CAPÍTULO III
DEL TRATAMIENTO DE DATOS PERSONALES
SECCIÓN PRIMERA
Del control de bases de datos personales
Artículo 40. El registro, fichero, archivo o base de datos, tanto públicas como privadas, que por la finalidad para la que han sido creadas suponen un interés público, son controladas a nivel nacional, así como otras que determine la autoridad facultada a propuesta de los órganos, organismos de la Administración Central del Estado y entidades nacionales o sus dependencias, que contengan datos personales.
Artículo 41. El control nacional de registro, fichero, archivo o bases de datos personales recoge la información siguiente:
- Nombre y apellidos, carné de identidad y domicilio legal de la persona natural autorizada a la prestación de servicios, responsable de la recopilación de los datos; en el caso de la persona jurídica, los datos que la identifican;
- características y finalidad de los registros, ficheros, archivos, bases de datos u otros medios físicos o digitales e información que se recopile;
- datos personales que conforman el contenido de los registros, ficheros, archivos, bases de datos u otros medios físicos o digitales;
- forma de recolección y actualización de los datos;
- ubicación y destino de los datos;
- medios utilizados para garantizar la seguridad de los datos;
- cesiones, interconexiones o transferencias previstas;
- identificación de las personas con acceso al tratamiento de la información;
- tiempo de conservación de los datos; y
- forma y condiciones en que las personas con interés legítimo pueden acceder a los datos recogidos, procedimientos para la rectificación, corrección, modificación, actualización, cancelación u oposición de los datos.
Artículo 42. Las personas naturales y jurídicas que dispongan de registro, fichero, archivo o bases de datos personales de acuerdo con lo previsto en la presente Ley, declaran su existencia ante la autoridad facultada y notifican a esta los cambios en la información asentada, lo que garantiza transparencia y seguridad jurídica de estas bases de datos ante terceros.
Artículo 43. El incumplimiento de lo previsto en el artículo anterior puede dar lugar a la aplicación de la sanción y medidas previstas en la presente Ley.
SECCIÓN SEGUNDA
De las obligaciones en el tratamiento de datos personales
Artículo 44.1. La persona responsable o encargada del tratamiento de datos personales garantiza las condiciones materiales, técnicas y organizativas para dar curso a las solicitudes de los titulares en el ejercicio de su derecho; adopta las medidas para la seguridad de los datos y evita su alteración, pérdida, tratamiento o acceso no autorizado; asimismo, promueve acciones de comunicación y educación jurídica sobre la protección de datos personales.
2. En ningún caso trata datos personales de naturaleza distinta a los fines declarados.
Artículo 45. La persona que, en el ejercicio de funciones legalmente autorizadas, tiene acceso a los datos, está obligada a observar la debida reserva y confidencialidad que ello requiere, a cuyo fin el responsable del tratamiento le notifica sobre la responsabilidad que adquiere y las consecuencias legales de su incumplimiento.
Artículo 46. En los casos de cancelación de los datos personales, el responsable o encargado de los mismos establece el destino que se da a estos o las medidas que se adoptan para su destrucción.
Artículo 47. Las personas jurídicas o naturales que prestan servicios que impliquen tratamiento de datos personales en sus registros, ficheros, archivos o bases de datos, están obligadas a la protección de estos e informarlo en el momento de su obtención, ya sea directamente o durante el registro en sitios y aplicaciones informáticas, mediante aviso de privacidad, con observancia de los requisitos previstos en el Artículo 12 de la presente Ley.
Artículo 48. La persona responsable o encargada del tratamiento de registros, ficheros, archivos o bases de datos personales está obligada a notificar a la autoridad competente la ocurrencia de incidentes de ciberseguridad, conforme a lo establecido en la legislación vigente.
SECCIÓN TERCERA
Del tratamiento de los datos personales procedentes de imágenes y voz obtenidos mediante la utilización de videocámaras de protección o cualquier otro dispositivo
Artículo 49.1. Los datos personales como la imagen y voz, cuando sean captados por videocámaras o cualquier otro dispositivo que permite su grabación en locales, viviendas e instalaciones y espacios donde se prestan servicios de interés público, en ningún caso pueden ocasionar una lesión a los derechos y garantías reconocidos en la Constitución y la presente Ley.
- La instalación de los dispositivos expresados en el apartado anterior se justifican solo si el fin es legítimo, siempre que no puedan emplearse otros medios.
- El uso y tratamiento indebido de los datos personales procedentes de imágenes y voz obtenidos mediante la utilización de videocámaras de protección o cualquier otro dispositivo, puede dar lugar a una acción de protección de datos personales, así como la responsabilidad civil o penal que corresponda.
Artículo 50. Las personas naturales o jurídicas que prestan servicios de interés público están obligadas a informar la presencia de estos medios y a colocar identificadores en las áreas donde se encuentran ubicados.
Artículo 51. Los medios de recogida de imágenes y voz instalados en espacios privados no pueden incluir su obtención hacia espacios públicos, excepto que resulte imprescindible o imposible de evitar de acuerdo con su ubicación, cumpliendo la obligación descrita en el artículo anterior.
Artículo 52. Las grabaciones de imágenes y voz obtenidas por esta vía no pueden ser usadas en fines distintos a los que las motivaron.
Artículo 53. El tratamiento de las grabaciones de imágenes y voz provenientes de videocámaras de protección relacionadas con las instituciones armadas del Estado cumplen los principios declarados en la presente Ley, y su tratamiento se regula de acuerdo con las normas que dicten las autoridades competentes.
Artículo 54. La utilización de las grabaciones de imágenes y voz de personas obtenidas desde teléfonos móviles, cámaras fotográficas, grabadoras u otros dispositivos similares, en ningún caso puede afectar los derechos protegidos en el Artículo 19 de la presente Ley.
