La Agencia Española de Protección de Datos ha impuesto la primera sanción en materia de cookies. En realidad son dos sanciones a sendas empresas, una de 3000 y otra de 500 euros. Las páginas web no informaban correctamente de las cookies utilizadas en su web.
Lo cierto es que esta resolución ha de servir de guía, a partir de ahora, para saber a qué atenerse en esta materia, puesto que explica qué información hay que facilitar y cómo ha de hacerse. Más información en mi blog Descargas Legales.
La Agencia Española de Protección de Datos ha sancionado en más de una ocasión la existencia de monitores que emiten imágenes de sistemas de videovigilancia cuando estos monitores se encuentran a la vista de cualquier persona.
Sin embargo, esta situación ha de cambiar, puesto que una reciente sentencia de la Audiencia Nacional ha anulado una sanción a una empresa, puesto que la imagen que emitía el monitor se correspondía con la zona desde la cual se podía visualizar el mismo, de forma que cualquier persona que lo viera, no estaría accediendo a imágenes distintas a las que directamente podría apreciar desde ese punto. Más información en mi blog «Descargas Legales«.
La captación de imágenes (tanto fotografías como vídeos) de menores en los centros educativos provoca no pocos dolores de cabeza a los titulares de estos. Es costumbre que todo tipo de actividades que se realizan en los colegios sean fotografiadas o grabadas, tanto para el propio archivo escolar, como para entregar a las familias, como incluso para realizar material promocional.
Evidentemente, vaya por delante que la imagen es un dato de carácter personal y por tanto su tratamiento está sujeto a la normativa sobre Protección de Datos. En consecuencia, lo primero que ha de tenerse en cuenta es que se necesita el consentimiento para ello. Y para que ese consentimiento sea válido debe indicarse claramente qué uso se va a hacer de esas imágenes.
El problema (o mejor dicho, uno de los muchos problemas) es qué sucede cuando los padres de un menor se oponen a que se capte la imagen de su hijo en un acto público del colegio, como puede ser la típica función navideña, en la que participan todos los alumnos. Hace unos años salió a la luz un caso de este tipo, puesto que un padre denunció que no se permitió a sus hijos participar en la función puesto que no habían consentido que se les tomara imágenes. Desconozco los detalles del caso y cómo acabó resolviendo la Consejería de Educación (me encantaría saberlo), pero esto nos da pie a comentar una serie de cuestiones al respecto.
Lo cierto es que los padres del menor tienen, como hemos comentado, pleno derecho a que no se capte la imagen del menor. No se trata de un tratamiento de datos imprescindible para la prestación, por parte del colegio, de los servicios que debe prestar, con lo que es completamente lícito no dar el consentimiento. En estos casos, los colegios se encuentran con problemas, dado que en muchas ocasiones la única forma es apartar al niño de la fotografía o vídeo que se vaya a tomar o tratar la imagen posteriormente (aunque en puridad este procedimiento no sería válido, porque no hay consentimiento ni siquiera para la captación de la imagen).
En caso de que se aparte al niño, totalmente (como en el caso de la noticia reseñada) o parcialmente (apartando al niño del momento de realizar la fotografía), lo cierto es que se crea una situación de exclusión del menor respecto al resto de alumnos que, sin querer meterme en charcos psicopedagógicos, no parece muy adecuada.
Si se toma la imagen y se trata posteriormente, supone un trabajo adicional para el colegio, que puede ser sencillo en el caso de las fotografías, pero más costoso en el caso de vídeos.
Por último, la solución drástica es no tomar ninguna imagen del acto. Aquí los perjudicados son el resto de familias, que lo más probable es que la inmensa mayoría (o todas ellas) quieran tener imágenes de recuerdo.
Creo que han de ponderarse todas estas cuestiones, y alguna otra, a la hora de tomar una decisión de este tipo, tanto por el propio colegio, como por las autoridades educativas y de protección de datos. Teniendo en cuenta que la captación de imágenes del menor, sin consentimiento, no debe poder realizarse en ningún caso, en mi opinión debería resolverse la cuestión de la siguiente forma:
– En caso de que la grabación sea exclusivamente como recuerdo para las familias y archivo del colegio, en principio debe prevalecer el uso social aceptado comúnmente de grabar o fotografiar este tipo de actos, que son públicos, sobre la ausencia de consentimiento en el caso de alguno de los menores. Por tanto, si los padres del menor insisten en que su imagen no sea captada, no podrán tomar parte en la función.
