El acceso por el INE a los datos de los operadores de telecomunicaciones

Hoy despertamos con la noticia de que el INE ha llegado a un acuerdo con las principales operadoras de telefonía, a cambio de medio millón de euros, para acceder a los datos de movimientos de todos los teléfonos móviles durante varios días, a comenzar en próximas semanas.

Las ventajas del método son evidentes, pues habiendo más números de móviles que ciudadanos, es sencillo colegir que casi todo el mundo, incluidos menores, porta uno en algún momento, así que la muestra parece inmejorable.

Pues bien, esta medida, a mi juicio, plantea complejos problemas jurídicos en base a la normativa aplicable, hasta el punto de considerar que, a mi juicio, no es muy correcto este proceder, ni del INE ni de las operadoras.

En primer lugar, hay que ser conscientes de que lo que conocemos como datos de tráfico (los datos de todo tipo generados por la prestación de un servicio de comunicaciones) equivalen a tener un rastreador continuamente registrando nuestra posición geográfica y nuestras interacciones con terceros (ya sean personas o servicios en internet). Es decir, una monitorización constante.

Esto no debe olvidarse, pues equivale a tener un gps en cada paseo, que damos, en cada desplazamiento, etc.

Eso es lo que permiten los dispositivos y las técnicas de comunicación que empleamos. Ciertamente, son un volumen de datos muy superior a los necesarios para la mera prestación del servicio por parte del operador, pues con poco mas que los necesarios para la facturación podrían desarrollar su actividad.

Pero, dadas las posibilidades que se dan en internet, y las exigencias de responsabilidades, entre ellas la comisión de delitos, se determinó la necesidad de obligar a todos los operadores a recopilar todos los datos, todo el tiempo (olvidémonos del contenido de las comunicaciones, hablamos sólo de los "metadatos" de esas comunicaciones), con el fin de que pudieran investigarse delitos, en principio graves como el terrorismo, etc.

Función hash, datos de carácter personal y delitos

Esta mañana, el informático Sergio López analizaba y explicaba una serie de aspectos del censo universal que había sido empleado para la votación del pseudo-referendum de Cataluña del pasado día 1 de octubre.

Han pasado ya unos cuantos días desde el #1Oct, así que creo que urge el contar esta historia.

— Sergio Lopez (@slp1605) 4 de octubre de 2017

En la descripción del interesante hilo explica como si bien los responsables del censo habían intentado que el mismo no se considerase cedido a terceros empleando las huellas o funciones hash de los datos de los votantes, era posible realizar el camino inverso y obtener los datos personales correspondientes a esos hash.

Lo he comprobado por mí mismo. En un ataque por la fuerza bruta a C.P. y año concreto, los resultados empiezan a saltar en pocos minutos.

— Sergio Lopez (@slp1605) 4 de octubre de 2017

De hecho el autor del hilo ha publicado su propia prueba de concepto en un repositorio de github para que cualquiera pueda verificar la existencia del fallo (de concepto? mejor que de seguridad?)

El resumen es que dado que para evitar que con una única acción judicial se bloquease todo el proceso de votación, se clonaron las webs que daban el soporte a las mesas, lo que ha permitido la existencia de muchas copias de esas webs, incluyendo las bases de datos de los votantes.

Realmente la base de datos  lo que alberga es la huella (o hash) que esos datos arrojan al aplicarse 1714 iteraciones de SHA256 sobre los los 5 últimos dígitos del DNI, la letra correspondiente, la fecha de nacimiento y el código postal, para cada ciudadano incluido en el censo de cada ciudadano.

Es decir, si lo leemos como humanos, la función sería algo del tipo: a3c7c26545bcce509730d8a5d230a83e11614b94aa96966484ea5ab742a2f3b7 (esa es la huella sha256 de mi nombre y apellido) por lo que sin más elementos no podríamos saber a quien pertenece.

Y aquí viene la cuestión, para mi, interesante, ¿es una huella hash un dato de carácter personal?

La Ley 15/1999 de Protección de Datos define como dato de carácter personal

• a) Datos de carácter personal: cualquier información concerniente a personas físicas identificadas o identificables.

 El Real Decreto 1720/2007 de desarrollo concretó un poco más:

f) Datos de carácter personal: Cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo concerniente a personas físicas identificadas o identificables.

Y ya, el nuevo Reglamento General de Protección de Datos concreta aún más:

«datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona;

El problema siempre ha sido cuando estamos ante datos que hacen identificables a las personas físicas a las que hacen referencia.

Pero además, el DNI, por sí mismo, tiene la consideración de dato de carácter personal, así en un  informe (0476/2008) de la propia Agencia (pdf) se concluye, con base en el artículo 1 del Real Decreto 1553/2005 que:

"2. Documento tiene suficiente valor, por sí solo, para acreditar la identidad y los datos personales de su titular que en él se consignen, así como la nacionalidad española del mismo.

3. A cada Documento Nacional de Identidad, se le asignará un número personal que tendrá la consideración de identificador numérico personal de carácter general.

La naturaleza de dato personal del DNI resulta clara atendiendo a lo anteriormente expuesto."

Si el DNI por si mismo, es un dato de carácter personal y de la función hash podemos extraer los 5 últimos números mas la letra, eso permite combinaciones para obtener el DNI completo, por lo que, de esa manera, ya tendremos ese dato personal.

En general, el criterio de la Agencia Española ha sido el de vincularlo con el esfuerzo necesario para, a partir de un identificador concreto, poder averiguar a quien pertenece.

Es decir, si no hay que hacer un esfuerzo desproporcionado será un dato de carácter personal, como recuerda la Agencia (informes 0427/2010 pdf o 0182/2008 pdf)

"Este criterio ha sido ratificado por la Audiencia Nacional en sentencia de 8 de marzo de 2002. Según se cita en la misma, “para que exista un dato de carácter personal (en contraposición con dato disociado) no es imprescindible una plena coincidencia entre el dato y una persona concreta, sino que es suficiente con que tal identificación pueda efectuarse sin esfuerzos desproporcionados” y “para determinar si una persona es identificable, hay que considerar el conjunto de los medios que puedan ser razonablemente utilizados por el responsable del tratamiento o por cualquier otra persona, para identificar a dicha persona”.

Por lo tanto, a la luz de lo expuesto en el contenido del censo y la forma en que se ha pretendido "ofuscar" lo cierto es que se ha producido una comunicación de datos de carácter personal a terceros por parte del responsable.

¿Y todo esto que implica?

Pues que al margen de las infracciones que por el incumplimiento de la LOPD pudieran establecerse, sería posible abrir la vía penal contra los responsables de la generación de este censo y su divulgación, en la medida en que el artículo 198 del Código Penal establece que:

"La autoridad o funcionario público que, fuera de los casos permitidos por la Ley, sin mediar causa legal por delito, y prevaliéndose de su cargo, realizare cualquiera de las conductas descritas en el artículo anterior, será castigado con las penas respectivamente previstas en el mismo, en su mitad superior y, además, con la de inhabilitación absoluta por tiempo de seis a doce años."

Las conductas en las que encajaría serían las del artículo 197:

"2. Las mismas penas se impondrán al que, sin estar autorizado, se apodere, utilice o modifique, en perjuicio de tercero, datos reservados de carácter personal o familiar de otro que se hallen registrados en ficheros o soportes informáticos, electrónicos o telemáticos, o en cualquier otro tipo de archivo o registro público o privado. Iguales penas se impondrán a quien, sin estar autorizado, acceda por cualquier medio a los mismos y a quien los altere o utilice en perjuicio del titular de los datos o de un tercero.

3. Se impondrá la pena de prisión de dos a cinco años si se difunden, revelan o ceden a terceros los datos o hechos descubiertos o las imágenes captadas a que se refieren los números anteriores.

Será castigado con las penas de prisión de uno a tres años y multa de doce a veinticuatro meses, el que, con conocimiento de su origen ilícito y sin haber tomado parte en su descubrimiento, realizare la conducta descrita en el párrafo anterior.

