Tag Archives: LOPD

La Audiencia Nacional pregunta al TJUE en relación con el derecho al olvido

La Audiencia Nacional ha planteado a través de un auto (que tiene “el detalle” de no eliminar el nombre del afectado) una cuestión prejudicial al Tribunal de Justicia de la Unión Europa en relación con el llamado “derecho al olvido“. Dentro de uno de los muchos procedimiento similares (unos 130) que se encuentran en tramitación en esta sede judicial, la Sala de lo Contencioso Administrativo de la Audiencia Nacional, antes de resolver, ha decidido plantear siete preguntas al TJUE.

Las preguntas resumen a mi juicio muy bien y casi por completo la problemática. Resumiendo, el asunto consiste en si el buscador Google (en este caso, pero es aplicable a otros, por supuesto) realiza un tratamiento de datos de carácter personal y si la normativa española (o europea) le es aplicable, en cuyo caso deberá atender las peticiones de cancelación de datos que le remitan los afectados relacionadas con los resultados de búsqueda.

La sentencia del TJUE será determinante, aunque hay que tener en cuenta que en el borrador del texto del futuro Reglamento europeo sobre protección de datos se incluye un apartado dedicado al “derecho al olvido”, con lo cual la decisión será relativamente menos trascendente.

Las siete cuestiones sobre las que deberá decidir el TJUE son las siguientes:

1 – ¿Debe interpretarse que existe un “establecimiento”, en los términos descritos en el art. 4.1.a) de la Directiva 95/46/CE, cuando concurra alguno o algunos de los siguientes supuestos:

– cuando la empresa proveedora del motor de búsqueda crea en un Estado Miembro una oficina o filial destinada a la promoción y venta de los espacios publicitarios del buscador, que dirige su actividad a los habitantes de ese Estado,
o
– cuando la empresa matriz designa a una filial ubicada en ese Estado miembro como su representante y responsable del tratamiento de dos ficheros concretos que guardan relación con los datos de los clientes que contrataron publicidad con dicha empresa
o
– cuando la oficina o filial establecida en un Estado miembro traslada a la empresa matriz, radicada fuera de la Unión Europea, las solicitudes y requerimientos que le dirigen tanto los afectados como las autoridades competentes en relación con el respeto
al derecho de protección de datos, aun cuando dicha colaboración se realice de forma voluntaria?

2- ¿Debe interpretarse el art. 4.1.c de la Directiva 95/46/CE en el sentido de que existe un “recurso a medios situados en el territorio de dicho Estado miembro” cuando un buscador utilice arañas o robotspara localizar e indexar la información contenida en páginas web ubicadas en servidores de ese Estado miembro o cuando utilice un nombre de dominio propio de un Estado miembro y dirija las búsquedas y los resultados en función del idioma de ese Estado miembro?
¿Puede considerarse como un recurso a medios, en los términos del art. 4.1.c de la Directiva 95/46/CE, el almacenamiento temporal de la información indexada por los buscadores en internet? Si la respuesta a esta última cuestión fuera afirmativa, ¿puede entenderse que este criterio de conexión concurre cuando la empresa se niega a revelar el lugar donde almacena estos índices alegando razones competitivas?

3- ¿Debe aplicarse la Directiva 95/46/CE en materia de protección de datos, a la luz del art. 8 de la Carta Europea de Derechos Fundamentales, en el país miembro donde se localice el centro de gravedad del conflicto y sea posible una tutela más eficaz de los derechos de los ciudadanos de la Unión Europea?

4- ¿Debe interpretarse la actividad consistente en localizar la información publicada o incluida en la red por terceros, indexarla de forma automática, almacenarla temporalmente y finalmente ponerla a disposiciónde los internautas con un cierto orden de preferencia, cuando dicha información contenga datos personales de terceras personas, comprendida en el concepto de “tratamiento de datos”, contenido en el art. 2.b de la Directiva 95/46/CE?

5- ¿Debe interpretarse el artículo 2.d) de la Directiva 95/46/CE, en el sentido de considerar que la empresa que gestiona el buscador “Google” es “responsable del tratamiento” de los datos personales contenidos en las páginas web que indexa?

6- ¿Puede la autoridad nacional de control de datos (en este caso la Agencia Española de Protección de Datos), tutelando los derechos contenidos en el art. 12.b) y 14.a) de la Directiva 95/46/CE, requerir directamente al buscador para exigirle la retirada de sus índices de una información publicada por terceros, sin dirigirse previa o simultáneamente al titular de la página web en la que se ubica dicha información? ¿Se excluiría la obligación de los buscadores de tutelar estos derechos cuando la información que contiene esos datos se haya publicado lícitamente por terceros y se mantenga en la página web de origen?