– En caso de que el consentimiento solicitado sea para realizar una difusión mayor, como puede ser material promocional, o la publicación en Internet (web del colegio, redes sociales, etc.) de estas imágenes, en mi opinión en este caso debe prevalecer la oposición de los padres que no desean la publicación, con lo que los hijos de estos podrán participar en el acto y el colegio deberá abstenerse por completo de publicar las imágenes o al menos tratarlas para evitar la publicación de la imagen de los menores afectados.
Se trata sólo de mi opinión, en un asunto muy controvertido. Lo que sí que debe estar claro es que en caso de duda, lo mejor es evitar todo tipo de grabaciones y realizar las actuaciones con todos los alumnos, puesto que estamos ante un tema muy delicado como son las imágenes de menores. Espero opiniones en los comentarios.
Comentábamos ayer en la anterior entrada las novedades legislativas producidas en la Ley 34/2002, de Servicios de la Sociedad de la Información y de Comercio Electrónico (LSSI) por el Real Decreto-ley 13/2012, de 30 de marzo. En materia de “cookies” se modifica la redacción del artículo 22.2 de esta norma, de forma que a partir de ahora “los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización”.
¿Qué sucede en caso de incumplimiento de este precepto? Hay que acudir para saberlo al Título VII de la LSSI, en el que se detallan las infracciones y sanciones y, en concreto, a los artículos 38.3.i y 38.4.g, que tipifican con infracción grave y leve, respectivamente, el incumplimiento (“significativo” para que sea grave) “de las obligaciones de información o de establecimiento de un procedimiento de rechazo del tratamiento de datos, establecidas en el apartado 2 del artículo 22“.
El régimen sancionador no ha sido modificado por el Real Decreto-ley 13/2012, con lo que sigue vigente el mismo, en el que, como acabamos de ver, no se menciona la falta de consentimiento de los destinatarios, sino sólo la falta de información o del procedimiento de rechazo. Podría pensarse que no es necesario que se haga esta modificación, dado que puede entenderse incluido el incumplimiento de lo que consta en el artículo 22.2. Pero no debemos olvidar que nos encontramos dentro del ámbito del derecho sancionador, en el que rige, como uno de los principios fundamentales, el principio de tipicidad.
El principio de tipicidad conlleva que los hechos constitutivos de infracción y las sanciones han de estar explícitamente recogidos en la norma. Por tanto, para poder sancionar, es necesario que las acciones analizadas sean exactamente las mismas que las que señale el tipo legal. Así lo establece el artículo 129 de la Ley 30/1992: “sólo constituyen infracciones administrativas las vulneraciones del ordenamiento jurídico previstas como tales infracciones por una Ley […]. Únicamente por la comisión de infracciones administrativas podrán imponerse sanciones que, en todo caso, estarán delimitadas por la Ley […]. Las normas definidoras de infracciones y sanciones no serán susceptibles de aplicación analógica“.
En el caso que nos ocupa, como acabamos de ver, no se hace mención en el régimen sancionador de la LSSI al incumplimiento de la obligación de obtener el consentimiento, con lo que, ateniéndonos al principio de tipicidad, no será posible imponer sanciones por esta omisión. Quizá algún administrativista venga a enmendarme la plana, pero al menos lo que está claro es que resulta bastante chapucero por parte del legislador modificar las obligaciones y no adaptar el régimen sancionador de la ley a estas nuevas previsiones legales.
La Sala de lo Contencioso Administrativo de la Audiencia Nacional ha dictado una sentencia por la que se anula una resolución de la Agencia Española de Protección de Datos (AEPD) en la que se imponían dos sanciones a una discoteca por la instalación de cámaras de videovigilancia. Las cámaras se encontraban instaladas en la fachada y vigilaban la entrada del local, por lo que la AEPD entendía que se captaba la vía pública, lo cual está reservado a las Fuerzas y Cuerpos de Seguridad y por tanto se realizaba un tratamiento de datos ilícito, sancionando este hecho con 2.500 euros. La otra sanción, de 800 euros, se imponía por no haber realizado la inscripción del fichero en el Registro General de Protección de Datos.
