

4.- Exclusivamente el personal autorizado para ello en el documento de seguridad podrá conceder, alterar o anular el acceso autorizado sobre los recursos, conforme a los criterios establecidos por el responsable del fichero.”

5.- En caso de que exista personal ajeno al responsable del fichero que tenga acceso a los recursos deberá estar sometido a las mismas condiciones y obligaciones de seguridad que el personal propio.

En consecuencia, los accesos de los trabajadores de una entidad financiera a las bases de datos deben estar previamente autorizados por el responsable del fichero.

El hecho de que una persona alquile películas pornográficas en un vídeo club ¿Es suficiente para considerar que el fichero debe incluir el nivel de seguridad alto?

El artículo 81 del Reglamento de desarrollo de la LOPD, señala que:

1.- Todos los ficheros que contengan datos de carácter personal deberán adoptar las medidas de seguridad calificadas como de nivel básico.

2.- Los ficheros que contengan datos relativos a la comisión de infracciones administrativas o penales, Hacienda Pública, servicios financieros y aquellos ficheros cuyo funcionamiento se rija por el articulo 28 de la Ley Orgánica 5/1992, deberán reunir, además de las medidas de nivel básico, las calificadas como de nivel medio.

3.- Los ficheros que contengan datos de ideología, religión, creencias, origen racial, salud o vida sexual así como los que contengan datos recabados para fines policiales sin consentimiento de las personas afectadas deberán reunir, además de las medidas de nivel básico y medio, las calificadas como de nivel alto.

4.- Cuando los ficheros contengan un conjunto de datos de carácter personal suficientes que permitan obtener una evaluación de la personalidad del individuo deberán garantizar las medidas de nivel medio establecidas en los artículos 17, 18, 19 y 20.

5.- Cada uno de los niveles descritos anteriormente tienen la condición de mínimos exigibles, sin perjuicio de las disposiciones legales o reglamentarias específicas vigentes.”

Por ello, si los ficheros incluyen valoraciones que permitan elaborar evaluaciones sobre la personalidad de las personas físicas, entonces el nivel de seguridad será medio. Si entre esas valoraciones se incluye información sobre ideología, religión, creencias, origen racial, salud o vida sexual, el nivel de protección será el alto.

Si no concurre ninguno de los anteriores supuestos, el nivel de protección será el básico.

El mero hecho de alquilar películas pornográficas no presupone dato de orientación sexual. Otra cosa, es que el responsable del fichero incluya en el mismo valoraciones subjetivas que así lo indiquen.

Transferencias Internacionales

¿Se considera dentro del ámbito de aplicación de la LOPD revelar datos de carácter personal en una página web ?

De acuerdo con la definición de tratamiento de datos prevista en el artículo 3 c) de la LOPD, hacer referencia en una pagina web a una persona e identificarla por su nombre o por otros medios, como su número de teléfono o información relativa a sus condiciones de trabajo y a sus aficiones, constituye un tratamiento de datos de carácter personal, siendo necesario cumplir las previsiones establecidas en la Ley.

Lo que acaba de indicarse ha sido ratificado, en cuanto a la existencia de un tratamiento de datos de carácter personal por la Sentencia del Tribunal de Justicia de las Comunidades Europeas, de 6 de noviembre de 2003 (CASO LINDQVIST).

¿Qué países pueden considerarse con un nivel de protección equiparable a España ?

Se consideran países con nivel de protección adecuado al que presta la Ley Orgánica 15/1999, los Estados Miembros de la Unión Europea, Islandia, Liechtenstein, Noruega y los Estados que la Comisión Europea ha declarado que garantizan un nivel de protección adecuado: Suiza, Argentina, Guernsey, Isla de Man, las entidades estadounidenses adheridas a los principios de «Puerto Seguro», Canadá respecto de las entidades sujetas al ámbito de aplicación de la ley canadiense de protección de datos y los datos personales incluidos en los registros de nombres de los pasajeros que se transfieren al Servicio de aduanas y protección de fronteras de los Estados Unidos de América.

¿Puede la empresa donde trabajo enviar datos de sus trabajadores a Estados Unidos?

En primer lugar indicarle que cualquier empresa que pretenda realizar una transferencia internacional de datos, en este caso de sus empleados, que con anterioridad no venía realizando, deberá de cumplir, por una parte, con el derecho de información previsto en el artículo 5 de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal, debiendo informar de la transferencia internacional a cada una de las personas afectadas por los datos.

Por otra parte, tal y como se establece en el artículo 26 de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal, y en los artículos 55, 58, 66 y ss del Reglamento de desarrollo de la Ley Orgánica de Protección de Datos de Carácter Personal, aprobado por el Real Decreto 1720/2007, de 21 de diciembre, BOE de 19 de enero de 2008 (RLOPD ) se deberá comunicar a la Agencia Española de Protección de Datos las transferencias internacionales que se vayan a realizar, dado que, con carácter general, todas las trasferencias internacionales necesitan de la autorización del Director de la Agencia, salvo que se den alguna de las excepciones previstas en el artículo 34 de la Ley Orgánica 15/1999..

Se le informa por último que, toda la normativa en materia de protección de datos la tiene disponible a través del apartado legislación del menú principal de nuestra página Web.

Si los datos recogidos por una filial española de una multinacional alemana, cumpliéndose todos los requisitos de recogida de datos de la LOPD, se ceden a la matriz en Alemania, ¿Qué responsabilidad tiene la filial española si la matriz alemana utiliza los datos de forma fraudulenta de acuerdo a la legislación española?

En primer lugar, es necesario señalarle que desde el momento en que se están recogiendo y tratando informaticamente en ficheros, cualquier tipo de datos de carácter personal pEr parte de empresas ubicadas en España, pertenezcan o no a multinacionales, dicho tratamiento está sometido a la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal, y los ficheros de datos que se creen están sometidos al ámbito de aplicación de dicha Ley Orgánica, debiendo ser previamente comunicados al Registro General de Protección de Datos y adoptándose en ellos las medidas de seguridad correspondientes, de conformidad con lo previsto en el Reglamento de desarrollo de la LOPD aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD)

Una vez realizada la cesión, de conformidad con las disposiciones anteriores, el tratamiento de datos que se realice en Alemania se regulara de conformidad con la legislación alemana y no con la legislación española, aunque, al pertenecer ambos países a la Unión Europa, el nivel de protección será similar en base a la adaptación a la Directiva 95/46/CE del Parlamento Europeo y del Consejo de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos.