Noticias Profesionales

Seguridad de la Información y Protección de Datos

El 93% de las empresas españolas incumple las medidas de seguridad para proteger datos personales

El plazo fijado por el Reglamento para aplicar las medidas de protección a los datos de nivel alto acabó hace apenas una semana

 

Las empresas españolas están obligadas a garantizar la seguridad de sus ficheros de datos personales, ya sean para manejo interno o aquellos que ceden a sus proveedores. Sin embargo, a pesar de que el último plazo para ponerse al día en este tema se cumplió el pasado miércoles y de que, según la Agencia de Protección de Datos (APD), la sensibilidad es cada vez mayor, la mayoría, el 93%,  de las empresas no cumple correctamente con la normativa vigente.

Habitualmente, las empresas manejan datos personales de sus empleados y, algunas menos, de sus clientes. Incluso, la mayoría cede parte de dicha información a distintos proveedores. Todos esos ficheros deben cumplir unas normas de seguridad que impidan tanto el acceso a esos datos de personas no autorizadas como su difusión incontrolada, tal y como dispone el Reglamento de medidas de seguridad de los ficheros automatizados que contengan datos de carácter personal de 1999, cuyo cumplimiento se debe revisar cada dos años.

Fin del plazo

Dicha norma estableció distintos plazos a los propietarios de los ficheros para cumplir sus disposiciones, en función de la sensibilidad de los datos en cuestión. El último de los tres niveles, el calificado por la Ley Orgánica de Protección de Datos como de nivel alto, aquel que hace referencia a los archivos que contienen los datos más sensibles (tales como ideología, religión, creencias, origen racial, salud, vida sexual y los recabados con fines policiales) y que fueron creados antes de 1999, se cumplió el pasado miércoles.

Se podría pensar que son pocas las empresas que manejan este tipo de datos, pero son muchas las que, por ejemplo, aplican retenciones por cuotas sindicales que se cargan en la nómina, por lo que cabe pensar, según Javier Ribas, socio de Landwell, la firma legal de PricewaterhouseCoopers, que el plazo afecta "a prácticamente todas las empresas".

Para el pasado miércoles, éstas deberían haber analizado en su estructura de la empresa los ficheros, el tipo de datos que éstos contienen y el grado de seguridad que debe proporcionárseles; así como establecer qué personas tienen acceso a los mismos (según un estudio de PricewaterhouseCoopersel, las empresas españolas ceden datos de sus empleados a una media de 46 proveedores), elaborar un documento que recoja todos los aspectos que afectan a la seguridad de los ficheros y hacer los cambios necesarios para cumplir con la normativa.

Con estas cifras y los tres años transcurridos desde la entrada en vigor del Reglamento en cuestión, lo lógico sería que la mayoría de las empresas hubieran dado los pasos adecuados. Sin embargo, el 93% no tiene en orden sus ficheros, según un estudio reciente de Landwell sobre 1.500 empresas, que revela que éstas no aseguran correctamente los ficheros que ceden a sus proveedores.

Sin embargo, este análisis constata diferencias significativas por tamaño y sector de las empresas. Así, la banca, el sector más avanzado, ha cumplido en un 68%, y las grandes empresas están mucho más avanzadas que las pymes. Por el contrario, "hay muchas pymes que ni siquiera han depositado sus ficheros en el registro", asegura José María Anguiano, socio del bufete de abogados Garrigues.

Multas por incumplimiento

Como consecuencia de esta situación, las entidades que no adopten medidas de seguridad se colocan no sólo en una situación de riesgo ante un ataque tanto interno como externo de seguridad, sino incluso en una situación de ilegalidad en el incumplimiento de la legislación vigente.

El incumplimiento de la normativa sobre Protección de Datos de Carácter Personal puede acarrear a las empresas multas que van de los 60.000 a los 300.000 euros. Incluso, la APD puede ordenar la cesación de los tratamientos de datos de carácter personal, así como la cancelación de los ficheros.

En lo que respecta a los ingresos de la APD en concepto de sanciones, el importe de aquellas impuestas en 2001 ha sido de 2,4 millones de euros menos que en 2000, cuando se recaudaron un total de 12 millones de euros. La cantidad recaudada el año pasado es resultado de 405 inspecciones (frente a las 319 del año anterior), que derivaron en 218 procedimientos sancionadores (frente a 177 en 2000).

Dicha bajada en el monto de los castigos es fruto de un proceso constante, aunque lento, de concienciación por parte de las empresas sobre la necesidad de salvaguardar los ficheros de carácter personal de que disponen, asegura Juan Manuel Fernández, director de la APD.

Los sectores más sometidos a la labor inspectora de la APD fueron los de comercio electrónico ("el que más guerra nos da, por la extraterritorialidad y el desconocimiento de los usuarios", según Fernández), las tarjetas de fidelización de clientes de grandes superficies, seguros y los operadores de telefonía móvil.

Con todo, la satisfacción por las cifras se ve mermada por la falta de personal inspector. En estos momentos, la Agencia cuenta con 12 inspectores para todo el territorio español, una cifra que según su director debería "alcanzar un número ideal de unos 20". Y que tal vez explica por qué muchas empresas aún no han adaptado sus ficheros.

__________________

Más información:

* La APD concluye que el Gobierno de Castilla-La Mancha no tiene ficheros con datos personales de maltratadores (11.06.02)
* Sólo siete de cada 100 empresas protege los datos personales de sus empleados (07.06.02)
* Una empresa es sancionada por la APD por informatizar datos médicos de funcionarios (21.05.02)
* Belt Ibérica revisa la protección de datos personales de los sistemas de información de la Diputación Foral de Guipúzcoa (17.05.02)
* La Agencia de Protección de Datos sanciona a la Universidad de Castilla-La Mancha por infringir la Ley de Protección de Datos Personales (10.05.02)
* El Parlamento catalán aprueba la creación de la Agencia de Protección de Datos autonómica (05.04.02)
* La Agencia de Protección de Datos multa a Telefónica por haber infringido la Ley de Protección de Datos (17.01.02)

Fuente: El País
30.06.02
Cinco Días
26.06.02
www.belt.es

© BELT.ES  Copyright. Belt Ibérica, S.A. Madrid - 2004. belt@belt.es