7- ¿Debe interpretarse que los derechos de supresión y bloqueo de los datos, (regulados en el art. 12.b) y el de oposición (regulado en el art. 14.a de la Directiva 95/46/CE), incluyen la posibilidad de que el interesado puede dirigirse frente a los buscadores para impedir la indexación de la información referida a su persona amparándose en su voluntad de que la misma no sea conocida por los internautas cuando considere que puede perjudicarle o desea que sea olvidada, aunque se trate de una información publicada lícitamente por terceros?

Aclaraciones sobre las consecuencias de la Sentencia del Tribunal Supremo que anula el artículo 10.2.b del Real Decreto 1720/2007

El título de esta entrada es tan meramente descriptivo como extraordinariamente sensacionalistas son algunos titulares que hemos leído en la prensa al respecto de esta noticia. Ni se va a poder comerciar libremente con nuestros datos ni se mutila la protección de datos, como se han dicho en algunos periódicos.

Lo que ha sucedido es que el Tribunal Supremo, en una sentencia de 8 de febrero de 2012, ha anulado el art. 10.2.b del Real Decreto 1720/2007. Este artículo permitía el tratamiento de datos sin consentimiento de su titular en caso de que los “datos objeto de tratamiento o de cesión figuren en fuentes accesibles al público y el responsable del fichero, o el tercero a quien se comuniquen los datos, tenga un interés legítimo para su tratamiento o conocimiento, siempre que no se vulneren los derechos y libertades fundamentales del interesado“.

En primer lugar lo que tenemos que tener en cuenta es que la noticia se produjo en realidad hace unos meses, cuando el Tribunal de Justicia de la Unión Europea (TJUE) dictaminó que este artículo era contrario a lo dispuesto en la Directiva 95/46, tal y como comentamos aquí en una entrada anterior. Por tanto, lo que ha hecho el Tribunal Supremo es lo que ya se sabía que tenía que hacer.

Por otro lado, las consecuencias prácticas son, al menos de momento, prácticamente nulas. Es cierto que no puede exigirse que los datos figuren en fuentes accesibles al público para tratar datos sin consentimiento. Sin embargo, debe realizarse en cada caso una ponderación entre el interés legítimo del responsable del tratamiento y los derechos del interesado que se ven afectados por el tratamiento de datos sin consentimiento. Si realizada esa ponderación prevalece el interés del responsable, podrán tratarse los datos sin consentimiento; si prevalecen los derechos afectados del interesado, no se podrá. Y para realizar esa ponderación, la Agencia ya dijo tras la sentencia del TJUE que se va a tener en cuenta el hecho de que figuren en fuentes accesibles al público como criterio de ponderación.

Es cierto que la anulación de este artículo deberá tener trascendencia cuando la Agencia (o los tribunales) empiece a aceptar en sus resoluciones otros criterios de ponderación que legitimen el tratamiento, pero ello está muy lejos de las afirmaciones periodísticas que hemos podido leer.

Más sobre el tema en la web de la Asociación Profesional Española de Privacidad (APEP) y en los blogs de Gontzal Gallo, Jorge Campanillas y Jesús Pérez.

Nuevo comunicado de la Fundación Tripartita sobre el Coste Cero en LOPD

Hace unos meses la Fundación Tripartita para la Formación y el Empleo advirtió públicamente sobre la ilegalidad de utilizar los fondos que aporta esta fundación, destinados a la formación de empleados, para prestar servicios de consultoría en materia de protección de datos. Las empresas que llevan a cabo estas prácticas prestan servicios de consultoría y facturan servicios de formación (ya se imparta o no realmente), cuyo coste se ahorra el empresario a través de las cuotas de la Seguridad Social de sus trabajadores, con lo que el servicio les sale gratis.

La Fundación Tripartita informa ahora de que desde hace dos años se están llevando a cabo comprobaciones al respecto, las cuales han dado lugar a «la imposición de sanciones a las empresas ofertantes de los citados servicios de protección de datos de carácter personal, así como a la devolución de las bonificaciones practicadas en materia de formación en el empleo por parte de las empresas». Advierte además de que se puede dar traslado de los hechos a la Inspección de Trabajo y Seguridad Social y a los órganos administrativos competentes en materia de Defensa de la Competencia.
Hay que agradecer a la Fundación Tripartita que se haya puesto manos a la obra para perseguir estas actuaciones y que se conozca que las empresas que realizan estas prácticas, además de prestar, por lo general, un servicio de dudosa calidad, ponen en serio peligro de recibir sanciones por otras vías a las empresas que contratan sus servicios.
Más información en el blog de Luis Salvador.

