Registro de la Propiedad

Manual de Tratamiento de Datos de Carácter Personal

Diciembre, 2014

Plantilla LOPD_Colegio Registradores

http://www.registradores.org

Índice 1. INTRODUCCIÓN ....................................................................................................................5 1.1. Objetivos del Manual ..................................................................................................................... 5 1.2. Normativa Hipotecaria y Protección de Datos ............................................................................... 6 1.3. Marco normativo vigente ................................................................................................................ 7 1.4. Introducción a la LOPD .................................................................................................................. 8 1.4.1. Ámbito de aplicación de la normativa de protección de datos .............................................. 10 1.4.2. Regula Información y consentimiento ................................................................................... 10 1.4.3. Calidad de los datos ............................................................................................................. 10 1.4.4. Acceso por cuenta de terceros ............................................................................................. 11 1.4.5. Cesión de datos.................................................................................................................... 12 1.5. Introducción al RDLOPD.............................................................................................................. 12 1.6. Niveles de seguridad de los ficheros declarados en la AEPD ..................................................... 13 1.6.1. Niveles de seguridad en la información tratada en los Registros de la Propiedad ............... 13 1.6.2. Medidas de Seguridad exigidas por el RDLOPD en función del nivel .................................. 14 1.6.3. Declaración automatizada de ficheros a la Agencia Española de Protección de Datos .................................................................................................................................... 16

2. RESPONSABILIDADES PRINCIPALES DE LAS FIGURAS DEL REGISTRO .................18 2.1. Responsable del Fichero (Registrador) ....................................................................................... 18 2.2. Responsable de Seguridad o suplente ........................................................................................ 20 2.3. Encargados de Tratamiento ......................................................................................................... 22 2.4. Trabajadores del Registro ............................................................................................................ 22

3. ASPECTOS LEGALES ........................................................................................................24 3.1. Ficheros Públicos......................................................................................................................... 24 3.1.1. Publicidad Registral .............................................................................................................. 24 3.1.2. Acceso al contenido de los libros y cesiones de datos ......................................................... 34 3.1.3. Consulta de consultas .......................................................................................................... 39 3.1.4. Presentación de documentos en el Registro ........................................................................ 40 3.2. Ficheros Privados ........................................................................................................................ 42 3.2.1. Empleados de los Registros ................................................................................................. 42 3.2.2. Relaciones con proveedores y clientes ................................................................................ 48 3.3. Derechos ARCO .......................................................................................................................... 51 3.3.1. Normas comunes a todos los Derechos ARCO.................................................................... 52 3.3.2. Derecho de Acceso .............................................................................................................. 52 3.3.3. Derecho de Rectificación ...................................................................................................... 52 3.3.4. Derecho de Cancelación ...................................................................................................... 53 3.3.5. Derecho de Oposición .......................................................................................................... 53 3.3.6. Mecanismos de actuación en los Registros en caso de recibir una solicitud de ejercicio de derechos ARCO ................................................................................................ 53

3.4. Otras consultas de especial relevancia........................................................................................ 53 3.4.1. Acreditación del interés legítimo en la publicidad ................................................................. 53 3.4.2. Violencia de Género / Incapacitados .................................................................................... 54 3.4.3. Situaciones económicas canceladas .................................................................................... 55 3.4.4. Inclusión del precio en la publicidad ..................................................................................... 56 3.4.5. CRAB y Registros de la Propiedad....................................................................................... 56 3.4.6. Plazo legal de conservación de los documentos .................................................................. 57 3.4.7. Notificación y envío de la facturación ................................................................................... 58 3.4.8. Consideración del Registro como Administración Pública a efectos del establecimiento de sanciones por parte de la AEPD ............................................................ 58 3.4.9. Cláusulas de traslado físico de los Registros ....................................................................... 59 3.4.10.

Modelo de quejas y sugerencias ................................................................................... 59

3.4.11.

Número de finca como dato de carácter personal ......................................................... 59

3.4.12.

Movimientos internacionales de datos personales ........................................................ 60

3.4.13.

Uso de bases gráficas en los Registros ......................................................................... 61

3.5. Infracciones más comunes en materia de protección de datos ................................................... 62

4. ASPECTOS ORGANIZATIVOS ...........................................................................................64 4.1. Ciclo de vida de la documentación .............................................................................................. 64 4.1.1. Identificación de la información ............................................................................................ 65 4.1.2. Almacenamiento de la documentación ................................................................................. 67 4.1.3. Manejo de documentación ................................................................................................... 70 4.1.4. Traslado de documentación ................................................................................................. 71 4.1.5. Destrucción de documentación ............................................................................................ 74 4.1.6. Reutilización de documentación ........................................................................................... 75 4.1.7. Cuadro resumen con las medidas de seguridad en el tratamiento de ficheros no automatizados ...................................................................................................................... 76 4.2. Gestión de soportes ..................................................................................................................... 80 4.2.1. Inventario, etiquetado y almacenamiento de soportes ......................................................... 80 4.2.2. Autorización de salida. Registro de entrada y salida de soportes ........................................ 80 4.2.3. Destrucción y reutilización de soportes automatizados ........................................................ 81 4.3. Gestión de Incidencias................................................................................................................. 82 4.3.1. Tipología de incidencias en Registros .................................................................................. 83 4.3.2. Notificación, gestión, registro y resolución de incidencias en Registros ............................... 83 4.4. Gestión de equipos portátiles y dispositivos móviles ................................................................... 86 4.5. Gestión de servicios externos ...................................................................................................... 87 4.6. Normalización de la documentación del Registro ........................................................................ 88 4.6.1. Proveedores ......................................................................................................................... 88 4.6.2. Trabajadores ........................................................................................................................ 90 4.6.3. Clientes ................................................................................................................................ 90 4.6.4. Convenios y Acuerdos .......................................................................................................... 91 4.7. Plataforma de concienciación y formación. Aprend@ ................................................................. 91 4.8. Auditorías..................................................................................................................................... 92

4.8.1. Auditorías internas ................................................................................................................ 92 4.8.2. Auditorías presenciales ........................................................................................................ 93

5. ASPECTOS TÉCNICOS.......................................................................................................94 5.1. Copias de seguridad y restauración de sistemas ........................................................................ 94 5.1.1. Copias de seguridad y respaldo ........................................................................................... 94 5.1.2. Comprobación de validez de copias de seguridad ............................................................... 94 5.1.3. Procedimiento de restauración de sistemas ......................................................................... 95 5.1.4. Almacenamiento y control de acceso a los soportes de copias............................................ 95 5.1.5. Externalización de copias de seguridad ............................................................................... 95 5.2. Seguridad lógica en los entornos tecnológicos de los Registros ................................................. 96 5.2.1. Gestión de usuarios de los sistemas de información ............................................................ 96 5.2.2. Medidas de identificación, autenticación, control de acceso y trazabilidad de los sistemas de información ....................................................................................................... 97 5.2.3. Accesos a las Bases de Datos del Registro ......................................................................... 99 5.2.4. Sistemas de cifrado en el intercambio de información ......................................................... 99 5.2.5. Seguridad en puestos de trabajo de Registros ................................................................... 100 5.2.6. Principales sistemas de información de los Registros y consideraciones generales .......... 101 5.3. Seguridad en accesos remotos y conexiones al exterior del Registro ....................................... 103 5.3.1. Autorización de accesos remotos ....................................................................................... 103 5.3.2. Seguridad en las transmisiones.......................................................................................... 104 5.3.3. Conexiones a Internet y software antivirus y antispam ....................................................... 104 5.3.4. Uso de la firma digital ......................................................................................................... 104 5.4. Disociación de datos y pruebas ................................................................................................. 104

6. ASPECTOS FÍSICOS .........................................................................................................106 6.1. Medidas de seguridad en los locales ......................................................................................... 106 6.1.1. Características físicas de los locales .................................................................................. 106 6.1.2. Medidas ambientales y sistemas de seguridad .................................................................. 106 6.2. Medidas de seguridad en la sala de servidores y centro de procesamiento de datos (CPD) .... 111 6.2.1. Ubicación del CPD ............................................................................................................. 111 6.2.2. Control de acceso al CPD .................................................................................................. 112 6.2.3. Medidas ambientales .......................................................................................................... 112 6.3. Mecanismos de control de acceso a las instalaciones del Registro........................................... 112 6.3.1. Acceso de empleados ........................................................................................................ 112 6.3.2. Acceso de personal externo ............................................................................................... 112 6.3.3. Control de visitas al Registro .............................................................................................. 113 6.3.4. La confidencialidad en el trato al cliente presencial ............................................................ 114 6.3.5. Control y seguridad de datos especialmente protegidos: libro de incapacitados ............... 114

ANEXO I. GLOSARIO ..............................................................................................................115 ANEXO II. REFERENCIAS DE INTERÉS ................................................................................122 ANEXO III. APLICACIÓN SYGILO PARA LA GESTIÓN LOPD EN LOS REGISTROS ........123

INTRODUCCIÓN

1. INTRODUCCIÓN La Constitución Española de 27 de diciembre de 1978 reconoce, en su artículo 10, el Derecho Fundamental a la dignidad de la persona. Por su parte, el artículo 18.4 dispone que “La ley limitara el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos y el pleno ejercicio de sus derechos”. De ambos preceptos constitucionales emerge el derecho fundamental a la protección de datos de carácter personal, mediante su desarrollo posterior en la vigente normativa de protección de datos, esto es, la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en adelante, LOPD) y el Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD (en adelante, RDLOPD). Los Registros manejan constantemente datos de carácter personal debiendo, por tanto, cumplir la normativa que regula su tratamiento. Para ayudar a este cumplimiento, desde el Colegio de Registradores de la Propiedad, Mercantiles y de Bienes Muebles de España (en adelante, CORPME) se ha elaborado el presente Manual de Tratamiento de Datos de Carácter Personal en los Registros, cuyo objetivo no es otro que acercar de manera sencilla el conocimiento de esta materia a todas las personas implicadas. El Manual de Tratamiento de Datos de Carácter Personal es el documento que contiene los criterios aconsejados y la descripción de las actuaciones que deben seguirse en el tratamiento de la información en los Registros. El artículo 9.1 de la LOPD establece que “el responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural”. Así pues, el presente Manual recoge tanto los criterios interpretativos en materia de protección de datos aprobados por la Comisión LOPD del CORPME, como aquellos ya consolidados por la Dirección General de los Registros y del Notariado (en adelante, DGRN). Se trata de plasmar dicha labor interpretativa con una vocación principal de servir de ayuda y orientación, pero en ningún caso vinculante para el Registrador, pues es él, en su calidad de Responsable del fichero, en materia de LOPD, y en su calidad de intérprete de la normativa hipotecaria, el que tiene la última potestad y responsabilidad a la hora de acomodar todo el marco normativo aplicable al ejercicio de su labor profesional. El Manual se presenta organizado en bloques o unidades que coinciden con las principales áreas de impacto de la normativa LOPD en la operativa registral: legal, organizativo, técnico y físico. Asimismo, en el Anexo I del presente documento se incluye un glosario de términos cuyo objetivo es facilitar la comprensión del Manual, mediante la inclusión de una relación de definiciones de aquellos conceptos que el CORPME ha considerado que requieren explicación.

1.1. Objetivos del Manual El Manual de Tratamiento de Datos de Carácter Personal pretende facilitar el cumplimiento de la normativa de protección de datos en los Registros, así como ser su principal referente de consulta en dicha materia. Para ello, en el presente documento se han considerado los siguientes objetivos: ● Establecer las actuaciones que se deben realizar dentro del Registro para el tratamiento de los datos de carácter personal, y a su vez detectar qué acciones se requieren implementar, modificar o desechar, tomando como base de análisis la normativa hipotecaria y la legislación vigente en materia de protección de datos.

5

INTRODUCCIÓN

● Establecer determinados criterios orientativos de resolución de consultas, que serán valorados por el Registrador en función de la especificidad concreta del caso. ● Concienciar de la importancia del uso de la herramienta SYGILO (INTRANET del CORPME) para todos los temas relacionados con la protección de datos de carácter personal en los Registros. ● Definir la estructura organizativa y funcional del Registro en materia de protección de datos, teniendo en cuenta que la responsabilidad final de la gestión de la protección de datos recae en el Registrador, a fin de mejorar el tratamiento y reducir el riesgo de posible sanción por parte de la AEPD. ● Conseguir que todo el personal de los Registros sea consciente de la importancia que para su trabajo tiene la protección de datos, y conozca y utilice los mecanismos y canales oportunos para su formación continua en esa materia (Plataforma de formación online “Aprend@”). Los Registradores son responsables de la protección de la información que gestionan y deben, por todos los medios disponibles, garantizar su confidencialidad, integridad y disponibilidad. La seguridad de los datos personales en los Registros no es una actividad puntual, sino un proceso continuo y diario que debe ser controlado, gestionado y monitorizado. La LOPD establece las obligaciones que los Registradores han de cumplir para garantizar el cumplimiento del derecho a la protección de los datos de carácter personal. Sobre los Registradores recaen las principales obligaciones establecidas por la LOPD y les corresponde velar por el cumplimiento de la Ley en el Registro. El Registrador es el responsable, entre otras cosas, de que los datos sean adecuados y veraces, sean obtenidos lícita y legítimamente y sean tratados de modo proporcional a la finalidad para la que fueron recabados. Está obligado a proporcionar a los empleados que traten datos de carácter personal en el Registro formación al respecto, existiendo diferentes medios y cauces a su disposición para una adecuada formación continua y concienciación en la materia. En el presente Manual, en el apartado “2.- RESPONSABILIDADES PRINCIPALES DE LAS FIGURAS DEL REGISTRO”, se exponen aquellas obligaciones principales del Registrador como Responsable del Fichero. Por ello, y dado que los Registradores están sujetos al régimen sancionador establecido en la LOPD, el presente Manual pretende: ● Facilitar el establecimiento de un procedimiento interno para llevar a cabo las tareas, requerimientos y responsabilidades en materia de protección de datos. ● Aumentar la eficiencia de los empleados, indicándoles, en materia de protección de datos, lo que deben hacer y cómo deben hacerlo. ● Ser un medio de auxilio para la resolución de dudas y consultas en este ámbito, como paso previo e imprescindible antes de consultar a Atención al Cliente-LOPD y, en su caso, a la Oficina de Seguridad (OSE) del CORPME. ● Emprender tareas de simplificación del trabajo del tratamiento de datos personales, uniformando el cumplimiento de las rutinas legales y evitando su alteración arbitraria. ● Facilitar las labores de auditoria, evaluación del control interno y la implantación y ejecución de las medidas oportunas.

1.2. Normativa Hipotecaria y Protección de Datos La legislación hipotecaria y la normativa sobre protección de datos son complementarias, de tal forma que velando por el cumplimiento de la normativa registral se evita un eventual incumplimiento de la normativa en materia de protección de datos.

6

INTRODUCCIÓN

Por tanto, una primera conclusión que se puede extraer de la coexistencia de ambas normas es que un cumplimiento estricto de la normativa hipotecaria lleva al cumplimiento de la LOPD y, a la inversa, que del incumplimiento de las normas y procedimientos registrales pueden devenir, de forma añadida, incumplimientos de la normativa de protección de datos personales. La LOPD, y su posterior desarrollo reglamentario, no modifican ni suprimen los criterios y principios registrales, sino que establecen medidas singulares cuya implementación es necesaria para alcanzar los fines propuestos de la protección de los datos personales, a fin de garantizar la integridad, confidencialidad y disponibilidad de los datos personales responsabilidad del Registrador. Así, los criterios de ambas normas son perfectamente compatibles, al tener ambas aplicabilidad plena, de tal forma que, en una interpretación conjunta de las mismas, cabe considerar que lo que se pretende es una verdadera protección de los datos personales en el tratamiento que se realiza de ellos en los Registros de la Propiedad, bajo el criterio del Registrador, el máximo responsable de que la normativa vigente se cumpla en los Registros.

1.3. Marco normativo vigente Se pueden mencionar, como marco normativo y legislación de aplicación en los Registros y en el tratamiento de los datos de carácter personal, las siguientes: ● Constitución Española, de 27 de diciembre de 1978. Disponible en Agencia Española de Protección de Datos. ● Ley Orgánica de Protección de Datos, 15/1999, de 13 de diciembre. Norma que tiene por objeto garantizar y proteger, en lo que concierne al uso y tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y, especialmente, su honor, intimidad y privacidad personal y familiar. Disponible en Agencia Española de Protección de Datos. ● Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre. Norma que desarrolla lo dispuesto en la Ley Orgánica 15/1999, detallando tanto los principios de la Ley como las medidas de seguridad a aplicar en los sistemas de información y los mecanismos de actuación, destacando, por su importancia práctica, la parte relativa a las medidas de seguridad en el tratamiento de datos de carácter personal de su Título VIII. Disponible en Agencia Española de Protección de Datos. ● Instrucciones y Recomendaciones de la Agencia de Protección de Datos. Disponibles en Agencia Española de Protección de Datos. ● Protocolo de colaboración entre la Agencia de Protección de Datos y el Colegio de Registradores de la Propiedad y Mercantiles de España, de 3 de noviembre de 1994. Disponible en Agencia Española de Protección de Datos. ● Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común. Disponible en el Boletín Oficial del Estado. ● Código Civil, aprobado por Real Decreto del 24 de julio de 1889. Disponible en el Boletín Oficial del Estado. ● Decreto de 8 de febrero de 1946, por el que se aprueba el texto refundido de la Ley Hipotecaria. Disponible en el Boletín Oficial del Estado. ● Decreto de 14 de febrero de 1947, por el que se aprueba el Reglamento Hipotecario. Disponible en el Boletín Oficial del Estado. ● Instrucciones y Resoluciones de la Dirección General de los Registros y del Notariado. Disponibles en el Boletín Oficial del Estado.

7

INTRODUCCIÓN

● Real Decreto de 22 de agosto de 1885, por el que se publica el Código de Comercio. Disponible en el Boletín Oficial del Estado. ● Real Decreto 1784/1996, de 19 de julio, por el que se aprueba el Reglamento del Registro Mercantil. Disponible en el Boletín Oficial del Estado. ● Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del Procedimiento para el Ejercicio de la Potestad Sancionadora. Disponible en el Boletín Oficial del Estado. ● Real Decreto 1427/1989, de 17 de noviembre, por el que se aprueba el Arancel de los Registradores de la Propiedad. Disponible en el Boletín Oficial del Estado. ● Ley 10/2010, de 28 de abril, de prevención del blanqueo de capitales y de la financiación del terrorismo. Disponible en el Boletín Oficial del Estado. ● Ley 1/2000, de 7 de enero, de Enjuiciamiento Civil. Disponible en el Boletín Oficial del Estado. ● Ley 58/2003, de 17 de diciembre, General Tributaria. Disponible en el Boletín Oficial del Estado. ● Orden de 19 de julio de 1999, por la que se aprueba la Ordenanza para el Registro de Venta a Plazos de Bienes Muebles. Disponible en el Boletín Oficial del Estado. En cuanto a la legislación específica por la cual se regula la Agencia Española de Protección de Datos (AEPD), se encuentra disponible en su página web (Agencia Española de Protección de Datos). En esta página se puede encontrar, además, otra documentación de interés, como consultas resoluciones u otros elementos publicados por este Organismo.

1.4. Introducción a la LOPD El Ordenamiento Jurídico protege a los ciudadanos contra la posible utilización no autorizada por parte de terceros de sus datos personales, preservando la esfera más íntima de la persona y su entorno personal, familiar, social y profesional. La Ley Orgánica de Protección de Datos, 15/1999, de 13 de diciembre, establece el marco jurídico de protección de los datos personales. La LOPD establece, en su artículo 1, que “tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal”. Comprende el tratamiento automatizado y no automatizado de los datos de carácter personal. Tras señalar su ámbito de aplicación (que más adelante se referenciará) y definir los términos más importantes, detalla los principios básicos de la protección de los datos (calidad de los datos, información en la recogida, consentimiento del afectado, seguridad de los datos, deber de secreto, etc.) y los derechos de las personas. Posteriormente, se desarrollan criterios aplicables a los ficheros de titularidad pública y privada, y se hace referencia al movimiento internacional de datos. Por último, regula la entidad encargada de velar por el cumplimiento de la normativa vigente en materia de protección de datos de carácter personal en Espa a (la Agencia Española de Protección de Datos) y hace un desarrollo de las infracciones y sanciones en esta materia.

8

INTRODUCCIÓN

Principios de la protección de datos recogidas en la LOPD • • • • • • • •

Calidad de los datos. Información en la recogida de datos. Consentimiento del afectado. Existencia de datos especialmente protegidos (ideología, afiliación sindical, salud, religión, creencias, origen racial o étnico, o vida sexual). Seguridad de los datos. Deber de secreto. Comunicación de datos. Acceso a los datos por cuenta de terceros.

• Los datos deben tratarse de forma leal y lícita • Los datos deben recogerse con fines determinados, explícitos y legítimos • Los datos deben ser adecuados, pertinentes y no excesivos en relación con el ámbito y los fines para los que se han recogido. • Los datos deben ser exactos y mantenerse actualizados de manera que respondan con veracidad a la realidad. • Los responsables deben atender a los interesados que soliciten el acceso a sus datos personales. • Los datos solo deben conservarse durante el tiempo necesario para las finalidades del tratamiento para el que han sido recogidos. Deberán ser cancelados cuando hayan dejado de ser necesarios o pertinentes. • Todo encargado o responsable de un tratamiento debe adoptar las medidas necesarias para garantizar la seguridad de los datos personales e impedir cualquier alteración, pérdida, tratamiento o acceso no autorizado. • El responsable tiene que notificar al Registro General de Protección de Datos la creación, modificación o supresión de cualquier fichero o tratamiento de datos personales.

Aspectos jurídicos en el tratamiento de los datos personales Información y consentimiento • El interesado ha de permanecer informado del tratamiento de sus datos personales y los derechos que le amparan y debe permitir el tratamiento de los datos personales que le conciernen.

Calidad de los datos

Cesión de datos

• Los datos de carácter personal deberán ser tratados de forma leal y lícita; recogidos para el cumplimiento de finalidades determinadas, explícitas y legítimas; serán exactos y puestos al día, y cancelados cuando hayan dejado de ser necesarios o pertinentes para la finalidad para la cual hubieran sido recabados o registrados

• Se entiende por cesión o comunicación de datos “toda revelación de datos realizada a una persona distinta del interesado”. Trae causa en una Ley que ampara dicha cesión, no en un acuerdo (como es el caso del encargado del tratamiento). En la cesión de datos el cedente comunica los datos para funciones legítimas del cesionario que no son propias del cedente (por ejemplo, revelación de datos de un Registro a una Administración Pública o Tribunal, previo requerimiento)

Acceso a datos por cuenta de terceros (encargados del tratamiento) • El encargado del tratamiento es un tercero que maneja y utiliza datos personales del Registro por cuenta del responsable de fichero en base a una relación jurídica que le vincula con el mismo y delimita el ámbito de su actuación para la prestación de un servicio (ejemplos: CORPME, gestorías, empresas de mantenimientos de aplicaciones informáticas,…).

9

INTRODUCCIÓN

1.4.1. Ámbito de aplicación de la normativa de protección de datos Ante cualquier análisis que se realice en cuanto a la aplicabilidad de las previsiones que realiza la legislación de protección de datos, es preciso tener presente que esta legislación no es aplicable en los siguientes supuestos, conforme a los artículos 2.2 de la LOPD y 2.2 del Real Decreto 1720/2007: ● Datos relativos a Personas Jurídicas. ● Datos relativos a Empresarios individuales, cuando hagan referencia a ellos en su calidad de comerciantes, industriales o navieros, también se entenderán excluidos del régimen de aplicación de la protección de datos de carácter personal. ● A los datos “profesionales” de personas físicas, siempre y cuando sean de forma exclusiva los siguientes: nombre y apellidos, las funciones o puestos desempeñados, así como la dirección postal o electrónica, teléfono y número de fax profesionales. Es preciso aclarar que la finalidad de estos ficheros, en caso de crearse, debe ser efectivamente profesional. Es decir, datos de contacto cuya finalidad real sea contactar con la empresa. A la vez, hay que tener presente que la enumeración anterior de los datos excluidos se realiza de forma taxativa. Así, cualquier otro dato adicional (por ejemplo, el DNI) sí estará protegido por la legislación de protección de datos. ● A los ficheros mantenidos por personas físicas en el ejercicio de actividades exclusivamente personales o domésticas. Por ejemplo, sería el caso de una agenda contactos personales que se utilice con esa exclusiva finalidad. ● Datos referidos a personas fallecidas. No obstante, las personas vinculadas al fallecido, por razones familiares o análogas, podrán dirigirse a los responsables de los ficheros o tratamientos que contengan datos de éste con la finalidad de notificar el óbito, aportando acreditación suficiente del mismo, y solicitar, cuando hubiere lugar a ello, la cancelación de los datos. La legislación de protección de datos también excluye otros supuestos, pero se ha optado por incluir aquellos que para los Registros pueden tener mayor aplicabilidad práctica, si bien el total de exclusiones es posible encontrarlo en los artículos anteriormente citados. Por tanto, finalmente, se deberá tener presente que todos los requisitos expuestos en el presente manual no serán aplicables a los supuestos que se acaban de exponer.

1.4.2. Regula Información y consentimiento Información y consentimiento • La información y consentimiento para el tratamiento por parte del afectado se debe realizar durante el • La información y consentimiento del afectado para tratar sus datos se debe realizar en el momento de la recogida. Si existieran en momento de la recogida datos dedelcarácter personal o en cualquier momento de expresa, su tratamiento el el Registro datos personalesde nolos recabados interesado, éste deberá ser informado de forma precisa een inequívoca tiempo cuando sea necesario su tratamiento, salvo cuando ello resulte imposible o exija esfuerzos desproporcionados.

Información de la existencia de un fichero de datos de carácter personal, finalidad de la recogida de sus datos y destinatarios de la información.

Información del carácter obligatorio o facultativo de las respuestas a las preguntas que se plantean al interesado

Comunicación de las consecuencias de la obtención de los datos o de la negativa a suministrarlos

Información de la posibilidad de ejercitar los derechos ARCO

Notificar la identidad y dirección del responsable del tratamiento

1.4.3. Calidad de los datos

10

INTRODUCCIÓN

Calidad de los datos • Los datos personales deben adecuarse a la finalidad para la que fueron recabados, ser exactos, no mantenerse indefinidamente sin justificación y ser recogidos de forma lícita. Los datos de carácter personal serán cancelados cuando hayan dejado de ser necesarios o pertinentes para la finalidad para la cual hubieran sido recabados o registrados.

Adecuados, pertinentes y no excesivos en relación al fin

Uso del dato para finalidad compatible para la que fue recogido

Datos exactos y puestos al día. Cancelación de los datos cuando dejen de ser necesarios para el fin para el que se recabaron

Su almacenamiento permite ejercicio derecho de acceso

1.4.4. Acceso por cuenta de terceros ACCESO A DATOS POR CUENTA DE TERCEROS Encargados del tratamiento (Por ejemplo: gestorías, empresas de mantenimiento de aplicaciones informáticas,…) Supone un acceso necesario para la prestación de un servicio al responsable del fichero encargado mediante un contrato El Registrador indicará expresamente si se puede o no subcontratar el encargo a terceros El encargado del tratamiento tratará los datos conforme a las instrucciones recibidas del Registrador y no los aplicará para fines distintos a los señalados en el acuerdo o contrato El encargado del tratamiento deberá adoptar las medidas de seguridad necesarias para la protección de los datos que maneja del Registro Una vez finalizado el tratamiento, el encargado deberá devolver al Registro todos los datos que ha manejado o destruirlos, según se pacte

11

INTRODUCCIÓN

1.4.5. Cesión de datos CESIÓN DE DATOS

No será necesario el consentimiento

Revelación de datos realizada a una persona distinta del interesado, con su consentimiento

• Si la cesión la autoriza una ley • Si los datos son recogidos de fuentes accesibles al público • Si se va a realizar un tratamiento basado en relación jurídica • Si la comunicación de los datos se realiza al Defensor del Pueblo, Ministerio Fiscal, Juzgados o Tribunales o el Tribunal de Cuentas, en el ejercicio de las funciones que tiene atribuidas • Si la cesión es entre Administraciones Públicas con el objeto de un tratamiento con fines históricos, estadísticos o científicos • En el caso de datos de salud para urgencias y emergencias

1.5. Introducción al RDLOPD El Reglamento comparte con la Ley Orgánica la finalidad de hacer frente a los riesgos que, para los derechos de la personalidad, pueden suponer el acopio y tratamiento de datos personales. Pretende, sin reiterar los contenidos de la Ley, desarrollar sus mandatos y ampliar los aspectos legales que precisen de un mayor desarrollo normativo. De su contenido destaca el Título VIII, que regula un aspecto esencial para la tutela del derecho fundamental a la protección de datos, la seguridad, que repercute sobre múltiples aspectos en todos los entes que traten datos personales: ● Trata de ser particularmente riguroso en la atribución de los niveles de seguridad, en la fijación de las medidas que corresponda adoptar en cada caso y en la revisión de las mismas cuando ello resulte necesario. ● Ordena con mayor precisión el contenido y las obligaciones vinculadas al mantenimiento del Documento de Seguridad. ● Regula un conjunto de medidas destinadas a los ficheros y tratamientos automatizados y no automatizados para ofrecer a los responsables un marco claro de actuación. El resto del Reglamento se ocupa de los siguientes asuntos: En su Título I se contempla el ámbito de aplicación de la norma, aclarando qué se entiende por ficheros y tratamientos relacionados con actividades personales o domésticas (aquellas actividades que se inscriben en el marco de la vida privada o familiar de los particulares) aspecto muy relevante dado que está excluido de la normativa sobre protección de datos de carácter personal. Además, fija el criterio a seguir en materia de cómputo de plazos con el fin de homogeneizar esta cuestión evitando distinciones que suponen diferencias de trato de los ficheros públicos respecto de los privados. El Título II se refiere a los principios de la protección de datos, regulando especialmente el modo de captación del consentimiento.

12

INTRODUCCIÓN

Su Título III se ocupa de los derechos de las personas. Los derechos de acceso, rectificación, cancelación y oposición al tratamiento (derechos ARCO), según ha afirmado el Tribunal Constitucional, en su Sentencia 292/2000, de 30 de noviembre, constituyen el conjunto de facultades que emanan del derecho fundamental a la protección de datos, garantizando “a la persona un poder de control sobre sus datos personales, lo que sólo es posible y efectivo imponiendo a terceros los mencionados deberes de hacer”. Los Títulos IV a VII permiten clarificar aspectos importantes para el tráfico ordinario, como la aplicación de criterios específicos a determinados tipos de ficheros de titularidad privada que por su trascendencia lo requerían -los relativos a la solvencia patrimonial y crédito y los utilizados en actividades de publicidad y prospección comercial-, el conjunto de obligaciones materiales y formales que deben conducir a los responsables a la creación e inscripción de los ficheros, los criterios y procedimientos para la realización de las transferencias internacionales de datos, y, finalmente, la regulación de un instrumento, el código tipo, llamado a jugar cada vez un papel más relevante como elemento dinamizador del derecho fundamental a la protección de datos. Finalmente en el Título IX está dedicado a los procedimientos tramitados por la Agencia Española de Protección de Datos.

1.6. Niveles de seguridad de los ficheros declarados en la AEPD El RDLOPD establece tres niveles de seguridad de los ficheros en función de la naturaleza de los datos que contienen: BÁSICO, MEDIO y ALTO. Estos niveles de seguridad se aplican a los ficheros públicos y privados inscritos en el Registro General de Protección de Datos (en adelante, RGPD), indistintamente para tratamientos automatizados y no automatizados. Dichos niveles tienen impacto directo en los requisitos de seguridad a considerar en los tratamientos de la información. Las medidas de seguridad propuestas son acumulativas para los niveles de seguridad superiores.

1.6.1. Niveles de seguridad en la información tratada en los Registros de la Propiedad La siguiente tabla recoge ejemplos de tipos de información tratada en los Registros y el nivel de seguridad a aplicar sobre cada uno de ellos: Ficheros Públicos

Ficheros Privados

Básico

• Libro – Registro de Entrada • Solicitudes de información en ventanilla

• Agenda y datos de contacto del Registro • Contratos con proveedores de servicios • Datos del libro de visitas del Registro

Medio

• Documentación de legajos del Registro (legajos) - salvo que contengan datos especialmente protegidos. • Libro Diario de Operaciones

• Datos contables, administrativos y de facturación • Datos de recursos humanos con curriculums, formación u otro tipo de información de gestión de RRHH

• • • •

Alto

Notas simples expedidas por el Registro Certificaciones expedidas por el Registro Libro de incapacitados Documentos que contengan datos especialmente protegidos (Ideología, afiliación sindical, religión, creencias, origen racial, salud o vida sexual o datos derivados de actos de violencia de género) • Inscripciones de los tomos del Registro (por poder contener datos especialmente protegidos)

• Datos de certificaciones médicas por aspectos de minusvalía del personal

13

INTRODUCCIÓN

1.6.2. Medidas de Seguridad exigidas por el RDLOPD en función del nivel El Título VIII del RDLOPD define las medidas de seguridad de naturaleza técnica, física y organizativa que es necesario que cumplan los Registros para los ficheros públicos y privados que tienen inscritos en el RGPD. Para una mejor compresión del contenido del Título VIII del RDLOPD, en este apartado se recogen, de forma gráfica, las medidas de seguridad propuestas para los tratamientos de datos de carácter personal en función del nivel de los mismos. Los artículos de este Título VIII se han organizado de la siguiente forma: ● Mediante la agrupación lógica de conceptos con impacto en los Registros (con artículos asociados). ● Mediante el reflejo del nivel en cada caja los artículos afectados entre corchetes en la siguiente gráfica (Básico [B], Medio [M], Alto [A]). Hemos de tener en cuenta, como ya hemos dicho anteriormente, que las medidas de seguridad del RDLOPD son acumulativas para los niveles de seguridad superiores.

1.6.2.1. Medidas comunes aplicables a Ficheros Automatizados y No Automatizados MEDIDAS COMUNES APLICABLES A FICHEROS AUTOMATIZADOS Y NO AUTOMATIZADOS ÁMBITO DE APLICACIÓN Alcance (art. 79 [B]

Niveles de Seguridad (art. 80 [B])

TRABAJO FUERA DE LOS LOCALES Aplicación de los niveles de Seguridad (art. 81 [B])

Régimen de trabajo fuera de los locales (art. 86 [B])

RESPONSABILIDADES Delegación de Autorizaciones (art. 84 [B]

RELACIONES CON TERCEROS Encargado del tratamiento (art. 82 [B] Prestaciones de servicio sin acceso a datos personales (art. 83 [B]

Funciones y obligaciones del personal (art. 89 [B])

Responsable de Seguridad (art. 95 [M] y 109 [M])

FICHEROS O COPIAS TEMPORALES

DOCUMENTO DE SEGURIDAD

Ficheros temporales o copias de trabajo de documentos (art. 87 [B])

Documento de Seguridad (art. 88 [B])

AUDITORIA

Auditoría (art. 96 [M] y 110 [M])

14

INTRODUCCIÓN

1.6.2.2. Medidas aplicables a Ficheros Automatizados

MEDIDAS APLICABLES A FICHEROS AUTOMATIZADOS GESTIÓN DE EVENTOS GESTIÓN DE USUARIOS Identificación y autenticación (art. 93 [B] y 98 [M])

Acceso a través de redes de comunicaciones (art. 85 [B])

Control de acceso (art. 91 [B])

Control de acceso físico (art. 99 [M])

GESTIÓN DE SOPORTES Gestión de soportes y documentos (art. 92 [B] y 97 [M])

Gestión y distribución de soportes (art. 101 [A])

Registro de accesos (art. 103 [A])

Registro de incidencias (art. 90 [B] y 100 [M])

COPIAS DE RESPALDO Copias de respaldo y recuperación (art. 94 [B] y 102 [A])

TELECOMUNICACIONES Telecomunicaciones (art. 104 [A])

15

INTRODUCCIÓN

1.6.2.3. Medidas aplicables a Ficheros No Automatizados MEDIDAS APLICABLES A FICHEROS NO AUTOMATIZADOS ALMACENAMIENTO Criterios de archivo (art. 106 [B]) Acceso a la documentación (art. 113 [A])

GESTIÓN DE INCIDENCIAS

Gestión de soportes y documentos (art. 92 [B])

Dispositivos de almacenamiento (art.107 [B])

Almacenamiento de la información (art. 111 [A])

Control de acceso (art. 91 [B])

Registro de Incidencias (art. 90 [B])

DESTRUCCIÓN

MANEJO Custodia de soportes (art. 108 [B])

Copia o reproducción (art. 112 [A])

Gestión de soportes y documentos (art. 92 [B])

Control de acceso (art. 91 [B])

Copia o reproducción (art. 112 [A])

TRASLADO Traslado de documentación (art. 114 [A])

Custodia de soportes (art. 108 [B])

Gestión de soportes y documentos (art. 92 [B])

Control de acceso (art. 91 [B])

Control de acceso (art. 91 [B])

1.6.3. Declaración automatizada de ficheros a la Agencia Española de Protección de Datos La herramienta SYGILO permite el seguimiento por parte del Registrador y del Responsable de seguridad y Suplente, del estado de los Ficheros LOPD del Registro. Para lograr una mayor eficiencia en todo el proceso de declaración de ficheros, se han implementado en la herramienta SYGILO los requisitos técnicos necesarios a fin de que el proceso de declaración de ficheros se realice de forma totalmente automatizada. Así, se persigue lograr la declaración de ficheros y actualización de los datos existentes en el Registro General de Protección de Datos con una periodicidad superior a la establecida anteriormente. Hemos de tener en cuenta las especialidades de la declaración de ficheros públicos, con su oportuna disposición publicada en el BOE, aún pendiente. La automatización mencionada del proceso esquemáticamente, las siguientes fases:

de

declaración

de

ficheros

contiene,

● Detección del cambio: creación, modificación y supresión de ficheros. Una vez que la OSE ha detectado cambios en las declaraciones de ficheros, establece una fecha de cierre de cambios para su posterior notificación a los Registradores afectados. ● Notificación a los Registradores y firma de los cambios. De forma automatizada a través de SYGILO, se procederá a la generación de una alerta que será recibida en el correo de notificaciones designado para Responsables de Seguridad y Suplentes de los Registros. Dicha alerta informa de la propuesta de cambios de declaración de ficheros realizada, de la necesidad de su revisión y firma digital, y del plazo existente para ello: 10 días naturales desde la recepción de la alerta. Una vez recibido dicho correo de alerta, el Responsable de Seguridad o Suplente notificarán la misma al Registrador, quien tiene la responsabilidad de aceptar los cambios detectados

16

INTRODUCCIÓN

mediante firma digital (en caso de aceptación positiva), o mediante silencio, transcurridos los diez días naturales indicados, silencio que se entiende positivo. En dicho plazo, el Registrador puede notificar a la Oficina de Seguridad los cambios y apreciaciones que estime oportunas en la declaración de ficheros propuesta. ● Firma de los cambios por parte del presentante ante la AEPD. Una vez que se han firmado electrónicamente los ficheros (o ha transcurrido el plazo indicado anteriormente), los mismos quedan pendientes de la firma por parte del presentante ante la AEPD. Actualmente dicha firma de la hoja de presentación ante la AEPD se realiza por el Decano del Colegio de Registradores. ● Envío de los ficheros y presentación de los mismos ante la AEPD. Una vez los ficheros han sido aceptados y firmados electrónicamente por parte del Registrador, y el Decano como presentante, se procede al envío conjunto de ambos (tanto los ficheros como la hoja de presentación) a la AEPD, pudiendo comprobarse la finalización correcta del proceso en la “Consulta de ficheros” de la herramienta SYGILO.

17

RESPONSABILIDADES PRINCIPALES DE LAS FIGURAS DEL REGISTRO

2. RESPONSABILIDADES PRINCIPALES DE LAS FIGURAS DEL REGISTRO De los artículos 84, 89, 95 y 109 del RDLOPD se pueden extraer las responsabilidades en materia de protección de datos para las personas implicadas en los Registros. Así, el presente apartado describe las principales funciones y obligaciones y posibles delegaciones de autorizaciones que pueden considerarse en los Registros. ● Responsable del Fichero (Registrador). ● Responsable de Seguridad o Suplente. ● Encargados de Tratamiento. ● Personal del Registro.

RESPONSABLE DEL FICHERO (Titular del Registro)

CORPME RESPONSABLE DE SEGURIDAD Y SUPLENTE (Designado por el Titular del Registro)

OTROS PROVEEDORES DEL REGISTRO PERSONAL DEL REGISTRO (Cumplimiento de las directrices de seguridad en protección de datos definidas en el Registro) ENCARGADOS DEL TRATAMIENTO (Cumplimiento de obligaciones contractuales en materia de protección de datos)

2.1. Responsable del Fichero (Registrador) El Responsable del Fichero es la persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que, solo o conjuntamente con otros, decide sobre la finalidad, contenido y uso del tratamiento de los datos personales, aunque no lo realice materialmente. El Responsable de los Ficheros declarados en la AEPD en los Registros es el Registrador. Como labor de soporte a estas actividades de definición y presentación de ficheros declarados, está el CORPME, a través de la Oficina de Seguridad y la Comisión LOPD. La función del CORPME será representar al Registro ante la AEPD como interlocutor institucional y a efectos de comunicación de los ficheros de datos personales y su estructura, así como de las modificaciones que se produzcan. El Registrador asume, como Responsable de Fichero, funciones y obligaciones respecto a la aplicación de las medidas contempladas en la Ley. Normalmente su responsabilidad se asocia al establecimiento y comunicación de estas medidas o a la autorización de determinadas acciones que implican a los datos personales tratados en el Registro.

18

RESPONSABILIDADES PRINCIPALES DE LAS FIGURAS DEL REGISTRO

De la misma forma, las principales funciones asignadas por la Ley Orgánica de Protección de Datos (LOPD) al Responsable del Fichero, es decir, al Registrador, son las siguientes: Ámbito de actuación

Funciones y obligaciones del Registrador

● Asumir la máxima responsabilidad sobre los ficheros declarados y las medidas de seguridad establecidas en la Entidad. ● Nombramiento del Responsable de Seguridad del Registro. ● Elaboración del Documento de Seguridad (posible delegación en el Responsable de Seguridad del Registro). ● Analizar las conclusiones del Responsable de Seguridad sobre el informe de auditoría obligatorio (posible delegación en el CORPME). ● Autorizar la ejecución de trabajos fuera de los locales (posible delegación en el Responsable de Seguridad del Registro). ● Autorización de salida de información, incluidos correos electrónicos (posible delegación en Responsable de Seguridad del Registro). ● Autorización de salida de las cintas resultantes de las copias de seguridad –si las hubiere- (posible delegación en el Responsable de Seguridad del Registro). ● Autorización de recuperación de copias de seguridad –si las hubiere(posible delegación en Responsable de Seguridad del Registro). Ficheros Automatizados

● Realización de la verificación semestral de los procedimientos de copia y restauración de datos (posible delegación en el Encargado de Tratamiento). ● Garantizar la existencia de mecanismos de control de acceso en los sistemas y la existencia de un listado actualizado de personal con acceso a éstos (posible delegación en el Encargado de Tratamiento). ● Establecer medidas de identificación y autenticación de usuarios en los sistemas y asegurar la identificación inequívoca y personalizada de los mismos (posible delegación en el Encargado de Tratamiento). ● Establecer mecanismos para limitar el número de intentos reiterados de acceso no autorizado a los sistemas (posible delegación en el Encargado de Tratamiento). ● Adoptar las medidas necesarias para que el personal conozca sus funciones y obligaciones en materia de protección de datos (posible delegación en el Responsable de Seguridad del Registro y en el CORPME). ● Establecer todas las medidas necesarias para evitar el acceso a los datos por parte de aquellos prestadores de servicio que no deban acceder (posible delegación en el Responsable de Seguridad del Registro). ● Asumir la máxima responsabilidad sobre los ficheros declarados y las medidas de seguridad establecidas en la Entidad.

