Atención norma derogada, ver regulación posterior

Decreto 104/2008, de 22-07-2008, de protección de datos de carácter personal en la Junta de Comunidades de Castilla-La Mancha

• Expandir / Contraer índice sistemático
• INTRODUCCION
• CAPÍTULO I. Disposiciones generales
  • Artículo 1 Ámbito de aplicación
  • Artículo 2 Definiciones
• CAPÍTULO II. Organización
  • Artículo 3 Atribución de competencias
  • Artículo 4 Comité Regional de Protección de Datos
• CAPÍTULO III. Creación, modificación o supresión de ficheros de datos de carácter personal
  • Artículo 5 Procedimiento de creación, modificación o supresión
• CAPÍTULO IV. Ejercicio de los derechos de acceso, oposición, rectificación y cancelación de los datos de carácter personal
  • Artículo 6 Procedimiento para el ejercicio de derechos
• CAPÍTULO V. Responsable de seguridad
  • Artículo 7 Responsable de seguridad
• DISPOSICIONES ADICIONALES
  • Disposición adicional única
• DISPOSICIONES DEROGATORIAS
  • Disposición derogatoria
• DISPOSICIONES FINALES
  • Disposición final primera
  • Disposición final segunda

Artículo 1 Ámbito de aplicación

Este Decreto será de aplicación a todos los ficheros con datos de carácter personal registrados en soporte físico, así como a toda modalidad de uso posterior de los mismos, sobre los que tenga competencia la administración de la Junta de Comunidades de Castilla-La Mancha y que estén sujetos a la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal. A estos efectos, se entiende por administración de la Junta de Comunidades de Castilla-La Mancha:

• a) La administración regional.
• b) Los organismos autónomos adscritos a la administración regional.
• c) El resto de entidades de Derecho Público vinculadas o dependientes, cuando ejerzan potestades administrativas.

Artículo 2 Definiciones

De conformidad con lo establecido en la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal y su reglamento de desarrollo, a los efectos previstos en el presente Decreto se entenderá por:

• a) Dato de carácter personal: Cualquier información numérica, alfabética, grafica, fotográfica, acústica o de cualquier otro tipo concerniente a personas identificadas o identificables.
• b) Persona identificable: Toda persona cuya identidad pueda determinarse, directa o indirectamente, mediante cualquier información referida a su identidad física, fisiológica, psíquica, económica, cultural o social. Una persona física no se considerara identificable si dicha identificación requiere plazos o actividades desproporcionadas.
• c) Fichero con datos de carácter personal: Todo conjunto organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso, objeto de tratamiento por el responsable del fichero.
• d) Tratamiento de datos: Cualquier operación o procedimiento técnico, sea o no automatizado, que permita la recogida, grabación, conservación, elaboración, modificación, consulta, utilización, cancelación, bloqueo o supresión, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.
• e) Responsable del fichero: El órgano de la administración de la Junta de Comunidades de Castilla-La Mancha con competencia suficiente para decidir sobre la finalidad, contenido y uso del tratamiento.
• f) Responsable de seguridad: persona o personas a las que el responsable del fichero ha asignado formalmente la función de coordinar y controlar las medidas de seguridad aplicables.

Artículo 3 Atribución de competencias

La gestión y ejecución de la coordinación de la política de protección de datos en la administración de la Junta de Comunidades de Castilla-La Mancha será desarrollada por la Consejería competente en la materia, con el asesoramiento del Comité Regional de Protección de Datos. A estos efectos, la citada Consejería asumirá las siguientes funciones:

• a) La interlocución con la Agencia Española de Protección de Datos en representación de la Junta de Comunidades de Castilla-La Mancha.
• b) Elaborar las órdenes de creación, modificación o supresión de ficheros con datos de carácter personal y publicarlas en el Diario Oficial de Castilla-La Mancha.
• c) Notificar al Registro General de Protección de Datos las creaciones, modificaciones y supresiones de ficheros, así como informar a los responsables de ficheros de los envíos efectuados y las respuestas obtenidas de la Agencia Española de Protección de Datos.
• d) Administrar y mantener el sistema interno de gestión de la información en materia de protección de datos de carácter personal de la administración de la Junta de Comunidades.
• e) El seguimiento y promoción de las medidas necesarias para el cumplimiento de los plazos máximos de respuesta en el ejercicio de los derechos de acceso, oposición, rectificación y cancelación de los datos de carácter personal.

Artículo 4 Comité Regional de Protección de Datos

1. El Comité Regional de Protección de Datos es un órgano colegiado adscrito a la Consejería competente en materia de protección de datos, compuesto por los siguientes miembros:

• a) Presidente: la persona titular de la Dirección General para la Sociedad de la Información.
• b) Vicepresidente: la persona titular de la jefatura del servicio de seguridad y protección de datos de la Dirección General para la Sociedad de la Información.
• b) Vocales: Una persona representante de Presidencia de la Junta de Comunidades y uno por cada una de las Consejerías de la administración de la Junta de Comunidades de Castilla-La Mancha, así como del Servicio de Salud de Castilla-La Mancha y del Servicio Público de Empleo de Castila-La Mancha, designados por la respectiva Secretaría General o Secretaría General Técnica. El Comité Regional podrá aprobar la incorporación de representantes de otros organismos autónomos o entidades públicas de la administración regional, previa solicitud.
• c) Secretario: Un funcionario de la Dirección General para la Sociedad de la Información, con voz y sin voto.

