Hay muchos ciudadanos que tras recibir una llamada en la que alguien que sabe su nombre y apellidos, edad y hasta preferencias de consumo intenta venderles algo o que cambien de compañía de gas se preguntan dónde y cómo habrán conseguido sus datos. Por eso la noticia de que el Tribunal Supremo había anulado parte de la normativa de protección de datos personales activó muchas alarmas. La preocupación de los ciudadanos aumentó al leer que, a raíz de la sentencia, las empresas podían tratar y comercializar datos personales sin el consentimiento de los particulares y algunos quisieron ver en esto el fin de la privacidad.
La alarma, sin embargo, es infundada. Los expertos dicen que no se ha abierto la veda para que cualquiera acceda a nuestros datos, ni para que las empresas puedan comerciar con ellos libremente.
Iñaki Vicuña, director de la Agencia Vasca de Protección de Datos, explica que ahora "nuestros datos están tan protegidos como antes". El responsable de que el tratamiento de datos que se hace en la Comunidad Autónoma Vasca cumpla las reglas opina que "dejar que las empresas puedan comerciar con los datos personales sin pedir permiso sería difícilmente entendible", así que "los ciudadanos pueden estar tranquilos".
Las dudas sobre el uso que las empresas podrían dar a nuestros datos en el futuro más inmediato surgieron hace unos días tras conocerse una sentencia del Tribunal Supremo, de fecha 8 de febrero de 2012, que anula un artículo del reglamento de desarrollo de la Ley Orgánica de Protección de Datos.
El fallo declara nula una restricción añadida por el legislador español al sistema de protección de datos derivado de la directiva europea. Se trata, en concreto, de la exigencia de que los datos de los particulares deban tener su origen en fuentes accesibles al público para que puedan ser utilizados sin permiso argumentando un "interés legítimo".
Preguntado sobre los efectos prácticos que esta sentencia puede tener para los ciudadanos, el director de la Agencia Vasca de Protección de Datos (AVPD) explica que se trata de un asunto "eminentemente jurídico" y muy técnico que ha tenido "mucha trascendencia mediática" debido a unos titulares que simplificaban excesivamente. "Es un tema muy jurídico -añade Vicuña- que no cambia prácticamente nada de lo que se está haciendo ahora en materia de protección de datos". Lo mismo opinan en la Asociación Profesional Española de Privacidad (APEP), que tras el pronunciamiento del Tribunal Supremo se apresuró a subrayar que "considerar que las empresas podrán comercializar datos personales sin pedir permiso supone una interpretación simplista y nada rigurosa del tenor literal de la sentencia".
Competitividad El origen del tema está en dos recursos presentados por la Federación de Comercio Electrónico y Marketing Directo y por la Asociación Nacional de Establecimientos Financieros, que entendían que la legislación española sobre protección de datos es más restrictiva que la europea y que eso les restaba competitividad y dificultaba sus actividades. El Supremo planteó una cuestión prejudicial al Tribunal de Justicia de la Unión Europea, que ya en noviembre había advertido de que la Ley española había hecho una mala transposición de la Directiva europea de Protección de Datos, y estableció que no es necesario que los datos se obtengan de una fuente accesible al público para que puedan ser tratados.
En opinión de Iñaki Vicuña, tanto el TJUE como el Supremo dicen que la transposición no está bien hecha, pero "eso y la anulación del artículo 10.2.b del reglamento no excluye los principios generales y los derechos reconocidos en la Ley Orgánica de Protección de Datos".
Fuentes jurídicas recuerdan que el Tribunal Supremo ha mantenido en vigor el artículo 10 del reglamento de la LOPD, de forma que el tratamiento de datos personal todavía requiere el consentimiento del afectado.
consentimiento La Agencia Española de Protección de Datos ya explicó tras la resolución del TJUE que "la mera invocación de un interés legítimo no puede considerarse suficiente para legitimar el tratamiento de datos personales sin el consentimiento del afectado" y que en cada caso concreto debe realizarse "una ponderación entre el interés legítimo de quien va a tratar los datos y los derechos fundamentales de los ciudadanos".
En este sentido, el director de la AVPD, explica que para entender la situación tras la sentencia del Supremo hay que tener en cuenta dos temas fundamentales: "en primer lugar, el interés legítimo es un concepto jurídico indeterminado, su interpretación debe hacerse caso a caso y en función del contexto; en segundo lugar, no es cierto que el tratamiento de datos pueda hacerse ahora sin permiso, ya que la aplicación del interés legítimo está limitada por el derecho fundamental a la protección de datos". Es decir, que el Tribunal Supremo, siguiendo lo establecido por el TJUE, permite que los datos puedan ser obtenidos de fuentes que no sean públicas, pero se tendrá que informar al sujeto del tratamiento de sus datos y siempre y cuando no se vulneren derechos y libertades fundamentales del interesado.
Iñaki Vicuña insiste en tranquilizar a los ciudadanos y dice que no se producirá una comercialización de bases de datos personal sin control, "porque las empresas tienen que respetar la LOPD". "Los principios de protección de nuestros datos personales -explica- siguen igual que hasta ahora, porque lo contrario sería como decir que en los países europeos que han hecho bien la transposición de la Directiva no existe la protección de datos". Añade que cualquier persona que crea que se han vulnerado sus derechos y difundido sus datos indebidamente puede reclamar "igual que antes" y que "prevalece lo que diga la Agencia de Protección de Datos, que es la autoridad competente".
Fuente: Deia
Fecha: 04/03/2012
jueves, 8 de marzo de 2012
La armonizacion de la normativa de proteccion de datos a las normas comunitarias
La recientes Sentencias del Tribunal Supremo de fechas 8 de Febrero de 2012 han puesto de manifiesto la inadecuada transposición en España de la Directiva 95/46/CE relativa a la protección de datos personales y a la libre circulación de estos datos (en adelante Directiva) , en la medida que, mientras la Directiva parte de definir una serie de presupuestos para el tratamiento, la Ley Orgánica 15/1999 de Protección de Datos (en adelante LOPD) opta por legitimar el tratamiento o la cesión de datos sobre la base del consentimiento inequívoco del interesando y, a partir de esa figura, sentar una serie de excepciones. Por su parte, el RD 1720/2007 por el que se desarrolla la LOPD (en adelante RD 1720/2007) en su artículo 10, estableció una serie de bases para que se pudieran desarrollar alguna de las excepciones marcadas en la Ley Orgánica.
La Directiva 95/46 estableció en su artículo 7 dentro de los principios que legitiman la protección de datos que los Estados miembros dispondrán que el tratamiento de datos personales sólo pueda efectuarse si: a) el interesado ha dado su consentimiento de forma inequívoca, o b) es necesario para la ejecución de un contrato en el que el interesado sea parte o para la aplicación de medidas precontractuales adoptadas a petición del interesado, o c) es necesario para el cumplimiento de una obligación jurídica a la que esté sujeto el responsable del tratamiento, o d) es necesario para proteger el interés vital del interesado, o e) es necesario para el cumplimiento de una misión de interés público o inherente al ejercicio del poder público conferido al responsable del tratamiento o a un tercero a quien se comuniquen los datos, o f) es necesario para la satisfacción del interés legítimo perseguido por el responsable del tratamiento o por el tercero o terceros a los que se comuniquen los datos, siempre que no prevalezca el interés o los derechos y libertades fundamentales del interesado que requieran protección con arreglo al apartado 1 del artículo 1 de la presente Directiva.
Sin embargo la LOPD en su artículo 6 opta, como ya hemos indicado, por regular en su apartado 1 que “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa” y en el apartado 2 establece las excepciones para la recogida del consentimiento: a) datos recogidos por las Administraciones públicas para sus funciones b) cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa c) cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado y d) cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”.
De la simple lectura comparativa del Artículo 7 de la Directiva y del Artículo 6 de la LOPD se deduce la naturaleza del problema objeto de análisis: mientras que el Artículo 6.2 vincula la existencia de un interés legítimo, como excepción al consentimiento a dos requisitos: a) que no se vulneren derechos y libertades fundamentales del interesado y 2) que los datos figuren en una fuente accesible al público, el Artículo 7 f) de la Directiva 95/46 solo alude al primero de los supuestos. El problema además se agrava en la medida que la propia LOPD en su artículo 3 apartado j) define esas fuentes accesibles al público como numerus clausus, de forma que se regula un sistema que limita estas fuentes a: el censo promocional, los repertorios telefónicos, las listas de personas pertenecientes a grupos de profesionales, los diarios y boletines oficiales y los medios de comunicación.
El mismo error arrastra el Artículo 11.2 b) de la LOPD, al definir los supuestos de legitimidad para la cesión de datos, limitando nuevamente, el Artículo 7 de la Directiva 95/46.
El RD 1720/2007, que pudiera haber sido una excelente oportunidad para corregir este desajuste entre la normativa nacional y comunitaria, no sólo no lo hizo sino que además consolidó el problema. El Artículo 10 en su apartado 1 recalca la necesidad del consentimiento y en los apartados 2 a) y b) establece las excepciones al mismo.
El apartado 2 a) libera de la necesidad del consentimiento cuando lo autorice una norma con rango de ley o una norma de derecho comunitario y, en particular, cuando el tratamiento o la cesión tengan por objeto la satisfacción de un interés o cuando el tratamiento o la cesión de los datos sean necesarios para que el responsable del tratamiento cumpla un deber que le imponga una de dichas normas.
