Una tasa por los datos o como hacer tributar a los grandes de internet.

Recoge una cuestión muy interesante el compañero Jorge Campanillas en relación al problema cada vez más evidente de como hacer que las grandes empresas de internet, que hacen negocio con nuestros datos personales, tributen por los rendimientos que obtienen con esos datos de los ciudadanos de cada país, contribuyendo a que las arcas públicas de ese país estén saneadas.

Las cuestiones que plantea Jorge surgen del estudio presentado en Francia por dos expertos acerca de estos problemas y van en la línea de exigir un pago en función del uso de los datos que se hace del usuario del sistema.

Comparto las preguntas que el compañero plantea al final de su entrada pero no la conclusión:

"[...] me temo que si estas grandes empresas viesen gravadas, además, sus bases de datos, tendrían mucho más claro la comercialización de nuestros datos personales. Otro objeto más para comerciar, que no es que no se haga ahora, pero ya sin ninguna cortapisa, puesto que se legitimaría más si cabe el comercio de nuestros datos personales, generándose una merma considerable, a mi entender, en el derecho fundamental a la protección de datos personales y a la privacidad e intimidad de los usuarios." 

Creo que estas empresas ya comercian con los datos y estoy seguro de que los exprimen hasta donde los métodos probados permiten. Creo que Google es una perfecta demostración de ello.

Efectivamente el problema es como someter a tributación a estas empresas, pero no comparto que el estado recaude por el dinero que se obtiene por legitimar un tratamiento de datos privados o personales, entiendo que de generarse algún pago por este concepto debería destinarse al propio usuario.

Pero...  el usuario ya recibe algo por el tratamiento de sus datos personales, ya sea una cuenta de correo, un blog, un espacio en una red social, etc...

Entonces, si hay un pago (mejor dicho, una contraprestación) porqué no acudir a la legislación sobre el Impuesto del Valor Añadido y por esa vía gravar a las empresas. La legislación tributaria ya establece mecanismos de comprobación de valores para los supuestos en que las partes declaran que una operación tiene un determinado valor, por lo que pueden establecerse unos precios de mercado de diferentes servicios, por ejemplo:

¿Cuánto habría que pagar por un servicio de correo como Gmail? ¿o por un alojamiento web como el de blogger o wordpress?

Pues estableciendo esos valores podríamos fijar el IVA correspondiente, que debería ser ingresado por la empresa en la Agencia Tributaria competente y aquí la situación se complica por las reglas de aplicación del lugar de realización de la prestación de servicios, en ese caso, artículo 70.uno.4 LIVA:

"Se entenderán prestados en el territorio de aplicación del Impuesto los siguientes servicios: 

4. Los prestados por vía electrónica desde la sede de actividad o un establecimiento permanente o, en su defecto, el lugar del domicilio o residencia habitual de un empresario o profesional que se encuentre fuera de la Comunidad y cuyo destinatario no sea un empresario o profesional actuando como tal, siempre que éste último se encuentre establecido o tenga su residencia o domicilio habitual en el territorio de aplicación del Impuesto.

A efectos de lo dispuesto en este número, se presumirá que el destinatario del servicio se encuentra establecido o es residente en el territorio de aplicación del Impuesto cuando se efectúe el pago de la contraprestación del servicio con cargo a cuentas abiertas en establecimientos de entidades de crédito ubicadas en dicho territorio."

Si atendemos a lo que dice esta regla (de confusa redacción y difícil lectura, lo se) tenemos que las prestaciones de servicios a consumidores ("destinatario no sea un empresario o profesional actuando como tal") por empresas situadas fuera de la UE ("domicilio o residencia habitual de un empresario o profesional que se encuentre fuera de la Comunidad") se entienden realizadas en territorio de aplicación del impuesto y por lo tanto podrían estar sujetas al mismo.

Así, por ejemplo, si ponemos que una cuenta de correo tipo gmail puede valer 10 euros/año a precios de mercado, el IVA sería 2,1 euros. Si multiplicamos por los millones de cuentas que hay en España vemos que hay una fuente importante de ingresos.

Sinceramente veo más interesante esta vía de ingresos que una tasa por el uso de datos, por una razón esencial, no es necesario crear una figura impositiva nueva o implicar a otras agencias gubernamentales, bastaría con alguna modificación en la legislación ya existente y poner a la Agencia Tributaria a trabajar.

