Tag Archives: LOPD

¿Vía libre al «spam»?

Hemos tenido conocimiento de una resolución de la Agencia Española de Protección de Datos (AEPD) por la cual se archiva una denuncia con motivo de la recepción de un correo electrónico no solicitado («spam«). El artículo 21 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico (LSSI)  establece la prohibición de enviar «comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas». Por tanto, con carácter general (hay una excepción que no entra en aplicación en este caso) el envío de una comunicación comercial no solicitada supone una infracción, tipificada en el art. 38.4.d de la misma norma.


En el caso que nos ocupa, habiéndose acreditado el envío de una comunicación comercial no solicitada, la AEPD acuerda no incoar actuaciones inspectoras ni procedimiento sancionador, basándose en dos aspectos:


1.- La presunción de inocencia. Estima la AEPD que, puesto que «en la página web del presunto infractor figura un procedimiento para poder solicitar información facilitando la dirección de correo electrónico, […] cabe concluir que existe una duda razonable acerca de la forma en que se obtuvo la dirección de correo del ahora recurrente y, en consecuencia, de la existencia de consentimiento para la remisión del correo».


2.- Los principios de intervención mínima y proporcionalidad. La AEPD considera necesario que se agoten otras fórmulas procedimentales alternativas a la apertura de un procedimiento sancionador. En este caso, puesto que en el correo electrónico enviado constaba información sobre el procedimiento habilitado para oponerse al envío de nuevas comunicaciones comerciales, y no se ha acreditado haber ejercitado el derecho de oposición, la Agencia estima que no se han agotado las mencionadas fórmulas procedimentales alternativas.

Vaya por delante nuestro total acuerdo con el respeto a los principios de presunción de inocencia y de intervención mínima y proporcionalidad, que quede claro. No obstante, la aplicación de estos principios, llevados al límite (como, en nuestra opinión, hace la AEPD en este caso) permite que, cumpliendo sólo parcialmente con los requisitos exigidos para poder enviar comunicaciones comerciales no solicitadas (como lo es el habilitar un procedimiento para la oposición al envío de nuevas comunicaciones comerciales, tal y como establece el art. 22 de la LSSI) se pueda escapar de la comisión de una infracción.

En consecuencia, si nos atenemos a lo recogido en esta resolución, la AEPD no sancionará el envío de comunicaciones comerciales no solicitadas si:

– Se dispone en la página web de un formulario de solicitud de información.
– Se cumple con la obligación dispuesta en el art. 22 de la LSSI respecto a la habilitación del procedimiento de oposición.

En fin, que parece se pone muy fácil el envío indiscriminado de spam. No obstante, conociendo los cambios doctrinales a los que nos tiene acostumbrados la AEPD, mi recomendación es que sólo se envíen comunicaciones comerciales por vía electrónica, tal y como dice el art. 21 de la LSSI, cuando se tenga el consentimiento del destinatario o la dirección de este se haya obtenido de forma lícita en el marco de una relación contractual previa y la comunicación comercial se refiera a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente.

Cómo «intentar» proteger la identidad de una persona sin protegerla.

Los medios de comunicación han publicado la noticia de la celebración de un juicio, en la Audiencia Provincial de Valladolid, contra un abogado que presuntamente falsificó documentos judiciales ante su cliente. En la noticia se refieren al acusado con su nombre compuesto completo y las iniciales de sus apellidos. Además se menciona su puesto de trabajo, en un Departamento de la Facultad de Derecho de la Universidad de Valladolid. 
Me pregunto si el periodista que ha redactado la noticia, al dar esa información, pretendía identificar al acusado o no. 

Si lo que pretendía no era identificarlo, le ha salido muy mal. Con tantos datos como ha facilitado, cualquiera puede conocer la identidad de esta persona sin ningún esfuerzo. No vamos a contribuir (aún más) a su identificación, pero, sin necesidad de hacer ninguna búsqueda, cualquiera que haya pasado por la Facultad de Derecho de Valladolid ya sabe de quién se trata. No digamos ya si se utiliza Internet o cualquier documento de la Facultad en el que conste el profesorado. 

