LOPD que afecta a terceros

[azad78]

hola,
Quisiera que alguien me ayudara sobre una duda que tengo sobre cómo debemos pasar la lopd.
nuestra situación es la siguiente. (empresa A) desarrollamos una aplicacion web con una base de datos sql que alojamos en un servidor en un hosting.
esa aplicamos la usa otra empresa (empresa B) para realizar cuestionarios y/o encuestas. Estas encuestas son a su vez solicitadas por una tercera empresa. (empresa C)
pongo un ejemplo:
una empresa ( C ) ofrece un nuevo servicio a sus clientes y la empresa B le propone que evalue la satisfaccion de esos clientes que utilizan ese servicio mediante encuestas. a esos clientes se les envía un mail con un link a esta aplicación.
todos los datos personales que solicitan son de nivel bajo.
de hecho nosotros ( A ) cuando tenemos que acceder a esos datos de personas lo hacemos con códigos únicos (hash).
lo que queremos es si tenemos que dar de alta ese fichero en la agpd al ser la base de nuestra aunque ofrezcamos el servicio de la aplicación sin tener como fin el tratamiento de esos datos resultantes de los cuestionarios. Supongo que sí tendremos que darlo de alta pero no sabemos en qué terminos.
si alguien nos pudiera dar alguna indicación se lo agradecería.
Espero haberme explicado correctamente, por favor si alguien interés en echarme un cable y necesita alguna explicación más no dude en pedírmela.
Gracias de antemano

[HookerSP]

Yo entiendo que es C quien tiene que preocuparse de cumplior LOPD porque son ellos los dueños de los datos (al menos eso entiendo yo).

Yo creo que hay una cesión de datos a B para que haga un trabajo, eso debería ir en el aviso de cumplimiento de LOPD en el momento de la recogida.

No entiendo por qué vosotros, como desarrolladores, teneis que acceder a los datos. Para cualquier desarrollo se debe jugar con datos falsos, nunca reales. Si como creo, se trata de procesar la información recibida para darsela a C, el problema sigue siendo de C. Ellos tienen que asegurarse que vosotros sois serios y no vais a ceder datos o a venderlos etc.

Un saludo
Hooker

[azad78]

Gracias.
Entonces nosotros (A) tenemos que declarar ese fichero a la agpd y declarar que se efectúa una cesión de datos a la empresa B, no?

[Yosuke]

Hola!

hace poco he estudiado todo esto así que lo tengo relativamente fresco,

puedo decirte que, como programador-desarrollador no tienes ninguna obligación de dar de alta la base de datos en la Agencia de Proteccion de Datos, aunque si tu actividad va más allá del simple diseño sí.

Según tengo entendido todos entran en el marco de la LODP:

- Empresa X recoge datos en una DDBB (tiene que registrar la DDBB en la Agencia).

- Empresa Y recibe los datos de X (tiene que registrar la DDBB también en la Agencia y pedir autorización previa y expresa a todos los interesados (osea, a los que dieron sus datos a X)).

Espero haber aclarado algo, saludos

[HookerSP]

Iniciado por azad78

Gracias.
Entonces nosotros (A) tenemos que declarar ese fichero a la agpd y declarar que se efectúa una cesión de datos a la empresa B, no?

¿Pero los datos no los cede C?, entonces será C quien tenga que solicitar el permiso de sus clientes para la cesión.

"Empresa Y recibe los datos de X (tiene que registrar la DDBB también en la Agencia y pedir autorización previa y expresa a todos los interesados (osea, a los que dieron sus datos a X))."

Y no recibe nada porque a X le pueden meter en un buen lio. Para que X le de algo a Y, X tiene que solicitar permiso previo a los titulares de los datos. Y no fue quien recogió los datos, luego Y no pide autorización. Es X quien la pide y como dice la ley de forma clara e inequivoca, es decir, no vale decir eso de "si en 15 dias no me dicelo contrario consideraremos otorgado el permiso".

Saludos
Hooker

[azad78]

Hola,
entonces nosotros que somos únicamente los que hemos desarrollado la aplicación web y los mantenemos y alojamos la base de datos en el hosting no deberíamos dar de alta el fichero si no utilizamos para nuestro fin esa base de datos de personas. Eso lo tengo claro entonces.
Pero accedemos alguna vez a los datos de las personas ni siquiera buscando el nombre sino con códigos hash(claves de identificación única).
Si son las otras empresas las que hacen uso de los datos de esa aplicación a la hora de darla de alta necesitarán saber donde se encuentra, no?
gracias

[HookerSP]

Si, pero eso solo es un problema técnico. ¿Que diferencia habria si los datos los tiene el dueño en sus instalaciones?: Ninguna. El dueño del activo es el responsable de su seguridad, y los datos que duda cabe que son un activo para esa empresa.

Ya se cuidará muy mucho el dueño de los datos de saber en manos de quien los pone. Si los pone en vuestras manos, es porque confia en que no los vais a vender por ahi porque sois serios. Lo que si debeis hacer es informarle que debe cumplir con LOPD, pero no lo teneis que hacer vosotros.

Por ejemplo.

La empresa en la que yo trabajaba hace un año publicaba una revista. Para ello enviaba los articulos y un fichero de destinatario a una empresa de artes graficas. YO era el responsable del fichero por lo tanto comunicaba a mis clientes que "sus datos serán cedidos a la empresa Graficas Fulanito para la emisión de la revista TacaTaca a la cual usted se ha suscrito".

Yo me aseguré que Graficas Fulanito fuera una empresa seria y que MIS datos no estuvieran por ahi dando vueltas. Es más, yo audite a esa empresa en base a ISO 27001 que era la norma implantada en la mia. En el acuerdo de nivel de servicio, se especificaba claramente que:

- Graficas Fulanito protegeria esos datos y evitaria su difusión.
- Graficas Fulanito se comprometia a borrar completamente el fichero una vez procesado

Un saludo
Hooker

[ICEF]

Buenos días,

Creo que os estáis liando un poco. Estoy de acuerdo con HookerSP, en parte. Solo hay un responsable del fichero de los datos de las encuestas o entrevistas de satisfacción que es C. La empresa B y A son meramente encargados de tratamiento al prestar un servicio para C. Lo que habría sería lo que se denomna "subcontratación en cascada" y la obligación de notificar ficheros y de redactar los contratos de uso de datos e información es solamente de C.

A y B serán responsables de sus propios datos pero no de los de un tercero como es C.

Un saludo.

[HookerSP]

Eso esta mucho mejor expresado que lo que yo digo.

Hooker

Ademas, haz caso a estos de ICEF que me consta que saben un ...evo

[azad78]

Pues muchas gracias a los dos. me habéis aclarado bastante mi caso.
Ahora sólo nos queda redactar bien el contrato de prestación de servicios a B...
eso ya es otro tema

Muchas gracias