4. Los hechos descritos en los apartados 1 y 2 de este artículo serán castigados con una pena de prisión de tres a cinco años cuando:

a) Se cometan por las personas encargadas o responsables de los ficheros, soportes informáticos, electrónicos o telemáticos, archivos o registros; o

b) se lleven a cabo mediante la utilización no autorizada de datos personales de la víctima.

Si los datos reservados se hubieran difundido, cedido o revelado a terceros, se impondrán las penas en su mitad superior."

Y ojo, porque el 197 CP permitiría ir incluso contra quienes clonaron la base de datos para mantener que la misma siguiese activa.

Responsabilidades penales como estas al margen (que seguro que a los responsables llegados a este punto son las que menos les preocupan) lo cierto es que es un ejemplo perfecto para visibilizar que un hash puede llegar a considerarse un dato de carácter personal, en función de la información a la que haga referencia.

Esto que puede parecer irrelevante, es interesante ya que, en ocasiones, se ha planteado remitir sólo el hash como forma de evitar transferencias internacionales de datos, por ejemplo, u otros muchos supuestos de tratamiento al margen de la norma aprovechando el que sólo se remita a terceros el hash.

Sentencias anonimizadas, infantas y perspectiva histórica

La Infanta está triste, ¿qué tendrá la infanta?

Dicen que la hermana del Rey Felipe VI, (quien sólo por el hecho de haber nacido ya tiene su espacio en los libros de historia) anda reflexionando sobre si discutir (apelar) la sentencia por la que se condena a su marido y se le hace responsable de la devolución de unas cantidades que disfrutó pero no debió hacerlo.

La cuestión es que hoy, a los pocos días de conocerse la resolución judicial de la AP de Palma, se ha publicado la sentencia (pdf) en el medio que es habitual, el CENDOJ.

Algunos periodistas han visto en la publicación de la sentencia sin los nombres de las personas sometidas a juicio cierto "escándalo" y, lo que es más preocupante, algunos de nuestros legisladores también...

El caso de...

La Eva
El Bernardo
El Julio

Por mucho que lo maquillen, la gente no olvidará el caso Nóos y cómo la Infanta llegó a juicio. pic.twitter.com/oRA9nHiRjw

— Íñigo Errejón (@ierrejon) 6 de marzo de 2017

Lo habitual, y lo legal, es que las sentencias se publiquen con sus nombres modificados, además con cierta gracia pues se suelen utilizar nombres poco frecuentes.

El hecho de que las sentencias se publiquen en internet, en el canal oficial del poder judicial, sin los datos personales de los afectados tiene que ver con la protección de la intimidad ya que el conocimiento de las resoluciones judiciales no ampara el conocer a las personas amparadas por los fallos. Es decir, puede ser relevante conocer que una cláusula es abusiva en un contrato bancario, así como los fundamentos de esa resolución, pero no es necesario conocer al cliente afectado. Por eso se publican las sentencias y por eso se hace así.

Y tiene todo el sentido del mundo.

Cobrar por ceder nuestros datos personales a las empresas de internet

A raíz del anuncio de Movistar de una aplicación para la gestión de los datos de los usuarios y su cesión a las operadoras de aplicaciones de comunicaciones, se están dando algunos debates muy interesante sobre la idea de que los usuarios cobremos por la cesión de nuestra información.

Hasta años muy recientes, en términos históricos, la información personal era relevante pero muy poco valiosa, en términos de su explotación económica.

Por supuesto que la información siempre ha sido poder y quien más información tenía más posibilidades de tomar las decisiones correctas, pero en términos absolutos, la información sobre uno mismo que los gobiernos o empresas tenían, o a la que podían acceder, no era explotada de tal manera que generase un negocio tan gigantesco como en los últimos años o como las previsiones apuntan.

El coste de la información para quien la quiere explotar viene determinado por 3 elementos:

Lo que cuesta su obtención, lo que cuesta su conservación y lo que cuesta su tratamiento.

Hasta casi finales del Siglo XX, recopilar la información era muy caro (pensemos en los catastros para controlar y asegurar la fiscalidad, que implicaban miles de personas realizando comprobaciones pueblo por pueblo) y prácticamente inasumible para ninguna empresa privada.

Lo mismo podemos decir de la conservación de los datos obtenidos, que debían ser copiados en papel, que no era barato de producir, debiendo ser transcritos manualmente o por medio de sistemas de imprenta, siendo la primera manifestación de automatización del proceso.

Y por último el coste de analizar la información y extraer las conclusiones, que era una tarea esencialmente humana y no automatizable.

Al final, se recopilaba y preservaba la información de los hitos relevantes (nacimientos, matrimonios, defunciones, etc.) y de aquellas personas que por su posición (reyes, nobles, soldados, etc.) generaban información que era trascendente de alguna manera.

La historia del artículo 18.4 de la Constitución.

"La ley limitará el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos y el pleno ejercicio de sus derechos."

Así reza uno de los artículos más importantes y más interesantes de la Constitución Española y que es sin duda mi favorito de todos ellos, por lo revolucionario que supone encontrar en 1978 una mención tan clara y tan útil para el Siglo XXI desde un punto de vista legal.

Este párrafo, tiene su antecedente directo tanto en las normas nacionales aprobadas en toda Europa, como en el artículo 35 de la Constitución Portuguesa que ya hablaba de la utilización de la informática, fundamentalmente en relación al tratamiento de datos personales.

Es interesante repasar los trabajos parlamentarios para ver como el lesgislador constitucional llegó a la conclusión de que la informática debía estar presente, en sentido negativo, en la Constitución.

Dado que los primeros trabajos constitucionales fueron reservados, sólo quedan las actas de la comisión, publicadas en 1984, pero no las intervenciones de los grupos, es difícil conocer posiciones más concretas o el punto exacto en el que se decidió introducir la informática.

En la sesión del 8 de septiembre de 1977 se habla del contenido del artículo 21 y de la conveniencia o no de incluir la informática como técnica, duda que se presentará en todo el trámite de aprobación de la Constitución.

Artículo 21 según las actas de la Ponencia Constitucional

Queda pendiente la redacción, indicando el representante del grupo Vasco-Catalán que aportaría una redacción en relación con este asunto, que finalmente llegó al primer borrador de texto constitucional, en enero de 1978 (pdf)

"4. La ley limitará el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos"

Como se ve no hay mucha diferencia con el texto finalmente aprobado, si bien durante el debate pasó por un cambio de numeración, llegando a integrarse en el artículo 17 en el informe de la ponencia de 17 de abril de 1978(pdf) y una leve variación sobre su redacción:

«La ley limitará el uso de la informática de manera que quede a salvo el respeto a la intimidad personal y familiar y al honor de los ciudadanos»

El supremo, el derecho al olvido e indemnizaciones por hemerotecas de periódicos

El Tribunal Supremo ha dictado una interesante sentencia (pdf) en la que viene a seguir los criterios establecidos en la Sentencia del TJUE en el caso de Google y España sobre el "derecho al olvido". De hecho, que me conste, es la primera sentencia en la que se refiere expresamente de esta manera a la cancelación de datos de buscadores,

En ocasiones anteriores aparece como cita de otras sentencias de la AP de Madrid, que lo llama de una manera más poética:

"[...] el llamado "derecho al olvido " de la jurisprudencia francesa, y que la española ha optado por llamar "derecho a vivir en paz", "en tranquilidad"

Un aspecto relevante en este caso es que, frente a la Sentencia de la AP de Barcelona (pdf), el Tribunal Supremo sólo estima el recurso del periódico en el sentido de eliminar la obligatoriedad de alterar el código fuente de la hemeroteca digital del medio para que no aparezcan los nombres de las personas afectadas.

Es decir, la integridad de la noticia tal y como fue publicada satisface el derecho a la libertad de información si en el momento de la publicación, o en el plazo legal para ello, no fue cuestionada o rectificada, por lo que no procede la mutilación del código fuente de la noticia, ni la ocultación en el buscador interno de la hemeroteca.

