Madrid, 13 de mayo de 2015
Referente a la propuesta del Reglamento Europeo de Protección de Datos que publicó en enero del 2012 el Parlamento Europeo junto con el Consejo, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de datos, tendrá repercusiones, no sólo a nivel europeo sino a nivel nacional, con un nivel de impacto bastante elevado en nuestras empresas.
A continuación, analizamos los 6 principales cambios legislativos que, a la entrada en vigor del Reglamento que serán de aplicación directa y prevalente sobre nuestro actual sistema de protección de datos personales (Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal y Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD).
1.- Aplicación de nuevos Principios: Si hasta el momento contábamos con principios básicos como los de calidad, información, deber de secreto y consentimiento para el tratamiento de datos personales, la norma europea añade nuevos principios como el de rendición de cuentas aludiendo a la responsabilidad de las compañías en la implantación de mecanismos que garanticen el cumplimiento de los principios y obligaciones en materia de protección de datos, así como a los métodos de validación que garanticen su fiabilidad.
Esta responsabilidad, será igualmente aplicable para empresas tanto pequeñas como grandes, si bien es cierto que, resulta más sencillo implantar políticas y métodos de control en multinacionales que operan a escala mundial, mediante el establecimiento de mecanismos internos y externos para evaluar su fiabilidad y demostrar su efectividad cuando se solicite por las autoridades de control. Además, los medios y recursos de los que disponen permiten realizar periódicamente programas de concienciación en la materia.
Por otro lado, aparece el Principio de Transparencia, centrado en facilitar las relaciones entre el responsable de los datos y el interesado, así como entre el responsable de los datos y las autoridades de control.
Este principio se materializa en cuatro conceptos:
a) Eliminación de la obligación de notificar y registrar los ficheros que contienen datos personales ante la autoridad de control (Agencia Española de Protección de Datos-AEPD).
b) Conservación de la documentación de todas las operaciones de tratamiento de datos efectuadas bajo su responsabilidad. La responsabilidad de conservar la documentación, a partir de la entrada en vigor del nuevo Reglamento, recae tanto en el Responsable como en el Encargado del tratamiento.
c) Establecimiento de mecanismos sencillos para el ejercicio de los derechos. Un ejemplo de ello, es la posibilidad de ejercitar los derechos vía electrónica (tanto para envío como para respuesta), y la obligación de informar a los solicitantes de la posibilidad de presentar una reclamación ante la autoridad de control y de recurrir a los tribunales. Asimismo, la Comisión podrá establecer formularios y procedimientos normalizados para las comunicaciones a los interesados, incluido el formato electrónico, adoptando medidas específicas para las microempresas, las pequeñas y medianas empresas.
d) Cooperación con autoridades de control. Con el cambio normativo los responsables y encargados del tratamiento no sólo deberán colaborar con su autoridad de control nacional (en nuestro caso AEPD), sino que ahora también entrará en juego “rendir cuentas” ante la Comisión y el Consejo Europeo de Protección de Datos. Si bien esto dota de transparencia a las actividades que impliquen tratamiento de datos personales, también genera un estricto deber de cumplimiento para dichos agentes.
2.- Tratamiento de datos de menores: Otra de las novedades importantes es que se fija la edad de los menores en menos de 13 años (frente a la actual regulación española que la fija en menos de 14), en relación a la oferta directa de servicios de la sociedad de la información. Además, añade el borrador, que el tratamiento de los datos de estos menores solamente será lícito si el padre o tutor del menor ha prestado su consentimiento previo.
3.- Nuevos Derechos para los ciudadanos: Esta novedad, a nuestro entender y al de muchos expertos, resulta uno de los puntos más importantes y relevantes del borrador de Reglamento Europeo.
Comenzamos por el famoso “Derecho al olvido”, del que ya se venía hablando desde hace tiempo, pero que, en realidad, hasta la publicación del borrador no habíamos visto materializado.
Este derecho consiste en la supresión de datos bien porque ya no son necesarios conforme a la finalidad para la que fueron recabados ya sea porque el interesado ha revocado su consentimiento para el tratamiento; porque ha expirado el plazo para el tratamiento legal de los datos; porque el interesado ha ejercitado su derecho de oposición, o bien porque el tratamiento de los datos no se está realizando conforme al Reglamento que estamos comentando.
Pero este derecho va más allá y obliga a los responsables de los datos que han difundido la información a terceros a comunicarles la obligación de suprimir cualquier enlace a los datos publicados, así como a eliminar cualquier copia o réplica de dichos datos. Su traducción directa consiste en conseguir eliminar de la red y de los buscadores cualquier rastro que haya de los datos de la persona que quiere ser “olvidada” de manera definitiva.