En línea con el Artículo 6.2 de la LOPD El apartado 2 b) vincula la existencia de un interés legítimo y la no vulneración de los derechos fundamentales a que los datos objeto de tratamiento o de cesión figuren en fuentes accesibles al público, añadiendo que las Administraciones públicas sólo podrán comunicar los datos recogidos de fuentes accesibles al público a responsables de ficheros de titularidad privada cuando se encuentren autorizadas para ello por una norma con rango de ley.
La publicación de éste RD 1720/2007 dio lugar a que dos asociaciones ASNEF y FECEMD impugnaran el mismo y sugirieran al Tribunal Supremo la existencia de este desajuste entre la legislación nacional y comunitaria. El Tribunal Supremo planteó al Tribunal de Justicia de la Unión Europea dos cuestiones prejudiciales. El 24 de noviembre de 2011 la Sala Tercera resolvió las citadas cuestiones, C-468/10 Y C-469/10 señalando que:
1) El artículo 7, letra f), de la Directiva debe interpretarse en el sentido de que se opone a una normativa nacional que, para permitir el tratamiento de datos personales necesario para la satisfacción del interés legítimo perseguido por el responsable del tratamiento o por el tercero o terceros a los que se comuniquen los datos, exige, en el caso de que no exista consentimiento del interesado, no sólo que se respeten los derechos y libertades fundamentales de éste, sino además que dichos datos figuren en fuentes accesibles al público, excluyendo así de forma categórica y generalizada todo tratamiento de datos que no figuren en tales fuentes.
2) El artículo 7, letra f), de la Directiva 95/46 tiene efecto directo.
Ante la respuesta dada a las cuestiones prejudiciales, el Tribunal Supremo ha resuelto los dos recursos planteados por ASNEF y FECEMD en sendas Sentencias de 8 de febrero del presente año y ha concluido: A) declarando que el artículo 10.2.a) no es nulo en la medida que es un supuesto habilitador no expresamente previsto en la norma comunitaria y que en todo caso sería superable mediante la aplicación directa del artículo 7 f) de la Directiva, B) declarando la nulidad del artículo 10.2 b) en la medida que excluye de forma categórica y generalizada todo tratamiento de datos que no figure en fuentes accesibles al público, declarando tal proceder contrario a la Directiva, c) declarando que al valorar y ponderar la existencia de un interés legítimo y la vulneración de un derecho fundamental es necesaria la ponderación de los derechos e intereses en conflicto, d) que esta ponderación debe realizarse caso por caso, e) que conforme a la STJUE el hecho de que el dato figure en una fuente accesible al público puede ser un criterio de ponderación que incline la balanza hacia el interés legítimo pero no puede ser un requisito habilitante.
Por último debe tenerse en cuenta que han quedado cuestionados no solo los Artículos objeto de impugnación del RD 1720/2007, sino que, además, los Artículo 6.2 y 11.2 de la LOPD en la medida que se aparten del Artículo 7 f) de la Directiva, no pueden ser aplicados y prevalece el Artículo 7 f) de la misma al que se le ha dado efecto directo. También el propio Tribunal Supremo ha cuestionado el sistema cerrado de fuentes accesibles al público en la medida que no puede haber diferencias entre los Estados miembros de la Unión Europea en su configuración.
Frente a la cuestión planteada sobre si estas Sentencias de nuestro Tribunal Supremo menoscaban los derechos de los consumidores debe concluirse negativamente en la medida que: a) el resto de Estados han aplicado correctamente la Directiva y los derechos de los consumidores han sido adecuadamente protegidos, y b) las Sentencias solo se refieren a un supuesto más de legitimación del tratamiento que deberá ser ponderado y no al resto de principios de protección de datos como son: calidad, información, seguridad de datos y deber de secreto.
Fuente: Diario Jurídico
Fecha: 05/03/2012
La Directiva 95/46 estableció en su artículo 7 dentro de los principios que legitiman la protección de datos que los Estados miembros dispondrán que el tratamiento de datos personales sólo pueda efectuarse si: a) el interesado ha dado su consentimiento de forma inequívoca, o b) es necesario para la ejecución de un contrato en el que el interesado sea parte o para la aplicación de medidas precontractuales adoptadas a petición del interesado, o c) es necesario para el cumplimiento de una obligación jurídica a la que esté sujeto el responsable del tratamiento, o d) es necesario para proteger el interés vital del interesado, o e) es necesario para el cumplimiento de una misión de interés público o inherente al ejercicio del poder público conferido al responsable del tratamiento o a un tercero a quien se comuniquen los datos, o f) es necesario para la satisfacción del interés legítimo perseguido por el responsable del tratamiento o por el tercero o terceros a los que se comuniquen los datos, siempre que no prevalezca el interés o los derechos y libertades fundamentales del interesado que requieran protección con arreglo al apartado 1 del artículo 1 de la presente Directiva.
Sin embargo la LOPD en su artículo 6 opta, como ya hemos indicado, por regular en su apartado 1 que “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa” y en el apartado 2 establece las excepciones para la recogida del consentimiento: a) datos recogidos por las Administraciones públicas para sus funciones b) cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa c) cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado y d) cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”.
De la simple lectura comparativa del Artículo 7 de la Directiva y del Artículo 6 de la LOPD se deduce la naturaleza del problema objeto de análisis: mientras que el Artículo 6.2 vincula la existencia de un interés legítimo, como excepción al consentimiento a dos requisitos: a) que no se vulneren derechos y libertades fundamentales del interesado y 2) que los datos figuren en una fuente accesible al público, el Artículo 7 f) de la Directiva 95/46 solo alude al primero de los supuestos. El problema además se agrava en la medida que la propia LOPD en su artículo 3 apartado j) define esas fuentes accesibles al público como numerus clausus, de forma que se regula un sistema que limita estas fuentes a: el censo promocional, los repertorios telefónicos, las listas de personas pertenecientes a grupos de profesionales, los diarios y boletines oficiales y los medios de comunicación.
El mismo error arrastra el Artículo 11.2 b) de la LOPD, al definir los supuestos de legitimidad para la cesión de datos, limitando nuevamente, el Artículo 7 de la Directiva 95/46.
El RD 1720/2007, que pudiera haber sido una excelente oportunidad para corregir este desajuste entre la normativa nacional y comunitaria, no sólo no lo hizo sino que además consolidó el problema. El Artículo 10 en su apartado 1 recalca la necesidad del consentimiento y en los apartados 2 a) y b) establece las excepciones al mismo.
El apartado 2 a) libera de la necesidad del consentimiento cuando lo autorice una norma con rango de ley o una norma de derecho comunitario y, en particular, cuando el tratamiento o la cesión tengan por objeto la satisfacción de un interés o cuando el tratamiento o la cesión de los datos sean necesarios para que el responsable del tratamiento cumpla un deber que le imponga una de dichas normas.
En línea con el Artículo 6.2 de la LOPD El apartado 2 b) vincula la existencia de un interés legítimo y la no vulneración de los derechos fundamentales a que los datos objeto de tratamiento o de cesión figuren en fuentes accesibles al público, añadiendo que las Administraciones públicas sólo podrán comunicar los datos recogidos de fuentes accesibles al público a responsables de ficheros de titularidad privada cuando se encuentren autorizadas para ello por una norma con rango de ley.
La publicación de éste RD 1720/2007 dio lugar a que dos asociaciones ASNEF y FECEMD impugnaran el mismo y sugirieran al Tribunal Supremo la existencia de este desajuste entre la legislación nacional y comunitaria. El Tribunal Supremo planteó al Tribunal de Justicia de la Unión Europea dos cuestiones prejudiciales. El 24 de noviembre de 2011 la Sala Tercera resolvió las citadas cuestiones, C-468/10 Y C-469/10 señalando que:
1) El artículo 7, letra f), de la Directiva debe interpretarse en el sentido de que se opone a una normativa nacional que, para permitir el tratamiento de datos personales necesario para la satisfacción del interés legítimo perseguido por el responsable del tratamiento o por el tercero o terceros a los que se comuniquen los datos, exige, en el caso de que no exista consentimiento del interesado, no sólo que se respeten los derechos y libertades fundamentales de éste, sino además que dichos datos figuren en fuentes accesibles al público, excluyendo así de forma categórica y generalizada todo tratamiento de datos que no figuren en tales fuentes.
2) El artículo 7, letra f), de la Directiva 95/46 tiene efecto directo.
Ante la respuesta dada a las cuestiones prejudiciales, el Tribunal Supremo ha resuelto los dos recursos planteados por ASNEF y FECEMD en sendas Sentencias de 8 de febrero del presente año y ha concluido: A) declarando que el artículo 10.2.a) no es nulo en la medida que es un supuesto habilitador no expresamente previsto en la norma comunitaria y que en todo caso sería superable mediante la aplicación directa del artículo 7 f) de la Directiva, B) declarando la nulidad del artículo 10.2 b) en la medida que excluye de forma categórica y generalizada todo tratamiento de datos que no figure en fuentes accesibles al público, declarando tal proceder contrario a la Directiva, c) declarando que al valorar y ponderar la existencia de un interés legítimo y la vulneración de un derecho fundamental es necesaria la ponderación de los derechos e intereses en conflicto, d) que esta ponderación debe realizarse caso por caso, e) que conforme a la STJUE el hecho de que el dato figure en una fuente accesible al público puede ser un criterio de ponderación que incline la balanza hacia el interés legítimo pero no puede ser un requisito habilitante.
Por último debe tenerse en cuenta que han quedado cuestionados no solo los Artículos objeto de impugnación del RD 1720/2007, sino que, además, los Artículo 6.2 y 11.2 de la LOPD en la medida que se aparten del Artículo 7 f) de la Directiva, no pueden ser aplicados y prevalece el Artículo 7 f) de la misma al que se le ha dado efecto directo. También el propio Tribunal Supremo ha cuestionado el sistema cerrado de fuentes accesibles al público en la medida que no puede haber diferencias entre los Estados miembros de la Unión Europea en su configuración.
