24/05/2012
Multa a un gimnasio de madrid por difundir datos personales de 9.000 clientes
En una resolución a la que ha tenido acceso Servimedia, Protección de Datos sanciona a esta empresa con una multa de 3.000 euros por una infracción, tipificada como "grave", del artículo 10 de la Ley de Protección de Datos, que obliga al secreto profesional a los responsables de ficheros y a quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal.
La intervención de la AEPD tiene su origen en una denuncia que recibió de una clienta del gimnasio, B.B.B., a quien el centro remitió un correo electrónico en mayo del año pasado que contenía un fichero adjunto con datos de 9.293 personas, incluyendo los suyos. Ese fichero incluía el nombre, apellidos, domicilio, teléfono (línea fija y móvil), dirección e-mail, número de DNI y sexo de esos más de 9.000 socios.
02 Centro Wellness Plenilunio ha alegado a Protección de Datos que su intención era remitir un correo informativo de una campaña para perder peso, y así lo hizo a 334 clientes, pero la persona encargada de remitirlos, su responsable de estética y fisioterapia, "adjuntó por error un listado que tenía datos personales" de esos 9.293 clientes.
El gimnasio dice que ha pedido disculpas por este hecho a los destinatarios del correo y que ha tomado medidas, como la encriptación de todos sus documentos Word y Excel.
Sin embargo, la AEPD ha decidido multarle con 3.000 euros. "Ha quedado acreditado que 02 Centro Wellness remitió a terceros un documento en el que figuran los datos personales de abonados de la entidad (...) Esta información no puede ser facilitada a terceros, salvo consentimiento de los afectados o que exista una habilitación legal que permita su comunicación, que no concurren en el presente caso. Por tanto, queda acreditado que por parte de dicha entidad se vulnera el deber de secreto garantizado en el artículo 10 de la LOPD, al haber posibilitado que terceras personas tuviesen acceso a datos personales de los afectados", concluye la resolución.
(SERVIMEDIA)
12/04/2012
LA AGENCIA DE PROTECCIÓN DE DATOS SANCIONA A UNA ACADEMIA DE OPOSICIONES
La Agencia Española de Protección de Datos acaba de sancionar con 4.000 euros de multa a los responsables de una academia de preparación de oposiciones de Gijón, a los que la citada agencia considera autores de una «infracción grave».
El proceso sancionador cuya conclusión se acaba de hacer pública dio sus primeros pasos en febrero de 2010. Por aquel entonces la Policía Local de Gijón localizó en un vertedero ilegal, en el barrio de Tremañes, documentación confidencial de opositores que cursaban sus estudios en la academia sancionada.
Los responsables del centro de formación aseguraron en su defensa durante el proceso sancionador que habían contactado con una empresa de transportes encargada de llevar la documentación a un punto limpio de la empresa municipal Emulsa.
A pesar de todo, los responsables de la Agencia de Protección de Datos mantienen que «el responsable del fichero y, en su caso, el encargado del tratamiento deberán adoptar las medidas de índole técnica y organizativas necesarias para garantizar la seguridad de los datos de carácter personal», recoge la sanción.
Un extremo que no se cumplió en este caso, ya que los documentos deberían haberse destruido. Por ese motivo, según la Agencia de Protección de Datos, «no exonera de la responsabilidad de la denunciada la existencia de un recibo firmado por un tercero, en todo caso la documentación que debía recoger el transportista debía estar ya triturada», concluye el informe elaborado por la Agencia de Protección de Datos.
El deber de confidencialidad obliga, según los responsables de la sanción, «no sólo al responsable del fichero, sino a todo aquel que intervenga en cualquier fase del tratamiento».
No obstante, y tras haber tenido en cuenta el «carácter excepcional» de lo sucedido que los sancionadores aprecian en la localización de los ficheros arrojados al vertedero ilegal, la Agencia de Protección de Datos considera que estos hechos conllevan una multa de 4.000 euros a pesar de que se trata de una infracción tipificada como «grave».
Este caso recuerda al vivido por un médico gijonés al que la Agencia Española de Protección de Datos sancionó en su día por arrojar a la vía pública, concretamente en la calle Libertad, envases de biopsias en los que se recogían datos personales de los clientes del facultativo.
04/10/2011
El 72% de la información confidencial en manos de empresas acaba en la basura
Un 72 por ciento de la información confidencial en manos de empresas y profesionales acaba en contenedores de basura, según un estudio realizado por la organización internacional sin ánimo de lucro NAID, que promueve la destrucción de este tipo de datos.
La investigación, realizada durante los meses de junio y julio de 2011 con el objetivo de conocer si las empresas españolas cumple con la Ley de Protección de Datos en cuanto a la manipulación de datos confidenciales, se ha llevado a cabo en cincuenta organizaciones del sector financiero, sanitario, administración central y local y otros.
Durante la misma, se localizó, sin tratar adecuadamente, información confidencial relativa a clientes y usuarios como: historias clínicas de menores; resultados de analíticas con datos que identifican al paciente; historias clínicas de pacientes sometidos a tratamiento psicológico; listados de morosos con nombres y apellidos, direcciones, teléfonos, números de cuenta corriente y deuda pendientes; inversiones millonarias con información detallada de la cuenta, el nombre y el domicilio del inversor; datos completos con identificación y número de cuenta de los ingresos mensuales de empresa del sector turístico; y curriculum vitae con todo tipo de detalles.
Las cifras que se desprenden de la investigación realizada por NAID en España ponen de manifiesto que las empresas e instituciones se deshacen de documentación confidencial sin tratarla de manera adecuada y según la legislación vigente, exponiendo así públicamente información que debe tratar como estrictamente confidencial.
Concretamente, el 75 por ciento de los bancos investigados se deshacen de información personal/confidencial sin ser adecuadamente tratada; el 50 por ciento de los centros médicos investigados se deshacen de información confidencial sin ser tratada previamente; y el 100 por cien de los edificios y oficinas gubernamentales investigadas tira documentación personal y confidencial sin destruir; y, en general, l 78 por ciento de los trabajadores con acceso a esta documentación son conscientes de que se trata de información sensible ya que la rompen manualmente.