Ficheros No Automatizados

● Autorización de salida de documentos en papel (posible delegación en Responsable de Seguridad del Registro). ● Autorizar la ejecución de trabajos fuera de los locales (posible delegación en el Responsable de Seguridad del Registro). ● Definir los criterios de archivo de documentación (posible delegación en

19

RESPONSABILIDADES PRINCIPALES DE LAS FIGURAS DEL REGISTRO

Ámbito de actuación

Funciones y obligaciones del Registrador

el Responsable de Seguridad del Registro). ● Autorización de acceso a las ubicaciones, armarios, cajones departamentales, archivos de documentación, etc. (posible delegación en Responsable de Seguridad del Registro). ● Adoptar medidas alternativas que impidan el acceso a los documentos por parte del personal no autorizado en aquellos casos en que los documentos no se puedan ubicar en armarios o cajones cerrados (posible delegación en el Responsable de Seguridad del Registro). ● Adoptar las medidas necesarias para que el personal conozca sus funciones y obligaciones en materia de protección de datos (posible delegación en el Responsable de Seguridad del Registro y en el CORPME). ● Establecer todas las medidas necesarias para evitar el acceso a los datos por parte de aquellos prestadores de servicio que no deban acceder (posible delegación en el Responsable de Seguridad del Registro).

2.2. Responsable de Seguridad o suplente El Responsable de Seguridad es la persona o personas a las que el Registrador, como Responsable del Fichero, ha asignado formalmente la función de coordinar y controlar las medidas de seguridad aplicables a los ficheros con datos de carácter personal. En el caso de los Registros, se ha designado por cada Registrador un Responsable de Seguridad para asumir estas funciones y un suplente, que actuará como Responsable de Seguridad en ausencia del primero. En cuanto a las funciones generales asignadas a esta figura destacan: ● Mantener un listado de las acciones llevadas a cabo, según las instrucciones especificadas en el Documento de Seguridad y en SYGILO. ● Actualizar la herramienta SYGILO con las acciones incluidas a lo largo del presente documento. ● Estudiar y establecer nuevas medidas de seguridad en función de los cambios en el Registro y las mejoras aplicables que surjan como consecuencia de avances tecnológicos, comunicándolas para su implantación al Encargado de Tratamiento correspondiente. ● Dar a conocer al personal interno y externo del Registro sus funciones y obligaciones de cara a mantener actualizada la información recogida en el Documento de Seguridad. ● Dirección y seguimiento de la implantación de las acciones necesarias para cumplir la normativa de protección de datos. En este sentido, esta es la FIGURA CLAVE en los Registros para asegurar el correcto cumplimiento de la legislación aplicable en materia de protección de datos y tiene la obligación de velar por los datos personales que se tratan en los Registros, ya sean ficheros de naturaleza pública o privada. Para asegurar estos objetivos principales, sería recomendable que esta figura reuniese un determinado perfil mínimo que aunase los siguientes puntos: ● Que tenga un extenso conocimiento de la actividad y operativa completa del Registro. ● Que disponga, en la medida de lo posible, de conocimientos técnicos básicos del entorno tecnológico del Registro.

20

RESPONSABILIDADES PRINCIPALES DE LAS FIGURAS DEL REGISTRO

Asimismo, se definen una serie de funciones específicas para el tratamiento de ficheros automatizados y de ficheros no automatizados: Ámbito de actuación

Funciones y obligaciones del Responsable de Seguridad o suplente

● Analizar las auditorías bienales en SYGILO (internas o presenciales) realizadas por el CORPME. ● Supervisar y hacer cumplir las normas de seguridad en el Registro. ● Elaboración y custodia en SYGILO del listado de personal con acceso al CPD. ● Valorar y supervisar las medidas de seguridad sobres sistemas, para verificar el cumplimiento de lo dispuesto en el RDLOPD (en colaboración con el Encargado de Tratamiento). ● Concienciación a usuarios de las medidas necesarias para el cumplimiento del RDLOPD (en colaboración con el Encargado de Tratamiento). Ficheros Automatizados

● Custodia y actualización del Documento de Seguridad en SYGILO (posible delegación de algunos aspectos formales en el Encargado de Tratamiento). ● Custodia de las declaraciones de ficheros (posible delegación en el Encargado de Tratamiento). ● Autorizar la ejecución de trabajos fuera de los locales. ● Gestión y mantenimiento del registro de incidencias sobre los ficheros (en coordinación con los Encargados de Tratamiento). ● Establecer todas las medidas necesarias para evitar el acceso a los datos por parte de aquellos prestadores de servicio que no deban acceder. ● Controlar y revisar el informe mensual del registro de accesos para nivel alto (en coordinación con los Encargados de Tratamiento). ● Concienciación a usuarios de las medidas necesarias para el cumplimiento del RDLOPD (delegado parcialmente en el CORPME). ● Custodia y actualización del Documento de Seguridad en SYGILO (posible delegación de algunos aspectos formales en el Encargado de Tratamiento). ● Custodia de las declaraciones de ficheros (posible delegación en el Encargado de Tratamiento).

Ficheros No Automatizados

● Supervisar las medidas de seguridad sobre armarios, cajones, archivos, etc. ● Supervisar las medidas establecidas en el Registro para el traslado de documentación. ● Supervisar los procesos de destrucción segura de documentación. ● Supervisar el grado de concienciación en lo referente a política de mesas limpias, impresoras, etc. ● Adoptar medidas alternativas que impidan el acceso a los documentos por parte del personal no autorizado en aquellos casos en que los documentos no se puedan ubicar en armarios o cajones cerrados. ● En general, supervisar y validar las medidas de seguridad establecidas

21

RESPONSABILIDADES PRINCIPALES DE LAS FIGURAS DEL REGISTRO

Ámbito de actuación

Funciones y obligaciones del Responsable de Seguridad o suplente

en el Registro para la gestión de documentación en papel. ● Gestión y mantenimiento del registro de incidencias sobre la documentación en papel (en coordinación con los Encargados de Tratamiento). ● Establecer todas las medidas necesarias para evitar el acceso a los datos por parte de aquellos prestadores de servicio que no deban acceder.

2.3. Encargados de Tratamiento El Encargado de Tratamiento del fichero es la persona física o jurídica que realiza el tratamiento de datos de carácter personal por cuenta del Responsable del Fichero (Registrador). Dicho Encargado de Tratamiento, cuando actúe sobre archivos (automatizados, no automatizados o parcialmente automatizados) gestionados por el Registro, tiene que cumplir los criterios establecidos en la LOPD y en el RDLOPD, ajustándose adicionalmente a las instrucciones marcadas para ello por el Responsable del Fichero (Registrador). Los principales Encargados de Tratamiento que se pueden identificar en un Registro son el CORPME, los proveedores de sistemas no Colegiales y entorno tecnológico del Registro, el proveedor de externalización de copias de respaldo (si los hubiere) y todos aquellos que se puedan identificar acorde a los aspectos descritos en el apartado 4.5 - “Gestión de servicios externos” del presente Manual. Únicamente aquellos sistemas de información (automatizados, no automatizados o parcialmente automatizados) gestionados por Registro quedan dentro del ámbito de aplicación de este Manual. No obstante, las labores de gestión de sistemas o aplicaciones por parte de terceros ajenos a la empresa se encuentran expresamente reguladas en contratos de prestación de servicios. En las cláusulas de estos contratos se incluyen expresamente las cautelas previstas en el artículo 12 de la LOPD (regulador de la figura del tratamiento de datos de carácter personal por cuenta de un tercero), a saber: ● Tratamiento de datos siguiendo exclusivamente las instrucciones del Responsable del Fichero. ● No aplicación o uso de los datos para finalidades distintas a las específicamente previstas en el contrato. ● No realizar cesión de datos sin la autorización del Responsable del Fichero. ● Estipulación de las medidas de seguridad que deban implementarse, de conformidad con lo previsto en el artículo 9 de la LOPD. ● Destrucción o devolución de los datos al responsable, una vez finalizada la relación contractual que los vincula. Las funciones delegadas en estos Encargados de Tratamiento son aquellas que se estipulan en el contrato de prestación servicios establecido entre el Registro y el Encargado de Tratamiento y que tienen impacto directo con el cumplimiento de la LOPD y el RDLOPD en la prestación del servicio concreto.

2.4. Trabajadores del Registro El RDLOPD establece una serie de responsabilidades para los trabajadores del Registro en el tratamiento de ficheros automatizados y no automatizados.

22

RESPONSABILIDADES PRINCIPALES DE LAS FIGURAS DEL REGISTRO

Es fundamental el cumplimiento de las medidas exigidas por la legislación cuando se trate de ficheros no automatizados con datos personales, al tratarse, en la mayoría de los casos, de tratamientos que son realizados en el día a día por estas personas y recaer sobre ellos la responsabilidad de la gestión de esta documentación. Ámbito de actuación

Funciones y obligaciones de los trabajadores del Registro

● Responsables de la confidencialidad de las contraseñas. ● Guardar la información en las carpetas de red habilitadas a tal efecto. ● Almacenamiento controlado de los soportes bajo su responsabilidad. ● Seguir los procedimientos descritos para la destrucción de soportes (diskettes, CD´s, DVD´s, etc.)

Ficheros Automatizados

● Notificar las incidencias de seguridad que detecten y afecten a los sistemas informáticos al Responsable de Seguridad del Registro. ● Borrado periódico de ficheros temporales guardados en su ordenador. ● Uso responsable de los recursos del Registro (aplicaciones, correo electrónico, internet, etc.) y cumplimiento del RDLOPD y de la normas de seguridad del Registro. ● Solicitar autorización de su Responsable de Seguridad para la salida de soportes con datos personales. El Responsable de Seguridad podrá, con carácter general, autorizar salidas habituales, a través de SYGILO. ● Solicitar autorización para recuperación de datos. ● Uso responsable de los recursos de la Entidad y cumplimiento del RDLOPD y de las normas de uso y buenas prácticas para la Seguridad del Registro. ● Cumplir las disposiciones marcadas por su Responsable de Seguridad en lo referente a gestión documental. ● Realizar etiquetado, criterio de clasificación, control de acceso, política de mesas limpias, etc. para los archivos de documentación y ficheros de los que es responsable (por ej., sus cajones y armarios personales, la documentación que sólo él maneja, etc.).

Ficheros No Automatizados

● Notificar al Responsable de Seguridad cualquier nueva salida de documentación (las habituales ya se encuentran identificadas y autorizadas en SYGILO). ● Tomar las medidas que garanticen la protección de la información contenida en los documentos mientras éstos se hallen en su poder. ● Garantizar, en la medida de sus posibilidades, que la distribución de documentos se haga de forma segura. ● Proceder a la destrucción, acorde a las medidas establecidas, de aquellos documentos que hayan dejado de tener utilidad para el desarrollo de sus actividades laborales. ● Comunicar cualquier incidencia que se pudiera producir durante el tratamiento de la documentación al Responsable de Seguridad del Registro

23

ASPECTOS LEGALES

3. ASPECTOS LEGALES El presente apartado tratará de dar respuesta a las diferentes cuestiones que la normativa de protección de datos ha suscitado en los Registros de la Propiedad. Se diferenciará entre ficheros públicos y privados, entendiendo por los primeros, aquellos ficheros creados para el ejercicio de las potestades públicas del Registro. Los segundos, en cambio, están referidos a la gestión privada e interna del propio Registro.

3.1. Ficheros Públicos Se recogen las cuestiones más relevantes respecto de los ficheros públicos, creados para el ejercicio de las potestades públicas del Registro, que son los relativos a FLOTI, Registro de la Propiedad y Oficina Liquidadora (si la hubiere).

3.1.1. Publicidad Registral Es conveniente realizar un resumen de los criterios que ha mantenido la Dirección General de los Registros y del Notariado (DGRN), en sus diferentes Resoluciones, sobre el alcance de la calificación, la publicidad que puede darse, el alcance del interés alegado y los efectos en materia de protección de datos.

3.1.1.1. Contenido de la publicidad registral El presente epígrafe tiene como objetivo dar respuesta, desde un punto de vista legal, a las consultas más frecuentes en relación con el impacto que ha supuesto la actual normativa de protección de datos en la función registral de facilitar publicidad formal al ciudadano de los bienes inscritos en el Registro de la Propiedad. A) Alcance de la calificación El Registrador, en esta materia, ha de calificar no sólo si procede o no expedir la información o publicidad formal respecto de la finca o derecho que se solicita, atendiendo a la causa o finalidad alegada y valorando el interés legítimo (y, en su caso, el encargo), sino también qué datos y circunstancias de los incluidos en el folio registral correspondiente puede incluir o debe excluir de dicha información. B) Alcance de la publicidad que puede darse ● Resulta fundamental ajustar la publicidad registral a la finalidad para la que está institucionalmente prevista, como la investigación, jurídica, en sentido amplio, patrimonial y económica (crédito, solvencia y responsabilidad), así como la investigación estrictamente jurídica encaminada a la contratación o a la interposición de acciones judiciales (objeto, titularidad, limitaciones, representación...). ● No cabe para la investigación privada de datos no patrimoniales si no es cumpliendo estrictamente con la normativa de protección de datos. ● Los datos especialmente protegidos de carácter personal o patrimonial contenidos en los asientos registrales no podrán ser objeto de publicidad formal ni de tratamiento automatizado, para finalidades distintas de las propias de la institución registral. ● Respecto a asientos cancelados, no cabe la nota simple informativa. La certificación literal sólo comprenderá los asientos vigentes, sin incluir los cancelados, salvo solicitud expresa del Juez o Tribunal o de los interesados. ● Respecto de las fotocopias de los historiales registrales, la DGRN mantiene un criterio restrictivo, pues la Instrucción de 17 de febrero de 1998 dispuso que “los Registradores de la Propiedad cuando realicen la manifestación mediante exhibición de los libros, previo control profesional de su contenido y por concurrir circunstancias excepcionales que así lo aconsejen, deberán hacerlo por medio de fotocopia de los asientos, la cual no podrá

24

ASPECTOS LEGALES

retirarse por el interesado (…) sin que le sea permitido al particular copiar los asientos”. Teniendo siempre en cuenta que la fotocopia deberá ser previamente tratada, para excluir los datos protegidos. C) Alcance del interés El interés se ha de justificar ante el Registrador, lo que no significa discrecionalidad. Ha de ser un interés conocido, en el sentido de acreditado o justificado (excepción: autoridades, empleados o funcionarios públicos que actúen en razón de su oficio o cargo). Debe ser un interés directo o existir un encargo debidamente acreditado (con las excepciones del artículo 332.3 del Reglamento Hipotecario). Si bien en los supuestos del artículo 332.3 del Reglamento Hipotecario, el Registrador tiene la facultad de dispensar que se acredite o justifique (Resolución DGRN de 11/09/2009). Además ha de ser un interés legítimo: es un concepto más amplio que el de “interés directo”, pues alcanza a cualquier tipo de interés lícito, es decir, no contrario a Derecho. Por último, tiene que ser un interés patrimonial, es decir, que el que solicita la información tiene o espera tener una relación patrimonial para la cual el conocimiento que solicita resulta relevante. D) Efectos de la Ley de Protección de datos ● Los Registradores, al calificar el contenido de los asientos registrales, informarán y velarán por el cumplimiento de las normas aplicables sobre la protección de datos de carácter personal. ● El Registrador está obligado al tratamiento profesional de la publicidad formal, para poder excluir la manifestación de los datos carentes de trascendencia jurídica. ● Tan solo se pueden recoger aquellos datos que sean adecuados, pertinentes y no excesivos conforme a las finalidades para las que se hayan obtenido. ● Los datos no podrán usarse para finalidades distintas de aquellas para las que hubieran sido recogidos. ● La publicidad formal ha de expresar fielmente los datos contenidos en los asientos registrales, pero sin extenderse a más de lo que sea necesario para satisfacer el legítimo interés del solicitante. ● Respecto a asientos no vigentes, el Registrador debe extremar su celo en la acreditación del interés, utilizando para ello un criterio muy restrictivo. ● La solicitud de información sobre datos personales sin relevancia patrimonial se realizará con expresión del interés perseguido, que ha de ser conforme con la finalidad del Registro, quedando bajo la responsabilidad del Registrador la atención de las consultas relativas a la publicidad de datos personales. ● “Datos personales” no son sólo los datos íntimos de la persona, sino cualquier tipo de dato, sea íntimo o no, cuyo conocimiento o empleo por terceros pueda afectar a sus derechos, sean o no fundamentales. Entre ellos están los que identifiquen o permitan la identificación de la persona, pudiendo servir para la confección de su perfil ideológico, racial, sexual, económico o de cualquier otra índole, o que sirvan para cualquier otra utilidad que en determinadas circunstancias constituya una amenaza para el individuo. Si las finalidades de la publicidad son las propias de la institución registral, no se requiere el consentimiento del titular ni es tampoco necesario que se le notifique su cesión o tratamiento, sin perjuicio del derecho de aquél a ser informado, a su instancia, del nombre o de la denominación y domicilio de las personas físicas o jurídicas que han recabado información respecto a su persona o bienes (consulta de consultas). Los datos carentes de trascendencia jurídica sólo pueden ser cedidos con el consentimiento de su titular.

3.1.1.2. Inclusión de datos en publicidad Se hace mención a la cuestión relativa a la inclusión o no de determinados datos en la publicidad registral. 25

ASPECTOS LEGALES

3.1.1.2.1. Inclusión del DNI en las notas simples La normativa vigente establece la necesidad de la identificación precisa del titular de los derechos inscritos. Por tanto, es imprescindible la publicación del DNI en las notas simples, siempre que conste tal dato en la inscripción registral, teniendo en cuenta que en el año 1992 se modificó el RH en el sentido de hacer constar el DNI, y por lo tanto existen muchos asientos vigentes anteriores a esa fecha en la que no consta. La inclusión del DNI tiene el sentido de producir una identificación inequívoca del titular de los derechos expresados en los folios registrales. En relación con la inclusión del dato del DNI en las notas simples, el artículo 332, apartado 5, del Reglamento Hipotecario establece, entre, otros elementos, que la nota simple informativa contendrá “la identidad del titular o titulares”. Es importante señalar que los DNIs que pueden aparecer en la nota simple son, únicamente, los de las personas con derechos inscritos y los solicitantes de la información. La publicidad registral es una obligación contemplada legalmente que supone informar de los datos que constan en los asientos, siempre teniendo en cuenta los términos establecidos legalmente, y asimismo, requiere recabar y conservar los datos de los solicitantes de la misma para lo que se ha de cumplir con los principios de información y recogida del consentimiento previsto en los artículos 5 y 6 de la LOPD, respectivamente. En este sentido, se debe facilitar el DNI en la emisión de notas simples cuando resulte de una inscripción que acredita la titularidad del derecho inscrito. De este modo se evitarían errores en la identificación de titulares, como sucedería cuando se toman de otros asientos en los que la recogida del DNI no ha contado con la intervención de su titular (por ejemplo, anotaciones en que se haya tomado del mandamiento judicial sin previa constancia en el Registro). Conforme a la normativa de protección de datos, se cumpliría así con el principio de calidad de los datos previsto en el artículo 4 LOPD, donde se indica que “Los datos de carácter personal sólo se podrán recoger para su tratamiento, así como, someterlos a dicho tratamiento, cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido”. Por último, se debe tener cuenta que la Instrucción de la DGRN de 17 de febrero de 1998 se ala que “[...] el Registro deberá archivar durante tres años las solicitudes de publicidad formal, de forma que siempre se pueda identificar al solicitante (nombre y apellidos, DNI y domicilio), [...]”. 3.1.1.2.2. Inclusión del domicilio en la publicidad formal Como norma general, no se debe informar del domicilio del titular registral en las nota simples, conforme al artículo 222, apartado 5 de la Ley Hipotecaria y el artículo 332, apartado 5, inciso 1º del Reglamento Hipotecario, que establecen el contenido de las notas simples informativas, donde no se consigna el domicilio del titular registral, únicamente los apartados vigentes relativos a la finca objeto de manifestación, donde conste: ● La identificación de la finca. ● La identidad del titular o titulares de derechos inscritos sobre la misma. ● La extensión, naturaleza y limitaciones de éstos. ● Las prohibiciones o restricciones que afecten a los titulares o a los derechos inscritos. Para las certificaciones literales de la parte necesaria del contenido del Registro, es preciso matizar que el Registrador puede excluir de las mismas los datos de carácter personal que considere, como, por ejemplo, el domicilio del interesado, por razón de la protección de la seguridad e integridad de las personas o los bienes (terrorismo, violencia de género, etc.). No obstante, siempre que una autoridad judicial considere necesaria la aportación de datos personales, en los términos que el propio órgano determine, será necesario incluir dichos documentos, pudiendo resultar la decisión de la entidad que recibe la solicitud y a la que se

26

ASPECTOS LEGALES

solicitara la información, de no facilitarla o facilitarla parcialmente, contraria a lo dispuesto en el artículo 118 de la Constitución. Con carácter excepcional y, siempre previa valoración por parte del Registrador del interés legítimo alegado por el peticionario, se podrá incluir en la nota simple/certificación el domicilio de los titulares registrales que conste en el asiento del que resulta el derecho inscrito, que habrá sido recogido conforme al artículo 51.9º del Reglamento Hipotecario, siempre que exista una norma con rango de Ley que otorgue cobertura a la comunicación planteada sin necesidad de contar con el consentimiento del afectado conforme al artículo 11.2 LOPD y artículo 10.2.a) del RDLOPD. También podrá incluirse en caso de que el peticionario sea una Administración Pública y que dicha Administración, con amparo en su legislación reguladora, realice la recogida del dato para el ejercicio de sus funciones propias y en el ámbito de sus competencias. Resultaría recomendable, en el caso de proceder a comunicar el domicilio, que se indicara que tales domicilios facilitados pueden no ser necesariamente los domicilios actuales de los propietarios, sino sólo los que resultan del Registro en la época y momento de practicarse la inscripción. Siempre debe tenerse en cuenta que el domicilio hecho constar al amparo del artículo 51.9 e) del RH es un domicilio a efectos de recibir comunicaciones relativas al derecho inscrito. Por último hay que tener en cuenta que al dato en concreto del domicilio le es aplicable el artículo 222.11 de la LH, que permite la restricción de acceso a la información relativa a determinadas personas, comerciantes o fincas cuando ello venga impuesto por razón de la protección de la seguridad e integridad de las personas o los bienes. 3.1.1.2.3. Inclusión del estado civil en la publicidad formal Como norma general, no debe facilitarse el estado civil, puesto que el dato relevante puede ser el carácter privativo o ganancial del bien, que se facilitará atendiendo siempre considerando la normativa vigente aplicable al caso. Teniendo en cuenta las mismas valoraciones hechas anteriormente, en cuanto a la apreciación del Registrador del interés alegado por parte del interesado, y siguiendo la Circular 1/2003 sobre el modo de expedir la publicidad formal, no se debe proporcionar este dato dado que: “(…) al posible comprador o acreedor hipotecario lo que le interesa es la legitimación para disponer, es decir, el carácter privativo o ganancial del bien”. No obstante, “(…) existen supuestos como el de embargo de la vivienda habitual familiar privativa de un casado o de disposición de un bien por un viudo cuando el carácter es de privativo por confesión del consorte en que si deben hacerse constar dichas circunstancias”. 3.1.1.2.4. Datos excluibles de la publicidad registral En primer lugar, es ineludible resaltar que no existe un catálogo taxativo de datos que deban ser siempre excluidos, y que debe ser el Registrador, mediante su función calificadora y valorando el interés legítimo alegado por el peticionario, el que decida qué datos incluye y cuáles excluye a la hora de facilitar publicidad formal. Por tanto, es necesario hacer una referencia a los criterios que ha mantenido la DGRN en sus sucesivas resoluciones a fin de compatibilizar la normativa registral y la normativa de protección de datos. No obstante lo anterior, y siguiendo la Circular 1/2003 del Colegio, a modo de ilustrar lo que posteriormente se desarrollará, se podrían citar ejemplos de datos que, como norma general, no deberían proporcionarse: ● La nacionalidad. Particularmente, cuando el dominio es de extranjeros, se suele indicar la nacionalidad debido a que se rigen por el régimen económico matrimonial de su legislación nacional. Si fuera necesario proporcionar este dato en base al interés legítimo alegado, por considerar que afecta al objeto de la consulta patrimonial, sería correcto hacerlo. En cualquier caso, lo más recomendable es incluir una mención genérica del tipo “se rigen por el régimen económico de su país”.

27

ASPECTOS LEGALES

● Las causas de desheredación. ● Las incapacidades, si no afectan al objeto concreto de la información solicitada. ● Motivos de querellas anotadas. ● El cambio de sexo acompañado de cambio de nombre, si consta en el Registro. Por otra parte, indicar que la DGRN ha hecho un estudio del alcance de la publicidad formal, de la calificación en esta materia y del propio interés legítimo alegado por el particular, a fin de dilucidar qué datos deben incluirse y cuáles no en función de la calificación por parte del Registrador del interés legítimo alegado. En el apartado relativo a publicidad registral del presente Manual se encuentra un resumen de los criterios mantenidos por la DGRN en esta materia.

3.1.1.3. Uso de fotocopias en la publicidad Respecto de las fotocopias de los historiales registrales, la DGRN mantiene un criterio restrictivo, pues la Instrucción de 17 de febrero de 1998 dispuso que, cuando los Registradores de la Propiedad realicen la manifestación mediante exhibición de los libros, previo control profesional de su contenido y por concurrir circunstancias excepcionales que así lo aconsejen, deberán hacerlo por medio de fotocopia de los asientos que: ● Deberá estar tratada. ● No podrá retirarse por el interesado. ● El particular no podrá copiar los asientos. La aportación de fotocopia es posible, pero siempre de forma totalmente excepcional, y sólo es legal si el interesado lo solicita previamente de forma expresa, se aprecia en él interés legítimo y se eliminan previamente los datos objeto de especial protección legal. Se deben ocultar los datos de carácter personal no relacionados con la consulta o que sean excesivos. Como se ha señalado anteriormente, estos datos se deben ocultar tanto en las notas simples como en las certificaciones. Sabiendo los riesgos que lleva consigo el uso de fotocopias para la publicidad registral, de usarse, la forma más recomendable de llevarla a cabo sería tachar o eliminar de la fotocopia los datos no pertinentes. En todo caso resulta una mejor opción la de redactar la contestación con exclusión de la información no pertinente, mediante su tratamiento profesional, evitándose de esta forma dudas y preguntas por parte de los ciudadanos que realicen la petición de publicidad. De cualquier forma es conveniente incluir una nota informando del motivo de la eliminación de los datos de la fotocopia, y que posiblemente aclare muchas de las dudas que les surjan a las personas que hacen la solicitud. La nota podría ser similar a esta: “En la información expedida se ha llevado a cabo la aplicación de la normativa sobre protección de datos”. Como se ha recordado en la anteriormente citada Circular del Colegio sobre el modo de expedir la publicidad formal, “(…) Toda otra aportación de fotocopia debe ser proscrita, pues supone, como luego se analizará, una infracción de la Ley Orgánica 15/1999 de Protección de Datos de Carácter Personal (…)”.

3.1.1.4. Asientos cancelados en la publicidad registral Se ha de recordar, como indica la DGRN en sucesivas Resoluciones e Instrucciones (desde la repetidamente citada Instrucción de 17 de febrero de 1998 a la Resolución de 3 de diciembre de 2010), el criterio restrictivo que respecto de la publicidad de los asientos ya cancelados se desprende de la legislación hipotecaria: ● No resulta posible acceder a esta información mediante nota simple. Resulta de las reglas especiales que a tales asientos se dedican, como la relativa al artículo 222.5 de la Ley Hipotecaria.

28

ASPECTOS LEGALES

● La certificación literal sólo comprenderá los asientos vigentes, sin incluir los cancelados, salvo solicitud expresa del Juez o Tribunal o exigencia de los interesados (artículo 234 de la Ley Hipotecaria y 340 del Reglamento Hipotecario), y siempre valorando el interés alegado. La DGRN ha indicado en repetidas ocasiones que el Registrador debe extremar el celo en la acreditación del interés alegado en cuanto a la emisión de certificaciones que se refieren a asientos no vigentes. Por todo ello, la publicidad del Registro no puede extenderse a los datos sin relevancia patrimonial ajenos a la finalidad institucional del Registro ni a los datos carentes de relevancia jurídica obrantes en los historiales registrales, los cuales sólo pueden ser cedidos con el consentimiento de su titular.

3.1.1.5. Modos y medios de solicitud y remisión de publicidad formal y presentación y recogida de documentación registral. Mecanismos válidos de identificación Las notas simples y las certificaciones se pueden solicitar mediante petición escrita del interesado efectuada personalmente en el Registro o, de manera no presencial, por correo ordinario, fax o por correo electrónico, indicando, entre otros datos, las fincas o derechos cuyo estado se pretende averiguar y la clase de certificación que se solicita. En ambos casos se exige un interés legítimo por parte del solicitante para averiguar el contenido del Registro, que debe ser calificado por el Registrador. A efectos de la LOPD, es intranscendente el resultado de la calificación (que estará sujeta a recurso en los términos previstos en la LH). Lo determinante es que se haga calificación del interés, cumpliendo, de esta manera, con el requisito de tratamiento profesional de la información. Respecto a las personas o entidades cuya actividad profesional o empresarial lleve consigo la necesidad de obtener información registral, como las entidades financieras, profesionales del Derecho, gestores, procuradores, agentes de la propiedad inmobiliaria, auditores de cuentas, graduados sociales, informadores comerciales y otros similares (artículo 332.3 del RH), no gozan de presunción de legitimidad sino sólo de presunción de encargo por cuenta del solicitante, por lo que siempre han de manifestar el interés legítimo alegado y, cuando actúen por encargo de otros, además, el Registrador podrá exigir que indiquen la identidad del solicitante por cuya cuenta actúen. En cuanto a las gestorías, es muy recomendable la existencia de un listado previo de personas autorizadas por las mismas para recoger la publicidad y el resto de la documentación registral. Dicho listado ha de ser validado previamente por el propio Registro, existiendo, de este modo, la certeza de la relación laboral entre el receptor y el solicitante, y, por tanto, su identidad a efectos de la LOPD. Tal y como se incluye en el apartado relativo a las solicitudes de consulta de consultas y según la Instrucción de 17 de febrero de 1998 de la DGRN, las solicitudes “quedarán archivadas, de forma que siempre se pueda conocer la persona solicitante, su domicilio y documento nacional de identidad o número de identificación fiscal durante un período de tres años”. Esta obligación de guarda y custodia de las solicitudes de publicidad formal, que, como hemos visto, es una exigencia de la propia legislación hipotecaria, tiene su fundamento en la necesidad de garantizar a todo titular registral el derecho a conocer las consultas que se hayan recibido en relación a su persona y bienes (consulta de consultas). Resulta imprescindible, en todo caso, la identificación del solicitante de publicidad o presentante de documentos en el Registro, lo que habrá de hacerse en el momento mismo de la solicitud/presentación o en el de su entrega. Esta identificación del solicitante o presentante en el Registro se puede producir de una de las siguientes formas: ● De forma presencial en el Registro por parte del interesado exhibiendo el DNI. ● Mediante los mecanismos habilitados en el Portal Web único del CORPME.

29

ASPECTOS LEGALES

● Mediante el envío de un correo electrónico firmado con un certificado reconocido. El encargo para la recogida de documentación y publicidad debe acreditarse, a juicio del Registrador, mediante documento con firma autenticada del representado (ya sea ante Notario, otro Registrador, Cuerpo Nacional de Policía, etc.), u otros mecanismos análogos que acrediten esta autorización. Cabe la posibilidad de que otra persona (o un mensajero) recoja la publicidad o que se remita por fax (si lo pide expresamente) siempre que ello haya sido hecho constar explícitamente por el interesado en la solicitud presencial, aunque se desaconseja el envío de publicidad por fax. La solicitud de publicidad a través de correo electrónico ha de estar rubricada mediante firma reconocida, pudiendo admitirse cualquiera de los certificados indicados en la página web Registradores de España. En lo referente a la solicitud y envío de publicidad por medios telemáticos (telefax o comunicación electrónica) tanto a Notarios como a particulares, está prevista en el artículo 222 de la LH. Como toda cesión de datos que se hace por medios telemáticos, ha de asegurarse, a través del procedimiento, el cumplimiento del deber de secreto. Esto implica el establecimiento de medidas que aseguren la confidencialidad en integridad de la información, asegurando que únicamente llega a la persona que tiene derecho a la información y que no es posible su conocimiento por terceros no autorizados. Cuando ese procedimiento está establecido legalmente, el Registrador ha de atenerse a él. En otro caso será responsable si se produce una cesión no consentida. Por todo ello, y en base a los criterios recomendados, podemos detallar los siguientes supuestos: ● SOLICITUD Y REMISIÓN DE NOTAS SIMPLES POR FAX A NOTARIOS. La recepción de solicitudes y remisión de notas simples por fax a los Notarios está regulada expresamente en el artículo 354 a) del Reglamento Hipotecario, por lo que, a pesar de las deficiencias tecnológicas en materia de seguridad que tiene el envío por fax, puede y debe utilizarse. Es absolutamente necesario atenerse al procedimiento establecido, en especial al uso del fax como destino del corporativo oficial de la Notaría. ● USO DEL FAX CON PARTICULARES. El Reglamento Hipotecario permite la solicitud de información registral a través de fax. Sin embargo, no se ha producido un desarrollo reglamentario que establezca un procedimiento con las garantías exigibles, por lo que se han de extremar las precauciones. Hay que tener en cuenta, además, la obsolescencia de este procedimiento y la imposibilidad de ajustes tecnológicos que aseguren la confidencialidad y que garanticen el conocimiento de la identidad del receptor. Adicionalmente, es preciso resaltar que el fax no reúne los requisitos que la normativa de protección de datos prescribe para la transmisión de información de nivel ALTO (como pueden ser la información que se incluya en notas simples o certificaciones) a través de redes públicas o inalámbricas, puesto que el artículo 104 del RDLOPD establece que el envío a través de dichas redes se realizará cifrando los datos o utilizando cualquier otro mecanismo que garantice que la información no sea inteligible ni manipulada por terceros. Por tanto, NO ES RECOMENDABLE SU USO. ● ENVÍO DE DOCUMENTACIÓN Y PUBLICIDAD REGISTRAL MEDIANTE SERVICIO DE MENSAJERÍA PRIVADO. No se considera adecuado el envío de publicidad ni de documentación registral por mensajero privado ya que se desconoce la identidad de la persona que recibe dicha documentación, no cumpliéndose, por ello, con la normativa de protección de datos. ● RECOGIDA PRESENCIAL DE DOCUMENTACIÓN Y PUBLICIDAD REGISTRAL POR SERVICIO DE MENSAJERÍA PRIVADO U OTROS TERCEROS. Se admite, a juicio del Registrador, la recogida de documentación y publicidad registral por mensajeros privados u otros terceros si el solicitante lo hizo constar expresamente en la solicitud presencial firmada o mediante correo electrónico firmado con un certificado reconocido. El mensajero deberá

30

ASPECTOS LEGALES

mostrar o el contrato, o haber sido identificado previamente en la solicitud de publicidad como la empresa concreta de mensajería que irá a recoger la publicidad. ● ENVÍO DE DOCUMENTACIÓN Y PUBLICIDAD REGISTRAL POR CORREO POSTAL ORDINARIO. No cumple con la normativa de protección de datos. Para los casos en los que no se solicita presencialmente publicidad formal, a la hora de proceder a su remisión, no debe utilizarse el envío de publicidad por correo ordinario, ya que no es posible asegurar la identidad de la persona que recibe dicha publicidad. ● ENVÍO DE DOCUMENTACIÓN Y PUBLICIDAD REGISTRAL POR CORREO POSTAL CERTIFICADO. Pese a que la normativa de Correos permite la entrega de los correos certificados no sólo a su destinatario, sino también a otras personas autorizadas, dados los fuertes efectos legales que produce – que sea fehaciente -, se considera como un medio válido para el envío de publicidad (archivando la solicitud junto con el justificante del envío certificado), siendo imprescindible que el solicitante se haya identificado previamente de modo presencial o mediante correo electrónico con firma reconocida. ● USO DEL CORREO ELECTRÓNICO EN LA REMISIÓN DE PUBLICIDAD. Dados los claros términos del artículo 222-bis LH y de las Instrucciones de la DGRN creadoras del Portal Web Único de los Registradores, la remisión de publicidad registral vía correo electrónico, NO SE CONSIDERA RECOMENDABLE. Para el caso de solicitudes de envíos por este canal, lo indicado es remitir al interesado a la utilización del SERVICIO WEB COLEGIAL (FLOTI, FLEI, FLOMI y Servicio de Certificaciones). ● NOTAS SIMPLES ENTRE REGISTROS. Los interesados podrán elegir libremente el Registrador a través del cual obtener la información registral. Por tanto, cabe la posibilidad de que se solicite publicidad de una finca en cualquier Registro de España, de tal modo que aparece la figura del Registrador “intermediario”, que traslada dicha solicitud de información al Responsable del Fichero donde se ubica la finca.  Registro receptor de la solicitud  El Registro receptor de la solicitud presencial, identifica y recoge los datos del solicitante. Los mecanismos de almacenamiento y custodia de la solicitud son análogos al del resto de solicitudes de publicidad formal. A través del Servicio Web Colegial (FLOTI), el Registro receptor de la solicitud solicitará al Registro titular de la información la emisión de la nota simple, reflejando datos identificativos e interés alegado. Esta cesión de datos entre Registros para el cumplimiento de sus funciones no exige consentimiento del titular de los datos, al estar amparada en la legislación hipotecaria. Asimismo, la solicitud de la publicidad a través de este canal queda almacenada en la base de datos de entrada del Registro, como ocurre con el resto de solicitudes a través de este portal.  Registro titular de los datos solicitados  El Registro titular de la información emitirá la nota simple y se la facilitará al Registro solicitante a través del Servicio Web Colegial (FLOTI) para que se pueda proceder a su entrega al solicitante. Cabe también que, si se solicita en la petición, se envíe directamente (como el resto de las notas FLOTI) a la dirección de correo electrónico que el peticionario hizo constar en la solicitud. Así, a modo de resumen en cuanto a los medios de recepción y envío de documentación a los presentantes y solicitantes del Registro se incluye el siguiente cuadro descriptivo:

31

ASPECTOS LEGALES

Entrada

Salida

• Portal Web Único del CORPME

• Portal Web Único del CORPME

• Presencial con DNI • Correo electrónico con firma reconocida

• Presencial: • Entrega al propio interesado (DNI) • Persona autorizada en la propia solicitud (a juicio del Registrador) • Fax particulares (NO recomendable LOPD) • Correo certificado

• • • •

• Al propio interesado de forma presencial (DNI)

Correo Postal Correo electrónico sin firma reconocida Fax Etc.

Notarios • Fax dedicado de la Notaría

• Fax específico de la Notaría

Para aumentar y mejorar la seguridad jurídica e integridad de la documentación en papel que contenga datos personales que sale del Registro, se considera MUY RECOMENDABLE la implantación de algún medio que garantice la autenticidad de dichos documentos, como es el caso de estampar un sello de fecha u otro medio similar en todos los elementos de los mismos. 3.1.1.5.1. Manifestación de los Libros del Registro Este mecanismo de publicidad formal se restringirá a un uso muy limitado y excepcional. El riesgo de deterioro o manipulación de los libros exhibidos hace que se limite su uso, ni siquiera mediante fotocopia. En virtud del deber de los Registradores de conservar el archivo a su cargo y del tratamiento profesional de la publicidad, se puede decir que en la actualidad es un método excepcional y en desuso de obtención de la publicidad registral, existiendo para ello los cauces telemáticos (FLOTI), la nota simple y la certificación registral. En caso de que se opte por la exhibición de los Libros, se realizará mediante una fotocopia tratada de la que se hayan eliminado todos los datos protegidos y figuren únicamente las circunstancias solicitadas. Terminada la consulta, conviene inutilizar la fotocopia, que en ningún caso puede salir de la Oficina. También es imprescindible en estos casos que el interés alegado para la consulta sea directo, conocido, legítimo y patrimonial. 3.1.1.5.2. Portal FLOTI para la emisión de publicidad formal El CORPME dispone, por imperativo legal, de una página web en Internet como portal único para acceder al sistema de publicidad formal e instrumental coordinado, basado en los datos obrantes en el índice informatizado de fincas y derechos, que permite la localización registral de una finca y la obtención por el interesado de publicidad formal por medio de correo electrónico.