Es conveniente recordar que el tratamiento de imágenes a través de sistemas de videovigilancia supone un tratamiento de datos de carácter personal y por tanto está sujeto a la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal (LOPD) y en concreto a la Instrucción 1/2006, de 8 de noviembre, sobre el tratamiento de datos personales con fines de vigilancia a través de sistemas de cámaras o videocámaras.
El artículo 7 de esta norma establece la obligación de inscribir el fichero generado por el sistema de videovigilancia, pero aclara que “no se considerará fichero el tratamiento consistente exclusivamente en la reproducción o emisión de imágenes en tiempo real“. La sentencia de la Audiencia Nacional anula esta sanción por considerar que no había grabaciones y, por tanto, no había fichero alguno que inscribir.
Más interesante es la otra sanción, por captar imágenes de la vía pública. De acuerdo con lo establecido en la Ley Orgánica 4/1997esto es competencia exclusiva de las Fuerzas y Cuerpos de Seguridad del Estado. Así lo dice también el artículo 4.3 de la Instrucción 1/2006: “las cámaras y videocámaras instaladas en espacios privados no podrán obtener imágenes de espacios públicos”. Pero ese mismo precepto establece una excepción: ”salvo que resulte imprescindible para la finalidad de vigilancia que se pretende, o resulte imposible evitarlo por razón de la ubicación de aquéllas”.
Es decir, es perfectamente entendible que para la seguridad de entradas a establecimientos o perímetros de fincas, por ejemplo, puedan obtenerse, de forma accesoria, imágenes de la vía pública. Para analizar si esa instalación de videovigilancia es lícita debe realizarse un juicio de proporcionalidad, que no exista posibilidad de instalación alternativa y que la captación de imágenes de la vía pública sea la mínima imprescindible. En el caso que nos ocupa, la AN analiza varios aspectos:
A la vista de estos hechos, se considera que no hay infracción del principio de consentimiento por captar imágenes en la vía pública y por ello se anula la sanción de la AEPD. Lo interesante de esta sentencia es que las valoraciones que realiza la AN nos pueden servir de guía para determinar cuándo será posible instalar un sistema de videovigilancia que tome imágenes de la vía pública, lo cual es posible pero, como vemos, con limitaciones.
Más sobre este tema: Alfonso Pacheco, en Privacidad Práctica.
Por Fco. Javier Sempere Samaniego
(Asesor de Apoyo Técnico-Jurídico de la
Agencia de Protección de Datos de la Comunidad de Madrid)
y David González Calleja
En una sentencia de 2 de diciembre de 2011, la Sala Tercera de lo Contencioso-Administrativo del Tribunal Supremo ha revocado una sentencia de la Audiencia Nacional y, por tanto, anulado una resolución de la Agencia Española de Protección de Datos (AEPD), por la que se declaraba infracción del Juzgado nº 1 de lo Contencioso Administrativo de La Coruña. La Agencia estimó que el juzgado había infringido el deber de secreto del artículo 10 de la LOPD al aportar partes de baja de algunos funcionarios del juzgado a expedientes disciplinarios abiertos a otros funcionarios en los que se recogían datos de salud.
Si bien al TS parece que no le gusta demasiado la forma de presentar los fundamentos jurídicos por parte del recurrente (“una más depurada técnica casacional y una más cuidadosa redacción de las consideraciones fácticas y jurídicas que se ofrecen en los fundamentos jurídicos, sobre todo evitando reiteraciones y hacer mención a circunstancias irrelevantes, harían, sin duda, más fácil su lectura y comprensión”), lo cierto es que le da la razón en el punto fundamental de este recurso, que no es el fondo del asunto (la infracción del artículo 10 de la LOPD, sobre la que el TS está de acuerdo, según se ve en el Fundamento Jurídico 1º de la sentencia), sino la falta de competencia de la AEPD. Estiman que la Agencia no es competente para investigar y enjuiciar la conducta de un juez en el legítimo desempeño de sus funciones, sino que el control de estas conductas está reservado al Consejo General del Poder Judicial (CGPJ).