A la vista de los resultados, el estudio recalca que falta concienciación en las empresas sobre la normativa legal en vigor en España para tratar y destruir la información confidencial y que las empresas deben hacer un esfuerzo de sensibilización a la hora de manipular y desprenderse de material confidencial sobre sus clientes o usuarios
Fuente: http://www.europapress.es/portaltic/empresas/noticia-72-informacion-confidencial-manos-empresas-acaba-basura-20110913151338.html
05/04/2011
Una empresa vende ilegalmente datos de 36 millones de españoles
Obtener datos personales de cualquier ciudadano resulta actualmente muy sencillo. Previo pago de 210 euros cualquiera puede acceder a un archivo privado que tiene datos personales de 36 millones de personas residentes en España obtenidos sin su consentimiento del censo electoral y del padrón de municipios. Este archivo, que consta de una orden de inmovilización por parte de la Agencia Española de Protección de Datos así como 3,5 millones de euros en sanciones, resulta muy útil, por ejemplo, para las empresas que se dedican al cobro de deudas, y más ahora cuando la crisis ha disparado la morosidad.
La localización de los deudores es uno de los principales escollos de las empresas que se dedican el recobro de deudas. En el tiempo transcurrido desde la firma de un contrato hasta que se origina un impago, muchas personas se mudan, cambian de teléfono o se marchan de España. Para dar con un nuevo teléfono de contacto o con una nueva dirección, estas firmas pueden consultar legalmente los archivos públicos, como las guías telefónicas (Páginas Amarillas, Páginas Blancas, QDQ...), el Registro de la Propiedad y el Registro Mercantil. Pero no todo el mundo figura en estos archivos.
Desde 2004, el alicantino José Vicente Lucas ofrece una solución a todo el que quiera buscar a alguien. A cambio de una tarifa de entre 210 euros por ordenador autorizado y 1.400 euros por una "tarifa plana", Lucas facilita acceso a un archivo que hasta hace poco se llamaba Saberlotodo.com. "Gracias a mi base de datos se puede localizar el nuevo domicilio de un titular o saber con quién vive", dice el propio Lucas, que se presenta como "investigador judicial".
A la Agencia Española de Protección de Datos (AEPD) han llegado múltiples denuncias de personas que no se explican de dónde han obtenido sus datos determinadas empresas. Desde 2007, la AEPD ha abierto ocho procedimientos sancionadores contra Saberlotodo.com y le ha impuesto multas por valor de 3,5 millones de euros por el tratamiento de datos personales sin consentimiento de los afectados y por su cesión a terceras entidades. Además, ha ordenado la inmovilización del fichero, que considera "ilegítimo". Lucas ha recurrido estas resoluciones amparándose en un defecto formal: dice que las sanciones tendrían que ir dirigidas contra él mismo, propietario último del fichero, y no contra la empresa Saberlotodo. La Audiencia Nacional, sin embargo, ha confirmado todas las sentencias de la AEPD.
Pero el alicantino ha ido más allá y ha vuelto a poner a disposición de las empresas el archivo bajo un nuevo nombre, Trumbic, con sede en Suiza. Este cambio no se ha hecho a escondidas. Desde la web de Saberlotodo.com se informa del nuevo dominio y se facilita un número de teléfono en el que es sencillo contactar con Lucas, que explica que actualmente están suscritas a su archivo 190 empresas, por cuyas consultas ingresa unos 300.000 euros al año.
La AEPD, que impuso la primera multa a Saberlotodo.com en 2007, ha iniciado de oficio un procedimiento para comprobar el estado del fichero "porque hay indicios de que no se ha acatado la inmovilización", explica un portavoz de la Agencia, lo que podría acabar en una nueva sanción por infracción grave de la Ley de Protección de Datos y una multa de hasta 600.000 euros. Han pasado cuatro años desde que esta entidad impuso la primera sanción, y los datos de 36 millones de personas siguen disponibles por un módico precio.
Fuente: http://www.elpais.com/articulo/sociedad/empresa/vende/ilegalmente/datos...
08/03/2011
Expediente a cinco tribunales por dejar datos personales en la basura
Se dice que la justicia española sigue en el siglo XIX. En algunos casos, parece que así es. Cuatro juzgados y una Audiencia Provincial usaban, para desembarazarse de sus expedientes, un método bastante rústico y poco seguro: los metían en bolsas de basura y los bajaban al contenedor de la esquina. Sin más. Toda la información -DNI, datos de menores, informes psicosociales de parejas en proceso de divorcio, relación de bienes personales, declaraciones de víctimas de malos tratos, de abusos sexuales, desahucios- quedaba expuesta en mitad de la calle ante cualquiera que fuera lo suficientemente indiscreto como para hurgar en la basura. Esos juzgados y sus respectivas consejerías de Justicia se enfrentan ahora a sanciones de hasta 600.000 euros de la Agencia de Protección de Datos, que acaba de abrir ocho procedimientos sancionadores.
Todo empezó a finales de mayo de 2008, cuando unos periodistas de Telecinco encontraron en un contenedor de la calle, en Madrid, un montón de expedientes judiciales al lado de un juzgado de violencia contra la mujer. Siguieron buscando y comprobaron que lo mismo ocurría en Barcelona, Valencia, Sevilla y A Coruña. Denunciaron el caso ante la Agencia de Protección de Datos que, tras un año de investigación, ha abierto procedimientos de "declaración de infracción" contra cada uno de ellos y contra las consejerías de Justicia que no les han proporcionado recursos suficientes para tratar de forma diligente los papeles que ya no usan. En algunos de estos casos no había en el juzgado ni un mísero dispositivo para destruir papel. En otros, no tenían contenedores de reciclaje o un armario cerrado con llave para que cualquiera se lleve bajo el brazo un legajo lleno de intimidad ajena.
El gran problema de este asunto, en todo caso, es que no parece un descuido aislado de cinco tribunales, sino una práctica extendida. "Estos hechos han puesto de relieve la muy deficiente custodia de la información personal en juzgados y tribunales", señala Artemi Rallo, director de la Agencia Española de Protección de Datos. "Algunos magistrados habían pedido medios, archivos, contenedores, y no los habían recibido. Tampoco hay protocolos de obligado cumplimiento para los jueces que garanticen que los datos de carácter personal no acaben en la calle, o en Internet. La justicia todavía no se ha tomado en serio la protección de datos".