32

ASPECTOS LEGALES

El FLOTI es el medio para solicitar información sobre la titularidad y las cargas de los inmuebles inscritos en todos los Registros de la Propiedad de España. La contestación a la solicitud de publicidad se recibirá en el menor tiempo posible en la dirección de correo electrónico indicada (máximo de siete horas hábiles). El uso del servicio se realiza a través de un servidor seguro (SSL) que garantiza la confidencialidad en los datos personales y bancarios de los usuarios. 3.1.1.5.3. Identificación del solicitante en la publicidad formal Consecuencia de la exigencia de interés legítimo del solicitante para la obtención de publicidad registral es la necesidad de identificación del solicitante de la información, lo que implica la obligación de comprobar los Documentos Nacionales de Identidad o documentos equivalentes pasaporte, tarjeta de residencia, etc.- de dichos solicitantes de información, denegando la información si no se consignan los mismos en la instancia o no se exhibe el documento original. Los documentos que permiten la identificación tienen que ser oficiales y con fotografía del solicitante. No es necesario hacer fotocopia del documento de identidad aportado, desde luego, cuando la solicitud de información se haga constar en el Diario, dado la presunción de veracidad de sus asientos; incluso basta con su constancia en el Libro de Entrada. Si se quiere hacer la fotocopia del documento de identificación, debe solicitarse el permiso del interesado. Con la comprobación de la identidad del solicitante se cumple con las exigencias del artículo 15 de la LOPD (comunicación al afectado de las comunicaciones a terceros de datos relativos al mismo), con la obligación impuesta por la Instrucción de 17 de febrero de 1998 de la DGRN sobre principios generales de publicidad formal, y con el artículo 332.9 del RH, de forma que siempre se pueda conocer la identidad de la verdadera persona solicitante, su domicilio y su Documento Nacional de Identidad para facilitárselo, en su caso, al titular registral de la finca a que se refirió la información (consulta de consultas). La publicidad registral puede ser recogida tanto por el solicitante de la misma como por otra persona debida y formalmente representada a juicio del Registrador (por ejemplo, mediante un poder notarial u otro medio que demuestre el encargo). En el caso de los profesionales y entidades que tengan la obtención de información registral relacionada con su actividad profesional o empresarial (artículo 332.3 del RH), no necesitarán acreditar la representación, pero sí la causa de la consulta, la legitimidad de la misma y la identidad de la persona por cuyo encargo actúan. Además, cabe la opción de entregar a mensajeros tanto la publicidad formal como las escrituras despachadas si tal circunstancia esta así establecida en la solicitud de publicidad o en el formulario de entrada, y el mensajero, al recoger la documentación, acredita adecuadamente el encargo. Finalmente, respecto del supuesto que una gestoría solicite publicidad formal no en su propio nombre sino actuando por cuenta de un tercero y se niegue a identificar a la persona por cuya cuenta actúa alegando secreto profesional, imposibilidad de hacerlo por protección de datos u otros motivos similares, la cuestión, más que de protección de datos, es de interpretación de la normativa hipotecaria en cuanto a los requisitos de identificación del solicitante de publicidad formal, tal y como se recogen en este apartado. Como posible interpretación hipotecaria, orientativa para el Registrador, del artículo 332.3 del Reglamento Hipotecario, y entendiendo que estamos ante un caso de solicitudes de personas o entidades que no son portadores de un interés directo, el Registrador podrá exigir la acreditación y concreción del interés y la identificación de la persona por cuya cuenta se actúa. Como hemos comentado en este Manual, el Registrador tiene el deber impuesto por la normativa hipotecaria de calificar en todo caso el interés del solicitante y apreciar si el mismo es adecuado para obtener la información concreta solicitada en términos de armonía con las funciones propias del Registro. Tal y como establece la DGRN en diferentes Resoluciones (como la de 11 de septiembre de 2009), el interés alegado ha de probarse a satisfacción del Registrador, quedando bajo su responsabilidad la publicidad del contenido de los asientos. Por

33

ASPECTOS LEGALES

ello, el Registrador puede dispensar de la prueba del interés a determinados profesionales, pero tal dispensa no es obligada, sino que podrá concederse o no según las circunstancias del caso. Lo determinante, en definitiva, es que se haga calificación del interés, cumpliendo, de esta manera, con el requisito de tratamiento profesional de la información. En cualquier caso, se recomienda la lectura de la reciente Resolución de 20 de septiembre de 2013 de la DGRN (BOE 22 de octubre de 2013) en la que se resuelve en el sentido aquí señalado la cuestión objeto del presente epígrafe, indicando entre otros argumentos que: “(…) No es posible mantener, como hace el escrito de recurso, que en las solicitudes de información por cuenta de tercero, el artículo 332.3 del Reglamento Hipotecario da el mismo trato a la cuestión de la acreditación del encargo (que dispensa en los supuestos que contempla) que a la cuestión de la identificación de la persona por cuya cuenta actúa (que no se dispensa en ningún caso). (…) Si las anteriores consideraciones no fuesen suficientes por sí solas, existen fuertes motivos para entender que la persona del mandante debe ser debidamente identificada. (…) No puede confundirse la finalidad de la norma, que no es otra que facilitar la actuación de solicitantes de información por cuenta de terceros que, por su carácter de actores del mercado están dispensados de acreditar el mandato recibido, con el derecho que corresponde al titular de datos personales a saber quién está solicitando información de los mismos, derecho que debe quedar salvaguardado en cualquier caso de acuerdo con la interpretación que nuestro Tribunal Constitucional ha hecho del contenido del derecho fundamental contemplado en el artículo 18.4 de la Constitución Española”.

3.1.2. Acceso al contenido de los libros y cesiones de datos Hemos de distinguir los motivos estadísticos o científicos, de la actuación de una Administración Pública como tal.

3.1.2.1. Motivos Estadísticos / Históricos / Científicos En este apartado es preciso diferenciar entre: ● El acceso por parte de funcionarios pertenecientes a Administraciones Públicas. ● El acceso por parte de particulares a la información registral con fines Estadísticos / Históricos / Científicos. 3.1.2.1.1. Acceso por parte de Administraciones Públicas a la información registral con el objeto de elaborar estudios históricos, estadísticos o científicos El acceso por las Administraciones Públicas a la información registral con el objeto de elaborar estudios históricos, estadísticos o científicos constituye una cesión de datos amparada por el artículo 11.2 e) LOPD, siempre y cuando dichos estudios se encuentren previstos en las normas reguladoras correspondientes a la Administración en cuyo ámbito se realizase. Hemos de tener en cuenta, asimismo, el resto de normativa aplicable en la materia  Ley 12/1989, de 9 de mayo, reguladora de la función estadística pública, Ley 16/1985, de 25 junio, del patrimonio histórico español y Ley 13/1986, de 14 de abril de fomento y coordinación general de la investigación científica y técnica, revisada y actualizada recientemente. 3.1.2.1.2. Acceso por parte de particulares a la información registral con el objeto de elaborar estudios históricos, estadísticos o científicos En cuanto al acceso por parte de particulares a la información registral con el objeto de elaborar estudios históricos, estadísticos o científicos, es el Registrador el que deberá valorar y calificar: a) Si dicho fin es acorde con la finalidad para la que está institucionalmente prevista el Registro de la Propiedad. La DGRN considera finalidades de la institución registral la

34

ASPECTOS LEGALES

“investigación jurídica, en sentido amplio, patrimonial y económica (crédito, solvencia y responsabilidad), así como la investigación estrictamente jurídica encaminada a la contratación o a la interposición de acciones judiciales (objeto, titularidad, limitaciones, representación,...), pero no la investigación privada de datos no patrimoniales contenidos en el Registro, de manera que el Registrador sólo podrá dar publicidad de los mismos si se cumplen las normas sobre protección de datos (artículo 18.4 de la Constitución «habeas data», vid. Sentencia del Tribunal Constitucional 254/1993)”. b) Qué datos y circunstancias de los incluidos en el folio registral correspondiente puede incluir o debe excluir de dicha información, pues “cabe perfectamente que puedan proporcionarse ciertos datos registrales y no otros relativos a una misma finca o entidad” (Resolución de 29 de julio de 2010, de la DGRN). No obstante, en cualquiera de los casos anteriores se deberá tener en cuenta los siguientes aspectos: ● La solicitud de acceso deberá formalizarse mediante la vía de la publicidad formal por solicitudes concretas. ● Los datos a comunicar a quien realiza la solicitud de publicidad deben ceñirse exclusivamente a los concernientes al motivo de la misma, evitando proporcionar cualquier otra información de carácter personal ajena a la solicitud y que podría ser considerada excesiva desde el punto de vista de la LOPD. ● Se deberá evitar en todo momento el acceso ilimitado a los libros del Registro. Siempre debe quedar constancia de la petición de información, velando por el cumplimiento de la normativa vigente sobre protección de datos de carácter personal, recogido en el apartado 6 del artículo 332 del Reglamento Hipotecario, y con lo establecido en la Instrucción de la Dirección General de Registros y del Notariado de 17 de febrero de 1998: “[…]Las solicitudes de publicidad formal quedarán archivadas, de forma que siempre se pueda conocer la persona del solicitante, su domicilio y documento nacional de identidad o número de identificación fiscal durante un período de tres años.” Todo ello, sin perjuicio de lo establecido en el artículo 622 del Reglamento Hipotecario, que establece para el tratamiento y publicaciones de datos estadísticos que “El tratamiento y publicación de los datos referidos con fines estadísticos corresponde al Colegio de Registradores de la Propiedad y Mercantiles de España bajo la supervisión de la Dirección General de los Registros y del Notariado. El Colegio realizará publicaciones anuales estadísticas”.

3.1.2.2. Solicitud de publicidad por periodistas. Interés periodístico La DGRN señala como finalidades del Registro (Instrucción de 17 de febrero de 1998 y otras) la “investigación, jurídica, en sentido amplio, patrimonial y económica (crédito, solvencia y responsabilidad), así como la investigación estrictamente jurídica encaminada a la contratación o a la interposición de acciones judiciales (objeto, titularidad, limitaciones, representación)", siendo determinante, por lo tanto, que el Registrador haga calificación de tal interés, cumpliendo, de esta manera, con el requisito de tratamiento profesional de la información. La investigación periodística constituiría un interés legítimo siempre que la intromisión guarde “congruencia con la finalidad expresada, careciendo de efecto legitimador cuando se ejercite de modo desmesurado o exorbitante al fin en atención al cual la Constitución le atribuye especial protección” (Sentencia del Tribunal Constitucional de 14 de octubre 2002). Así también, la Sentencia 107/1988, del mismo Tribunal, en relación al conflicto con el derecho al honor, destaca “El valor preponderante de las libertades públicas del Artículo 20 de la Constitución, en cuanto se asienta en la función que éstas tienen de garantía de una opinión pública libre indispensable para la efectiva realización del pluralismo político”, pero también tiene en cuenta que “Solamente puede ser protegido cuando las libertades se ejerciten en conexión con asuntos que son de interés general por las materias a que se refieren y por las personas que en ellos intervienen y contribuyan, en consecuencia, a la formación de la opinión pública, alcanzando entonces su máximo nivel de eficacia”.

35

ASPECTOS LEGALES

En conclusión, en el supuesto de que el interés alegado sea “interés periodístico”, corresponde al Registrador valorar si la investigación periodística invocada entra dentro de las finalidades del Registro incluidas en la Instrucción de 17 de febrero de 1998. Asimismo, en caso de que el periodista alegue la existencia de un encargo de la solicitud de la publicidad por cuenta de un periódico u otra entidad informativa, la acreditación de tal encargo para la solicitud de información por cuenta de tercero deberá presentarse formalmente ante el Registrador mediante un poder notarial u otro medio que demuestre suficientemente la autorización para realizar este encargo, quedando la validez y alcance de la misma a juicio del Registrador.

3.1.2.3. Funcionarios Públicos (FCSE, Tribunales, Hacienda, Catastro,…) Ante la pregunta de qué hacer en caso de que una Administración pública solicite información registral a través de sus empleados y funcionarios públicos, es posible establecer el siguiente: PROTOCOLO DE ACTUACIÓN A.- Escrito de la Administración Pública de solicitud de la información registral. La solicitud de información registral debe realizarse: ● Bien mediante requerimiento oficial desde la Administración, que se hará llegar al Registro por correo postal, correo electrónico, personación del funcionario en el Registro, etc. ● O mediante la cumplimentación del formulario estándar de solicitud de nota simple, certificación o manifestación de Libros en las instalaciones del Registro. Si se trata de solicitudes de información procedentes de la Fiscalía, FCSE, CNI, etc., y su actuación concreta está sujeta a la legislación sobre secretos oficiales, deberán hacerlo constar expresamente en la solicitud. En estos casos así como las comunicaciones al SEPBLAC o al CRAB no deben informarse al titular de los datos de estas peticiones (consulta de consultas y derechos ARCO limitados). En cualquier caso, el Registro deberá requerir la documentación o realizar las acciones necesarias para identificar a la persona como funcionario perteneciente a la unidad que requiere la información o identificar que el origen del requerimiento es el correcto. Ha de quedar constancia tanto de la solicitud de la información realizada por la Administración Pública, como de la información facilitada por el Registro, de manera que se cumpla con lo preceptuado en la Instrucción de 17 de diciembre de 1998, de la DGRN, sobre principios generales de publicidad formal y actuación de los Registradores de la Propiedad y Mercantiles. B.- Revisión por parte del Registrador del interés legítimo y de la finalidad en el ámbito de su competencia alegado por la Administración Pública solicitante. Si bien el artículo 221 de la Ley Hipotecaria indica que el interés se presumirá en toda autoridad, empleado o funcionario público que actúe por razón de su oficio o cargo, no es suficiente con que se presuma dicho interés legítimo. Ese interés debe ir acompañado de la idoneidad en la finalidad. El interés legítimo de los funcionarios, pese a presumirse, debe expresarse en el Registro mediante requerimientos concretos, de manera que quede constancia de la petición de información, pudiendo así el Registrador exigir y velar por el cumplimiento de la normativa vigente sobre protección de datos de carácter personal (artículo 332, apartado 6, del Reglamento Hipotecario), y cumpliendo con lo establecido en la Instrucción de 17 de diciembre de 1998, de la DGRN. C.- El Registrador está obligado al tratamiento profesional de la publicidad formal. Salvo que expresamente la Administración Pública solicitante determine el medio por el que desea la información y siempre que el mismo sea conforme a la normativa, el Registrador determinará la mejor forma de cumplir con el requerimiento de publicidad, así como su contenido.

36

ASPECTOS LEGALES

El Registrador expedirá nota simple informativa, certificación o realizará la manifestación de libros ante el funcionario siempre velando por el cumplimiento de la normativa vigente sobre protección de datos de carácter personal.

3.1.2.4. Servicios de Oficina Liquidadora. Ayuntamientos y Plusvalías Sin perjuicio de una posterior referencia al marco legal aplicable a estos supuestos, es preciso hacer dos consideraciones previas: a) Es muy recomendable verificar que la relación entre el Registro y las Comunidades Autónomas (en adelante, CCAA), o el Ayuntamiento correspondiente, esté regulada mediante el correspondiente Convenio de Colaboración, en el que se delimiten las competencias asumidas por el Registro y se especifiquen las correspondientes cláusulas en materia de protección de datos. b) Toda transmisión de información que haga el Registro a las citadas Administraciones debe ser únicamente la prevista dentro del marco del Convenio de Colaboración entre Registros, Ayuntamientos y Comunidades Autónomas, evitando proporcionar cualquier otra información de carácter personal ajena al Convenio y que podría ser considerada excesiva desde el punto de vista de la LOPD. Como consideraciones de carácter general respecto del Encargo del Tratamiento que los Registros reciben de las Oficinas Liquidadoras dependientes de las Comunidades Autónomas correspondientes, es necesario señalar que: ● Los ficheros a declarar por el Registro (en cuya representación ha actuado el Colegio de Registradores) son aquellos en los que el Registro actúa como Responsable del Fichero. A fecha de hoy están declarados en la AEPD los ficheros privados, quedando los ficheros públicos pendientes de publicación de la Orden Ministerial correspondiente. ● No es obligación del Registro la declaración del fichero “Oficina Liquidadora”, ya que el Responsable del Fichero es la Comunidad Autónoma correspondiente, sin perjuicio de la necesidad de hacer constar en los Documentos de Seguridad de los Registros a ellos mismos como Encargados de Tratamiento de dicho fichero, y a la Comunidad Autónoma pertinente como responsable del mismo. ● Para el caso particular de las Oficinas Liquidadoras, en los que en unos casos la aplicación gestora se encuentra en las instalaciones del propio Responsable del Fichero (la CCAA correspondiente), el Registro accede vía aplicación Web y en otros, la aplicación se encuentra en las instalaciones del Encargado de Tratamiento (el Registro, haciendo uso de la aplicación colegial PROA), hay que resaltar que independientemente de la ubicación física de los datos objeto de tratamiento, el Responsable del Fichero a efectos de la LOPD sigue siendo de la CCAA, ya que es ésta la que decide sobre la finalidad, contenido y uso del tratamiento. Desde el punto de vista de la LOPD, no es relevante la estructura de los datos ni la citada ubicación física, a la hora de considerar o no al Responsable del Fichero y al Encargado de Tratamiento como tales. ● No obstante, es responsabilidad del Registrador-Liquidador, en calidad de Encargado del Tratamiento, el cumplimiento de las medidas de seguridad recogidas en la LOPD y el RDLOPD acordes al nivel del fichero. Este cumplimiento se debe tener en cuenta en el marco del tratamiento automatizado o no automatizado se pueda realizar sobre esta información y cuya responsabilidad sea exclusiva del Registro afectado. En cuanto al marco legal aplicable al que se ha hecho referencia anteriormente, indicar que las presentes cesiones se amparan en el artículo 11 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, siéndole de aplicación las excepciones mencionadas en los artículos 11.2 a) de la citada Ley y 10.2 a) del RDLOPD, respectivamente, sobre la necesidad de la concurrencia del consentimiento del interesado con base en el artículo 94 de la Ley General Tributaria relativa a la colaboración en materia de tributos, siendo de aplicación, en lo referente a la materia, lo dictado por la Ley 30/1992, de 26 de noviembre de régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común y demás normativa tributaria.

37

ASPECTOS LEGALES

La cesión de datos del Registro a la Oficina Liquidadora está amparada por la Ley General Tributaria, en los términos que ésta establece en su artículo 94 apartados 1 y 5, y, en concreto, en dicho número 5 que establece que “La cesión de datos de carácter personal que se deba efectuar a la Administración tributaria conforme a lo dispuesto en el artículo anterior, en los apartados anteriores de este artículo o en otra norma de rango legal, no requerirá el consentimiento del afectado. En este ámbito no será de aplicación lo dispuesto en el apartado 1 del artículo 21 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal”. A la hora de determinar las competencias que asumen los Liquidadores, habrá que atenerse al convenio particular suscrito entre los Registros y las Consejerías correspondientes de las CCAA. La normativa citada en materia de protección de datos de carácter personal sería igualmente aplicable a la gestión de plusvalías en tanto en cuanto se trata de otro impuesto cuya gestión ha sido delegada en los Registros, con la salvedad a la hora de considerar el Responsable del Fichero (en este caso, el Ayuntamiento correspondiente). Por tanto, la cesión de los datos en este supuesto encuentra su cobertura legal en el artículo 8.1 del Real Decreto Legislativo 2/2004, de 5 de marzo, por el que se aprueba el Texto Refundido de la Ley Reguladora de las Haciendas Locales, que indica que “1. De conformidad con lo dispuesto en el artículo 106.3 de la Ley 7/1985, de 2 de abril, Reguladora de las Bases del Régimen Local, las Administraciones tributarias del Estado, de las comunidades autónomas y de las entidades locales colaborarán en todos los órdenes de gestión, liquidación, inspección y recaudación de los tributos locales”. Del mismo modo, a la hora de determinar las competencias que se asumen, habrá que atenerse al convenio particular suscrito entre los Registro y el Ayuntamiento correspondiente. En cuanto a las solicitudes recibidas por los Registros (por ejemplo, ejercicio de derechos ARCO o requerimientos para cesiones de datos) en funciones desarrolladas como encargados de tratamiento, se habrán de cumplir las reglas y normas pactadas en el convenio firmado con la Administración correspondiente. En caso de ausencia de referencia en dicho convenio a tal asunto, se recomienda canalizar inmediatamente la solicitud al Responsable del Fichero (la Comunidad Autónoma o Ayuntamiento correspondiente). Por último, en caso de retirada de la información por un responsable del fichero (CCAA o Ayuntamiento) cuando el Registro actúa como encargado, por la finalización de dicho encargo, cumpliendo lo pactado en el convenio correspondiente, se propone tener en cuenta las siguientes recomendaciones: ● Que el Registro realice previamente un inventario de la información que no es suya, en la que actúa como encargado. ● Que el responsable del fichero identifique a la empresa que se personará en el Registro para la retirada de información. ● Que las personas que vayan al Registro se identifiquen válidamente como trabajadores de dicha empresa. ● Que se realice una debida custodia de todo el proceso de retirada por parte del personal del Registro. ● Que se proceda a la firma de un “retiré” por parte de la empresa de mudanzas. Así, en caso de finalización de los convenios suscritos, se deberá también atender a lo establecido en el artículo 22 del RDLOPD en cuanto a conservación de los datos por parte del Encargado del tratamiento en los supuestos que apliquen: 1. Una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento o al encargado que éste hubiese designado, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto del tratamiento.

38

ASPECTOS LEGALES

No procederá la destrucción de los datos cuando exista una previsión legal que exija su conservación, en cuyo caso deberá procederse a la devolución de los mismos garantizando el responsable del fichero dicha conservación. 2. El encargado del tratamiento conservará, debidamente bloqueados, los datos en tanto pudieran derivarse responsabilidades de su relación con el responsable del tratamiento. Es preciso resaltar, que según ha señalado la AEPD en su Informe 0472/2008 este último precepto (el artículo 22.2) tiene el fin de preservar los derechos del Encargado (los Registros en este caso) frente a posibles responsabilidades derivadas de su actuación, señalando que “(…) En consecuencia el encargado (…) podrá conservar debidamente bloqueados aquellos datos sobre los que pudieran derivarse responsabilidades por la propia relación de convenio con el responsable.

3.1.3. Consulta de consultas Como establece la DGRN, la consulta de consultas supone informar al titular de la finca registral sobre la identidad del solicitante de publicidad sobre la misma. En concreto, indica que “Cuando se ajusta a tal finalidad, la publicidad del contenido de los asientos no requiere el consentimiento del titular ni es tampoco necesario que se le notifique su cesión o tratamiento, sin perjuicio del derecho de aquél a ser informado, a su instancia, del nombre o de la denominación y domicilio de las personas físicas o jurídicas que han recabado información respecto a su persona o bienes”. Tal concepto fue formalizado en la Instrucción de 17 de febrero de 1998, que indica, entre otras cosas, que “Las solicitudes de publicidad formal quedarán archivadas, de forma que siempre se pueda conocer la persona del solicitante, su domicilio y documento nacional de identidad o número de identificación fiscal durante un período de tres años”. Así, desde el punto de vista de protección de datos, la información que se facilita al titular de la finca inscrita acerca de las personas que han pedido publicidad sobre su finca es una cesión de datos consentida por todo aquel solicitante de notas simples o certificaciones, pues entre las cláusulas LOPD anejas a las solicitudes de publicidad formal, se incluye que “Asimismo, en aquellos servicios que preste el Registro acorde a los términos establecidos en las Instrucciones y Resoluciones de la Dirección General de los Registros y del Notariado, el titular de los datos consiente que los mismos sean cedidos con el objeto de satisfacer el derecho del titular de la/s finca/s o derecho/s inscritos en el Registro a ser informado, a su instancia, del nombre o de la denominación y domicilio de las personas físicas o jurídicas que han recabado información respecto a su persona o bienes”. Cabe recalcar, que no es lo mismo consulta de consultas (el titular desea saber quién ha pedido publicidad sobre su finca) que derecho de acceso (ver apartado 3.3.2 del Manual). DERECHO DE ACCESO (Ficheros Públicos)

CONSULTA DE CONSULTAS

NORMATIVA APLICABLE

Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal.

Instrucción DGRN de 17 de febrero de 1998 sobre principios generales de publicidad formal y actuación de los Registradores de la Propiedad y Mercantiles en caso de petición en masa.

DOCUMENTO MODELO DE EJERCICIO

Formularios de ejercicio adaptados a lo que exige la normativa sobre protección de datos.

Formularios de ejercicio adaptados a lo que exige la normativa hipotecaria.

Un mes, de fecha a fecha.

El que fije el Registrador en cada caso.

PLAZO DE CONTESTACIÓN

39

ASPECTOS LEGALES

INFORMACIÓN A SUMINISTRAR

Datos del solicitante, origen de los datos, cesionarios de los mismos y especificación de usos y finalidades para los que se almacenan.

Publicidad emitida sobre la finca durante un período de tres años, indicando lo que marca la Instrucción de 17 de febrero de 1998 de la DGRN: 1º Solicitante. denominación)

(nombre

/

2º Domicilio del solicitante. REQUISITOS DEL SOLICITANTE

Titular de los datos o su representante, junto con el DNI/NIE.

Titular de la/s finca/s o derecho/s inscritos, junto con el DNI/NIE.

Se recomienda que los Registros no faciliten proactivamente formularios de acceso LOPD para ejercer la consulta de consultas, puesto que ello altera los plazos de contestación, lo que puede conllevar eventuales sanciones por incumplimiento de los mismos” Así, es posible que en los Registros habitualmente ocurran las siguientes circunstancias a modo de ejemplo: “Un titular de una finca presenta en el Registro el formulario de acceso LOPD, indicando en la propia solicitud de Acceso que desea conocer las personas que han recabado información sobre su propia finca”. En este caso, se recomienda proceder acorde al apartado 3.3.2. del Manual, esto es, responder al interesado mediante la siguiente información acorde al formulario de contestación de Derechos de Acceso: DATOS DEL SOLICITANTE Nombre y Apellidos

(A COMPLETAR POR EL REGISTRO)

DNI/NIF/pasaporte

(A COMPLETAR POR EL REGISTRO)

Domicilio

(A COMPLETAR POR EL REGISTRO)

Número de finca registral

(A COMPLETAR POR EL REGISTRO)

ORIGEN DE LOS DATOS (A COMPLETAR POR EL REGISTRO, indicando el origen de los datos, esto es: Documento público o privado, haciendo referencia a quien lo aportó y fecha de entrada en el Registro). DATOS RESULTANTES DE CUALQUIER ELABORACIÓN, PROCESO O TRATAMIENTO El uso y fin del tratamiento de los datos es cumplir con la finalidad y funciones de los Registros: dar seguridad jurídica, permitiendo a cualquier persona que acredite un interés legítimo el acceso a la información contenida en el mismo. COMUNICACIONES O CESIONES DE DATOS - Cesión a peticionarios de publicidad formal con interés legítimo o habilitados legalmente por la normativa registral. - Cesión a la Consejería de (A COMPLETAR POR EL REGISTRO) de la Agencia Tributaria de (A COMPLETAR POR EL REGISTRO) amparada por la Ley General Tributaria. - Otras posibles cesiones realizadas en base a normas jurídicas

Además, se indicará al ciudadano en la respuesta en dicho formulario, que si lo que pretende es conocer en concreto todos y cada uno de los interesados que han realizado peticiones sobre su finca, tal información se considera de carácter patrimonial (no personal) por lo debe formular dicha solicitud acorde al procedimiento registral previsto al efecto.

3.1.4. Presentación de documentos en el Registro Con la presentación de documentos en el Registro se inicia la recogida de datos de carácter personal que posteriormente serán tratados en el mismo. Así, a continuación se tratará el tema esencial de la identificación del presentante de documentos en el Registro.

40

ASPECTOS LEGALES

3.1.4.1. Identificación del presentante En cuanto a los propios medios que se pueden considerar válidos a efectos de acreditar la identidad del presentante de documentación, se atenderá exclusivamente a los requisitos que al respecto establezca la normativa hipotecaria, cuyo cumplimiento estricto derivará en un cumplimiento de los requisitos que establece la LOPD en materia de calidad de los datos (al no establecerse de forma concreta estos requisitos en dicha LOPD y su normativa de desarrollo para estos supuestos). Lo más recomendable es que el Registrador, bajo su propio criterio, y en función de las circunstancias de cada caso, tome la decisión más conveniente a la hora de exigir o no la identificación al presentante de documentación en el Registro. El asunto parece más bien de operativa de Registro, con su propio sistema de cotejo e identificación de personas que presentan documentación con la relación de personas autorizadas para ello (gestorías). Sin embargo, es oportuno resaltar que sería beneficioso, en todo caso, establecer un sistema sólido de identificación del presentante a efecto de asegurar el cumplimiento de los principios de la información en la recogida de los datos y de la calidad de los datos (LOPD), pudiendo asegurarse, siempre, el origen de los mismos. Siguiendo a Don Luis Monreal (“Práctica Registral”; Madrid, 2003), “De los artículos 249 de la Ley Hipotecaria y 423 del Reglamento Hipotecario se desprenden las circunstancias que obligatoriamente debe recoger el asiento de presentación a las que, según este último artículo, pueden añadirse otras que contribuyan a distinguir el título presentado (como el número de protocolo, procedimiento o expediente del documento que motive el asiento, etc.)”. Por tanto, todo asiento de presentación debe contener obligatoriamente el nombre y apellidos del que presente el título (artículo 249 de la Ley Hipotecaria). Según el Artículo 416 del Reglamento Hipotecario, “Siempre que el Registrador se negare a practicar el asiento de presentación por imposibilidad material o por otro motivo y el interesado no se conformare con la manifestación de aquél, podrá acudir en queja al Juez de Primera Instancia y, en su defecto, a la autoridad judicial de la localidad, quienes, oyendo al Registrador, resolverán lo procedente”, por lo que, si un Registrador considera que existe cualquier razón o motivo (como, por ejemplo, la no identificación del presentante) para no practicar el asiento de presentación, el interesado en desacuerdo podrá reclamar ante la instancia correspondiente. Por otro lado, hemos de tener en cuenta que, en cumplimiento del principio denominado “derecho de información en la recogida de los datos”, el Registrador tiene el deber de informar de modo expreso al titular de los datos de todos los extremos incluidos en el artículo 5 de la LOPD, deber que surge desde el mismo momento en que se recogen los datos (presentación), pero se cumple de diferente manera en función de si los datos se obtienen directamente de su titular o si provienen de otras fuentes (por ejemplo, una gestoría). Para verificar este principio existen clausulas informativas que pueden demostrar que se ha cumplido con la obligación. Podemos señalar también la Sentencia de la Sección Octava de la Sala de lo Contencioso Administrativo del Tribunal Superior de Justicia de Madrid, de 29 de noviembre de 1999, que indica que “Examinado el expediente en base a lo expuesto, se aprecia que evidentemente los datos relativos al denunciante no han sido obtenidos con su consentimiento…” porque no se ha cumplido con el derecho de información. Continuando con la LOPD, su artículo 4 se ala que “Los datos de carácter personal sólo se podrán recoger para su tratamiento, así como someterlos a dicho tratamiento, cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido”. En este sentido, hemos de atender lo dicho por el Tribunal Superior de Justicia de Madrid, en Sentencia de la Sección Novena de la Sala de lo Contencioso Administrativo de 5 de noviembre de 1998, que indica que “Sin embargo, aunque (...) no hubo (...) una intención de dañar ni enriquecimiento injusto (...) los hechos han tenido una doble perturbación para la perjudicada: (...) imputarle una deuda inexistente (....) lo más grave fue su inclusión en un Registro Informático de Morosos y además sin conocimiento de la perjudicada (....) y de esa

41

ASPECTOS LEGALES

inclusión indebida en el Registro de Morosos no eran responsables los que llevan el Registro sino los que suministraron el dato”. En caso de reclamación por parte de los interesados que han tenido acceso al Registro sin su conocimiento, la responsabilidad recaerá en el presentante. De ahí la congruencia y necesidad de establecer en el Registro un sistema que asegure o acredite, de algún modo, la identidad del presentante. Los únicos facultados por ley para exigir la identificación y el DNI a un ciudadano son las Fuerzas y Cuerpos de Seguridad del Estado. Por tanto, no existe la obligación de enseñar el DNI a otras personas. Sin embargo, es muy recomendable tanto que se presente como que se pida el DNI en el Registro, porque es una medida de seguridad añadida para evitar posibles fraudes.

3.1.4.2. Recepción por correo postal y fax de documentos de títulos para inscribir En este apartado se contemplan las recomendaciones relativas a los supuestos de recepción de documentación a través de fax o correo postal. 3.1.4.2.1. Por parte de particulares Cuando se reciben en el Registro documentos y títulos de particulares para inscribir por correo postal, practicado el asiento de presentación en el Libro Diario, sería recomendable ponerse en contacto con el remitente del documento a inscribir para poder hacerle llegar, por cualquier medio, el modelo de entrada de documentos, de tal manera que éste lo devolviera debidamente cumplimentado y firmado, dando así cumplimiento a los preceptos contenidos en la LOPD y a la obligación de actualización inmediata de los Libros del Registro que predica el artículo 248, apartado primero y segundo, de la Ley Hipotecaria, y siguiendo, en todo caso, la indicación del artículo 418, apartado tercero, del Reglamento Hipotecario, que establece la admisibilidad del procedimiento de presentación de documentos por correo: “3. Si el título se recibe por correo se considerará presentante al remitente del documento y se practicará el asiento de presentación en el momento en que se proceda a la apertura del correo recibido en el día”. En cualquier caso, el Registro incluirá siempre las clausulas oportunas de protección de datos en todos sus documentos de salida. 3.1.4.2.2. Por parte de las Administraciones Públicas Cuando se reciben en el Registro documentos y títulos de Administraciones Públicas para inscribir por correo postal o fax, en lo relativo al deber de información al afectado, la obligación primera recae en la propia Administración remitente del documento, lo cual no elimina la obligación del Registro de incorporar las cláusulas de información correspondientes en cualquier documento que se emita.

3.2. Ficheros Privados El presente apartado se refiere a las cuestiones más relevantes respecto de los ficheros privados de los Registros, referidos a la gestión interna del mismo.

3.2.1. Empleados de los Registros El Estatuto de los Trabajadores atribuye facultades específicas a las empresas que posibilitan el control del desarrollo de la prestación laboral. El ejercicio de estas facultades comporta, en muchas ocasiones, tratamientos de datos personales. El artículo 20.3 del Real Decreto Legislativo 1/1995, de 24 de marzo, por el que se aprueba el Texto Refundido de la Ley del Estatuto de los Trabajadores, establece que “el empresario podrá adoptar las medidas que estime más oportunas de vigilancia y control para verificar el

42

ASPECTOS LEGALES

cumplimiento por el trabajador de sus obligaciones y deberes laborales, guardando en su adopción y aplicación la consideración debida a su dignidad humana y teniendo en cuenta la capacidad real de los trabajadores disminuidos, en su caso”. Asimismo, el Tribunal Supremo, en Recurso de Casación para la Unificación de Doctrina (966/2006), se aló que “En el caso del uso por el trabajador de los medios informáticos facilitados por la empresa pueden producirse conflictos que afectan a la intimidad de los trabajadores, tanto en el correo electrónico, en el que la implicación se extiende también, como ya se ha dicho, al secreto de las comunicaciones, como en la denominada «navegación» por Internet y en el acceso a determinados archivos personales del ordenador. Estos conflictos surgen porque existe una utilización personalizada y no meramente laboral o profesional del medio facilitado por la empresa. Esa utilización personalizada se produce como consecuencia de las dificultades prácticas de establecer una prohibición absoluta del empleo personal del ordenador –como sucede también con las conversaciones telefónicas en la empresa– y de la generalización de una cierta tolerancia con un uso moderado de los medios de la empresa. Pero, al mismo tiempo, hay que tener en cuenta que se trata de medios que son propiedad de la empresa y que ésta facilita al trabajador para utilizarlos en el cumplimiento de la prestación laboral (…) Las medidas de control sobre los medios informáticos puestos a disposición de los trabajadores se encuentran, en principio, dentro del ámbito normal de esos poderes: el ordenador es un instrumento de producción del que es titular el empresario «como propietario o por otro título” y éste tiene, por tanto, facultades de control de la utilización, que incluyen lógicamente su examen.

3.2.1.1. Uso de los recursos que el Registro pone a disposición de los empleados Los recursos que se ponen a disposición de los trabajadores en un Registro deben utilizarse con fines exclusivamente laborales en el marco de las actividades del Registro y dentro de las tareas asignadas a fin de “cumplir con las obligaciones concretas de su puesto de trabajo, de conformidad a las reglas de la buena fe” (Estatuto de los Trabajadores). 3.2.1.1.1. Recepción de las Normas de Uso y Buenas Prácticas por empleados o usuarios del Registro El objeto de las Normas de Uso y Buenas Prácticas para la Seguridad es describir las normas de utilización de los diferentes recursos de los Registros, así como las normas de conducta para las personas involucradas en la prestación de sus servicios o que realizan sus actividades para el mismo. El Responsable del Fichero (el Registrador) pondrá en conocimiento de los trabajadores el uso admitido por éste de los recursos que pone a disposición de dichos trabajadores, no siendo necesaria la aceptación expresa de los trabajadores de tal notificación. Únicamente es necesaria la acreditación de la recepción, mediante la firma de recepción del documento u otro medio que asegure que se ha informado a los mismos de tales circunstancias. Igualmente se pretende poner en conocimiento de los usuarios los límites existentes en el uso de los recursos, informar fehacientemente y advertir, en caso de que así sea, de la existencia de sistemas monitorización o control del uso de tales recursos. Este documento está destinado a todo el personal del Registro que sea usuario de sistemas de información o tenga acceso en el desarrollo de su actividad a los ficheros no automatizados del Registro, ya sea como trabajador del propio Registro o como trabajador perteneciente a cualquiera de las empresas que prestan sus servicios para el Registro. En las Normas de Uso y Buenas Prácticas se llama la atención de los usuarios muy especialmente sobre el carácter confidencial de la práctica totalidad de la información a la que se accede mediante los recursos a cuyo uso se refieren estas normas y que tenga tal naturaleza, lo que, unido al carácter personal de los datos sujetos a la LOPD, y al nivel máximo de seguridad requerido por todo ello, justifica el máximo rigor en la aplicación de las mismas, para poder lograr la confidencialidad e integridad de los mismos.

43

ASPECTOS LEGALES

Por último, se recomienda la entrega del documento de normas de uso y buenas prácticas a los proveedores del Registro como modo de dar cumplimiento al contenido del artículo 91.5 del RDLOPD, que establece que “en caso de que exista personal ajeno al Responsable del Fichero que tenga acceso a los recursos deberá estar sometido a las mismas condiciones y obligaciones de seguridad que el personal propio”. Trasladando directamente al proveedor las normas de uso, tales normas podrán ser conocidas por todos aquellos trabajadores externos que utilicen los recursos del Registro. Así, por ejemplo, se puede adjuntar al contrato del proveedor el documento de normas de uso y buenas prácticas, que no tendrán que “aceptar” sino “recibir”. De este modo, es posible guardar traza del cumplimiento de este artículo, que no olvidemos forma parte del Título VIII del RDLOPD y, por tanto, auditable. Dado que el Registro no tiene potestad disciplinaria (en sentido laboral) respecto de un trabajador ajeno, puesto que sus relaciones laborales son con la empresa a la que este pertenece, la entrega de las normas de uso directamente al proveedor, y no al trabajador externo, parece un modo apropiado, pero el Registro puede optar por otras maneras si lo considera oportuno, pues no hay una única solución. 3.2.1.1.2. Uso del correo electrónico interno para fines personales No está justificado el empleo de correos electrónicos corporativos para fines personales. Su uso por los empleados para fines personales implicaría el incumplimiento de las Normas de Uso y Buenas Prácticas. Incluso el uso del corporativo del Registro para envíos a otros Registros de comunicaciones masivas comerciales o de actividades privadas (por ejemplo, ofrecer libros o participaciones en loterías) pudiera ser encuadrado en actividades de promoción comercial, las cuales se encuentran rigurosamente reguladas por la LOPD (artículos 4, principio de calidad de los datos, y 5, derecho de información en la recogida de datos) y el RDLOPD. 3.2.1.1.3. Normas sobre uso de Chat El Registrador, como responsable del Fichero, debe adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o accesos no autorizados. El uso del chat u otras comunicaciones personales del trabajador de un Registro implicaría vulnerar las reglas de seguridad y, sin el previo consentimiento del Registrador. Sería, además, una actuación lesiva a las Normas de Uso y Buenas Prácticas para la Seguridad, de las que los trabajadores deben estar previamente informados, con las consiguientes medidas de responsabilidad disciplinaria. Los medios que se ponen a disposición de los trabajadores en un Registro deben utilizarse con fines exclusivamente laborales en el marco de las actividades del Registro y dentro de las tareas asignadas a fin de “cumplir con las obligaciones concretas de su puesto de trabajo, de conformidad a las reglas de la buena fe” (Estatuto de los Trabajadores). 3.2.1.1.4. Uso del correo del Registro en foros sociales La dirección de correo electrónico del Registro es una dirección pública no asociada a datos de carácter personal de una persona física, por lo que su cesión, en principio, no caería bajo el ámbito de aplicación de la Ley Orgánica de Protección de Datos. No obstante, su uso inadecuado por los trabajadores de un Registro sería una actuación lesiva a las Normas de Uso y Buenas Prácticas para la Seguridad. Para evitar el uso de estos recursos con otra finalidad ajena al ámbito registral se pueden adoptar otro tipo de medidas de índole técnico, como filtros de correo electrónico, la comunicación a los empleados de normas relacionadas con la utilización del correo electrónico del Registro a través del documento de Normas de Uso y Buenas prácticas…etc.

44

ASPECTOS LEGALES

3.2.1.1.5. Envío de correos electrónicos con múltiples destinatarios En caso de que el Registro desee remitir correos electrónicos masivos a usuarios del mismo, es importante recordar que también existe la obligación de guardar el deber de secreto (Artículo 10 de la LOPD) respecto de la dirección de dichos correos electrónicos, puesto que en la medida en que a través de las mismas se puedan identificar a personas físicas sin esfuerzos desproporcionados, serán datos de carácter personal que solo pueden ser comunicados a terceros bajo los requisitos que establece la normativa. En este sentido se ha pronunciado la Agencia Española de Protección de Datos (AEPD) reiteradamente en sus resoluciones. En caso de proceder a comunicar estos datos a terceros (como pueden ser el resto de destinatarios del correo) sin encontrarse amparado en alguno de los supuestos que establece la normativa de protección de datos, tal conducta puede constituir una cesión de datos a terceros sin el consentimiento del afectado, que puede devenir en una vulneración de dicho deber de secreto establecido en la normativa. Ambos supuestos son infracciones tipificadas en la LOPD y por tanto sancionables por la AEPD. Así, en caso de que el Registro desee remitir este tipo de correos masivos (aunque los datos se hayan obtenido cumpliendo los principios de información y consentimiento y en el cuerpo del correo no existan datos personales), se propone hacerlo de la siguiente manera: ● Proceder a utilizar la funcionalidad de COPIA OCULTA (CCO) en los correos electrónicos, de tal forma que las direcciones no queden visibles para los destinatarios. ● Se puede valorar implementar soluciones técnicas en el cliente de correo para evitar a futuro que se puedan dar situaciones análogas. Por ejemplo, mediante la inclusión de avisos cuando se detecte que se realizará un envío a más de un destinatario de fuera del Registro. ● Se recomienda realizar labores de formación interna en el Registro, a fin de concienciar a todos los trabajadores del riesgo que supone remitir correos electrónicos con multitud de destinatarios. Por ejemplo, remitiendo comunicados internos al personal del Registro advirtiendo del uso en todos los casos del sistema de Copia Oculta a la hora del envío de este tipo de mensajes. ● Finalmente, en caso de que la operativa de trabajo y volumen de destinarios lo permita, se puede valorar remitir los correos de forma individualizada a cada una de las direcciones implicadas.

3.2.1.2. Aspectos legales a considerar en la gestión interna de los Datos de Carácter Personal (DCP) de los trabajadores Se plantean las cuestiones más relevantes en cuanto a los datos recogidos y gestionados internamente por el Registro referidos a sus propios trabajadores. 3.2.1.2.1. Recogida de los datos personales de los empleados del Registro Las obligaciones del Registro, en cuanto a recogida de los datos personales de los trabajadores son, principalmente, las derivadas de los deberes de información y consentimiento contenidos en los artículos 5 y 6 de la LOPD. En este sentido, el Registro tiene a su disposición en SYGILO las cláusulas de información y consentimiento (“Documentación”) que habría que firmar y anexionar a los contratos de trabajo de los trabajadores o, en caso de no disponer de los mismos, proceder a su firma como documento. 3.2.1.2.2. Gestión de las nóminas de los empleados del Registro En la gestión de las nóminas por parte del Registro, caben principalmente dos escenarios: 1. Gestión de la nómina por parte de un tercero (Gestoría). Es un supuesto encuadrado en el artículo 12 de la LOPD y 82 del RDLOPD, es decir, la existencia de un Encargado del Tratamiento.