¿Caben los compromisos de permanencia en los tratamientos de datos?

Cada vez es más evidente que el negocio está en los datos y que muchos negocios en internet, y no sólo en internet, se mantienen a costa de negociar con la información personal de los usuarios que muchas veces inconscientemente cedemos.

Para obtener los datos personales unas veces nos conformamos con que nos den un servicio, ya sea Google, Facebook o cualquier otra herramienta en la red. En estos casos el servicio está tan relacionado con la información que pretender cancelar los datos supone dejar de  usar el servicio.

Pero cada vez son más habituales las promociones de empresas que no prestan servicios directamente relacionados con el tratamiento de nuestra información pero que quieren acceder a ciertos datos para sus objetivos de marketing y promocionales. Para ello recurren, incluso, al pago directo por la información que les suministramos.

Y en estos casos es donde me planteo si cabría obligar al usuario, a cambio del dinero que recibe a que mantenga la autorización para el tratamiento de datos durante un tiempo determinado, como la permanencia en los contratos de móviles, por ejemplo.

Pensemos en un caso concreto que he conocido, la promoción que una marca de "impresoras de cafe" (cafeteras de cápsulas) ofrece de pagar hasta 40 euros por rellenar una ficha de datos y remitirlos con el consentimiento para usar los  mismos (pdf):

"[...] con fines de publicidad y prospección comercial, para hacerle llegar información y muestras gratuitas de nuestros productos y servicios en el ámbito de la alimentación, la salud, el bienestar, la nutrición, la cocina y la belleza, así como otra información relacionada con la alimentación animal y con los productos, servicios y actividades de las empresas del Grupo Nestlé que operen en tales sectores. Asimismo, dichos datos podrán ser cedidos a otras empresas cuyas actividades se relacionen con los sectores antes citados, a fin de que dichas compañías le puedan remitir directamente la información arriba mencionada. Tiene derecho a acceder y a rectificar, cancelar, oponerse al tratamiento de sus datos o revocar su consentimiento para la cesión en cualquier momento, dirigiéndose a Nestlé España, S.A, Apartado de correos 1404, 08080 Barcelona."

Evidentemente 40 euros por nuestra información personal es un precio muy interesante y que rebaja el precio final del producto en un porcentaje importante.

Pero nada impide que una vez que hayamos recibido los 40 euros por la autorización al tratamiento nos opongamos al mismo, solicitemos la cancelación de los datos y no recibamos publicidad o similar. De hecho se dice que la oposición puede hacerse "en cualquier momento", lo que incluso implicaría enviar en la misma carta la cancelación de datos, para así cumplir con las normas de la promoción (enviar los papeles como piden) y al mismo tiempo no "sufrir" las consecuencias del tratamiento de los datos.

Es obvio que esto no interesa a la empresa que ha pagado por los datos así que podría ser razonable obligar a que el tratamiento se mantenga durante un plazo determinado de tiempo (lo calculado para "amortizar" la inversión o en cambio que se devuelva el dinero (todo o en proporción).

La LOPD, a propósito del consentimiento, art. 6, establece que:

"1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa."

Y es evidente que hay un consentimiento del afectado que cumplimenta el formulario y lo remite. Y también que el consentimiento puede ser revocado, en eso no hay problema.

Respecto de la cancelación lo único que se recoge, en lo que aquí interesa, es que el responsable deberá hacer efectiva la cancelación en díez días, pero nada de que tal cancelación no implique algún tipo de penalización.

El Reglamento de desarrollo de la LOPD, el RD 1720/2007, en el apartado dedicado a la cancelación lo único que detalla es los supuestos en los que no procede la cancelación y entre ellos no estaría el consentimeinto previo al tratamiento, pero nada se dice tampoco de que ello no suponga dejar de obtener las ventajas obtenidas a cambio de los datos.

No he encontrado ninguna cláusula de protección de datos de promoción que contemple esto, pero creo que a medida que se popularicen este tipo de campañas para obtener los datos a cambio de dinero será más frecuente ver periodos de permanencia en la autorización al tratamiento o cesión de datos.

