Contacto

Para consultas jurídicas "david @ 451.legal"

miércoles, 16 de mayo de 2012

Google, Street View y la protección de datos; nuevo asalto

La relación amor-odio de Google con la Agencia Española de Protección de Datos, y con la normativa en España de fondo, no deja de deparar capítulos interesantes.

Tenemos como gran hito la cuestión prejudicial planteada en relación a varios aspectos, principalmente sobre el ámbito de aplicación de la normativa de protección de datos y su alcance a empresas que no tratan los datos en territorio de la UE, que además se presenta como el primer gran envite judicial del (mal llamado) "derecho al olvido".

En este caso he defendido que el problema es que la Directiva, y en consecuencia nuestra LOPD, está mal pensada ya que el ámbito de aplicación de la norma no debe dictarse en función del lugar donde la empresa trate los datos, sino de la nacionalidad de los interesados cuyos datos son tratados. Afortunadamente este criterio parece que es el que se acoge en la anunciada reforma de la normativa a nivel europeo. 

En este asunto mi opinión, con la legislación actual, coincide con la de Google.

Pero, además de eso, está el asunto "Street View", del que tenemos un nuevo capítulo.

En su momento Google envió sus coches a recorrer el país con sus cámaras para poder traernos esta útil herramienta.

Claro que en este caso sí que parece indiscutible que los datos son tratados utilizando medios en el país sujeto a la LOPD, por lo que Google debió cumplir con esta norma. 

Mucho más si no sólo se recogieron datos personales de imagen, aunque en su divulgación se difuminen, sino que se incluyen otras muchas cosas que jamás debieron haberse recogido (contraseñas, SSID's, localización de puntos de acceso, etc.)


Pero al interponerse una denuncia penal la prejudicialidad penal obliga a que se agote esa vía antes de que el órgano administrativo pueda terminar su expediente. (Desconozco el estado actual del procedimiento, se que se archivó en Guipuzcoa pero continuó en Madrid por la vía penal).

Con estos antecedentes se anuncia nuevo capitulo, dado que la empresa tiene intención de repetir sus paseos con las cámaras con el fin de actualizar los datos que ofrece en el servicio. Ante estas noticias, la AGPD requirió a Google (pdf):
  • información sobre el tipo de datos que serán recogidos, 
  • la finalidad de la recogida, lugares y periodos de conservación de los datos personales recogidos en las imágenes, 
  • los procedimientos para anonimizar los datos personales (imágenes, matrículas…) antes de su publicación,
  • y para su eliminación, así como información sobre los medios disponibles para que los ciudadanos puedan solicitar la eliminación de sus datos directamente ante la compañía
  • así como la inscripción del fichero de datos correspondiente
Los dos primeros puntos y el quinto, son basicamente las obligaciones propias de la inscripción y deben ser previas a la generación del fichero o tratamiento.

El cuarto se corresponde con el ejercicio del derecho de cancelación.

El tercero es el más complicado de cumplir, por no decir imposible, puesto que aunque se difumine un rostro o una matrícula, no es más difícil saber quien es quien aparece en Street View que averiguar, para quien no es un ISP, el titular de una IP., y esta si es considerada un dato de caracter personal. De todas formas es evidente que estamos ante tratamiento de datos, y así se desprende de este requerimiento.

Pero sigue faltando como se obtiene el consentimiento para el tratamiento de los datos, que es previo a cualquier otra consideración.

A esta petición Google responde que:
  • No captarán, en ningún caso, datos de localización de redes WI-FI, ni datos transferidos mediante las mismas.
  • Antes de la publicación de las imágenes se aplicará una tecnología de difuminado permanente e irreversible aplicable a los rostros identificables y matrículas de vehículos.
  • Ponen a disposición de los usuarios una herramienta mediante la que pueden comunicar e informar sobre cualquier imagen en la que aparezcan ellos, sus familias, sus coches o domicilios, para que se realicen nuevos difuminados, incluso si la imagen ya ha sido previamente difuminada. Esta herramienta es accesible a través del link en la parte inferior izquierda de todas las imágenes Street View.
Como vemos es una respuesta ciertamente incompleta, principalmente porque no se dice nada por de la primera de las obligaciones antes de proceder a cualquier tratamiento de datos (art. 26 LOPD), esto es, la declaración del fichero a la AGPD.

A día de hoy sólo constan 2 ficheros inscritos a nombre de Google Inc, empresa que aparece como responsable del servicio:

Ante esto la Agencia se ha limitado a decir que "realizará el seguimiento y las comprobaciones necesarias para verificar el cumplimiento de la normativa española" lo que suena a amenaza pero me resulta muy poco concreto.

Google debería empezar por inscribir los ficheros correspondientes antes incluso de plantearse responder al requerimiento de la AGPD.

Además debería indicar que no es sólo que se difumine o borre el rostro de la persona que se lo indique o de todas en general, sino qué pasa con las imágenes captadas por sus servicios y si el procedimiento de "anonimización" alcanza también a estos datos que Google recoge aunque luego no los divulgue.

Desde e-privacidad han planteado una denuncia por estos hechos ante la AGPD, por lo que veremos como se desarrolla este apasionante nuevo capítulo en el que Google no lo está haciendo todo lo bien que debiera. 

De hecho, la mera ausencia de ficheros declarados debería suponer la imposición inmediata de una sanción, según la LOPD, por infracción del artículo 44.2.b, ya estén los vehículos recorriendo las calles o vayan a hacerlo.

[Actualización] Me confirman vía twitter dos avistamientos del coche de Google en San Sebastián y en Palencia, por lo que es evidente que no se está cumpliendo la LOPD, al menos en lo indicado.

4 comentarios:

  1. Hola, tocayo, creo que suscribo todo lo que dices. A mí me habría gustado que la Agencia analizase lo más importante: por qué se permite el tratamiento de imágenes (dato de carácter personal), sin consentimiento. Supongo que en este caso tirarían del interés legítimo, pero por eso quiero que lo argumenten.
    Un saludo.

    ResponderEliminar
  2. ¡Buenas!

    La Agencia no va a entrar en materia. Con hacer una nota de prensa para que conste que "están en ello", les sirve. Se hace un poquito de ruido y servidos. Los de E-Privacidad encantados con la Agencia, porque gracias a su debilidad, deja campo para denunciar. Oye, y a quien no le guste, que denuncie también y saque tajada publicitaria.

    Aunque la Agencia hiciera bien su trabajo: ¿de cuánto dinero estamos hablando? ¿que hay que declarar ficheros, y poner procedimientos en marcha? Sin problema. Se ponen, y se paga. Total, con el régimen sancionador que tenemos ahora, con marear un poco el asunto, todo termina en nada.

    Y es que Google está por encima del bien y del mal.

    Me temo que es lo que hay...

    ResponderEliminar
  3. tenes un blog espectacular esta excelente de temas muy interesantes genial un abrazo de la distancia

    ResponderEliminar
  4. David:

    Efectivamente, ese es otro de los aspectos "interesantes". A mi también me gustaría ver como lo justifican.

    Félix:

    Espero que no lo dejen pasar, al menos tanto que persiguen a Google cuando no parece procedente, ahora que pueden deberían decir algo.

    Efectivamente no es cuestión de dinero, pero al menos por rigor sí debería pasar algo.

    Un saludo y gracias

    ResponderEliminar