Sistema Interno de información de Interbiak: Protección y confidencialidad de datos personales
Protección de datos y seguridad de la información: régimen jurídico
Los datos personales de la persona informante, personas afectadas y terceras personas, recogidos durante el proceso de gestión de la información, se tratarán de forma confidencial y cumpliendo con las obligaciones establecidas en la normativa de protección de datos personales y de seguridad de la información.
El tratamiento de los datos que sea necesario realizar en este proceso se regirá por la siguiente normativa:
- Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016 (en adelante, RGPD).
- Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD).
- Ley Orgánica 7/2021, de 26 de mayo, de protección de datos personales tratados para fines de prevención, detección, investigación y enjuiciamiento de infracciones penales y de ejecución de sanciones penales (en adelante, Ley 7/2021).
- Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad (en adelante, ENS).
- Título VI de la Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción (en adelante, LPI).
Responsabilidad del tratamiento.
El órgano de administración de Interbiak será el órgano responsable de la puesta en marcha del Sistema Interno de Información y del tratamiento de los datos personales (LPI, art. 5.1)
La persona responsable del tratamiento, ostenta las siguientes responsabilidades y funciones:
- Decidirá y aplicará las medidas técnicas y organizativas de seguridad, dentro de su responsabilidad, más adecuadas al tratamiento de datos personales.
- Realizará análisis de riesgos y evaluaciones de impacto cuando sean necesarios, de acuerdo con el RGPD.
- Notificará a la autoridad competente, a ser posible en el plazo de 72 horas, las violaciones de seguridad de los datos personales. Si la violación puede suponer un riesgo para los derechos y libertades físicas de las personas, también deberá notificarlo a las personas interesadas de inmediato.
- Resolver las solicitudes que reclamen el ejercicio de derechos sobre protección de datos (RGPD art. 15 a 22).
- Desarrollar el resto de funciones que le asigne la normativa de protección de datos.
El órgano de administración de Interbiak en calidad de responsable de la implantación del sistema interno de información y responsable del tratamiento, atribuye al Órgano responsable del sistema interno de información (ORSII), la condición de Responsable del Sistema interno de información.
El ORSII tendrá como funciones la gestión y resolución de solicitudes de derechos de protección de datos y presentación de alegaciones ante autoridad de control competente cuando haya posibles violaciones de seguridad y denuncias. De esta manera, se agilizará la gestión de las solicitudes de la persona interesada y la comunicación con las autoridades y organismos de control.
Legitimación para el tratamiento de datos personales.
Interbiak está obligada como entidad vinculada o dependiente de una Administración pública a tener un sistema interno de información (LPI, art. 13). El tratamiento de los datos personales necesario para la gestión de las comunicaciones sobre infracciones se realizará, según LPI, art.30.2 , y cumpliendo con lo establecido en RGPD, art. 6.1.c, art. LOPDGDD, art. 8.1 y Ley 7/2021, art. 11.
Solo se tratarán los datos personales necesarios para la gestión del sistema interno de información y se suprimirán en el momento que ya no sean necesarios para el conocimiento o investigación del caso (LPI, art.2). Se añadirán las garantías correspondientes para una protección adecuada de los intereses y derechos fundamentales de las personas interesadas.
También se suprimirán los datos personales de las comunicaciones:
- Cuando se refieran a comportamientos no incluidos en la LPI.
- Cuando se acredite que la información o parte de ella es falsa (excepto si esta falta de veracidad puede suponer una ilegalidad; en ese caso, la información se guardará durante el procedimiento judicial).
- Cuando sean datos de categoría especial y no sea necesario tratarlos.
Los datos de categoría especial (RGPD art. 9.1.) no son necesarios para la gestión de las comunicaciones recibidas. Si se considerara necesario hacerlo,
deberá regirse por el RGPD, art.9.2 g). según el cual "el tratamiento es necesario por razones de un interés público esencial, sobre la base del Derecho de la Unión o de los Estados micitebros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales de la persona interesada"
Acceso a los datos personales contenidos en el sistema interno de información y comunicación a terceras personas
A los datos contenidos en el sistema interno de información solo podrán acceder (LPI, art. 32.1):
- Personas que forman parte del órgano responsable del SII (ORSII) y la persona física en quien este delega las facultades de gestión del sistema interno de información y de tramitación de expedientes de investigación.