Frente a la cuestión planteada sobre si estas Sentencias de nuestro Tribunal Supremo menoscaban los derechos de los consumidores debe concluirse negativamente en la medida que: a) el resto de Estados han aplicado correctamente la Directiva y los derechos de los consumidores han sido adecuadamente protegidos, y b) las Sentencias solo se refieren a un supuesto más de legitimación del tratamiento que deberá ser ponderado y no al resto de principios de protección de datos como son: calidad, información, seguridad de datos y deber de secreto.
Fuente: Diario Jurídico
Fecha: 05/03/2012
lunes, 27 de febrero de 2012
Protección de Datos abre expediente a Facebook por retener información
Problemas para Facebook en vísperas de su próxima salida a bolsa. La Agencia Española de Protección de Datos (AEPD) ha abierto una investigación contra la red social por retener información de los usuarios sin autorización de los afectados. Se trata de un nuevo capítulo del denominado derecho al olvido, asunto especialmente grave porque es la segunda vez que sucede algo parecido en los últimos dos años.
En esta ocasión, la controversia gira en torno al destino de los datos, fotos y comentarios que los usuarios de Facebook han eliminado de sus respectivas páginas, pero que siguen grabados en los discos duros de la compañía de Zuckerberg. Por ese motivo, Facebook está expuesto a multas de hasta 60.000 euros por apropiación de esos datos sensibles, en contra de la voluntad de sus titulares.
Las actuaciones se han realizado a raíz de una denuncia presentada por Apedanica, una asociación contra delitos informáticos, y después de que la Fiscalía General del Estado haya instado tras la misma a que la AEPD se pronuncie al respecto.
Requerimiento
Una vez abierto el proceso en España, la AEPD tendrá ahora que realizar un requerimiento a la red social solicitando información sobre las actuaciones con los contenidos eliminados por sus autores, antes de decidir que decisión tomar.
El mismo hecho denunciado, que ahora ocupa a la AEPD, ya se reprodujo meses atrás en Irlanda, donde la compañía también está siendo auditada por la comisión de protección de datos de aquel país, tras una denuncia de una veintena de estudiantes de Derecho por presunta apropiación de 1.200 páginas de información personal borrada.
A partir de ahora, la Agencia de Protección de Datos dispone de un plazo máximo de doce meses para determinar si concurren circunstancias que justifiquen la iniciación de un procedimiento sancionador. En estas actuaciones previas, la agencia realizará todas las actividades de investigación que resulten necesarias para la adecuada resolución del procedimiento.
"En caso de que se determine que pueden existir indicios de sanción se dictará el acuerdo de inicio del procedimiento sancionador y se dará traslado a las partes", explican fuentes de la agencia de protección de datos.
Asimismo, una vez que se ha dictado el acuerdo de inicio del procedimiento sancionador, se abre una segunda fase de trámites de práctica de pruebas y alegaciones, cuya duración no podrá exceder los seis meses. Llegado a ese punto, el director de la agencia debe resolver el contencioso.
La AEPD ya tiene experiencia en analizar actuaciones relacionadas con el denominado derecho al olvido en Internet. Entre ellas destaca un expediente protagonizado por Google España, originado por personas interesadas en eliminar datos suyos publicados en cualquier sitio de Internet.
En octubre de 2010, a raíz de un artículo publicado por The Wall Street Journal, la organización de consumidores Facua se dirigió a la agencia para que investigara si los usuarios españoles se habrían podido ver afectados por la transmisión de datos de usuarios a terceros, mediante distintos juegos y aplicaciones ofrecidos por la red social.
El diario económico norteamericano había publicado que varias aplicaciones de terceros en la compañía de Zuckerberg han transmitido a empresas ajenas a la red datos sobre la identidad de los miembros de la citada red social.
Explicaciones en EEUU
Facebook, que tuvo que dar explicaciones al Congreso de EEUU, eludió aquí la apertura de un expediente sancionador. La agencia ha procedido ahora, sin embargo, a la apertura de una investigación, a raíz de la denuncia de un particular, para determinar si se ha vulnerado la legislación española al retener sin permiso los datos personales.
La Comisión Europea se ha pronunciado de forma contundente en favor del derecho al olvido, al considerarlo como elemento básico para generar confianza en la Red.
Según apuntó la pasada primavera la comisaria europea de Justicia, Viviane Reding, "los datos pertenecen a las personas y si un usuario quiere retirar del servicio datos que ha puesto, debería poder hacerlo".
Fuente: el Economista
Fecha: 27/02/2012
En esta ocasión, la controversia gira en torno al destino de los datos, fotos y comentarios que los usuarios de Facebook han eliminado de sus respectivas páginas, pero que siguen grabados en los discos duros de la compañía de Zuckerberg. Por ese motivo, Facebook está expuesto a multas de hasta 60.000 euros por apropiación de esos datos sensibles, en contra de la voluntad de sus titulares.
Las actuaciones se han realizado a raíz de una denuncia presentada por Apedanica, una asociación contra delitos informáticos, y después de que la Fiscalía General del Estado haya instado tras la misma a que la AEPD se pronuncie al respecto.
Requerimiento
Una vez abierto el proceso en España, la AEPD tendrá ahora que realizar un requerimiento a la red social solicitando información sobre las actuaciones con los contenidos eliminados por sus autores, antes de decidir que decisión tomar.
El mismo hecho denunciado, que ahora ocupa a la AEPD, ya se reprodujo meses atrás en Irlanda, donde la compañía también está siendo auditada por la comisión de protección de datos de aquel país, tras una denuncia de una veintena de estudiantes de Derecho por presunta apropiación de 1.200 páginas de información personal borrada.
A partir de ahora, la Agencia de Protección de Datos dispone de un plazo máximo de doce meses para determinar si concurren circunstancias que justifiquen la iniciación de un procedimiento sancionador. En estas actuaciones previas, la agencia realizará todas las actividades de investigación que resulten necesarias para la adecuada resolución del procedimiento.
"En caso de que se determine que pueden existir indicios de sanción se dictará el acuerdo de inicio del procedimiento sancionador y se dará traslado a las partes", explican fuentes de la agencia de protección de datos.
Asimismo, una vez que se ha dictado el acuerdo de inicio del procedimiento sancionador, se abre una segunda fase de trámites de práctica de pruebas y alegaciones, cuya duración no podrá exceder los seis meses. Llegado a ese punto, el director de la agencia debe resolver el contencioso.
La AEPD ya tiene experiencia en analizar actuaciones relacionadas con el denominado derecho al olvido en Internet. Entre ellas destaca un expediente protagonizado por Google España, originado por personas interesadas en eliminar datos suyos publicados en cualquier sitio de Internet.
En octubre de 2010, a raíz de un artículo publicado por The Wall Street Journal, la organización de consumidores Facua se dirigió a la agencia para que investigara si los usuarios españoles se habrían podido ver afectados por la transmisión de datos de usuarios a terceros, mediante distintos juegos y aplicaciones ofrecidos por la red social.
El diario económico norteamericano había publicado que varias aplicaciones de terceros en la compañía de Zuckerberg han transmitido a empresas ajenas a la red datos sobre la identidad de los miembros de la citada red social.
Explicaciones en EEUU
Facebook, que tuvo que dar explicaciones al Congreso de EEUU, eludió aquí la apertura de un expediente sancionador. La agencia ha procedido ahora, sin embargo, a la apertura de una investigación, a raíz de la denuncia de un particular, para determinar si se ha vulnerado la legislación española al retener sin permiso los datos personales.
La Comisión Europea se ha pronunciado de forma contundente en favor del derecho al olvido, al considerarlo como elemento básico para generar confianza en la Red.
Según apuntó la pasada primavera la comisaria europea de Justicia, Viviane Reding, "los datos pertenecen a las personas y si un usuario quiere retirar del servicio datos que ha puesto, debería poder hacerlo".
Fuente: el Economista
Fecha: 27/02/2012
miércoles, 22 de febrero de 2012
La importancia de la adecuación a la LOPD en las PYMES
Fue allá en 1992 cuando se aprobó la LORTAD (Ley Orgánica de Regulación del Tratamiento Automatizado de los Datos de Carácter Personal) como el germen de lo que pocos años después, en 1999 llegó a ser la LOPD (Ley Orgánica de Protección de Datos de Carácter Personal), es decir, que ha pasado más de una década, y merece la pena una reflexión sobre el cumplimiento de dicha legislación en las empresas y PYMES de nuestro país.
Algunas consultoras en materia de privacidad cifran en aproximadamente entre un 60% y un 70% la cantidad de empresas en nuestro país que incumple las obligaciones que la normativa impone. Llama más la atención que cada vez son más frecuentes las sanciones (con cuantías entre los 600 y 600.000 euros) tras denuncias o requerimientos de la Agencia Española de Protección de Datos, y a pesar de esto, tanto entidades privadas como públicas tienen muchos deberes sin hacer.
La pregunta es: ¿Qué gana una PYME por cumplir la normativa en cuanto a privacidad y protección de datos? Lo más importante es la imagen que estamos dando a nuestros clientes y a nuestros contactos, pues les estamos aportando un valor añadido (a veces incluso llega a ser un valor determinante para seleccionarnos con respecto a nuestra competencia) que transmite más tranquilidad sobre qué va a pasar con sus datos personales y empresariales, con la información que nos aporte. También van a poder ver recogidas sus quejas, así como las solicitudes de acceso, rectificación, cancelación u oposición de sus datos (los derechos ARCO). De igual modo, vamos a reducir los riesgos de que se roben datos de nuestra empresa, o que una vez sucedido, no podamos cuantificarlos o tomar medidas para restituirlos. Por último, vamos a tener una mayor seguridad nosotros, como empresa, y una cobertura legal para nuestras relaciones con empleados, con profesionales autónomos o empresas a las que contratemos servicios.