Si lo que pretendía el redactor de la noticia era identificarlo, lo ha hecho muy bien, pero no habría habido ninguna diferencia si hubiera dado su nombre y apellidos completos, porque el afectado está completamente identificado.

Según la LOPD, un dato de carácter personal es «cualquier información concerniente a personas físicas identificadas o identificables». Creo que está bastante claro que esta información ha hecho a esta persona perfectamente identificable, y además sin ningún esfuerzo. Los medios de comunicación debería tener más cuidado con este tipo de situaciones, y entender que el identificar al acusado no aporta nada a la noticia.

PS.: Gracias a la poca discreción del redactor, puedo decir que se trata de un gran profesor, del que tengo un muy buen recuerdo y a quien le deseo el mejor final posible para esta historia.   

Presentada la Memoria de la AEPD de 2009

Ayer se presentó la Memoria de la Agencia Española de Protección de Datos de 2009. La Memoria siempre ha sido un documento imprescindible para los profesionales de la materia, aunque desde la publicación en la web de  la AEPD de las resoluciones tiene menos trascendencia doctrinal.

Los medios de comunicación se ha hecho eco de la noticia, resaltando, como ha hecho la Agencia, que la difusión de datos en Internet, la videovigilancia y la inclusión indebida en listas de morosidad ha sido los principales motivos de reclamación durante 2009. Y como suele ser habitual, los medios de comunicación no han hablado del tema con total rigor. 

La palma se la llevan las noticias de Antena 3. En una noticia de unos 30 segundos les ha dado tiempo a decir que para instalar cámaras de seguridad es necesaria una autorización previa y que las sanciones por no hacerlo pueden llegar a los 10.000 euros. Me encantaría saber de dónde han sacado eso. Para los no iniciados, aclararemos:

– No es necesaria una autorización previa. Hay que inscribir el fichero ante al Agencia, pero no se trata de una autorización, sino de una declaración. Y además, sólo en caso de que se mantengan grabaciones.
– Las sanciones van de los 600 a los 600.000 euros, que son las que establece la LOPD, en función de la infracción.

MI vecino me raya el coche: ¿puedo poner una cámara?

Es una situación bastante habitual la de encontrarse con problemas entre vecinos en los que uno de ellos utiliza la vieja práctica de rayarle el coche al otro. Dado que cada vez es más fácil y más barato instalar cámaras de videovigilancia (más ahora que, con la Ley Ómnibus, ya no es necesario que lo haga una empresa de seguridad), es bastante frecuente encontrarnos con personas preocupadas con la legalidad de instalar cámaras de seguridad en sus plazas de garaje. Así que hemos de ver si la LOPD entra en juego en el caso de que un particular instale una cámara de videovigilancia en su plaza de garaje.

La Instrucción 1/2006, de 8 de noviembre, de la Agencia Española de Protección de Datos, sobre el tratamiento de datos personales con fines de vigilancia a través de sistemas de cámaras o videocámaras excluye de su ámbito objetivo de aplicación «el tratamiento de imágenes en el ámbito personal y doméstico, entendiéndose por tal el realizado por una persona física en el marco de una actividad exclusivamente privada o familiar». Lo mismo hacen la propia LOPD y su Reglamento de desarrollo. En consecuencia, deberemos considerar si las grabaciones dentro de una plaza de garaje particular entrarían en el ámbito privado y, por tanto, estarían excluidas de la aplicación de la LOPD. 

Según la redacción del artículo 396 del Código Civil, podemos entender que la plaza de garaje, aun estando en el garaje de la comunidad de propietarios, es propiedad privada, con lo cual la instalación de cámaras de videovigilancia no entraría dentro del ámbito de aplicación de la LOPD. Es decir, podríamos instalar la cámara de videovigilancia sin tener en cuenta las obligaciones legales derivadas de la LOPD: no hará falta inscribir un fichero, podremos almacenar las grabaciones el tiempo que consideremos oportuno, no será necesario colocar un cartel informativo, etc.