La competencia de la AEPD sobre los ficheros de juzgados y tribunales

Por Fco. Javier Sempere Samaniego
(Asesor de Apoyo Técnico-Jurídico de la
Agencia de Protección de Datos de la Comunidad de Madrid)
y David González Calleja

En una sentencia de 2 de diciembre de 2011, la Sala Tercera de lo Contencioso-Administrativo del Tribunal Supremo ha revocado una sentencia de la Audiencia Nacional y, por tanto, anulado una resolución de la Agencia Española de Protección de Datos (AEPD), por la que se declaraba infracción del Juzgado nº 1 de lo Contencioso Administrativo de La Coruña. La Agencia estimó que el juzgado había infringido el deber de secreto del artículo 10 de la LOPD al aportar partes de baja de algunos funcionarios del juzgado a expedientes disciplinarios abiertos a otros funcionarios en los que se recogían datos de salud.

Si bien al TS parece que no le gusta demasiado la forma de presentar los fundamentos jurídicos por parte del recurrente (“una más depurada técnica casacional y una más cuidadosa redacción de las consideraciones fácticas y jurídicas que se ofrecen en los fundamentos jurídicos, sobre todo evitando reiteraciones y hacer mención a circunstancias irrelevantes, harían, sin duda, más fácil su lectura y comprensión”), lo cierto es que le da la razón en el punto fundamental de este recurso, que no es el fondo del asunto (la infracción del artículo 10 de la LOPD, sobre la que el TS está de acuerdo, según se ve en el Fundamento Jurídico 1º de la sentencia), sino la falta de competencia de la AEPD. Estiman que la Agencia no es competente para investigar y enjuiciar la conducta de un juez en el legítimo desempeño de sus funciones, sino que el control de estas conductas está reservado al Consejo General del Poder Judicial (CGPJ).

Entienden los magistrados del Supremo (y también David Maeztu, con el que amablemente discrepamos) que sólo al órgano de gobierno del poder judicial le corresponde la inspección de juzgados y tribunales (art. 107.3 LOPJ). Pero que el CGPJ tenga esa potestad no excluye, a nuestro juicio, que otros entes públicos puedan realizar inspecciones dentro del ámbito de sus respectivas competencias. Ningún órgano administrativo podrá inspeccionar ni sancionar a un órgano judicial por el ejercicio de sus función jurisdiccional, pero que entren a otras cuestiones que no atañen a esta función, como es la normativa de protección de datos (además en relación con los funcionarios del juzgado) no parece que pueda afectar a su independencia ni al cumplimiento legítimo de sus funciones constitucionales.

Es más, haciendo un poco de “memoria histórica”, el 3 de mayo de 2010 la AEPD y el CGPJ firman un “Convenio de Colaboración sobre inspección de órganos jurisdiccionales en materia de protección de datos”. Leyendo el texto de este Convenio podemos ver que el Consejo pone sus condiciones a la Agencia a la hora de realizar las inspecciones sobre el tratamiento de datos en los Juzgados y Tribunales. Es decir, que acepta que les inspeccionen; con condiciones, sí, pero reconociendo la competencia de los inspectores de la AEPD.

Respecto al ámbito concreto de la protección de datos, el TS se apoya en los artículos 230.5 (por el que se establece que el CGPJ debe dictar un Reglamento en el que se determinarán los requisitos y demás condiciones que afectan al establecimiento y gestión de los ficheros automatizados bajo responsabilidad de los órganos judiciales) y 107.10 de la LOPJ (reglamento de tratamiento de las sentencias asegurar el cumplimiento de la legislación en materia de protección de datos personales). Pero que se disponga de estos reglamentos no quiere decir que no pueda ser controlado el cumplimiento de la normativa por la autoridad de control, sólo que debe elaborarse ese texto que regule estas actuaciones. Es decir, como hacen todas las administraciones públicas, regulan esta materia para dar cumplimiento a la Ley.

Es más, es significativo que la derogada LORTAD excluía en su Disposición Adicional Primera la aplicación de los Títulos dedicados a la Agencia de Protección de Datos y a las Infracciones y Sanciones respecto de los ficheros automatizados de los que eran titulares, entre otros, el Consejo General del Poder Judicial. El hecho de que la LOPD no incluya esta mención explícita como sí hacía la antigua norma, debe también llevarnos a la conclusión de que debe ser de aplicación la LOPD y las potestades de la AEPD también a este ámbito.