Rallo explica que, después de la denuncia de los periodistas de Telecinco, se creó un grupo de trabajo con el Consejo General del Poder Judicial para solucionar estos graves problemas de seguridad. "Hay que formalizar un convenio que establezca reglas muy claras para todos los juzgados y tribunales. Es importante que todos en la oficina judicial sepan qué es lo que hay que hacer. Al final, estas prácticas inadecuadas afectan al propio desarrollo de la actividad jurisdiccional".
Los acusados en este caso son el Juzgado de Violencia contra la Mujer número ocho de Madrid, el Juzgado de Primera Instancia e Instrucción número 6 de Alzira (Valencia), el Juzgado de Primera instancia número 6 de Sevilla, un Juzgado de Primera Instancia e Instrucción de Igualada, la Audiencia Provincial de A Coruña y las Consejerías de Andalucía, Galicia y Valencia. Como Madrid y Cataluña tienen sus propias Agencias de Protección de Datos, en estos dos casos se les ha remitido la investigación abierta para que continúen ellos con los procedimientos.
La basura judicial con datos sobre violencia de género -los más sensibles porque pueden contener información sobre la salud y vida sexual de los ciudadanos- pueden dan lugar a sanciones de 300.000 a 600.000 euros como infracciones muy graves. En el resto, juzgados y administración se enfrentan a multas de 60.000 a 300.000 euros por infracción grave.
Los tribunales no son los únicos con problemas para custodiar los datos que manejan. Hospitales y centros de salud, que tienen también que lidiar con cantidades ingentes de papel en forma de historias clínicas, han protagonizado varios episodios de este tipo. Datos de pacientes, enfermedades, antecedentes familiares, DNI, partes de salud mental, han aparecido en pasillos y en contenedores de basura cercanos a los centros. Una funcionaria de Fuengirola tiró en la calle datos de 7.000 pacientes de un ambulatorio en 2002. El año pasado 300 historias clínicas aparecieron abandonadas en plena calle, junto al antiguo hospital Puerta de Hierro, en Madrid.
Con información de Primitivo Carbajo (Galicia) y Lidia Maseres (Valencia)
14/02/2011
La AEPD publica una guía práctica para ciudadanos sobre “sus derechos a la protección de datos
Coincidiendo con la celebración del Día de la Protección de Datos en Europa, la AEPD (Agencia Española de Protección de Datos) ha publicado una Guía con información y consejos prácticos sobre el derecho fundamental a la protección de datos dirigida a los ciudadanos, que explica de forma simplificada cómo actuar cuando se solicitan sus datos personales, y a defender sus derechos, pero también a aprender a usar de forma responsable los datos de otras personas.
Más información:
https://www.agpd.es/portalwebAGPD/revista_prensa/revista_prensa/2011...
20/01/2011
No poner la leyenda informativa al pedir datos sale por 15.000 euros
Un cliente de la Sociedad Estatal de Correos y Telégrafos presentó tres quejas en una sucursal, rellenando para ello las hojas de reclamaciones que estaban a disposición de los usuarios. En el modelo de impreso que le facilitaron, además del espacio para redactar la queja, se pedía al reclamante el nombre, el apellido, el DNI y un teléfono y, como el cliente vio que no había ninguna información ni leyenda relacionada con la normativa de protección de datos personales, lo denunció ante la Agencia Española de Protección de Datos (AEPD).
Cuando la AEPD contactó con esa oficina de Correos para investigar los hechos, ya había formularios con la leyenda correspondiente, en la que se informaba a los usuarios que los datos personales se pedían para tramitar la queja, quién era el titular del fichero al que se iban a incorporar y dónde podían ejercitarse los derechos ARCO (acceso, rectificación, cancelación y oposición), es decir, el contenido que impone el art. 5 de la LOPD.
Correos esgrimió precisamente que el error de entregar formularios sin leyenda, que estaban en desuso, ya había sido subsanado, por lo que solicitaba que no se le impusiera ninguna sanción. Pero la AEPD no se ablanda ante esos argumentos, pues entiende que de lo que se trata es que al denunciante en concreto se le pidieron datos personales sin darle información respecto a la normativa de protección de datos, una “falta de diligencia” que supuso para Correos una sanción de 15.000 euros como autora de una infracción de carácter leve.
09/11/2010
Cuatro de cada cinco empresas de Baleares podrían ser sancionadas por infringir la Ley de Protección de Datos
Cuatro de cada cinco empresas de Baleares podrían ser sancionadas con hasta 300.000 euros por infringir la Ley de Protección de Datos, dado que sólo un 17,4 por ciento cumple las obligaciones básicas en materia de protección de datos, como son la inscripción de sus ficheros en el Registro General de Protección de Datos.
Así lo revela el Estudio sobre cumplimiento de la normativa de protección de datos en las empresas españolas, en el que han participado un grupo de empresas consultoras, entre las que se encuentra Forum Gabinete Jurídico y Nuevas Tecnologías, bufete radicado en Palma, y que pone de manifiesto el "precario" estado de las empresas españolas en general y de las baleares en particular en relación con la protección de los datos que manejan.
El informe refleja que en peor situación que las empresas de Baleares únicamente se encuentran las de Cantabria (15,1 por ciento) y País Vasco (14,1 por ciento), mientras que, a nivel nacional, únicamente el 19,3 por ciento cumple las obligaciones básicas en materia de protección de datos.
De este modo, la mayoría de empresas de las islas y del resto de España podrían ser multadas por infracciones, como no informar de la incorporación de los datos a un fichero, no adoptar las medidas de seguridad de la información que manejan o no facilitar a sus clientes el ejercicio de sus derechos.