Como digo, el resultado final, desde el punto de vista de las medidas a adoptar por la fuente de la publicación, o el editor, es bastante similar a la del caso Google. No eliminar información de la fuente, disponer de mecanismos de bloqueo al acceso a las "arañas" del buscador y, en su caso, que se retiren de este los enlaces de búsqueda por los buscadores.

Pero el aspecto más relevante, habida cuenta de que lo anterior sigue un criterio ya analizado, es la confirmación de la condena al pago de 7.000 euros a cada una de las demandantes por la existencia de una intromisión en su honor e intimidad.

Todas las instancias analizan que el hecho de al incluir la noticia en una hemeroteca digital, se produce una nueva difusión, no sólo en el ámbito del medio concreto, sino abierta a todo internet.

Como sintetiza muy bien la Audiencia Provincial de Barcelona:

"La cuestión es que de dicha noticia casi totalmente en el olvido, salvo los que tuviesen un especial interés en su búsqueda; tras 26 años se ha puesto por el periódico en primera línea de conocimiento, mediante su indexación, cuando las actoras han rehecho su vida, carecen de antecedentes penales, y tienen su familia y actividad profesional que venían viviendo en su intimidad personal, con protección de sus datos salvo los profesionales interesados por las mismas, y salvaguardando su honor personal, en noticia que actualmente ha dejado de ser veraz al no constar antecedentes penales (que como decíamos antes si se debe proteger al que a la fecha de la noticia no es imputado por más que lo sea después, de igual modo debe protegerse al que lo era y ha dejado de tener antecedentes penales)."

Es por ello que el medio no debe permitir una difusión superior a su propia hemeroteca, el hecho de que se incluyan comandos como "index" y "follow" que indican a los rastreadores de los buscadores que recopilen información de esos sitios supone una conducta activa que justifica la indemnización.

Se abre pues la vía para que cualquiera que, por virtud de una hemeroteca digital, haya visto como actos de su pasado eran de nuevo puestos en relevancia al usar un buscador pueda demandar a los medios por esa nueva difusión.

En definitiva, esto tiene toda la apariencia de que motivará que las hemerotecas digitales pondrán medios para bloquear a los buscadores, pues el riesgo de ser demandados por alguna de las miles de personas que han visto publicada información sobre ellos en algún momento del pasado seguro que no compensa los beneficios de la existencia de la propia hemeroteca.

La otra opción sería eliminar toda la información personal de todas las noticias de las hemerotecas, pero supongo que el coste no compensa la eliminación del riesgo, frente al simple bloqueo del indexado.

Creo que en este momento de búsqueda de equilibrio entre el "derecho a vivir en paz" y el derecho a la información y las posibilidades técnicas, esta solución parece ponderada, pero veremos cuales son los efectos reales sobre el acceso a la información y su impacto.

Creo que no será el último asunto sobre este tema.

Estados Unidos deja de ser puerto seguro

Ayer se conoció la sentencia del TJUE en el caso Schrems por la que se cuestionaba si los datos de los ciudadanos europeos que eran tratados por empresas estadounidenses, en este caso Facebook, podían salir de la Unión Europea, en concreto a Estados Unidos, y si las facultades de control de las agencias de protección de datos alcanzan también a controlar lo que pasa con esos datos en el país de destino.

Si hasta ahora se decía que las autoridades de control no podían analizar las medidas de seguridad de las empresas de Estados Unidos, o al menos de parte de ellas, era porque estaban acogidas al régimen de Puerto Seguro o "safe harbor", que consiste, básicamente, en decir que hay un nivel equivalente de medidas de seguridad o de protección de los datos allí.

Puede consultarse el listado de empresas acogidas a este programa en una web del departamento de comercio.

Es decir, que si estabas en esa lista, en teoría, cumplías con un estándar que posibilitaba recibir y tratar datos desde la Unión Europea.

Y este reconocimiento se basaba en un acuerdo de la Comisión, la Decisión 2000/520/CE, que ahora también se pone en cuestión.

Criterios para eliminar resultados de Google tras la Sentencia de la Audiencia Nacional

Tras la Sentencia del Tribunal de Justicia, que resolvía lo consultado por la Audiencia Nacional, esta ha dictado las primeras sentencias (pdf) en aplicación de lo señalado por la conocida como sentencia del "derecho al olvido".

A lo largo de sus 44 páginas hace un recorrido por los argumentos y decisiones recaídas en el procedimiento desde que se instase a la eliminación de los resultados del buscador.

La Audiencia Nacional comenzará hacer públicas durante los próximos días varias sentencias más en aplicación de los criterios del Tribunal de Justicia y fijando aquellos que resultan aplicables al concreto caso español.

Hay que fijar, en primer lugar, que no hay ninguna duda de que Google o cualquier otra empresa, mediante su buscador, realiza un tratamiento de datos personales, eso ya lo dijo la propia STJUE.

"La resolución recurrida considera que los buscadores en el ejercicio de su actividad, efectúan un tratamiento de datos de carácter personal por lo que están obligados a hacer efectivo el derecho de cancelación y/oposición del interesado que se opone a que se indexe y sea puesta a disposición de los internautas determinada información a él referente que se encuentra en páginas de tercero y permiten relacionarles con la misma, y a cumplir con los requerimientos que les dirija la AEPD en la tutela de esos derechos." 

Google, el olvido y un poco de perspectiva sobre la historia

El pasado martes Google celebró la primera de las reuniones que plantea en una gira europea en relación a la famosa sentencia del TJUE sobre el mal llamado derecho al olvido.

Una crónica del encuentro, que comparto plenamente, pueden leerla en el blog "Privacidad Lógica" escrita por Fancisco Javier Sempere.

Comparto sobre todo que el hecho de hacerla abierta al público fue una forma de tener un fondo para un escenario, más que la voluntad de hacer una participación de afectados, otros expertos, etc.

También creo que llegó demasiado pronto, pues considero que a la hora de la implementación práctica de la sentencia, hay aspectos que resultarán relevantes de lo que diga finalmente la Audiencia Nacional, que es quien preguntó al TJUE.

Como digo, dado que la crónica de "Privacidad Lógica" o la Samuel Parra para El Mundo reflejan básicamente lo vivido, remito a ellas para quien quiera hacerse una idea del encuentro.

Sin embargo, sí me interesa dejar una reflexión al hilo de todo esto y de un problema sobre el que, como sociedad, debemos ir tomando consciencia y que, sólo en parte, está relacionado con este llamado derecho al olvido.

Cuando uno revisa la historia, cuando uno habla con historiadores sobre las fuentes que emplean para sus trabajos, se destaca la importancia de los archivos históricos, de la documentación personal, de los diarios, de las cartas personales entre personajes, etc.

Hay un sinfín de documentación que es imprescindible para poder desvelar el pasado, para poder contar el contexto de los hechos históricos y entender su verdadera naturaleza.

Relaciones entre personajes, el origen de disputas entre países que en ocasiones se achacan a intereses de estado pero que el estudio de esos documento revela la verdadera naturaleza (más mundana) de los mismos, etc.

Todo eso, en una sociedad del email, del whatsapp, en una sociedad de soportes digitales que desaparecen cuando se da de baja un servicio, dejará de existir. Si alguno de nosotros mañana fuera un personaje "histórico" ¿cuantos registros privados accesibles dejaría para su estudio en 100 años?.

Hay que pensar que muchos servicios de comunicaciones electrónicas (email, chat, etc.) desaparecen con todos los mensajes intercambiados, que cuando morimos o damos de baja la cuenta todo el contenido se evapora súbitamente, en el fondo, que no hay persistencia de la información no pública.

Es cierto que antes también se perdía información (el papel también sufre el paso del tiempo o también podía destruirse voluntariamente) pero los personajes de cierta posición tenían una perspectiva de su propia vida que les hacía conservar sus archivos y documentos. Incluso muchos de nosotros, los que ya tenemos cierta edad, conservamos cartas escritas entre amigos de distintas ciudades de nuestra adolescencia, etc.

