Hay que diferenciar varias situaciones en las que se ponen datos a disposición de un tercero.
La cesión de datos (artículo 11.1 LOPD) únicamente puede realizarse previo consentimiento del afectado. Solo pueden ser comunicadas a un tercero para el cumplimiento de cesiones legítimas del cedente o cesionario con consentimiento. Por ejemplo la cesión de un Banco a una empresa de seguros para la concertación de una póliza o cesión por el empresario de los datos de los trabajadores para abrir una cuenta corriente.
La cesión de datos que no requiere consentimiento (artículo 11.2c)
Para que se puedan ceder datos sin que exista consentimiento del afectado debe existir previamente:
- Una libre aceptación relación jurídica.
- Una conexión necesaria.
- Tratarse de algo imprescindible para la función.
- Solo se pueden utilizar para la finalidad para la que se realizan; por ejemplo la cesión de datos del domicilio del comprador por la tienda de muebles a la empresa de transportes que los entrega.
La comunicación de datos a una empresa que va a realizar una función de prestación de servicios
En estos casos debe haber contrato que lo regule recogiendo los requisitos del artículo 12 LOPD.
Según establece el artículo 12 de la LOPD sobre "Acceso a los datos por cuenta de terceros"
- No se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento.
- La realización de tratamientos por cuenta de terceros deberá estar regulada en un contrato que deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, estableciéndose expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas.
- En el contrato se estipularán, asimismo, las medidas de seguridad a que se refiere el artículo 9 de esta Ley que el encargado del tratamiento está obligado a implementar.
- Una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto del tratamiento.
- En el caso de que el encargado del tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato, será considerado, también, responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente.
En consecuencia, no se produce comunicación en estos casos:
a) si es necesario el suministro de datos para prestación de servicios. Por ejemplo la incorporación de datos al sistema informático interno (grabado de datos)
b) si existe contrato
Habilitar a los ciudadanos el ejercicio de los derechos ARCO
Los conocidos como derechos ARCO (Acceso, Rectificación, Cancelación y Oposición) le permiten al ciudadano ejercer lo que se define como "autodeterminación informativa" protegida mediante el derecho a la protección de datos que permite a los ciudadanos preservar su identidad, controlando la disponibilidad de los datos que les conciernen y protegiéndose frente a las ingentes posibilidades que suministra la informática para archivarlos y utilizarlos. Vamos a ver los aspectos básicos de estos derechos ARCO.
ACCESO: El ciudadano desea conocer los datos personales obrantes en el fichero. Por ejemplo, los datos disponibles sobre él en un fichero de solvencia.
RECTIFICACIÓN: Si los datos son inexactos.
CANCELACIÓN: Si son inexactos o se han tratado ilegalmente. "Derecho al olvido". Por ejemplo si figura una deuda inexistente en el fichero de solvencia.
OPOSICIÓN: Puede oponerse a que sus datos sean tratados con fines de publicidad o prospección comercial. "Derecho a la tranquilidad".