Otro derecho importante es el de oponerse a la “Creación de perfiles”, que consistan en evaluar, de manera automatizada, determinados aspectos personales propios de dicha persona física o a analizar o predecir en particular su rendimiento profesional, su situación económica, su localización, su estado de salud, sus preferencias personales, su fiabilidad o su comportamiento.
Por último, no podemos olvidarnos del derecho a la “Portabilidad de los datos”, solicitado con el fin de obtener del responsable del tratamiento una copia de los datos objeto de tratamiento en un formato electrónico estructurado y comúnmente utilizado que le permita seguir utilizándolos. Encontramos, así, su aplicación práctica, en el deseo de un particular de cambiar de operadora de telecomunicaciones, pudiendo realizar tal portabilidad, de una manera ágil y sencilla para el usuario final.
4.- Notificación de Brechas de Seguridad: La mayor diferencia que encontramos entre nuestro Reglamento de protección de datos y el borrador Europeo radica en las medidas de seguridad.
De hecho, el borrador no hace ni un desglose de las mismas ni establece diversos niveles de seguridad en función del tipo de datos personales que se trate, sino que impone al responsable y al encargado que las implementen asegurando un nivel de protección adecuado atendiendo a tres criterios: los riesgos que se presenten, la naturaleza de los datos y los costes de implementación.
El Reglamento otorga a la Comisión la facultad de elaborar actos normativos para establecer medidas de seguridad de carácter técnico y organizativo, teniendo en cuenta para ello, tanto el desarrollo de la tecnología.
En cuanto a la obligación de comunicar las brechas de seguridad, el borrador diferencia entre notificar a la autoridad de control la incidencia detallada de lo que ha sucedido realmente en un plazo no superior a 24 horas (veremos qué plazo se fija definitivamente), y notificarlo al interesado cuando éste se haya visto afectado, por la vulneración de las medidas de seguridad.
Si bien supone una modificación sustancial de nuestro actual reglamento, no podemos olvidar que estas obligaciones ya estaban previstas en la denominada Directiva 2009/136/CE (“cookies”), por lo que este precepto simplemente es una armonización y homogenización de las directivas europeas sobre seguridad y comunicaciones electrónicas.
5.- La Figura del Delegado de Protección de Datos: La propuesta de Reglamento le dedica una sección entera a esta nueva figura, dada la relevancia que tiene para el futuro.
Simplemente mencionar que como rasgos fundamentales, destacamos la obligatoriedad de contar con un “Data Protection Officer” (DPO), por un plazo mínimo de 2 años, tanto en autoridades y organismos públicos, como en empresas con al menos 250 empleados. Se permite contar con un solo DPO en los casos de grupos de empresas.
En cuanto al perfil del DPO, mucho queda por detallar a este respecto, por lo que quedamos a la espera de qué dirá el texto definitivo. Lo que sí podemos afirmar, es que entre las funciones que le serán encomendadas se encuentran: supervisar la implementación y aplicación de las políticas internas, la formación del personal, las auditorías, la información de los interesados y las solicitudes presentadas en el ejercicio de sus derechos, velar por la conservación de la documentación, supervisar la realización de la evaluación de impacto y actuar como punto de contacto para la autoridad de control, entre otras.
6.- Evaluación de Impacto: Nuestro análisis finaliza con comentar en qué consiste realizar esta evaluación.
Pues bien, realizar una evaluación de riesgos por parte del responsable o el encargado del tratamiento, con carácter previo al tratamiento, permitirá que las medidas que se adopten tengan como finalidad evitar la pérdida de datos, los accesos y cesiones no autorizados.
No obstante, ¿cuándo plantea el borrador que habrá que evaluar los riesgos del tratamiento de los datos? Sencillamente, en los casos en los que el tratamiento entrañe riesgos específicos para los derechos y libertades de los interesados en razón de su naturaleza, alcance o fines. En particular, cuando el tratamiento sirva para la creación de perfiles de los interesados, en el tratamiento de datos sensibles, datos genéticos o biométricos, en los casos de video-vigilancia y en el tratamiento de datos de menores. En todos estos casos será necesario realizar un “Informe de Impacto de Privacidad”.
Lo primero que quiero significar es que la Ley Orgánica 15/99 de 13 de diciembre, de Protección de Datos de Carácter Personal, entronca con dos ramas fundamentales de nuestro Derecho, como son la rama constitucional y la rama penal. Y esto se desprende, sin lugar a dudas, nada más comenzar a leer la misma puesto que en su artículo 1 se consagra el derecho al honor y a la intimidad personal y familiar, precepto que a todas luces entronca con el consagrado en el artículo 18 de nuestra Constitución. De igual modo y a lo largo de la Ley Orgánica 15/99, se pueden entrever diversos preceptos que se relacionan con el Código Penal, como más adelante pasaré a analizar.