Entienden los magistrados del Supremo (y también David Maeztu, con el que amablemente discrepamos) que sólo al órgano de gobierno del poder judicial le corresponde la inspección de juzgados y tribunales (art. 107.3 LOPJ). Pero que el CGPJ tenga esa potestad no excluye, a nuestro juicio, que otros entes públicos puedan realizar inspecciones dentro del ámbito de sus respectivas competencias. Ningún órgano administrativo podrá inspeccionar ni sancionar a un órgano judicial por el ejercicio de sus función jurisdiccional, pero que entren a otras cuestiones que no atañen a esta función, como es la normativa de protección de datos (además en relación con los funcionarios del juzgado) no parece que pueda afectar a su independencia ni al cumplimiento legítimo de sus funciones constitucionales.
Es más, haciendo un poco de “memoria histórica”, el 3 de mayo de 2010 la AEPD y el CGPJ firman un “Convenio de Colaboración sobre inspección de órganos jurisdiccionales en materia de protección de datos”. Leyendo el texto de este Convenio podemos ver que el Consejo pone sus condiciones a la Agencia a la hora de realizar las inspecciones sobre el tratamiento de datos en los Juzgados y Tribunales. Es decir, que acepta que les inspeccionen; con condiciones, sí, pero reconociendo la competencia de los inspectores de la AEPD.
Respecto al ámbito concreto de la protección de datos, el TS se apoya en los artículos 230.5 (por el que se establece que el CGPJ debe dictar un Reglamento en el que se determinarán los requisitos y demás condiciones que afectan al establecimiento y gestión de los ficheros automatizados bajo responsabilidad de los órganos judiciales) y 107.10 de la LOPJ (reglamento de tratamiento de las sentencias asegurar el cumplimiento de la legislación en materia de protección de datos personales). Pero que se disponga de estos reglamentos no quiere decir que no pueda ser controlado el cumplimiento de la normativa por la autoridad de control, sólo que debe elaborarse ese texto que regule estas actuaciones. Es decir, como hacen todas las administraciones públicas, regulan esta materia para dar cumplimiento a la Ley.
Es más, es significativo que la derogada LORTAD excluía en su Disposición Adicional Primera la aplicación de los Títulos dedicados a la Agencia de Protección de Datos y a las Infracciones y Sanciones respecto de los ficheros automatizados de los que eran titulares, entre otros, el Consejo General del Poder Judicial. El hecho de que la LOPD no incluya esta mención explícita como sí hacía la antigua norma, debe también llevarnos a la conclusión de que debe ser de aplicación la LOPD y las potestades de la AEPD también a este ámbito.
Lo cierto es que lo que realmente se plantea es un conflicto de competencias: el poder judicial versus un ente que es Administración independiente. Así que debemos preguntarnos si el Tribunal Supremo, que forma parte del poder judicial, es realmente competente para resolver esta cuestión. Llama muchísimo la atención que hable de la incardinación de la Agencia Española de Protección de Datos (AEPD) en el poder ejecutivo y sea este Tribunal el que resuelva un conflicto entre la AEPD y el Consejo General del Poder Judicial (CGPJ), cuando el Presidente del Tribunal Supremo es, a su vez, el Presidente de dicho Consejo.
¿Es por tanto el Tribunal Supremo el órgano jurisdiccional adecuado para resolver este conflicto de competencia? ¿Y quién sería el competente para dilucidar esta cuestión? La Ley 2/1987, de 18 de mayo, de Conflictos Jurisdiccionales, dedica sus artículos 1 a 21 a regular los conflictos jurisdiccionales entre los Juzgados o Tribunales y la Administración. El problema es que estos conflictos los resuelve el Tribunal de Conflictos de Jurisdicción que está formado por: “El Presidente del Tribunal Supremo, que lo presidirá, y por cinco vocales, de los que dos serán Magistrados de la Sala de lo Contencioso-administrativo del Tribunal Supremo, designados por el Pleno del Consejo General del Poder Judicial, y los otros tres serán Consejeros Permanentes de Estado, actuando como Secretario el de Gobierno del Tribunal Supremo”. Obviamente, y para el caso que nos ocupa, esta vía tampoco nos da una solución demasiado pacífica para resolver el problema entre el Consejo General del Poder Judicial y la AEPD. Así que nos tememos que nos vamos a quedar sin una respuesta clara.