A las reuniones del Comité Regional de Protección de Datos podrán asistir técnicos o especialistas si el Presidente lo considerase oportuno, a petición de cualquier miembro.

2. El Comité Regional de Protección de Datos se reunirá, previa convocatoria de su Presidente, en sesión ordinaria al menos cada seis meses y en sesión extraordinaria, siempre que sea necesario para el cumplimiento de sus funciones o cuando aquél lo considere conveniente, por propia iniciativa o a petición de alguno de sus miembros. Asimismo, el Comité Regional de Protección de Datos podrá decidir la formación de grupos de trabajo de carácter temporal para la realización de trabajos específicos, los cuales deberán ser aprobados por el propio Comité.

En lo no previsto en el presente Decreto, el Comité Regional de Protección de Datos ajustará su actuación a lo dispuesto en el capítulo II del Título II de la Ley 30/1992, de 26 de noviembre, de régimen jurídico de las administraciones públicas y del procedimiento administrativo común.

3. Son funciones del Comité Regional de Protección de Datos:

• a) El informe de los proyectos de normas dirigidas a garantizar el cumplimiento de la legislación de protección de datos en la administración de la Junta de Comunidades, así como promover su cumplimiento y divulgación.
• b) La aprobación de los planes de concienciación y formación en materia de protección de datos en el ámbito de la administración de la Junta de Comunidades.
• c) La aprobación de iniciativas y proyectos encaminados a garantizar plenamente el derecho a la protección de los datos de carácter personal, que vayan a realizarse por cualquier órgano de la administración de la Junta de Comunidades.
• d) La aprobación del informe anual que la Consejería competente en materia de protección datos eleve a su consideración, en el que se describirá la situación de la Administración regional en materia de protección de datos, mecanismos de coordinación a implantar entre los diferentes órganos, información normativa y de gestión y evaluación del cumplimiento del presente Decreto y, en concreto, de la garantía de los derechos de acceso, oposición, rectificación y cancelación.
• e) Vigilancia del cumplimiento de la normativa vigente en materia de protección de datos en la administración de la Junta de Comunidades.

Artículo 5 Procedimiento de creación, modificación o supresión

1. Corresponde a los responsables de ficheros la detección e identificación de:

• a) Nuevos ficheros de datos de carácter personal.
• b) Modificaciones en el tratamiento de datos personales incluidos en los ficheros, especialmente cuando afecten a la finalidad declarada.
• c) Cese en el tratamiento de datos.

2. El responsable del fichero que detecte alguno de los supuestos mencionados en el apartado anterior deberá notificarlo a la Consejería competente en materia de protección de datos, a través de la Secretaría General o Secretaría General Técnica correspondiente, pudiendo realizarse dicha notificación de forma electrónica. El contenido de la notificación variará en función del tipo de evento a comunicar:

• a) Creación de nuevo fichero:
  • 1º. Nombre del fichero.
  • 2º. Finalidad y usos previstos.
  • 3º. Origen de los datos: el propio interesado o su representante legal, otras personas físicas, fuentes accesibles al público, registros públicos, entidad privada o administraciones públicas.
  • 4º. Colectivo de personas afectadas y procedimiento de recogida de datos.
  • 5º. Estructura básica del fichero: tipos de datos de carácter personal que contiene.
  • 6º. Sistema de tratamiento: automatizado, no automatizado o mixto.
  • 7º. Comunicaciones de datos previstas, indicando, en su caso, destinatarios o categorías de destinatarios.
  • 8º. Transferencias internacionales previstas, indicando, en su caso, los países destino de los datos.
  • 9º. Órgano responsable del fichero.
  • 10º. Servicio o unidad ante el que pueden ejercitarse los derechos de acceso, rectificación, cancelación y oposición.
  • 11º. Nivel de las medidas de seguridad: básico, medio o alto.
• b) Modificación en el tratamiento: el contenido de la notificación lo formarán todas aquellas modificaciones que se hayan producido en cualquiera de los extremos a los que se refiere el apartado anterior.
• c) Cese en el tratamiento, el responsable del fichero notificará el destino que se va a dar a los datos o las medidas previstas para la destrucción de los mismos.

3. La Consejería competente en materia de protección de datos, tras analizar la información recibida y siempre que ésta sea suficiente, procederá a elaborar y publicar las correspondientes órdenes de creación, modificación o supresión de ficheros y a la realizar la preceptiva notificación al Registro General de Protección de Datos.