La retención de datos contraria al Convenio Europeo de Derechos Humanos

A finales del pasado mes de diciembre se hizo público el fallo del Tribunal Constitucional Austriaco (pdf en alemán) que establece una posible incompatibilidad entre la Directiva de Retención de Datos de Tráfico y el Convenio Europeo de los Derechos Humanos o Convenio de Roma y por ello eleva una consulta al Tribunal de Justicia de la UE sobre la compatibilidad de ambas regulaciones.

En concreto se plantea si la Directiva, tal y como está redactada, viola el artículo 8 de la convención.

Este artículo establece que:

Artículo 8. Derecho al respeto a la vida privada y familiar.

1 Toda persona tiene derecho al respeto de su vida privada y familiar, de su domicilio y de su correspondencia.

2. No podrá haber injerencia de la autoridad pública en el ejercicio de este derecho, sino en tanto en cuanto esta injerencia esté prevista por la ley y constituya una medida que, en una sociedad democrática, sea necesaria para la seguridad nacional, la seguridad pública, el bienestar económico del país, la defensa del orden y la prevención del delito, la protección de la salud o de la moral, o la protección de los derechos y las libertades de los demás.

La cuestión es si recopilar a priori toda la información de nuestras llamadas, conexiones a internet, mensajes de texto, etc. (no el contenido sino los datos propios de la comunicación como origen, destinatario, IP, etc.) de todos los ciudadanos, incluídos aquellos sobre los que exista alguna sospecha de cometer un delito pero también de todos los demás, es compatible con que esa medida sea necesaria en un sociedad democrática.

Esta cuestión planteada ahora por Austria se suma a las que han realizado Irlanda o los problemas de constitucionalidad en paises como Rumanía, Alemania, Malta y otros cuantos más.

Me llama la atención del caso Austria que tiene su origen en una queja de un gobierno local (Carinthia), de las compañías de telecomunicaciones (como en todas partes) y de, y esto es lo más importante, las quejas de más de 11.000 usuarios, lo que demuestra el nivel de compromiso con la intimidad y con los derechos de la persona de una sociedad madura.

En resumen, que tenemos a media Europa cuestionando ya sea la propia Directiva, ya sea las leyes de transposición a los ordenamientos de cada país.

¿Y en España? 

Aquí nadie se cuestiona, al menos desde instancias oficiales, si esta Directiva y la ley que la transpone a nuestro ordenamiento supone alguna intromisión en la intimidad de la persona.

Pero claro, quien va a preocuparse de esta cuestión si tenemos una Agencia de Protección de Datos que cada vez quiere abarcar más cuestiones en internet pero cuando necesita identificar la dirección IP que corresponde al remitente de un mail se salta la Ley de Conservación de Datos y pide esa información a las empresas de telecomunicaciones, aunque la ley diga que sólo se puede hacer en el caso de delitos graves.

Por supuesto no acudan al Tribunal Constitucional, no sólo por los años que puede llevar esto, sino porque si admite la revisión de un ordenador sin autorización judicial por aquello de que los datos pueden estar en una "nube" y ser borrados remotamente, no creo que las cuestiones de matiz en este asunto le inquieten.

Bastante esfuerzo está costando que los jueces empiecen a aplicar correctamente la ley (aquello de delitos graves definidos en el Código Penal o aquellos que parezcan graves a juicio del juzgador) y en particular las Audiencias Provinciales como para considerar que debemos ir más allá y plantearnos problemas de derechos a nivel europeo.

Y luego ya, pedir a más de 10.000 personas que presenten una reclamación o queja por un problema relacionado con la retención de todos sus datos de tráfico cuando están en internet, es directamente ciencia ficción.

Es cierto que nuestra Constitución establece en su artículo 18.4 que:

"La Ley limitará el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos y el pleno ejercicio de sus derechos."

Pero excepto para justificar en algún momento la Ley de Protección de Datos, de esto de limitar el uso de la informática hemos visto poco, de hecho con la Conservación de Datos se usa todo, excepto por una limitación de tiempo y porque quienes tienen que retener pusieron el grito en el cielo por los costes.

Ahora imaginemos que luego va el TJUE y anula la Directiva por ser excesiva, ¿qué va a pasar con las condenas penales impuestas con la única prueba de la identificación de la compañía telefónica de la dirección IP?

Y luego dicen que estaríamos mejor fuera de Europa, al menos allí se preocupan de los derechos de los ciudadanos.