El problema es que, ante la ausencia de acceso a esas fuentes privadas, la historia se construirá desde el relato de lo público, es decir, desde la información accesible al historiador en hemerotecas de periódicos, sitios como archive.org, o en páginas web de cualquier tipo que hayan publicado esa información.

Y todos sabemos que no siempre se publica la verdad, o al menos toda la verdad, de los acontecimientos, bien porque no se conoce, bien porque no se puede contrastar o por otras razones de cualquier naturaleza. Por no hablar de los problemas de fiabilidad, ya que la confirmación de algo por el propio partícipe en una carta manuscrita no es lo mismo que lo publicado por alguien anónimo en internet, por ejemplo.

En este escenario, el historiador deberá valerse, sin duda, de los buscadores (o herramientas similares) para, al indagar en el hecho histórico y los personajes, construir el relato. Pero si la información de los buscadores se bloquea a petición del interesado, nos encontraremos con que también las fuentes públicas presentan un problema de perspectiva.

¿No sería razonable que la información bloqueada ahora, volviese a ser localizable en 50 años? ¿O que, como se propuso en el consejo asesor el martes, se enviase al final de las páginas de resultados para que el esfuerzo por encontrarla fuese un criterio relevante?

Como digo, es fácil intuir los problemas a los que los historiadores se enfrentarán en un futuro y los retos que tendrán para el estudio de la historia. Evidentemente es un problema al que sólo ahora comienzan a enfrentarse, pero sería bueno que como sociedad fuésemos conscientes de ello e ir reflexionando sobre los problemas.

Las comunicaciones del trabajador son secretas, salvo resolución judicial

En la relación laboral la jurisprudencia había venido entendiendo, en particular la de los juzgados de lo social, que el trabajador tenía un espacio de cierta privacidad, o expectativa razonable de privacidad, en el uso de equipos informáticos y que era requisito imprescindible para poder romper esa expectativa el que se informase adecuadamente de que el uso del equipo podía ser monitorizado.

Esa monitorización (incluso por videovigilancia y lo que "sorprende" al profesor Alfaro) suele incluir todo lo que pasa por el ordenador, las páginas que se visitan, logs de conversaciones, etc.

Todo esto había sido avalado en todas las instancias y hasta por el Tribunal Constitucional, por lo que puede decirse que la situación es "pacífica".

Sin embargo, ahora el Tribunal Supremo, en una sentencia del orden penal, viene a añadir un elemento de importancia que puede modificar como por parte de las empresas se lidia con esa situación. Se trata de la sentencia de 16 de junio de 2014 (pdf) por la que se resuelve un recurso por la condena a un trabajador por  varios delitos.

Uno de los argumentos del recurso era que se había accedido a la información contenida en el ordenador sin intervención judicial. Sin embargo, según la sentencia de la Audiencia Provincial:

"No consta que se haya examinado ningún tipo de programa de correo
electrónico privado, y tampoco consta que se haya examinado ningún tipo de programa o archivos temporales que supusiera injerir, intervenir o desvelar algún tipo de comunicación privada y confidencial de don (sic) Rodolfo"

Por lo tanto, no procedía analizar ese motivo. Sin embargo, parece que el Tribunal Supremo tenía ganas de entrar en esta materia, lo hizo también la Audiencia Provincial, para "dejar" su marca en esta cuestión del acceso a ordenadores de los trabajadores y analiza, con el ánimo de "fijar una clara doctrina en materia de tanta trascendencia" en relación a la falta de confidencialidad o secreto del ordenador.

Así, tras enumerar el tratamiento de la cuestión en el orden social dice:

"Criterios contenidos en esas Resoluciones y que no desconocemos que han sido posteriormente avalados por el propio Tribunal Constitucional, en Sentencias como las de 17 de Diciembre de 2012 y 7 de Octubre de 2013, que, a nuestro juicio, han de quedar restringidos al ámbito de la Jurisdicción laboral, ante el que obviamente nuestra actitud no puede ser otra más que la de un absoluto respeto, máxime cuando cuentan con la confirmación constitucional a la que acabamos de referirnos, pero que, en modo alguno, procede que se extiendan al enjuiciamiento penal, por mucho que en éste la gravedad de los hechos que son su objeto, delitos que en ocasiones incluso constituyen infracciones de una importante relevancia, supere la de las infracciones laborales a partir de las que, ante su posible existencia, se justifica la injerencia en el derecho al secreto delas comunicaciones del sospechoso de cometerlas"

Es decir, que una cosa es el orden social y otra el penal.

La base del fundamento es que lo que el artículo 18.3 de la Constitución dice es que:

"Se garantiza el secreto de las comunicaciones y, en especial, de las postales, telegráficas y telefónicas, salvo resolución judicial."

Y a ese final de "salvo resolución judicial" es al que se acoge para declarar que no se prevé ningún supuesto adicional ni ninguna tácita renuncia al derecho al secreto de las comunicaciones.

Concluye el Tribunal Supremo declarando que:

"[...] en el ámbito del procedimiento penal, el que a nosotros compete, para que pueda otorgarse valor y eficacia probatoria al resultado de la prueba consistente en la intervención de las comunicaciones protegidas por el derecho consagrado en el artículo 18.3 de la Constitución , resultará siempre necesaria la autorización e intervención judicial, en los términos y con los requisitos y contenidos que tan ampliamente se han venido elaborando en multitud de Resoluciones por esta Sala, a partir del importante Auto de 18 de Junio de 1992 (caso "Naseiro"), cualquiera que fueren las circunstancias o personas, funcionarios policiales, empresarios, etc., que tales injerencias lleven a cabo"

Y finaliza recordando, y es parte esencial en este materia, que dicha exigencia sólo opera en relación a las comunicaciones, pero no respecto de los "datos de tráfico", registro de páginas web o de los mensajes que una vez abiertos forman parte ya de la comunicación.

La lógica es que, al igual que una carta, cuando la abrimos deja de ser comunicación y se convierte en documento. Interpretación esta con la que no termino de estar del todo de acuerdo, pero que es como se viene aplicando uniformemente por los tribunales.

Mis cuestiones vienen por casos como ¿qué sucede con la copia local que yo envío? Es decir, en comunicaciones electrónicas no es como en las postales, de las que deriva esta doctrina, en la que la carta sólo es una y no tiene copias. En este caso, el mensaje que yo envío puede dejar en un log copia de lo enviado, con lo que ¿cuando sabemos que deja de ser comunicación porque ha llegado al receptor?. Puede ser imposible, y puede que en ese mensaje esté la clave para acusar al trabajador puesto que es un mensaje que sale de la empresa.


En resumen, que sigue siendo aplicable lo mismo que se venía haciendo en relación a las normas de control y uso del ordenador en el trabajo, el problema es que muchas veces al revisar el contenido de un ordenador no podemos saber si un correo electrónico ha sido visto o no, o si un log ha llegado al destinatario o no, con lo que todavía estaría en proceso la comunicación y se estaría vulnerando el derecho al secreto de las comunicaciones.

Lo que si quedaría totalmente prohibido para la empresa es la monitorización en tiempo real de los programas de comunicación o aplicaciones de mensajería instantánea, aunque queda en término dudoso la situación de los logs de las mismas.

Si se revisan, porque están en el disco duro, ya sabemos si se han abierto o no (pensemos en un log de un chat en el que hay una conversación con respuestas, sabemos de la lectura que se han leído por las partes) por lo que antes de decidir si se afecta al secreto de las comunicaciones ya lo hemos vulnerado si se hace sin autorización judicial.

Como se ve son muchos los problemas que se pueden plantear con las revisiones de los ordenadores y equipos informáticos que se plantean y que esta sentencia viene a recordar, aunque tampoco se esté llegando a profundizar en todos los aspectos que pueden técnicamente darse.

Tras la sentencia en el caso Google, ¿y ahora qué?