Artículo 6 Procedimiento para el ejercicio de derechos

1. El afectado, su representante legal o representante voluntario debidamente acreditado, podrá ejercitar los derechos de acceso, rectificación, cancelación u oposición frente al responsable del fichero, presentando la solicitud en cualquiera de los registros establecidos en el artículo 38.4 de la Ley 30/1992, de 26 de noviembre, sin perjuicio de lo establecido en la disposición adicional única del presente Decreto, utilizando los modelos de solicitud que serán aprobados por orden de la Consejería competente en materia de protección de datos.

Los modelos de solicitud estarán disponibles en todas las Oficinas de Registro de la Junta de Comunidades de Castilla-La Mancha, así como en su página web institucional www.jccm.es, pudiendo también solicitarse a través de correo ordinario o correo electrónico.

La solicitud irá acompañada de fotocopia del Documento Nacional de Identidad o pasaporte, salvo en el supuesto de utilización de firma electrónica identificativa del afectado y, en su caso, de los documentos acreditativos de la petición que se formula, según la naturaleza del derecho a ejercitar.

2. Una vez registrada la correspondiente solicitud, se enviará la misma al responsable del fichero, quien deberá resolver en todo caso cualquier solicitud de acceso, rectificación, cancelación u oposición, siempre que el medio utilizado permita acreditar el envío y la recepción de la solicitud y la identidad del solicitante y así quede probado en cada caso. No obstante, si la solicitud adolece de alguno de los requisitos enumerados en el artículo 25.1 del Real Decreto 1720/2007, de de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, el responsable del fichero solicitará al ciudadano la subsanación de la misma antes de proceder a su gestión.

3. Toda solicitud válida será registrada por la unidad encargada de tramitar el ejercicio de los derechos de protección de datos, la cual será identificada en la Orden de creación de cada uno de los ficheros. La mencionada unidad informará de la recepción de la solicitud al responsable del fichero, quien lo notificará, a través de su Secretaría General o Secretaría General Técnica, a la Consejería competente en materia de protección de datos, que realizará un seguimiento del proceso y promoverá las medidas necesarias para que el responsable del fichero responda a las solicitudes de los ciudadanos en el plazo máximo de:

• a) Diez días, para los derechos de rectificación, cancelación y oposición.
• b) Un mes, para el derecho de acceso.

4. El responsable del fichero realizará las acciones oportunas para dar respuesta, disponga o no de datos de carácter personal del solicitante, a toda solicitud, comunicando el resultado al ciudadano e informando puntualmente a la Consejería competente en materia de protección de datos de la decisión y actuaciones adoptadas, actuaciones que se reflejarán en el informe anual a elevar al Comité Regional de Protección de Datos.

Artículo 7 Responsable de seguridad

1. La designación del responsable o responsables de seguridad en la Junta de Comunidades de Castilla-La Mancha será realizada por los responsables de ficheros, a propuesta de la Secretarías Generales o Secretarías Generales Técnicas respectivas, en los documentos de seguridad, teniendo en cuenta a estos efectos como criterio principal la capacitación del candidato, requiriéndose un perfil técnico con formación suficiente en materia de protección de datos que le capacite para el desarrollo de las funciones que le atribuye el Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal y cualesquiera otras que pudiera encomendarle el responsable del fichero por delegación directa de sus propias funciones.

El nombramiento del responsable o responsables de seguridad será único para todos los ficheros que reúnan las mismas características, aunque se atribuyan a distinto responsable, dentro del ámbito de cada consejería, organismo autónomo o entidad vinculada o dependiente de la administración regional.

2. Es competencia de los responsables de ficheros, previo asesoramiento de la Consejería competente en materia de protección de datos:

• a) La definición y delimitación del ámbito de funciones del responsable o responsables de seguridad.
• b) La definición de los procedimientos asociados a las funciones atribuidas.
• c) El establecimiento de controles para verificar la operatividad y el grado de adecuación de la función del responsable de seguridad a la normativa de protección de datos.
• d) La aprobación de cuantos documentos se generen en materia de seguridad de protección de datos.

Disposición adicional única

La Consejería competente en materia de protección de datos, en un plazo no superior a seis meses, implementará electrónicamente:

• a) Un procedimiento para el ejercicio por los ciudadanos de sus derechos de acceso, rectificación, cancelación y oposición accesible a través del portal institucional de la Junta de Comunidades www.jccm.es.
• b) Un inventario de los ficheros con datos de carácter personal cuya responsabilidad corresponda a la Administración de la Junta de Comunidades de Castilla-La Mancha, que será accesible a todos los ciudadanos a través del portal institucional de la Junta de Comunidades www.jccm.es.
• c) El sistema interno de gestión de la información en materia de protección de datos de carácter personal de la Junta de Comunidades de Castilla-La Mancha.

Disposición derogatoria

Queda derogado el Decreto 53/2002, de 23 de abril, de protección de datos de carácter personal en la Junta de Comunidades de Castilla-La Mancha.

LE0000171714_20020511

Disposición final primera

Se faculta al titular de la Consejería competente en materia de protección de datos para dictar cuantas disposiciones sean necesarias para el desarrollo del presente Decreto.

Disposición final segunda

El presente Decreto entrará en vigor a los veinte días de su publicación en el Diario Oficial de Castilla-La Mancha.