45

ASPECTOS LEGALES

En este sentido, la gestoría trata datos personales por cuenta del Registro, siendo éste último el que sigue decidiendo sobre el uso, finalidad y contenido del tratamiento. El Registro deberá asegurarse los siguientes extremos:  a) Existencia de un contrato en el sentido del artículo 12 de la LOPD. Dicho contrato deberá contener las pertinentes cláusulas de confidencialidad LOPD (se pueden descargar de SYGILO en función de cómo se produzca el acceso de la gestoría a los datos) y regular las medidas de seguridad a implementar por cada parte (Informe 0620/2009 de la AEPD).  b) Los datos a transmitir a la gestoría deben ser necesarios, pertinentes y no excesivos. A la gestoría se le debe comunicar aquellos datos que necesite para realizar las funciones encomendadas, debiendo velar especialmente por no transmitir datos especialmente protegidos (minusvalías, datos de afiliación sindical, etc.) si dichos datos no son necesarios para el cálculo de la nómina.  c) Medidas de seguridad. Las medidas de seguridad que deberá implantar tanto el Registro como la gestoría en los ficheros que contengan los datos relativos a las nóminas de los trabajadores serán las de nivel BÁSICO descritas en los artículos 89-94 del RDLOPD y las del Capítulo IV Sección I del RDLOPD para tratamientos no automatizados (en caso de que las nóminas se gestionen en papel). d) Mecanismos y modos de transmisión de la información. El Registro debe velar porque los modos de transmisión de la información a la gestoría sean seguros. En este sentido se recomienda, cuando sea posible, la entrega en mano. Otro medio seguro es el correo postal certificado. El correo electrónico también es un método válido, pero siempre que se haya podido verificar la cuenta de destino y se evite la remisión de información a direcciones de correo electrónico genéricas. Las nóminas han cambiado el nivel, de alto a básico, por lo que no es necesario que dichos correos electrónicos sean cifrados. No se recomienda hacer uso del fax, en tanto en cuanto no garantiza que el receptor sea la persona autorizada para acceder a la información.  e) Disociación. En la medida de lo posible, se recomienda disociar, en las comunicaciones de nóminas, los datos económicos de los datos personales del trabajador.  f) Plazo de conservación. El Registro deberá atenerse al plazo de conservación de las nóminas legalmente establecido, que es de 4 años, pues Ley 24/2001 de 27 de diciembre, de Medidas Fiscales, Administrativas y del Orden Social modificó el Real Decreto Legislativo 5/2000, de 4 de agosto, por el que se aprueba el texto refundido de la Ley sobre Infracciones y Sanciones en el Orden Social. 2. Gestión de la nómina por parte del propio Registro. En este caso, lógicamente no se trata de un Encargo del Tratamiento, sino la gestión íntegra por parte del Responsable del Fichero (el Registrador) de los datos de sus trabajadores en cuanto a la gestión de sus nóminas. En este sentido, le sería aplicables las consideraciones puestas de manifiesto en los puntos c), d) y e) anteriormente descritos, aunque en el caso del punto d) se entiende que lo habitual en este caso sería efectivamente la entrega en mano. 3.2.1.2.3. Gestión de los empleados temporales del Registro El Registro debe tener en cuenta una serie de medidas en materia de protección de datos en relación con los empleados temporales que contrate. Un trabajador temporal está sujeto al mismo tratamiento que los trabajadores indefinidos. No obstante, es necesario enfatizar las siguientes cuestiones:

46

ASPECTOS LEGALES

● En la relación de usuarios que conste en el Documento de Seguridad del Registro deben identificarse los usuarios que tendrán acceso de forma temporal a los recursos del mismo. ● Es necesario identificar el tipo de acceso que los trabajadores temporales tendrán, si tendrán o no acceso a datos (por ejemplo, si trabajarán como un trabajador más del Registro o por el contrario se tratará de personal de limpieza) y si tal acceso será presencial (en el propio Registro) o se producirá de forma remota (accediendo a los servidores del Registro desde las propias instalaciones del trabajador). ● Habrá que proceder a la firma de las correspondientes adendas, con las clausulas LOPD y de confidencialidad a los contratos, así como la firma de las Normas de Uso y Buenas Prácticas para la seguridad de la información. ● Es de especial importancia en estos casos, la gestión de usuarios y contraseñas:  Es preciso asegurar que los trabajadores temporales tengan acceso únicamente a aquellos recursos para los que están autorizados mediante el uso de usuarios nominales, contraseñas y perfiles acceso a los recursos.  Hay que evitar el uso de usuarios genéricos, sobre todo en este tipo de relaciones contractuales.  Una vez finaliza la relación contractual es preciso realizar la gestión de bajas de tales usuarios. 3.2.1.2.4. Cesión de los datos de los empleados del Registro a terceros En relación a la cesión a terceros de los datos personales de los trabajadores del Registro, en tanto en cuanto su condición de empleados, es posible realizar unas consideraciones adicionales además de las ya realizadas con carácter general. Es decir, a la cesión de los datos personales de los trabajadores se les aplica igualmente el régimen previsto para las cesiones en los artículos 11 de la LOPD, y 10 del RDLOPD, por lo que para poder realizarlas se deberá obtener el consentimiento de los mismos salvo que el supuesto concreto tenga encaje en alguna de las excepciones previstas en dichas normas. Así, en relación con estas excepciones, habría que considerar si tales supuestos de hecho tienen encaje por ejemplo: ● En el artículo 11.2 a) de la LOPD. Es decir, si tal supuesto está previsto en una norma con rango de Ley. Por ejemplo, si el propio Estatuto de los Trabajadores (ET) prevé la realización estas comunicaciones. Tal sería el caso de las posibles cesiones que se realizaran al Comité de Empresa y en el ámbito de las funciones desarrolladas por el mismo, en tanto en cuanto, se encuentra reconocido en el artículo 64 del ET el derecho de los representantes de los trabajadores a acceder a determinados datos de estos en el ámbito de sus competencias. En este último sentido, es posible referenciar que la AEPD, en su Informe 300/2008, estableció que cualquier cesión de datos de los trabajadores al Comité de Empresa que exceda de las legalmente previstas en el artículo 64 del ET deberá contar con el consentimiento del interesado, en este caso, de los trabajadores afectados. ● En el artículo 11.2 c) de la LOPD. Es decir, cuando el tratamiento responda a la libre y legítima aceptación de una relación jurídica cuyo desarrollo, cumplimiento y control implique necesariamente la conexión de dicho tratamiento con ficheros de terceros. Por ejemplo, si tal comunicación estuviera prevista el Convenio Colectivo aplicable. En tanto en cuanto el artículo 3 del Estatuto de los Trabajadores incluye a los Convenios Colectivos entre las fuentes de la relación laboral que regulan los derechos y obligaciones concernientes a la misma, de ello se deduce que, prevista expresamente en una norma con rango de Convenio Colectivo, la comunicación de datos planteada encontraría cabida en el apartado c) del artículo 11.2 de la LOPD. Todo ello sin perjuicio de la consideración del resto de principios aplicables al tratamiento de datos y comunicaciones ya enumerados en el presente Manual (proporcionalidad, comunicación de forma exclusiva de los datos necesarios para cumplir con las finalidades

47

ASPECTOS LEGALES

previstas en las normas, etc.), así como aquellos preceptos en cuanto a la normativa laboral que sean aplicables a cada caso.

3.2.2. Relaciones con proveedores y clientes 3.2.2.1. Encargado de Tratamiento Es la persona física o jurídica, pública o privada, u órgano administrativo que, solo o conjuntamente con otros, maneja y utiliza datos personales por cuenta del Responsable de Fichero, como consecuencia de la existencia de una relación jurídica que le vincula con el mismo y delimita el ámbito de su actuación para la prestación de un servicio. La realización de tratamientos deberá estar regulada en un contrato, que deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, estableciéndose, expresamente, que el Encargado de Tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas. El Encargado de Tratamiento no podrá subcontratar con un tercero la realización de ningún tratamiento de datos sin autorización del Responsable del Fichero y bajo las condiciones que establece el RDLOPD. En el contrato se estipularán las medidas de seguridad que el Encargado de Tratamiento está obligado a implementar, que han de ser descritas y pormenorizadas, es decir, no es suficiente con hacer una clausula genérica de compromiso al cumplimiento de la legislación vigente en materia de protección de datos. Una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al Responsable del Fichero, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto del tratamiento. En el caso de que el Encargado de Tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato, será considerado también como responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente. El servicio prestado por el Encargado de Tratamiento podrá tener o no carácter remunerado y ser temporal o indefinido. Son supuestos de aplicación del concepto de Encargado de Tratamiento al ámbito del Registro, los siguientes: ● CORPME. Los Registros tienen encargado el tratamiento de los índices de FLOTI / FLEI / FLOMI al CORPME por requerimiento legal en virtud de Real Decreto. ● Gestorías. Los Registros suelen encargar a gestorías la llevanza de las cuestiones relativas a personal y recursos humanos o la prevención de riesgos laborales. Dicho encargo no se realiza por requerimiento legal, sino por decisión voluntaria de los Registradores mediante un acuerdo o contrato. ● Empresas de mantenimiento de aplicaciones. Se encarga a empresas de servicios el soporte y mantenimiento de las aplicaciones de software que se emplean en los Registros o al mantenimiento de las Bases de Datos de los mismos.

3.2.2.2. Cesión de datos Se entiende por cesión o comunicación de datos “toda revelación de datos realizada a una persona distinta del interesado”. La cesión o comunicación de datos trae causa en una Ley que ampara dicha cesión, no en un acuerdo como en el encargo del tratamiento. Como aspectos fundamentales para diferenciarlo de un encargo de tratamiento destacan los siguientes:

48

ASPECTOS LEGALES

● En un encargo, el Responsable del Fichero es la figura que decide sobre la finalidad de los datos personales del fichero y el acceso a los datos se produce para la realización de una función que le es propia al Responsable del Fichero. En el caso de cesiones de datos la función de decidir sobre la finalidad de los datos se atribuye al cesionario de la información, estando obligado a declarar este fichero en la AEPD. ● Los encargos de tratamiento siempre deben estar regulados por un contrato de prestación de servicios acorde a los términos expuestos en el artículo 12 de la LOPD, mientras que en las cesiones de datos no existe este requisito. ● En el intercambio de información en un encargo del tratamiento entre Responsable y Encargado no es necesario que esté informado ni consentido por el interesado. Por contra, las cesiones de datos a terceros deben estar informadas al interesado y consentidas por éste (expresamente para cesiones de datos de nivel ALTO), excepto en los supuestos excluidos recogidos en el artículo 11 de la LOPD.

3.2.2.3. Gestión de los servicios médicos (mutuas) y de prevención de riesgos laborales. Mutuas de accidentes de trabajo Como se ha pronunciado la AEPD en diversos Informes Jurídicos (como, por ejemplo, el Informe 189/2008), las Mutuas de Accidentes de Trabajo y Enfermedades Profesionales tienen la consideración de Responsables del Tratamiento, esto es, que las obligaciones en materia de protección de datos, en cuanto a los datos recabados de los trabajadores en ejercicio de sus funciones, serán responsabilidad de tales Mutuas, pues serán las que decidan sobre la finalidad, contenido y uso del tratamiento. No obstante, es preciso diferenciar la actividad de la Mutua adscrita a la Seguridad Social (como es el caso de la Mutua Universal) en tanto en cuanto actúe únicamente en relación a los Accidentes de Trabajo y Enfermedades Profesionales, o actúe también en relación a la Prevención de Riesgos labores: ● En el primer caso, y siempre desde el punto de vista de protección de datos, nos encontramos ante una cesión de datos del Registro a la Mutua. Dicha cesión de datos no necesita ser regulada mediante vínculo contractual ni consentida por parte del trabajador, pues es una cesión que viene impuesta por Ley General de Seguridad Social. En este sentido, las obligaciones del Registro, desde el punto de vista de protección de datos, se circunscriben a informar de dicha cesión al trabajador en los contratos que suscriba con los mismos. ● En el segundo caso, que la Mutua también (o únicamente) ejerza labores de Prevención de Riesgos Laborales, como regla general, serán consideradas también Responsables del Tratamiento, siéndoles de aplicación los mismos extremos comentados anteriormente, pues en la medida en que realicen funciones de vigilancia de la salud, estarían en el mismo supuesto comentado anteriormente en cuanto a la cesión de los datos (con la particularidad de que en este caso, la Ley habilitadora de la cesión es la Ley de Prevención de Riesgos Laborales). No obstante, pueden existir supuestos en que es posible considerar que ese servicio de prevención ajeno accede a los datos en calidad de encargado del tratamiento (artículo 12 de la Ley 15/1999) y otros serán considerados como cesiones de datos (artículos 30.3 y 23.1 de la Ley 31/1995). En los primeros, serán aquellos supuestos en los que la Mutua se exceda de aquellas labores estrictas de vigilancia de la salud y que habrá que considerar casuísticamente. En cuanto al envío de los datos a las Mutuas se cumplirán, al menos, las medidas de nivel MEDIO señaladas en el RDLOPD. Así, el uso del fax supone un riesgo, en tanto en cuanto, no garantiza la confidencialidad de las comunicaciones y de un acceso no autorizado de la documentación en la recepción de la misma. En este sentido, se propone, por ejemplo, alguna de las siguientes opciones: ● En caso de existir un canal oficial y específico como mecanismo habilitado para transmitir dicha información, se hará uso del mismo.

49

ASPECTOS LEGALES

● En caso de no existir dicho canal oficial, el envío de datos de Accidentes de Trabajo y Enfermedades Profesionales, podrá hacerse mediante la utilización de servicios de mensajería o servicios postales en los que se utilicen sobre cerrados en el transporte, en el que se guarde registro de salida (copia del albarán) al menos durante dos años. Además, dichos sobres cerrados se podrán acompañar con la firma en el reborde del sobre o con el sello del Registro, de tal forma que se pueda dejar traza de posibles aperturas indebidas del mismo. ● Asimismo, podrá procederse al escaneo de la documentación y el envío de la misma mediante correo electrónico a la Mutua. En este sentido, se recomienda que sea ésta la que facilite el procedimiento y la dirección de correo electrónico corporativa a la que remitir tal documentación. Por último, en caso que se almacene documentación o justificantes y contengan datos de las acciones de vigilancia de la salud distintos de los meramente referidos a la aptitud del trabajador o incorporasen los datos relacionados con la concreta enfermedad o accidente padecido por el trabajador, les será de aplicación las medidas de seguridad de nivel ALTO.

3.2.2.4. Usuarios habituales del Registro: Gestorías y Notarías Establece el artículo 419 del Reglamento Hipotecario que “al presentante de un título se le entregará, si lo pidiere, recibo del mismo en el cual se expresará la especie de título entregado, el día y hora de su presentación y, en su caso, el número y tomo del Diario en el que se haya extendido el asiento”. Se recomienda usar un formulario de entrada único que incluya la redacción del pie de página genérico o estándar para los formularios de entrada de documentos en el Registro. La copia firmada por el presentante deberá quedar archivada en el Registro en un legajo especial. DATOS DEL SOLICITANTE O INTERESADO: Nombre: . . . . . . . . . . . . . . . . … . . . . . . Apellidos. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . Domicilio: . . . . . . . . . . . . . ….. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . DNI / NIE / PASAPORTE / T. RESIDENCIA: . . . . . . . . . . . . . . . . .Teléfono:………………… En representación de GESTORÍA, PROCURADOR.............................................................. -datos personalesMANIFIESTA Que, a los efectos de la Ley Orgánica 15/1999 de 13 de diciembre, de Protección de Datos de carácter personal queda informado de que: 1.- Los datos personales expresados en todos los títulos y/o documentos por él presentados en este Registro, incluidos los suyos propios, serán incorporados a los libros de dicho Registro y a los ficheros que se llevan en base a dichos libros, cuyo responsable es el Registrador y cuyo uso y fin del tratamiento es el previsto expresamente en la normativa registral. La información en ellos c ontenida sólo será comunicada en los supuestos previstos legalmente, o con objeto de satisfacer las solicitudes de publicidad formal que se formulen de acuerdo con la legislación registral. 2.- En cuanto resulte compatible con la legislación específica del Registro, se reconoce a los interesados los derechos de acceso, rectificación, cancelación y oposición establecidos en la Ley Orgánica citada pudiendo ejercitarlos dirigiendo un escrito a l a dirección del Registro.

3.- La obtención y tratamiento de sus datos en la forma indicada, es condición necesaria para la prestación de estos servicios. Lugar, fecha y firma. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

3.2.2.5. Arrendamiento de inmuebles En el caso de que los Registros se encuentren instalados en locales sujetos a contrato de arrendamiento, los propietarios incluirán cláusulas informativas y de obtención del consentimiento para el tratamiento de los datos de los Registradores arrendatarios. La “Sociedad Inversiones Inmobiliarias CRE SL” es una entidad privada que realiza operaciones inmobiliarias con la finalidad de facilitar la adecuación de instalaciones y locales a las necesidades de los Registros.

50

ASPECTOS LEGALES

Para formalizar la relación entre CRE y los Registros dentro del servicio prestado, CRE incluye en todos los contratos de arrendamiento de locales firmados con los Registros la siguiente clausula estándar: “DECIMOQUINTA. Información y consentimiento para el tratamiento de datos de carácter personal cedidos por el arrendatario. De conformidad con la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, CRE informa que los datos de carácter personal a los que tenga acceso en virtud del presente contrato podrán ser incorporados a los siguientes ficheros de su titularidad, “Gestión financiera e inmobiliaria”, cuyo uso y fin es el tratamiento de datos personales relacionados con la gestión de relaciones comerciales, clientes, proveedores, cobros, pagos e impuestos, y “Agenda y correo electrónico”, cuyo uso y fin es la gestión y archivo de direcciones de correo electrónico y datos de contacto, inscritos en la Agencia Española de Protección de Datos, los cuales serán procesados para la prestación de los servicios del presente Contrato. El titular de los datos, podrá ejercer sus derechos de oposición, acceso, rectificación y cancelación mediante la correspondiente solicitud, dirigida a CRE, Inversiones Inmobiliarias, con dirección en la calle Diego de León nº 21, 28006 de Madrid”.

3.2.2.6. Recepción de currículos por el Registro En caso de que un Registro reciba currículos por cualquier medio, se han de cumplir con los principios de información y consentimiento al interesado en la recogida de sus datos personales. Así, se ha de informar al interesado de: ● La incorporación de sus datos personales al fichero privado denominado “Expedientes Personales”, propiedad del Registro. ● De la finalidad de dicho fichero, en este caso, registrar perfiles profesionales. ● De la posibilidad de ejercer sus derechos de acceso, rectificación, cancelación y oposición, mediante escrito dirigido al Registro. ● De su almacenamiento posterior bajo la misma finalidad antes descrita, de su posibilidad de negativa al mismo y de su destrucción cuando cese la finalidad para la que fue recabado. ● De la no cesión de sus datos, salvo aquellas necesarias para la oportuna gestión de los proyectos formativos desarrollados, así como, las expresamente establecidas por ley. Las medidas de seguridad a aplicar en el tratamiento y/o almacenamiento son aquellas acordes al nivel de los datos tratados (ya sea tanto en formato electrónico como en papel), esto es, las medidas de seguridad de nivel MEDIO cuya traslación práctica se recoge en este Manual.

3.3. Derechos ARCO El presente epígrafe tiene como objetivo definir y delimitar el ejercicio de los derechos de acceso, rectificación, cancelación y oposición (ARCO) cuando se ejerzan sobre los ficheros, tanto públicos como privados, declarados a nombre del Registrador. Se propondrá un plan de actuación en caso de recibir alguna solicitud de este tipo. El ejercicio de los derechos ARCO se realiza, siempre y exclusivamente, a instancia del interesado, esto es, es el propio particular el que debe solicitar al Responsable del Fichero (directamente al Registrador o a cualquier trabajador del Registro) que el acceso, la rectificación, cancelación u oposición se realicen bajo el amparo de los procedimientos contemplados en la LOPD y el RDLOPD. Desde la Oficina de Seguridad se proponen modelos estandarizados, disponibles en SYGILO (“Documentación”), para utilizar en relación con los derechos ARCO.

51

ASPECTOS LEGALES

Si un particular solicita, por ejemplo, la rectificación de una factura y NO lo hace mediante el ejercicio formal de un derecho ARCO, el Registro procederá a su rectificación como siempre ha hecho, sin que ello suponga ningún trámite adicional.

3.3.1. Normas comunes a todos los Derechos ARCO Los derechos ARCO deben CONTESTARSE SIEMPRE EN PLAZO. No contestar en los plazos marcados al solicitante implica estar expuesto a que el interesado pueda interponer una reclamación de tutela de derechos ante la AEPD, y derivar en un posible procedimiento sancionador. El ejercicio de los derechos ARCO será siempre GRATUITO. Por último, planteada consulta a la AEPD, ésta ha resuelto que no existe alguna diferencia o matiz en el cómputo de los plazos en relación con que los ficheros sean públicos o privados.

3.3.2. Derecho de Acceso Es el derecho a solicitar y obtener información gratuita sobre qué datos personales se tratan, con qué finalidad y con qué usos concretos, de dónde se han obtenido y si se han comunicado o se pretenden comunicar a terceros. No se debe confundir el derecho de acceso con la consulta de consultas (ver apartado 3.1.4 de este Manual). Lo puede ejercer la persona afectada o un representante en su nombre (en caso de menores de 14 años, personas incapacitadas, mayores de 14 años si la Ley lo exige, o cuando la persona afectada designe voluntariamente a alguien que la represente). Se ejerce mediante escrito dirigido al responsable del fichero con fotocopia del DNI. No se puede ejercer si aún no ha pasado un año desde que se ejerció por última vez, salvo que haya un interés legítimo. En caso de recibir un derecho de acceso en el que se haga referencia a los datos relativos a OFICINA LIQUIDADORA, se recomienda canalizar inmediatamente la solicitud al Responsable del Fichero (la Comunidad Autónoma correspondiente) y, para que no haya ningún lugar a dudas, remitir al solicitante la información que conste en los ficheros del Registro. El contenido en el ejercicio del Derecho de Acceso permite al titular de los datos obtener información sobre: ● Sus propios datos de carácter personal que están siendo objeto de tratamiento ● La finalidad del tratamiento ● La información disponible sobre el origen de dichos datos ● Las comunicaciones realizadas o previstas de los mismos El plazo para contestar a la solicitud es, como máximo, de UN MES de fecha a fecha, a contar desde la recepción de la solicitud. Se ha de responder siempre, tanto si se tienen datos como si no se tienen.

3.3.3. Derecho de Rectificación El derecho del afectado a que se modifiquen los datos personales (no los patrimoniales) que resulten ser inexactos o incompletos. Los requisitos de presentación son análogos a los del derecho de acceso. Para poder rectificar un dato es necesario acompañar documento acreditativo que justifique la rectificación. El plazo para contestar a la solicitud es, como máximo, de DIEZ DÍAS HÁBILES a contar desde la recepción de la solicitud. Se ha de responder siempre, tanto si se tienen datos como si no se tienen.

52

ASPECTOS LEGALES

3.3.4. Derecho de Cancelación Es el derecho a pedir gratuitamente que se supriman los datos personales cuando sean inadecuados, excesivos o innecesarios, o cuando se conserven durante un tiempo superior al que corresponda, o sean contrarios a la LOPD, argumentando o justificando la solicitud de cancelación de datos. La cancelación origina el bloqueo de los datos, consistente en la identificación y reserva de los mismos con el fin de impedir su tratamiento, su cesión o comunicación, excepto para su puesta a disposición de Administraciones públicas, jueces y tribunales para atender a las responsabilidades que pudieran haberse originado. Transcurrido el plazo durante el cual deben guardarse los datos, se deberán suprimir dichos datos. Los requisitos de presentación del derecho de cancelación son análogos a los del derecho de acceso. El plazo para contestar a la solicitud es, como máximo, de DIEZ DÍAS HÁBILES a contar desde la recepción de la solicitud. Se ha de responder siempre, tanto si se tienen datos como si no se tienen.

3.3.5. Derecho de Oposición El derecho de oposición es el derecho del afectado a que no se lleve a cabo el tratamiento de sus datos de carácter personal o se cese en el mismo. Los requisitos de presentación son análogos a los del derecho de acceso. El plazo para contestar a la solicitud es, como máximo, de DIEZ DÍAS HÁBILES a contar desde la recepción de la solicitud. Se ha de responder siempre, tanto si se tienen datos como si no se tienen.

3.3.6. Mecanismos de actuación en los Registros en caso de recibir una solicitud de ejercicio de derechos ARCO En caso de recibir una solicitud de ejercicio de derechos ARCO, el procedimiento a seguir es el siguiente: ● Informar al Registrador de la recepción de la solicitud DE FORMA INMEDIATA. ● Contactar con Atención al Cliente-LOPD del CORPME, que, como norma general, se realizará como máximo en las cuarenta y ocho horas siguientes desde su recepción. ● Resolución de la solicitud en base al asesoramiento realizado por la Oficina de Seguridad del CORPME. ● Envío de la resolución a la dirección que el interesado haya facilitado en la solicitud. ● Según el artículo 18 de la LOPD, el interesado al que se deniegue, total o parcialmente, el ejercicio de los derechos de oposición, acceso, rectificación o cancelación, podrá ponerlo en conocimiento de la Agencia de Protección de Datos o, en su caso, del organismo competente de cada Comunidad Autónoma, que deberá asegurarse de la procedencia o improcedencia de la denegación. En cualquier caso, es imprescindible siempre que el Responsable del Fichero guarde acreditación de haber contestado en plazo los derechos ARCO al interesado.

3.4. Otras consultas de especial relevancia 3.4.1. Acreditación del interés legítimo en la publicidad El contenido del Registro sólo se ha de poner de manifiesto a quienes tengan interés en conocer el estado de los bienes o derechos inscritos; dicho interés se ha de justificar ante el Registrador, que es a quien corresponde apreciar la legitimación del solicitante.

53

ASPECTOS LEGALES

Este interés ha de ser directo (en caso contrario se ha de acreditar debidamente el encargo, sin perjuicio de la facultad de dispensar dicha justificación que tiene el Registrador prevista en el artículo 332.3 del Reglamento Hipotecario), conocido (en el sentido de acreditado o justificado, salvo en los casos de las autoridades, empleados o funcionarios públicos que actúen en razón de su oficio o cargo, en cuyo caso el artículo 221.2 presume dicho interés) y legítimo (artículo 332.3 del Reglamento Hipotecario). Desde el punto de vista del objeto y extensión de la publicidad, el interés expresado no es cualquier interés (pues entonces la prueba la constituiría la mera solicitud), sino un interés patrimonial, es decir, que el que solicita la información tiene o espera tener una relación patrimonial para la cual el conocimiento que solicita resulta relevante. La Instrucción de 17 de febrero de 1998 de la DGRN establece que «Se consideran, pues, finalidades de la institución registral la investigación, jurídica, en sentido amplio, patrimonial y económica (crédito, solvencia y responsabilidad), así como la investigación estrictamente jurídica encaminada a la contratación o a la interposición de acciones judiciales (objeto, titularidad, limitaciones, representación,...), pero no la investigación privada de datos no patrimoniales contenidos en el Registro, de manera que el Registrador sólo podrá dar publicidad de los mismos si se cumplen las normas sobre protección de datos» (artículo 18.4 de la Constitución «habeas data», vid. Sentencia del Tribunal Constitucional 254/1993). El interés legítimo, en el ámbito del Registro de la Propiedad, ha de probarse a satisfacción del Registrador de acuerdo con el sentido y función de la institución registral. Ello no significa que el Registrador pueda discrecionalmente manifestar el contenido de los asientos registrales, sino que queda bajo su responsabilidad la publicidad del contenido de los asientos. Desde el punto de vista de la protección de datos, lo importante es que exista valoración por el Registrador del interés alegado, no el resultado, positivo o negativo, de esa valoración que se vería en los términos previstos por la Ley Hipotecaria: posible recurso ante la DGRN en caso de negativa a la emisión y responsabilidad del Registrador derivada del contenido de la publicidad en caso de efectiva expedición. En ningún caso la calificación realizada conforme al procedimiento legal cae bajo el ámbito de la LOPD. El Registrador ha de calificar no sólo si procede o no procede expedir la publicidad formal que se solicita, sino también qué datos y circunstancias de los incluidos en el folio registral correspondiente puede incluir o debe excluir de dicha información, pues cabe perfectamente que puedan proporcionarse ciertos datos registrales y no otros relativos a una misma finca. Es decir ha de hacer un tratamiento profesional de la información. La inexistencia de ese tratamiento vulneraría la LOPD.

3.4.2. Violencia de Género / Incapacitados Queda bajo la responsabilidad del Registrador la atención de las consultas relativas a la publicidad de datos personales. Este principio se fundamenta, como recuerda la Instrucción de 27 de enero de 1999 de la DGRN, en el artículo 4.1 de la LOPD, que establece que sólo se podrán recoger datos de carácter personal para el tratamiento automatizado cuando los datos sean adecuados, pertinentes y no excesivos conforme a las finalidades para las que se hayan obtenido, y en el artículo 4.2 de la misma Ley, que previene que los datos no podrán usarse para finalidades distintas de aquellas para las que hubieran sido recogidas. En el marco del principio general de publicidad, los datos especialmente protegidos de carácter personal contenidos en los asientos registrales no podrán ser objeto de publicidad formal ni de tratamiento automatizado para finalidades distintas de las propias de la institución registral.

3.4.2.1. Violencia de género Lo más recomendable es que el Registrador, bajo su criterio y en función de la valoración que haga del riesgo, tome la decisión más adecuada, pareciendo la más recomendable, la de denegar la información o tratarla del modo más adecuado para proteger a la persona en riesgo o que ha padecido violencia, salvo en los supuestos de solicitudes en virtud de mandamiento judicial, peticiones de la Administración o de funcionarios en el ejercicio de sus competencias,

54

ASPECTOS LEGALES

dando, en todo caso, la posibilidad de recurso al solicitante (conforme al artículo 228 de la LH), pues la normativa pretende proteger a la mujer agredida, y tal protección también debe darse desde el Registro de la Propiedad, sin limitar el juego de los principios hipotecarios y, por tanto, permitiendo al interesado recurrir para que sea la DGRN o el Juez quienes decidan si se facilita o no la información registral. Es muy recomendable que el Registrador establezca determinadas precauciones en favor de la persona afectada por violencia de género, como, por ejemplo, advertir de la situación al personal del Registro mediante la correspondiente Nota de Oficina. En estos casos, el Registrador, ante una solicitud de publicidad sobre los bienes de dicha persona, tendrá especial precaución al calificar la procedencia o no de la misma. Junto con esta medida también sería posible, de un lado, advertir en la/s finca/s en cuestión las circunstancias especiales del propietario, a efectos de que todo el personal del Registro esté debidamente informado de dicha singular situación. Adicionalmente, el Registrador podría aconsejar al afectado o afectada que facilite al Registro un domicilio a efectos de notificaciones distinto de su domicilio habitual, a fin de no facilitar la localización de la interesada ante ciertas solicitudes de publicidad. Finalmente, en cuanto a la documentación a aportar por la persona que desea que la publicidad de sus bienes sea restringida, habida cuenta que no existe desarrollo reglamentario que establezca el procedimiento a seguir, lo más razonable podría ser actuar de la siguiente manera conforme a tres posibles escenarios: ● Aportación por la persona interesada de un mandamiento judicial que dictamine acerca de la necesidad de restringir de forma permanente la publicidad de dicha persona. En este caso, el Registrador actuará conforme a dicho mandamiento, actuando en consecuencia y acorde al mismo. ● Aportación por la persona interesada de la mera denuncia. En este caso, lo más razonable parece ser restringir de forma temporal (durante el plazo que el Registrador a su juicio considere adecuado) la publicidad de los bienes de dicha persona. Una vez concluido el plazo, la interesada deberá aportar el mandamiento judicial correspondiente, de lo contrario, se procederá a permitir de nuevo la publicidad sobre dichos bienes. ● No aportación de ningún documento por la persona interesada. En este caso, no se procederá a restringir la publicidad de los bienes, instando a la persona interesada a la aportación de la documentación anteriormente reseñada (mandamiento judicial o denuncia y posterior aportación del mandamiento).

3.4.2.2. Incapacitados Lo más recomendable es que el Registrador, bajo su propio criterio, y en función de la valoración del interés alegado, tome la decisión más conveniente en cada caso, siendo, la más recomendable, la de tratar la información, salvo en los supuestos de solicitudes en virtud de mandamiento judicial, peticiones de la Administración o de funcionarios en el ejercicio de sus competencias, dando la posibilidad del recurso pertinente al solicitante (conforme al artículo 228 de la Ley Hipotecaria). En materia de situaciones concursales debe tenerse en cuenta la existencia de una publicidad específica en el portal previsto en la Ley.

3.4.3. Situaciones económicas canceladas Establece la Circular 1/2003, sobre el modo de expedir la publicidad formal (elaborada a petición de la Junta de Gobierno del Colegio a los distintos Decanatos Autonómicos, ante la quejas recibidas de la Dirección General de Registros y del Notariado acerca de la forma de suministrar la publicidad registral en Madrid y las inspecciones efectuadas por la Agencia de Protección de Datos a algunos Registros de la Propiedad) que entre los datos que no deben incluirse en la publicidad formal, salvo en supuestos especiales, son los patrimoniales no vigentes, como embargos caducados, hipotecas canceladas, situación concursal cancelada, titularidades anteriores ya transmitidas y otras similares.

55

ASPECTOS LEGALES

3.4.4. Inclusión del precio en la publicidad En todo caso, el Registrador, como Responsable del Fichero y en el ejercicio de su función pública, decide sobre la finalidad, contenido y uso del tratamiento de los datos personales, pudiendo disponer, caso por caso, si debe o no ser incluido el precio de transmisión de un inmueble en la publicidad registral. Podríamos considerar como supuestos admisibles de inclusión del precio en la publicidad: A. Cuando los precios o valores solicitados lo sean de operaciones jurídico-económicas (compraventas, préstamos hipotecarios, etc.) en que sean parte únicamente personas jurídicas o empresarios individuales o comerciantes “en su calidad de tales”, pues no se aplicaría el régimen de protección de la LOPD. La Ley 15/1999 considera datos personales a cualquier información concerniente a personas físicas, identificadas o identificables, no los pertenecientes a personas jurídicas. B. Cuando, a juicio del Registrador, se considere que dicho dato está incluido dentro de la publicidad de carácter “tráfico jurídico inmobiliario”, pues la cesión vendría justificada por la normativa hipotecaria (interés legítimo y conocido). C. Cuando se trate de permitir al peticionario o su mandante el ejercicio de un derecho que tengan reconocido por una norma con rango de Ley, o el cumplimiento de un deber impuesto por una norma de igual rango, lo cual debe ser acreditado suficientemente al Registrador. D. En caso de que la petición del precio sea realizada por agencias que actúen por cuenta de entidades financieras podríamos aplicar el artículo 332.3 del Reglamento Hipotecario, esto es, deberían acreditar, a satisfacción del Registrador, el encargo recibido y la identificación de la persona o entidad en cuyo nombre actúan. El interés alegado en estos casos suele ser el cumplimiento de lo dispuesto en la Circular 3/2010, de 29 de junio, del Banco de España a entidades de crédito, que establece la obligación de cubrir los activos calificados como dudosos, previa estimación del deterioro de su valor, para lo cual es necesario conocer los datos cuya cesión se pretende.

3.4.5. CRAB y Registros de la Propiedad La Ley 10/2010, de 28 de abril, de Prevención del Blanqueo de Capitales y de la Financiación del Terrorismo, tiene por objeto la protección de la integridad del sistema financiero y de otros sectores de actividad económica mediante el establecimiento de obligaciones de prevención del blanqueo de capitales y de la financiación del terrorismo. Los Registradores de la Propiedad, Mercantiles y de Bienes Muebles facilitarán la documentación e información que la Comisión de Prevención del Blanqueo de Capitales e Infracciones Monetarias o sus órganos de apoyo les requiera para el ejercicio de sus competencias. Los requerimientos precisarán la documentación que haya de ser aportada o los extremos que hayan de ser informados e indicarán expresamente el plazo en que deban ser atendidos. Transcurrido el plazo para la remisión de la documentación o información requerida sin que ésta haya sido aportada o cuando se aporte de forma incompleta por omisión de datos que impidan examinar la situación en debida forma, se entenderá incumplida la obligación. Los datos que se manejan, por su sensibilidad, se consideran de nivel ALTO, tal y como establece la propia Ley 10/2010, por lo que tanto el Responsable del Fichero (Registrador) como el Encargado de Tratamiento (el CORPME, a través de su Centro Registral AntiBlanqueo de Capitales, el CRAB) deberán adoptar las medidas de seguridad de nivel alto previstas en la normativa de protección de datos de carácter personal. En cuanto a los derechos ARCO hay que tener en cuenta que, de conformidad con el artículo 32.3 de la Ley 10/2010, no son de aplicación a las cesiones de datos para el cumplimiento de las obligaciones de información establecidas (para los Registradores). Es decir, que sobre las comunicaciones al CRAB no debe informarse a los ejercitantes de esos derechos.

56

ASPECTOS LEGALES

3.4.6. Plazo legal de conservación de los documentos En primer lugar, es preciso considerar que la normativa de protección de datos no establece plazos de vigencia concretos para la información. Así, la vigencia de la misma deberá determinarse atendiendo a la finalidad para la cual fueron recabados los datos de carácter personal objeto de análisis, y siempre atendiendo a la normativa sectorial aplicable. No obstante lo anterior, es posible citar a modo orientativo los plazos de vigencia que la normativa interna del Colegio de Registradores consideró adecuados (Documento Colegial de Plazos de Conservación de Legajos en Registros, de 10 de junio de 2008) atendiendo a la principal tipología de documentos que manejan los Registros. Así, es posible recomendar al menos un plazo de conservación de los mismos: ● Documentos privados. Dado que no tienen matriz ni duplicado que se guarde en otra oficina pública, en principio deberían conservarse indefinidamente, pero en aplicación de la prescripción “secundum tabulas” del dominio y demás derechos reales sobre bienes inmuebles se recomienda que se conserven durante 20 AÑOS. ● Documentos judiciales y administrativos. Dado que normalmente tienen matriz en otras oficinas, se deben guardar durante el plazo de 20 AÑOS señalado expresamente por el artículo 414 del Reglamento Hipotecario. ● Documentos públicos generados por el propio Registro (edictos o expedientes de rectificación de errores en los asientos). Se entiende aplicable lo dicho respecto a los documentos privados. ● Cartas de pago de los impuestos. Dado que existen distintas normativas implicadas a la hora de interpretar los plazos de conservación aplicables a este supuesto (principalmente normativa hipotecaria, fiscal y autonómica en su caso), desde el departamento de protección de datos del CORPME se recomienda atender al criterio más restrictivo. Esto es, los legajos de cartas de pago y sus copias podrán inutilizarse una vez transcurridos 20 AÑOS desde que fueron formados. No obstante lo anterior, puede ser correcta la interpretación de criterios menos restrictivos de conservación de estos documentos. En todo caso, se deberá atender a la normativa específica. ● Planos. Su conservación debe ser INDEFINIDA, salvo que se sustituyan por otros, por la modificación planimétrica de la zona a que se refieren o se incorporen a bases gráficas digitalizadas. ● Notas de calificación. Dada su obligatoria constancia en el Libro Diario (artículo 323 de la Ley Hipotecaria y 429 del reglamento Hipotecario) y su inmediato conocimiento por los afectados (artículo 322 de la Ley Hipotecaria), sólo deberían conservarse durante el año de la acción civil contra el Registrador. Pero dado que las notas denegatorias actuales pueden ser de una extensión que impida su reflejo en el libro Diario, se recomienda que se forme con ellas anualmente un libro auxiliar -artículo 362 del Reglamento Hipotecario- de conservación INDEFINIDA. ● Expedientes formados como consecuencia de los recursos contra la calificación. El artículo 327 de la Ley Hipotecaria sólo obliga a remitirlo a la DGRN, no a guardar un duplicado. Sin embargo, dado su conexión con la nota de calificación, pues su resultado puede motivar una reclamación de responsabilidad civil, y a su generalmente escaso número, no se ve inconveniente en su archivo en el indicado libro auxiliar debidamente relacionado con la nota de la que derivan. Su conservación puede ser, por tanto, INDEFINIDA. ● Notificaciones que el Registrador debe de hacer como consecuencia de los procedimientos de ejecución (artículos 660 de la LEC y 135 de la LH). Podría considerarse que se deben archivar junto a los mandamientos que han dado lugar a los asientos registrales de los que derivan y, por tanto, se inutilizarían con aquellos. No obstante, dado que el plazo de responsabilidad del Registrador por su omisión (15 años desde su omisión del artículo 1964 del Código civil en relación con el 311 de la Ley Hipotecaria) puede ser superior al de conservación de los mandamientos en el caso de

57

ASPECTOS LEGALES

prórrogas sucesivas, se recomienda su archivo separado y su conservación durante los citados 15 AÑOS. ● Solicitudes de publicidad formal. Según dispone la norma sexta de la Instrucción de 17 de febrero de 1998 de la DGRN, sobre principios generales de publicidad formal “quedarán archivadas, de forma que siempre se pueda conocer la persona del solicitante, su domicilio y su documento nacional de identidad o número de identificación fiscal durante el periodo de 3 AÑOS”, para que si lo solicita el titular de las fincas afectadas, se le pueda informar de quién ha solicitado información respecto a su persona y bienes y pueda ejercitar, si lo estima oportuno, las acciones que le competan. ● Duplicados de las certificaciones y notas simples expedidas a particulares. No existe obligación de conservación, si bien a efectos de responsabilidad civil por posibles reclamaciones y para poder acreditar su verdadero contenido, se recomienda guardarlas durante 15 AÑOS, plazo máximo para el ejercicio de la misma (artículo 1964 del Código civil en relación con el artículo 311 de la Ley Hipotecaria). ● Comunicaciones de presentación de fax por notarios y autoridades judiciales y administrativas. No existe obligación legal de conservación, lo cual viene reforzado por su constancia en el Libro Diario, que está bajo la salvaguardia de los Tribunales y, en principio lo hace innecesario. Sin embargo, se estima prudente ante la posible alegación de errores (hora del fax, etc.) guardarlas durante 1 AÑO, tiempo que duraría la acción de responsabilidad civil debido a la inmediata notificación de la presentación con la hora y demás circunstancias obligatorias. ● Conservación de solicitudes de notas simples remitidas por notarias. No es obligatoria su conservación, pues al estar legitimados los notarios como funcionarios públicos para solicitarlas, no les es aplicable la norma indicada para los particulares. No obstante, se recomienda su conservación durante 1 AÑO por la misma razón del punto anterior, dado que, como regla general, la posible discordancia se averiguará casi simultáneamente, pues la presentación de la escritura otorgada en base a la nota por medio del fax es, en la mayoría de los casos, automática. ● Documentos en papel que sean simple reproducción de las escrituras presentadas telemáticamente. Una vez realizada la inscripción pueden y deben destruirse. Otra caso distinto es la conservación del documento electrónico en dicho formato. No existe regulación sobre este punto, por lo que de momento debe de conservarse de una manera INDEFINIDA, máxime si además se considera que forma parte del llamado “expediente electrónico” (artículo 32 de la Ley 11/2007, de 22 de Junio).