Tras el fallo del Tribunal de Justicia de la Unión Europea, que da la razón a la Agencia Española de Protección de Datos, ¿qué panorama es razonable esperar, habida cuenta del contenido de la sentencia?.

En primer lugar, hay que esperar como aplica la Audiencia Nacional, el órgano que eleva la consulta, el caso particular, aunque el TJUE prácticamente lo ha dado todo resuelto, con constantes referencias al supuesto concreto.

Pero la aplicación de esta jurisprudencia no es automática, en cada uno de los más de 200 casos pendientes la Audiencia Nacional debe valorar si el supuesto ampara o no la pretensión de Google, que es el recurrente, o de la Agencia Española, que es quien ha dictado la tutela de derechos de los particulares.

Habrá casos en los que se resuelva en el mismo sentido, y se aprecie que el interés legítimo impone retirar los enlaces, pero habrá otros casos, como por ejemplo con personajes públicos o datos publicados por mandato legal, en los que no.

Pero tras los casos que ya están en la Audiencia Nacional, se pueden dar varios escenarios.

El primero, y más evidente, es que Google Spain S.L. cierre. No quiero decir que el buscador no sea usado desde España, solamente que deje de prestar servicios la empresa auxiliar para la comercialización de la publicidad. Ello no es que haga que la normativa no le sea aplicable, pero si al menos pondría nuevamente sobre la mesa el debate.

Hay que tener en cuenta que los efectos de esta sentencia, y por ello de la legislación española y europea, se producen por la existencia de la oficina en España. Sin ella, Google podría volver a alegar que no le es aplicable la legislación y volveríamos a la casilla de salida.

El segundo, es que Google ponga una herramienta para retirar automaticamente todos los enlaces que el usuario, con una mínima acreditación o compromiso de legitimidad, al estilo DMCA, señale como infractores de sus derechos.

De esta manera, se automatizaría el proceso, para el buscador el coste de implementarlo sería mínimo y si ya lo hace para cuestiones de propiedad intelectual, ningún impacto en su  modelo de negocio se produce.

Esta posibilidad es la que presenta un mayor riesgo para los derechos de los demás, puesto que nos impide a los demás localizar fácilmente información en internet, aunque sea pública y legítima. El TJUE también menciona este problema en su sentencia y le preocupa el efecto que pueda darse.

La tercera opción, es montar un sistema de recepción de avisos, valorarlos y decidir si se retira el enlace. Esto puede implicar unos costes de gestión enormes, ya que implica valorar cada petición individualmente y decidir, con el riesgo a equivocarse.

Esta posibilidad es la más acorde con el respeto a los derechos de todos y el fallo del TJUE.

Y la cuarta opción es no hacer nada, y puede que sea la más inteligente para Google. Acumular las peticiones, dejar que los usuarios que lo consideren inicien un procedimiento de tutela de derechos, no todos lo harán, ante la Agencia de Protección de Datos y que sea esta quien decida cuando procede o no la retirada del enlace.

De esta manera, el problema se les traspasaría a la Agencia, que podría verse saturada de peticiones, que debe resolver y le daría el trabajo de decisión hecho a Google, con unos costes mínimos, puesto que las alegaciones podrían ser casi un formulario.

Estos son escenarios posibles habida cuenta del contenido de la Sentencia.

Lo cierto es que la misma me deja un sabor agridulce. Por un lado, y en el corto plazo, por los derechos del ciudadano afectado me parece positiva. Pero a largo plazo creo que puede tener efectos negativos en términos sociales, pues no me termina de convencer la posibilidad de que cada uno mostremos sólo una parte de lo que nos interesa, obviando otras cosas que también son importantes. El problema es que en los procedimientos para decidir qué se retira y que no, el interés del resto por conocer, no se ve representado.

Habrá que estar atento a como se desarrollan los acontecimientos, porque esto sólo acaba de comenzar.

Sanción de 3500 euros por instalar cookies de navegación sin informar correctamente

La Agencia Española de Protección de Datos ha sancionado (pdf) a dos empresas con un total de 3500 euros por instalar cookies (hay otras infracciones pero son por otros problemas al no informar en los formularios de contacto) en los equipos de las personas que visitaban sus sitios web porque

"ha quedado acreditada la instalación de cookies no exentas en los equipos terminales de los usuarios que visitan las páginas web titularidad de ambas entidades sin que éstas proporcionen a los mismos una información clara y completa sobre el uso y finalidades de las cookies que se descargan en sus terminales."

En el fondo del asunto hay fallos en la información que se muestra a los usuarios que navegan por el sitio, no bastando el "pop-up" desplegable mínimo sin una mayor información real y detallada de lo que se hace con las cookies.

Así por ejemplo la Agencia aprovecha la resolución para explicar como debería mostrarse la información en el sitio web en el que se dispongan dos capas para contener la información sobre las mismas:

La primera capa (lo que habitualmente tenemos en una ventana emergente) debería incluir la siguiente información mínima:

- Advertencia sobre el uso de cookies no exceptuadas que se instalan al navegar por los sitios web o al utilizar el servicio solicitado.
- Identificación de las finalidades de las cookies que se instalan, con información sobre si se trata de cookies propias o de terceros.

- Advertencia, en su caso, de que si se realiza una determinada acción se entenderá que el usuario acepta el uso de las cookies.
- Un enlace a la segunda capa informativa en la que se indica una
información más detallada.

Esta información es necesaria para que el usuario conozca el uso de estos dispositivos, su finalidad, los responsables de su utilización y la conducta de la que se inferirá la prestación del consentimiento, así como para que éste pueda obtener información adicional."

Y en una segunda capa:

"Tipo de cookies que utiliza la página web y su finalidad.

- Forma de desactivar o eliminar las cookies descritas y forma de revocación del consentimiento ya prestado.
- Identificación de quienes utilizan las cookies, incluidos los terceros con lo que el editor haya contratado la prestación de un servicio que suponga el uso de cookies."

De esta manera puede conseguirse un consentimiento válido y adecuado, manifestado después con la aceptación del pop-up, pero si falla la información no puede hablarse de consentimiento, lo que justifica la imposición de la sanción.

Es decir, que hay que tener cuidado con los avisos que se redactan y que no incluyan esa información que la agencia señala en la primera capa.

A día de hoy es muy difícil localizar avisos en los que la información disponible coincida con lo indicado, por lo que el riesgo es evidente.

Y por supuesto, identificar correctamente las cookies entre las exentas y las que no.

Sin duda un precedente que obligará a revisar avisos legales y avisos de instalación de cookies para reducir el riesgo de una sanción por parte de  la Agencia.

La protección de datos como obstáculo a la consulta catalana

El ayuntamiento de Barcelona ha adoptado una moción para ceder los datos del padrón a la Generalitat de Catalunya con el fin de poder organizar la conocida como "consulta catalana" sobre la independencia.

La idea, lógicamente, es disponer de la información de los residentes en el territorio con el fin de poder organizar una votación evitando dobles votos o fraudes electorales, como electores de otras jurisdicciones, etc.

Para las elecciones en general se emplea el censo electoral, que viene regulado en la Ley Orgánica 5/1985. 

Compone el censo electoral, artículo 31:

"El censo electoral está compuesto por el censo de los electores residentes en España y por el censo de los electores residentes-ausentes que viven en el extranjero. Ningún elector podrá figurar inscrito simultáneamente en ambos censos."

Es competencia municipal la tramitación de la inscripción en el censo, por eso los ayuntamientos pueden tener acceso al listado del mismo.

Pero otra cosa es el padrón municipal, aunque lógicamente comparte la composición de sus datos. El padrón municipal se regula en la Ley 7/1985 de bases de régimen local, artículos 15 y siguientes. El padrón se define, artículo 15, de la siguiente manera:

"1. El Padrón municipal es el registro administrativo donde constan los vecinos de un municipio. Sus datos constituyen prueba de la residencia en el municipio y del domicilio habitual en el mismo."