Realmente me ha llamado la atención el concepto de protección al que aluden los artículos 6 y 7 de la mencionada Ley Orgánica puesto que estamos hablando de un concepto amplio por exigir la Ley 15/99 un consentimiento expreso y por escrito, de un concepto que especialmente protege y respeta la creencia personal, la ideología y la religión (esta protección también se consagra en la Constitución de 1978) así como la raza, la salud y la vida sexual.
Después de esta breve introducción, voy a analizar un punto que puede ser objeto de controversia, que es el de si debe ser considerado como derecho fundamental el derecho a la protección de datos de carácter personal. Personalmente, entiendo que debe ser tratado como tal pero con cautela toda vez que el sujeto que pretende disfrutar de seguridad y defensa en el uso y disfrute de su derecho ha de tomar todas las medidas necesarias para mantener la seguridad de los datos que puedan ser susceptibles de difusión. Sin embargo, las empresas incumplen la Ley. Ésta es la principal conclusión de un estudio que señala que casi la mitad de las empresas españolas viola la Ley Orgánica de Protección de Datos (LOPD) y reconoce el tratamiento ilegal que de ellos hacen. Según el informe, el 46% de las empresas encuestadas reconocen que sus ficheros tienen un nivel bajo de seguridad no acorde con la importancia de los datos que manejan. Muchas empresas no destruyen los datos del nivel medio y alto de seguridad, como los que corresponden a raza, salud o minusvalía.
Casi la mitad de las empresas consultadas permiten el acceso de terceros a los datos de sus ficheros y bastantes de ellas no regulan este acceso con el pertinente contrato establecido por ley. La normativa establece que toda empresa que disponga de ficheros con datos personales debe garantizar la confidencialidad y el buen uso de los mismos, para lo que debe informar previamente al interesado y obtener su consentimiento.
Lo que sí me parece que no debe dejar resquicio alguno en aras a la protección de datos de carácter personal es todo lo concerniente a cuestiones tales como el de la vida sexual de las personas y la protección de los menores. En este último punto se deja entrever, según mi punto de vista, una laguna en la LOPD y más concretamente en su art. 7, bajo el epígrafe datos especialmente protegidos y más concretamente en sus apartados 3 y 4 se hace referencia a los datos de carácter personal que aluden al origen racial, a la salud y a la vida sexual y no se menciona para nada a los menores o a los incapaces, o el apartado 4, donde se expresa que quedan prohibidos los ficheros creados para difundir datos personales sobre la ideología, la afiliación sindical, la religión, las creencias, el origen racial o étnico o la vida sexual. Redundando en este último tema, significar que podría sostenerse que esta laguna a la que se ha hecho referencia en líneas atrás no tiene razón de ser porque es preciso a tenor del art. 3 h) de la Ley en lo relativo a lo que debe entenderse como consentimiento del interesado como toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen o a tenor del art. 6 que consagra en los cuatro apartados que lo configuran todo aquello que debe entenderse por consentimiento del afectado, refuerza mi idea el art. 11 pues consagra la comunicación de datos y la cesión de los mismos y por todos nosotros es de sobras conocido que puede y de hecho ocurre que mediante el mecanismo de la cesión se vulneran los derechos de los menores y de los incapaces. Con el tema de una posible cesión de los derechos de los menores y de los incapaces se encubre todo un fraude en virtud del cual logran lucrarse, moviéndose cifras millonarias de euros, miles y miles de personas.
Abundando en esta controversia, quiero plantear el siguiente interrogante: los menores de edad, aunque carezcan de capacidad contractual, ¿basta su consentimiento para tratar sus datos personales? La Ley Orgánica 1/96, en su art. 4, establece que los menores tienen derecho al honor, a la intimidad personal y familiar y a la propia imagen y la Ley Orgánica 1/82 de 5 de mayo de protección civil del derecho al honor, a la intimidad personal y familiar y a la propia imagen en su art. 3.1 preceptúa que el consentimiento del menor y de los incapaces deberá presentarse por ellos mismos si su condición de madurez lo permiten, de acuerdo con la legislación civil. Y esta se ha vinculado a la edad de doce años por lo que, en principio, no están incapacitados para autorizar el tratamiento siempre y cuando alcancen tal madurez.
