Documento de Seguridad de Entidades Religiosas 56º Asamblea General FIEIDE Cullera (Valencia)

Documento de Seguridad de Entidades Religiosas • 56º Asamblea General FIEIDE • Cullera (Valencia) • Carolina Bueno – abogada FEREDE

Normativa aplicable • Constitución española: Art. 18. Se garantiza el derecho al honor, a la intimidad personal y familiar y a la propia imagen. • Directiva 95/46/CE del Parlamento Europeo y del Consejo. • Ley Orgánica 15/1999, de 13 de diciembre de Protección de Datos. • Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley de Protección de Datos de carácter personal.

Origen de esta normativa • Sociedad cada vez más vigilada • Necesidad de preservar mi identidad controlando la revelación y el uso de los datos que me conciernen • Límite al uso de la informática

Objetivo de esta normativa Proteger el tratamiento de los datos de carácter personal de las personas físicas. Dato personal: Cualquier información concerniente a personas físicas identificadas o identificables que sean incorporados: nombre, apellidos, datos de identificación, imágenes, grabación de voz… siempre que se incorporen en un fichero objeto de tratamiento.

¿Están las Iglesias sometidas a esta Ley? • No existen exclusiones de carácter subjetivo • Pronunciamiento del Tribunal Supremo en relación con la Iglesia Católica Por lo tanto Las Iglesias y entidades evangélicas, si manejan ficheros con datos de carácter personal, quedan sometidas a esta legislación y por tanto tienen que cumplir las obligaciones que la misma impone.

Conceptos • Dato:cualquier información concerniente a persona física identificada o identificable (información, imagen, grabación de voz…) • Fichero: conjunto organizado de datos de carácter personal • Tratamiento de datos: operaciones o procedimientos técnicos automatizados o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo o cancelación de un dato de carácter personal

Quedan excluidos • Datos de las personas jurídicas o ficheros que se limiten a incorporar los datos de las personas físicas que presten sus servicios en aquéllas, consistentes únicamente en su nombre y apellidos, las funciones o puestos desempeñados así como la dirección postal o electrónica, teléfono y número de fax profesionales • Datos relativos a empresarios individuales cuando hagan referencia a ellos en su calidad de comerciantes, industriales o navieros • Datos de personas fallecidas • Ficheros de personas físicas en actividades exclusivamente personales o domésticas o en el ámbito de la vida privada o familiar

Con respecto a los datos • Los datos solo pueden recogerse cuando sean adecuados, pertinentes y no excesivos • Los datos solo se pueden usar para la finalidad para la que haya sido recogido • Los datos serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado • Los datos serán cancelados cuando hayan dejado de ser necesarios o pertinentes para la finalidad

Derecho de información Los interesados a los que se soliciten datos de carácter personal deberán ser informados, de modo expreso, preciso e inequívoco: • De la existencia de un fichero, de la finalidad para la que se recoge un dato y de los destinatarios de la información • Del carácter obligatorio o facultativo de sus respuestas • De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición • De la identidad y dirección del responsable del tratamiento

Consentimiento del afectado El tratamiento de los datos requiere el consentimiento inequívoco del afectado El consentimiento debe ir referido a un tratamiento concreto, con delimitación de la finalidad para los que se recaba Con respecto a los menores de 14 años, es necesario el consentimiento de los padres o tutores El afectado podrá recabar su consentimiento a través de un medio sencillo y gratuito

Derechos del titular de los datos Derecho de acceso • Derecho del afectado a obtener información sobre sus datos • Plazo máximo de un mes para resolver. Si no se resuelve, se puede interponer reclamación ante la AEPD • Se puede ejercitar una vez al año. Se puede por tanto denegar el acceso si el derecho se ejercitó en los doce meses anteriores a la solicitud

Derechos del titular de los datos Derechos de rectificación y cancelación • Derecho del afectado a que se modifiquen los datos que resulten inexactos o incompletos y derecho a que se supriman los datos que resulten ser inadecuados o excesivos o para revocar el consentimiento previamente prestado • El responsable del fichero resolverá sobre la solicitud en el plazo máximo de 10 días. Si no se responde, se puede reclamar a la AEPD

Derechos del titular de los datos Derecho de oposición • Derecho del afectado a que no se lleve a cabo el tratamiento de sus datos de carácter personal • El responsable de tratamiento resolverá en el plazo de 10 días

DERECHOS ARCO

Tipos de datos • Datos a los que se aplica la protección básica • Datos con protección media: relativos a infracciones administrativas o penales, de los que sean responsables las Administraciones Tributarias, entidades financieras, entidades de la Seguridad Social • Datos con protección alta: los que se refieren a ideología, afiliación sindical, religión, creencias, origen racial, salud o vida sexual, datos derivados de actos de violencia de género…

¿Qué ha de hacer una Iglesia Evangélica para cumplir la normativa? • Designar a una persona como responsable de seguridad, que será el encargado de cumplir la normativa. Tendrá que formarse. • ¿Contratamos los servicios de una empresa?

Identificar los ficheros con datos de carácter personal • Fichero de miembros • Libros parroquiales: bautismos, matrimonios, defunciones, etc. • Fichero de contactos • Ficheros de personal contratado • Fichero de usuarios de la obra social • Fichero de proveedores • Etcétera

Elaborar un documento de seguridad donde consten todas las medidas de seguridad a adoptar y donde aparezca designado el responsable de seguridad Pasos a dar Aplicar y auditar las medidas contenidas en el documento de seguridad Notificar la creación del fichero a la AEPD

Medidas de seguridad nivel básico Registro de incidencias: con un procedimiento de notificación y gestión de las mismasControl de accesosContraseñas e identificación para el acceso a los datosCopia semanal de seguridadDatos no automatizados: mecanismos que dificulten la apertura de dispositivos, el acceso de personas no autorizadas… Documento de seguridad:con definición de funciones y obligaciones de usuarios, funciones de control o autorizaciones delegadas e información al personal

Todas las del nivel básicoDesignación de responsable de seguridadAuditoría interna o externa cada dos añosSistemas para limitar la posibilidad de intentar reiteradamente el acceso no autorizado al sistema de información Medidas de seguridad nivel medio

Todas las del nivel básico y medioDebe conservarse una copia de respaldo de todos los datosRegistro de accesosCifrado de datos cuando se distribuyan soportes con datos de carácter personalDatos no automatizados: acceso restringido a armarios o archivadores de almacenamiento de datos, reproducción de documentos con autorización, acceso a documentación solo por personal autorizado… Medidas de seguridad nivel alto

Documento de Seguridad de Entidades Religiosas 56º Asamblea General FIEIDE Cullera (Valencia)