Y en lo que respecta a lo aprobado por el ayuntamiento de Barcelona, la Ley prevé la cesión de los datos del padrón a otras administraciones públicas, según el artículo 16.3:

"Los datos del Padrón Municipal se cederán a otras Administraciones públicas que lo soliciten sin consentimiento previo al afectado solamente cuando les sean necesarios para el ejercicio de sus respectivas competencias, y exclusivamente para asuntos en los que la residencia o el domicilio sean datos relevantes."

Es decir que la ley permite que el ayuntamiento de Barcelona, o cualquier otro, ceda los datos a la Generalitat sin consentimiento del afectado pero sólo para el ejercicio de las respectivas competencias.

Tampoco el artículo 21 de la Ley Orgánica de Protección de Datos habilitaría una cesión para este supuesto.

Y aquí es donde encontramos el escollo fundamental en estos momentos, puesto que sin la habilitación legal para la convocatoria de un referéndum, que viene regulado por la Ley Orgánica 2/1980, no parece que la Generalitat tenga competencias que justifiquen la cesión de los datos del padrón municipal, lo que dejaría la cesión al margen de la habilitación prevista, por lo que los ciudadanos afectados podrían solicitar la tutela de derechos, en este caso, ante la Autoridad Catalana de Protección de Datos. 

Es decir, nada impide, a mi juicio, que los ayuntamientos o la Generalitat, convoquen a que los ciudadanos a unas urnas para que expresen su opinión sobre un tema, el problema es la naturaleza vinculante de esta opinión, ya que existe una imposibilidad de hacer un censo "alternativo" con los datos personales del padrón ya existentes en los ayuntamientos. Al margen de cuestiones sobre la naturaleza vinculante como referendum, para hacerlo habría que solicitar autorización a los ciudadanos a modo de inscripción de electores, por ejemplo, pero no se puede obligar a nadie a estar en ese listado o a autorizar la cesión, con lo cual poca legitimidad vinculante, al margen de la estadística, tendría la misma si hay personas que no figuran en ella o sólo lo compone una parte de la población.

Tengo curiosidad por el informe que emitiría la Autoridad ante este supuesto y que debería elaborar cuanto antes con el fin de tener claro el marco jurídico del empleo de los datos de ciudadanos en este caso.

Las Cookies como programas para hacer que se aplique la LOPD

Ayer por la noche en el programa de televisión "Salvados" de la Sexta, bajo el título "Nos Espían", se mostraron muchas cuestiones relacionadas con el tratamiento de información por ordenadores. Seguramente demasiadas cuestiones y con algo de falta de contexto y análisis de cada una de ellas.

Entre los informáticos que seguían por Twitter el programa, produjo bastante sorpresa la afirmación del Director de la Agencia de Protección de Datos de que las cookies eran "pequeños programitas".

Evidentemente las cookies no pueden considerarse un programa informático, ni pequeño ni grande, pues son simplemente un archivo que se se escribe en el ordenador del usuario cuando visita una página web. No hay código en el archivo, ni se ejecuta, ni realiza nada más que el mero almacenamiento de la información que en él se escribe.

Pero la razón de referirse a las cookies en estos términos, es estrictamente jurídica y deriva de la necesidad de suplir por la vía interpretativa la errónea redacción de la Directiva 95/46/CE respecto de su ámbito de aplicación. El ámbito de aplicación es lo que determina a quien y en qué circunstancias se aplica la ley. Por lo tanto, quedar fuera implica no tener que cumplir sus previsiones.

La hipocresía en la importancia de la Protección de Datos

Al hilo del asunto de #PRISM, cada vez más turbio y vergonzante para todos los estados implicados, leía un tweet de Jorge Campanillas que me recordaba una cosa a la que llevo tiempo dándole vueltas.

Es la hipocresía que se da alrededor de la protección de datos y el derecho a la intimidad de las personas.

No hace falta recordar que el Tribunal Constitucional señaló en su celebre sentencia 292/2000 la protección de Datos como un derecho fundamental y autónomo.

En cientos de ocasiones las resoluciones sancionadoras de la Agencia Española de Protección de Datos han destacado ese carácter de derecho fundamental como base para justificar la imposición de sanciones derivadas del incumplimiento del contenido de la Ley Orgánica 15/1999 de Protección de Datos.

Por supuesto que, no seré yo quien lo niegue, el derecho a gestionar nuestros datos de manera adecuada, sin intromisiones excesivas y sin que se perturbe nuestro derecho a disponer de ellos como queramos, es importante. 

Y estoy de acuerdo en que, dentro o de manera independiente al derecho a la intimidad, se exija su respeto.

Lo que me parece hipócrita es una regulación cuyo único fin no es tanto la preocupación por el respeto a un derecho fundamental como otros intereses.

Es hipócrita la regulación, en primer lugar, y como se ha dicho en ocasiones, por que establece el centro de la protección de datos en función del lugar de tratamiento y no de la nacionalidad de los interesados, de las personas cuyos derechos fundamentales se ven afectados.

Si tan importante es el derecho a la protección de datos personales lo lógico es que obliguen a las empresas que tratan mis datos a que cumplan la ley, traten los datos donde los traten.

Además esto no sólo es contradictorio con esa visión de derecho fundamental, sino que ha fomentado el desarrollo de empresas cuyo negocio es el tratamiento de datos lejos de países de la UE, generando un problema de competitividad evidente.

 

Y en segundo lugar porque el legislador, que no es tonto, establece sanciones por el incumplimiento de la norma, pero ojo, no para las administraciones públicas, no, sólo para los ficheros mantenidos por el sector privado (lo que insólitamente incluye a ciudadanos particulares en ciertos actos).

Es decir, que si usted tiene una clínica privada y pierde unos expedientes, pagará una cuantiosa multa. Ahora bien, si es usted un hospital público y pierde los mismos expediente... pues un apercibimiento y poco más.

Es lógico que pensemos que no tiene sentido que las administraciones públicas se paguen sanciones a sí mismas, al final el dinero es de todos. Y tiene cierto sentido el argumento.

Pero lo que no tiene sentido es que, si estamos ante un derecho tan importante, tan protegible y tan reconocido, la administración no actúe de alguna manera. Porque cuando una administración es apercibida tras un procedimiento de la Agencia Española de Protección de Datos tampoco hace nada.

Si se comunican los datos médicos de un hospital público, por ejemplo, parece claro que se vulnera el derecho a la intimidad de los pacientes. ¿Y qué puede hacer la administración?

Pues es tan sencillo como iniciar un procedimiento de responsabilidad patrimonial, así se establece en el artículo 139 de la Ley 30/1992:

"1. Los particulares tendrán derecho a ser indemnizados por las Administraciones Públicas correspondientes, de toda lesión que sufran en cualquiera de sus bienes y derechos, salvo en los casos de fuerza mayor, siempre que la lesión sea consecuencia del funcionamiento normal o anormal de los servicios públicos."

Es decir, que la administración que pierde un número de expedientes está en condiciones de saber qué expedientes se han perdido y a qué ciudadanos se ha afectado. Y si se ha lesionado un derecho fundamental, pues lo lógico es que se reconozca.

Generalmente, cuando suceden este tipo de supuestos no se hace pública la identidad de los afectados, estos no se enteran, no reclaman y la administración sale indemne.

Si observamos la normativa, veremos que es posible el inicio de actuaciones de responsabilidad patrimonial de oficio. Así el artículo 5 del Real Decreto 494/1993 establece que:

"1. Cuando el órgano competente para iniciar el procedimiento de responsabilidad patrimonial entienda que se han producido lesiones en los bienes y derechos de los particulares en los términos previstos en el artículo 2 de este Reglamento iniciará el procedimiento regulado en este capítulo.