Lo cierto es que lo que realmente se plantea es un conflicto de competencias: el poder judicial versus un ente que es Administración independiente. Así que debemos preguntarnos si el Tribunal Supremo, que forma parte del poder judicial, es realmente competente para resolver esta cuestión. Llama muchísimo la atención que hable de la incardinación de la Agencia Española de Protección de Datos (AEPD) en el poder ejecutivo y sea este Tribunal el que resuelva un conflicto entre la AEPD y el Consejo General del Poder Judicial (CGPJ), cuando el Presidente del Tribunal Supremo es, a su vez, el Presidente de dicho Consejo.

¿Es por tanto el Tribunal Supremo el órgano jurisdiccional adecuado para resolver este conflicto de competencia? ¿Y quién sería el competente para dilucidar esta cuestión? La Ley 2/1987, de 18 de mayo, de Conflictos Jurisdiccionales , dedica sus artículos 1 a 21 a regular los conflictos jurisdiccionales entre los Juzgados o Tribunales y la Administración. El problema es que estos conflictos los resuelve el Tribunal de Conflictos de Jurisdicción que está formado por: “El Presidente del Tribunal Supremo, que lo presidirá, y por cinco vocales, de los que dos serán Magistrados de la Sala de lo Contencioso-administrativo del Tribunal Supremo, designados por el Pleno del Consejo General del Poder Judicial, y los otros tres serán Consejeros Permanentes de Estado, actuando como Secretario el de Gobierno del Tribunal Supremo”. Obviamente, y para el caso que nos ocupa, esta vía tampoco nos da una solución demasiado pacífica para resolver el problema entre el Consejo General del Poder Judicial y la AEPD. Así que nos tememos que nos vamos a quedar sin una respuesta clara.

Además, si bien no se puede discutir el proceso de nombramiento actual del Director de la AEPD –esta sentencia da argumentos para que sea nombrado por las Cortes Generales-, se olvida el carácter independiente de la AEPD. Y es que uno de los elementos de esta independencia es precisamente el carácter inamovible de su Director. De esta forma, sólo podrá ser cesado por incumplimiento grave de sus obligaciones, incapacidad sobrevenida para el ejercicio de su función, incompatibilidad o condena por delito doloso. En otras palabras, los mismos motivos de cese que los miembros del Tribunal Constitucional (artículo 23.1 de la Ley Orgánica 2/1979).

Asimismo, si seguimos el criterio adoptado por esta Sentencia del Tribunal Supremo, la AEPD tampoco podría controlar los ficheros del Defensor del Pueblo (por ser el Alto Comisionado de las Cortes Generales), incluyendo también a los autonómicos. En este sentido, si consultamos el Registro de Ficheros de la Agencia Española de Protección de Datos, hay ficheros inscritos del Defensor de Pueblo y Defensores del Pueblo Andaluz, Castilla La Mancha (aunque ya no existe), Navarra y Murcia (obviamente, estos son sólo los Defensores que tienen inscritos sus ficheros). O la Autoridad Catalana de Protección de Datos, respecto a los ficheros del Sindic de Greugues (su Defensor del Pueblo); la Agencia Vasca, respecto a los ficheros del Ararteko; y la APDCM, respecto al Defensor del Menor.

Incluso, rizando el rizo, habría que ver qué ocurre con los ficheros del Congreso, Senado, Parlamentos Autonómicos y Tribunal Constitucional, si bien, consultando el Registro de Ficheros de la AEPD, los ficheros de los citados se refieren a cuestiones meramente administrativas (secretaría general). O habría que preguntarse, incluso, qué ocurre con el Supervisor Europeo de Protección de Datos y los ficheros del TJCE.

En fin, consideramos que ningún órgano administrativo debe controlar la actuación de los jueces y tribunales relacionada con sus funciones jurisdiccionales, pero que es una garantía para el ciudadano (e incluso basada en la división de poderes) que la autoridad de control en materia de protección de datos pueda ser competente para inspeccionar y declarar infracciones de los jueces y tribunales por el incumplimiento de la normativa sobre protección de datos de carácter personal.