Teniendo en cuenta que si la Agencia Española de Protección de Datos, una vez investigue o sancione tu empresa, te va a obligar a adecuarte a la LOPD, si aún no lo has hecho, ¿por qué no anticiparnos?
Fuente: avalmadrid
Fecha: 01/02/2012
Algunas consultoras en materia de privacidad cifran en aproximadamente entre un 60% y un 70% la cantidad de empresas en nuestro país que incumple las obligaciones que la normativa impone. Llama más la atención que cada vez son más frecuentes las sanciones (con cuantías entre los 600 y 600.000 euros) tras denuncias o requerimientos de la Agencia Española de Protección de Datos, y a pesar de esto, tanto entidades privadas como públicas tienen muchos deberes sin hacer.
La pregunta es: ¿Qué gana una PYME por cumplir la normativa en cuanto a privacidad y protección de datos? Lo más importante es la imagen que estamos dando a nuestros clientes y a nuestros contactos, pues les estamos aportando un valor añadido (a veces incluso llega a ser un valor determinante para seleccionarnos con respecto a nuestra competencia) que transmite más tranquilidad sobre qué va a pasar con sus datos personales y empresariales, con la información que nos aporte. También van a poder ver recogidas sus quejas, así como las solicitudes de acceso, rectificación, cancelación u oposición de sus datos (los derechos ARCO). De igual modo, vamos a reducir los riesgos de que se roben datos de nuestra empresa, o que una vez sucedido, no podamos cuantificarlos o tomar medidas para restituirlos. Por último, vamos a tener una mayor seguridad nosotros, como empresa, y una cobertura legal para nuestras relaciones con empleados, con profesionales autónomos o empresas a las que contratemos servicios.
Teniendo en cuenta que si la Agencia Española de Protección de Datos, una vez investigue o sancione tu empresa, te va a obligar a adecuarte a la LOPD, si aún no lo has hecho, ¿por qué no anticiparnos?
Fuente: avalmadrid
Fecha: 01/02/2012
El Opus Dei, obligado a cancelar los datos personales de la solicitante que decidió darse de baja
El TS desestima el recurso interpuesto por la Prelatura del Opus Dei, Región de España, contra la resolución de la AEPD por la que se le instaba a la cancelación de los datos de la solicitante que constaban en sus archivos, en concreto su nombre y apellidos y las fechas de incorporación y baja en la Entidad religiosa.
Tribunal Supremo
Sala de lo Contencioso-Administrativo
Sentencia de 10 de noviembre de 2011
RECURSO DE CASACIÓN Núm: 5960/2008
Ponente Excmo. Sr. JOSE MARIA DEL RIEGO VALLEDOR
En la Villa de Madrid, a diez de Noviembre de dos mil once.
Visto por esta Sección Sexta de la Sala Tercera del Tribunal Supremo el recurso de casación n.º 5960/08, interpuesto por la Procuradora de los Tribunales Doña Iciar de Peña Argacha, en nombre y representación de la Prelatura del Opus Dei, Región de EspaÑa, contra la sentencia de 11 de septiembre de 2008, dictada por la Sección 1.ª de la Sala de lo Contencioso Administrativo de la Audiencia Nacional, en el recurso n.º 78/2007, sobre protección de datos, en el que interviene como parte recurrida la Administración del Estado, representada por el Abogado del Estado
ANTECEDENTES DE HECHO
PRIMERO.- La Sección Primera de la Sala de lo Contencioso Administrativo de la Audiencia Nacional dictó sentencia el 11 de septiembre de 2008, cuyo fallo contiene los siguientes pronunciamientos:
DESESTIMAR el recurso contencioso administrativo interpuesto por la representación procesal de la Prelatura del Opus Dei, Región de España, frente a la resolución de la Agencia Española de Protección de Datos de 31 de enero de 2007 que insta a dicha entidad para que en el plazo de diez días " remita al reclamante certificación en la que se haga constar que se ha procedido a la cancelación de sus datos que constaban en sus ficheros, resolución que declaramos conforme a Derecho, sin imposición de costas a ninguna de las partes".
SEGUNDO.- Notificada la sentencia, se presentó escrito por la representación procesal de la Prelatura del Opus Dei, Región de España, manifestando su intención de interponer recurso de casación, y por providencia de 6 de noviembre de 2008, se tuvo por preparado, con emplazamiento de las partes ante esta Sala del Tribunal Supremo.
TERCERO.- Con fecha 30 de diciembre de 2008 se presentó escrito de interposición del recurso de casación, haciendo valer tres motivos, todos ellos al amparo del artículo 88.1.d) de la Ley de la Jurisdicción, por infracción de las normas del ordenamiento jurídico y de la jurisprudencia que cita, solicitando se dicte sentencia que case la sentencia impugnada y estimando la pretensión interesada en el escrito de demanda, declare no conforme a derecho y anule la Resolución dictada el 31 de enero de 2007 por la Agencia Española de Protección de Datos en el procedimiento TD/00418/2006, imponiendo a la parte recurrida las costas de la instancia.
CUARTO.- Admitido a trámite el recurso, se dio traslado a la parte recurrida, que manifestó su oposición al recurso en escrito de 7 de septiembre de 2009, en el que solicitó la desestimación del recurso de casación y la confirmación de la sentencia impugnada.
QUINTO.- Conclusas las actuaciones, se señaló para votación y fallo el día 2 de noviembre de 2011, fecha en que tal diligencia ha tenido lugar.
Siendo Ponente el Excmo. Sr. D. Jose Maria del Riego Valledor,.
FUNDAMENTOS DE DERECHO
PRIMERO.- El recurso de casación se dirige contra la sentencia de la Sección 1.ª de la Sala de lo Contencioso Administrativo de la Audiencia Nacional, de 11 de septiembre de 2008, que desestimó el recurso que había interpuesto la representación procesal de la Prelatura del Opus Dei, Región de España, contra la Resolución de la Agencia Española de Protección de Datos, de 31 de enero de 2007, que había estimado una reclamación formulada por Dña. Lucía e instaba a la Prelatura del Opus Dei para que, en el plazo de diez días, remita a la reclamante una certificación en la que haga constar que ha procedido a la cancelación de sus datos que constaban en sus archivos.
La Sala de la Audiencia Nacional reprodujo los hechos que la Resolución de la Agencia Española de Protección de Datos (AEPD) tuvo por probados, que son los siguientes:
"PRIMERO. En fecha 2 de agosto de 2006, Doña Lucía solicitó la cancelación de los datos existentes en la entidad "Opus Dei".
SEGUNDO. En fecha 14 de agosto de 2006 la entidad "Opus Dei" contestó a Doña Lucía que "los únicos datos que se refieren a su persona son hechos históricos, realizados voluntariamente, que no pueden anularse. De todas formas, le comunico que en anotación marginal se hará constar su deseo de que no tengan trascendencia externa".
TERCERO. Con fecha 22 de agosto de 2006, Doña Lucía presentó reclamación de Tutela de Derechos por denegación del derecho de cancelación de sus datos existentes en la entidad "Opus Dei".
SEGUNDO.- El recurso de casación se articula en tres motivos, todos ellos al amparo del artículo 88.1.d) de la Ley de la Jurisdicción. El primer motivo denuncia infracción del artículo 1.6 de Acuerdo sobre Asuntos Jurídicos entre la Santa Sede y el Estado Español, de 3 de enero de 1979, en relación con el artículo 16 CE; el segundo motivo alega infracción del artículo 2.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos; y el tercer motivo refiere infracción de los artículos 4.5 y 16.2 de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal.
TERCERO.- El primer motivo del recurso de casación denuncia, como hemos indicado, la infracción del artículo 1.6 del Acuerdo sobre Asuntos Jurídicos entre la Santa Sede y el Estado español, de 3 de enero de 1979, en relación con el artículo 16 CE, al sostener la parte recurrente que dicho Acuerdo protege la inviolabilidad de los archivos, registros y demás documentos de las instituciones y entidades eclesiásticas, lo que constituye una concreción del principio constitucional de libertad religiosa en lo que afecta a las colectividades, añadiendo que dicha inviolabilidad no se alega frente a ningún ciudadano, sino frente a un acto de la Administración, como es la AEPD.
La parte recurrente también planteó en la instancia esta misma cuestión de la inviolabilidad de sus archivos, reconocida por el Acuerdo entre el Estado Español y la Santa Sede, y la Sala de instancia razonó lo siguiente:
En relación con la aplicación del Acuerdo entre el Estado Español y la Santa Sede, sobre Asuntos Jurídicos, de 3 de enero de 1979, debemos señalar que efectivamente estamos ante un Tratado Internacional, cuyo texto ha sido aprobado por las Cortes Generales y publicado oficialmente, lo que significa, en virtud de lo dispuesto en el artículo 96 de la CE, que forma parte de nuestro ordenamiento jurídico, en un lugar subordinado a la Constitución, atendida su posición en el sistema interno de Fuentes del Derecho y atendidos los efectos previstos en los artículos 94 y 95 de la CE.
Sentada esta posición del Tratado, en el sistema de jerarquía normativa, la regulación contenida en el mismo ha de ser interpretada conforme a la Constitución, concretamente conforme al derecho fundamental a la protección de los datos.