2. La iniciación de oficio del procedimiento se efectuará siempre por acuerdo del órgano competente, adoptado bien por propia iniciativa, bien como consecuencia de orden superior, petición razonada de otros órganos o por denuncia.
La petición razonada de otros órganos para la iniciación de oficio del procedimiento deberá individualizar la lesión producida en una persona o grupo de personas, su relación de causalidad con el funcionamiento del servicio público, su evaluación económica si fuera posible, y el momento en que la lesión efectivamente se produjo.
3. El acuerdo de iniciación del procedimiento se notificará a los particulares presuntamente lesionados, concediéndoles un plazo de siete días para que aporten cuantas alegaciones, documentos o información estimen conveniente a su derecho y propongan cuantas pruebas sean pertinentes para el reconocimiento del mismo.
El procedimiento iniciado se instruirá aunque los particulares presuntamente lesionados no se personen en el plazo establecido."

Observen lo destacado del artículo 5, no sólo la administración afectada (y apercibida por la Agencia de Protección de Datos) puede hacer algo para resarcir la lesión del interesado, la propia Agencia puede instar la iniciación del procedimiento de forma que el daño que hayan sufrido los ciudadanos sea compensado. Y eso también es hipócrita.

Pero claro, administraciones denunciando a administraciones para que indemnicen a ciudadanos sería "poco serio". De hecho si buscan en la web de la Agencia de Protección de Datos no hay ningún resultado que lleve a una mención al Real Decreto 429/1993 (usando google tampoco).

Por ejemplo, si buscamos resoluciones destacadas de Administraciones Públicas en la web de la Agencia, veremos ejemplos de todo tipo en los que se declara que la administración X ha incumplido los artículos A y B de la LOPD, constituyendo una infracción grave, pero sin más.

 

¿No sería más coherente con esa visión de derecho fundamental que, aunque sea de vez en cuando, se instase por parte de la Administración afectada o de la propia Agencia un expediente de responsabilidad patrimonial?

Al menos algunos, ante ciertas sanciones al sector privado pensaríamos que hay un verdadero interés por lo que se hace con nuestros datos y no algo de afán recaudatorio.

¿Caben los compromisos de permanencia en los tratamientos de datos?

Cada vez es más evidente que el negocio está en los datos y que muchos negocios en internet, y no sólo en internet, se mantienen a costa de negociar con la información personal de los usuarios que muchas veces inconscientemente cedemos.

Para obtener los datos personales unas veces nos conformamos con que nos den un servicio, ya sea Google, Facebook o cualquier otra herramienta en la red. En estos casos el servicio está tan relacionado con la información que pretender cancelar los datos supone dejar de  usar el servicio.

Pero cada vez son más habituales las promociones de empresas que no prestan servicios directamente relacionados con el tratamiento de nuestra información pero que quieren acceder a ciertos datos para sus objetivos de marketing y promocionales. Para ello recurren, incluso, al pago directo por la información que les suministramos.

Y en estos casos es donde me planteo si cabría obligar al usuario, a cambio del dinero que recibe a que mantenga la autorización para el tratamiento de datos durante un tiempo determinado, como la permanencia en los contratos de móviles, por ejemplo.

Pensemos en un caso concreto que he conocido, la promoción que una marca de "impresoras de cafe" (cafeteras de cápsulas) ofrece de pagar hasta 40 euros por rellenar una ficha de datos y remitirlos con el consentimiento para usar los  mismos (pdf):

"[...] con fines de publicidad y prospección comercial, para hacerle llegar información y muestras gratuitas de nuestros productos y servicios en el ámbito de la alimentación, la salud, el bienestar, la nutrición, la cocina y la belleza, así como otra información relacionada con la alimentación animal y con los productos, servicios y actividades de las empresas del Grupo Nestlé que operen en tales sectores. Asimismo, dichos datos podrán ser cedidos a otras empresas cuyas actividades se relacionen con los sectores antes citados, a fin de que dichas compañías le puedan remitir directamente la información arriba mencionada. Tiene derecho a acceder y a rectificar, cancelar, oponerse al tratamiento de sus datos o revocar su consentimiento para la cesión en cualquier momento, dirigiéndose a Nestlé España, S.A, Apartado de correos 1404, 08080 Barcelona."

Evidentemente 40 euros por nuestra información personal es un precio muy interesante y que rebaja el precio final del producto en un porcentaje importante.

Pero nada impide que una vez que hayamos recibido los 40 euros por la autorización al tratamiento nos opongamos al mismo, solicitemos la cancelación de los datos y no recibamos publicidad o similar. De hecho se dice que la oposición puede hacerse "en cualquier momento", lo que incluso implicaría enviar en la misma carta la cancelación de datos, para así cumplir con las normas de la promoción (enviar los papeles como piden) y al mismo tiempo no "sufrir" las consecuencias del tratamiento de los datos.

Es obvio que esto no interesa a la empresa que ha pagado por los datos así que podría ser razonable obligar a que el tratamiento se mantenga durante un plazo determinado de tiempo (lo calculado para "amortizar" la inversión o en cambio que se devuelva el dinero (todo o en proporción).

La LOPD, a propósito del consentimiento, art. 6, establece que:

"1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa."

Y es evidente que hay un consentimiento del afectado que cumplimenta el formulario y lo remite. Y también que el consentimiento puede ser revocado, en eso no hay problema.

Respecto de la cancelación lo único que se recoge, en lo que aquí interesa, es que el responsable deberá hacer efectiva la cancelación en díez días, pero nada de que tal cancelación no implique algún tipo de penalización.

El Reglamento de desarrollo de la LOPD, el RD 1720/2007, en el apartado dedicado a la cancelación lo único que detalla es los supuestos en los que no procede la cancelación y entre ellos no estaría el consentimeinto previo al tratamiento, pero nada se dice tampoco de que ello no suponga dejar de obtener las ventajas obtenidas a cambio de los datos.

No he encontrado ninguna cláusula de protección de datos de promoción que contemple esto, pero creo que a medida que se popularicen este tipo de campañas para obtener los datos a cambio de dinero será más frecuente ver periodos de permanencia en la autorización al tratamiento o cesión de datos.

El control de los diputados (y otros representantes públicos) y la Protección de Datos

Empieza a ser habitual que ante las peticiones de información de los ciudadanos para fiscalizar a los políticos estos se escuden en la Ley Orgánica de Protección de Datos para no dar información sobre sus actividades.

El último ejemplo lo tenemos con la afirmación publicada por el diario.es, en la que se afirma que la mesa del Congreso no quiere informar de quienes son los diputados que han "perdido" sus Ipads amparándose en la LOPD.

Lo lógico sería disponer de un informe jurídico que justifique tal amparo, pues de lo contrario, da la sensación de que estamos ante una mera excusa para preservar un dato sobre la "pericia" de ciertos representantes públicos en la gestión de los bienes que el Estado pone a su disposición. (El Congreso de los Diputados tiene 33 ficheros declarados)

Ya que no disponemos de informe alguno, veamos qué dice la LOPD, ya que es la empleada para justificar la negativa.

En principio la LOPD no distingue entre tipos de ciudadanos, si son datos de carácter personal, lo son de cualquiera, artículo 1:

1. La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico, que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado.

Y recordemos que por dato de caracter personal se entiende, artículo 3:

1. Datos de carácter personal: cualquier información concerniente a personas físicas identificadas o identificables.

Vale, los nombres y apellidos de los Diputados se pueden obtener, puesto que su nombramiento aparece en el Boletín Oficial tras las elecciones y el Boletín Oficial del Congreso, continuamente (en función de la actividad que desarrollen, evidentemente). Y no olvidemos que los Boletines Oficiales son fuentes accesibles al público que pueden ser consultados libremente (artículo 3.j LOPD).

Por lo tanto, podemos saber quienes son los Diputados sin mayor problema, sería absurdo no saber quienes son los representantes políticos. Evidentemente, esto alcanza a aquellas cuestiones relacionadas con su vida pública y su desenvolvimiento como representantes públicos.

Es importante distinguir esferas, y nadie pide que un diputado revele datos de su vida privada, sólo de aquello relacionado con su actividad como representante político.