Es por ello que en la LOPD no se alude a la protección de los derechos de los menores e incapaces y a mi modo de ver y tal y como antes he expuesto, esto creo que constituye una laguna digna de mención en la citada Ley Orgánica. Y tan es así que mi idea se ver reforzada en la medida en que nuestro Código Penal protege, podemos decir, sin ningún tipo de cortapisa, la figura de la protección del menor o incapaz en el sentido de que la vulneración o, de una mejor manera expresada, o la difusión o revelación de datos personales que afecten a menores o incapaces constituyen un tipo penal agravado (art. 197 párrafo 5º del Código Penal) pues se impone la pena correspondiente pero en su mitad superior.
No querría dejar de entrar a valorar (y este tema que voy a abordar sí que es objeto de especial protección en la Ley Orgánica) el tema de la protección de la salud y lo primero que quiero dejar sentado es la posible repercusión que tendría la difusión o revelación de un fichero. Y se me ocurre un ejemplo: un hospital o centro de salud que contiene en su base de datos registrada todos y cada uno de las enfermedades de los pacientes que ingresan en dicho hospital o centro de salud. Y ocurre el caso de que un paciente tiene el virus del sida o una enfermedad terminal. Se trata de un tema peliagudo porque ya daría igual si esta difusión se produce de forma consciente o con negligencia porque el mero hecho de que una persona obtenga información de un solo paciente (de entre los cientos que puede haber en un hospital padeciendo enfermedades de este tipo) que figura en este fichero lo llegara a divulgar, nos podemos plantear una serie de interrogantes tales como ¿hay algún modo de reparar el daño causado?, ¿merece la pena, aún económicamente hablando compensar con algún tipo de indemnización, cualquiera que sea la cuantía?, ¿qué tipo de pena o sanción o multa cabe imponer a tal difusor si, por ejemplo, el hospital imprudentemente ha divulgado o no ha custodiado o guardado con la cautela necesaria este fichero de forma que ninguna persona ajena a dicho hospital tenga alcance al mismo?. En este último ejemplo que puede ocurrir o nos puede ocurrir a nosotros mismos o a algún familiar, la multa cuya cuantía viene recogida en el art. 45.3 de la Ley de Protección de Datos si bien puede resultar excesiva a priori, no creo que lo fuera caso de ser alguno de nosotros o nuestros familiares los perjudicados. Tan es así que, haciéndome eco de un comentario en Internet, se tiende a regular el funcionamiento regulado para las clínicas.
En cuanto a los niveles de protección, la ley prevé, con respecto al personal, el nivel básico, excepto minusválidos y afiliaciones sindicales a efecto de descuentos de la cuota, que corresponde al nivel alto. En este aspecto se sugiere que el personal afecto al nivel de protección de datos alto se puede incluir en fichero aparte o no informatizado, con el fin de no tener que tratar toda la plantilla con nivel de protección alto. Respecto a los proveedores, la ley prevé un nivel de protección básico, y respecto a los pacientes contempla lo siguiente: datos generales de filiación, nivel básico, y datos clínicos, nivel alto.
El procedimiento previsto en la norma es el siguiente: el responsable del fichero deberá redactar un documento de seguridad con las medidas de seguridad adoptadas y deberá declarar cada uno de los ficheros independientemente rellenando los formularios correspondientes facilitados por la Agencia de Protección de Datos y presentándolos en este ente para su notificación e inscripción registral.
Se aconseja que el documento de seguridad sea confeccionado de acuerdo con los artículos 8 a 28 del Reglamento de medidas de seguridad de los ficheros automatizados que contemplan datos de carácter personal. Se considera que, posiblemente, se requiera la participación de personal especializado.
No querría dejar de entrar a valorar la problemática que suscita el problema de las cookies (ficheros de datos guardados en un directorio específico del ordenador del usuario, creados por los servidores con el fin de ser enviados a los programas navegadores del usuario, lográndose de este modo la información recogida en aquel fichero).
A modo de conclusión, significar que, en su conjunto, la Ley de Protección de Datos del año 1999 contiene a lo largo de su articulado aspectos loables y dignos de mención tales como los conceptos recogidos en su art. 3, donde deja perfectamente sentado lo que ha de entenderse por datos de carácter personal, fichero, tratamiento de datos, responsable del fichero o tratamiento y así hasta llegar a su apartado j). También es destacable que se trata a todas luces de una Ley Orgánica no muy extensa (consta de 49 artículos) Por el contrario, podemos achacarle que no entra más en lo relativo a temas de Derecho Penal general como es el grado de participación penal (autores, cómplices y encubridores de los delitos susceptibles de ser cometidos con la vulneración de los preceptos de esta Ley) y todo lo que se refiere a ficheros informatizados y automatizados y el debate que en su día planteó hasta su inclusión en la Ley 15/99.