- Persona delegada de la protección de datos
- Persona responsable de Recursos Humanos o el órgano competente
- asignado (si es necesario tomar medidas disciplinarias contra personas empleadas).
- Persona responsable de los Servicios Jurídicos (si es necesario
- tomar medidas legales sobre los hechos comunicados).
- Personas encargadas del tratamiento designadas en cada caso.
Los datos contenidos en el sistema interno de información se podrán comunicar a terceras personas, cuando sea necesario para:
- Tomar medidas correctoras en Interbiak.
- Tramitar procedimientos sancionadores o penales.
El sistema interno de información permitirá presentar comunicaciones de forma anónima.
En caso de que la persona informante revele su identidad, esta solo podrá ser comunicada a la Autoridad judicial, al Ministerio Fiscal o a la autoridad administrativa competente en el marco de una investigación penal, disciplinaria o sancionadora. Estas situaciones están protegidas por normativa, de manera que, antes de comunicar a terceras personas los datos, la autoridad competente informará por escrito a la persona informante explicando el porqué de la revelación de su identidad. No se comunicará si ello puede comprometer la investigación o procedimiento judicial.
El aplicativo del sistema interno de información cuenta con un libro-registro de las informaciones recibidas y sus investigaciones correspondientes (cumpliendo con los requisitos previstos en la LPI). Su acceso no es público. Solo podrá accederse a un registro o parte de un registro, dentro de un procedimiento judicial, bajo tutela de la Autoridad judicial competente y mediante un auto de dicha autoridad.
Conservación de los datos personales
Los datos personales sobre las informaciones recibidas y las investigaciones realizadas se conservarán durante el tiempo necesario y proporcionado en cumplimiento de la LPI.
Los datos se conservarán solo hasta que se decida iniciar la investigación. Y si ésta no se inicia pasados 3 meses desde la comunicación, se suprimirán. (excepto si se demuestra necesario conservarlos para el funcionamiento del sistema). La conservación de datos se podrá extender 3 meses más (es decir, un total de 6) si el caso es muy complejo. Si en el plazo de estos 3 o 6 meses no se ha dado curso a las comunicaciones, los datos solo podrán aparecer de forma anónima (no se aplicará el bloqueo previsto en la LOPDGDD, art. 32).
En el caso de los datos del libro-registro sobre las informaciones recibidas y las investigaciones realizadas se conservarán durante el tiempo necesario y proporcionado en cumplimiento de la LPI y hasta un máximo de 10 años.
Cumplimiento del deber de informar y atención de solicitudes de derechos en protección de datos personales
Cuando se vayan a tratar los datos personales de las personas interesadas, Interbiak deberá aportar la siguiente información (RGPD, art. 13 y 14):
- Nombre y datos de contacto de la persona responsable del tratamiento.
- Datos de contacto de la persona delegada de protección de datos.
- Fines a los que se destina el tratamiento de datos personales y su base jurídica.
- Categorías de personas destinatarias de los datos personales, en su caso.
- Plazo durante el que se conservarán los datos personales o los criterios para establecerlo cuando no sea posible.
- Sobre el derecho de la persona interesada a solicitar a la responsable del tratamiento el acceso a los datos personales y otros derechos que le reconoce la normativa de protección de datos.
- Sobre el derecho a presentar una reclamación ante una autoridad de control.
- Categorías (tipos) de datos personales de que se trate.
- Fuente de la que proceden los datos personales.
La información sobre protección de datos será concisa, transparente, comprensible, de fácil acceso y en lenguaje claro (RGPD, art. 12). Esta información se aportará en dos niveles (LOPDGDD, art. 11):
Nivel 1: Información básica de protección de datos
Se da en el momento que las personas comunican sus datos personales.
- Nombre de la persona responsable del tratamiento.
- Finalidad del tratamiento.
- Posibilidad de ejercer los derechos establecidos en el RGPD art. 15 a 22.
- Categorías (tipos) de datos que se van a tratar, si las hay.
- Fuentes de donde proceden los datos, si las hay.