La solución, según los autores, pasa porque administraciones públicas, empresas y asociaciones colaboren en la difusión de la necesidad de cumplir una normativa con tanta trascendencia como la Ley de protección de Datos, con el fin de "garantizar el derecho constitucional al honor y a la intimidad personal, que está especialmente amenazado por el auge de las nuevas tecnologías en la Sociedad de la Información"
Fuente: 20minutos.es
http://www.20minutos.es/noticia/867283/0/
02/11/2010
Multa de 6.000 euros a Vitalicio Seguros por tirar documentos confidenciales a la basura
Según la resolución hecha pública en septiembre, la AEPD considera que con esa acción se vulnera la Ley Orgánica de Protección de Datos (LOPD), que establece que debe garantizarse "la seguridad de los objetos de carácter personal" y subraya que debe evitarse "su alteración, pérdida, tratamiento o acceso no autorizado".
A la hora de establecer la cuantía de la multa, la AEPD tuvo en cuenta las decisiones tomadas por la empresa para subsanar el error, tales como la incoación de un expediente sancionador al responsable o la creación de un Comité de Seguridad, con el objetivo de que en el futuro no vuelva a producirse una situación como la del pasado año.
Los responsables de la empresa admitieron que la trituradora funcionaba bien, pese a lo cual los documentos fueron trasladados al contenedor de reciclaje y tienen un mes desde la resolución para interponer recursos.
Gracias a la denuncia de un lector
En la resolución se explica que que la multa es el resultado de una investigación abierta tras recibir 20 minutos "la llamada de un lector" y visitar el contenedor, comprobando que "en su interior había una gran cantidad de papeles con el membrete de Vitalicio Seguros y que dicha documentación ha sido abandonada por un empleado de la sucursal".
En los documentos hallados en el contenedor figuraban los nombres de los agentes encargados de captar clientes y un listado de los que maneja cada uno de ellos, además de las liquidaciones correspondientes a su trabajo.
Fuente: 20 minutos
02/11/2010
Miles de documentos confidenciales de Vitalicio Seguros terminan en la basura
Miles de documentos con información de clientes tirados en un contenedor para el reciclado de papel. Una acción que supone una clara vulneración de la Ley Orgánica de Protección de Datos. Un empleado de la sucursal del grupo Vitalicio Seguros situada en la avenida de San Francisco Javier abandonó ayer en la basura una gran cantidad de papeles con datos personales de miles de particulares.
Tras recibir la llamada de un lector denunciando los hechos, 20 minutos visitó el contenedor y comprobó que en su interior había una gran cantidad de papeles con el membrete de Vitalicio Seguros, empresa perteneciente al grupo italiano Generali.
El grupo tiene una política muy estricta en esta materia. En cada oficina hay una máquina que destruye documentos"
En ellos aparecen los nombres de los agentes encargados de captar clientes y un listado de los que maneja cada uno de ellos, además de las liquidaciones correspondientes a su trabajo.
Una de las afectadas es vecina de una localidad sevillana del Aljarafe. En un cheque por valor de 397,82 euros expedido a su nombre aparecen además sus apellidos, su NIF 1-6--0--C y el número de una cuenta corriente de la oficina de Cajasol 0156 (situada en la avenida Sánchez Arjona, 29).
Además figura el recibo de una póliza de seguro, firmada y sellada por Vitalicio, por un vehículo Opel Corsa, con matrícula SE----DF. Incluso hay una fotocopia de un cheque de la cuenta que el Banco Vitalicio de España C. A. de Seguros y P. P. tiene en el banco Santander Central Hispano.
Vulnera la ley
Los bufetes de abogados consultados aseguran que se trata de una infracción catalogada como grave en la Ley Orgánica de Protección de Datos, lo que conlleva unas sanciones (recogidas en el artículo 45) de entre 60.000 y 300.000 euros.
Joaquín Suárez, director regional de Vitalicio Seguros, dijo que «el grupo tiene una política muy estricta en esta materia. En cada oficina hay una máquina que destruye todos los documentos. Sin embargo, alguien ha optado por la solución más cómoda y ya hemos tomado las medidas disciplinarias adecuadas».
118 denuncias en Andalucía
La Agencia Española de Protección de Datos recibió 118 denuncias en 2008 desde Andalucía. Dato que supone el 10,6% del total nacional, cifrado en 1.107 denuncias. La mayoría de ellas hacen referencia al ámbito de las telecomunicaciones y las entidades financieras. Por provincias, la que más reclamaciones hizo fue Málaga, con 3; y la que menos, Granada, donde sólo hubo 13. Sevilla se situó segunda en la clasificación, con 32 denuncias el pasado año.
Fuente: 20 minutos
25/10/2010
La agencia de protección de datos sanciona a la SGAE por cámaras de vídeo
Santiago de Compostela, 25 oct (EFE).- La Agencia Española de Protección de Datos ha sancionado con 30.000 euros a la Sociedad General de Autores y Editores (SGAE), por irregularidades en la instalación de cámaras de vídeovigilancia en su sede de Santiago de Compostela, según ha informado hoy el Movimiento por los Derechos Civiles (MpDC).
La asociación recuerda en un comunicado que había presentado la denuncia hace año y medio y que la agencia ha entendido que el enfoque de las cámaras supone una infracción grave a la Ley orgánica de Protección de Datos.
Fuentes del Movimiento valoraron a Efe esta sanción, aunque agregaron que la cantidad de la multa no va a crear una gran preocupación a una entidad como la SGAE.
También comentaron que las cámaras objeto de esta sanción, como en otros casos en que han presentado denuncia, fueron instaladas por empresas especializadas, que conocen la legislación y deben informar a sus clientes.
Explicaron que esta situación se da también en numerosas instituciones, como los Ayuntamientos de A Coruña o Santiago, o entidades de la Xunta y de la propia administración central.
El MpDC resalta que, además, estas instituciones públicas no son sancionadas, como debían, sino que la Agencia Española de Protección de Datos sólo les avisa para que procedan a la corrección de las irregularidades. EFE
http://www.abc.es/agencias/noticia.asp?noticia=564731
15/10/2010
La seguridad de los datos
La consejera de Salud, Luisa María Noeno, aseguró ayer que las deficiencias en protección de datos en los hospitales públicos aragoneses que el pasado miércoles denunció la Agencia Española de Protección de Datos (AEPD) ya han sido resueltas. "La agencia realizó el estudio entre marzo y mayo de este año a través de una encuesta. En ese momento nosotros estábamos preparando un decreto por el que se creaban y suprimían ficheros y registros en los hospitales. En ese decreto, del 2 de julio, se centralizaban todos los ficheros en un centro de gestión", indicó.
