AAPP-00061-2015_Resolucion-de-fecha-18-04-2016_Art-ii-culo-9-LOPD

12/17
información, en el sistema de tratamiento empleado, en su organización, en el contenido
de la información incluida en los ficheros o tratamientos o, en su caso, como
consecuencia de los controles periódicos realizados. En todo caso, se entenderá que un
cambio es relevante cuando pueda repercutir en el cumplimiento de las medidas de
seguridad implantadas.
8. El contenido del documento de seguridad deberá adecuarse, en todo momento, a
las disposiciones vigentes en materia de seguridad de los datos de carácter personal.”
Con independencia del aplicativo utilizado o de su próxima mejora, es indispensable
contar con un documento de seguridad, y que este sea puesto en conocimiento de los
empleados para su efectivo conocimiento y cumplimiento, circunstancias que no se dan
en el presente caso. Lo mencionado es lo mínimo exigible, pero en este caso se están
tramitando datos de salud, por lo que el nivel de seguridad y el documento de seguridad
ha de acoplarse a lo que el Reglamento consigna para dicho tipo de ficheros y
seguridad, en concreto los artículos 101 y siguientes. Ello, abarcando también el nivel
básico y medio, pues así lo determina el artículo 81.3.a) del RLOPD, que indica:
“3. Además de las medidas de nivel básico y medio, las medidas de nivel alto se
aplicarán en los siguientes ficheros o tratamientos de datos de carácter personal:
a) Los que se refieran a datos de ideología, afiliación sindical, religión, creencias,
origen racial, salud o vida sexual.”
III
En cuanto al tratamiento de los datos de salud, el artículo 7.3 y 7.6 de la LOPD indica:
“3. Los datos de carácter personal que hagan referencia al origen racial, a la salud y a
la vida sexual sólo podrán ser recabados, tratados y cedidos cuando, por razones de
interés general, así lo disponga una ley o el afectado consienta expresamente.
6. No obstante lo dispuesto en los apartados anteriores, podrán ser objeto de
tratamiento los datos de carácter personal a que se refieren los apartados 2 y 3 de este
artículo, cuando dicho tratamiento resulte necesario para la prevención o para el
diagnóstico médicos, la prestación de asistencia sanitaria o tratamientos médicos o la
gestión de servicios sanitarios, siempre que dicho tratamiento de datos se realice por un
profesional sanitario sujeto al secreto profesional o por otra persona sujeta asimismo a
una obligación equivalente de secreto.
También podrán ser objeto de tratamiento los datos a que se refiere el párrafo anterior
cuando el tratamiento sea necesario para salvaguadar el interés vital del afectado o de
otra persona, en el supuesto de que el afectado esté física o jurídicamente incapacitado
para dar su consentimiento.”
Se desprende del literal, que no se necesita poseer una titulación relacionada
con el ámbito de la salud para efectuar el tratamiento de los datos de salud.
IV
El artículo 93.3 del RLOPD indica en un epígrafe titulado “Identificación y
autenticación”, aplicable desde el nivel básico de seguridad:
“3. Cuando el mecanismo de autenticación se base en la existencia de contraseñas
C/ Jorge Juan, 6 www.agpd.es
28001 – Madrid sedeagpd.gob.es