Artículo 55.1. Los medios de comunicación social, en cualquiera de sus manifestaciones y soportes, en el tratamiento de datos personales, incluidas las grabaciones de imágenes y voz, cumplen los principios declarados en la presente y velan por lo regulado en el Artículo 19.
2. El consentimiento informado no es requisito a estos fines cuando se trate de personas de reconocidos méritos patrióticos, revolucionarios, de dirección, científicos, docentes, culturales, deportivos, de servicio al pueblo, personalidades, funcionarios públicos en el ejercicio de sus funciones, o tratándose de persona que no es el centro de la información o cuando dicha información sea de carácter público.
SECCIÓN CUARTA
Del incumplimiento de las disposiciones relativas a la protección de datos personales
Artículo 56.1. Las personas naturales o jurídicas sujetas al régimen legal que esta Ley establece, que incumplan las disposiciones relativas a la protección de datos personales, se les imponen por la autoridad competente las sanciones y medidas siguientes:
- Apercibimiento;
- multa de hasta 20 000 pesos;
- suspensión de la base de datos respectiva por el plazo de hasta cinco días; y
- clausura del registro, fichero, archivo o la base de datos.
- Estas sanciones y medidas se gradúan teniendo en cuenta el impacto social, la gravedad, reiteración o reincidencia de la infracción cometida.
- Las sanciones y medidas se aplican sin perjuicio de la responsabilidad civil o penal en la que se pueda incurrir.
- La autoridad competente para imponer la multa y demás medidas que correspondan por los incumplimientos de las disposiciones relativas a la protección de datos personales, son los funcionarios autorizados expresamente por los órganos, organismos de la Administración Central del Estado y entidades nacionales, en el ámbito de su competencia.
Artículo 57.1. Contra la sanción o medida impuesta por la autoridad competente, el afectado puede interponer por escrito recurso de apelación en el plazo de diez días hábiles siguientes a la fecha de notificación.
- Está facultado para conocer y resolver el recurso de apelación, el jefe inmediato superior de la autoridad que impuso la sanción o medida.
- La persona inconforme, en el recurso de apelación interpuesto, propone las pruebas de que intente valerse a los fines de su impugnación.
Artículo 58. El jefe inmediato superior que conoce del recurso puede convocar al recurrente para ser escuchado sobre su impugnación.
Artículo 59. El recurso de apelación no interrumpe la ejecución de la sanción o medida impuesta.
Artículo 60.1. El recurso se resuelve en un plazo de hasta diez días hábiles posteriores a su presentación.
- Dicho plazo puede ser prorrogado por diez días hábiles más, si la práctica de pruebas presentadas lo hace necesario.
- La resolución que resuelve el recurso de apelación se notifica al recurrente dentro del plazo de tres días hábiles siguientes a la fecha de dictada.
Artículo 61. En el caso en que se declare con lugar el recurso, la decisión se comunica a quienes hayan intervenido en la ejecución de la sanción o medida.
Artículo 62. Contra la decisión de la autoridad administrativa facultada procede demanda administrativa en sede judicial.
SECCIÓN QUINTA
De la transferencia nacional e internacional de datos personales
Artículo 63. Se autoriza la transferencia de datos personales dentro del territorio nacional, a solicitud de los responsables o encargados de tratamiento de datos, en los casos siguientes:
- Intercambio de datos de carácter médico, sanitario o investigativo cuando sea requerido para tratamiento del titular o por interés colectivo;
- cuando la transferencia de datos tiene como objeto el bienestar general, el orden público e interés de la defensa y la seguridad nacional;
- transferencias bancarias en cuanto a las transacciones respectivas;
- para facilitar el ejercicio del derecho al sufragio en cuanto a la conformación del registro de electores; y
- por otras razones, que de manera significativa, así lo ameriten.
Artículo 64. Los responsables o encargados para tratar datos personales lo son para autorizar su transferencia en el ámbito de sus competencias, cumpliendo los principios establecidos en la presente Ley.
Artículo 65.1. La transferencia internacional de datos, a solicitud de la autoridad responsable del país receptor, procede en los casos siguientes:
- Colaboración judicial internacional;
- intercambio de datos de carácter médico cuando lo exija el tratamiento del titular, y una investigación epidemiológica, en tanto se realice previa adopción de un procedimiento de disociación de la información, con la finalidad de que el titular de los datos sea inidentificable;
- transferencias bancarias o bursátiles en cuanto a las transacciones respectivas y de acuerdo con la legislación que resulte aplicable;
- cuando la transferencia se ha acordado en el marco de tratados internacionales vigentes en los que la República de Cuba sea parte; y
- cuando la transferencia de datos tiene como objeto la cooperación internacional entre organismos para la lucha contra el crimen organizado, el terrorismo, lavado de activos, tráfico de drogas y otros delitos objeto de dicha cooperación.
2. Para autorizar la transferencia internacional de datos se tiene en cuenta la índole o naturaleza de los datos que se solicitan, los fines en los que son utilizados, el consentimiento o información a los titulares en los casos que se requiera, el período de duración del tratamiento a que son sometidos o que se tienen previstos, país de origen y destino final de la información, normas de derecho generales o especiales aplicables, normas profesionales específicas aplicables y medidas de seguridad técnicas y organizativas en vigor en los países de destino.
Artículo 66. El Presidente del Tribunal Supremo Popular, el Fiscal General de la República, el Ministro-Presidente del Banco Central de Cuba y los ministros de Relaciones Exteriores, del Interior, de Justicia y de Salud Pública están facultados para autorizar la transferencia internacional de datos personales en el ámbito de sus competencias.