Además, si bien no se puede discutir el proceso de nombramiento actual del Director de la AEPD –esta sentencia da argumentos para que sea nombrado por las Cortes Generales-, se olvida el carácter independiente de la AEPD. Y es que uno de los elementos de esta independencia es precisamente el carácter inamovible de su Director. De esta forma, sólo podrá ser cesado por incumplimiento grave de sus obligaciones, incapacidad sobrevenida para el ejercicio de su función, incompatibilidad o condena por delito doloso. En otras palabras, los mismos motivos de cese que los miembros del Tribunal Constitucional (artículo 23.1 de la Ley Orgánica 2/1979).
Asimismo, si seguimos el criterio adoptado por esta Sentencia del Tribunal Supremo, la AEPD tampoco podría controlar los ficheros del Defensor del Pueblo (por ser el Alto Comisionado de las Cortes Generales), incluyendo también a los autonómicos. En este sentido, si consultamos el Registro de Ficheros de la Agencia Española de Protección de Datos, hay ficheros inscritos del Defensor de Pueblo y Defensores del Pueblo Andaluz, Castilla La Mancha (aunque ya no existe), Navarra y Murcia (obviamente, estos son sólo los Defensores que tienen inscritos sus ficheros). O la Autoridad Catalana de Protección de Datos, respecto a los ficheros del Sindic de Greugues (su Defensor del Pueblo); la Agencia Vasca, respecto a los ficheros del Ararteko; y la APDCM, respecto al Defensor del Menor.
Incluso, rizando el rizo, habría que ver qué ocurre con los ficheros del Congreso, Senado, Parlamentos Autonómicos y Tribunal Constitucional, si bien, consultando el Registro de Ficheros de la AEPD, los ficheros de los citados se refieren a cuestiones meramente administrativas (secretaría general). O habría que preguntarse, incluso, qué ocurre con el Supervisor Europeo de Protección de Datos y los ficheros del TJCE.
En fin, consideramos que ningún órgano administrativo debe controlar la actuación de los jueces y tribunales relacionada con sus funciones jurisdiccionales, pero que es una garantía para el ciudadano (e incluso basada en la división de poderes) que la autoridad de control en materia de protección de datos pueda ser competente para inspeccionar y declarar infracciones de los jueces y tribunales por el incumplimiento de la normativa sobre protección de datos de carácter personal.
El artículo 6 de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal (LOPD) exige la existencia, con carácter general, de consentimiento para el tratamiento de datos de carácter personal. Por su parte, el art. 7 de la misma norma exige que el consentimiento sea expreso para el tratamiento de datos especialmente protegidos. Dado que el artículo 7 especifica el consentimiento expreso para algunos casos, es fácilmente deducible que son válidos a estos efectos otros tipos de consentimiento.
Hecha esta pequeña introducción para los no iniciados, debemos preguntarnos qué otros tipos de consentimiento o qué otras formas de expresar la voluntad, pueden ser válidas. No es objeto de este artículo entrar en profundidades ni analizar los matices que pueden encontrarse en la doctrina, pero no obstante podemos distinguir:
Pese a que en documentos anteriores podemos encontrar la aceptación, por parte de la Agencia Española de Protección de Datos , de estas tres formas de expresar la voluntad, al menos desde el año 2000 no admite el consentimiento presunto, por considerar que no cumple con el requisito de “inequívoco” que exige la LOPD en su art. 6.
Así lo expresaba un informe de 2000, en el que, recogiendo “los criterios sentados en las diversas recomendaciones emitidas por el Comité de Ministros del Consejo de Europa”, se establecía que el consentimiento debe ser libre, específico, informado e inequívoco “lo que implica que no resulta admisiblededucir el consentimiento de los meros actos realizados por el afectado (consentimiento presunto), siendo preciso que exista expresamente una acción u omisión que implique la existencia del consentimiento”. Esta interpretación de lo que ha de ser un consentimiento inequívoco ha sido repetida por la AEPD en multitud de resoluciones, y está presente en su página web para explicar las obligaciones de la LOPD en lo referido al consentimiento.
Conociendo esto, me ha sorprendido enormemente leer una resolución por la que se archivan las actuaciones iniciadas contra la Federación de Comunicación y Transportes de Comisiones Obreras, por una denuncia debida a la grabación de las intervenciones realizadas en un congreso de esta organización sin obtener el consentimiento de los afectados. La Agencia considera que “es conforme a derecho la idea de que existiría un consentimiento implícito al respecto del tratamiento de datos referidos a la celebración practicada […] en base a la participación de éstos [los afiliados intervinientes] en el propio congreso. Esto es así dado que en materia de protección de datos se articulan tipos de consentimiento más allá del calificado como expreso, como son los consentimientos tácitos y presuntos, desprendiéndose éste último del primigenio comportamiento de los denunciantes, que participaron en el acto sin oposición, debiendo conocer, por tanto, que el acto referido podría ser objeto de grabación”.