4ª Sesión Anual Abierta de la Agencia Española de Protección de Datos

Con motivo de la celebración del Día Europeo de Protección de Datos (28 de enero), se celebró el pasado 27 de enero de Madrid la 4ª Sesión Anual Abierta de la Agencia Española de Protección de Datos (AEPD). El objetivo de estas sesiones es dar a conocer el estado actual de la protección de datos en España, y convoca cada año a un gran número de profesionales de la materia, este ocasión, según la nota de prensa de la Agencia, unos 800. El resumen de la jornada lo pueden encontrar en esa misma nota de prensa.

El Director de la AEPD, don José Luis Rodríguez Álvarez, comenzó la jornada destacando el importante aumento de denuncias y reclamaciones de tutela de derechos realizadas por los ciudadanos durante el año 2011, que crecieron respecto al año anterior, un 50% y 34% respectivamente. Pese a que en anteriores intervenciones públicas el director no se había mostrado muy partidario del término, en esta ocasión celebró que se incluya expresamente el derecho al olvido en la propuesta de Reglamento europeo sobre Protección de Datos recientemente presentada por la Comisión Europea.
Precisamente resultó particularmente interesante dentro de la jornada la intervención del coordinador del Área de Internacional de la AEPD, Rafael García Gozalo, que desgranó la principales novedades de la propuesta de Reglamento y Directiva presentada recientemente por la Comisión Europea, así como la revisión del Convenio 108, del Consejo de Europa, para la protección de las personas físicas en relación con el tratamiento automatizado de datos personales.
El tema central de la sesión, como el de muchas jornadas del sector últimamente, fue la computación en la nube, o el cloud computing. Es conveniente recordar que este tipo de servicios no son novedosos, a fin de cuentas no es de ahora el alojamiento de datos en servidores de terceros. Lo que sí que es cierto es que se ha generalizado mucho su uso y que en cuanto a la normativa sobre protección de datos nos encontramos con varios problemas: la transferencia internacional de datos con la aplicación de las medidas de seguridad y la normativa española, y la habitual subcontratación de los servicios. Respecto a esto, la Agencia anunció la publicación de unas cláusulas contractuales tipo para los casos en los que se produzcan transferencias internacionales.
Por último, se contestaron por parte de los intervinientes consultas planteadas por los asistentes tanto al inscribirse como en la propia sesión. Hay que agradecer y valorar la predisposición del personal de la Agencia a la hora de responder preguntas en directo, pero creo que en muchos casos no aporta suficiente seguridad a las dudas de los profesionales, puesto que a menudo las cuestiones requieren de precisión tanto en el supuesto planteado como en la respuesta, y no siempre las respuestas son por tanto lo suficientemente claras o fiables.
En fin, un acto cuya celebración hay que agradecer a la Agencia, tanto por la deferencia ante los profesionales de la privacidad, como por las actuaciones de difusión de la cultura sobre protección de datos realizadas paralelamente en estos días.
Pueden descargarse las presentaciones de las distintas ponencias desde la web de la AEPD.
Otros resúmenes de la jornada en los blogs Marketing Positivo y Privacidad Práctica.

Sobre la validez del consentimiento presunto en materia de Protección de Datos

El artículo 6 de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal (LOPD) exige la existencia, con carácter general, de consentimiento para el tratamiento de datos de carácter personal. Por su parte, el art. 7 de la misma norma exige que el consentimiento sea expreso para el tratamiento de datos especialmente protegidos. Dado que el artículo 7 especifica el consentimiento expreso para algunos casos, es fácilmente deducible que son válidos a estos efectos otros tipos de consentimiento.

Hecha esta pequeña introducción para los no iniciados, debemos preguntarnos qué otros tipos de consentimiento o qué otras formas de expresar la voluntad, pueden ser válidas. No es objeto de este artículo entrar en profundidades ni analizar los matices que pueden encontrarse en la doctrina, pero no obstante podemos distinguir:

Consentimiento expreso: la voluntad del interesado se expresa a través de una declaración clara por su parte.

Consentimiento tácito: la voluntad del interesado se deduce de su falta de actuación.

Consentimiento presunto: la voluntad del interesado se deduce de su comportamiento.

Pese a que en documentos anteriores podemos encontrar la aceptación, por parte de la Agencia Española de Protección de Datos , de estas tres formas de expresar la voluntad, al menos desde el año 2000 no admite el consentimiento presunto, por considerar que no cumple con el requisito de “inequívoco” que exige la LOPD en su art. 6.