- Enlace al segundo nivel de informaciónen el área de Transparencia de la página web de Interbiak.
Nivel 2: Información adicional de protección de datos
Esta información corresponde al resto de requisitos que establece la RGPD (art.13).
Es el resto de información necesaria para garantizar el cumplimiento del deber de información y transparencia.
Se publicará área de Transparencia de la página web de Interbiak en el apartado “Registro de Actividades de Tratamiento”.
La persona interesada podrá ejercer los derechos recogidos en la normativa sobre protección de datos (RGPD art. 15 a 22). Si la persona a la que se refiere la comunicación quisiera ejerce el derecho de oposición (RGPD art.21) prevalecerá el tratamiento de sus datos personales, salvo que haya pruebas de lo contrario.
La persona interesada puede ejercer sus derechos enviando un escrito a lal domicilio social de Interbiak, o en caso de que estuviera habilitada, a través de la sede electrónica de la entidad. Dispone también del derecho a reclamar ante la autoridad de control pertinente.
Registro de Actividades de Tratamiento de Interbiak. Toda la información sobre protección de datos formará parte de este registro. En la Actividad de Tratamiento (AT) “Sistema interno de información referente a infracciones e incumplimientos” aparecerá la siguiente información (RGPD, art.30):
- Nombre y datos de contacto de la persona responsable del tratamiento.
- Fines del tratamiento.
- Categorías de personas interesadas.
- Categorías de datos personales.
- Categorías de personas destinatarias a quienes se comunicarán los datos personales.
- Origen de los datos.
- Bases legales para el tratamiento de los datos personales.
- Plazos previstos para la supresión de las categorías de datos.
- Descripción de las medidas técnicas y organizativas de seguridad (RGPD, art.32 apartado 1)
- Derechos de las personas interesadas y cómo ejercerlos.
- Nombre y datos de contacto de la persona delegada de protección de datos de Interbiak.
Evaluación de impacto relativa a la protección de datos (EIPD).
El órgano de administración de Interbiak órgano de gobierno y responsable de tratamiento, ha realizado, antes del tratamiento de datos personales, una evaluación de impacto en protección de datos (EIPD).
Esta evaluación se realiza debido a la naturaleza, alcance, contexto y fines de la gestión del sistema interno de información en el tratamiento de datos, ya que puede suponer un alto riesgo para los derechos y libertades de las personas interesadas.
La EIPD ha permitido valorar y reforzar garantías y medidas de seguridad de los tratamientos de datos y asumir el nivel de riesgo no tratado con las medidas técnicas y organizativas disponibles. Todo ello en cumplimiento de la RGPD (art. 35) y de la LPI (en su disposición transitoria segunda, sobre el plazo de 3 meses establecido).
Para realizar la EIPD se ha procedido a:
- Describir las operaciones y fines del tratamiento previsto: análisis de datos e identificadores de las personas y operaciones a realizar que se recogerán en el sistema interno de información.
- Evaluar si las operaciones de tratamiento de los datos e identificadores son necesarias y proporcionadas a los fines para los que vayan a ser recogidos.
- Identificar los riesgos de las operaciones de tratamiento para las personas interesadas e incluir medidas y garantías para eliminarlos; en especial las dirigidas a minimizarlos (RGPD, art. 25.2) mediante el pseudónimo o el cifrado de datos cuando fuera necesario (RGPD, art. 32.1). Todo ello cumpliendo también con el resto de obligaciones de la normativa de protección de datos (RGPD y LODGDD ) y de sectorial que fuera de aplicación.
Confidencialidad
El sistema interno de información permite presentar y tramitar comunicaciones anónimas, de manera que se garantiza el anonimato de la persona informante.
Las comunicaciones que contengan datos personales también garantizan que la identidad de la persona informante no se revelará a terceras personas (excepto casos establecidos en la LPI).
El sistema interno de información no obtendrá datos que permitan identificar a la persona informante y contará con las medidas técnicas y organizativas adecuadas para preservar la identidad y confidencialidad de los datos sobre personas afectadas o terceras personas mencionadas en la información.
Durante la tramitación del expediente, las personas afectadas que mencione la comunicación tendrán el derecho a la misma protección (identidad y confidencialidad de datos) que las personas informantes.