Así lo ha entendido recientemente la Agencia Española de Protección de Datos (AEPD) en la resolución del procedimiento sancionador PS/00321/2009, por la que se archivan las actuaciones acogiendo la alegación del denunciado sobre la inaplicabilidad de la LOPD a ese caso. No obstante, aunque el tema parece claro, hay que tener en cuenta algunas cuestiones:

1.- La propia resolución, a la hora de admitir la inaplicabilidad de la LOPD, valora la proporcionalidad del fin pretendido (prevención de actos vandálicos) con la instalación de una cámara de videovigilancia, teniendo en cuenta:

  • La cámara sólo graba la plaza de garaje propia, más una parte de una plaza adyacente a cuya propietaria pidió permiso.
  • La comunidad de propietarios votó a favor de la instalación de la cámara.
  • No hay monitores de visualización y sólo se almacenan las grabaciones durante 6 días.
  • Se han instalado carteles informativos.
No se entiende muy bien que la AEPD valore estos aspectos a la vez que declara la inaplicabilidad de la LOPD al caso. Según lo que hemos visto anteriormente, no sería necesario, con lo cual nos queda la duda de si, para la AEPD, además de tratarse de una propiedad privada tienen que darse esas otras circunstancias que hacen que se trate de una medida proporcionada para que se considere que estamos ante una actividad exclusivamente privada o familiar.
2.- En la resolución del procedimiento sancionador PS/00419/2009 se sanciona con 3.000 euros a un particular por un caso similar (1.500 euros por incumplir el principio de información y otros 1.500 por no inscribir el fichero), a pesar de que, según consta en el procedimiento, la cámara sólo enfoca a la plaza de garaje del denunciado. 
Así que nos tenemos que plantear si en este procedimiento no quedó claro que sólo se captaba la propia plaza de garaje, si estamos ante un cambio de criterio de la AEPD, o si hay que tener en cuenta los aspectos mencionados en el anterior punto para que la AEPD considere que estamos en el ámbito privado. No debería ser necesario que se entre a estudiar la proporcionalidad de la medida, pero el análisis de estas dos resoluciones no lo deja muy claro.

France Telecom, reincidente en el incumplimiento de la LOPD

Por fin la Agencia Española de Protección de Datos (AEPD) ha actualizado su sección de procedimientos sancionadores, que llevaba unos meses sin aportar contenido nuevo. De entre las nuevas sanciones recientemente añadidas, destaca una sanción impuesta a France Telecom de 300.506,05 €, una de las más importantes dictadas por la AEPD hasta la fecha.

El procedimiento se inició a raíz de la denuncia de 24 personas con motivo de la cesión de deudas realizadas por France Telecom a dos entidades, Fenix Cartera CL Holding y Aktiv Capital Portfolio Investments, A.G. En el caso de 12 de los denunciantes, o no existía tal deuda, o se había abonado anteriormente, o se produjo un error en los datos facilitados, o directamente no había constancia de ningún contrato entre France Telecom y el denunciante que implicara la existencia de ningún impago. En consecuencia, dado que no existía deuda, la cesión del crédito, amparada en el art. 347 del Código Civil, no podía producirse, con lo cual la cesión de los datos de los denunciantes contravino lo dispuesto en el art. 11 LOPD, sin que pudiera acogerse el cedente a ninguna de las excepciones que recoge este artículo.

Además de esta cuantiosa sanción, se han dictado otras resoluciones sancionadoras sobre France Telecom recientemente, una por informar al fichero ASNEF de una deuda que no era cierta, vencida ni exigible y otra por el envío de publicidad a una persona tras la oposición de ésta. En ambos casos la sanción es de 60.101,21 €.

Así, pues, estas tres sanciones de las que acabamos de tener conocimiento, sumadas a las 34 que ya se le habían impuesto durante el año 2009, hacen un total de 40 sanciones en el transcurso del año pasado. Si Samuel Parra no ha sumado mal, y yo tampoco, el total de las sanciones asciende a ¡2.429.547,39 €!

La verdad es que la actuación de esta empresa empieza a ser más que preocupante y es, por decirlo de alguna manera, para hacérselo mirar…

Libertad de información y Protección de Datos

En su edición del lunes 18 de enero, aparecía publicado en el diario El Mundo un interesante artículo del Catedrático de Periodismo de la Universidad Complutense de Madrid, José Luis Dader. Bajo el título «Una ley orwelliana de protección de datos« atizaba a diestro y siniestro a la LOPD, aunque lamentablemente, sin demasiado rigor. Como ejercicio de estilo, el artículo merece la admiración, porque demuestra su dominio de la lengua en la utilización de un léxico contundentemente crítico. Y es que se refiere a la legislación con términos como «apisonadora legal», «cohorte de candados y mordazas», «totalitaria y absolutista concatenación» o «contundente sistema de búnkeres y zanjas para proteger el oscurantismo». Sin embargo, es necesario aclarar algunas de las incorrecciones que incluye el artículo.