A juicio de esta Sala, sin embargo, el citado Acuerdo no contradice la regulación constitucional y legalmente establecida del derecho fundamental a la protección de los datos, cuando en el artículo I apartado 6 dispone que "el Estado respeta y protege la inviolabilidad de los archivos, registros y demás documentos pertenecientes a la Conferencia Episcopal Española, a las Curias episcopales, a las Curias de los superiores mayores de las Ordenes y Congregaciones religiosas, a las parroquias y a otras instituciones y entidades eclesiásticas".
Los archivos y registros relacionados en dicho artículo del Acuerdo Internacional se encuentran protegidos de cualquier intromisión procedente del Estado y resultan inviolables frente al mismo. Ahora bien, tal inviolabilidad no es predicable frente al ciudadano cuando ejercita el derecho fundamental previsto en el artículo 18.4 de la CE, en cuyo contenido esencial se integra el poder de disposición sobre los datos relativos a su persona. La solución inversa a la expuesta, que postula el recurrente, equivaldría a reconocer una superioridad de la norma contenida en un Tratado, frente a la norma constitucional.
En este sentido esta Sala no alberga dudas sobre la constitucionalidad de la norma internacional trascrita si se interpreta en el sentido expresado, pues el desarrollo legal del derecho fundamental no hubiera podido crear excepciones contrarias al contenido esencial del derecho fundamental, ex artículo 53.1 de la CE. Repárese, además, que la regulación contenida en la Ley Orgánica viene impuesta, como ya se ha manifestado, por la Directiva 95/46 / CE de 24 de octubre de 1995, relativa a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y la Libre Circulación de estos Datos.
Debe tenerse en cuenta, igualmente, que la parte recurrente no alega estar amparado en ninguna excepción prevista en el desarrollo de este derecho fundamental a la protección de los datos, esto es, en los artículos 23 y 24 de la Ley Orgánica 15/1999, en relación con el artículo 13 de la indicada Directiva 95/46 / CE, de 24 de octubre, y la inviolabilidad invocada, en los términos previstos en el citado Acuerdo del Estado Español con la Santa Sede, como ya hemos señalado, no resulta oponible frente al titular de los datos ni, por tanto, resulta relevante o decisivo para la resolución del presente recurso.
Doctrina establecida por esta Sala respecto de los supuestos de apóstatas que pretenden la cancelación de sus datos de su Partida de Bautismo y que deviene también de aplicación al presente supuesto tomando en consideración que la Prelatura Personal ( Canon 294 y 296 del Código de Derecho Canónico), prevista por el Concilio Vaticano II, constituye un status peculiar respecto del común para el colectivo laico, que profesa la fe católica, y que se caracteriza por la flexibilidad en su finalidad de contribuir a la efectiva difusión del mensaje y vivir cristianos, por lo que su destino es el cumplimiento de fines pastorales y misionales.
La pertenencia a dicho tipo de entidades, por tanto, en cuanto presupone una determinada significación en lo que se refiere al modo de concebir las creencias religiosas, implica un dato que entra en la esfera de creencias religiosas íntimas de sus miembros, de tal modo que la baja voluntaria, aun cuando no sea equivalente a la apostasía ( no tiene por qué obedecer a un apartamiento de la fé) comporta también un dato relevante en relación esencial con las creencias religiosas.
De acuerdo con el artículo 1.6 del Acuerdo entre el Estado Español y la Santa Sede sobre Asuntos Jurídicos (BOE 300/1979, de 15 de diciembre ), "El Estado respeta y protege la inviolabilidad de los archivos, registros y demás documentos pertenecientes a la Conferencia Episcopal Española, a las Curias episcopales, a las Curias de los superiores mayores de las Ordenes y Congregaciones Religiosas, a las Parroquias y a otras Instituciones y Entidades Eclesiásticas".
Además de las consideraciones de la Sala de instancia, que acabamos de reproducir, debemos tener en cuenta que el alcance de esta cláusula concordataria se ha de interpretar de acuerdo con la práctica internacional en materia de inmunidades y privilegios de los agentes extranjeros así como de sus bienes, documentos y archivos, siendo doctrina del Tribunal Europeo de Derechos Humanos, en relación con las inmunidades y privilegios similares reconocidas a las Organizaciones internacionales, que las mismas no pueden anular la dimensión sustantiva de los derechos fundamentales de la persona (asunto Waite y Kennedy, STEDH 7/1999, de 18 de febrero, apartados 67-68 y asunto Príncipe Hans-Adam II de Liechtenstein, STEDH 464/2001, de 12 de julio, apartados 44-48).
Igualmente ponderamos en la interpretación del artículo 1.6 de los Acuerdos entre el Estado Español y la Santa Sede, invocado por la parte recurrente, que las normas sobre inmunidades y privilegios propias de los acuerdos diplomáticos entre Estados han de interpretarse más restrictivamente, sin que puedan tener un alcance absoluto, cuando el beneficiario no sea un Estado o una Organización internacional, o sus funcionarios o agentes, sino un nacional o residente permanente en el Estado receptor, como es el caso de la Región de España de la Prelatura del Opus Dei recurrente.
Procede por tanto una interpretación del artículo 1.6 del Acuerdo entre el Estado Español y la Santa Sede sobre Asuntos Jurídicos acorde con el contenido de los derechos fundamentales que el artículo 18.4 CE reconoce a los ciudadanos, en relación con la protección de su intimidad personal y familiar, en el que se integra el derecho fundamental a protección de datos personales, que garantiza a la persona un poder de control y disposición sobre los mismos.
El recurso de casación sostiene que en este caso la parte recurrente está alegando la inviolabilidad de sus registros, protegida por los Acuerdos de 1979, no frente a un particular, sino frente a la Agencia Española de Protección de Datos (AEPD), que es un órgano de la Administración del Estado.
No puede compartirse el anterior argumento, pues es evidente que la AEPD actúa en el presente caso en ejercicio de sus funciones de tutela en materia de protección de datos que le encomienda la LOPD. En efecto, la actuación de la AEPD viene precedida por la solicitud de Doña Lucía de cancelación de los datos relativos a su persona, que fue denegada por la Entidad recurrente, y de la posterior reclamación de tutela de la interesada ante la AEPD por dicha denegación del derecho de cancelación. La actuación de la AEPD se produce, por tanto, en el marco de sus funciones de resolución de reclamaciones interpuestas por las personas afectadas, en relación con los derechos de información, acceso, rectificación, oposición y cancelación de datos, atribuidas por el artículo 37.1, letras a) y d) LOPD.
El motivo por tanto ha de ser desestimado.
CUARTO.- El segundo motivo del recurso expone una infracción del artículo 2.1 de la LOPD, porque en el caso de autos los datos cuya cancelación se pretende no están incorporados a ningún soporte informático, ni tampoco son objeto de tratamiento alguno en los términos del artículo 3.d) LOPD, guardando este caso notable paralelismo con otros resueltos por esta Sala en sentido estimatorio contra Resoluciones de la AEPD que ordenaban cancelar los datos contenidos en los libros de bautismo.
Los datos a que se refiere este recurso, como establece el Fundamento de Derecho Segundo de la sentencia impugnada, con base en un escrito de la propia Entidad recurrente que obra en el expediente (folio 4), son las fechas de la incorporación y baja en la Prelatura (petición de admisión: 19/12/78, Incorporación definitiva: 19/12/85 y Baja: 05/02/00). Tales datos, según reseña igualmente la sentencia impugnada, no tienen otro soporte que una anotación mecanográfica en un papel.
Pero como acertadamente indican tanto la Resolución de la AEPD como la sentencia impugnada, los ficheros como el que es objeto del presente recurso, no están excluidos de la protección de la LOPD.
Así resulta con claridad del artículo 3 de LOPD, que en sus letras b) y c) define los ficheros a los que es de aplicación dicho texto legal, como todo conjunto organizado de datos de carácter personal, "...cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso...", y entiende por tratamiento de datos, las operaciones y procedimientos técnicos "...de carácter automatizado o no...", que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos.
Muy similares son los conceptos de fichero y de tratamiento de datos personales del artículo 2 de la Directiva 95/46 / CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos.
De acuerdo con el citado precepto, son ficheros de datos personales "...todo conjunto estructurado de datos personales, accesibles con arreglo a criterios determinados, ya sea centralizado, descentralizado o repartido de forma funcional o geográfica...", y es tratamiento de datos personales "...cualquier operación o conjunto de operaciones, efectuadas o no mediante procedimientos automatizados, y aplicadas a datos personales, como la recogida, registro, organización, conservación, elaboración o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma que facilite el acceso a los mismos, cotejo o interconexión, así como su bloqueo, supresión o destrucción..."
En este caso los datos a que se refiere el recurso, como resulta de la carta dirigida por la Entidad religiosa a la recurrente, antes citada, en la que refiere a los datos "...que se conservan de usted...", son obviamente y en primer lugar, el nombre y apellidos de la persona interesada y además, como se indica en dicha carta, las fechas de su petición de admisión, de su incorporación definitiva y de su baja en la Entidad religiosa recurrente.
Es claro que nos encontramos ante un fichero, en el amplio sentido de la LOPD y Directiva 95/46 /CE, pues la información que se recoge está constituida por datos personales, especialmente protegidos además, de acuerdo con el artículo 7 LOPD, por afectar a las creencias religiosas, y está también presente la nota o elemento de organización, como se demuestra, como indica el Abogado del Estado en su escrito de oposición al recurso, por el hecho de que habiendo solicitado la interesada información sobre sus datos en poder de la Entidad religiosa, estos datos fueron localizados y la información fue facilitada, sin que conste, ni la Entidad religiosa haya alegado siquiera, que fuera precisa adicional información u otros datos distintos al nombre y apellidos para acceder a la información de que se trataba.
