Tanto las empresas como las administraciones siempre necesitan tratar datos de carácter personal para desarrollar sus funciones: datos de clientes, de proveedores, de trabajadores, etc..

  Pero la posibilidad de tratamiento automatizado de los mismos que nos brindan las nuevas tecnologías, convierte la utilización de dichos datos en una actuación que puede afectar a la intimidad del titular de los mismos y que obliga, consecuentemente, a su protección.

Fichero: Todo conjunto organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso.

Tratamiento de datos: Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.

Responsable del fichero o tratamiento: Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.

Encargado del tratamiento: La persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, solo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento.

Afectado o interesado: Persona física titular de los datos que sean objeto del tratamiento a que se refiere el apartado c) del presente artículo.

Procedimiento de disociación: todo tratamiento de datos personales de modo que la información que se obtenga no pueda asociarse a persona identificada o identificable.

Encargado del Tratamiento: la persona física o jurídica, autoridad publica, servicio o cualquier otro organismo que, solo o conjuntamente con otros, trate datos personales por cuenta del responsable de tratamiento.

Consentimiento del interesado: toda manifestación de la voluntad, libre, inequívoca, especifica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen.

Cesión o comunicación de datos: Toda revelación de datos realizada a una persona distinta del interesado.

B)  Nivel medio, que habrán de cumplir aquellos ficheros en los que se contengan datos relativos a (artículo 4.2. R.D) :
B.1.) La comisión de infracciones administrativas o penales
B.2.) Hacienda Pública
B.3.) Servicios financieros
B.4.) y aquellos ficheros cuyo contenido se rija por los dispuesto en el artículo 28 de la LORTAD, es decir los relativos a la prestación de servicios de información sobre solvencia patrimonial y crédito.

C) Nivel alto que se refiere a aquellos ficheros que contengan datos acerca de (artículo 4.3. R.D.):
C.1.) Ideología
C.2.) Religión
C.3.) Creencias
C.4.) Origen racial
C.5.) Salud
C.6.) Vida sexual
C.7.) Los que contengan datos recabados con fines policiales.

NIVEL BÁSICO
- Realización de Copias de Seguridad, al menos una vez por semana (si hay cambios).
- Identificación y Autenticación del personal autorizado.
- Cambio de las contraseñas con "cierta periodicidad", y almacenamiento de forma ininteligible.
- Control de Acceso (sólo usuarios autorizados).

NIVEL MEDIO
- Todas las medidas del NIVEL BÁSICO más...
- Limitación del número de intentos reiterados de acceso fallidos.
- Control de acceso físico a los locales donde se encuentran los sistemas de información.
- Realización de una auditoría interna o externa, al menos cada dos años.

NIVEL ALTO
- Todas las medidas del NIVEL BÁSICO y MEDIO más...
- Encriptación de datos.
- ACL's. De cada acceso deberán guardarse al menos, la identificación del usuario, la fecha y hora en que se realizó, el fichero accedido, el tipo de acceso y si éste ha sido denegado oautorizado..
- Encriptación de datos si se transmiten a través de redes de comunicación, u otros soportes.

b) En cuanto a las medidas exigibles en el nivel medio, el plazo para su adopción se cumplió el pasado 26 de junio de 2000.

c) Los ficheros que deban adoptar medidas correspondientes al nivel alto, conforme a lo dispuesto en la Resolución del Ministerio de Justicia de fecha 22 de junio de 2001, publicada en el BOE de 25 de junio del mismo año, están obligados a implantar las citadas medidas antes del 26 de junio de 2002.

1.- La omisión del deber de información previa al interesado es considerada por la LOPD como infracción grave (art.44.3.l), y se sanciona con una multa que oscila desde los 60.101,21 € y los 300.506,05 €.

2.- La falta de inscripción de los ficheros puede reputarse infracción leve (artículo 44.2.C LOPD) y por tanto ser sancionable con cantidades que van desde las 601,01 € a los 60.101,21 € o reputarse infracción grave (artículo 44.3.k LOPD) con lo que la sanción podría oscilar entre los 60.101,21 € y los 300.506,05 €.

3.- La Ley sanciona como infracción grave el hecho de no adoptar las medidas de seguridad pertinentes para la protección de los ficheros, locales, programas y equipos que contengan datos de carácter personal (artículo 44.3. ), lo que puede suponer también una multa que oscila entre los 60.101,21 € y los 300.506,05 €.

4.- La recogida de datos de forma engañosa o fraudulenta, así como la cesión de los mismos fuera de los casos en que esté permitida, son consideradas por la LOPD como infracciones muy graves, estableciéndose para estos casos una sanción que oscila entre los 300.506,05 € y los 601.012,10 €.