Como vemos, la Agencia claramente acepta la existencia de un consentimiento presunto por parte de los intervinientes en el congreso, dado que conocían la realización de las grabaciones. Puede que haya más resoluciones en las que se acepta el consentimiento presunto, pero no hemos encontrado ninguna.
Hay en la doctrina división de opiniones sobre este asunto y he de decir que estoy de acuerdo con esta interpretación de la Agencia, pero es evidente que estamos ante una resolución que va en contra de la doctrina de la propia AEPD, repetida una y otra vez en multitud de documentos. Es más, en materia de videovigilancia, en la que a mi juicio se da un claro caso de consentimiento presunto (una vez se informa de que una zona está videovigilada, se puede deducir que aquél que entra está consintiendo la grabación de su imagen) la Agencia acude a la Ley 23/1992, de 30 de julio, de Seguridad Privada, para eximir de consentimiento por habilitación legal.
Lo más curioso de todo es que la propia AEPD “tira” del consentimiento presunto en los actos que organiza y graba, informando a los asistentes, pero sin obtener su consentimiento expresamente (y sin que se pueda amparar en la seguridad, puesto que la finalidad de la grabación es dar difusión al acto y no la videovigilancia por razones de seguridad).
En fin, que estamos ante un claro caso de inconsistencia en las resoluciones de la Agencia, que deberían garantizar más seguridad jurídica y un criterio más uniforme.
El Tribunal de Justicia de la Unión Europa (TJUE) ha dictado una sentencia por la que se resuelven dos cuestiones prejudiciales elevadas por el Tribunal Supremo. Estas cuestiones se derivan de los recursos presentados por la Asociación Nacional de Establecimientos Financieros de Crédito (ASNEF) y la Federación de Comercio Electrónico y Marketing Directo (FECEMD) contra determinado contenido del artículo 10 del Real Decreto 1720/2007, por el que se desarrolla la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal (LOPD). Este artículo, entre otras cosas, permite el tratamiento de datos sin consentimiento del interesado cuando los “datos objeto de tratamiento o de cesión figuren en fuentes accesibles al público y el responsable del fichero, o el tercero a quien se comuniquen los datos, tenga un interés legítimo para su tratamiento o conocimiento, siempre que no se vulneren los derechos y libertades fundamentales del interesado“.
Este precepto trata de recoger lo dispuesto en el artículo 7 de la Directiva 95/46, que establece que podrán tratarse datos sin consentimiento si “es necesario para la satisfacción del interés legítimo perseguido por el responsable del tratamiento o por el tercero o terceros a los que se comuniquen los datos, siempre que no prevalezca el interés o los derechos y libertades fundamentales del interesado que requieran protección con arreglo al apartado 1 del artículo 1 de la presente Directiva”.
¿Cuál es el problema? Pues que la normativa española exige, además del requisito del interés legítimo del responsable del tratamiento, y de que no prevalezca el interés o los derechos del afectado, que los datos figuren en fuentes accesibles al público. Esta es la primera pregunta que realiza el Supremo al TJUE, y la respuesta es clara: la Directiva se opone a que se exija este requisito adicional. A la vista de esto, al Supremo no le queda otro remedio que llevar a su fallo esta sentencia del TJUE, con lo que el artículo 10 del Real Decreto 1720/2007 no podrá seguir exigiendo que los datos figuren en fuentes accesibles al público.