Esta característica de tratarse precisamente de un conjunto organizado de datos es lo que permite afirmar la presencia de un fichero de datos personales, en los términos del artículo 3.b) LOPD, a diferencia de lo ocurrido en los casos citados por la Entidad recurrente, que se refieren a los Libros de Bautismo, los cuales no fueron considerados por esta Sala del Tribunal Supremo como ficheros de datos, porque como razonaba la sentencia de 19 de septiembre de 2008 (recurso 6031/2007 ), los datos personales no están recogidos en dichos Libros de Bautismo como un conjunto organizado, tal y como exige el artículo 3.b) de la LOPD, sino que se trata de una pura acumulación de datos, "...que comporta una difícil búsqueda, acceso e identificación en cuanto no están ordenados ni alfabéticamente, ni por fecha de nacimiento, sino sólo por las fechas de bautismo, siendo absolutamente necesario el conocimiento previo de la Parroquia donde aquel tuvo lugar..."
Al encontrarnos por lo razonado frente a un fichero sujeto a las disposiciones de la LOPD, procede desestimar el segundo motivo del recurso de casación.
QUINTO.- En su tercer motivo de recurso la parte actora considera infringidos los artículos 4.5 y 16.2 de la LOPD, pues en contra de la tesis sostenida en la Resolución de la AEPD, no es la recurrente quien tiene que acreditar que los datos sean necesarios para la finalidad que motivó su recogida, sino al revés, debería haberse acreditado que dichos datos no eran necesarios para hacer subsumible el supuesto de hecho en lo dispuesto por el artículo 4.5 LOPD.
De conformidad con el artículo 4.5 LOPD, "...los datos de carácter personal serán cancelados cuando hayan dejado de ser necesarios o pertinentes para la finalidad para la cual hubieran sido recabados o registrados...".
La parte recurrente crítica la postura de la interesada en esta cuestión, que parece entender que la única voluntad atendible fuera la suya, para a continuación defender, desde la perspectiva contraria, que el interés jurídicamente protegible es el propio de la Entidad responsable del fichero en tener constancia del inicio y final de la relación con las personas que integran la Institución.
Sin embargo, el artículo 4.5 LOPD no se remite a la voluntad de la persona interesada, ni tampoco a la del responsable del fichero para determinar cuando los datos han dejado de ser necesarios o pertinentes, sino que la necesidad del mantenimiento de los datos ha de relacionarse con la finalidad para la cual los datos fueron recogidos. Y en este punto, tanto la Resolución de la AEPD como la sentencia impugnada mantienen que los datos dejaron de ser necesarios para la finalidad que justificó su tratamiento, al haber decidido la persona afectada dejar de pertenecer al Opus Dei, sin que por la parte recurrente se haya desvirtuado tal conclusión, ni acreditado una finalidad de mantenimiento de los datos merecedora de mayor protección.
Procede por lo anterior la desestimación de este motivo del recurso.
SEXTO.- Al declararse no haber lugar al recurso de casación, procede condenar a la parte recurrente en las costas del mismo, de conformidad con la regla del artículo 139.2 LJCA, si bien, la Sala haciendo uso de la facultad que le confiere el apartado tercero del citado precepto, limita el importe máximo a reclamar por ese concepto en la cantidad de tres mil euros (3.000€) en concepto de honorarios del Letrado de la parte recurrida.
Por todo ello, en nombre de SM el Rey y en el ejercicio de la potestad que, emanada del pueblo español, nos concede la Constitución.
FALLAMOS
Que declaramos no haber lugar al presente recurso de casación 5960/08, interpuesto por la representación procesal de la Prelatura del Opus Dei, Región de España, contra la sentencia de 11 de septiembre de 2008, dictada por la Sección 1.ª de la Sala de lo Contencioso Administrativo de la Audiencia Nacional, en el recurso n.º 78/2007, y condenamos a la parte recurrente en las costas de casación, hasta el límite, respecto de la minuta de Letrado, señalado en el último Fundamento de Derecho.
Así por esta nuestra sentencia, que se publicará en la colección legislativa lo pronunciamos, mandamos y firmamos
Tribunal Supremo
Sala de lo Contencioso-Administrativo
Sentencia de 10 de noviembre de 2011
RECURSO DE CASACIÓN Núm: 5960/2008
Ponente Excmo. Sr. JOSE MARIA DEL RIEGO VALLEDOR
En la Villa de Madrid, a diez de Noviembre de dos mil once.
Visto por esta Sección Sexta de la Sala Tercera del Tribunal Supremo el recurso de casación n.º 5960/08, interpuesto por la Procuradora de los Tribunales Doña Iciar de Peña Argacha, en nombre y representación de la Prelatura del Opus Dei, Región de EspaÑa, contra la sentencia de 11 de septiembre de 2008, dictada por la Sección 1.ª de la Sala de lo Contencioso Administrativo de la Audiencia Nacional, en el recurso n.º 78/2007, sobre protección de datos, en el que interviene como parte recurrida la Administración del Estado, representada por el Abogado del Estado
ANTECEDENTES DE HECHO
PRIMERO.- La Sección Primera de la Sala de lo Contencioso Administrativo de la Audiencia Nacional dictó sentencia el 11 de septiembre de 2008, cuyo fallo contiene los siguientes pronunciamientos:
DESESTIMAR el recurso contencioso administrativo interpuesto por la representación procesal de la Prelatura del Opus Dei, Región de España, frente a la resolución de la Agencia Española de Protección de Datos de 31 de enero de 2007 que insta a dicha entidad para que en el plazo de diez días " remita al reclamante certificación en la que se haga constar que se ha procedido a la cancelación de sus datos que constaban en sus ficheros, resolución que declaramos conforme a Derecho, sin imposición de costas a ninguna de las partes".
SEGUNDO.- Notificada la sentencia, se presentó escrito por la representación procesal de la Prelatura del Opus Dei, Región de España, manifestando su intención de interponer recurso de casación, y por providencia de 6 de noviembre de 2008, se tuvo por preparado, con emplazamiento de las partes ante esta Sala del Tribunal Supremo.
TERCERO.- Con fecha 30 de diciembre de 2008 se presentó escrito de interposición del recurso de casación, haciendo valer tres motivos, todos ellos al amparo del artículo 88.1.d) de la Ley de la Jurisdicción, por infracción de las normas del ordenamiento jurídico y de la jurisprudencia que cita, solicitando se dicte sentencia que case la sentencia impugnada y estimando la pretensión interesada en el escrito de demanda, declare no conforme a derecho y anule la Resolución dictada el 31 de enero de 2007 por la Agencia Española de Protección de Datos en el procedimiento TD/00418/2006, imponiendo a la parte recurrida las costas de la instancia.
CUARTO.- Admitido a trámite el recurso, se dio traslado a la parte recurrida, que manifestó su oposición al recurso en escrito de 7 de septiembre de 2009, en el que solicitó la desestimación del recurso de casación y la confirmación de la sentencia impugnada.
QUINTO.- Conclusas las actuaciones, se señaló para votación y fallo el día 2 de noviembre de 2011, fecha en que tal diligencia ha tenido lugar.
Siendo Ponente el Excmo. Sr. D. Jose Maria del Riego Valledor,.
FUNDAMENTOS DE DERECHO
PRIMERO.- El recurso de casación se dirige contra la sentencia de la Sección 1.ª de la Sala de lo Contencioso Administrativo de la Audiencia Nacional, de 11 de septiembre de 2008, que desestimó el recurso que había interpuesto la representación procesal de la Prelatura del Opus Dei, Región de España, contra la Resolución de la Agencia Española de Protección de Datos, de 31 de enero de 2007, que había estimado una reclamación formulada por Dña. Lucía e instaba a la Prelatura del Opus Dei para que, en el plazo de diez días, remita a la reclamante una certificación en la que haga constar que ha procedido a la cancelación de sus datos que constaban en sus archivos.
La Sala de la Audiencia Nacional reprodujo los hechos que la Resolución de la Agencia Española de Protección de Datos (AEPD) tuvo por probados, que son los siguientes:
"PRIMERO. En fecha 2 de agosto de 2006, Doña Lucía solicitó la cancelación de los datos existentes en la entidad "Opus Dei".
SEGUNDO. En fecha 14 de agosto de 2006 la entidad "Opus Dei" contestó a Doña Lucía que "los únicos datos que se refieren a su persona son hechos históricos, realizados voluntariamente, que no pueden anularse. De todas formas, le comunico que en anotación marginal se hará constar su deseo de que no tengan trascendencia externa".
TERCERO. Con fecha 22 de agosto de 2006, Doña Lucía presentó reclamación de Tutela de Derechos por denegación del derecho de cancelación de sus datos existentes en la entidad "Opus Dei".
SEGUNDO.- El recurso de casación se articula en tres motivos, todos ellos al amparo del artículo 88.1.d) de la Ley de la Jurisdicción. El primer motivo denuncia infracción del artículo 1.6 de Acuerdo sobre Asuntos Jurídicos entre la Santa Sede y el Estado Español, de 3 de enero de 1979, en relación con el artículo 16 CE; el segundo motivo alega infracción del artículo 2.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos; y el tercer motivo refiere infracción de los artículos 4.5 y 16.2 de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal.