Por supuesto que en el desempeño de sus funciones están sometidos a control ciudadano, y de hecho tienen incluso obligación de publicar cuales su patrimonio personal, es decir, comunican lo que ganan y lo que tienen, con lo cual, parece que no hay problema en hacer públicas determinada información sobre ellos.

La LOPD tiene como principio que el tratamiento de datos (y la comunicación de datos lo es) debe hacerse con el consentimiento del interesado. 

En "el caso de los Ipads perdidos" la mesa del Congreso, si tuviese interés, podría pedir a los interesados si puede difundir el nombre de aquellos que han perdido el suyo. Si se lo concede, pues no habría problema para divulgarlo.

Pero incluso si no conceden el permiso, ¿puede divulgarse esa información?

La LOPD establece una serie de excepciones al consentimiento del interesado para la comunicación de datos a terceros.

Una de estas es:

"Cuando el tratamiento responda a la libre y legítima aceptación de una relación jurídica cuyo desarrollo, cumplimiento y control implique necesariamente la conexión de dicho tratamiento con ficheros de terceros. En este caso la comunicación sólo será legítima en cuanto se limite a la finalidad que la justifique."

Desde mi punto de vista parece claro que no es necesario el consentimiento de sus señorías a la comunicación de sus datos en este supuesto a los medios de comunicación ni a los ciudadanos en general, puesto que el tratamiento

1- responde a la libre y legítima aceptación de una relación jurídica: te presentas a las elecciones, respondes ante los ciudadanos de lo que haces en ejercicio de esa representación.

2- la función de control propia de los ciudadanos implica necesariamente el tratamiento de esos datos por los ciudadanos, para valorar adecuadamente si los responsables políticos son tan "responsables" como para merecer nuestra confianza.

3- Y sin esa función de control, que tantas veces ha señalado el Tribunal Constitucional a favor de los medios de comunicación y de los ciudadanos, es imposible ejercer una actuación democrática real, por lo tanto el suministro de la información estaría plenamente justificado.

En este caso, me gustaría que la Mesa del Congreso tuviese el valor suficiente para publicar la información y esperar a ver qué diputados se "atreven" a denunciar la vulneración de su intimidad o su honor, que es precisamente lo que protege la LOPD.

Igual hay otras normas que impiden que sepamos esto, pero la LOPD no es una de ellas.

Pero no se alarmen, ya han dicho que la LOPD lo impide y no lo harán. 

Prefieren seguir fomentando la desafección por la política a ponerse en evidencia o poner en evidencia a 40 de ellos, con el resultado de que desde ese momento tengan más cuidado con sus cosas.

También algún grupo parlamentario podría pedir que se le entregue esa información, sería un buen ejercicio de transparencia y veríamos qué argumentos se emplean para negarse...

Y si quieren ver que esto es un problema de alto nivel, revisen otros casos de nuestros responsables públicos en el blog de Francisco Javier Sempere.

Derecho al olvido, publicación de sentencias y derechos del tercero

Tanto se habla del mal llamado derecho al olvido que al final le vamos a dar carta de naturaleza y a aceptarlo por aquellos que más nos oponemos precisamente a su reconocimiento.

Recordar que nos estamos refiriendo simplemente a la cancelación de datos (en el caso de pedir el borrado de un sitio web) o al ejercicio del derecho de oposición al tratamiento (lo que podría darse en relación a la indexación por buscadores, por ejemplo). Como se explica perfectamente en el esta entrada.

La combinación de estos dos derechos, y en ocasiones una visión expansiva de los mismos, articula lo que se viene conociendo como derecho al olvido.

Hay, sin embargo una faceta de este derecho que en ocasiones pasa desapercibida para quienes lo ejercitan y sobre todo para quienes con sus resoluciones lo amparan.

Me refiero al interés legítimo de terceros para la publicación de la información y su disponibilidad.

Algunos de los procedimientos más habituales en el ejercicio del derecho al olvido son los de aquellos que han sido "agraciados" con un indulto, medida absolutamente excepcional y reprobable en un estado de derecho pero que sigue en pleno auge.

Y también están los casos de sentencias que contienen la condena a publicar el fallo de la misma en un medio de comunicación social precisamente por la lesión que provocan a una persona o en sus intereses.

Así varias son las leyes que admiten que la condena establecida en un procedimiento pueda incluir la publicación de la sentencia o de parte de esta, de una u otra manera.

Tenemos por ejemplo la Ley 1/1982 de Protección del Derecho al Honor, que en su artículo 9 establece que:

"El restablecimiento del perjudicado en el pleno disfrute de sus derechos, con la declaración de la intromisión sufrida, el cese inmediato de la misma y la reposición del estado anterior. En caso de intromisión en el derecho al honor, el restablecimiento del derecho violado incluirá, sin perjuicio del derecho de réplica por el procedimiento legalmente previsto, la publicación total o parcial de la sentencia condenatoria a costa del condenado con al menos la misma difusión pública que tuvo la intromisión sufrida."

Esto es no más ni menos lo que ha pasado en el caso de la sentencia que obliga a poner un tuit. Que, en este sentido, no es nada novedosa (o yo no le veo ni la novedad ni la modernidad de la justicia), ya que si por esa vía lesionas el honor por esa vía puedes reparar.

También contempla la condena a publicar la sentencia la Ley de Propiedad Intelectual, que en su artículo 138 establece que:

"También podrá instar la publicación o difusión, total o parcial, de la resolución judicial o arbitral en medios de comunicación a costa del infractor."

Antes la publicación en los medios no tenía mayor problema, dado que no había una réplica en digital de lo que se publicaba en el diario, por ejemplo, pero ahora muchos medios mantienen su edición en pdf como réplica de los contenidos publicados y el contenido íntegro del periódico es volcado.

Así, puede darse el caso de que una persona obtenga una sentencia estimatoria en la que la petición incluya la condena a que el contenido de la sentencia sea publicado en un medio de comunicación, por ejemplo un periódico de gran tirada en la región o ciudad domicilio del autor.

Como esa sentencia pasa a la edición en pdf (incluso muchos años despues de haber sido dictada) la misma es encontrada por buscadores que la indexan y ello, molesta al condenado que quiere que no se asocie su nombre a sus malas prácticas pasadas, pero ciertas y demostradas judicialmente.

Esta persona puede acudir ante el medio, y en ocasiones también ante los buscadores que indexan la información disponible, y alegando la protección de su derecho a la autodeterminación informativa solicitar que se eliminen de los resultados de la web toda esa información relativa a su nombre. Y conseguirlo...

Y además, incluso, conseguir que luego se publique sobre ella misma en aspectos positivos relacionados con su trabajo y, esos sí, permanecer indefinidamente puesto que no hay interesado que los quiera retirar...

El problema es que en el procedimiento para alegar, oponerse o motivar porqué procede o no tal retirada ni tan siquiera se consulta con el principal afectado que es aquel que obtuvo la tutela concreta.

¿Está legitimado el medio de comunicación para retirar una sentencia sin consultar con el juzgado y que éste dé audiencia a las partes? ¿puede una de las partes hacer esto al margen del procedimiento judicial, directamente ante el medio?

A mi juicio esta conducta es susceptible de producir indefensión y se niega la tutela judicial obtenida, puesto que sólo el juez que dictó la sentencia debe ponderar cual es el alcance la misma, ni el condenado, ni el medio de comunicación y por supuesto, tampoco la Agencia de Protección de Datos.


No digo que porque exista una condena no deba permanecer para siempre, lo que planteo es que sólo el órgano judicial competente para conocer de su ejecución debería resolver sobre este aspecto, y en todo caso con audiencia a quien obtuvo el pronunciamiento favorable.

Volviendo a la sentencia del tuit del juzgado de Pamplona, me parece más interesante que el medio empleado la limitación temporal de vigencia del tuit (aspecto ampliamente superado por la difusión de la propia sentencia) pero que no deja de mostrar un planteamiento razonable a la hora de configurar las peticiones de condena, que deberían incluir una exposición de las razones para una difusión temporal concreta o limitada en Internet, por ejemplo.