Las cuestiones que se plantean en dicha pregunta son las siguientes:
1º) “Mi fichero de cliente/proveedores está por un lado informatizado pero también hay facturas en papel. ¿Puedo notificar un fichero automatizado y otro no automatizado o tengo que notificarlo como mixto?. Lo mismo pasa con los empleados, ya que tengo archivadas las nóminas en papel”.
2º) “Esto te lo pregunto porque he mandado las notificaciones por separado, automatizado por un lado y no automatizado por otro. Espero que no pase nada”.
La notificación a la Agencia Española de Protección de Datos (AEPD) de los ficheros con datos de carácter personal de los que un responsable de fichero (en nuestro caso, conforme al objetivo de estos post, lo será la pyme / micropyme o un autónomo) sea titular es una de las obligaciones básicas que impone la normativa vigente en materia de protección de datos de carácter personal.
Lógicamente, la primera pregunta que se hacen aquellas personas que no están familiarizados con dicha normativa es: ¿Qué es un fichero?. Pues bien, en el post “Guía implantación de la LOPD en Pymes (II)” ya indiqué una definición, simplificada y a mi manera, de lo que puede entenderse por fichero: “conjunto organizado de datos de carácter personal, bien esté informatizado [automatizado], en soporte papel [no automatizado] o se encuentre al mismo tiempo informatizado y en soporte papel [mixto]”. Se trata de una definición de “andar por casa” (hay otros matices), pero que creo que es fiel al objetivo de estos posts, es decir, hacer comprensible ciertos conceptos a aquellos que no estén familiarizados con la protección de datos, y que, además, entiendo que contesta al primero de los aspectos de la pregunta que se formula.
Es decir, lo más ortodoxo hubiera sido declarar ambos ficheros como mixtos, ya que, como digo, el concepto de fichero no depende del sistema de tratamiento utilizado (automatizado, no automatizado o mixto).
Permítaseme, además, aunque no es objeto de la pregunta y por si pudiera resolver a alguien ciertas dudas similares, introducir algún que otro matiz ya indicados en el post “Guía implantación LOPD en Pymes (III)”, como son que el concepto de fichero también es independiente, tanto de si éste se encuentra centralizado o distribuido geográficamente, como de si éste es tratado por una o varias aplicaciones informáticas. Es decir, en ambos casos, aunque el fichero se encontrara distribuido (ejemplos: soporte papel en diferentes oficinas y/o servidores de datos en diferentes instalaciones, etc.) y/o fuera tratado por varias aplicaciones informáticas, también lo más ortodoxo sería declarar un único fichero.
Por tanto, tal y como decía en el último de los posts a los que he hecho referencia, mi recomendación a la hora de identificar los ficheros que se manejan consiste en pensar en conjuntos de datos (fichero lógico) que se utilizan para una finalidad concreta (gestión de personal y nóminas, gestión de clientes y/o proveedores, etc.), para posteriormente tomar una decisión de los ficheros a notificar en función del nivel de seguridad aplicable a los datos que contienen (por ejemplo: declarar un fichero para la gestión de personal y nóminas - nivel de seguridad aplicable: básico -, y otro diferenciado para la selección de personal - si le fueran de aplicación las medidas de nivel medio). Esto último, es decir, pensar en el nivel de seguridad aplicable a los datos, es un paso más que yo suelo recomendar, aunque como siempre “cada maestrillo tiene su librillo”.
Con esto entiendo que queda respondido el primero de los aspectos que se plantean, y con respecto al segundo, es decir, a si "pasa algo" por haber declarado ambos ficheros en función del sistema de tratamiento empleado (por cada fichero; uno automatizado y otro no automatizado), mi opinión personal, aunque lógicamente la buena será la de la AEPD, es que serán inscritos sin problemas (en ocasiones he visto que la AEPD hace algunas correcciones de oficio y , si se da cuenta de esta circunstancia, en ambos casos podría inscribir un único fichero con sistema de tratamiento mixto, y comunicar esta circunstancia al responsable del fichero, pero, como digo, no creo ni que esto se produzca).
En cualquier caso, si hubiera problemas para la inscripción de los ficheros en el Registro General de Protección de Datos (RGPD) bastaría con volver a declarar ambos ficheros como mixtos, y si no hubiera problemas y posteriormente interesara tener declarados los dos ficheros como mixtos, bastaría con realizar sendas notificaciones de modificación de fichero (por ejemplo de los notificados como automatizados, para pasar el sistema de tratamiento a mixto) y de supresión de ficheros (en el ejemplo indicado, eliminar o suprimir los dos ficheros declarados como no automatizados).
Comentarios
Publicar un comentario