TERCERO.- El primer motivo del recurso de casación denuncia, como hemos indicado, la infracción del artículo 1.6 del Acuerdo sobre Asuntos Jurídicos entre la Santa Sede y el Estado español, de 3 de enero de 1979, en relación con el artículo 16 CE, al sostener la parte recurrente que dicho Acuerdo protege la inviolabilidad de los archivos, registros y demás documentos de las instituciones y entidades eclesiásticas, lo que constituye una concreción del principio constitucional de libertad religiosa en lo que afecta a las colectividades, añadiendo que dicha inviolabilidad no se alega frente a ningún ciudadano, sino frente a un acto de la Administración, como es la AEPD.
La parte recurrente también planteó en la instancia esta misma cuestión de la inviolabilidad de sus archivos, reconocida por el Acuerdo entre el Estado Español y la Santa Sede, y la Sala de instancia razonó lo siguiente:
En relación con la aplicación del Acuerdo entre el Estado Español y la Santa Sede, sobre Asuntos Jurídicos, de 3 de enero de 1979, debemos señalar que efectivamente estamos ante un Tratado Internacional, cuyo texto ha sido aprobado por las Cortes Generales y publicado oficialmente, lo que significa, en virtud de lo dispuesto en el artículo 96 de la CE, que forma parte de nuestro ordenamiento jurídico, en un lugar subordinado a la Constitución, atendida su posición en el sistema interno de Fuentes del Derecho y atendidos los efectos previstos en los artículos 94 y 95 de la CE.
Sentada esta posición del Tratado, en el sistema de jerarquía normativa, la regulación contenida en el mismo ha de ser interpretada conforme a la Constitución, concretamente conforme al derecho fundamental a la protección de los datos.
A juicio de esta Sala, sin embargo, el citado Acuerdo no contradice la regulación constitucional y legalmente establecida del derecho fundamental a la protección de los datos, cuando en el artículo I apartado 6 dispone que "el Estado respeta y protege la inviolabilidad de los archivos, registros y demás documentos pertenecientes a la Conferencia Episcopal Española, a las Curias episcopales, a las Curias de los superiores mayores de las Ordenes y Congregaciones religiosas, a las parroquias y a otras instituciones y entidades eclesiásticas".
Los archivos y registros relacionados en dicho artículo del Acuerdo Internacional se encuentran protegidos de cualquier intromisión procedente del Estado y resultan inviolables frente al mismo. Ahora bien, tal inviolabilidad no es predicable frente al ciudadano cuando ejercita el derecho fundamental previsto en el artículo 18.4 de la CE, en cuyo contenido esencial se integra el poder de disposición sobre los datos relativos a su persona. La solución inversa a la expuesta, que postula el recurrente, equivaldría a reconocer una superioridad de la norma contenida en un Tratado, frente a la norma constitucional.
En este sentido esta Sala no alberga dudas sobre la constitucionalidad de la norma internacional trascrita si se interpreta en el sentido expresado, pues el desarrollo legal del derecho fundamental no hubiera podido crear excepciones contrarias al contenido esencial del derecho fundamental, ex artículo 53.1 de la CE. Repárese, además, que la regulación contenida en la Ley Orgánica viene impuesta, como ya se ha manifestado, por la Directiva 95/46 / CE de 24 de octubre de 1995, relativa a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y la Libre Circulación de estos Datos.
Debe tenerse en cuenta, igualmente, que la parte recurrente no alega estar amparado en ninguna excepción prevista en el desarrollo de este derecho fundamental a la protección de los datos, esto es, en los artículos 23 y 24 de la Ley Orgánica 15/1999, en relación con el artículo 13 de la indicada Directiva 95/46 / CE, de 24 de octubre, y la inviolabilidad invocada, en los términos previstos en el citado Acuerdo del Estado Español con la Santa Sede, como ya hemos señalado, no resulta oponible frente al titular de los datos ni, por tanto, resulta relevante o decisivo para la resolución del presente recurso.
Doctrina establecida por esta Sala respecto de los supuestos de apóstatas que pretenden la cancelación de sus datos de su Partida de Bautismo y que deviene también de aplicación al presente supuesto tomando en consideración que la Prelatura Personal ( Canon 294 y 296 del Código de Derecho Canónico), prevista por el Concilio Vaticano II, constituye un status peculiar respecto del común para el colectivo laico, que profesa la fe católica, y que se caracteriza por la flexibilidad en su finalidad de contribuir a la efectiva difusión del mensaje y vivir cristianos, por lo que su destino es el cumplimiento de fines pastorales y misionales.
La pertenencia a dicho tipo de entidades, por tanto, en cuanto presupone una determinada significación en lo que se refiere al modo de concebir las creencias religiosas, implica un dato que entra en la esfera de creencias religiosas íntimas de sus miembros, de tal modo que la baja voluntaria, aun cuando no sea equivalente a la apostasía ( no tiene por qué obedecer a un apartamiento de la fé) comporta también un dato relevante en relación esencial con las creencias religiosas.
De acuerdo con el artículo 1.6 del Acuerdo entre el Estado Español y la Santa Sede sobre Asuntos Jurídicos (BOE 300/1979, de 15 de diciembre ), "El Estado respeta y protege la inviolabilidad de los archivos, registros y demás documentos pertenecientes a la Conferencia Episcopal Española, a las Curias episcopales, a las Curias de los superiores mayores de las Ordenes y Congregaciones Religiosas, a las Parroquias y a otras Instituciones y Entidades Eclesiásticas".
Además de las consideraciones de la Sala de instancia, que acabamos de reproducir, debemos tener en cuenta que el alcance de esta cláusula concordataria se ha de interpretar de acuerdo con la práctica internacional en materia de inmunidades y privilegios de los agentes extranjeros así como de sus bienes, documentos y archivos, siendo doctrina del Tribunal Europeo de Derechos Humanos, en relación con las inmunidades y privilegios similares reconocidas a las Organizaciones internacionales, que las mismas no pueden anular la dimensión sustantiva de los derechos fundamentales de la persona (asunto Waite y Kennedy, STEDH 7/1999, de 18 de febrero, apartados 67-68 y asunto Príncipe Hans-Adam II de Liechtenstein, STEDH 464/2001, de 12 de julio, apartados 44-48).
Igualmente ponderamos en la interpretación del artículo 1.6 de los Acuerdos entre el Estado Español y la Santa Sede, invocado por la parte recurrente, que las normas sobre inmunidades y privilegios propias de los acuerdos diplomáticos entre Estados han de interpretarse más restrictivamente, sin que puedan tener un alcance absoluto, cuando el beneficiario no sea un Estado o una Organización internacional, o sus funcionarios o agentes, sino un nacional o residente permanente en el Estado receptor, como es el caso de la Región de España de la Prelatura del Opus Dei recurrente.
Procede por tanto una interpretación del artículo 1.6 del Acuerdo entre el Estado Español y la Santa Sede sobre Asuntos Jurídicos acorde con el contenido de los derechos fundamentales que el artículo 18.4 CE reconoce a los ciudadanos, en relación con la protección de su intimidad personal y familiar, en el que se integra el derecho fundamental a protección de datos personales, que garantiza a la persona un poder de control y disposición sobre los mismos.
El recurso de casación sostiene que en este caso la parte recurrente está alegando la inviolabilidad de sus registros, protegida por los Acuerdos de 1979, no frente a un particular, sino frente a la Agencia Española de Protección de Datos (AEPD), que es un órgano de la Administración del Estado.
No puede compartirse el anterior argumento, pues es evidente que la AEPD actúa en el presente caso en ejercicio de sus funciones de tutela en materia de protección de datos que le encomienda la LOPD. En efecto, la actuación de la AEPD viene precedida por la solicitud de Doña Lucía de cancelación de los datos relativos a su persona, que fue denegada por la Entidad recurrente, y de la posterior reclamación de tutela de la interesada ante la AEPD por dicha denegación del derecho de cancelación. La actuación de la AEPD se produce, por tanto, en el marco de sus funciones de resolución de reclamaciones interpuestas por las personas afectadas, en relación con los derechos de información, acceso, rectificación, oposición y cancelación de datos, atribuidas por el artículo 37.1, letras a) y d) LOPD.
El motivo por tanto ha de ser desestimado.
CUARTO.- El segundo motivo del recurso expone una infracción del artículo 2.1 de la LOPD, porque en el caso de autos los datos cuya cancelación se pretende no están incorporados a ningún soporte informático, ni tampoco son objeto de tratamiento alguno en los términos del artículo 3.d) LOPD, guardando este caso notable paralelismo con otros resueltos por esta Sala en sentido estimatorio contra Resoluciones de la AEPD que ordenaban cancelar los datos contenidos en los libros de bautismo.
Los datos a que se refiere este recurso, como establece el Fundamento de Derecho Segundo de la sentencia impugnada, con base en un escrito de la propia Entidad recurrente que obra en el expediente (folio 4), son las fechas de la incorporación y baja en la Prelatura (petición de admisión: 19/12/78, Incorporación definitiva: 19/12/85 y Baja: 05/02/00). Tales datos, según reseña igualmente la sentencia impugnada, no tienen otro soporte que una anotación mecanográfica en un papel.
Pero como acertadamente indican tanto la Resolución de la AEPD como la sentencia impugnada, los ficheros como el que es objeto del presente recurso, no están excluidos de la protección de la LOPD.
Así resulta con claridad del artículo 3 de LOPD, que en sus letras b) y c) define los ficheros a los que es de aplicación dicho texto legal, como todo conjunto organizado de datos de carácter personal, "...cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso...", y entiende por tratamiento de datos, las operaciones y procedimientos técnicos "...de carácter automatizado o no...", que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos.