3.4.7. Notificación y envío de la facturación En principio, como regla general, no es recomendable la remisión de documentos con datos personales por correo ordinario, al no poder garantizarse la identidad de la persona que los recibe. Sin embargo, en cuanto al envío de las facturas a los clientes del Registro, si únicamente aparece el dato personal del interesado y el importe asociado, podrían remitirse por correo ordinario siempre y cuando se envíe a una dirección postal facilitada expresamente por el propio interesado. Dar información sobre la facturación por teléfono podría ser admitido siempre y cuando el Registro pueda asegurar la identidad de la persona con la que se está hablando.

3.4.8. Consideración del Registro como Administración Pública a efectos del establecimiento de sanciones por parte de la AEPD Se considera a los Registros de la Propiedad como Administración, con ficheros de titularidad pública dentro del ámbito de la actividad registral. Según la AEPD: “La delimitación del régimen aplicable a los ficheros de titularidad pública y privada debe fundarse en un doble criterio: por una parte el responsable del fichero deberá ser

58

ASPECTOS LEGALES

una Administración Publica y por otra, en los supuestos que pudieran plantear una mayor complejidad, sería necesario que el fichero sea creado como consecuencia del ejercicio de potestades públicas. La aplicación de dicho criterio a los ficheros de los que son responsables los Registradores de la Propiedad implica diferenciar las funciones de los mismos, en cuanto titulares de la fe pública registral, por una parte, y responsables de una oficina, por otra. En el primero de los supuestos, la función de los Registradores reviste una naturaleza jurídica pública, siendo sus actos de calificación susceptibles de recurso, en los términos previstos en la legislación hipotecaria. Son funciones vinculadas al ejercicio de potestades de Derecho Público susceptibles de impugnación en vía administrativa o contencioso-administrativa”.

3.4.9. Cláusulas de traslado físico de los Registros Se establece un plan genérico de traslado físico de los Registros basado en los siguientes aspectos: ● Planificación. ● Acciones previas. ● Control en origen. ● Control en destino. Asimismo, se resaltan situaciones especiales de riesgo, con acciones preventivas y correctivas en relación a: ● Medios informáticos. ● Documentación en papel. El Protocolo general diseñado para el traslado de los Registros está disponible para quien lo necesite, previa solicitud a la OSE del CORPME.

3.4.10.

Modelo de quejas y sugerencias

Existe un modelo oficial de quejas y sugerencias del Servicio Registral de protección a los Consumidores, Usuarios y Medio Ambiente. Se propone desde la OSE añadir a dicho modelo el siguiente clausulado: “Los datos de carácter personal que se faciliten por cualquier medio (correo electrónico, carta, formulario, etc.) por motivo de consultas, quejas o sugerencias quedarán registrados en los ficheros del Decanato Territorial o Autonómico competente y del Colegio de Registradores, con la finalidad de atender a los ciudadanos usuarios de los servicios registrales. Puede ejercitar los derechos de acceso, rectificación, cancelación y oposición ante el Servicio Registral de Protección a los Consumidores, Usuarios y Medio Ambiente, en la dirección del Decanato Territorial o Autonómico competente o ante el Colegio de Registradores, C/ Diego de León, 21, Madrid 28006”. Es responsabilidad de los Registros disponer de este modelo o conocer dónde localizarlo para el supuesto en el que un ciudadano lo solicite para cumplimentarlo.

3.4.11.

Número de finca como dato de carácter personal

El número de finca registral se considera, según la AEPD, dato de carácter personal (Informe 0034/2010 del Gabinete Jurídico de la AEPD). La consulta plantea si el número de una finca registral constituye un dato identificable conforme a la LOPD y su Reglamento de desarrollo. El concepto de dato personal comprende, según el artículo 3.a, “cualquier información concerniente a persona física identificada o identificable”. Se entiende que se requiere la concurrencia de un doble elemento: por una parte la existencia de una información o dato, y, de otra, que dicho dato pueda vincularse a una persona física, identificada o identificable.

59

ASPECTOS LEGALES

Este concepto se confirma y se concreta tras la entrada en vigor del RLOPD: ● Datos de carácter personal: Cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo concerniente a personas físicas identificadas o identificables. ● Persona identificable: toda persona cuya identidad pueda determinarse, directa o indirectamente, mediante cualquier información referida a su identidad física, fisiológica, psíquica, económica, cultural o social. El artículo 8 de la Ley Hipotecaría establece que “Cada finca tendrá desde que se inscriba por primera vez un número diferente y correlativo”. El artículo 9 señala que “Toda inscripción que se haga en el Registro expresará las circunstancias siguientes: (…) 4ª La persona natural o jurídica a cuyo favor se haga la inscripción (…)”. De todo lo expuesto es posible extraer la siguiente conclusión: a través del número de una finca registral (el que se otorga en el momento de su primera inscripción o inmatriculación) se puede conocer el contenido de la inscripción en el que aparecerá, entre otro tipo de información, la persona a cuyo favor se haga la inscripción y la persona de quien procedan inmediatamente los bienes o derechos que deban inscribirse. Por tanto, enlazando este concepto con las definiciones previstas en la LOPD y el RDLOPD, habrá de concluirse que el número de finca registral es un dato de carácter personal protegible.

3.4.12.

Movimientos internacionales de datos personales

Las transferencias internacionales de datos se regulan en los artículos 33 y 34 de la LOPD y en el Título VI del RDLOPD. Una transferencia internacional de datos es el tratamiento de datos que supone una transmisión de los mismos fuera del territorio del Espacio Económico Europeo (EEE), bien sea una cesión o comunicación de datos, bien tenga por objeto la realización de un tratamiento de datos por cuenta del responsable del fichero establecido en territorio español (art. 5.1.s. RDLOPD). El exportador de datos es la persona física o jurídica, pública o privada, u órgano administrativo situado en territorio español que realiza una transferencia de datos de carácter personal a un país tercero (art. 5.1.j. RDLOPD). El importador de datos es la persona física o jurídica, pública o privada, u órgano administrativo receptor de los datos, en caso de transferencia internacional de los mismos a un tercer país, ya sea responsable del tratamiento, Encargado de Tratamiento o tercero (art. 5.1.ñ. RLOPD). Las comunicaciones de datos en el EEE constituyen cesiones de datos a efectos de la aplicación de la LOPD. Una transferencia internacional de datos no excluye, en ningún caso, la aplicación de las disposiciones contenidas en la LOPD y en el RDLOPD. Para que la transferencia internacional de datos pueda considerarse conforme a lo dispuesto en las citadas normas, será necesaria la autorización del Director de la Agencia Española de Protección de Datos, salvo: ● Que los datos se transfieran a un país que ofrezca un nivel adecuado de protección. ● Que se trate de supuestos legalmente excepcionados de la autorización del Director. A. Países con un nivel adecuado de protección. La Comisión Europea ha declarado que se consideran países con nivel de protección adecuado al que presta al Ley Orgánica 15/1999: Suiza, Argentina, Guernsey, Isla de Man, Jersey, Canadá respecto de las entidades sujetas al ámbito de aplicación de la ley canadiense de protección de datos y las entidades estadounidenses adheridas a los principios de “Puerto Seguro” (safe harbor). B. Supuestos legalmente excepcionados de la autorización del Director de la AEPD.

60

ASPECTOS LEGALES

El artículo 34 de la LOPD y 66.2 del RDLOPD establecen los supuestos en los que no será necesaria la autorización previa del Director de la Agencia Española de Protección de Datos: ● Cuando la transferencia internacional de datos de carácter personal resulte de la aplicación de tratados o convenios en los que sea parte España. ● Cuando la transferencia se haga a efectos de prestar o solicitar auxilio judicial internacional. ● Cuando la transferencia sea necesaria para la prevención o para el diagnóstico médicos, la prestación de asistencia sanitaria o tratamiento médicos o la gestión de servicios sanitarios. ● Cuando se refiera a transferencias dinerarias conforme a su legislación específica. ● Cuando el afectado haya dado su consentimiento inequívoco a la transferencia prevista. ● Cuando la transferencia sea necesaria para la ejecución de un contrato entre el afectado y el responsable del fichero o para la adopción de medidas precontractuales adoptadas a petición del afectado. ● Cuando la transferencia sea necesaria para la celebración o ejecución de un contrato celebrado o por celebrar, en interés del afectado, por el responsable del fichero y un tercero. ● Cuando la transferencia sea necesaria o legalmente exigida para la salvaguarda de un interés público. Tendrá esta consideración la transferencia solicitada por una Administración fiscal o aduanera para el cumplimiento de sus competencias. ● Cuando la transferencia sea precisa para el reconocimiento, ejercicio o defensa de un derecho en un proceso judicial. ● Cuando la transferencia se efectúe, a petición de persona con interés legítimo, desde un Registro público y aquélla sea acorde con la finalidad del mismo. En consecuencia y a tenor de este último supuesto, las transferencias de datos que traigan causa de una solicitud de publicidad formal realizada desde un Registro público no necesitará la autorización del Director de la AEPD.

3.4.13.

Uso de bases gráficas en los Registros

Las aplicaciones de bases gráficas que pueden utilizar los Registros tratan, en principio, datos de carácter personal de nivel básico, como es el caso del número de finca, como ya se ha comentado en este Manual. La AEPD (Informe 0034/2010 de su Gabinete Jurídico) establece que a través del número de una finca registral (el que se otorga en el momento de su primera inscripción o inmatriculación) se puede conocer el contenido de la inscripción en el que aparecerá, entre otro tipo de información, la persona a cuyo favor se haga la inscripción y la persona de quien procedan inmediatamente los bienes o derechos que deban inscribirse, por lo que lo considera dato de carácter personal. En caso de existir otro contenido añadido en las aplicaciones de bases gráficas registrales, será el Registro quien debe analizar y valorar qué datos contiene y establecer el nivel de seguridad aplicable a los mismos. Por último, en relación con las aplicaciones de bases gráficas, podemos hacer las siguientes consideraciones generales en cuanto a la protección de datos: ● No es necesario declarar un nuevo fichero, pues el mantenimiento de la información contenida en dichas aplicaciones es parte de las competencias registrales existentes. Además, el derecho de información está cubierto con las actuales cláusulas de información en la recogida de datos personales del interesado. ● Es preciso registrar la aplicación de bases gráficas utilizada en el Registro en la herramienta SYGILO. ● Adicionalmente, tal y como se ha expuesto, se aplicarán las medidas de seguridad correspondientes al nivel de seguridad aplicable (en principio, como se ha comentado, nivel básico).

61

ASPECTOS LEGALES

3.5. Infracciones más comunes en materia de protección de datos Este epígrafe tiene como objetivo poner de manifiesto las infracciones más comunes en materia de protección de datos a la hora del ejercicio de la función pública registral. Se propondrán modos de actuación concretos a fin de evitar las infracciones anteriormente descritas. Además, es preciso resaltar que, en función del tipo de fichero (público o privado) del que la infracción traiga causa, la sanción que impondrá la AEPD variará: ● En el caso infracciones referidas a ficheros públicos del Registro (“Registro de la Propiedad” y “FLOTI”) la sanción sería administrativa y de conformidad a lo establecido en el artículo 46 de la LOPD sobre el régimen aplicable a infracciones de las Administraciones Públicas (artículo reformado por la Ley de Economía Sostenible, Ley 2/2011 de 4 de marzo). ● En el caso de infracciones referidas a ficheros privados del Registro (el resto de ficheros declarados) la sanción sería pecuniaria, atendiendo a la tipología de la infracción enumerada en el Titulo VII de la LOPD:  Infracciones leves, sancionadas con multa de 900 a 40.000 euros.  Infracciones graves, sancionadas con multa de 40.001 a 300.000 euros.  Infracciones muy graves, sancionadas con multa de 300.001 a 600.000 euros. Así pues, las infracciones más comunes que se pueden dar en el Registro son las referidas a los siguientes aspectos: a) Calidad de los datos Infracción: identificación errónea de un titular registral al confundir el DNI del dicho titular con el de otro con el mismo nombre y apellidos. Tal conducta supone una infracción tipificada en el Título VII de la LOPD. Medidas correctoras propuestas. Incidir en las medidas de concienciación del personal a la hora extremar la diligencia en cuanto a no cometer errores de identificación de los titulares mientras se procede a facilitar publicidad formal. La AEPD sanciona hechos; el error humano no exime si se debió actuar con la diligencia debida. b) Deber de secreto Infracción: no revisar el interés legítimo alegado a la hora de facilitar publicidad formal. Facilitar información registral sin calificar el interés alegado puede suponer una infracción del deber de secreto, en la medida en que se facilite información a un tercero no legitimado para obtenerla. Tal conducta supone una infracción tipificada en el Título VII de la LOPD. Medidas correctoras propuestas. Incidir en las medidas de concienciación del personal a la hora extremar la diligencia en cuanto a la revisión del interés alegado en publicidad, así como la correcta identificación del solicitante. Especial atención cuando el interés alegado es “otros”. Consultar al Registrador en caso de duda. Infracción: Depositar documentación en la calle sin adoptar las medidas necesarias para que la documentación quede destruida de forma que no se pueda acceder a su contenido, y por tanto, inaccesible para toda persona no autorizada a acceder a la información expurgada. Adicionalmente, puede suponer a su vez una infracción del principio de Seguridad de los datos. Ambas conductas suponen infracciones tipificadas en el Título VII de la LOPD. Medidas correctoras propuestas. Disponer de mecanismos seguros de destrucción de documentación en el Registro y hacer uso de los mismos. Incidir en la implementación por parte del Registro de una política de mesas limpias en los puestos de trabajo una vez finalice la jornada laboral. 62

ASPECTOS LEGALES

Concienciación del personal en la criticidad del manejo de documentación en soporte papel cuando ésta no se desecha adecuadamente. c) Cesiones de datos Infracción: proporcionar acceso libre a los tomos registrales a ciudadanos o a funcionarios. Tal acceso directo a los tomos, puede suponer facilitar datos excesivos y no pertinentes al objeto de la solicitud de tales personas. La vulneración de la normativa registral (normativa habilitante para la cesión sin el consentimiento del interesado), supone la necesidad de recabar tal consentimiento para realizar la comunicación. Dicha conducta, supondría una infracción tipificada en el Título VII de la LOPD. Medidas correctoras propuestas. La manifestación del contenido de los asientos registrales siempre debe realizarse mediante nota simple informativa, por certificación, o por exhibición de libros (y en este caso, previo control profesional de su contenido y por concurrir circunstancias excepcionales que así lo aconsejen, deberán hacerlo por medio de fotocopia de los asientos en la que se habrán sombreado los DCPs, la cual no podrá retirarse por el interesado, y siempre, según el artículo 334 del Reglamento Hipotecario, sin que le sea permitido al particular copiar dichos asientos). De manera, que quede constancia de la petición de información, pudiendo así el Registrador exigir y velar por el cumplimiento de la normativa vigente sobre protección de datos de carácter personal, recogido en el apartado 6 del artículo 332 del Reglamento Hipotecario. d) Derechos ARCO Infracción: No contestar al interesado en el plazo legalmente establecido, sobre la procedencia o no de su solicitud de acceso, rectificación, cancelación u oposición. Tal conducta supone una infracción tipificada en el Título VII de la LOPD. Medidas correctoras propuestas. Realizar un seguimiento escrupuloso del procedimiento descrito en este Manual ante cualquier eventual ejercicio de derechos ARCO por parte del interesado.

63

ASPECTOS ORGANIZATIVOS

4. ASPECTOS ORGANIZATIVOS El presente apartado trata los aspectos más relevantes que, desde un punto de vista organizativo en materia de protección de datos, se pueden producir en un Registro de la Propiedad. En este sentido, el tratamiento de la documentación en soporte papel se considera un aspecto clave a la hora de minimizar los posibles riesgos derivados de un tratamiento inadecuado del mismo. Con el mismo espíritu de atenuación del riesgo, se considerarán también los aspectos más relevantes a tener en cuenta en la gestión de soportes, de incidencias, gestión de equipos portátiles, gestión de servicios externos, normalización de la documentación así como, a la vez, se hará una referencia explícita a la plataforma de concienciación y formación del personal en materia de protección de datos de la que el CORPME dispone, y al proceso de auditoría que hay actualmente implantado en los Registros.

4.1. Ciclo de vida de la documentación El presente epígrafe tiene como objetivo describir las medidas de seguridad y procedimientos aplicables a la documentación en cada una de las fases por las que se encuentra en el Registro. Además, se describirá la tipología de documentos que maneja el Registro y las medidas a implementar a cada uno de ellos en función del nivel de los datos personales (básico, medio o alto) que les sean aplicables. Para ello, se analizarán cinco estados fundamentales de la documentación que se puede tratar en un Registro (ficheros públicos o ficheros privados), que se desarrollarán en los siguientes apartados.

64

ASPECTOS ORGANIZATIVOS

4.1.1. Identificación de la información La seguridad de la información del Registro es responsabilidad de todos y cada uno de sus empleados, así como de los colaboradores y personal externo que preste sus servicios al mismo. El origen de un documento en el Registro puede ser fundamentalmente de dos tipos: ● Documentos generados por el propio Registro (Registrador o trabajadores del Registro). En ese caso, por ejemplo, se podría citar la emisión de una nota simple o certificación, llevanza de las nóminas o la contabilidad del Registro, los legajos, etc. En definitiva, todo aquel documento con datos de carácter personal que se genere en el día a día del Registro. ● Documentos recibidos por el Registrador o el trabajador del Registro. En ese caso, por ejemplo, se podrían citar los documentos que se reciben para su despacho, partes de accidentes de trabajadores, currículum de candidatos que quieran optar a trabajar en el Registro, contratos con proveedores, etc. Los documentos se pueden generar también por reproducción de otro documento original propiedad del Registro, la cual deberá haber sido convenientemente autorizada. Puede dividirse en dos tipos: ● Copias de trabajo  Copias efectuadas por el personal cuya finalidad es la realización de alguna actividad relacionada con el trabajo del día a día del Registro (p.ej., fotocopiar un documento para su revisión). ● Copias de distribución  Copias específicas cuya finalidad es distribuir información a terceras personas (físicas o jurídicas) autorizadas.

4.1.1.1. Tipología e inventariado de la documentación Los principales tipos de documentación en soporte papel que se pueden encontrar en un Registro son los siguientes: ● Documentos relativos a la gestión de la función pública Registral:  Archivos Registrales.  Documentos notariales.  Documentos administrativos.  Documentos judiciales.  Documentos privados inscribibles.  Legajos de documentos Públicos y Privados.  Almacenamiento de documentación de las OOLL.  Documentos internos de facturación, contabilidad.  Etc. ● Documentos relativos a la gestión interna de los trabajadores de los Registros:  Documentos de expedientes de los trabajadores.  Documentos relativos a las nóminas de los empleados.  Currículos personales de los empleados del Registro.  Documentación relativa a la formación del personal.  Certificados de minusvalía u otra información relativa a bajas o enfermedades profesionales del personal o allegados de éstos.  Etc.

65

ASPECTOS ORGANIZATIVOS

Para los tipos de documentación identificados, el RDLOPD establece que los soportes y documentos que los contengan (por almacenar datos de carácter personal) deberán ser inventariados. El Registro debe garantizar que la documentación está localizada y disponible en el menor tiempo posible y con este objetivo se introduce el concepto de inventariado. Es conveniente llevar un libro o listado Inventario consistente en una relación de los documentos y legajos que se almacenen en el Registro. El inventario de los tomos del Registro será informatizado, y puede llevarse en la aplicación Registral (sea o no la Colegial), referenciándose cada inscripción a un libro y un folio concreto. Se pueden dar varias situaciones según dónde se encuentre almacenada la documentación previamente identificada, existiendo en cada caso responsabilidades diferentes sobre la medida de seguridad del inventario de documentación: ● Archivos personales. El mantenimiento de un inventario de ficheros no automatizados (es decir, soporte papel) corresponde al propio trabajador del Registro. No se incluyen dentro de esta categoría la realización de inventarios de documentación en tránsito que pueda ser tratada por los usuarios. ● Archivos departamentales. El mantenimiento de un inventario corresponderá al trabajador encargado de la llevanza de cuestiones concretas en el Registro. Por ejemplo, el encargado de las nóminas, el encargado de la contabilidad, etc. ● Archivos del Registro. El mantenimiento de un inventario corresponde al Responsable del Registro, esto es, a la persona designada por el Registrador. El inventario se hará constar en SYGILO, en el módulo destinado a registrar el inventario de soportes, esto es, en Procedimientos de Gestión  Inventario Soportes y cumplimentando los campos que procedan. Para aquellos que no apliquen, se completará el campo correspondiente con “N/A”. En este sentido, se considerará válido cualquier inventario ya sea de archivo, armario o cualquier otro tipo de contenedor de documentación, siempre y cuando se identifique de forma clara y precisa la documentación que contienen y la relación de personas/usuarios que acceden a cada uno de ellos (en el campo “Observaciones”).

4.1.1.2. Etiquetado de la documentación Ya sea durante la fase de tramitación o cuando ya se ha finalizado ésta, los documentos en papel deben permanecer en una ubicación física controlada. Estos documentos suelen guardarse de forma conjunta con otros documentos de la misma tipología o naturaleza. Lo habitual es guardarlos en carpetas de papel, cajas o similar. El RDLOPD determina que los soportes y documentos que contengan datos de carácter personal deberán permitir identificar el tipo de información que contienen. No existen etiquetados reglados, por tanto, la persona que los realiza deberá utilizar el criterio anteriormente descrito: poder identificar exactamente el contenido del soporte mediante su correspondiente etiqueta. En consecuencia, para dar cumplimiento a esta premisa es necesario identificar la documentación y etiquetarla (o sus contenedores) cuando ésta forme parte de los ficheros en soporte papel del Registro. Se propone un etiquetado de la documentación a nivel de contenedor (por ejemplo, cajoneras) basado en la naturaleza de los documentos con los que trabaja el Registro. Debe tenerse en cuenta, asimismo, que para documentos que contengan datos personales de nivel ALTO (en base a los ficheros que el Registro tiene declarados, los datos de nivel alto que tiene son los documentos que contengan datos de salud, afiliación sindical, posibles minusvalías, etc. de los trabajadores, documentos pertenecientes al propio archivo público del Registro y documentos judiciales) el etiquetado deberá únicamente ser comprensible por aquellos trabajadores que tengan permiso de acceso a ellos. Es decir, no sería válido un etiquetado de una carpeta contenedora de los partes de enfermedad de los trabajadores que indicara “partes de enfermedades”. 66

ASPECTOS ORGANIZATIVOS

El etiquetado que finalmente se establezca, se hará constar también en SYGILO, en el módulo destinado a registrar el inventario de soportes, esto es, en Procedimientos de Gestión  Inventario Soportes. En la casilla “Identificación/Etiqueta” se puede hacer constar la forma en la que se ha nombrado al soporte (caja, carpetas) y aquellas que no apliquen se indicarán como “N/A”.

4.1.2. Almacenamiento de la documentación El almacenamiento de documentación del Registro se produce cuando la documentación pasa a formar parte de los ficheros no automatizados, es decir, cuando se produce un almacenamiento permanente de la misma para posteriormente poder ser localizada en base a los criterios de archivo que se definan.

4.1.2.1. Criterios de archivo Los criterios de archivo son aquellas normas y directrices que, aplicadas sobre un documento, regulan su almacenamiento y conservación. En el caso del Registro, podemos indicar: ● En cuanto a los ficheros públicos del Registro y en base al artículo 106 del RDLOPD el archivo de documentos registrales debe hacerse atendiendo a la regulación de su normativa específica, esto es, la normativa registral (Ley Hipotecaria y Reglamento Hipotecario). Por ejemplo:  El Libro Diario tendrá una sola numeración por tomos y contiene los asientos numerados correlativamente.  Libros de Inscripciones (tomos, libros y folios). Existen dos formas de archivo, por tomo (ordenados por un número correlativo en relación al total del archivo) o por libro (ordenados correlativamente por orden de antigüedad en cada término o sección).  Etc. ● En cuanto a los ficheros privados responsabilidad del Registro, el archivo de documentos habrá de hacerse según la normativa específica aplicable a cada caso. Si no existe normativa específica que regule la materia, el Registrador o la persona en quien delegue establecerán los criterios de archivo. Se propone, a modo de ejemplo ilustrativo, la siguiente clasificación:  Para los expedientes de los trabajadores, se podrán clasificar por nombre y apellidos del empleado.  Para expedientes que el Registro pueda tener (por ejemplo, expedientes judiciales), se podrán clasificar por número.  Los documentos relativos a los proveedores que el Registro tenga, se clasificarán por nombre y denominación de dichos proveedores.  Etc. En cualquier caso, tanto si existe normativa específica como si no la hay, el Registro deberá garantizar la correcta conservación de los documentos, su localización y consulta de la información y posibilitar el ejercicio de los derechos ARCO. El siguiente apartado tratará de exponer el modo de salvaguardar lo anteriormente descrito.

4.1.2.2. Lugares de almacenamiento de documentación Son aquellas ubicaciones físicas donde la documentación se guarda en unas condiciones que garanticen su protección y localización. Los objetivos de establecer un sistema de archivo eficiente son: 67

ASPECTOS ORGANIZATIVOS

● Facilitar la inmediata localización de la documentación por parte de los trabajadores del Registro, y por tanto, abundar en la eficiencia en el trabajo. ● Tener un conocimiento exacto y preciso de la localización de un documento que haya sido generado en el desarrollo de su actividad. ● Garantizar su protección, minimizando el riesgo de pérdida o destrucción. Por tanto, para la documentación con datos de carácter personal que no sea considerada documentación en trámite y que forme parte del archivo permanente del Registro, el almacenamiento se puede realizar de forma jerárquica, atendiendo a tres posibles tipos de archivo: ● Archivo personal. Aquellos lugares de almacenamiento físicamente definidos cuyo acceso esté limitado a una sola persona. Dentro de la denominación de archivo personal se pueden contemplar despachos individuales, mesas con cajoneras asignadas a un solo usuario u otras ubicaciones que cumplan con la premisa de responsabilidad de la documentación asignada a una persona. ● Archivo departamental. Espacio físico destinado al almacenamiento de documentación relacionada con una actividad concreta y al cual pueda acceder más de una persona. Este archivo puede adoptar diversas formas físicas, como, por ejemplo armarios con cerradura o pequeñas salas. ● Archivo del Registro. Espacio físico destinado exclusivamente, si las características del local lo permiten, al archivo de los tomos Registrales. Puede ser propio (archivo privativo del Registro) o compartido con otros Registros (archivo común). La finalidad del Archivo del Registro es:  Proteger de forma centralizada el almacenamiento de la documentación de nivel alto que maneja el Registro.  Garantizar fácilmente la localización de la documentación. Al ser los tomos registrales de nivel ALTO, dicho espacio físico deberá ser un área en la que el acceso esté protegido con puertas de acceso dotadas de sistemas de apertura mediante llave (física o magnética). En caso de que los locales del Registro no permitan establecer tales mecanismos, el Registro podrá adoptar medidas alternativas, como ejemplo, asegurarse que siempre la zona pública del Registro está custodiada y que la zona privada esté debidamente señalizada como tal, a fin de evitar accesos indebidos, incidir en las medidas de concienciación del personal en cuanto a la custodia de los tomos, etc. Para el Archivo Común cada Registro deberá incidir en las medidas de concienciación del personal para garantizar que las puertas de acceso permanezcan cerradas mientras no se esté haciendo uso del mismo. Opcionalmente y en la medida que la carga de trabajo lo permita, cada Registro cuyos tomos se encuentren en el Archivo Común, podrá implementar un registro de accesos manual del personal que acceda al área compartida, como por ejemplo, la llevanza de una hoja de firmas del personal una vez se produzca la retirada y devolución del tomo correspondiente. Adicionalmente, el archivo común se hará constar en SYGILO, dando de alta de forma genérica en “personal asociado” del Documento de Seguridad al personal del Registro que acceda (por ejemplo: “Personal del Registro número XXX”), así como cumplimentando los diferentes Anexos del Documento de Seguridad. Por otra parte, es preciso que el Registro implemente una política de gestión de llaves de los dispositivos de almacenamiento de documentación o salas de Archivo del Registro (propio o común) que dispongan de tal mecanismo. Tal política deberá contemplar la designación de un responsable formal a tal efecto, cuyas competencias contemplarán: ● La custodia de las llaves. ● La retirada de las mismas una vez ha finalizado la jornada laboral.

68

ASPECTOS ORGANIZATIVOS

● El almacenamiento de aquellas en un lugar no visible con acceso exclusivo del personal del Registro que necesite su uso acorde a sus funciones.

4.1.2.3. Registro de accesos a la documentación En cuanto al acceso a la documentación para datos de nivel ALTO en el almacenamiento se deben contemplar las siguientes medidas: ● En caso de que solo parte del personal deba conocer información con datos personales especialmente protegidos, se deben habilitar mecanismos adicionales de control de acceso dentro de los archivos para tal documentación (armarios o cajones con llave o similar), de tal forma que esté diferenciada del resto de documentación de carácter personal. ● Es necesario llevar un registro de accesos a la documentación que contenga datos de nivel alto, por lo que se deberá contar con mecanismos que limiten la apertura y que permitan registrar una traza de los accesos que se realizan a la documentación (p.ej., mecanismos de lector de tarjetas). Como mínimo, se habilitará una sala cerrada con llave y que cuente con un registro de acceso manual a la misma, siendo obligatorio registrarse tanto a la entrada como a la salida. ● En el caso concreto de los tomos registrales, se considera válido a efectos de cumplir con esta medida de seguridad para soporte papel, el tener activado el registro de accesos en la aplicación registral correspondiente, de tal forma que en todo momento quede registrado:  La identificación del usuario.  La fecha y hora en que se realizó el acceso.  El fichero accedido.  El tipo de acceso y si ha sido autorizado o denegado. Para evitar establecer un sistema de registro de accesos para documentación privada de nivel ALTO puede recomendarse, entre otras medidas alternativas, que se guarde la misma en un armario con llave de acceso exclusivo por parte del Registrador, conforme al artículo 103.6 del RDLOPD: “No será necesario el registro de accesos definido en este artículo en caso de que concurran las siguientes circunstancias: ● Que el responsable del fichero o del tratamiento sea una persona física. ● Que el responsable del fichero o del tratamiento garantice que únicamente él tiene acceso y trata los datos personales. La concurrencia de las dos circunstancias a las que se refiere el apartado anterior deberá hacerse constar expresamente en el documento de seguridad”.

4.1.2.4. Almacenamiento de datos de nivel alto (Tomos Registrales) en la zona de trabajo del Registro En cuanto al almacenamiento de datos de nivel alto (Tomos Registrales) en la zona de trabajo del Registro, se considera oportuno incidir en la adopción de medidas alternativas que mitiguen el riesgo de almacenar este tipo de documentación en un área no restringida, como puedan ser por ejemplo riesgos de confidencialidad (accesos indebidos) o de integridad (manipulación indebida de los Tomos). En caso de que los locales del Registro no permitan establecer los mecanismos descritos en el artículo 111 del RDLOPD, se proponen la adopción de las siguientes medidas: ● Almacenamiento de los Tomos en armarios con llave en la zona de trabajo. Dichos armarios deberán estar permanentemente cerrados, y únicamente se abrirán cuando sea necesario hacer uso de los mismos, y se procederá de nuevo al cierre cuando haya cesado el motivo por el cual se abrieron tales armarios.

69

ASPECTOS ORGANIZATIVOS

● Es preciso que el Registro implemente una política de gestión de llaves de los dichos dispositivos de almacenamiento, en la forma descrita anteriormente. Para el cumplimiento de estas medidas en el Registro es imprescindible incidir en la concienciación del personal. En cuanto a la custodia de los Tomos, por ejemplo, con el fin de evitar accesos no autorizados especialmente por personal ajeno al Registro cuando se encuentren en el interior de las zonas públicas o privadas, conviene asegurarse que esta información no se encuentra en las zonas de trabajo sin custodiar (mesas de los trabajadores, zonas comunes, etc.).

4.1.3. Manejo de documentación Se considera manejo de documentación a aquellos procesos internos del Registro que impliquen un tratamiento de los ficheros no automatizados (públicos o privados), dentro de la operativa del día a día, fuera de los dispositivos de almacenamiento permanente del Registro. Así, el principio de seguridad a tener en cuenta en estos casos es el de la custodia de la documentación: ● Mesas de los trabajadores del Registro. ● Dispositivos de fotocopiado, escaneado, impresión y fax del Registro.

4.1.3.1. Custodia de documentación. Política de “mesas limpias” y uso de los dispositivos del Registro A la documentación en trámite que el Registro maneja se le deben aplicar una serie de medidas de seguridad generales: ● La documentación se debe mantener guardada en dispositivos de almacenamiento cerrados durante ausencias prolongadas del puesto de trabajo (reuniones, comidas, etc.) así como cuando el trabajador no pueda controlar visualmente la documentación. ● Con carácter general, y si fuera posible, las impresoras, escáneres, faxes y fotocopiadoras se ubicarán preferentemente en lugares de acceso controlado bajo la custodia del personal del Registro. ● Cada usuario que realice una copia o reproducción de documentación a través de los dispositivos de impresión o fotocopias existentes, o reciba documentación a través de los faxes habilitados a tal efecto, es responsable de su retirada y custodia de forma inmediata, y como recomendación, sería oportuna la centralización de las impresoras, fotocopiadores y faxes en salas de acceso restringido. Como medida compensatoria, el trabajador responsable de la custodia de estos dispositivos retirará al final de la jornada laboral las copias que puedan permanecer en las bandejas de estos equipos, y los custodiarán para su posterior distribución. ● Una vez finalice la jornada laboral, el trabajador guardará la documentación que se encuentre encima de las mesas en los correspondientes dispositivos de almacenamiento, o los recogerá en carritos u otros dispositivos y los almacenará, bajo llave, en la zona habilitada en el Registro para el Archivo Registral. La seguridad de esta documentación estará permanentemente supervisada por los trabajadores, que velarán porque no haya fugas de información derivadas de una mala custodia de la documentación. Por todo lo anterior y en la medida de lo posible se deberán evitar situaciones como: ● Atender a un cliente directamente en la mesa de trabajo teniendo documentación acumulada con datos de carácter personal sobre la misma. ● Dejar los folios registrales amontonados a la espera de ser escaneados.

70

ASPECTOS ORGANIZATIVOS

● Reutilización del papel generado en el Registro que contenga datos de carácter personal (notas simples, por ejemplo) debiendo proceder a la destrucción del mismo acorde a los mecanismos definidos en el apartado 4.1.5. - “Destrucción de Documentación”.

4.1.3.2. Copia o reproducción El RDLOPD establece, en su Artículo 112, las medidas de seguridad aplicable a la hora de realizar copias o fotocopias de documentos que contengan datos de nivel ALTO. La aplicación de esta medida en el Registro afecta a las copias de los documentos registrales, de cuestiones relacionadas con la gestión de asuntos judiciales, reclamaciones, quejas, documentos privados o cuestiones referidas a datos especialmente protegidos de los trabajadores, como partes de accidentes o enfermedades profesionales. Se establecen las siguientes medidas para garantizar la protección de los documentos con datos especialmente protegidos: ● Únicamente estarán autorizadas para la reproducción de esos documentos las personas que, por el desempeño de sus funciones, necesiten acceder a dicha información y hacer copia de la misma. Dichas fotocopias deberán hacerse guardando las lógicas medidas para evitar que puedan tener acceso a su contenido las personas no autorizadas. No obstante, se deberá evitar, en la medida de lo posible, la realización de fotocopias e impresiones de este tipo de documentos. ● Dado que el acceso a los datos especialmente protegidos para ficheros automatizados se restringe a través de las aplicaciones informáticas en las que residen estos datos, se entiende que toda aquella persona que tiene privilegios informáticos para tratar esos datos a través de la aplicación también tiene la posibilidad de realizar impresiones de esos documentos. ● Las personas del Registro habilitadas para realizar copias o reproducciones de documentación procederán a destruirla en el momento en que ésta deje de tener valor para la finalidad para la que ha sido realizada tal copia. ● En este mismo sentido, debido a la sensibilidad de la información destruida se debe extremar la efectividad de las medidas de seguridad implantadas en este proceso y las precauciones por parte del personal que realiza la destrucción de documentación (con los mecanismos descritos en el apartado 4.1.5. - “Destrucción de Documentación”).

4.1.4. Traslado de documentación Con independencia del nivel de los datos personales que contengan, las salidas periódicas de documentos de los Registros se debe identificar y autorizar formalmente y de forma expresa (tanto salidas a otros Registros como a entidades o colaboradores externos). Por ello, cualquier salida de documentación que contenga datos de carácter personal, excepto los casos autorizados por la normativa vigente, deberá de estar debidamente autorizada en SYGILO, en el apartado “Procedimientos de Gestión” y “Autorizaciones de Soportes”, cumplimentando los campos destinados al efecto. Las gestorías suponen un caso especial para estas salidas de documentación. Es posible efectuar una autorización permanente de salida de documentación para los casos en los que el flujo de salida de la misma pueda ser constante. Por ello, sería posible efectuar una autorización permanente para gestorías, recogiendo en los correspondientes apartados de SYGILO (dentro del apartado “Autorizaciones soportes” en el campo “Responsable en destino” o en “Observaciones”) las personas autorizadas por ellas para recoger la documentación del Registro. Dicha relación de personal habilitado por las gestorías para recoger los envíos debe ser validada previamente por el propio Registro. Se van a diferenciar las medidas de seguridad a exigir en el traslado de documentación dependiendo que se pueda tratar de:

71

ASPECTOS ORGANIZATIVOS

● Traslado unitario. Aquellos casos en los que es necesario enviar documentación bajo demanda al exterior del Registro, atendiendo a necesidades del día a día de la operativa de trabajo. ● Traslado masivo. Son aquellos traslados de documentación que atienden a situaciones excepcionales, como pueden ser mudanzas, cambios de edificio o externalización completa de alguno de los archivos del Registro. En cualquiera de las casuísticas descritas anteriormente, el receptor de la documentación aplicará de forma inmediata las medidas de seguridad que garanticen la protección de la documentación recogidas en esta norma en cuanto a su tratamiento.

4.1.4.1. Seguridad en el traslado unitario de documentación A continuación se enumerarán una serie de requisitos y recomendaciones para un transporte unitario de documentación con datos de carácter personal de forma segura: ● Servicios de mensajería. Para el caso de envío de publicidad registral por medio de servicios de mensajería debemos tener en cuenta lo dicho en el apartado 3.1.1.2 Modos y medios de solicitud y remisión de publicidad formal del Manual. Se recomiendan los siguientes requisitos para el transporte de documentación mediante servicios de mensajería:  La prestación del servicio estará sujeta a contrato y éste debe estar redactado en los términos que exige el RDLOPD para prestadores de servicios sin acceso a datos, expuesto en el apartado 4.5. - “Gestión de servicios externos”.  Los sobres o contenedores utilizados para el envío de documentación serán opacos, de forma que no pueda verse la documentación que contienen. Permanecerán cerrados hasta su recepción por parte del destinatario.  Las bandejas de entrada y salida de documentación, que son los lugares donde se deposita físicamente la documentación para su recogida o entrega, deberían cumplir con los siguientes requisitos:  En caso de que no se encuentren permanentemente vigiladas, y siempre que sea posible, la valija se almacenará en una zona de acceso restringido (armario, cajones,…), de tal forma que no sea accesible visualmente.  Se evitará su ubicación en las zonas de paso del Registro.  Independientemente de la vigilancia, se retirará toda la documentación de las bandejas de entrada y salida al término de la jornada laboral y se almacenará la misma en armarios o cajones con llave u otro método de control de acceso equivalente. Para ello, se designara una o varias personas en el Registro responsables de esta actividad, que realizarán, asimismo, una custodia efectiva de las llaves de los dispositivos de almacenamiento.  En la recogida de la documentación por el transportista se solicitará un documento identificativo del mismo (para acreditar la pertenencia a la empresa) y se generará un albarán de entrega (electrónico o no) validado con el personal del Registro, que se facilitará junto con la documentación al receptor de la documentación, para que se pueda asegurar que se recibe la documentación enviada. Se almacenarán en el Registro los albaranes de recogida y entrega de documentación durante de al menos DOS años, bajo la custodia de la persona que se defina para esta función.  Se permite también el envío de documentación de carácter personal mediante el sistema de correo certificado con acuse de recibo de la documentación (el acuse de recibo se valorará para cada caso, en base a la frecuencia de envío y a la posible existencia de otros controles compensatorios).

72

ASPECTOS ORGANIZATIVOS

 En el caso de utilizar este servicio con documentación con datos personales especialmente protegidos (nivel ALTO):  Se recomienda no utilizar bandejas abiertas colocadas en mesas, casilleros, etc.  Se puede introducir la documentación en un sobre de un solo uso que se cerrará de forma que no se permita su apertura sin romper el envoltorio. ● Entrega en mano. Se podrá entregar documentación en mano a los receptores de la misma que acudan al Registro siempre que se pueda identificar a los receptores (bien sea de forma visual si se conoce personalmente o mediante la petición de un documento identificativo). Como norma general, por los riesgos que implican, no deberían permitirse las siguientes situaciones: ● Extracción de documentos públicos registrales de las instalaciones del Registro por parte del personal o colaboradores. ● Extracción de documentación de los ficheros privados del Registro por parte del personal sin asegurar unas mínimas medidas de seguridad en el traslado (por ejemplo, uso de maletines cerrados).

4.1.4.2. Seguridad en el traslado masivo de documentación El traslado masivo de documentación debería ser realizado siempre por empresas externas, evitando ser hecho por el propio personal del Registro. De forma adicional a las medidas contempladas para el trasporte unitario de documentación, se garantizarán las siguientes medidas de seguridad: ● En el contrato de prestación de servicios, se solicitará a la empresa del transporte que se comprometa explícitamente, mediante la firma del contrato, a mantener las siguientes medidas de seguridad en la operativa de traslado masivo:  Garantizará que el vehículo permanecerá cerrado permanentemente durante el proceso de transporte.  Durante las operaciones de carga y descarga el vehículo deberá permanecer controlado en todo momento.  En ningún caso la documentación transportada se dejará sin vigilancia en espacios públicos (garajes, recepciones de edificios,…).  En la medida de lo posible se exigirán responsabilidades a la empresa transportista por posibles pérdidas, robos, o daños que afecten al contenido de la información, producidos durante la prestación del servicio. ● La empresa de transporte proporcionará al Registro los datos identificativos de las personas que realizarán el transporte antes de que se realice el mismo y se requerirá que el personal que realice el transporte de documentos pueda identificarse de forma positiva como empleado de la empresa de transportes mediante la solicitud al transportista de:  Nombre del mensajero.  Número de DNI. ● Se comprobará la identidad del transportista tanto en el envío de la documentación como en la recepción. ● En la medida de lo posible, las operaciones de carga y descarga se realizará bajo la supervisión de personal del Registro, no dejando la documentación sin vigilancia en ningún momento. Por último, reseñar que se ha definido por parte de la Oficina de Seguridad del CORPME (OSE), un “Protocolo de traslado de Registro”, que recoge, entre otros, los requisitos a considerar en este tipo de traslados. Este protocolo podrá ser solicitado por parte del Responsable de Seguridad del Registro.