Empieza afirmando que la LOPD «cercena con la eficacia del zarpazo estalinista el acceso a buena parte de la información necesaria para el esclarecimiento de irregularidades administrativas». En caso de que sea necesario esclarecer irregularidades administrativas, no hay más que denunciarlas, momento en el cual actuarán el Defensor del Pueblo, el Ministerio Fiscal o los Jueces o Tribunales o el Tribunal de Cuentas, órganos todos ellos a quienes han de comunicárseles los datos personales que soliciten en el ejercicio de sus funciones (art. 6.1 LOPD). Así que por aquí no hay ninguna limitación a esa información.

Critica también el profesor Dader que la LOPD «privilegia una intimidad personal que nada sabe de otros derechos democráticos de libertad de información, control ciudadado de los poderes públicos o seguridad jurídica». La mención que acabamos de hacer el art. 6.1 LOPD responde a lo relativo al control ciudadano de los poderes públicos. Respecto a la libertad de información, podemos remitirnos a una multitud de sentencias de distintos órganos jurisdiccionales, informes y resoluciones de la Agencia Española de Protección de Datos y artículos doctrinales, pero nos quedaremos con una bastante explicativa Sentencia del Tribunal Constitucional, en la que se afirma que  «dada su función institucional, cuando se produzca una colisión de la libertad de información con el derecho a la intimidad y al honor aquélla goza, en general, de una posición preferente y las restricciones que de dicho conflicto puedan derivarse a la libertad de información deben interpretarse de tal modo que el contenido fundamental del derecho a la información no resulte, dada su jerarquía institucional desnaturalizado ni incorrectamente relativizado». Añade el TC que «resulta obligado concluir que en esa confrontación de derechos, el de la libertad de información transmitida sea veraz, y esté referida a asuntos públicos que son de interés general por las materias a que se refieren y por las personas que en ellos intervienen, contribuyendo, en consecuencia, a la formación de la opinión pública” (STC 171/1990). En cuanto a la seguridad jurídica, no sabemos a qué se refiere al decir que la intimidad no sabe de seguridad jurídica; es más, no sabemos si él mismo sabe a qué se refiere, así que no podemos comentarlo.

Menciona por otro lado el artículo el caso de un hospital que se negó a facilitar los datos de un fallecido, incluso al juez interviniente por una posible negligencia médica. Esto es criticable, pero la crítica ha de hacerse al hospital, no a la LOPD, por dos razones: una, porque la cesión de datos al juez es obligatoria, como hemos visto antes; y la segunda y más importante, porque la LOPD no se aplica a los fallecidos, tal y como aclara el Reglamento de Desarrollo de la Ley en su artículo 2.4. Así pues, el que el hospital actuara mal no es culpa de la LOPD, ni mucho menos, ya que actuó contraviniéndola.

Vuelve posteriormente de nuevo el profesor Dader a olvidar lo que hemos mencionado más arriba sobre la libertad de información al mencionar la Directiva y la misión de interés público y a continuación ataca también la definición de fuentes accesibles al público por ser cerrada («candado de una lista exclusiva»), en lo cual hace muy bien el legislador (esto sí que es otorgar la seguridad jurídica a la que se refería el autor del artículo).

Infiere además que la condena a los periodistas de la Cadena Ser es consecuencia de la legislación sobre Protección de Datos, cuando es un asunto penal (descubrimiento y revelación de secretos) en el que no entra la normativa sobre Protección de Datos. Hace mención también al hecho de que el juez no considera a un medio en Internet como un medio de comunicación, pero ese es otro debate (muy interesante) que no tiene nada que ver a estos efectos con Protección de Datos.

Lo que queda claro es que, si bien la LOPD, como cualquier otra Ley, puede ser criticada, la crítica ha de hacerse con fundamento y conocimiento de causa.