Fuente: El periódico de Aragón
http://www.elperiodicodearagon.com/noticias/noticia.asp?pkid=617123
15/10/2010
Suspenso en protección de datos en hospitales públicos
Los centros de la Comunitat se encuentran entre los que mayores niveles de incumplimiento de la ley registran
EP Uno de cada tres hospitales españoles no cumple con la Ley Orgánica de Protección de Datos, que obliga a implantar medidas de seguridad y confidencialidad de la información sanitaria y las historias clínicas de los pacientes. los centros de la Comunitat Valenciana entre los que mayores niveles de incumplimiento de la ley de protección de datos, según los resultados de un estudio de la Agencia Española de Protección de Datos (AEPD).
Para dicha investigación, se ha requerido información a más de 600 hospitales públicos y privados registrados en el Catálogo Nacional de Hospitales e incluye centros todas las comunidades autónomas salvo Cataluña, Madrid y País Vasco (de estas dos últimas sólo han participado hospitales privados).
De todos ellos, un total de 562 hospitales accedieron a facilitar los datos demandados por la AEPD y, de estos, 202 presentan "deficiencias de cumplimiento" en algún punto de la ley que deberán "subsanar" en un plazo máximo de seis meses para no volver a ser apercibidos.
El informe muestra cómo el grado de incumplimiento de la normativa española de protección de datos es mayor en los centros públicos, ya que de los 268 hospitales del Sistema Nacional de Salud (SNS) analizados más de la mitad (159) deberán introducir alguna medida correctora.
De este modo, el 30 por ciento de los hospitales públicos analizados no dispone de medidas para evitar la sustracción, pérdida o acceso indebido a las historias clínicas de los pacientes y hasta el 37 por ciento no cuenta con un registro con todos los accesos a la información confidencial de que dispone.
Otro dato "especialmente preocupante", según ha reconocido el director de la AEPD, Artemi Rallo, es el hecho de que un 66 por ciento de los hospitales públicos no realice una auditoría bianual de seguridad como marca la ley, algo que sí hace el 88 por ciento de los hospitales privados.
Sin embargo, la normativa actual no establece ningún régimen sancionador de tipo económico para cualquier entidad pública que incumpla con la ley, según explica Rallo, por lo que en estos casos se informa de todas las carencias observadas tanto a las pertinentes consejerías autonómicas como al Defensor del Pueblo.
MULTAS DE 600 A 600.000 EUROS, SÓLO PARA LOS PRIVADOS
Por contra, para los incumplimientos en la sanidad privada la ley establece un régimen sancionador que puede variar en función de la gravedad de la infracción, con multas que pueden variar de entre 600 y 600.000 euros.
Por comunidades, la AEPD también ha detectado que los hospitales de Murcia y La Rioja son los que presentan mayores niveles de cumplimiento de la ley, mientras que en los centros de Cantabria, Canarias, Comunidad Valenciana y Aragón el incumplimiento es mayor según los conceptos analizados.
La realización de este estudio ha venido motivada por el aumento de quejas relacionadas con el incumplimiento de la ley por algunos centros y por la constatación de "alarmantes casos y procedimientos" tramitados por la Agencia, según asegura Rallo.
MÁS DE UN CENTENAR DE DENUNCIAS AL AÑO
En concreto, en 2009 se registraron un total de 123 denuncias y actuaciones previas de investigación en el sector de la sanidad, y en lo que va de año se han registrado cerca de 100 reclamaciones.
Entre los motivos de las mismas, los más frecuentes son la aparición de documentación clínica en la vía pública (tanto historiales médicos como informes y tarjetas sanitarias) y el almacenamiento de documentación clínica en áreas no restringidas al público y "al alcance de cualquiera".
Igualmente, la AEPD ha tramitado diversas reclamaciones por la pérdida de historiales clínicos de pacientes al proceder a la automatización de los historiales o por no tomar las medidas de seguridad adecuadas, o por la comunicación de datos o certificados hospitalarios a terceras personas.
Fuente: Levante-emv.com
http://www.levante-emv.com/comunitat-valenciana/2010/10/13/suspenso-proteccion-datos-hospitales-publicos/747315.html
15/10/2010
IU exige a Noeno que mejore el sistema de proteccion de datos hospitalarios
Barrena ha presentado en el registro de la Cámara una interpelación urgente para que la consejera explique el informe de la Agencia Española de Protección de Datos (AEPD) sobre los hospitales españoles conocido el miércoles, en el que se pone de manifiesto que los centros sanitarios de Aragón son de los que más incumplimientos cometen en la custodia de los datos personales.
Noeno replicó ayer que Aragón dispone de un decreto para proteger estos datos que fue publicado el pasado mes de julio y que la información de los hospitales se ha centralizado en un centro de gestión.
Barrena ha exigido a la consejera que dé explicaciones de cómo piensa "atajar este gravísimo problema" y ha asegurado que con la externalización de la gestión de los datos a que le faculta el referido decreto no se va a solucionar.
A su juicio, hay que garantizar "el control público" de estas cuestiones, teniendo además en cuenta que la propia AEPD dice que "uno de los mayores riesgos" es precisamente externalizar la gestión de los datos, y a pesar de ello el departamento "sigue adelante" con su intención.
IU propone, además, que se garantice que al menos cada dos años se revisan todos los procedimientos en materia de protección.
La AEPD, ha añadido Barrena, ha dado seis meses de plazo para corregir todas las deficiencias detectadas en su trabajo de campo, y por eso se ha registrado esta interpelación urgente, para que Noeno explique cómo va a cumplir con esas recomendaciones.
Fuente: EFE
http://www.abc.es/agencias/noticia.asp?noticia=553661
13/10/2010
Los hospitales españoles protegen mal las historias clínicas de los pacientes
El director de la Agencia Española de Protección de Datos (AEPD), Artemi Rallo, ha advertido esta mañana de la existencia de "importantes deficiencias" en la custodia y tratamiento de los datos personales de los pacientes por parte de los hospitales españoles.