Así lo expresaba un informe de 2000, en el que, recogiendo “los criterios sentados en las diversas recomendaciones emitidas por el Comité de Ministros del Consejo de Europa”, se establecía que el consentimiento debe ser libre, específico, informado e inequívoco “lo que implica que no resulta admisiblededucir el consentimiento de los meros actos realizados por el afectado (consentimiento presunto), siendo preciso que exista expresamente una acción u omisión que implique la existencia del consentimiento”. Esta interpretación de lo que ha de ser un consentimiento inequívoco ha sido repetida por la AEPD en multitud de resoluciones, y está presente en su página web para explicar las obligaciones de la LOPD en lo referido al consentimiento.

Conociendo esto, me ha sorprendido enormemente leer una resolución por la que se archivan las actuaciones iniciadas contra la Federación de Comunicación y Transportes de Comisiones Obreras, por una denuncia debida a la grabación de las intervenciones realizadas en un congreso de esta organización sin obtener el consentimiento de los afectados. La Agencia considera que “es conforme a derecho la idea de que existiría un consentimiento implícito al respecto del tratamiento de datos referidos a la celebración practicada […] en base a la participación de éstos [los afiliados intervinientes] en el propio congreso. Esto es así dado que en materia de protección de datos se articulan tipos de consentimiento más allá del calificado como expreso, como son los consentimientos tácitos y presuntos, desprendiéndose éste último del primigenio comportamiento de los denunciantes, que participaron en el acto sin oposición, debiendo conocer, por tanto, que el acto referido podría ser objeto de grabación”.

Como vemos, la Agencia claramente acepta la existencia de un consentimiento presunto por parte de los intervinientes en el congreso, dado que conocían la realización de las grabaciones. Puede que haya más resoluciones en las que se acepta el consentimiento presunto, pero no hemos encontrado ninguna.

Hay en la doctrina división de opiniones sobre este asunto y he de decir que estoy de acuerdo con esta interpretación de la Agencia, pero es evidente que estamos ante una resolución que va en contra de la doctrina de la propia AEPD, repetida una y otra vez en multitud de documentos. Es más, en materia de videovigilancia, en la que a mi juicio se da un claro caso de consentimiento presunto (una vez se informa de que una zona está videovigilada, se puede deducir que aquél que entra está consintiendo la grabación de su imagen) la Agencia acude a la Ley 23/1992, de 30 de julio, de Seguridad Privada, para eximir de consentimiento por habilitación legal.

Lo más curioso de todo es que la propia AEPD “tira” del consentimiento presunto en los actos que organiza y graba, informando a los asistentes, pero sin obtener su consentimiento expresamente (y sin que se pueda amparar en la seguridad, puesto que la finalidad de la grabación es dar difusión al acto y no la videovigilancia por razones de seguridad).

En fin, que estamos ante un claro caso de inconsistencia en las resoluciones de la Agencia, que deberían garantizar más seguridad jurídica y un criterio más uniforme.

Jornadas “Asesorías 2.0: Herramientas tecnológicas para Gestorías y Despachos profesionales».

Los próximos días 28, 29 y 30 de noviembre, invitados por la Red de Asesores TIC de Castilla y León
de las Cámaras Oficiales de Comercio e Industria, compartiremos nuestra experiencia en el uso de las Tecnologías de la Información y las Comunicaciones para la mejora de los procesos de gestión, comunicación y marketing en asesorías, despachos y gestorías.
Hablaremos de la aplicación SIGPAC que hemos desarrollado en la Red PRODAT para la gestión de nuestros procesos de consultoría, auditoría, comerciales y relación con nuestros clientes.
Expondremos las ventajas de la gestión documental digitalizada y los beneficios del uso de las redes sociales. Las jornadas son gratuitas y se realizarán en las Cámaras de Comercio de León, Segovia y Salamanca, respectivamente.
Además en las jornadas de Segovia y Salamanca impartiremos una charla sobre Protección de Datos, centrándonos, más allá de las meras obligaciones, en los beneficios y ventajas que aporta para la gestión el correcto cumplimiento de la normativa sobre Protección de Datos.
Las jornadas son gratuitas. Más información e inscripciones en cyldigital.es.

El TJUE, el tratamiento de datos sin consentimiento, y las fuentes accesibles al público.