La Agencia Española de Protección de Datos (AEPD) ha reaccionado a esta sentencia y en una nota de prensa ha dicho, básicamente, que la sentencia (resumida aquí por Gontzal Gallo) no altera el marco vigente de la Protección de Datos en España, puesto que ya venía interpretando el hecho de que los datos figuren en fuentes accesibles al público como un mero criterio de ponderación entre el interés legítimo del responsable del tratamiento y los derechos del interesado que se ven afectados por el tratamiento de datos sin consentimiento. Sin embargo, no es difícil encontrar procedimientos sancionadores, incluso recientes, en los que no se realiza ninguna ponderación en este sentido, rechazando la posibilidad del tratamiento de datos sin consentimiento si no figuran los datos en fuentes accesibles al público. Es más, la propia Agencia dice que, dado que se trata de una excepción, “debe aplicarse de forma restrictiva”. Por tanto, quizá sea más correcto decir que este será el criterio interpretativo a partir de ahora, con lo que, en mi opinión, sí que hay alteración del estado de las cosas.
Además tenemos que tener muy en cuenta la resolución de la segunda cuestión prejudicial planteada, en relación con el efecto directo del art. 7.f de la Directiva. El TJUE responde, como era de esperar, que sí que tiene efecto directo, con lo cual lo dispuesto en esta norma puede ser invocado por un particular y aplicado por los órganos jurisdiccionales nacionales. Esto tiene una importancia adicional, puesto que debemos recordar que el artículo 6.2 de la LOPD también incorpora el requisito de que los datos figuren en fuentes accesibles al público, requisito que, por lo que acabamos de ver en esta sentencia, es contrario a lo dispuesto en la Directiva.
La Agencia Española de Protección de Datos (AEPD) ha impuesto una sanción de 2.000 euros a una persona por haber abierto un perfil falso en la red social Badoo haciéndose pasar por otra persona. Esta resolución es bastante jugosa por varias razones.
En primer lugar por su instrucción: primero se solicita a la Oficina del Comisionado Chipriota para la Protección de Datos, (cuyo nombre oficial es, por si les pica la curiosidad, Γραφείου Επιτρόπου Προστασίας Δεδομένων Προσωπικού Χαρακτήρα) información sobre la dirección IP desde la que se creó el perfil y se realizaron conexiones. Conocida esa IP, el operador Euskaltel le facilita a la AEPD la identificación del titular que tenía asignada esa dirección IP en el periodo en el que se realizaron las mencionadas conexiones.
Puede llamar la atención las inmensas posibilidades que tiene la AEPD de investigación e identificación de usuarios de servicios de telecomunicaciones. La Agencia se ampara en el art. 40 de la LOPD, en el que se dice que las autoridades de control, en su labor de inspección, podrán recabar “cuantas informaciones precisen para el cumplimiento de sus cometidos”. Es cierto que una interpretación amplia de este precepto puede llevar a aceptar que pueden “pedir” lo que quieran, pero también es verdad que una cosa es que puedan pedir y otra que el poseedor de esa información tenga la obligación de facilitarla. Por otro lado, está el viejo debate que trae a colación lo establecido en los arts. 1 y 6 de la Ley 25/2007, de 18 de octubre, de conservación de datos relativos a las comunicaciones electrónicas, en los que se dice que los datos de tráfico sólo pueden ser cedidos previa autorización judicial y con fines de detección, investigación y enjuiciamiento de delitos graves contemplados en el Código Penal o en las leyes penales especiales. Respecto a este debate, nos remitimos a esta entrada de David Maeztu y a las aportaciones realizadas en sus comentarios.
También es interesante que en esta resolución se recuerda que, en caso de que haya abierto un proceso penal, se debe suspender el procedimiento hasta que recaiga resolución judicial. No se produjo en este caso, aunque lo alegaba la denunciada, puesto que la Agencia no tenía conocimiento de la apertura de ningún proceso penal con identidad de sujeto, hecho y fundamento, tal como exige el art. 7 del Real Decreto 1398/1993.
En cuanto a la cuestión de fondo, la Agencia entiende que, dado que se abrió un perfil utilizando el nombre de pila, número de teléfono y fotografía de otra persona, hay un tratamiento de datos sujeto a la LOPD, tratamiento realizado sin consentimiento, lo que supone una infracción del art. 6. En primer lugar puede llamar la atención que estamos ante el tratamiento de datos realizado por un particular, con lo que cabría pensar que estamos fuera del ámbito de aplicación de la LOPD, atendiendo a la conocida como “excepción doméstica“. Aunque es sabido y es reiterada la doctrina de la AEPD por la que se entiende que en el momento en que se tratan datos personales públicamente en Internet esta excepción no se tiene en cuenta, creo que debería haberse analizado este aspecto.
