Responsable de ficheros de datos personales
Es la persona jurídica y/o física, privada o pública, que decide sobre el tratamiento de los datos, es decir, toma decisiones sobre qué hacer con los mismos, es el responsable desde que el dato entra a formar parte del sistema de información hasta la eliminación del mismo, es el responsable durante toda la “vida” del dato.
El responsable del fichero decide la creación del fichero, la finalidad, contenido y uso de los datos almacenados en ese fichero. Además deberá dar respuesta a los ciudadanos cuando éstos ejerciten ante el mismo sus derechos de acceso, rectificación, cancelación y oposición. También deberá adoptar las medidas de seguridad del fichero, ya sean de nivel básico, medio o alto.
En caso de que el responsable del fichero vulnere la legislación sobre protección de datos, se le podrá imputar la comisión de alguna de las infracciones tipificadas en la LOPD.
Son obligaciones del responsable:
- Deber de informar
- Deber de secreto
- Tratamiento y cesión
- Atender a los derechos de los ciudadanos cuyo datos trata
- Inscripción de los ficheros
- Adoptar las medidas de seguridad adecuadas a los datos tratados.
Encargado del tratamiento
Es la persona física o jurídica que trata los datos personales por cuenta del responsable del fichero, como consecuencia de la existencia de una relación jurídica (contrato de prestación de servicios) que le vincula al responsable.
Sobre la relación jurídica que debe existir entre el responsable del fichero y encargado del tratamiento, hicimos referencia en el artículo relativo al acceso a datos personales por cuenta de tercero.
El encargado de tratamiento, sólo puede acceder a los datos personales recogidos por el responsable del fichero, cuando:
- Ese acceso, se entienda necesario para el cumplimiento de un servicio (fin) que el responsable de los datos encomienda en virtud de contrato al encargado.
- Se exige la existencia previa de un contrato de prestación de servicios (art 12 LOPD). Su inexistencia o incumplimiento, determina la existencia de una cesión de datos inconsentido y no un acceso, lo que implica que el encargado se convierta en responsable.
- Los datos no pueden ser usados a un fin distinto del dispuesto en el contrato, y no pueden ser comunicados a terceros.
- No se requiere para el acceso, el consentimiento de los afectados (titulares de los datos que se tratan).
- Una vez cumplido el servicio, objeto del contrato, el encargado debe devolver los datos al responsable o proceder a su destrucción.
El encargado del tratamiento, sólo puede subcontratar con un tercero el servicio concertado con el responsable cuando haya obtenido autorización de éste. El subcontratado asume la condición de encargado y por tanto queda sujeto a las mismas obligaciones y régimen sancionador.