El Tribunal de Justicia de la Unión Europa (TJUE) ha dictado una sentencia por la que se resuelven dos cuestiones prejudiciales elevadas por el Tribunal Supremo. Estas cuestiones se derivan de los recursos presentados por la Asociación Nacional de Establecimientos Financieros de Crédito (ASNEF) y la Federación de Comercio Electrónico y Marketing Directo (FECEMD) contra determinado contenido del artículo 10 del Real Decreto 1720/2007, por el que se desarrolla la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal (LOPD). Este artículo, entre otras cosas, permite el tratamiento de datos sin consentimiento del interesado cuando los “datos objeto de tratamiento o de cesión figuren en fuentes accesibles al público y el responsable del fichero, o el tercero a quien se comuniquen los datos, tenga un interés legítimo para su tratamiento o conocimiento, siempre que no se vulneren los derechos y libertades fundamentales del interesado“.

Este precepto trata de recoger lo dispuesto en el artículo 7 de la Directiva 95/46, que establece que podrán tratarse datos sin consentimiento si “es necesario para la satisfacción del interés legítimo perseguido por el responsable del tratamiento o por el tercero o terceros a los que se comuniquen los datos, siempre que no prevalezca el interés o los derechos y libertades fundamentales del interesado que requieran protección con arreglo al apartado 1 del artículo 1 de la presente Directiva”.

¿Cuál es el problema? Pues que la normativa española exige, además del requisito del interés legítimo del responsable del tratamiento, y de que no prevalezca el interés o los derechos del afectado, que los datos figuren en fuentes accesibles al público. Esta es la primera pregunta que realiza el Supremo al TJUE, y la respuesta es clara: la Directiva se opone a que se exija este requisito adicional. A la vista de esto, al Supremo no le queda otro remedio que llevar a su fallo esta sentencia del TJUE, con lo que el artículo 10 del Real Decreto 1720/2007 no podrá seguir exigiendo que los datos figuren en fuentes accesibles al público.

La Agencia Española de Protección de Datos (AEPD) ha reaccionado a esta sentencia y en una nota de prensa ha dicho, básicamente, que la sentencia (resumida aquí por Gontzal Gallo) no altera el marco vigente de la Protección de Datos en España, puesto que ya venía interpretando el hecho de que los datos figuren en fuentes accesibles al público como un mero criterio de ponderación entre el interés legítimo del responsable del tratamiento y los derechos del interesado que se ven afectados por el tratamiento de datos sin consentimiento. Sin embargo, no es difícil encontrar procedimientos sancionadores, incluso recientes, en los que no se realiza ninguna ponderación en este sentido, rechazando la posibilidad del tratamiento de datos sin consentimiento si no figuran los datos en fuentes accesibles al público. Es más, la propia Agencia dice que, dado que se trata de una excepción, “debe aplicarse de forma restrictiva”. Por tanto, quizá sea más correcto decir que este será el criterio interpretativo a partir de ahora, con lo que, en mi opinión, sí que hay alteración del estado de las cosas.

Además tenemos que tener muy en cuenta la resolución de la segunda cuestión prejudicial planteada, en relación con el efecto directo del art. 7.f de la Directiva. El TJUE responde, como era de esperar, que sí que tiene efecto directo, con lo cual lo dispuesto en esta norma puede ser invocado por un particular y aplicado por los órganos jurisdiccionales nacionales. Esto tiene una importancia adicional, puesto que debemos recordar que el artículo 6.2 de la LOPD también incorpora el requisito de que los datos figuren en fuentes accesibles al público, requisito que, por lo que acabamos de ver en esta sentencia, es contrario a lo dispuesto en la Directiva.

Sanción de la AEPD por abrir un perfil falso

La Agencia Española de Protección de Datos (AEPD) ha impuesto una sanción de 2.000 euros a una persona por haber abierto un perfil falso en la red social Badoo haciéndose pasar por otra persona. Esta resolución es bastante jugosa por varias razones.

En primer lugar por su instrucción: primero se solicita a la Oficina del Comisionado Chipriota para la Protección de Datos, (cuyo nombre oficial es, por si les pica la curiosidad, Γραφείου Επιτρόπου Προστασίας Δεδομένων Προσωπικού Χαρακτήρα) información sobre la dirección IP desde la que se creó el perfil y se realizaron conexiones. Conocida esa IP, el operador Euskaltel le facilita a la AEPD la identificación del titular que tenía asignada esa dirección IP en el periodo en el que se realizaron las mencionadas conexiones.