Los fallos son más abundantes en la sanidad pública, según ha constatado la Agencia en un estudio basado en la consulta mediante cuestionario practicada a 562 hospitales públicos y privados de toda España con una salvedad: de Madrid y País Vasco sólo respondieron los privados y de Cataluña ninguno, dado que estas comunidades tienen sus propias agencias de protección de datos.
"Los principales incumplimientos se dan en la implantación de medidas de seguridad y custodia de la información", según ha explicado Rallo, pese a que los datos médicos están tipificados por ley como "sensibles" y "de especial protección" y requieren medidas de seguridad de nivel alto.
Así, nos encontramos, por ejemplo, con que el 30% de los centros públicos carece de medidas para evitar la pérdida o acceso indebido a la documentación clínica durante su transporte. O que en el 35% de los hospitales el archivo de las historias clínicas carece de mecanismos que impidan su apertura.
Pérdida de historiales
Cerca del 40% de los centros sanitarios públicos y del 15% de los privados incumplen la obligación de tener un registro de accesos a la información sanitaria custodiada. Y el 66% de los centros públicos no realizan auditoría de seguridad.
El estudio practicado parte de una realidad preocupante, que es el número de denuncias registradas bien por la difusión indebida de esa información personal de especial protección (sobre todo a través del intercambio de archivos P2P), bien por el abandono de historias clínicas en contenedores de la vía pública, bien por su almacenamiento en áreas no restringidas, bien por la pérdida de historiales en los procesos de automatización, según precisó el director de la AEPD.
En 2009 se presentaron 123 denuncias y en lo que va de año ya van 100, además de medio centenar de peticiones de tutela de derechos por parte de personas que han encontrado dificultades para acceder a datos propios o de sus familiares.
Fuente: http://www.elmundo.es/elmundo/2010/10/13/espana/1286968504.html
16/09/2010
Los ficheros sanitarios con datos personales aumentan un 24 por ciento en un año
Los ficheros con datos de carácter personal relacionados con el sector sanitario han aumentado un 24 por ciento respecto a las cifras registradas en el año pasado, según ha informado la Agencia Española de Protección de Datos (AEPD).
Fuente: www.diariomedico.com
16/09/2010
Una inmobiliaria debe pagar 60.101 euros por dar datos de una clienta
Una inmobiliaria tendrá que pagar 60.101,21 euros a una vecina de Santa Cruz por dar sus datos sin su permiso a la compañía de electricidad Unelco. Así lo ha determinado la Agencia Española de Protección de Datos (AEPD) que ha rechazado un recurso presentado por la inmobiliaria.
El organismo público, sin embargo considera probado que esta empresa facilitó los datos personales y bancarios de la propietaria de este inmueble a fin de que pudiera cumplimentar el formulario llamado "Póliza de abono para suministro de energía eléctrica" para la activación del alta de este servicio.
Sin embargo, según denunció la propietaria del inmueble el formulario de póliza de abono confeccionado por personal de la compañía contenía datos personales de la cliente, tales como dirección y de correspondencia que había sido proporcionados por la inmobiliaria. En el contrato se puede observar una rúbrica debajo del epígrafe donde dice "cliente" que no es la de la contratante.
Consentimiento
La empresa argumentó que no era necesario obtener consentimiento de la vecina para comunicar los datos a un tercero, ya que la denunciante había expresado su aceptación en un documento que sin embargo, luego había desaparecido. Para la empresa la cesión de los datos a Endesa "es una consecuencia que procede conforme a la buena fe, al uso y a la ley". La Agencia no duda en imputar a la inmobiliaria de una infracción de la Ley Sobre la Protección de Datos de Carácter Personal al considerar que este tipo de referencias "sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y de cesionario con el previo consentimiento del interesado".
Este tipo de infracciones pueden ser penadas con multas que oscilan entre los 300.506,05 euros y los 601.012,10. "En el presente caso ha quedado acreditado que la empresa cedió a Endesa los datos personales de la persona denunciante para una finalidad diferente para la que fueron recabados no habiendo podido justificar que contara con el consentimiento de la afectada para tal cesión.
En el presente caso no ha quedado acreditado ni el consentimiento de la vecina, ni en su defecto, que existiera una Ley que amparara esta cesión". La Agencia indica que la empresa mantenía una relación contractual con la dueña del inmueble que le obligaba a custodiar y proteger los datos personales de su cliente y a no cederlos a nadie, fuera de los casos previstos por las leyes o con el consentimiento expreso de la titular. La inmobiliaria poseía datos personales y bancarios de su clienta para el cumplimiento del contrato de adquisición de la vivienda y también para la realización de algunas gestiones relacionadas con la vivienda y los servicios que se necesitan para que la misma esté en disposición de ser habitada por el dueño que la adquiere de nuevas.
"La confianza dada por esta empresa para conseguir determinadas certificaciones y constituir la comunidad de propietarios de las nuevas viviendas, la buena fe en la ejecución y el fin que se persigue que es beneficioso para el propietario, de proporcionar suministró eléctrico a la vivienda son circunstancias concurrentes que, si bien no liberan totalmente de responsabilidad a la empresa imputada, si disminuyen de forma cualificada la misma". Por este razón se decidió bajar la cuantía de la sanción y reducirlas hasta los 60.000 euros. El organismo cree que el consentimiento para utilizar los datos debe ser "inequívoco".
Fuente: www.laopinion.es
15/09/2010
La Agencia de Datos supera los dos millones de bases de empresas inscritas
Madrid, 14 sep (EFE).- La Agencia Española de Protección de Datos (AEPD) ha alcanzado en el mes de agosto la cifra de 2.002.931 ficheros con datos de carácter personal inscritos en el Registro General de Protección de Datos por empresas y organismos públicos.
De ellos 439.832 han sido inscritos en los ocho primeros meses del año 2010, cifra que supera el total de ficheros inscritos en 2009 (380.177), según un comunicado difundido hoy por la AEPD.
Entre los sectores con mayor actividad en la inscripción de ficheros, destacan los relacionados con la pequeña y mediana empresa y autónomos (comercio, turismo y hostelería); el sector inmobiliario (comunidades de propietarios y construcción), y el sector sanitario (sanidad y farmacia).