73

ASPECTOS ORGANIZATIVOS

4.1.5. Destrucción de documentación La destrucción se define como el proceso mediante el cual se garantiza que la información contenida en el documento no puede ser recuperada por ningún medio. Una vez que la documentación ha dejado de ser de utilidad para el Registro o su archivo o almacenamiento ha dejado de ser necesario, debe ser destruida con el objetivo de evitar: ● Posibles daños motivados por incumplimientos legales, sustracción, etc. ● La acumulación innecesaria de documentación, con el consiguiente aumento de necesidades de almacenamiento físico y, por tanto, un aumento de costes. El principal requisito para la destrucción de documentación es evitar que esta pueda ser reconstruida. Se permitirán los procesos de destrucción en origen (con los medios propios del Registro) o mediante la contratación de servicios externos especializados. Para ello, se evitará el uso de las papeleras o cubos de basura del Registro para depositar la documentación a destruir o destruida por el personal interno o externo del Registro. Atendiendo a este fin, es muy recomendable que el Registro disponga de destructoras de papel o de contenedores con dispositivo de cierre donde depositar la documentación para su posterior destrucción. Al respecto, es muy importante considerar: ● En caso de disponer de destructora de papel para la destrucción de documentación en origen, que este dispositivo destruya los documentos de forma que sean totalmente irrecuperables (no es suficiente que la destructora rompa el papel en cuatro trozos). ● La normativa de referencia para las máquinas destructoras de documentación en cuanto al grado o tamaño de destrucción es el estándar DIN-32757-1. Como norma general, se considerará aceptable un nivel 3 de este estándar para que la información no pueda ser recuperada con posterioridad, aunque la selección de las mismas la realizará el Responsable de Seguridad del Registro. ● En caso de disponer de un cubo de destrucción segura donde depositar la documentación que posteriormente sea destruida, es preciso asegurarse que dicho contenedor dispone de la capacidad necesaria en función del volumen generado en el Registro. ● Es importante, a efectos evitar los riesgos derivados de la acumulación de documentación de forma innecesaria, considerar los siguientes aspectos: ● No se colocará la documentación encima o al lado del contenedor aunque se haya marcado para destruir, ya que seguiría siendo accesible por cualquier persona. ● En caso de que el contenedor se encuentre lleno, el personal almacenará la información en lugar seguro y señalado por el Responsable de Seguridad, quien deberá adoptar de forma inmediata las medidas necesarias para que el contenedor pueda utilizarse de nuevo. ● En caso de disponer de servicio externo contratado a tal efecto, dicha relación debe estar regulada mediante contrato formal escrito (acorde a lo establecido en el artículo 12 de la LOPD). Además, en estos casos:  El proveedor deberá avisar a la persona designada por el Registro con antelación de la recogida de documentación y proporcionar los datos identificativos del personal que realizará la retirada (al menos el nombre y el DNI).  Se podrá exigir que una persona del Registro designada por el Registrador tenga la posibilidad de presenciar la destrucción y compruebe las condiciones en que ésta se realiza.  Se debe exigir puntualmente al proveedor un certificado de destrucción que deje constancia del método utilizado y del resultado de la destrucción. En caso de ser posible, se incluirá este apartado en el contrato de prestación de servicios.

74

ASPECTOS ORGANIZATIVOS

Es muy recomendable la utilización de estos servicios de destrucción especializados para los casos en los que sea necesaria la destrucción masiva de documentación, por mudanzas de local o al aplicar procedimientos de expurgo de archivos.

4.1.6. Reutilización de documentación La reutilización de documentos que contienen datos personales puede suponer el acceso indebido por parte de terceros a los datos personales que contienen si la misma no se realiza de forma adecuada. En caso de documentos en papel que contienen datos de carácter personal, queda rigurosamente prohibida su reutilización como papel reciclado. En todo caso se procederá a su destrucción mediante los mecanismos descritos en el apartado 4.1.5. - “Destrucción de Documentación” de este Manual.

75

ASPECTOS ORGANIZATIVOS

4.1.7. Cuadro resumen con las medidas de seguridad en el tratamiento de ficheros no automatizados Las medidas de seguridad recogidas para documentación de nivel alto son de carácter acumulativo a las definidas en la columna de “Documentación clasificada por el RDLOPD como nivel básico y medio”.

Documentación clasificada por el RDLOPD como nivel básico y medio

Tipología inventariado

e



Identificación de los tipos de documentos que se tratan en el Registro.



Existencia de un inventario de documentación en SYGILO (a nivel de repositorios de documentación o archivos existentes identificando el tipo de documentación almacenada).



El etiquetado de contenedores de documentación (carpetas, archivadores,…) deberá permitir identificar el tipo de información que contienen.



Establecimiento de criterios de archivo para ficheros no automatizados de naturaleza pública (legislación Registral) o privada (establecer por el propio Registro).

IDENTIFICACIÓN

Etiquetado

Criterios ALMACENAMIENTO archivo

de

Documentación clasificada en el RDLOPD como nivel Alto



El etiquetado deberá ser únicamente comprensible por aquellos trabajadores que tengan permiso de acceso a ellos.

76

ASPECTOS ORGANIZATIVOS

Documentación clasificada por el RDLOPD como nivel básico y medio 

Lugares de almacenamiento

Registro accesos



Archivos personales.



Archivos departamentales.



Archivo del Registro (Propio o Común).

Implantar dispositivos de almacenamiento con mecanismos de apertura.



Gestión de las llaves de los dispositivos o lugares de almacenamiento.

de

MANEJO

Copia reproducción

Definir e identificar los lugares de almacenamiento de documentación del Registro:





Implantar una “Política de Mesas Limpias” en el Registro. Guardar la documentación en ausencias prolongadas del puesto de trabajo.



Retirada y custodia de la documentación en dispositivos de impresión, fotocopiado, escáner y fax.

Custodia

Documentación clasificada en el RDLOPD como nivel Alto



Disponer de salas dedicadas de almacenamiento de documentación (Zonas restringidas).



Existencia de un registro de accesos, automatizado o en papel, a la documentación de nivel alto del Registro.



Las personas con capacidad de realizar fotocopias e impresiones deben estar autorizadas, estando restringidas a aquel que lo necesite para el desempeño de sus funciones.



Se deberá evitar, en la medida de lo posible, la realización de fotocopias e impresiones de este tipo de documentos y se destruirán una vez haya concluido el fin para el que fueron creadas.

o

77

ASPECTOS ORGANIZATIVOS

Documentación clasificada por el RDLOPD como nivel básico y medio 

Autorizar las salidas de documentación en SYGILO.



Servicios de mensajería: 

Sujeto a contrato.



Utilización de sobres opacos y cerrados.



Identificación del personal del proveedor y entrega de un albarán de E/S de documentos que se almacenará durante dos años.



Ubicación y gestión de los lugares de recogida de documentación.

Traslado unitario

TRASLADO

Documentación clasificada en el RDLOPD como nivel Alto



Entrega en mano. Se identificará al receptor de la documentación.



Se evitarán los traslados de documentación fuera de las instalaciones por parte del personal sin tomar las precauciones adecuadas.



Autorizar las salidas de documentación en SYGILO.



Servicios de transporte especializado:

Traslado masivo





Sujeto a contrato



Identificación del personal del proveedor en el traslado masivo.



En la medida de lo posible, supervisar la operativa.

Existencia de un “Protocolo de traslado Registro” en el CORPME.



Usar lugares de recogida de información cerrados permanentemente.



Utilizar, en la medida de lo posible sobres de un solo uso.

de

78

ASPECTOS ORGANIZATIVOS

Documentación clasificada por el RDLOPD como nivel básico y medio 

DESTRUCCIÓN

Documentación clasificada en el RDLOPD como nivel Alto

Implantación de mecanismos de destrucción segura de documentos: 

Destructoras de papel.



Cubos de destrucción adecuadamente el tamaño).



Servicios de destrucción especializados (recomendable en destrucciones masivas).

Destrucción



Sujeto a contrato.



Certificado de destrucción.

(dimensionar

79

ASPECTOS ORGANIZATIVOS

4.2. Gestión de soportes En los Registros se pueden estar utilizando diferentes tipos de soportes para el tratamiento de datos de carácter personal. No se recomienda el uso de soportes ni dispositivos particulares o no corporativos para el tratamiento de los datos de carácter personal del Registro. Entre estos soportes principalmente se identifican los siguientes: ● Discos duros de los servidores de las distintas aplicaciones. ● Discos duros de los terminales de trabajo (PCs). ● Discos duros externos o cintas de backup de almacenamiento de datos. ● Dispositivos USBs. ● CDs y DVDs. ● Diskettes. ● Etc. Así, atendiendo a los requisitos de seguridad del RDLOPD, se deben considerar una serie de aspectos que se expondrán en los siguientes apartados.

4.2.1. Inventario, etiquetado y almacenamiento de soportes En el Registro debe existir un inventario actualizado de los soportes físicos que se manejen. Para ello, es necesario que el Responsable de Seguridad del Registro identifique y complete el apartado de “Inventario de soportes” de SYGILO con la información de los soportes físicos del Registro. Asimismo, es necesario que los soportes físicos que contengan datos de carácter personal, sean etiquetados para permitir su identificación, inventariado y almacenamiento en un lugar destinado a ello. Este etiquetado puede consistir en un código interno del Registro que se recoja de forma clara sobre la superficie del soporte (por ejemplo, etiquetas escritas, pegatinas o anotaciones sobre el soporte). Cuando las características físicas del soporte imposibiliten el cumplimiento de las obligaciones de etiquetado se reflejará motivadamente en el apartado de “Registro incidencias” de SYGILO. Por último, los soportes físicos se deben almacenar en lugares que impidan el acceso a personal no autorizado. El personal autorizado a su acceso pueden ser el usuario responsable, los operadores, técnicos o aquellos que considere el Responsable de Seguridad del Registro. Como lugares de almacenamiento de soportes físicos y para garantizar la seguridad en su almacenamiento, ya sean magnéticos, ópticos, o en formato tradicional (papel, fotografías, etc.), pueden utilizarse los siguientes: ● Zonas restringidas con control de acceso, al que únicamente tenga acceso el personal autorizado (despachos cerrados con llave, salas de acceso restringido, etc.). ● Cajoneras personales con cerradura, armarios cerrados con llave o cualquiera otro dispositivo que impida el acceso del personal no autorizado. ● Armarios ignífugos con acceso restringido al personal autorizado.

4.2.2. Autorización de salida. Registro de entrada y salida de soportes El RDLOPD establece que toda salida de soportes y documentos, incluidos los comprendidos y/o anejos a un correo electrónico, ya sean magnéticos, ópticos, en formato tradicional (papel, fotografías, etc.), que contengan datos de carácter personal, fuera de los locales bajo el control

80

ASPECTOS ORGANIZATIVOS

del Responsable del Fichero deberá ser debidamente autorizada por el personal competente del Registro. Para ello, es necesario que el Responsable de Seguridad del Registro registre la autorización de salida en el apartado “Autorizaciones soportes” de SYGILO, completando la información incluida en el formulario a tal efecto. Si los soportes y documentos van a ser objeto de traslado fuera de los locales en que se encuentren ubicados, se deben adoptar las medidas necesarias para evitar la sustracción, pérdida o acceso indebido a la información durante su transporte. Así, se recomienda que el personal que realice el trasporte sea diligente en su custodia, y que lo transporte en contenedores que eviten que el soporte sea identificado visualmente. Dependiendo del nivel de protección que exija el tipo de información contenida en los soportes transportados, se puede valorar la contratación de servicios externos de transporte, de forma análoga a lo establecido en el apartado “Traslado unitario de la documentación” del presente Manual. En este sentido, en la recogida del soporte por el transportista, se podrá solicitar un documento identificativo del mismo (para acreditar la pertenencia a la empresa) y se generará un albarán de entrega (electrónico o no) validado con el personal del Registro. Las entradas y salidas de soportes con datos personales de nivel MEDIO, se registrarán de la siguiente forma: ● Para documentos registrales que entren y salgan del Registro, el registro de entrada y salida será el Libro de Entrada del Registro. ● Para los soportes de copias de respaldo que se externalicen (si los hubiere), se recogerá el albarán de entrega del proveedor de servicios y el Responsable de Seguridad custodiará los mismos durante dos años. ● El resto de entradas y salidas de soportes físicos, el Responsable de Seguridad del Registro lo registrará en la sección de “Autorización soportes” de SYGILO. Cuando los soportes que vayan a salir fuera de las instalaciones del Registro almacenen datos personales de nivel ALTO, se deben aplicar las siguientes medidas de seguridad adicionales: ● Se realizará el cifrado de los datos que almacene el soporte. ● En caso de no poder cifrarse el contenido, se utilizarán sistemas que garanticen que dicha información no sea accesible, inteligible, ni manipulada durante su transporte, como puede ser, por ejemplo, transportarlo en maletines cerrados con llave o cualquier otro mecanismo análogo.

4.2.3. Destrucción y reutilización de soportes automatizados 4.2.3.1. Destrucción de soportes automatizados Todos los soportes informáticos de cualquier tipo que puedan contener datos de carácter personal (CDs, cintas, discos removibles, listados, memorias removibles de cualquier tipo, o los ordenadores obsoletos o defectuosos) deberán ser adecuadamente eliminados o destruidos, mediante la adopción de medidas dirigidas a evitar el acceso a la información contenida en el mismo o su recuperación posterior. Ningún soporte físico para destruir puede ser dejado desatendido sin aplicarle las adecuadas medidas de almacenamiento y custodia hasta el momento de su destrucción. Se pueden considerar en los Registros como mecanismos efectivos de destrucción de soportes los siguientes: ● Cubos de destrucción confidencial de soportes  De forma análoga a la destrucción de documentación, se puede implantar en los Registros cubos de destrucción confidencial de soportes. Estos cubos deben ser rígidos y asegurar que los soportes en su interior se encuentran correctamente custodiados hasta su destrucción. Habitualmente estos cubos son recogidos por empresas especializadas de forma periódica. En estos casos, se

81

ASPECTOS ORGANIZATIVOS

atenderá a las medidas descritas en el apartado 4.5. - “Gestión de servicios externos” del presente Manual. Es conveniente, que el Responsable Seguridad del Registro exija a la empresa de destrucción certificado de destrucción de los soportes o equipos que será almacenado por éste durante dos años. ● Destructoras de soportes  Se podrá valorar la adquisición de destructoras portátiles de soportes para proceder a su desechado. En estos casos esta destrucción se realizará en origen en el propio Registro por parte de su personal interno o externo. En estos casos, es conveniente asegurarse que la destructora de soportes cumplirá la función establecida para todos los tipos de soportes para los que se pretenda implantar. ● Contratar bajo demanda el servicio en empresas especializadas  En el caso de contratar servicios especializados para la destrucción de soportes (por ejemplo, en mudanzas), se atenderá a las medidas descritas en el apartado 4.5. - “Gestión de servicios externos” del presente Manual. Es conveniente, que el Responsable Seguridad del Registro exija a la empresa de destrucción certificado de destrucción de los soportes o equipos que será almacenado por éste durante dos años. No es recomendable que se utilicen otros mecanismos de destrucción de soportes, a no ser que el Responsable de Seguridad del Registro pueda asegurar que la información no será posteriormente recuperable. En el caso de ordenadores obsoletos o defectuosos es necesario que, previo a su retirada para su reciclaje, sus discos duros se desmonten y sean destruidos con los procedimientos de destrucción seguros seleccionados en el Registro. Hay que tener en cuenta que el reformateo de discos duros no siempre consigue, de manera absoluta, que no puedan recuperarse datos. Por último, el Responsable de Seguridad del Registro deberá hacer constar en el inventario de soportes la fecha de destrucción de los mismos, completando el apartado de “Inventario de soportes” de SYGILO.

4.2.3.2. Reutilización de soportes automatizados La reutilización de soportes que contienen datos personales puede suponer el acceso indebido por parte de terceros a los datos personales que contienen si la misma no se realiza de forma adecuada. Los Registros deben disponer de un proceso interno de actuación para estos casos que todo el personal debe conocer y cumplir, acorde a los siguientes requisitos: ● Cualquier reutilización de soportes que contengan datos de carácter personal deberá estar debidamente autorizada en SYGILO, en el apartado “Procedimientos de Gestión” y “Autorizaciones de Soportes”, cumplimentando los campos destinados al efecto. ● En caso de que los Registros vayan a reutilizar soportes automatizados que contengan datos de carácter personal (cualquiera que sea su nivel), deberá procederse al borrado previo de su información contenida mediante el formateado del dispositivo para evitar el acceso indebido o su recuperación posterior.

4.3. Gestión de Incidencias Según establece el RDLOPD, una incidencia supone cualquier anomalía que afecte o pudiera afectar a la seguridad de los datos. El Registro dispone de un procedimiento definido de notificación, gestión y respuesta ante incidencias de seguridad, incluido en el Documento de Seguridad. El Registro y sus colaboradores registrarán todas las incidencias, indicando: ● El tipo de incidencia. ● Momento en que se ha producido o detectado.

82

ASPECTOS ORGANIZATIVOS

● Persona que la notifica. ● Persona a la que se comunica. ● Efectos derivados de la misma. ● Medidas correctoras aplicadas. La obligación principal del personal de los Registros en el proceso de gestión de incidencias radica en la notificación de las mismas tan pronto las detecte o conozca.

4.3.1. Tipología de incidencias en Registros Las principales tipologías de incidencias de los Registros se pueden consultar en el Documento de Seguridad a través de SYGILO. No obstante, para delimitar la responsabilidad sobre la notificación, registro y resolución de las mismas, se expone una clasificación atendiendo a los actores implicados en el proceso: ● Incidencias gestionadas internamente por el Registro  Son aquellas incidencias detectadas internamente en el Registro y cuya resolución realiza el personal interno o externo con los medios de que dispone el Registro en sus instalaciones. ● Incidencias gestionados por el Registro cuando actúa como encargado del tratamiento  Son aquellas incidencias relacionadas con la actuación del Registro como encargado del tratamiento. Es el supuesto del Encargo del Tratamiento que los Registros desarrollan en las Oficinas Liquidadoras dependientes de las Comunidades Autónomas. En estos casos se atenderá a lo establecido en el convenio firmado con la CCAA; de no existir, se propone un modo de actuación genérico más adelante. ● Incidencias gestionadas por el CORPME  Son aquellas incidencias, que independientemente de quien las identifique y notifique, son gestionadas y resueltas por los servicios de soporte del CORPME, con sus propios protocolos de actuación. ● Incidencias gestionadas por otros proveedores externos del Registro  Son aquellas incidencias, que independientemente de quien las identifique y notifique, son gestionadas y resueltas por los proveedores externos del Registro con sus protocolos de actuación. Para cada uno de estos tipos de incidencias se expondrán una serie de ejemplos que servirán como guía al Responsable de Seguridad del Registro para conocer el flujo o canal que deben seguir las mismas. No obstante, la casuística de incidencias puede ser muy elevada, y el criterio de decisión de cómo proceder, en caso de dudas, frente a un problema es responsabilidad final del Responsable de Seguridad del Registro o suplente, en base a su experiencia previa o la evaluación de la situación concreta.

4.3.2. Notificación, gestión, registro y resolución de incidencias en Registros El tratamiento que se le va a dar en el Registro a cada tipología de incidencias expuestas difiere y se expone a continuación.

4.3.2.1. Incidencias gestionadas internamente por el Registro Ciclo de gestión de incidencias

Responsable

Descripción

Notificar la incidencia

Personal interno o externo del Registro

● La persona que detecta la incidencia informa al Responsable de Seguridad, o suplente, de la existencia de la misma para poder proceder a su resolución.

Registrar la incidencia

Responsable de Seguridad del

● El Responsable de Seguridad del Registro registrará la incidencia en SYGILO en el apartado

83

ASPECTOS ORGANIZATIVOS

Registro

Resolver la incidencia y registrar el resultado

Revisar incidencias

de “Registro incidencias”.

Personal interno o externo del Registro

● El personal encargado de gestionarla y resolverla la gestionará en coordinación con el Responsable de Seguridad del Registro, que la dará por cerrada en SYGILO cuando concluya su resolución.

Responsable de Seguridad del Registro

● El Responsable de Seguridad realizará trimestralmente una revisión de incidencias relacionadas con la seguridad de la información. Habrá un seguimiento y medidas especiales respecto de aquellas incidencias que sucedan con más frecuencia. Quedará constancia de la revisión en las revisiones periódicas de SYGILO (“Revisión trimestral del Registro de Incidencias”).

Sin intención de ser exhaustivos, las incidencias internas más comunes que suelen producirse en los Registros pueden ser: ● Incidencias relacionadas con los edificios y dependencias del Registro (robos, accesos no autorizados, etc.). ● Incidencias relacionadas con los soportes que gestiona directamente el Registro (por ejemplo, pérdida de los mismos, rotura o destrucción total o parcial sobre los soportes, salida no autorizada, etc.). ● Incidencias relacionadas con la documentación gestionada internamente en el Registro (por ejemplo, entrega de notas simples de forma errónea a personas distintas del interesado, pérdidas de documentación, robo o sustracción de documentación, daño sobre la documentación, etc.). ● Incidencias relacionadas con el suministro de energía en las instalaciones o CPD del Registro.

4.3.2.2. Incidencias gestionadas por el Registro cuando actúa como encargado del tratamiento (OOLL) Ciclo de gestión de incidencias

Responsable

Descripción

Notificar la incidencia

Personal interno o externo del Registro

● La persona que detecta la incidencia informa al Responsable de Seguridad, o suplente.

Registrar la incidencia

Responsable de Seguridad del Registro

● El Responsable de Seguridad del Registro registrará la incidencia en SYGILO, en el apartado de “Registro incidencias”.

Notificar la incidencia a la CCAA

Responsable de Seguridad del Registro

● El Responsable de Seguridad del Registro informará a la CCAA, titular de los datos, de la existencia de la incidencia para su resolución y de las medidas adoptadas.

Resolver la incidencia y registrar el resultado

CCAA

● La CCAA resolverá la incidencia y se lo comunicará al Responsable de Seguridad del Registro. Se dará por cerrada en SYGILO.

84

ASPECTOS ORGANIZATIVOS

Revisar incidencias

Responsable de Seguridad del Registro

● El Responsable de Seguridad realizará, si lo estima oportuno, una revisión de incidencias relacionadas con la seguridad de la información en la OOLL. Habrá un seguimiento y medidas especiales respecto de aquellas incidencias que sucedan con más frecuencia. Quedará constancia de la revisión en las revisiones periódicas de SYGILO.

Sin intención de ser exhaustivos, las incidencias más comunes relacionadas con este procedimiento de gestión de incidencias pueden ser: ● Incidencias relacionadas con los edificios y dependencias de la OOLL del Registro (robos, accesos no autorizados, etc.). ● Incidencias relacionadas con los soportes relacionados con la OOLL que gestiona directamente el Registro (por ejemplo, pérdida de los mismos, rotura o destrucción total o parcial sobre los soportes, salida no autorizada, etc.). ● Incidencias relacionadas con la documentación relacionada con la OOLL gestionada internamente en el Registro (por ejemplo, pérdidas de documentación, robo o sustracción de documentación, daño sobre la documentación, etc.).

4.3.2.3. Incidencias gestionadas por el CORPME Ciclo de gestión de incidencias

Notificar la incidencia

Registrar la incidencia

Resolver la incidencia y registrar el resultado

Revisar incidencias

Responsable

Descripción

Personal interno o externo del Registro o personal del CORPME

● La persona que detecta la incidencia informa al Departamento de Atención al cliente del CORPME de la existencia de la misma para poder proceder a su resolución.

CORPME

● El Departamento de Atención al Cliente del CORPME registrará la incidencia en REMEDY y canalizará la misma hacia los responsables de su resolución.

CORPME

● El personal encargado de gestionarla y resolverla la gestionará, y se dará por cerrada en REMEDY cuando concluya su resolución, informando al Registro o Registros afectados.

Responsable de Seguridad del Registro

● El Responsable de Seguridad del Registro, si lo considera oportuno, podrá solicitar al CORPME las incidencias relacionadas con la operativa de su Registro y realizar una revisión de las mismas. Quedará constancia de todo ello en las revisiones periódicas de SYGILO (“Revisión trimestral del Registro de Incidencias”).

Las incidencias más comunes relacionadas con este procedimiento de gestión de incidencias pueden ser: ● Incidencias en las redes informáticas y recursos puestos a disposición del Registro por el Colegio (correo electrónico, internet, equipos de integración con el Colegio, etc.). ● Incidencias o problemas de disponibilidad, confidencialidad o integridad derivados de aplicaciones o entornos Colegiales.

85

ASPECTOS ORGANIZATIVOS

4.3.2.4. Incidencias gestionadas por otros proveedores externos del Registro Ciclo de gestión de incidencias

Notificar la incidencia

Registrar la incidencia

Resolver la incidencia y registrar el resultado

Revisar incidencias

Responsable

Descripción

Personal interno o externo del Registro o personal del proveedor

● La persona que detecta la incidencia informa a los Departamentos técnicos del proveedor de la existencia de la misma para poder proceder a su resolución.

Proveedor externo

● Los Departamentos técnicos del proveedor registrarán la incidencia en su herramienta interna de gestión de incidencias, en virtud de lo establecido en el contrato de prestación de servicios celebrado con éste, donde se expone la necesidad de cumplimiento de las medidas del RDLOPD.

Proveedor externo

● El personal encargado de gestionarla y resolverla la tramitará y se dará por cerrada en su herramienta de gestión de incidencias cuando concluya su resolución, informando al Registro o Registros afectados.

Responsable de Seguridad del Registro

● El Responsable de Seguridad del Registro, si lo considera oportuno, podrá solicitar al proveedor externo las incidencias relacionadas con la operativa de su Registro y realizar una revisión de las mismas. Quedará constancia de ello en las revisiones periódicas de SYGILO (“Revisión trimestral del Registro de Incidencias”).

Las incidencias más comunes relacionadas con este procedimiento de gestión de incidencias serían: ● Incidencias en las redes informáticas y recursos puestos a disposición del Registro por el proveedor externo (conexiones externas, equipos, etc.). ● Incidencias o problemas de disponibilidad, confidencialidad o integridad derivados de aplicaciones o entornos no Colegiales. ● Incidencias con equipos del Registro mantenidos por proveedores externos.

4.4. Gestión de equipos portátiles y dispositivos móviles Para el tratamiento de datos fuera de los locales, el Registro puede utilizar equipos portátiles y plataformas móviles que traten o permitan el tratamiento de los datos personales, tanto de ficheros públicos como de ficheros privados. En estos casos, es necesario cumplir con una serie de requisitos de seguridad sobre estas plataformas: ● Se debe disponer de la autorización formal para su uso y un inventario de estos equipos y dispositivos corporativos. ● Para ello, el Responsable de Seguridad registrará en el apartado “Inventario de soportes” de SYGILO la existencia y autorización de estos equipos y la persona responsable de su utilización, aprobado por la figura competente del Registro.

86

ASPECTOS ORGANIZATIVOS

● Los equipos y dispositivos móviles que se usen en el Registro estarán sometidos a medidas de seguridad en cuanto a la identificación y autenticación, control de accesos, trazabilidad y conexiones remotas análogas a las descritas en los apartados 5.2. - “Seguridad lógica en los entornos tecnológicos de los Registros” y 5.3. - “Seguridad en accesos remotos y conexiones al exterior del Registro” del presente Manual. Así, es necesario que el Responsable de seguridad asegure la implantación de estas medidas previo a la entrega del equipo al usuario responsable. En el caso de realizar un tratamiento local de datos personales de nivel ALTO, se cifrará el contenido los dispositivos portátiles con un algoritmo robusto y reconocido. En caso que no sea posible este cifrado por motivos tecnológicos o de otra naturaleza, se evitará el tratamiento de estos datos, o el Responsable de Seguridad registrará una incidencia en el apartado de “Registro incidencias” de SYGILO indicando las posibles medidas alternativas que se puedan implantar para mitigar el riesgo derivado (por ejemplo, facilitar un candado al usuario para que el equipo no quede desprotegido, implantación de medidas de acceso robusto al sistema operativo del dispositivo, borrado remoto de los datos del disco duro del dispositivo con conectividad, contraseñas en carpetas locales, etc.). ● Para concienciación y formación del personal, el Responsable de Seguridad del Registro recordará a los usuarios, en su entrega, el uso diligente que debe hacerse de los mismos, poniendo de manifiesto los riesgos que implica la perdida, robo, extravío o mal uso de estos equipos. ● En caso de extravío, robo u otra incidencia con estos equipos o dispositivos, además de las actuaciones necesarias para denunciar el hecho, el Responsable de Seguridad del Registro lo comunicará al Registrador y registrará en el “Registro Incidencias” de SYGILO la incidencia oportuna. ● Cuando se deseche un equipo o dispositivo de esta naturaleza, se atenderá a los requisitos descritos en el apartado 4.2.3. - “Destrucción y reutilización de equipos informáticos” del presente Manual.

4.5. Gestión de servicios externos Según el RDLOPD, podemos distinguir dos tipos de servicios externos: ● En primer lugar, el Encargado de Tratamiento, que son empresas o personas que colaboran en la realización de actividades de tratamiento de datos de carácter personal en los Registros. Según la relación jurídica existente, un Encargado de Tratamiento puede ser de diferente naturaleza atendiendo a la forma o acceso en el tratamiento de los datos de carácter personal del Registro (ficheros públicos o ficheros privados). ● En segundo lugar define la figura del prestador de servicio sin acceso a datos, que realiza actividades para el Registro en base a un contrato de prestación de servicios, pero que no necesita tener acceso a la información del Registro para realizarlo. La prohibición de acceder a los datos personales y la obligación de secreto respecto a aquellos que hubieran podido conocer con motivo de la prestación del servicio, deben recogerse expresamente en el correspondiente contrato. A continuación se relaciona una muestra de los posibles tipos de servicios externos que pueden existir en un Registro, y las consideraciones contractuales que se deben atender para cada uno de ellos: ● Encargados de Tratamiento con acceso a datos personales en las instalaciones del Registro. Se puede considerar dentro de esta tipología, por ejemplo, el personal de sistemas de empresas externas que trabajen en el Registro. ● Con acceso a datos personales mediante acceso remoto a los sistemas del Registro. Se puede considerar dentro de esta tipología, por ejemplo, el servicio del CORPME u otros proveedores externos vía remota al Registro para el mantenimiento de sistemas de información (Futuver, Softesfera, EliteReg, ComputerSet, etc.) o empresas que realicen

87

ASPECTOS ORGANIZATIVOS

actividades de mantenimiento de telefonía, faxes o equipos de escaneado o impresión de forma remota. ● Con acceso a datos personales en las instalaciones del Encargado de Tratamiento. Se puede considerar dentro de esta tipología, por ejemplo, las gestorías que realicen operaciones de recursos humanos, contables, tributarios o de otra naturaleza o el CORPME. ● Prestaciones de servicio sin acceso a datos personales. Se puede considerar dentro de esta tipología, por ejemplo, los servicios de mensajería del Registro (en aquellos casos que exista un contrato marco a medio/largo plazo. Se excluyen envíos puntuales por la carga operativa que esto supondría y al poder estar recogida esta circunstancia en la solicitud de envío del proveedor), los servicios de destrucción de documentación y soportes, servicios de limpieza del Registro, servicios de mantenimiento del edificio, local o equipos contratados por el Registro o servicios de seguridad de edificios. Para todos los casos expuestos anteriormente, el modelo de clausulado de confidencialidad a incluir en el contrato de prestación de servicios con estos terceros se recoge en el apartado 4.6. - “Normalización de la documentación del Registro”, dependiendo del tipo de prestación de servicio realizada. El Responsable de Seguridad del Registro es la figura responsable de tener actualizados estos acuerdos y bajo su custodia hasta la extinción del contrato. Por último, el Responsable de Seguridad del Registro identificará el tipo de externo en el apartado de “Personal asociado” de SYGILO completando los datos de la prestación existente e identificará las funciones del externo en el apartado de “Documento de Seguridad” de SYGILO (Anexo de Funciones).

4.6. Normalización de la documentación del Registro En el presente apartado se describen las medidas y cláusulas necesarias para adaptar la documentación que utiliza el Registro, en cuanto a sus relaciones con proveedores, trabajadores y clientes, a la normativa de protección de datos. Además, se incluye una referencia expresa a los convenios-marco existentes en la actualidad en cuanto a la formalización de determinadas actividades en las que los Registros están o pueden estar involucrados. El Registro a la hora de normalizar y estandarizar en materia de protección de datos tanto los contratos que tenga suscritos con proveedores como los formularios en los que el Registro recoja datos (para dar cumplimiento a los principios de información y consentimiento), deberá valorar los tres tipos de relaciones en las que se ve inmerso, es decir, relaciones con proveedores, con clientes y con sus propios trabajadores. El Registro también puede formar parte de convenios con Administraciones Públicas, y en este caso, el convenio también deberá incluir las pertinentes cláusulas en materia de protección de datos (4.6.4 “Convenios y Acuerdos”).

4.6.1. Proveedores En cuanto a los diferentes proveedores con los que el Registro trabaje o pueda trabajar, se diferenciará entre dos formas de acceso: presencial y remota. ● Prestadores de servicios de forma presencial. Este tipo de proveedores desarrollan su actividad en las propias instalaciones del Registro.  CON acceso a datos de carácter personal. Los proveedores más comunes con los que cuenta el Registro, y que entrarían dentro de esta clasificación, son:  Empresas de mantenimiento de software informático.  Personal externo contratado (personal contratado de manera eventual a través de subcontratas).

88

ASPECTOS ORGANIZATIVOS

 Empresas que realicen actividades presenciales en el Registro de gestión de nóminas, contabilidad, etc. Para este tipo de proveedores, el Registro deberá disponer de los correspondientes anexos a los contratos en materia de protección de datos. Tales anexos se encuentran en SYGILO, en el módulo “Documentación”, “PROVEEDORES”: “CON Acceso a Datos en Instalaciones”. Además, en la medida en que estos proveedores hagan uso de los recursos propios del Registro, es muy recomendable la entrega de las normas de uso y buenas prácticas y la firma de recepción de dicho documento, el cual se puede encontrar en el mismo módulo de SYGILO anteriormente referenciado, bajo el nombre de “Normas de uso y buenas prácticas Proveedores” y “Modelo de recepción de normas de uso Proveedores”.  SIN acceso a datos de carácter personal. Los proveedores más comunes con los que cuenta el Registro que entrarían dentro de esta clasificación son:  Empresas de limpieza.  Empresas de mantenimiento del Edificio.  Empresas de seguridad física.  Empresas de mantenimiento de hardware informático. Para este tipo de proveedores, el Registro deberá disponer de los correspondientes anexos a los contratos en materia de protección de datos que indiquen la prohibición de acceso a tales datos y la obligación de guardar secreto en caso de acceso accidental. Tales anexos se encuentran en SYGILO, en el módulo “Documentación”, “PROVEEDORES”: “SIN acceso datos_Acceso Instalaciones”. ● Prestadores de servicio de forma remota. Este tipo de proveedores desarrollan su actividad desde las instalaciones del propio proveedor, ya sea exclusivamente o tanto de forma presencial como remota.  CON acceso a datos de carácter personal. Diferenciamos:  Con acceso remoto tanto a datos como a sistemas del Registro. Los proveedores más comunes que entrarían dentro de esta clasificación son:  Empresas de mantenimiento de software informático que se conecten de forma remota a los sistemas del Registro, por ejemplo empresas como FUTUVER, ELITEREG, COMPUTER SET, SOFTSFERA, etc.  Empresas que realicen actividades de mantenimiento de telefonía, faxes o equipos de escaneado o impresión de forma remota. Para este tipo de proveedores, el Registro deberá disponer de los correspondientes anexos a los contratos en materia de protección de datos. Tales anexos se encuentran en SYGILO, en el módulo “Documentación”, “PROVEEDORES”: “CON Acceso datos con Sistemas”. Además, en la medida en que estos proveedores hagan uso de los recursos propios del Registro, es muy recomendable la entrega de las normas de uso y buenas prácticas y la firma de recepción de dicho documento, el cual se puede encontrar en el mismo módulo de SYGILO anteriormente referenciado bajo el nombre de “Normas de uso y buenas prácticas Proveedores” y “Modelo de recepción de normas de uso Proveedores”.  Con acceso remoto a datos pero no a sistemas del Registro. Los proveedores más comunes que entrarían en esta tipología son:  Gestorías que realicen labores de RRHH desde sus locales.  Gestorías que realicen labores contables, tributarias o de otra naturaleza. Para este tipo de proveedores, el Registro deberá disponer de los correspondientes anexos a los contratos en materia de protección de datos. Tales anexos se encuentran

89

ASPECTOS ORGANIZATIVOS

en SYGILO, en el módulo “Documentación”, “PROVEEDORES”: “CON Acceso a Datos desde Sistemas del Proveedor”.  SIN acceso a datos de carácter personal. Los proveedores más comunes con los que cuenta el Registro que entrarían dentro de esta clasificación son:  Los servicios de mensajería del Registro (en aquellos casos que exista un contrato marco a medio/largo plazo).  Los servicios de destrucción de documentación y soportes.  Los servicios de externalización de copias de respaldo (si los hubiere). Para este tipo de proveedores, el Registro deberá disponer de los correspondientes anexos a los contratos en materia de protección de datos que indiquen la prohibición de acceso a tales datos y la obligación de guardar secreto en caso de acceso accidental. Tales anexos se “PROVEEDORES”:

encuentran

en

SYGILO,

en

el

módulo

“Documentación”,

 “SIN acceso Datos_En Instalaciones Ajenas”.  “SIN acceso_destrucción-reutilización soportes”.

4.6.2. Trabajadores En cuanto a la normalización de la documentación en materia de protección de datos de los trabajadores, entendiendo como tal todo el personal contratado de forma interna, el Registro debe tener en cuenta que es necesario cumplir con los principios de información y consentimiento de los artículos 5 y 6 de la LOPD. Además, para cumplir lo prescrito en el artículo 89.2 RDLOPD, esto es, la obligación del Responsable del Fichero de dar a conocer al personal las normas de seguridad que afecten al desarrollo de sus funciones, así como las consecuencias en que pudiera incurrir en caso de su incumplimiento, es preciso la distribución entre el personal del Registro de las normas de uso y buenas prácticas y la hoja de firma de la recepción del mismo. Los modelos de cláusulas arriba indicados se encuentran en SYGILO, en el módulo “Documentación”, “PERSONAL INTERNO”: ● Modelo de “Clausulas para Contratos”. ● “Normas de uso y buenas prácticas”. ● “Recepción y firma-Normas de Uso”.

4.6.3. Clientes Del mismo modo que ocurre con los trabajadores, el Registro debe tener en cuenta que es necesario cumplir con los principios de información y consentimiento de los artículos 5 y 6 de la LOPD en el momento que recaban los datos de los clientes, ya sea a la hora de inscribir un documento o a la hora de solicitar publicidad formal. Desde la Oficina de Seguridad se proponen los clausulados que han de incluir todos los documentos de ENTRADA, es decir, recogida de datos personales en los Registros, y SALIDA, que están disponibles en SYGILO (“CLIENTES”), y que afectarían, entre otros, a los siguientes modelos registrales en PROPIEDAD: ● Solicitud de consulta de consultas. ● Solicitud de certificación y nota simple. ● Solicitud de manifestación de Libros. ● Pie de Facturas. ● Notas de despacho.

90

ASPECTOS ORGANIZATIVOS

● Pie de certificaciones y notas simples. ● Etc. Para las solicitudes de publicidad formal que el Registro reciba vía telemática, la incorporación de las cláusulas de información y consentimiento en la recogida del dato al interesado ya se encuentran incorporadas en la Web habilitada a tal efecto por el CORPME. No obstante, en la emisión de la información, el Registro deberá incorporar las pertinentes cláusulas de salida (en el pie de la nota simple) arriba indicadas.

4.6.4. Convenios y Acuerdos Existe un protocolo de actuación en el CORPME, a través de la involucración de los Decanatos Autonómicos, que fija el procedimiento para revisar la adecuación del contenido de los acuerdos presentados para firma a la normativa vigente sobre protección de datos, así como otros aspectos, como el jurídico. Este protocolo persigue alcanzar una gestión coordinada de la formalización de convenios en el seno del CORPME y los Decanatos Autonómicos y un control unificado de su desarrollo, vigencia y renovación. Por tanto, cuando un Registro tenga dudas del contenido o alcance de alguno de los convenios firmados o previstos para firma, deberá consultarlas en primera instancia con su Decanato Autonómico. Una vez se realice dicha consulta, el Decanato Autonómico seguirá el protocolo del CORPME establecido al efecto.

4.7. Plataforma de concienciación y formación. Aprend@ La concienciación y formación de Registradores y personal de los Registros se realiza a través de la plataforma APREND@. La Plataforma Aprend@ tiene actualmente tres ámbitos diferenciados de formación LOPD: ● Curso de Preauditoría. El curso de Preauditoría deberá ser superado por los Responsables y Suplentes de Seguridad antes de realizar la Auditoría Interna en el Registro. El período de matrícula en el curso se comunicará al Responsable o Suplente cuando corresponda mediante correo electrónico. ● Formación continuada LOPD. Se compone de varios temas monográficos sobre diversas materias relacionadas con la LOPD y que afectan al trabajo diario del Registro. La matriculación en el curso es libre para todos los usuarios registrados en la plataforma. Los temas monográficos se irán incorporando periódicamente y para obtener el diploma acreditativo de este curso será necesario obtener un mínimo de aciertos en todos los cuestionarios. ● Curso Post Auditoría. El curso está orientado a conocer el procedimiento de actuación de los Responsables y Suplentes de Seguridad de los Registros tras haber concluido la Auditoría Interna de Protección de Datos. Además, en la Plataforma Aprend@ existen otros apartados relativos a: ● Novedades y noticias. Un tablón de anuncios donde se incluirán diversos comunicados relacionados con los cursos. ● Documentación. Se incluirán, para su descarga y consulta, diverso material relacionado con la LOPD. ● Tutorías. Las dudas que puedan tener los alumnos matriculados en los cursos se podrán plantear en las sesiones de Chat que celebren. La tutoría será dirigida por un monitor del Centro de Formación.

91

ASPECTOS ORGANIZATIVOS

● Petición de Diplomas. Los alumnos que hayan respondido correctamente al 70% o más de las preguntas de los cuestionarios podrán solicitar un diploma de aprovechamiento del curso que será firmado electrónicamente por el Vocal del SSI y se remitirá por correo electrónico al interesado. Como complemento de las actividades de formación y concienciación, el Responsable de Seguridad del Registro podrá recibir comunicados vía telemática con aspectos que se consideren de especial relevancia. Estos comunicados serán elaborados por la Oficina de Seguridad del CORPME bajo la supervisión de la Comisión LOPD, que tiene las competencias en materia de protección de datos personales.

4.8. Auditorías Los artículos 96 y 110 del RDLOPD establecen la necesidad de realizar auditorías, al menos bienales, sobre el grado de cumplimiento de las medidas de seguridad recogidas en el Título VIII del citado Reglamento, tanto sobre los ficheros públicos como privados declarados por el Registro ante la AEPD. La realización de estas auditorías y la emisión del informe final (que estará a disposición de la AEPD, en caso de solicitarlo) es un servicio prestado por el CORPME a través de la Comisión LOPD y la Oficina de Seguridad, dentro de sus funciones de soporte a los Registros en materia de protección de datos. El Departamento del CORPME encargado de guiar al personal del Registro en su realización es el Servicio de Atención al Cliente LOPD, que dispone del personal cualificado y los mecanismos adecuados para llevar a cabo esta tarea. Así, se han definido dos principales tipos de auditorías para cumplir con este requisito legal, las auditorías internas y las auditorías presenciales.