El caso es que debemos plantearnos si la AEPD entra a conocer de cuestiones que parecen ajenas a la normativa sobre Protección de Datos y por tanto sobre su competencia. La suplantación de identidad en una red social podría pensarse que supone un delito de usurpación del estado civil, tipificado en el art. 401 del Código Penal, pero es muy complicado aplicar este artículo, puesto que la jurisprudencia viene exigiendo que el infractor se haga pasar en su totalidad por otra persona, y además con carácter permanente. También puede ser un medio para la comisión de otras infracciones y delitos, pero sólo eso, un medio. Por tanto la mera suplantación de identidad en una red social puede quedar sin sanción y no parece que sea una actuación no merecedora de reproche.
Esta actuación de la AEPD ha sido muy criticada por entender, como hemos dicho, que estamos ante una actuación que debe quedarse fuera de sus competencias, pero lo que es incuestionable es que se ha realizado un tratamiento de datos personales sin consentimiento, y ante eso la Agencia no tiene más remedio que actuar. Espero los comentarios discrepantes con mucho interés.
La Agencia Española de Protección de Datos (AEPD) ha sancionado recientemente a Telefónica Móviles España (TME) por haber realizado llamadas a un cliente suyo, pese a que este se encontraba incluido en la Lista Robinson. La sanción, de 3.000 euros, se fundamenta en la existencia de un tratamiento de datos contrario al principio de calidad de los datos (art. 4 de la LOPD), originado por el incumplimiento del art. 30.4 de la LOPD, que obliga a atender las peticiones de oposición de los titulares de los datos.
Mucha tela hay que cortar aquí sobre esta forma de sancionar, pero nos centraremos en la obligatoriedad de consultar el fichero de exclusión publicitaria, “Lista Robinson”, de la Asociación Española de la Economía Digital (Adigital). Al hacerse pública esta resolución, hemos podido leer afirmaciones sobre la necesidad de que se consulte este fichero antes de utilizar datos personales con finalidad publicitaria y es necesario recordar que no es así, o al menos no es así para todas las empresas que realicen esta actividad.
El artículo 49,4 del Real Decreto 1720/2007, por el que se aprueba el Reglamento de desarrollo de la LOPD (RDLOPD), establece que “quienes pretendan efectuar un tratamiento relacionado con actividades de publicidad o prospección comercial deberán previamente consultar los ficheros comunes que pudieran afectar a su actuación“. Una de las cosas que llama la atención en la resolución, es que en ningún momento se explica ni se justifica la obligación por parte de TME de consultar la Lista Robinson de la FECEMD (antigua denominación de Adigital), no se argumenta por qué ese fichero se trata de un fichero común “que pudiera afectar a su actuación”, tal y como establece el art. 49 del RDLOPD. La única razón por la que TME pueda estar obligado es porque sea usuaria de ese fichero, o mejor dicho, como claramente denominó hace ya tiempo Félix Haro, “cliente” de ese fichero. No se puede, con la normativa en la mano, exigir a cualquier empresa que tenga que consultar la Lista Robinson. Además, en este caso, ni siquiera se puede argumentar que TME estará obligada por ser socia de Adigital (sin llegar a ser usuaria, de hecho, del fichero), dado que TME no forma parte de la Asociación Española de la Economía Digital (nueva denominación de la FECEMD): sólo está asociada la matriz, Telefónica de España, como se puede ver en la web de la asociación.
En fin, entenderán el por qué del desastroso título de esta entrada: en resumidas cuentas, es obligatorio consultar la Lista Robinson de Adigital si usted, voluntariamente, se obliga a ello. Si no, la consulta de la Lista Robinson no es obligatoria. No conozco ninguna sanción de la AEPD por no haberlo hecho, si la hay, me encantaría que me la indicaran.
Por cierto, en la resolución se recoge, como hecho probado, que la FECEMD envió a TME “un fichero de solicitudes de inclusión en lista Robinson, que mezclaba clientes y no clientes de TDE y TME”. Me pregunto yo, ejem, si no estamos ante una cesión ilícita de datos de carácter personal, lo cual supone una infracción grave de acuerdo con el artículo 44.3.k de la LOPD. Dado que la Agencia ya conoce este hecho, puesta que está recogido, insisto, como hecho probado en la resolución, supongo que en este momento ya estará abriendo el procedimiento sancionador.