Jerárquicamente destaca principalmente el número de bases de datos inscritas por las comunidades de propietarios, que ya ha superado la cifra acumulada de 241.000 ficheros registrados, y ha registrado un crecimiento en 2010 superior al 23 por ciento.
En segundo lugar se encuentran las notificaciones realizadas por el sector del comercio que cuenta con 212.761 ficheros, y que aumenta asimismo por encima del 24 por ciento respecto al año anterior.
En tercer lugar se sitúa el sector sanitario con 154.004 ficheros inscritos, seguido de las actividades de auditoria, contabilidad y asesoría fiscal, que cuentan con 108.872.
Con respecto a la finalidad por la cual se inscriben los ficheros, "es destacable" el aumento que sigue experimentando en los últimos años la notificación de los ficheros de videovigilancia, indica el comunicado.
Actualmente, la cifra total de ficheros inscritos que declaran esta finalidad es de 60.239 ficheros, de los cuales 22.820 ficheros han sido inscritos en los ocho primeros meses de 2010.
Asimismo, cabe destacar que los sectores de comercio (12.530) y turismo y hostelería (7.398) son actualmente los que mayor número de ficheros de videovigilancia notifican, seguidos de las comunidades de propietarios que se perfilan, cada vez más, como uno de los ámbitos en los que la videovigilancia tiene mayor presencia.
En cuanto a la distribución de los ficheros según la titularidad de los mismos se desprende que de los más de dos millones de ficheros inscritos en el registro, 104.443 de ellos son de titularidad pública y 1.898.488 son de titularidad privada.
Por comunidades autónomas, Cataluña (382.370), Madrid (277.703) y Andalucía (264.431) son las regiones que acumulan un mayor número de ficheros inscritos en el RGPD, seguidas a continuación por la Comunidad Valenciana y Galicia.
Fuente: www.elcorreo.com
13/09/2010
Documentación en la vía pública en Barcelona
La Guardia Urbana de Barcelona localiza diversa documentación abandonada en la calle, entre la que encuentra unos 100 currículums vitae con datos personales. Algunos de esos documentos (unos 35) incluyen además una ficha de la entrevista personal llevada a cabo entre el candidato y el entrevistador (con anotaciones referidas a la impresión causada y a su disponibilidad).
Tras la denuncia de la Guardia Urbana, la AGPD (PS/00525/2008, R/00474/2009) inicia un proceso sancionador, destacandose que en el momento de los hechos el responsable no disponía de documento de seguridad, lo que añadido a la presencia de los currículums en la calle, lleva a la AGPD a imputarle la infracción de dos deberes, el de seguridad (art. 9 LOPD) y el de secreto (art. 10 LOPD).
Una cuestión interesante que se discute entre el responsable del fichero o tratamiento y la AGPD es en qué momento empieza el cómputo de la prescripción de las infracciones, si debe iniciarse cuándo se produce el vertido de la documentación en la vía publica (argumento del responsable), o bien, tratándose de una infracción continuada, la misma comienza cuándo dicha documentación es depositada en la calle a la vista de terceros y finaliza en el momento en que la Guardia Urbana localiza las carpetas.
La AGPD se decanta por esta segunda tesis ya que se trata de una infracción permanente (citando la SAN 3-12-2008) con lo que la alegación de prescripción del responsable finalmente no prospera.
La AGPD expone además que el responsable debió adoptar las medidas de seguridad necesarias para impedir cualquier recuperación posterior de la documentación, medidas que no fueron tomadas (art. 44.3.h LOPD, infracción grave de seguridad) y que con su conducta, el responsable tambien vulneró el deber de confidencialidad, que tiene como finalidad evitar que quienes están en contacto con los datos personales, realicen filtraciones de los mismos no consentidas por los titulares de los mismos (art. 44.3.g LOPD).
Dado por tanto que el responsable quebrantó dos deberes (seguridad y secreto) y que ambas infracciones son de caracter grave, por aplicación del art. 4.4 del RD 1398/1993 (reglamento de procedimiento de la potestad sancionadora) las dos se subsumen finalmente en una sola (en este caso, infracción del deber de seguridad, art. 9 LOPD).
La sanción que se impone al responsable es de 4000 euros, importe inferior al habitual en estos casos, al haber ponderado la AGPD diversas circunstancias concurrentes que justifican la reducción del importe de la misma (por aplicacion del art. 45.5 LOPD) como son, por una parte, la existencia de un cambio de titularidad en la empresa meses antes del vertido y tambien por el hecho que la empresa estaba en periodo de cambio de sistemas de informacion, uno de cuyos motivos era precisamente, adaptarse a la LOPD.
09/09/2010
33.000 EMPRESAS SE ARRIESGAN A MULTAS DE 600.000 € POR NO PROTEGER DATOS
Acude usted al banco para hacer una consulta y, mientras habla con su asesor, puede ver sobre la mesa un listado de clientes con impagos. Lo tienen tan a la vista que hasta puede leer los nombres de esos ‘morosos’ sin ningún tipo de problema. Otro ejemplo. Va usted al médico y, antes de introducir sus datos, en la pantalla todavía figuran claramente los del paciente anterior. Son dos casos reales en los que información sensible de una persona está desprotegida. Ni el banco ni el centro sanitario están correctamente adaptados a la Ley Orgánica de Protección de Datos (LOPD). Y como ellos, la mayoría de empresas y organismos públicos.
Y es que en los últimos meses han saltado al primer plano de la actualidad una serie de casos que advierten sobre la gravedad del asunto. Los periódicos han informado sobre abandono de expedientes y currículos con datos personales sensibles en contenedores de basura o en otros lugares de fácil acceso. Una situación de indefensión a la que se unen otras prácticas que sufren los ciudadanos con cierta frecuencia, como el hecho de que sus datos personales acaben en poder de compañías que los acosan para ofrecerles servicios no deseados o realizarles encuestas sobre hábitos de consumo.