4.8.1. Auditorías internas Para la realización de las auditorías internas se ha definido un procedimiento en el CORPME que implica la colaboración por parte del Responsable de Seguridad del Registro para completar el contenido de un listado de aspectos a verificar predefinidos que sirve de soporte para la emisión del informe final de auditoría en SYGILO. Estas auditorías se realizarán con un ciclo de rotación de dos años, tal y como indica el RDLOPD. De manera resumida, el procedimiento interno que se sigue en estos casos es el siguiente: ● Se realiza la actualización del contenido de SYGILO que sea oportuno para los aspectos formales recogidos en la herramienta. ● El Responsable de Seguridad del Registro completará las respuestas del listado de preguntas en un documento ad hoc, reflejando la realidad del grado de implantación de la normativa en el Registro. Dicho documento está disponible en SYGILO, en el apartado “Documentación”, “Modelo Auditoría Interna Registros”. A la vez, se ha puesto a disposición de los Registros una guía operativa que recoge las recomendaciones oportunas a considerar en cuanto al alcance y los criterios a validar por el personal de Registros que complete la Auditoría Interna, como medio efectivo para resolver dudas a la hora de cumplimentar el documento por parte de los Registros, y siempre complementado por los criterios recomendados y actualizados en el presente Manual LOPD. Esta guía permite clarificar qué evidencias se podrían considerar válidas a efectos de posibles acreditaciones de la realización de la Auditoría bienal ante los órganos competentes que puedan solicitarla. Por tanto, lo que se pretende es facilitar la contestación de las preguntas de la Auditoría Interna, así como obtener unos resultados fidedignos a la realidad del Registro, permitiendo a este verificar y contrastar en todo momento aquellos

92

ASPECTOS ORGANIZATIVOS

aspectos concretos de su realidad operativa en materia de protección de datos de carácter personal, con aquellos criterios recomendados en tal materia y que es posible encontrar en este Manual LOPD. ● Por último, con la funcionalidad de SYGILO, se emitirá el informe final de auditoría y recomendaciones que será accesible a través de esta plataforma y que será necesario que el Registro implante para subsanar aquellos puntos de falta de alineamiento identificados y a los cuales se dará seguimiento desde el Servicio de Atención al Cliente LOPD. Finalizadas estas auditorías internas, la Comisión LOPD del CORPME analizará los resultados y adoptará las medidas correctoras o preventivas corporativas necesarias para aumentar el grado de cumplimiento de la LOPD en los Registros (p.ej. emisión de comunicados de concienciación, mejoras sobre los procesos de Registros, etc.). Este mecanismo de auditoría interna se puede modificar por un mecanismo análogo previa comunicación formal a los Registros por parte de la Comisión LOPD, en representación del CORPME.

4.8.2. Auditorías presenciales Para aumentar la eficiencia de las auditorías en su finalidad de mejora del cumplimiento LOPD en los Registros, desde el CORPME se ha definido un proceso de auditorías presenciales. Debido al esfuerzo humano que esto implica, el procedimiento de selección de Registros para la realización de estas auditorías será por muestreo o mediante los criterios que se decidan en Comisión LOPD. La principal diferencia con el proceso de auditorías internas radica en que la auditoría y emisión de conclusiones es realizada por el personal del Servicio de Atención al Cliente LOPD con la colaboración del personal del Registro. Para ello, se ha definido un procedimiento interno cuyos principales aspectos son los siguientes: ● Previo a la auditoría, se facilitará al titular del Registro y al Responsable de Seguridad la guía con los aspectos a verificar en la auditoría presencial. Asimismo, se solicitará un listado inicial de documentación que el Registro preparará para la visita de los auditores. ● Se concretará un día de visita al Registro y mediante entrevistas personales, observación y recogida de evidencias de los procesos del Registro, se emitirán unas conclusiones preliminares que se enviarán al Registro para su validación o aportación de matices u otros comentarios. ● Por último, se emitirá el informe final de auditoría con las recomendaciones que será necesario que el Registro implante para subsanar aquellos puntos de falta de alineamiento identificados y a los cuales se dará seguimiento desde el Servicio de Atención al Cliente LOPD. Como resultado de estas auditorías presenciales, la Comisión LOPD del CORPME analizará los resultados y adoptará las medidas correctoras o preventivas corporativas necesarias para aumentar el grado de cumplimiento de la LOPD en Registros (por ejemplo, emisión de comunicados de concienciación, mejoras sobre los procesos de Registros, etc.).

93

ASPECTOS TÉCNICOS

5. ASPECTOS TÉCNICOS El presente apartado tiene por objeto trasladar a la operativa real de los Registros de la Propiedad los requisitos técnicos requeridos por el RDLOPD en materia de copias de seguridad y restauración de sistemas, seguridad lógica, tanto en los entornos tecnológicos de los Registros como en los accesos remotos, y conexiones al exterior que los mismos puedan realizar, así como el procedimiento a seguir para la disociación de datos y pruebas.

5.1. Copias de seguridad y restauración de sistemas El RDLOPD establece la necesidad de realizar copias de respaldo de la información de carácter personal, tanto de los ficheros públicos como de los ficheros privados. En este sentido los Registros han de contar con procedimientos de realización y restauración de copias de seguridad y respaldo de la información que manejan. En cuanto a la realización de copias de seguridad de los datos, el RDLOPD establece que el Responsable del Fichero deberá: ● Verificar la definición y correcta aplicación de los procedimientos de ejecución de copias de respaldo y recuperación de los datos. ● Comprobar que los procedimientos de back up garantizan la reconstrucción de los datos al estado en que se encontraban al momento anterior de producirse la pérdida o destrucción. ● Gestionar la realización de copias de respaldo al menos semanalmente. Estas medidas son de aplicación para todos los servidores con información de carácter personal que se disponga en los Registros: ● Servidores con aplicaciones o entornos colegiales. ● Servidores con aplicaciones o entornos no colegiales. ● Servidores de dominio y ficheros del Registro. ● Otros servidores o equipos con datos de carácter personal.

5.1.1. Copias de seguridad y respaldo Es necesario asegurar que se realiza una copia de seguridad, al menos de forma semanal, de toda la información de carácter personal que se trata en los Registros. En este sentido, se debe disponer del software o de los mecanismos alternativos para la realización de estas copias (por ejemplo, discos duros externos). El Responsable de Seguridad del Registro es la persona responsable de asegurar que se realizan estas copias de seguridad de forma correcta, identificando posibles incidencias en la operativa que puedan afectar a su correcta realización y registrándolas en la herramienta de SYGILO en la sección de “Registro incidencias”. Como norma general, exceptuando en aquellos casos en los que se implementen los mecanismos de copias de respaldo descritos, se evitará el almacenamiento de ficheros ofimáticos en los discos duros de los puestos locales del personal del Registro.

5.1.2. Comprobación de validez de copias de seguridad Los Registros deben asegurarse, al menos de forma semestral, que, a través de las copias de respaldo que se realizan, se es capaz de restaurar el entorno completo en caso de incidencia relacionada con la disponibilidad del servicio y de la información. ● Restauración de entornos colegiales (Experior, DigReg, Geobase, PROA,…). El CORPME ha establecido los procedimientos operativos para realizar las restauraciones periódicas de estos entornos. 94

ASPECTOS TÉCNICOS

● Restauración de entornos no colegiales (Futuver, Softsfera, Elitereg, Computer, Clásico, aplicaciones propias,…). En estos casos el Registro debe coordinar el cumplimiento de esta medida de seguridad con los diferentes proveedores de los entornos o establecer mecanismos internos para la ejecución de esta restauración. Posterior a esta restauración, el Responsable de Seguridad del Registro completará en SYGILO el registro correspondiente al control de “comprobación de copias de respaldo y recuperación”.

5.1.3. Procedimiento de restauración de sistemas Puede ser necesaria la restauración de datos de los sistemas de información del Registro por necesidades del negocio o por la pérdida o deterioro de la información. Pueden ser realizadas por el CORPME, por otros proveedores externos o por el propio personal del Registro. Es necesaria que estas restauraciones de información sean autorizadas por el personal competente del Registro. Una vez realizadas se procederá al registro de las mismas en la sección de “Registro incidencias” de SYGILO, completando la información incluida en el apartado referente a restauración de datos.

5.1.4. Almacenamiento y control de acceso a los soportes de copias Previo a la externalización de la copia de las instalaciones del Registro, el Responsable de Seguridad deberá asegurar que los soportes de copia de respaldo permanecen en todo momento bajo custodia evitando accesos no autorizados. En este sentido, se propone su almacenamiento en ubicaciones que dispongan de mecanismos con control de acceso (despachos o salas cerradas, RACKs cerrados con llave, cajoneras, armarios, etc.). No es recomendable externalizar las copias de seguridad en domicilios privados, pues tanto la forma de transporte como el lugar final para depositarlas no son adecuados a fin de evitar riesgos.

5.1.5. Externalización de copias de seguridad El artículo 102 del RDLOPD, aplicable a datos de nivel ALTO, establece que deberá conservarse una copia de respaldo de los datos y de los procedimientos de recuperación de los mismos en un lugar diferente de aquel en que se encuentren los equipos informáticos que los tratan, que deberá cumplir en todo caso las medidas de seguridad exigidas en el Titulo VIII de dicho RD. Atendiendo al artículo 94 del RDLOPD, la periodicidad de esta externalización se realizará, al menos, de forma semanal, salvo que en dicho período no se hubiera producido ninguna actualización de los datos personales. Así, la AEPD ha señalado que la finalidad de esta medida es que los datos de carácter personal de nivel ALTO (y los equipos que los traten) no se encuentren sometidos a las mismas contingencias que pudiera sufrir el lugar habitual de almacenamiento en caso de un accidente o desastre, como por ejemplo, un incendio o una inundación. En este sentido, a efectos de cumplir con este requisito de externalizar copias de seguridad se pueden adoptar distintas soluciones, como: ● Contratar un servicio externo que realice la externalización (cumpliendo también en este caso con el resto de requisitos de la normativa de protección de datos en cuanto a contratación de proveedores). Por ejemplo, a cajas fuertes de bancos, contratar empresas de externalización de soportes, etc. ● Adherirse a los proyectos colegiales que en este sentido se pudieran ofrecer a los Registros.

95

ASPECTOS TÉCNICOS

En los casos en los que esta externalización se realice mediante un soporte o dispositivo móvil, se atenderá a lo dispuesto en los apartados “4.4.Gestión de equipos portátiles y dispositivos móviles” y “4.2.2 Autorización de salida. Registro de entrada y salida de soportes” del presente Manual. No obstante lo anterior, la AEPD también ha señalado que en el caso de no ser posible externalizar las copias (guardar una copia de los ficheros en un lugar distinto y no sujeto a los mismos riesgos), se deberán adoptar medidas complementarias para paliar el riesgo, tales como ubicar la copia en armarios ignífugos, implantación de sistemas anti-incendio, etc. En estos casos, cuando la sede del Registro cuente con distintas estancias o niveles de edificación se entenderá por lugar distinto una estancia diferenciada del lugar principal en el que se ubiquen los sistemas de información, preferiblemente en planta distinta y más protegida y, se deberá hacer constar estas circunstancias en el documento de segurida.

5.2. Seguridad lógica en los entornos tecnológicos de los Registros En este apartado se desarrollan los controles de accesos internos a la información, estableciendo procedimientos formales para vigilar la asignación de los derechos de acceso a los sistemas y a los servicios, detectar actividades no autorizadas y garantizar la seguridad de la información en el uso de determinadas aplicaciones de los Registros.

5.2.1. Gestión de usuarios de los sistemas de información Los procesos de gestión de usuarios permiten a los Registros controlar que los usuarios tienen acceso únicamente a aquellos recursos que precisen para el desarrollo de sus funciones. Para ello, es necesario tener en consideración una serie de aspectos fundamentales en la gestión de los usuarios internos y externos que accedan a los datos del Registro. Las altas y modificaciones de acceso en los sistemas de información del Registro deberán estar autorizadas por el personal competente del Registro. Para ello, el Registro coordinará con los administradores de los entornos estas solicitudes de acceso correctamente autorizadas y almacenará la traza de las mismas (por ejemplo, mediante correo electrónico, fax u otros) durante al menos dos años para poder acreditar este acceso. De la misma forma, las bajas de usuarios en los sistemas de información deberán notificarse a los administradores de los entornos para asegurar que en todo momento la relación de usuarios con acceso a la información está actualizada. Estas notificaciones de baja las realizará el personal competente de los Registros. Cuando un trabajador del Registro necesitara, por razones exclusivamente laborales, acceder al equipo u ordenador de un compañero ausente (vacaciones, bajas, etc.), el Responsable del Fichero o, en su caso, el de Seguridad, definirá el procedimiento a seguir en estos casos a la hora de conceder el alta, baja o modificación de permisos de usuarios. Por ejemplo, es posible ampliar de forma temporal los privilegios del usuario que necesita acceder al equipo del compañero, asignando el mismo perfil a ambos trabajadores. No obstante, es preciso indicar que nunca deberán facilitarse los usuarios y claves personales de cada trabajador, por lo que es necesario incidir en las medidas organizativas y de planificación del trabajo con el fin de que todos los trabajadores dispongan de los recursos necesarios para realización de esta suplencia.

5.2.1.1. Procedimiento operativo para el alta, baja y modificación de accesos de usuarios Como propuesta a la implementación práctica del anterior requisito normativo del RDLOPD, se recomienda al Registro disponer de una relación actualizada de usuarios y perfiles de usuarios, y los accesos autorizados a cada uno de ellos, al objeto de controlar que éstos accedan únicamente a aquellos recursos que precisen para el desarrollo de sus funciones.

96

ASPECTOS TÉCNICOS

Además, en caso de que exista en el Registro personal externo que tenga acceso a los recursos del mismo deberá estar sometido a las mismas condiciones y obligaciones de seguridad que el propio personal interno. ● Una vez que el Responsable del Fichero (el Registrador) ha decidido la contratación de un nuevo usuario, o la modificación de funciones, el Responsable de Seguridad del Registro le comunicará sus funciones y responsabilidades y procederá a dar de alta (o lo solicitará al administrador) en los sistemas de información del Registro que requiera para el desarrollo de sus funciones. El alta o modificación del usuario se realizará mediante la cumplimentación de un formulario en el que se identifiquen los recursos, permisos, privilegios y temporalidad de acceso que requiere el usuario. ● Decidida la baja de un usuario por el Registrador (Responsable del Fichero), el Responsable del Seguridad del Registro procederá a dar de baja, o lo solicitará al administrador de sistemas, con indicación del momento en que debe hacerse efectiva. Una vez comunicada esta circunstancia al Administrador de sistemas (ya sea externo o interno) o a la persona responsable designada al efecto, la baja de un usuario se podrá gestionar a través de cualquiera de los canales disponibles para ello, como puede ser mediante la aplicación de gestión disponible en la intranet colegial para aquellas aplicaciones integradas en la misma, así como en cualquier repositorio de información donde se encuentren datos de carácter personal responsabilidad del Registro. Por tanto, en relación con la propuesta que anteriormente se indicaba, para documentar el alta, baja y modificación de permisos de usuarios del Registro se propone en SYGILO un modelo de documento, que está disponible en el apartado “Documentación”, “OTROS”, “Modelo Alta, Baja y Modificación Permisos”. Sería muy recomendable que los Registros cargaran los formularios de alta, baja y modificación de usuarios ya cumplimentados en el apartado de SYGILO de “Anexo III”, “Funciones, Documentación”.

5.2.2. Medidas de identificación, autenticación, control de acceso y trazabilidad de los sistemas de información Como norma general, los sistemas de información del Registro deberán cumplir con una serie de requisitos de seguridad en lo concerniente a las medidas de control de acceso a la información de carácter personal.

5.2.2.1. Generación de usuarios y contraseñas Las credenciales de acceso (usuarios y contraseñas) a los sistemas de información del Registro son personales e intransferibles y únicamente el titular de las mismas deberá conocerlas. En este sentido, el proceso de generación de credenciales de acceso (en la generación del usuario o en los procesos de reseteo de contraseñas) deberá asegurar la confidencialidad de las mismas hasta el momento que sean comunicadas al usuario. Como norma general, se pueden aplicar unos principios básicos: ● La generación de contraseñas en el sistema se producirá de forma aleatoria mediante la utilización de algoritmos seguros de generación. En caso que esta medida no sea posible, se procurará que la primera contraseña de acceso no sea predecible evitando la generación de contraseñas triviales (p.ej., 123456, igual que el identificador de usuario, nombre del Registro, etc.). ● El procedimiento de comunicación de contraseñas debe evitar que estas puedan ser vulneradas antes del primer acceso (p.ej. envío de contraseñas por fax, envío a cuentas de correo compartidas, comunicación verbal a compañeros del interesado, etc.).

97

ASPECTOS TÉCNICOS

● Las contraseñas de acceso se almacenarán en la base de datos, utilizando un mecanismo de cifrado irreversible que asegure su confidencialidad. Estas medidas propuestas aumentarán su eficacia con la implementación automática de mecanismos de cambio obligatorio en el primer acceso en los sistemas de información del Registro. Para sistemas de información que traten datos personales de nivel BÁSICO el RDLOPD establece la necesidad de identificar a los usuarios de forma unívoca. Para el cumplimiento de esta medida se evitará la utilización de usuarios compartidos para el acceso a los sistemas y cada identificador de usuario se asignará a una persona, almacenándose en la base de datos de usuarios del entorno tecnológico. Esta medida puede excluir a aquellos usuarios de aplicación o sistema que sean necesarios para el correcto funcionamiento de las plataformas tecnológicas (por ejemplo, usuarios de aplicación para conexión a bases de datos, usuarios de procesos batch, usuarios para el funcionamiento de recursos de red, etc.). En estos casos, se limitará, en la medida de lo posible, la capacidad de los mismos para autenticarse en el sistema o se limitarán sus privilegios en caso de realizarlo.

5.2.2.2. Caducidad de contraseñas Para asegurar y preservar la confidencialidad de las contraseñas de acceso a los sistemas de información del Registro, el RDLOPD establece la necesidad de cambiarlas de forma periódica (al menos anual). Para ello, los entornos tecnológicos que permitan el acceso a la información de carácter personal deben disponer de mecanismos automáticos de cambio periódico implantados.

5.2.2.3. Construcción y calidad de contraseñas Como requisito adicional y recomendable de las contraseñas de acceso a los sistemas de información del Registro, se establece la composición y calidad de las mismas. En este sentido, el Documento de Seguridad del Registro recoge una serie de recomendaciones para su construcción que deben ser tenidas en cuenta por el personal del Registro. El Responsable de Seguridad del Registro es la figura responsable de que todo el personal tenga conocimiento de esta medida.

5.2.2.4. Perfiles de acceso a la información Para asegurar que los usuarios tienen acceso únicamente a aquellos recursos que precisen para el desarrollo de sus funciones es necesario que los sistemas de información dispongan de perfiles de acceso a la información. La definición de estos perfiles de acceso y su nivel de acceso es responsabilidad del Registro y la implementación de los mismos la deberá realizar el personal con las competencias sobre el desarrollo o mantenimiento de los sistemas de información. Cada entorno tecnológico dispondrá de la relación actualizada de los diferentes perfiles de acceso existentes y de la relación de usuarios perteneciente a cada uno de ellos. Para la asignación de estos perfiles de accesos el Registro se regirá por los mecanismos descritos en el apartado 5.2.1 - “Gestión de usuarios de los sistemas de información”.

5.2.2.5. Bloqueos de identificadores de usuarios por intentos de acceso fallidos Los entornos tecnológicos del Registro que traten datos personales de nivel MEDIO, deberán tener implementada, además, un control automático de bloqueo de usuarios cuando se sobrepase un límite de reintentos definido. Este bloqueo puede ser temporal o permanente, y el número de reintentos se establecerá en función de los requisitos de negocio (p.ej., diez intentos). Asimismo, en la medida de lo posible, el entorno guardará un registro de aquellos intentos de acceso no autorizados que se hayan producido, que el Responsable de Seguridad

98

ASPECTOS TÉCNICOS

del Registro podrá solicitar al administrador del sistema bajo demanda, en caso de tener indicios de un posible intento de suplantación o acceso no autorizado a la información del Registro.

5.2.2.6. Registro de accesos a ficheros automatizados con datos especialmente protegidos Junto con todas las medidas expuestas anteriormente, para sistemas de información que traten datos personales de nivel ALTO se exige la existencia de un registro de acceso a los datos personales que identifique: ● De cada intento de acceso se guardarán, como mínimo, la identificación del usuario, la fecha y hora en que se realizó, el fichero accedido, el tipo de acceso y si ha sido autorizado o denegado. ● En el caso de que el acceso haya sido autorizado, será preciso guardar la información que permita identificar el registro accedido. ● Los mecanismos que permiten el registro de accesos estarán bajo el control directo del responsable de seguridad competente sin que deban permitir la desactivación ni la manipulación de los mismos. ● El período mínimo de conservación de los datos registrados será de dos años. De forma adicional, el Responsable de Seguridad del Registro deberá realizar una revisión mensual de estos registros de acceso detectando posibles incidencias que se hayan producido y dejando constancia en el apartado de revisiones de SIGYLO “revisión del registro de accesos a ficheros de nivel alto” de las conclusiones alcanzadas. Esta revisión puede consistir, por ejemplo, en identificar accesos a la información de nivel ALTO de la siguiente naturaleza: ● Fuera del horario laboral y en fines de semana. ● Para la eliminación masiva de datos por parte de un usuario. ● Para la consulta masiva de los datos de una persona. ● Otros criterios potencialmente sospechosos a criterio del Responsable de Seguridad.

5.2.3. Accesos a las Bases de Datos del Registro Como norma general, estará prohibido el acceso de explotación a las bases de datos del Registro con herramientas o software específico excepto para el personal con privilegios de administración o de explotación de las mismas en el desarrollo de sus funciones (personal de informática del Registro, personal de sistemas del CORPME, personal de proveedores de aplicaciones, etc.). No obstante para estos casos, los accesos deberán estar autorizados con los mecanismos descritos en el apartado 5.2.1 - “Gestión de usuarios de los sistemas de información” y, en caso que los accesos se produzcan de forma remota, se aplicarán las medidas de seguridad descritas en el apartado 5.3. - “Seguridad en accesos remotos y conexiones al exterior del Registro”.

5.2.4. Sistemas de cifrado en el intercambio de información Para el envío de datos de carácter personal de nivel ALTO a través de redes públicas, el RDLOPD exige la necesidad de cifrar la información o de establecer mecanismos alternativos que aseguren que ésta sea ininteligible. En este sentido, y a modo de ejemplo, se describen varias tipologías de intercambio de datos a través de canales de información y los mecanismos de cifrado válidos en cada caso:

99

ASPECTOS TÉCNICOS

● Intercambios de información por FLOTI entre Registros: En estos casos el envío de información se realiza a través de la Red privada. ● Intercambios de información con el CORPME a través de la Intranet: En estos casos el envío de información se realiza a través de la Red privada. ● Accesos al correo electrónico a través de la plataforma Web Colegial de correo: Las comunicaciones se cifran mediante el protocolo SSL a nivel de canal. ● Accesos remotos del CORPME a los sistemas de información del Registro: En estos casos el envío de información se realiza a través de una Red privada. ● Accesos remotos de proveedores de servicio a los sistemas de información del Registro: En estos casos se recomienda la utilización de redes punto a punto u otros mecanismos de cifrado análogo en las comunicaciones (VPN o similar). Esta medida se deberá exigir por el Registro al proveedor de servicios. ● Accesos remotos del personal del Registro a los sistemas de información del Registro: En estos casos el acceso se realizará a través de dispositivos móviles o equipos portátiles. Para el caso de los equipos portátiles es necesario asegurarse que se utilizan los mecanismos de conexión proporcionados por el CORPME. ● Intercambio de información por correo electrónico: Como norma general, se evitará el envío de información de esta naturaleza por correo electrónico, a no ser que se asegure un mecanismo de cifrado de la información entre el emisor y el receptor del mensaje (p.ej., cifrado con firma o cifrado del canal de comunicación). Así, una posible solución corporativa para esta circunstancia de envío de datos personales de nivel ALTO, fuera de la Red colegial y de Registros, a través de cualquier red pública puede ser la utilización de clientes de correo en puestos de trabajo que permitan la funcionalidad de cifrado (por ejemplo, Outlook o Mozilla Thunderbird) con certificados reconocidos que dispongan de esta extensión a través del intercambio de claves públicas con el receptor del mensaje. Por último, mencionar la opción de notificación que ofrece el Portal de Servicios Interactivos de la página Registradores.org: (https://www.registradores.org/registroVirtual/init.do?servicio=5). A través de la misma, se pueden realizar notificaciones de modo seguro que permiten al interesado su recepción mediante certificado.

5.2.5. Seguridad en puestos de trabajo de Registros Los puestos de trabajo son todos aquellos dispositivos desde los cuales se puede acceder a los datos del Registro, como, por ejemplo, terminales, ordenadores personales, mesas del personal o cajoneras del Departamento. Como norma general, se atenderá a las siguientes premisas: ● Cada puesto de trabajo estará bajo la responsabilidad de una persona debidamente autorizada, que garantizará que la información que muestra no pueda ser vista por personas ajenas (por ejemplo, público del Registro o proveedores sin acceso a datos). La mesa de trabajo y sus cajoneras de cada puesto estarán bajo responsabilidad de cada miembro del Registro. ● Tanto las pantallas como las impresoras u otro tipo de dispositivos conectados al puesto de trabajo deberán estar físicamente ubicados en lugares que garanticen la confidencialidad. El personal del Registro deberá asegurarse de que no quedan documentos impresos en la bandeja de salida que contengan datos protegidos. Finalizada la jornada de trabajo se deberá recoger y destruir toda la documentación impresa. ● Cuando el responsable de un puesto de trabajo lo abandone, bien temporalmente o bien al finalizar su turno de trabajo, deberá dejarlo en un estado que impida la visualización de los datos protegidos. Esto podrá realizarse a través de un protector de pantalla que impida la visualización de los datos o por otro medio adecuado para ello (por ejemplo, la combinación de teclas que bloquea el equipo: “Control + Alt + Supr + Enter” o “Tecla Windows+L”).

100

ASPECTOS TÉCNICOS

La responsabilidad final para velar por el cumplimiento de estas medidas entre el personal del Registro es del Responsable de Seguridad.

5.2.6. Principales sistemas de información de los Registros y consideraciones generales 5.2.6.1. Red del Registro (Windows) Los equipos y servidores del Registro se ubican dentro de su red local, cuya responsabilidad de administración es del propio Registro, a través de su personal interno o de los proveedores que pueda tener contratados para realizar esta actividad, que velarán por la implantación y cumplimiento de las medidas de seguridad expuestas en el RDLOPD, acorde al nivel de datos que se almacenen en los servidores de ficheros del Registro (por ejemplo, en ficheros ofimáticos). En el caso de contar con proveedores externos, adicionalmente son de aplicación las medidas de seguridad incluidas en el apartado 4.5 - “Gestión de servicios externos” del presente Manual.

5.2.6.2. Aplicaciones de los Registros Para el cumplimiento de las funciones del Registro se utilizan una serie de aplicaciones para el tratamiento de los ficheros públicos y privados. En función del nivel de seguridad de los datos que almacenen estas aplicaciones se deberán cumplir con las medidas de seguridad acordes desde el punto de vista tecnológico. ● Colegiales (Experior, DigReg, Geobase, PROA, Correo electrónico…). La implantación de las medidas de seguridad tecnológicas de estas aplicaciones es responsabilidad del CORPME, en base a las funciones que tiene atribuidas. ● No Colegiales (Futuver, Creinsa, Softsfera, Elitereg, Computer, Clásico, aplicaciones propias,…). En el caso de aplicaciones no colegiales que traten datos personales del Registro, se deberá asegurar que mediante la implantación interna del Registro o mediante la coordinación con el proveedor de la aplicación, se cumplan una serie de requisitos de seguridad.

5.2.6.3. Guía rápida de medidas de seguridad para entornos tecnológicos del Registro A modo de ejemplo, como guía de medidas de seguridad a implantar para la identificación y autenticación, control de acceso y trazabilidad del entorno, podemos citar: Nivel de aplicación de las medidas de seguridad

BÁSICO

Medidas

● El sistema tiene implementados mecanismos de identificación y autenticación de usuarios (Por ejemplo, identificadores y contraseñas, tokens criptográficos, certificados digitales acreditados, etc.). En caso contrario, existirán controles compensatorios de identificación y autenticación. (Por ejemplo, delegación de la autenticación en el Sistema Operativo). ● El sistema permite la existencia de usuarios y contraseñas personalizados, así como de perfiles de acceso a los distintos recursos. Por ejemplo, el identificador debe ser único por usuario y se han implantado diferentes permisos de acceso a los recursos del sistema (administración, explotación, desarrollo,

101

ASPECTOS TÉCNICOS

Nivel de aplicación de las medidas de seguridad

Medidas

usuarios finales con permisos a los recursos necesarios, etc.). ● El sistema de información permite obtener una relación actualizada de usuarios y sus perfiles, y los accesos autorizados para cada uno de ellos. ● El sistema permite parametrizar unas reglas de calidad mínimas sobre las contraseñas (longitud mínima, composición, etc.). ● El sistema fuerza el cambio de contraseña en el primer acceso cuando se crea un usuario nuevo o cuando se restaura la contraseña por parte del administrador del entorno. ● Las contraseñas se almacenan cifradas en la base de datos de usuarios del sistema. ● Las contraseñas se transmiten cifradas en el proceso de autenticación de credenciales del usuario entre el puesto cliente (si existe) y el servidor de autenticación (servidor de aplicación, servidor de base de datos, etc.). ● El sistema tiene implementado un mecanismo de cambio periódico automático de contraseñas, no superior a un año. ● El sistema permite mantener bloqueados a los dan de baja en la base de datos de tal forma que se puedan trazar sus acciones durante estuvo dado de alta, es decir, los usuarios excepto que se realice bajo demanda.

MEDIO

usuarios que se que se asegure el periodo que no se eliminan

● El sistema tiene implantado de forma automática un límite de intentos de acceso fallidos y establece un tiempo de bloqueo de los usuarios que lo sobrepasen (temporal o permanente). Por ejemplo: diez intentos fallidos. ● El sistema permite guardar un log con los intentos de acceso fallidos de los usuarios. ● El sistema dispone de mecanismos del registro de acceso para los datos de nivel alto con los requisitos incluidos en el RDLOPD. ● De cada intento de acceso se guardarán, como mínimo, la identificación del usuario, la fecha y hora en que se realizó, el fichero accedido, el tipo de acceso y si ha sido autorizado o denegado:

ALTO

● En el caso de que el acceso haya sido autorizado, será preciso guardar la información que permita identificar el registro accedido. ● Los mecanismos que permiten el registro de accesos estarán bajo el control directo del Responsable de Seguridad competente, sin que deban permitir la desactivación ni la manipulación de los mismos. ● El período mínimo de conservación de los datos registrados será de dos años. ● En el supuesto que esto no sea posible, estudiar la implantación de medidas de registro alternativas. Estas medidas deberán ser

102

ASPECTOS TÉCNICOS

Nivel de aplicación de las medidas de seguridad

Medidas

incluidas en el Documento de Seguridad. ● El sistema debe permitir trazar la desactivación los mecanismos de registro de accesos a datos de nivel alto. ● En caso de transmitir datos de nivel alto a otros entornos o destinatarios a través de redes públicas, el sistema debe realizarlo utilizando un mecanismo de cifrado eficaz (o por cualquier otro mecanismo que garantice que la información no sea inteligible ni manipulada por terceros). A este último respecto, señalar que actualmente existen técnicas que se pueden emplear como alternativa al cifrado de datos, como son la estenografía, para el caso de ocultación de mensajes a nivel de aplicación o la transmisión mediante espectro ensanchado (spread-spectrum) para el caso inalámbrico a nivel físico. Todas ellas con una implementación y una gestión más compleja y problemática que la que ofrecen los actuales sistemas de cifrado. En este momento no se disponen de tecnologías más ágiles para preservar la confidencialidad de la información que emplear herramientas de cifrado, aunque en un futuro estas puedan aparecer (Informe AEPD 0494/2009).

5.3. Seguridad en accesos remotos y conexiones al exterior del Registro Los accesos remotos a los sistemas de información de los Registros han de contar con una serie controles y medidas de seguridad que eviten accesos no autorizados y garanticen la integridad de los datos. De forma general, y entre otros, pueden existir los siguientes tipos de acceso remoto a los sistemas de información del Registro: ● Acceso remoto a los sistemas por parte del personal del Registro. ● Acceso remoto a los sistemas por parte del personal del CORPME. ● Acceso remoto a los sistemas por parte de proveedores externos (sistemas y mantenimiento u otros).

5.3.1. Autorización de accesos remotos Los accesos remotos deben estar autorizados por el personal competente definido en el Registro. Así, se muestra un ejemplo de los mecanismos y canales de autorización que se consideran válidos: ● Procedimientos de solicitud y registro de autorización análogos a los incluidos en el apartado 5.2.1 - “Gestión de usuarios de los sistemas de información” en el caso de accesos remotos de personal de Registros y proveedores externos. ● Solicitud de autorización permanente o temporal por parte del personal del CORPME con los procedimientos de autorización definidos en el Departamento de Atención al Cliente del CORPME.

103

ASPECTOS TÉCNICOS

5.3.2. Seguridad en las transmisiones Las transmisiones de información para los accesos remotos deben cumplir con los requisitos incluidos en el apartado 5.2.4. - “Sistemas de cifrado en el intercambio de información”. Asimismo, las conexiones desde el exterior del Registro se deben realizar a través de un firewall que evite accesos no autorizados a la información del Registro. Para el acceso a la red local del Registro, como norma general, es necesario acceder a través del firewall del Colegio, administrado por este último. En el caso de existir otras conexiones externas a la red local que no exijan atravesar la red Colegial, es necesario asegurarse que se cumplen con las medidas de seguridad descritas anteriormente, implantándose internamente por parte del personal del Registro o solicitándolo al proveedor que establezca o realice la conexión.

5.3.3. Conexiones a Internet y software antivirus y antispam La navegación por Internet del personal del Registro se realizará exclusivamente con fines corporativos atendiendo a las “Normas de Uso y Buenas Prácticas” existentes para el personal del Registro. El Responsable de Seguridad del Registro asegurará que los equipos locales y servidores dispongan de software que detecte y elimine ataques y códigos maliciosos. Es recomendable que el software antivirus y antispam se mantengan actualizados de forma periódica y que se realicen escaneaos programados de los puestos y servidores del Registro.

5.3.4. Uso de la firma digital Debido a su importancia, el uso de la firma digital por parte del Registrador y del Registro debe realizarse exclusivamente con los mecanismos puestos a disposición por el CORPME. Así, la firma digital es personal e intransferible; no debe facilitarse a ninguna persona el token ni las claves de firma.

5.4. Disociación de datos y pruebas El RDLOPD establece la necesidad de implantar controles de seguridad sobre el tratamiento de datos personales en entornos de desarrollo o pre-producción en las pruebas anteriores a la implantación o modificación de los sistemas de información. Las premisas principales son las siguientes: ● No se utilizarán datos personales reales para la realización de estas pruebas, debiéndose establecer procesos de disociación o desnaturalización de los datos. ● En caso de utilizarse datos personales reales, debe asegurarse el nivel de seguridad correspondiente al tratamiento realizado (con las medidas descritas en el presente manual) y se incluirá su realización en el Documento de Seguridad del Registro. Asimismo, si está previsto realizar pruebas con datos reales, previamente deberá haberse realizado una copia de seguridad de los mismos. En este sentido, las pruebas previas a la implantación y los entornos de desarrollo de los Registros son principalmente administrados por el CORPME, en el caso de entornos colegiales, o por los proveedores externos subcontratados a tal efecto para el resto de entornos tecnológicos. En el caso de entornos Colegiales, el CORPME ha definido los procedimientos internos necesarios para asegurar el cumplimiento de estas medidas, dentro de la actividad de mantenimiento de aplicaciones de Registros. Para el resto de entornos, el Responsable de Seguridad del Registro, debe exigir el cumplimiento de estas medidas recogidas en el RDLOPD al proveedor de desarrollo o

104

ASPECTOS TÉCNICOS

mantenimiento subcontratado en la celebración del contrato, y puede solicitar, si lo desea oportuno, las evidencias necesarias sobre el cumplimiento de las mismas. Por último, en el caso de ser necesaria la realización de pruebas con datos reales, es conveniente que estas sean autorizadas por el personal competente del Registro y hacer constar esta circunstancia en el “Registro Incidencias” de SYGILO.

105

ASPECTOS FÍSICOS

6. ASPECTOS FÍSICOS En este apartado se van a desarrollar los criterios y recomendaciones relativos a la ubicación y aspectos de ordenación física de los Registros para evitar intrusiones y riesgos en la seguridad de los datos que se manejan, desde las medidas básicas en la seguridad de los locales, sala de servidores y CPD, hasta los mecanismos necesarios de control de acceso a los Registros.

6.1. Medidas de seguridad en los locales Los aspectos físicos en la seguridad de los datos de carácter personal hacen referencia a todos aquellos mecanismos de prevención y detección destinados a evitar accesos no autorizados al área no pública del Registro, impedir daños en los soportes de datos ubicados en los locales, o contra los ordenadores y dispositivos donde se almacena la información registral.

6.1.1. Características físicas de los locales En el CORPME existen, a través de las llamadas “Oficinas Tipo”, diferentes modelos de distribución del espacio disponible en los Registros. En función de la estructura de cada Registro se deben aplicar una serie de medidas específicas en cuanto a la seguridad física. Se deben distinguir claramente dos zonas dentro de un Registro: ● Zona pública, donde se sitúa la mesa o mostrador de atención al público o el tablón de anuncios. ● Zona privada, de acceso limitado, en la que a su vez se distingue el área de trabajo (o área administrativa y de servicios generales, donde se sitúan los puestos del personal, fax, impresoras,…) y el área restringida (sala de servidores, archivos de tomos y despacho del Registrador). Existes reglas generales y recomendaciones establecidas por sendas Circulares de 3 de Octubre de 1994 y 10 de mayo de 1995 (números 47 y 22, respectivamente) de la Junta de Gobierno del Colegio de Registradores, donde se describe la “oficina registral tipo”, constituyendo puntos de referencia y ayuda a la hora de diseñar proyectos de locales, y determinando los requisitos imprescindibles para el visado por parte de la Junta de los contratos de arrendamiento.

6.1.2. Medidas ambientales y sistemas de seguridad En este apartado se van a exponer una serie de medidas encaminadas a elevar el control sobre los requisitos de seguridad de la información de carácter personal en los Registros.

6.1.2.1. Sistemas anti-incendio En aquellos casos en los que exista normativa específica a tal efecto, y reforzando los requisitos de seguridad de la información incluidos en el RDLOPD, ha de existir en los Registros un plan global de evacuación y protección contra incendios. Son recomendaciones en esta materia cuya implantación debe ser valorada: ● Sistema de detección y alarma de incendio. La detección de incendios tiene como finalidad el descubrimiento de un conato de fuego de forma rápida. El mejor detector de un incendio es el ser humano; sin embargo, no siempre es posible la presencia humana en todas las situaciones, por lo que se recurrirá a la detección automática. La detección automática podrá completarse con pulsadores de alarma de incendio para que dicha eventualidad pueda ser conocida por la totalidad de ocupantes del Registro. ● Señalización y alumbrado de emergencia. Al objeto de identificar las vías de evacuación y recorridos hacia el exterior, es imprescindible una correcta señalización. Es conveniente

106

ASPECTOS FÍSICOS

instalar una luz de emergencia en la parte superior de los elementos a utilizar en la protección y lucha contra incendios, con el objeto de permitir un adecuado manejo de los aparatos, así como el recorrido de las salidas y vías de evacuación. ● Deberán existir extintores móviles adecuados al tipo y origen del fuego. Como medida mínima en los Registros, debe haber extintores móviles de dos tipos; de polvo polivalente, especialmente indicado para los fuegos de origen eléctrico y de agua presurizada para fuegos de otra causa. ● No deberían existir elementos o aparatos susceptibles de crear un riesgo de incendio en zonas donde se acumulen materiales o documentos (por ejemplo, evitar fotocopiadoras o cafeteras en la zona de archivo). ● Los huecos de acceso a todas aquellas dependencias dedicadas al almacenamiento de tomos y archivos, deberían dotarse de puertas metálicas cortafuegos con posibilidad de ofrecer una resistencia normalizada al fuego.

6.1.2.2. Alarmas Las alarmas son medidas de seguridad física de detección de intrusos y como tales avisan de un acceso indebido a la ubicación física donde son instaladas. Estas alarmas suelen estar conectadas con una central de alarmas, donde reciben el aviso e intervienen en el lugar donde se ha producido el hecho. Es recomendable la instalación de un sistema de detección de robo o intrusión en puertas y ventanas que den acceso a las instalaciones del Registro desde el exterior. En cuanto a los requisitos de protección de datos que rigen este tipo de sistemas en tanto en cuanto, la empresa de seguridad instaladora tenga acceso a imágenes, son análogos a los servicios de video vigilancia que se describen en el siguiente apartado. Estos casos son por ejemplo, cuando se disponen de mecanismos de detección de intrusos que únicamente graban imágenes o realizan fotografías en el momento de activarse la alarma. En caso de que un servicio de alarma no implique tratamiento de datos personales (por no grabar imágenes y/o no registrar ningún otro tipo de dato de carácter personal) quedaría excluido del ámbito de aplicación de la normativa de protección de datos.

6.1.2.3. Video-vigilancia En caso de que el Registro disponga de sistemas de video-vigilancia mediante cámaras de circuito cerrado de televisión en el exterior del Registro, es imprescindible informar de dicha circunstancia a los interesados. De lo contrario, se incurrirá en una conducta eventualmente sancionable por la AEPD. Esto es igualmente necesario para el caso de servicios de alarma que captan imágenes solo en el momento de realizarse la intrusión. Según la instrucción de 8 de noviembre de 2006 de la AEPD, se deberán colocar en las zonas video-vigiladas al menos un distintivo informativo en lugar suficientemente visible, tanto en espacios abiertos como cerrados (por ejemplo, sobre el mostrador de la zona pública o en las zonas de acceso a las dependencias donde se ubique el Registro).

107

ASPECTOS FÍSICOS

Se deberá incluir una referencia a la “LEY ORGÁNICA 15/1999, DE PROTECCIÓN DE DATOS” (ver imagen), y una mención a la finalidad para la que se tratan los datos (“ZONA VIDEOVIGILADA”), y la identificación del responsable ante quien puedan ejercitarse los derechos de las personas en materia de Protección de Datos (ARCO). Asimismo, según la citada Instrucción de la AEPD, se han de tener a disposición de los interesados que lo soliciten, impresos en los que se detalle la información prevista en el artículo 5.1 de la Ley Orgánica 15/1999, proponiendo la propia Agencia, como modelo de clausula informativa, la siguiente: “De conformidad con lo dispuesto en el art. 5.1 LO 15/1999, de 13 de diciembre, de Protección de Datos, se informa: 1. Que sus datos personales se incorporarán al fichero denominado “xxxxxxxxx“y/o serán tratados con la finalidad de seguridad a través de un sistema de videovigilancia. 2. Que el destinatario de sus datos personales es: a. La empresa de seguridad xxxxxxxxx. b. El dueño del establecimiento xxxxxxxxx. 3. Que puede ejercitar sus derechos de acceso, rectificación, cancelación y oposición ante el responsable del fichero, que es “nombre o razón social” o su representante D. / Dª. xxxxxxxxx, ubicado en Calle xxxxxxxxx de xxxxxxxxx”.