Puede llamar la atención las inmensas posibilidades que tiene la AEPD de investigación e identificación de usuarios de servicios de telecomunicaciones. La Agencia se ampara en el art. 40 de la LOPD, en el que se dice que las autoridades de control, en su labor de inspección, podrán recabar “cuantas informaciones precisen para el cumplimiento de sus cometidos”. Es cierto que una interpretación amplia de este precepto puede llevar a aceptar que pueden “pedir” lo que quieran, pero también es verdad que una cosa es que puedan pedir y otra que el poseedor de esa información tenga la obligación de facilitarla. Por otro lado, está el viejo debate que trae a colación lo establecido en los arts. 1 y 6 de la Ley 25/2007, de 18 de octubre, de conservación de datos relativos a las comunicaciones electrónicas, en los que se dice que los datos de tráfico sólo pueden ser cedidos previa autorización judicial y con fines de detección, investigación y enjuiciamiento de delitos graves contemplados en el Código Penal o en las leyes penales especiales. Respecto a este debate, nos remitimos a esta entrada de David Maeztu y a las aportaciones realizadas en sus comentarios.

También es interesante que en esta resolución se recuerda que, en caso de que haya abierto un proceso penal, se debe suspender el procedimiento hasta que recaiga resolución judicial. No se produjo en este caso, aunque lo alegaba la denunciada, puesto que la Agencia no tenía conocimiento de la apertura de ningún proceso penal con identidad de sujeto, hecho y fundamento, tal como exige el art. 7 del Real Decreto 1398/1993.

En cuanto a la cuestión de fondo, la Agencia entiende que, dado que se abrió un perfil utilizando el nombre de pila, número de teléfono y fotografía de otra persona, hay un tratamiento de datos sujeto a la LOPD, tratamiento realizado sin consentimiento, lo que supone una infracción del art. 6. En primer lugar puede llamar la atención que estamos ante el tratamiento de datos realizado por un particular, con lo que cabría pensar que estamos fuera del ámbito de aplicación de la LOPD, atendiendo a la conocida como “excepción doméstica“. Aunque es sabido y es reiterada la doctrina de la AEPD por la que se entiende que en el momento en que se tratan datos personales públicamente en Internet esta excepción no se tiene en cuenta, creo que debería haberse analizado este aspecto.

El caso es que debemos plantearnos si la AEPD entra a conocer de cuestiones que parecen ajenas a la normativa sobre Protección de Datos y por tanto sobre su competencia. La suplantación de identidad en una red social podría pensarse que supone un delito de usurpación del estado civil, tipificado en el art. 401 del Código Penal, pero es muy complicado aplicar este artículo, puesto que la jurisprudencia viene exigiendo que el infractor se haga pasar en su totalidad por otra persona, y además con carácter permanente. También puede ser un medio para la comisión de otras infracciones y delitos, pero sólo eso, un medio. Por tanto la mera suplantación de identidad en una red social puede quedar sin sanción y no parece que sea una actuación no merecedora de reproche.

Esta actuación de la AEPD ha sido muy criticada por entender, como hemos dicho, que estamos ante una actuación que debe quedarse fuera de sus competencias, pero lo que es incuestionable es que se ha realizado un tratamiento de datos personales sin consentimiento, y ante eso la Agencia no tiene más remedio que actuar. Espero los comentarios discrepantes con mucho interés.

Claves para identificar un proyecto adecuado de consultoría LOPD

La Asociación Profesional Española de Privacidad (APEP) ha publicado un documento dirigido a las empresas y profesionales interesados en contratar un servicio de consultoría de protección de datos, con el objetivo de que conozcan qué cuestiones han de tenerse en cuenta si se quiere disponer de un servicio integral y profesional.

El documento, disponible en la página web de la APEP, recoge las claves para acometer correctamente un proyecto de adecuación a la normativa sobre protección de datos. A modo de resumen:

Es necesaria la implicación, concienciación y participación del cliente.
La adecuación no es algo puntual, exige su continuación en el tiempo. La entrega de una documentación, sin más, tras rellenar unos cuestionarios, no es una adecuación.
La consultoría requiere de formación y concienciación por parte de todo el personal de la empresa con acceso a datos de carácter personal.
La adaptación puede requerir cambios en la empresa respecto a actuaciones incorrectas.
La adaptación a la LOPD no se soluciona con «copiar y pegar», debe adaptarse a la empresa en cuestión, no hay soluciones válidas universales. Hay que conocer correctamente la realidad de la organización, para lo cual es necesario en la mayoría de los casos que el consultor visite presencialmente la empresa.
El consultor debe tener formación específica especializada (másters, cursos de postgrado, cursos de especialista) o disponer de una certificación, como la Certificación ACP de la APEP.
El cumplimiento ha de ser real, no meramente formal o documental.
La consultoría de calidad tiene costes: ni gratis ni a precios por debajo del mercado, ni a través de fraudes como el del coste cero.