Lo primero, notificar
Uno de los primeros requisitos para llevar a cabo una correcta gestión de los datos personales es notificar a la Agencia Española de Protección de Datos (AEPD) los ficheros con que cuentan las entidades y el uso que se le da a esa información. En el registro de este organismo sólo hay inscritas, según los datos de febrero de 2008, un total de 5.723 entidades de titularidad privada. Una cantidad ínfima si se tiene en cuenta que en esa cifra se engloban desde comunidades de propietarios a centros sanitarios, comercios y todo tipo de compañías.
En el caso de Jaén, tan sólo el 10 por ciento de las empresas cumplen con el ordenamiento legislativo. Esto significa que únicamente 3.692 de las 36.962 sociedades mercantiles censadas en la provincia jienense estarían a salvo de una denuncia o una inspección por parte de los funcionarios de la AEPD.
Por este motivo, el delegado de la FAGA en Jaén, Juan José Romero-Ávila, y el presidente de la Confederación de Empresarios (CEJ), Leonardo Cruz, firmaron ayer un convenio de colaboración a fin de que las 80 asociaciones imbricadas en la patronal, y por extensión las 20.000 empresas que las conforman, conozcan y cumplan en forma y fondo la LOPD. «De esta forma -comenta Romero-Ávila- se evita el riesgo de ser sancionado, teniendo en cuenta que la AEPD está comenzando a incoar expedientes y que estamos hablando de una norma de obligado cumplimiento». El gasto no es desorbitado teniendo en cuenta que las multas pueden llegar a los 600.000 euros. La auditoria bianual y los seguimientos trimestrales cuestan unos 300 euros.
Desconocimiento
Félix Antonio Gallego, responsable de Conversia, firma especializada en adaptar las empresas a la LOPD, explica que aún hay mucho desconocimiento en cuanto a esta ley, aunque lleva en vigor desde 1999. «Algunas no lo saben y otras no ponen interés en adaptarse», apunta Gallego. «Cualquier dato, desde el nombre y el teléfono a otros más sensibles sobre salud o sexualidad, deben estar protegidos. Y tienen obligación de cumplir esta ley desde las empresas más pequeñas a las multinacionales».
Y el procedimiento es igual independientemente del tamaño de la empresa. El primer requisito es comunicar a la Agencia Española de Protección de Datos los tipos de ficheros (en papel, informáticos, etc.) con que se cuenta y el uso que se le da a esos datos. En un segundo nivel, las empresas tienen que mantener ciertas cautelas a la hora de manipular esos datos y en esta adaptación se instruye a los funcionarios sobre el manejo de las bases de datos.
«Normalmente se hace primero una auditoría de la situación actual de la empresa, y luego se las adapta para que cumplan con la ley», apunta Inmaculada Carranza, responsable de Legitec, que también se dedica a la adaptación de las empresas a la LOPD.
Además de la obligación de las empresas de adaptarse a esta normativa, los ciudadanos tienen también parte de responsabilidad.
«Muchos usuarios se extrañan de que los llamen a casa para hacer encuestas y ofrecerles servicios no deseados y no han pensado que autorizaron que su teléfono saliera en la guía», apunta Félix Antonio Gallego.
Sanciones
Y los empresarios no son los únicos que pueden revelar de forma indebida datos personales. «Un gesto tan sencillo y habitual como reenviar un correo electrónico en cadena ya supone revelar datos personales, como la dirección de e-mail», explica Mari Carmen Rodríguez, del departamento jurídico de Legitec.
Poco a poco, a fuerza de sanciones de la Agencia Española de Protección de Datos, se va extendiendo la idea de adaptarse a esta ley orgánica. De hecho, empresas como Telefónica han recibido ya cuantiosas multas de 60.000 euros (el importe puede oscilar entre los 600 y los 600.000 euros).
Normalmente, el proceso que lleva a una sanción se inicia con una denuncia, aunque la Agencia Española de Protección de Datos realiza inspecciones de oficio por sectores de actividad. Pero falta aún mucha información entre los usuarios sobre los derechos que le asisten.
Ante cualquier situación en la que un ciudadano considere que sus datos se han hecho públicos sin su permiso, puede hacer uso de los derechos de acceso, rectificación, cancelación y oposición. Esto significa que puede preguntar a la empresa, preferiblemente por escrito, cuáles son los datos referentes a su persona que posee. Si algunos no son correctos, los pueden modificar, pero también pueden cancelarlos y oponerse a que éstos sean públicos o que se usen para un fin no deseado.
Fuente: Ideal.es
http://www.gvconsulting.com/Noticias/33000-empresas-se-arriesgan-a-multas-de-600000-euros-por-no-proteger-datos.html
06/04/2010
La AEPD evalúa la protección de datos en hospitales de toda España
La Agencia Española de Protección de Datos (AEPD) va a evaluar si los hospitales cumplen las garantías de protección de datos, especialmente las medidas de seguridad y confidencialidad de la información sanitaria, tras haber recibido 123 denuncias en 2009 vinculadas a este sector.
29/03/2010
Sanidad comete una falta muy grave por el abandono de 925 historias clínicas
Protección de Datos reprende a la Generalitat por vulnerar la ley tras comprobar que los expedientes estaban al alcance de cualquiera en Xeresa.
La Agencia Española de Protección de Datos -AEPD- ha reprendido a la Conselleria de Sanidad por dejar un millar de historiales médicos al alcance de cualquiera en Xeresa. La AEPD considera que Sanidad cometió una falta muy grave y otra grave contra la Ley Orgánica de Protección de Datos porque la información médica era especialmente sensible.
La denuncia la interpuso un enfermero que reveló que había 925 historias clínicas de atención primaria “literalmente abandonadas” en un antiguo consultorio de la calle Miguel Vivó, que está en un inmueble propiedad del Ayuntamiento de Xeresa.
30/09/2009
Abandonan en la calle miles de fichas con datos personales de un antiguo bingo de Barcelona
La grave infracción cometida por el bingo podría suponer una sanción de hasta 300.000 euros.
Los Mossos d’Esquadra han levantado un acta por el abandono en la calle de miles de fichas con datos personales procedentes de un bingo, cerrado hace un año, de la calle Urgell de Barcelona, según confirmó un portavoz de la policía catalana.