Este modelo deberá ser debidamente cumplimentado por el Registro antes de ser entregado a la persona que lo solicite. En los casos en que las cámaras del Registro no graben las imágenes, sino que sólo se emitan en circuito cerrado, no existiría obligación de declarar un fichero, pero sí se produce un tratamiento y, por tanto, existe el deber de cumplir con todas las restantes obligaciones, y en particular, con el deber de información mediante el correspondiente cartel e impresos, en la forma arriba indicada. Adicionalmente a lo anteriormente indicado, hay que recordar que la contratación por Entidades (empresas, administraciones públicas, organizaciones, etc.) de este tipo de servicios, requiere normalmente también la celebración de un contrato en los términos que recoge el artículo 12 de la LOPD y su Reglamento de desarrollo, y que han sido ya indicados en los apartados correspondientes del Manual. No obstante, cabría diferenciar dos supuestos ya que es posible que la empresa no realice un tratamiento de datos y por tanto no sea necesario celebrar este contrato.

108

ASPECTOS FÍSICOS

Así, acorde al Informe 0209/2009 de la AEPD, la implementación de sistemas de videovigilancia puede dar lugar a distintos tipos de prestación: Una empresa externa puede prestar servicios consistentes en: ● Instalación y/o mantenimiento técnico de los equipos y sistemas de video-vigilancia sin acceso a las imágenes. En este caso la empresa de seguridad no posee la condición de encargado de tratamiento correspondiendo al responsable, que la contrató (por ejemplo, al propio Registro), la adaptación de la instalación a los requisitos normativos. Por ejemplo, son los casos de la simple instalación técnica de las cámaras y los equipos de grabación por una empresa de seguridad que actúa como instalador autorizado limitándose a tareas puramente técnicas que no comporten acceso a las imágenes. ● Instalación y/o mantenimiento de los equipos y sistemas de video-vigilancia con utilización de los equipos o acceso a las imágenes. Únicamente en este segundo caso, la empresa de seguridad será considerada encargada del tratamiento y determinará la obligatoriedad de cumplir con las obligaciones de lo dispuesto por el artículo 12 LOPD. Por ejemplo, las empresas de seguridad que prestan servicios combinados de central de alarmas y video-vigilancia de modo que cuando se activa la alarma se comprueban directamente las imágenes por el personal de la empresa de seguridad. Por tanto, la empresa de seguridad puede prestar simplemente el servicio de instalación de la videocámara, teniendo el acceso a las imágenes la entidad contratante. O bien, puede darse el supuesto que además la empresa de seguridad se encarga de dicho tratamiento, y por tanto pueden acceder a las imágenes tanto la entidad contratante como la empresa contratada. Es en este último caso ineludible la celebración de un contrato de acceso a los datos por cuenta de terceros, en virtud de lo previsto en 12 de la LOPD.

6.1.2.4. Empresas externas de seguridad Para grandes Registros o agrupaciones de Registros es recomendable la existencia de personal responsable del control de acceso físico al edificio, que realizara las siguientes funciones: ● Seguimiento de las imágenes de video-vigilancia, en caso de existencia, u otras medidas de control de acceso. ● Control de acceso al recinto. Reconocimiento y autorización de acceso al recinto de los empleados y visitas, quienes deberán ser identificados, bien por el responsable de acceso físico, recepcionistas u otro personal designado al efecto. Como ya se ha comentado en los Aspectos Organizativos de esta Guía (4.5. – “Gestión de Servicios Externos”), es un supuesto que el RDLOPD define como prestador de servicio sin acceso a datos, que realiza actividades para el Registro en base a un contrato de prestación de servicios pero que no necesita tener acceso a la información del Registro para realizarlo. Se recogerá expresamente la prohibición de acceder a los datos personales y la obligación de secreto respecto a los datos que el personal hubiera podido conocer con motivo de la prestación del servicio. Asimismo, el Responsable de Seguridad del Registro identificará el tipo de externo en el apartado de “Personal asociado” de SYGILO completando los datos de la prestación existente e identificará las funciones del externo en el apartado de “Documento de Seguridad” de SYGILO (Anexo de Funciones).

6.1.2.5. Barrotes en ventanas, puertas blindadas y otros medios de seguridad Para evitar accesos no autorizados a los locales del Registro desde el exterior, es muy recomendable la instalación de diferentes medidas de seguridad encaminadas a evitar daños y robos, tales como: 109

ASPECTOS FÍSICOS

● Barrotes en las ventanas y otros huecos para impedir esos accesos. ● Puertas blindadas en las salidas exteriores del recinto. ● Detectores de infrarrojos.

6.1.2.6. Aislamiento de las diferentes zonas del Registro Como se ha comentado anteriormente, se pueden considerar diferentes zonas en la distribución física de los Registros. Se han de separar y aislar las zonas pública y privada, mediante puertas u otras medidas compensatorias, tendentes a dejar claro el carácter restringido, prohibido y privado de la zona a la que se accede, como es el caso de: ● Postes separadores de cordón ● Cintas extensibles ● Carteles de aviso ● Otros medios similares o alternativos

6.1.2.7. Especial tratamiento de dependencias de las Oficinas Liquidadoras En el caso de las Oficinas Liquidadoras, los Registros no son Responsables del Fichero sino Encargados de Tratamiento de estos datos, en función del convenio firmado con la Administración competente. Dado que una de las funciones principales de estas Oficinas Liquidadoras es la recaudatoria, se habrá de prestar especial atención a las medidas de seguridad existentes en el manejo de fondos y la confidencialidad de los datos que se tratan. Por ello, es muy recomendable situar la Oficina Liquidadora en la zona privada del Registro con medios específicos que ayuden a asegurar la confidencialidad de la información como por ejemplo, biombos u otros elementos similares. Además, es recomendable que estos órganos del Registro dispongan de su área específica de atención al público. Otras medidas que podrían implantarse, para mayor seguridad de la función, información y personal, es la instalación de vidrios de seguridad y esclusas para el paso de documentos y efectivo, sin perjuicio de que existan otras actuaciones compensatorias similares.

6.1.2.8. Especial tratamiento de los lugares donde se almacenan las cintas magnéticas y discos de copias de seguridad y documentación con datos especialmente protegidos Como consideración adicional a la realización de las copias de seguridad y respaldo de la información de carácter personal, y sin perjuicio de su externalización, el Responsable de Seguridad deberá asegurarse de que tales soportes permanecen en todo momento bajo custodia, evitando accesos no autorizados. En este sentido, se propone su almacenamiento en lugares restringidos a los empleados cuya responsabilidad exige su presencia en dichas áreas o el uso de dicha documentación, pudiéndose guardar en salas con puerta cerrada especialmente dedicada a ellos o armarios bajo llave, estableciendo una oportuna política de seguridad y control de uso de dichas llaves. Tal política deberá contemplar la designación de un responsable formal a tal efecto, cuyas competencias contemplarán: ● La custodia de las llaves. ● La retirada de las mismas una vez ha finalizado la jornada laboral. ● El almacenamiento de aquellas en un lugar no visible con acceso exclusivo del personal del Registro que necesite su uso acorde a sus funciones.

110

ASPECTOS FÍSICOS

6.1.2.9. Sistema de Alimentación Ininterrumpida (SAI) Un SAI es un Sistema que sirve para alimentar uno o varios equipos, en el caso de que se produzca un fallo de corriente. Este SAI, aporta la energía necesaria para asegurar el funcionamiento de los Equipos. Un SAI principalmente está formado por una batería o varias, un convertidor de corriente que transforma la energía continúa en alterna, y la eleva hasta obtener una tensión de 220V. Los SAI normalmente tienen una autonomía aproximada de unos diez minutos, aunque existen modelos de gran autonomía de servicio. Esta autonomía está directamente relacionada con el consumo que tengan los dispositivos conectados al SAI. En función del tiempo que se necesite que el SAI mantenga activos los equipos conectados a él, se elegirá un modelo con mayor o menor tiempo de autonomía. Es muy recomendable la existencia de una unidad de alimentación ininterrumpida (SAI) con baterías autónomas que puedan prestar funciones de unidad estabilizadora de corriente eléctrica en caso de caída de tensión.

6.2. Medidas de seguridad en la sala de servidores y centro de procesamiento de datos (CPD) Se denomina centro de procesamiento de datos (CPD) a la ubicación donde se concentran los equipamientos electrónicos y recursos necesarios para el mantenimiento del procesamiento de la información de un Registro. El CPD garantiza la continuidad del servicio a clientes, empleados, ciudadanos, proveedores y empresas colaboradoras del Registro, pues supone la protección física de los equipos informáticos o de comunicaciones implicadas, así como servidores de las bases de datos que puedan contener información crítica. Lo importante de un CPD es garantizar la seguridad de los servidores y equipos de comunicaciones que en él se alojan. Por tanto, es imprescindible que todos los servidores y equipos de comunicación estén dentro del CPD y nunca en otras áreas diferentes del Registro. Las consideraciones básicas que hay que tener en cuenta a la hora de diseñar un CPD son el espacio y su ubicación, la energía eléctrica del CPD a una capacidad máxima, su refrigeración, acometidas eléctricas, canalizaciones para proveedores de servicios de telecomunicaciones, sistemas anti‐incendio, elementos ignífugos, etc.

6.2.1. Ubicación del CPD El CPD debe ubicarse en el área restringida de la zona privada del Registro, teniendo en cuenta las siguientes recomendaciones: ● Espacio físico exclusivamente dedicado a CPD dentro del Registro. ● Implantación de medidas para detección y extinción de incendios. ● Se puede considerar implantar mecanismos de seguridad perimetral (detectores de intrusión, vídeo cámaras, etc.). ● La sala del CPD no debe disponer de ventanas acristaladas, o en su defecto, se instalarán detectores volumétricos o de movimiento en ellas. ● Se debe aislar en lo posible la sala donde se ubica el CPD. No es recomendable que se sitúe contiguo a muros exteriores o a paredes de otros edificios. ● Debería separarse de forma estanca, en la medida de lo posible, equipos informáticos de elementos de comunicaciones de armarios y soportes magnéticos, para evitar daños mayores. ● Las conducciones de agua no deben pasar por encima o los laterales de la sala o salas que alberguen equipos informáticos o de comunicaciones por el peligro de inundación. ● Los servidores y equipos encontrarse elevados (en un RACK) como medida adicional de protección frente a riesgos externos.

111

ASPECTOS FÍSICOS

6.2.2. Control de acceso al CPD El área física del CPD ha de contar con un sistema prefijado de control y registro de acceso a su interior. Todas las puertas de acceso al CPD deberán estar permanentemente cerradas. Los empleados del Registro autorizados expresamente, y dejando constancia en SYGILO, accederán al CPD única y exclusivamente a través de la puerta habilitada para tal fin. En caso de personas externas, como es el caso de especialistas de mantenimiento de los equipos o personal de limpieza de los locales, se necesitará una autorización expresa del responsable de Seguridad y, en la medida de lo posible, deberán ser acompañados por personal del Registro para supervisar sus actividades. Asimismo, es recomendable la existencia de un registro de acceso al CPD mediante instrumentos automáticos (tarjetas) o manuales (hoja de entrada).

6.2.3. Medidas ambientales Se debe considerar la existencia de un SAI para la alimentación ininterrumpida de los servidores del CPD, del modo ya comentado anteriormente para los locales del Registro. La temperatura de la sala del CPD es vital para su correcto funcionamiento. De no existir un adecuado sistema de refrigeración en el CPD, los equipos empezarían a averiarse por fallo térmico. Por tanto, la refrigeración de los equipos es un elemento crítico para el correcto funcionamiento del CPD. Los sistemas actuales de refrigeración por aire son grandes consumidores de energía. Conviene crear un sistema que genere una cortina de aire frío enfrente de las máquinas y la dirija después hacia ellas. Saliendo de los equipos por la parte de atrás, el aire frío que entró por la parte delantera se ha transformado en caliente y, en consecuencia, sube al techo, desde donde es ventilado fuera de las instalaciones.

6.3.

Mecanismos de control de acceso a las instalaciones del Registro

Un sistema de control de acceso tiene como finalidad verificar quién entra y transita por las instalaciones registrales y a qué dependencias accede, a fin de mantener la seguridad de personas, equipos e información de los Registros, asegurando que no accede ninguna persona no autorizada. Existe un fichero privado de control de acceso físico a los Registros, declarado ante la AEPD, cuya finalidad es el registro y la seguridad de las instalaciones registrales.

6.3.1. Acceso de empleados El Registrador fijará el modo de control del acceso de los empleados al Registro. Pueden establecerse diferentes medios, como los tornos, el personal de seguridad o tarjetas identificativas. Las tarjetas plásticas identificativas tienen como finalidad el permitir la entrada al portador de la misma, a instalaciones o zonas determinadas previamente, controlado por un sistema automático de apertura por medio de la lectura de la banda magnética, código de barras, de proximidad o similar. Los Registros que empleen estos sistemas de control controlarán intentos fallidos de entrada de personal. Los Registros que no empleen dichos sistemas mencionados deberán poner las medidas compensatorias adecuadas, como es el caso de puertas cerradas con llave, con una adecuada política de gestión de éstas, como ya se ha mencionado anteriormente. Ha de quedar constancia expresa en SYGILO de la identificación del personal del Registro con autorización de acceso a las áreas vitales del mismo, como son el despacho del Registrador o la sala de servidores o CPD.

6.3.2. Acceso de personal externo Este apartado se refiere a prestadores de servicios que acceden al Registro para realizar actividades en base a una relación contractual. Para el caso de prestadores de servicios que no necesitan acceder a información para desarrollar su actividad, se recogerá expresamente la prohibición de acceder a los datos personales y la obligación de secreto respecto a los datos que se hubiera podido conocer con

112

ASPECTOS FÍSICOS

motivo de la prestación del servicio, cumplimentado la correspondiente hoja de identificación de la persona externa y la de los datos de la empresa. En el supuesto del servicio de limpieza, es muy conveniente que tal servicio se preste en horario laboral, de tal modo que pueda de alguna manera controlarse la actuación del equipo de limpieza; si no fuera posible en ese horario, las mesas y aledaños deben quedar limpios de documentación con datos de carácter personal. A los prestadores del servicio de limpieza del Registro se ha de aplicar el modelo de clausulado de confidencialidad a incluir en el contrato de prestación de servicios que se recoge en el apartado 4.6. - “Normalización de la documentación del Registro”, siendo el Responsable de Seguridad del Registro la figura responsable de tener actualizados dichos acuerdos y bajo su custodia hasta la extinción del contrato. También, el Responsable de Seguridad del Registro identificará el tipo de externo que accede para la limpieza en el apartado de “Personal asociado” de SYGILO completando los datos de la prestación existente e identificará sus funciones en el apartado de “Documento de Seguridad” de dicha aplicación (Anexo de Funciones).

6.3.3. Control de visitas al Registro En caso de visitas a las zonas privadas del Registro, es conveniente tener en cuenta dos medidas: ● La existencia de un libro-registro de visitas. Para las visitas a las zonas privadas del Registro (más allá del mostrador), sería muy conveniente utilizar un libro de visitas. Lo importante al recabar datos de carácter personal de las visitas es, según la AEPD, informar de lo que indica la normativa vigente:  Existencia de un fichero automatizado  Finalidad de la recogida de los datos  Destinatarios de la información  Consecuencias de la negativa a suministrarlos  Posibilidad de ejercitar los derechos de acceso, rectificación o cancelación  Identidad y dirección del responsable del fichero No existe un modelo normalizado de cláusulas para el libro de visitas, pudiendo servir, como ejemplo: “A los efectos de lo dispuesto en la Ley Orgánica 15/1999, de 13 de Diciembre, de Protección de Datos de Carácter Personal, y su normativa de desarrollo, XXXXXXXX informa de la existencia de un fichero denominado “control de acceso físico” bajo la responsabilidad de XXXXXXXX, creado con los datos obtenidos en este Libro de Visitas. La finalidad de este fichero es el control del acceso físico de las visitas al Registro. Los interesados pueden, en todo momento, ejercitar los derechos de acceso, rectificación, cancelación y oposición sobre sus datos personales, comunicándolo por escrito a XXXXXXXX, C/ XXXXXXXX, de XXXXXXXX o a través de la dirección de correo electrónico [email protected]”.

Esta cláusula deberá estar siempre visible al interesado. Los datos recogidos serán los estrictamente necesarios para cumplir la finalidad de controlar el acceso, pudiéndose ser nombre, DNI, teléfono, y cualquier otro que el Responsable del Fichero decida y la visita consienta. Tales datos personales no podrán ser utilizados para otros fines y deberán ser destruidos cuando haya transcurrido el plazo de un mes contado a partir del momento en que fueron recabado (en interpretación del Informe de la AEPD 0290/2008). El Libro de visitas debería utilizarse con cualquier persona que acceda a las zonas privadas del Registro. En caso de acceso de personal de otros Registros a la oficina Registral, también ello debería constar como visita.

113

ASPECTOS FÍSICOS

Por último, lo más oportuno es que el Libro de visitas sea custodiado y rellenado por el propio personal del Registro. ● Que el personal del Registro realice un control adecuado de las visitas en la zona privada, acompañándolos durante su recorrido, teniéndolos siempre a la vista. Una buena solución es el establecimiento de zonas de visita fuera de las zonas privadas del Registro (por ejemplo, aneja a la sala de espera de tal modo que no puedan acceder a ningún tipo de información).

6.3.4. La confidencialidad en el trato al cliente presencial En la atención a los clientes en ventanilla o mostrador en los Registros se garantizará el mantenimiento de la confidencialidad de los datos manejados, asegurando la intimidad y el secreto de la información para otras personas que pudieran estar en la misma sala. El trabajador situado en el mostrador es el encargado de controlar los accesos y de custodiar la documentación que pueda encontrarse en ese momento. Se recomienda el uso de medios que eviten un acceso visual al monitor del ordenador del empleado de ventanilla o mostrador (como por ejemplo, el uso de filtros de privacidad para pantallas o bloquear el equipo cuando el empleado no se encuentre en su puesto de trabajo), y coordinar normas de comportamiento que aseguren la intimidad de quien está siendo atendido, como no divulgar información de forma verbal o utilizar el tono adecuado en las conversaciones telefónicas.

6.3.5. Control y seguridad de datos especialmente protegidos: libro de incapacitados Los dispositivos de almacenamiento de los documentos registrales que contengan datos de carácter personal especialmente protegidos deberán ser custodiados y almacenados en lugares que impidan el acceso de personas no autorizadas. Es el caso del Libro de Incapacitados, cuyo contenido es de nivel ALTO. Ha de ser objeto de especial salvaguarda en los Registros. Debe ser debidamente custodiado en el Archivo, procurando que no salga del mismo, salvo los folios en los que se trabaje, quedando constancia de alguna manera, por ejemplo a través de la aplicación Experior u otra análoga, de quien lo está utilizando.

114

ANEXO I. GLOSARIO

ANEXO I. GLOSARIO Agencia Española de Protección de Datos (AEPD). Ente de derecho público, con personalidad jurídica propia y plena capacidad pública y privada, que actúa con independencia de la Administración pública, encargado de velar por el cumplimiento de la normativa vigente en materia de Protección de Datos de Carácter Personal en Espa a . Tiene su sede en Madrid y su ámbito de actuación se extiende a toda España. Existen Agencias de Protección de Datos de carácter autonómico en la Comunidad de Madrid, Cataluña y País Vasco, con un ámbito de actuación limitado a los ficheros de titularidad pública declarados por las Administraciones autonómicas y locales de sus respectivas Comunidades Autónomas. Acceso Autorizado. Permiso concedido a un usuario para la utilización de los diversos recursos. En su caso, incluirán las autorizaciones o funciones que tenga atribuidas un usuario por delegación del responsable del fichero o tratamiento o del responsable de seguridad. Acceso Remoto. Todos aquellos accesos que se producen hacia o desde el exterior a la red corporativa del Registro. Existen mecanismos diversos para establecer estos accesos remotos, como, por ejemplo, conexiones por redes privadas virtuales (VPN), accesos por internet, accesos punto a punto desde ubicaciones remotas, etc. Aprend@. Plataforma online de concienciación y formación de los Registradores y del personal de los Registros. Atención al Cliente-LOPD. Departamento dependiente del área de Atención al Cliente del CORPME que tiene como función dar soporte en primer nivel a la implementación práctica de los criterios en materia de protección de datos adoptados por la Comisión LOPD y la Oficina de Seguridad del CORPME. Auditorías. Proceso mediante el que, por mandato legal, se revisa el estado del cumplimiento de las medidas de seguridad recogidas en el Título VIII del RDLOPD. Dicha norma establece la obligación de realizarse con periodicidad bienal, de forma interna o externa. Autenticación. Código asociado a un usuario mediante el cual el sistema tramita proceso de intento de verificación de la identidad del mismo en el sistema de información. Calidad de contraseñas. Asignación personalizada de una clave robusta a un identificador concreto de usuario. Se considera robusta toda contraseña superior a seis caracteres combinando mayúsculas, minúsculas, números o acentos. Centro Nacional de Inteligencia (CNI). Organismo público responsable de facilitar al Presidente del Gobierno y al Gobierno de la Nación las informaciones, análisis, estudios o propuestas que permitan prevenir y evitar cualquier peligro, amenaza o agresión contra la independencia o integridad territorial de España, los intereses nacionales y la estabilidad del Estado de derecho y sus instituciones. Centro de Procesamiento de Datos (CPD). Es el edificio o sala de gran tamaño usada para mantener equipamiento electrónico con el fin de garantizar la continuidad del servicio a clientes, empleados, ciudadanos, proveedores y empresas colaboradoras de un ente o institución. Cesión de datos. Revelación de datos realizada a una persona distinta del interesado para el cumplimiento de fines directamente relacionados con las funciones legítimas de cedente y cesionario con el previo consentimiento del interesado. No será preciso el consentimiento del interesado: ● Cuando la cesión esté autorizada en una ley. ● Cuando se trate de datos recogidos de fuentes accesibles al público (repertorios telefónicos, boletines oficiales,…). ● Cuando el tratamiento responda a la libre y legítima aceptación de una relación jurídica cuyo desarrollo, cumplimiento y control implique, necesariamente, la conexión de dicho tratamiento con ficheros de terceros.

115

ANEXO I. GLOSARIO

● Cuando la comunicación de los datos haya de efectuarse al Defensor del Pueblo, el Ministerio Fiscal o los Jueces o Tribunales o el Tribunal de Cuentas, en el ejercicio de las funciones que tiene atribuidas. ● Cuando la cesión se produzca entre Administraciones públicas y tenga por objeto el tratamiento posterior de los datos con fines históricos, estadísticos o científicos ● Cuando la cesión de datos de carácter personal relativos a la salud sea necesaria para solucionar una urgencia que requiera acceder a un fichero o para realizar los estudios epidemiológicos en los términos establecidos en la legislación sobre sanidad estatal o autonómica. Cifrado. Mecanismo de intercambio de información mediante el cual únicamente el emisor y receptor entienden el mensaje intercambiado o son capaces de comprender la comunicación sobre un canal establecido para la misma. Existen mecanismos de cifrado simétrico y asimétrico. Colegio de Registradores de la Propiedad, Mercantiles y de Bienes Muebles (CORPME). Corporación de Derecho Público, amparada por la Ley y reconocida por el Estado, con personalidad jurídica propia y plena capacidad, que goza de autonomía para el cumplimiento de sus fines. Tiene competencia sobre sus colegiados en todo el territorio nacional, la cual será ejercida directamente por la Junta de Gobierno y por los restantes órganos colegiales. Se rige por lo dispuesto en la Legislación Hipotecaria, en la de Colegios Profesionales y en sus propios Estatutos Generales. El Colegio estará integrado con carácter exclusivo y obligatorio por todos los Registradores en activo y por los miembros del Cuerpo de Aspirantes a Registros y, con carácter voluntario, por Excedentes y Jubilados. Comisión LOPD del CORPME. Órgano que tiene atribuidas las competencias en materia de Protección de Datos del CORPME por delegación de la Junta de Gobierno. Está compuesta por Registradores expertos en la materia, y tiene encomendadas las funciones de coordinación, interpretación y decisión de toda cuestión en materia de protección de datos con impacto en los Registros, Decanatos y en el propio CORPME. Confidencialidad. Principio básico en la seguridad de los datos que trata de garantizar que la información sea accesible únicamente por aquellos usuarios que tengan permiso para ello. Contraseña. Información confidencial, frecuentemente constituida por una cadena de caracteres, que puede ser usada en la autenticación de un usuario o en el acceso a un recurso. Control de acceso. Mecanismo que, en función de la identificación ya autenticada, permite acceder a datos o recursos. Copia de Seguridad (back up) o Copia de Respaldo. En tecnología de la información o informática es una réplica de la información contenida en un soporte con el fin de que estas copias adicionales puedan utilizarse para restaurar el original después de una eventual pérdida del dato. Por tanto, es una copia de los datos de un fichero automatizado en un soporte que posibilite su recuperación. Cortafuegos o Firewall. Es un equipo de hardware o software utilizado en las redes de ordenadores para prevenir comunicaciones prohibidas por la política de red. CRAB. Acrónimo del Centro Registral Anti-Blanqueo de capitales. Departamento del CORPME que surge a raíz de la Ley 10/2010 de 28 de abril, sobre Prevención del Blanqueo de Capitales y de Financiación del Terrorismo, que establece la política de prevención del blanqueo de capitales. En esta Ley se establecen como sujetos obligados, entre otros, a los Registradores de la Propiedad, Mercantiles y de Bienes Muebles. Es por ello por lo que el Colegio de Registradores crea el Centro Registral de Anti Blanqueo de Capitales (CRAB) a efectos de centralizar las comunicaciones que se deban realizar a los organismos competentes. Dato de carácter personal (DCP). Cualquier información concerniente a personas físicas identificadas o identificables susceptible de recogida, registro, tratamiento o transmisión. ● Datos identificativos: Nombre y apellido, dirección postal o electrónica, teléfono, fax, NIF, número de la Seguridad Social, imagen o voz, firma o huella digitalizada, marcas físicas, firma electrónica, dirección IP fija, etc...

116

ANEXO I. GLOSARIO

● Datos de características personales: Estado civil, fecha y lugar de nacimiento, edad, sexo, nacionalidad, características físicas, etc... ● Datos de circunstancias sociales: Propiedades, estilo de vida, aficiones, licencias, pertenencia a asociaciones, etc. ● Datos académicos y profesionales: Formación, titulación, experiencia profesional, detalles de empleo, etc. ● Datos económicos: Ingresos o rentas, bienes patrimoniales, datos bancarios, datos económicos de nómina, deducciones impositivas, impuestos, seguros, hipotecas, tarjeta de crédito, etc. ● Datos de transacciones: Bienes y servicios suministrados por el afectado, bienes y servicios recibidos por el afectado, transacciones financieras, etc. ● Datos especialmente protegidos: Datos de salud, afiliación sindical, ideología, creencias, vida sexual. Derechos de Acceso, Rectificación, Cancelación y Oposición (ARCO). ● Derecho de Acceso: Derecho gratuito a solicitar y obtener información gratuita sobre qué datos personales se tratan, con qué finalidad y con qué usos concretos, de dónde se han obtenido y si se han comunicado o se pretenden comunicar a terceros. ● Derecho de Rectificación: Derecho gratuito a corregir los datos personales cuando sean erróneos o incompletos. ● Derecho de Cancelación: Derecho gratuito a pedir gratuitamente que se supriman los datos personales cuando sean inadecuados, excesivos o innecesarios, o cuando se conserven durante un tiempo superior al que corresponda, o sean contrarios a la LOPD. La cancelación origina el bloqueo de los datos, consistente en la identificación y reserva de los mismos con el fin de impedir su tratamiento excepto para su puesta a disposición de Administraciones públicas, jueces y tribunales para atender a las responsabilidades que pudieran haberse originado. Transcurrido el plazo durante el cual deben guardarse los datos, hay que suprimir dichos datos. ● Derecho de Oposición: Derecho gratuito del afectado a que no se lleve a cabo el tratamiento de sus datos de carácter personal o se cese en el mismo. ATENCIÓN  En los procedimientos ARCO se han de respetar escrupulosamente los plazos establecidos en la Ley para contestar al interesado, so pena de sanción por la AEPD. Derecho de información del interesado. Cuando se solicitan y recogen datos personales a los interesados hay que comunicarles de modo previo, expreso, preciso e inequívoco: ● De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información. ● Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas. ● De las consecuencias de la obtención de los datos o de la negativa a suministrarlos. ● De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición. ● De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. Todo ello se cumple en los Registros mediante los modelos de cláusulas de recogidas de datos propuestos por la OSE para los documentos tipo que se utilizan (presentación de documentos, gestorías, notas simples,…). Destrucción segura de soportes o documentos. Proceso mediante el cual se garantiza que la información contenida en el soporte o documento no puede ser recuperada por ningún medio. Dirección General de los Registros y del Notariado (DGRN). Órgano del Ministerio de Justicia al que corresponde, entre otras funciones, la organización, dirección, inspección y

117

ANEXO I. GLOSARIO

vigilancia de las funciones de la fe pública notarial y las de naturaleza registral en las materias de la propiedad, bienes muebles y mercantiles, la evacuación de cuantas consultas le sean efectuadas sobre aquéllas, así como la tramitación y resolución de los recursos gubernativos contra los actos de los titulares del ejercicio de las citadas funciones. Disponibilidad. Principio básico en la seguridad de los datos que trata de garantizar que dicha información esté siempre disponible cuando se requiera. Dispositivos móviles. Cualquier equipo portátil y plataforma móvil que trate o permita el tratamiento de datos personales. Por ejemplo: ordenadores portátiles, PDAs, Blackberrys, teléfonos móviles, IPADs, etc. Documento. Todo escrito, gráfico, sonido, imagen o cualquier otra clase de información que puede ser tratada en un sistema de información como una unidad diferenciada. Documentación con datos especialmente protegidos. A efectos de la LOPD, toda documentación que contenga datos personales de nivel ALTO. Esto es, datos de salud, afiliación sindical, ideología, creencias o vida sexual. Documento de Seguridad. Documento elaborado por el Responsable del Fichero o Tratamiento que desarrolla las medidas de índole técnica y organizativa acorde a la normativa de seguridad vigente que será de obligado cumplimiento para el personal del Registro con acceso a datos de carácter personal. Encargado de Tratamiento. La persona física o jurídica, pública o privada, u órgano administrativo que, solo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento o del responsable del fichero, como consecuencia de la existencia de una relación jurídica que le vincula con el mismo y delimita el ámbito de su actuación para la prestación de un servicio. Podrán ser también Encargados de Tratamiento los entes sin personalidad jurídica que actúen en el tráfico como sujetos diferenciados. Entornos Colegiales. Conjunto de sistemas de información útiles para el Registro a los que se da soporte desde el CORPME. Entornos no Colegiales. Conjunto de sistemas de información útiles para el Registro a los que se da soporte desde empresas proveedoras externas al CORPME y al Registro. Fichero. Todo conjunto organizado de datos de carácter personal que permita el acceso a los datos con arreglo a criterios determinados, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso. Ficheros públicos. Son los ficheros que sean responsabilidad de órganos constitucionales o con relevancia constitucional del Estado o instituciones autonómicas con funciones análogas a los mismos, Administraciones públicas territoriales, entidades u organismos vinculados o dependientes de las mismas y las Corporaciones de derecho público, siempre que su finalidad sea el ejercicio de potestades de derecho público. Ficheros privados. Son los ficheros de que sean responsabilidad de personas, empresas o entidades privadas, así como los ficheros de los que sean responsables las corporaciones de derecho público, en cuanto dichos ficheros no se encuentren estrictamente vinculados al ejercicio de potestades de derecho público. Fichero automatizado. Conjunto organizado de datos de carácter personal guardados en soportes informáticos, accesibles mediante criterios de búsqueda y procedimientos informáticos o telemáticos. Fichero no automatizado. Todo conjunto de datos de carácter personal organizado de forma no informatizada y estructurado conforme a criterios específicos relativos a personas físicas, que permitan acceder sin esfuerzos desproporcionados a sus datos personales, ya sea aquél centralizado, descentralizado o repartido de forma funcional o geográfica. Fichero temporal. Ficheros de trabajo creados por usuarios o procesos que son necesarios para un tratamiento ocasional o como paso intermedio durante la realización de un tratamiento. Firma Digital. Método que demuestra la autenticidad de un mensaje digital o de un documento electrónico. Asocia la identidad de una persona o de un equipo informático al mensaje o documento. 118

ANEXO I. GLOSARIO

Fuerzas y Cuerpos de Seguridad del Estado (FCSE). Están formadas por los siguientes Cuerpos: ● Cuerpos de Seguridad del Estado dependientes del Gobierno de la nación (Policía Nacional y Guardia Civil). ● Cuerpos de Policía dependientes de las Comunidades Autónomas (donde existan). ● Cuerpos de Policía dependientes de las Corporaciones Locales (Ayuntamientos). Identificación. Código asociado a un usuario mediante el cual es reconocido como perteneciente a un sistema concreto de información. Incidencia de Seguridad. Cualquier anomalía que afecte o pudiera afectar a la seguridad de los datos. Pueden ser de confidencialidad, integridad o disponibilidad. Integridad. Principio básico en la seguridad de los datos que trata de garantizar que dicha información no sea alterada o modificada sin consentimiento o autorización del Responsable del fichero o de Seguridad. Intranet – LOPD. Canal directo de comunicación del CORPME con el Registro y el Registrador en materia de protección de datos. Normalización de la documentación. Proceso mediante el que se toman las medidas e incorporan las cláusulas necesarias para adaptar la documentación que utiliza el Registro, en cuanto a sus relaciones con proveedores, trabajadores y clientes, a la normativa de protección de datos. Normas de Uso y Buenas Prácticas para la Seguridad. Manual a disposición del Registro que tiene como objetivo de un lado, describir las normas de uso para los diferentes recursos de los Registros y las normas de conducta de los usuarios afectados, y, de otro, dar cumplimiento a la obligación legal del Registrador (Responsable del Fichero) de dar a conocer al personal a su cargo las normas de seguridad que afecten al desarrollo de sus funciones así como las consecuencias de su incumplimiento. Oficina de Seguridad (OSE). La Oficina de Seguridad se encuentra integrada en el CORPME. Vela por el cumplimiento de la legislación sobre Protección de Datos en los Registros, proponiendo medios de adecuación de los tratamientos existentes a los principios de la LOPD y su Reglamento. Perfil de usuario. Accesos autorizados a un grupo de usuarios. Perfiles de acceso (a los sistemas de información). Medida técnica que tiene el fin asegurar que los usuarios con permisos de acceso a un sistema de información determinado tienen acceso, únicamente, a aquellos recursos que precisen para el desarrollo de sus funciones. Prestación de servicios sin acceso a datos. Son los casos en los que el personal, tanto propio como ajeno al Registro, desarrolla actividades en el mismo sin necesidad de acceder a ningún dato de carácter personal (por ejemplo, servicio de limpieza). Se adoptaran las medidas necesarias para limitar el acceso a datos personales o a los soportes que los contengan. Procedimiento de disociación de datos. Tratamiento de datos personales que supone que la información que se obtenga no pueda asociarse a persona identificada o identificable. Rack. Armazón destinado a alojar equipamiento electrónico, informático y de comunicaciones cuyas medidas están estandarizadas para ser compatible con equipamiento de cualquier fabricante. Recurso. Cualquiera de las partes integrantes de un sistema de información. Registro de accesos. Mecanismo mediante el cual es posible guardar traza de las operaciones realizadas por un usuario en un sistema de información. Para sistemas que traten datos personales de nivel alto, la Ley exige que quede constancia del usuario que ha accedido, la fecha, hora y el fichero accedido así como el tipo de acceso, si ha sido autorizado (y en este caso, debe ser posible identificar el registro accedido) o denegado. Estos datos deben conservarse durante dos años y únicamente el Responsable del Fichero o de Seguridad debe tener el control sobre tales mecanismos.

119

ANEXO I. GLOSARIO

Registro General de Protección de Datos (RGPD). Medio establecido para que cualquier persona pueda consultar y conocer, de forma gratuita, la existencia de tratamientos de datos de carácter personal (ficheros), sus finalidades y la identidad del responsable del fichero. La información existente y objeto de consulta se refiere a determinadas características de los ficheros, tales como, identificación, quién es el responsable del mismo, dónde se ubican, el tipo de datos que tratan, órgano ante el cual ejercitar los derechos de acceso, rectificación, cancelación y oposición, y los colectivos de los que se recabaron los datos, entre otras. Es posible consultar los ficheros que el Registro tiene actualmente declarados en la Agencia Española de Protección de Datos cumplimentando los campos correspondientes en la web de la AEPD (Agencia Española de Protección de Datos). Responsable del fichero o del tratamiento. Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que, sólo o conjuntamente con otros, decida sobre la finalidad, contenido y uso del tratamiento, aunque no lo realizase materialmente. Podrán ser también responsables del fichero o del tratamiento los entes sin personalidad jurídica que actúen en el tráfico como sujetos diferenciados. En el caso de los Registros es siempre el Registrador. Responsable de Seguridad. Persona o personas a las que el Responsable del Fichero (Registrador) ha asignado formalmente la función de coordinar y controlar las medidas de seguridad aplicables en el Registro. Servicio Externo. Toda prestación de servicio que requiera la colaboración de terceros (trabajadores autónomos o empresas ajenas al Registro). Estos servicios externos pueden requerir acceso o no a datos de carácter personal responsabilidad del Registro. Soporte. Objeto físico que almacena o contiene datos o documentos, u objeto susceptible de ser tratado en un sistema de información y sobre el cual se pueden grabar y recuperar datos. Sistema de Información. Conjunto de ficheros, tratamientos, programas, soportes y en su caso, equipos empleados para el tratamiento de datos de carácter personal. Sistema de tratamiento. Modo en que se organiza o utiliza un sistema de información. Atendiendo al sistema de tratamiento, los sistemas de información podrán ser automatizados, no automatizados o parcialmente automatizados. Tercero. Persona física o jurídica, pública o privada, distinta del afectado o interesado, del responsable del tratamiento, del responsable del fichero, del Encargado de Tratamiento y de las personas autorizadas para tratar los datos, bajo la autoridad directa del responsable del tratamiento o del Encargado de Tratamiento. Podrán ser también terceros los entes sin personalidad jurídica que actúen en el tráfico como sujetos diferenciados. Transmisión de documentos. Cualquier traslado, comunicación, envío, entrega o divulgación de la información contenida en el mismo. Tratamiento de datos. Cualquier operación o procedimiento técnico, sea o no automatizado, que permita la recogida, grabación, conservación, elaboración, modificación, consulta, utilización, cancelación, bloqueo o supresión, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias. Tratamiento profesional de la información registral. Cumplimiento de la normativa vigente sobre protección de datos de carácter personal en el desarrollo de las actividades propias del Registro (Artículo 222.6 de la Ley Hipotecaria: “Los Registradores, al calificar el contenido de los asientos regístrales, informarán y velarán por el cumplimiento de las normas aplicables sobre la protección de datos de carácter personal”). Tribunal Constitucional (TC). Órgano constitucional que ejerce la función de supremo intérprete de la Constitución Española de 1978. Tribunal Supremo (TS). Órgano Judicial único en España, con jurisdicción en todo el territorio nacional, constituyendo el Tribunal superior en todos los Órdenes (Civil, Penal, Contenciosoadministrativo, Social y Militar), salvo lo dispuesto en materia de garantías y derechos constitucionales, cuya competencia corresponde al Tribunal Constitucional.

120

ANEXO I. GLOSARIO

Usuario. Sujeto o proceso autorizado para acceder a datos o recursos. Tendrán la consideración de usuarios, los procesos que permitan acceder a datos o recursos sin identificación de un usuario físico. Usuario genérico. Usuario compartido para el acceso a los sistemas de información. El RDLOPD establece la obligación de disponer de usuarios unívocos, es decir, cada identificador de usuario se asignará a una sola persona o existirán mecanismos alternativos que permitan esta relación y asignación de responsabilidades sobre el usuario. Únicamente es posible la utilización de usuarios genéricos en aquellos supuestos que sean necesarios para el correcto funcionamiento de las plataformas tecnológicas.

121

ANEXO II. REFERENCIAS DE INTERÉS

ANEXO II. REFERENCIAS DE INTERÉS ● Instrucción de 17 de febrero de 1998 de la DGRN. ● Circular 1/2003 sobre el modo de expedir la publicidad formal del Colegio de Registradores. ● Resolución de 11 septiembre de 2009 de la DGRN. ● Resolución de 29 de julio de 2010 de la DGRN. ● Resolución de 3 de diciembre de 2010 de la DGRN. ● Resolución de 19 de julio de 2012 de la DGRN. ● Informe 0034/2010 de la AEPD (número de finca como dato de carácter personal). ● Informe 0620/2009 de la AEPD (medidas de seguridad a adoptar por el encargado del tratamiento) ● Informe 189/2008 de la AEPD (carácter de las Mutuas de Accidentes de Trabajo y Enfermedades Profesionales). ● Instrucción 1/2006, de 8 de noviembre, de la AEPD, sobre el tratamiento de datos personales con fines de vigilancia a través de sistemas de cámaras o videocámaras.

122

ANEXO III. APLICACIÓN SYGILO PARA LA GESTIÓN LOPD EN LOS REGISTROS

ANEXO III. APLICACIÓN SYGILO PARA LA GESTIÓN LOPD EN LOS REGISTROS La aplicación para la gestión de la seguridad de la LOPD en los Registros (en adelante, SYGILO) permite controlar el cumplimiento de las obligaciones que establece la Ley Orgánica de Protección de Datos (LOPD) respecto a los ficheros con datos de carácter personal de los Registros para todos los niveles de seguridad. La aplicación SYGILO aborda la seguridad de la información en los Registros de acuerdo con el Documento de Seguridad; realiza una adecuada gestión de incidencias, tal como establece la LOPD; formaliza el inventario de soportes con datos de carácter personal y permite realizar un control de las copias de seguridad. También permite la ejecución de auditorías para realizar un diagnóstico del estado de adecuación a la normativa vigente. Existe en SYGILO la documentación necesaria para la gestión de las diferentes opciones que permite la aplicación. Se han creado manuales de formación de SYGILO por parte del Centro de Formación del CORPME para su uso y conocimiento, explicando, de modo práctico, sus diferentes apartados y contenido. Dichos manuales y materiales de formación están disponibles en la Intranet del Colegio de Registradores, pudiendo ser solicitados al propio Centro de Formación o al Centro de Atención al Usuario (CAU LOPD). Asimismo, la Plataforma de formación online “Aprend@” contempla cursos específicos para el uso y conocimiento de la aplicación SYGILO.

123