Deberes de los trabajadores que acceden a datos personales

El responsable del fichero, y, en su caso, el encargado del tratamiento deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado (art. 9).

El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo (art.10).

Ambos principios resultan necesarios y constituyen una garantía para el derecho fundamental a la protección de datos. El secreto y la confidencialidad aseguran que los datos personales sólo sean conocidos por el afectado o interesado y por aquellos usuarios de la organización cuyo perfil les atribuye competencia para usar, consultar, modificar o incluir los datos en los sistemas de información.

Este deber de secreto comporta que el responsable de los datos almacenados no pueda revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática, a que se refiere la Sentencia del Tribunal Constitucional 292/2000, de 30/11, y, por lo que ahora interesa, comporta que los datos tratados no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. (PS/00192/2008, Sentencias de la Sección Primera de la Sala de lo Contencioso-Administrativo de 18 de febrero de 2002 y 1 de febrero de 2006).

Por otra parte, la seguridad garantiza además de la confidencialidad, la disponibilidad de los datos, y con ella su recuperación ante cualquier evento, y la integridad de los mismos protegiéndolos frente a cualquier manipulación no autorizada. La empresa debe disponer de políticas de cumplimiento de estos dos principios, ya que con ellas no sólo se garantiza un derecho fundamental sino que además se ofrece confianza y seguridad al público. Además, con la implementación de medidas de seguridad se protegen activos que son importantes para la empresa como los datos de sus clientes y proveedores.

Para el adecuado cumplimiento de estos dos deberes resulta ineludible disponer de políticas de gestión de personal en los que se definan de modo muy claro los perfiles funcionales de cada puesto, y de procedimientos de formación del personal. No es extraño por tanto que el RDLOPD ordene de modo específico ambos aspectos.

1. Las funciones y obligaciones de cada uno de los usuarios o perfiles de usuarios con acceso a los datos de carácter personal y a los sistemas de información estarán claramente definidas y documentadas en el documento de seguridad. También se definirán las funciones de control o autorizaciones delegadas por el responsable del fichero o tratamiento.
2. El responsable del fichero o tratamiento adoptará las medidas necesarias para que el personal conozca de una forma comprensible las normas de seguridad que afecten al desarrollo de sus funciones así como las consecuencias en que pudiera incurrir en caso de incumplimiento. (art. 89 RDLOPD).

En determinados sectores como la sanidad la exigencia de fijar perfiles de usuario deriva de la Ley, que define de modo muy preciso el perfil funcional de cada tipo de trabajador:

1. La historia clínica es un instrumento destinado fundamentalmente a garantizar una asistencia adecuada al paciente. Los profesionales asistenciales del centro que realizan el diagnóstico o el tratamiento del paciente tienen acceso a la historia clínica de éste como instrumento fundamental para su adecuada asistencia.
2. Cada centro establecerá los métodos que posibiliten en todo momento el acceso a la historia clínica de cada paciente por los profesionales que le asisten.
3. (…)
4. El personal de administración y gestión de los centros sanitarios sólo puede acceder a los datos de la historia clínica relacionados con sus propias funciones.

(art. 16 de la Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica).

Las obligaciones de secreto y seguridad en materia de protección de datos constituyen deberes muy específicos vinculados al hecho del propio tratamiento y van más allá del secreto profesional en su concepción tradicional. Su inadecuado cumplimiento pone en riesgo el derecho fundamental a la protección de datos y causa habitualmente un grave perjuicio reputacional a la empresa.

Ej. El abandono de documentos sin destruir en la basura común por el personal de limpieza, es una de las infracciones más comunes en materia de protección de datos. Recientemente la ausencia de límites a la instalación de programas peer to peer, como el conocido e-mule, ha expuesto al acceso de cualquiera miles de datos de los ciudadanos.

Por todo ello es muy recomendable:

• Diseñar las funciones y responsabilidades de la plantilla de personal teniendo en cuenta su relación con el tratamiento de datos personales.
• Formar adecuadamente a los trabajadores teniendo en cuenta su distinto grado de responsabilidad y garantizando que conozcan sus deberes de seguridad y secreto. La formación debe contribuir a crear una cultura de compromiso con la protección de datos.
• Advertir y formar incluso a aquellos trabajadores que no teniendo una relación directa con los sistemas de información y los tratamientos de datos personales puedan poner en peligro el secreto o la seguridad de los mismos.