Muy similares son los conceptos de fichero y de tratamiento de datos personales del artículo 2 de la Directiva 95/46 / CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos.
De acuerdo con el citado precepto, son ficheros de datos personales "...todo conjunto estructurado de datos personales, accesibles con arreglo a criterios determinados, ya sea centralizado, descentralizado o repartido de forma funcional o geográfica...", y es tratamiento de datos personales "...cualquier operación o conjunto de operaciones, efectuadas o no mediante procedimientos automatizados, y aplicadas a datos personales, como la recogida, registro, organización, conservación, elaboración o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma que facilite el acceso a los mismos, cotejo o interconexión, así como su bloqueo, supresión o destrucción..."
En este caso los datos a que se refiere el recurso, como resulta de la carta dirigida por la Entidad religiosa a la recurrente, antes citada, en la que refiere a los datos "...que se conservan de usted...", son obviamente y en primer lugar, el nombre y apellidos de la persona interesada y además, como se indica en dicha carta, las fechas de su petición de admisión, de su incorporación definitiva y de su baja en la Entidad religiosa recurrente.
Es claro que nos encontramos ante un fichero, en el amplio sentido de la LOPD y Directiva 95/46 /CE, pues la información que se recoge está constituida por datos personales, especialmente protegidos además, de acuerdo con el artículo 7 LOPD, por afectar a las creencias religiosas, y está también presente la nota o elemento de organización, como se demuestra, como indica el Abogado del Estado en su escrito de oposición al recurso, por el hecho de que habiendo solicitado la interesada información sobre sus datos en poder de la Entidad religiosa, estos datos fueron localizados y la información fue facilitada, sin que conste, ni la Entidad religiosa haya alegado siquiera, que fuera precisa adicional información u otros datos distintos al nombre y apellidos para acceder a la información de que se trataba.
Esta característica de tratarse precisamente de un conjunto organizado de datos es lo que permite afirmar la presencia de un fichero de datos personales, en los términos del artículo 3.b) LOPD, a diferencia de lo ocurrido en los casos citados por la Entidad recurrente, que se refieren a los Libros de Bautismo, los cuales no fueron considerados por esta Sala del Tribunal Supremo como ficheros de datos, porque como razonaba la sentencia de 19 de septiembre de 2008 (recurso 6031/2007 ), los datos personales no están recogidos en dichos Libros de Bautismo como un conjunto organizado, tal y como exige el artículo 3.b) de la LOPD, sino que se trata de una pura acumulación de datos, "...que comporta una difícil búsqueda, acceso e identificación en cuanto no están ordenados ni alfabéticamente, ni por fecha de nacimiento, sino sólo por las fechas de bautismo, siendo absolutamente necesario el conocimiento previo de la Parroquia donde aquel tuvo lugar..."
Al encontrarnos por lo razonado frente a un fichero sujeto a las disposiciones de la LOPD, procede desestimar el segundo motivo del recurso de casación.
QUINTO.- En su tercer motivo de recurso la parte actora considera infringidos los artículos 4.5 y 16.2 de la LOPD, pues en contra de la tesis sostenida en la Resolución de la AEPD, no es la recurrente quien tiene que acreditar que los datos sean necesarios para la finalidad que motivó su recogida, sino al revés, debería haberse acreditado que dichos datos no eran necesarios para hacer subsumible el supuesto de hecho en lo dispuesto por el artículo 4.5 LOPD.
De conformidad con el artículo 4.5 LOPD, "...los datos de carácter personal serán cancelados cuando hayan dejado de ser necesarios o pertinentes para la finalidad para la cual hubieran sido recabados o registrados...".
La parte recurrente crítica la postura de la interesada en esta cuestión, que parece entender que la única voluntad atendible fuera la suya, para a continuación defender, desde la perspectiva contraria, que el interés jurídicamente protegible es el propio de la Entidad responsable del fichero en tener constancia del inicio y final de la relación con las personas que integran la Institución.
Sin embargo, el artículo 4.5 LOPD no se remite a la voluntad de la persona interesada, ni tampoco a la del responsable del fichero para determinar cuando los datos han dejado de ser necesarios o pertinentes, sino que la necesidad del mantenimiento de los datos ha de relacionarse con la finalidad para la cual los datos fueron recogidos. Y en este punto, tanto la Resolución de la AEPD como la sentencia impugnada mantienen que los datos dejaron de ser necesarios para la finalidad que justificó su tratamiento, al haber decidido la persona afectada dejar de pertenecer al Opus Dei, sin que por la parte recurrente se haya desvirtuado tal conclusión, ni acreditado una finalidad de mantenimiento de los datos merecedora de mayor protección.
Procede por lo anterior la desestimación de este motivo del recurso.
SEXTO.- Al declararse no haber lugar al recurso de casación, procede condenar a la parte recurrente en las costas del mismo, de conformidad con la regla del artículo 139.2 LJCA, si bien, la Sala haciendo uso de la facultad que le confiere el apartado tercero del citado precepto, limita el importe máximo a reclamar por ese concepto en la cantidad de tres mil euros (3.000€) en concepto de honorarios del Letrado de la parte recurrida.
Por todo ello, en nombre de SM el Rey y en el ejercicio de la potestad que, emanada del pueblo español, nos concede la Constitución.
FALLAMOS
Que declaramos no haber lugar al presente recurso de casación 5960/08, interpuesto por la representación procesal de la Prelatura del Opus Dei, Región de España, contra la sentencia de 11 de septiembre de 2008, dictada por la Sección 1.ª de la Sala de lo Contencioso Administrativo de la Audiencia Nacional, en el recurso n.º 78/2007, y condenamos a la parte recurrente en las costas de casación, hasta el límite, respecto de la minuta de Letrado, señalado en el último Fundamento de Derecho.
Así por esta nuestra sentencia, que se publicará en la colección legislativa lo pronunciamos, mandamos y firmamos
Megaupload: La Agencia Española de Protección de Datos no es competente en el caso
Diversas notas y comentarios en varios medios de comunicación están dando a entender que una posible vía para recuperar nuestros datos alojados en Megaupload es acudir a la Agencia Española de Protección de Datos; en este sentido considero necesario aclarar que dicha Agencia no podrá ayudarnos en el caso de Megaupload por varios motivos.
Examinemos los motivos por los que debemos concluir que nuestra autoridad en materia de protección de datos de carácter personal (la Agencia Española de Protección de Datos (AEPD)), que recordemos NO es una autoridad judicial, no podrá hacer nada frente a nuestras solicitudes en relación a Megaupload en materia de su competencia: la protección de los datos de carácter personal.
En primer lugar respondamos tres preguntas claves:
¿Cuál es la nacionalidad de la empresa que gestionaba Megaupload? Megaupload era explotada por “Megaupload Limited” (entre otras sociedades) registrada y ubicada en Hong Kong y no en California como podría parecer en un primer momento.
¿Tenía sedes en España o en algún país de la Unión Europea o del Espacio Económico Europeo? NO.
Según Megaupload Limited, al hacer uso de su servicio Megaupload ¿por qué legislación me rijo? En las propias condiciones del servicio de Megaupload (que ya no están accesibles) se informaba al usuario (en inglés) que cualquier posible relación con ellos así como cualquier controversia se va a rejir por las leyes del Estado de California (EEUU).
Con esto tenemos suficiente; ahora examinemos los motivos por los que la AEPD no va a poder ayudarnos en el caso de Megaupload:
a) Comencemos por el más evidente: la AEPD no puede decirle nada a una empresa que está operando en Hong Kong y que se rije por las leyes de California. Esto es así porque nuestras leyes no se aplican en todos los paises del mundo así sin más(lógicamente). Nuestra Ley Orgánica de Protección de Datos (LOPD) nos dice en el artículo 2.1.c que se aplicará esta LOPD cuando la empresa que trata nuestros datos no esté establecida en territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, salvo que tales medios se utilicen únicamente con fines de tránsito.
Es decir, si una empresa no está en la Unión Europea pero utiliza medios situados en España para tratar los datos personales, entonces sí que se le aplica nuestra LOPD aunque la empresa esté en Hong Kong. Sin entrar en lo que significa “medios situados en España”, decir que una institución europea, la conocida como Grupo de Trabajo del artículo 29, en varios de sus documentos ha indicado que se entiende que una empresa utiliza medios situados en España para tratar datos cuando utiliza cookies en los ordenadores de sus “clientes” con el objetivo de tratar datos personales. Y esta es precisamente la excusa que en algunos medios se ha utilizado para afirmar que como Megaupload utilizaba cookies (presumiblemente, porque la página web ya no existe), pues entonces se aplica la LOPD española. El problema es que no cualquier cookie que una página web nos instale en nuestro navegador determina directamente la aplicación de la LOPD a la empresa que gestione esa página web (ojo, siempre según esos documentos del Grupo de Trabajo del artículo 29), se requiere además que esa cookie esté diseñada para tratar nuestros datos personales y normalmente por “tratar” debemos entender “obtener”. Así por ejemplo, una cookie que sea utilizada para recordar en el navegador la marcación o no de una casilla no entraría en este caso. Es por ello que sería necesario auditar qué hacían las cookies de Megaupload, lo cual ya es imposible. Al ser imposible determinar siquiera si Megaupload utilizaba cookies, no podremos aplicar esta excepción de “medios situados en España”, por lo que la LOPD no puede ser de aplicación.
b) Megaupload Limited no tiene establecimientos permanentes ni en España ni en Europa. Esto es relevante porque se ha intentado hacer ver, de forma errónea, una similitud entre el caso de Megaupload y el caso del buscador Bing (gestionado por Microsoft en Luxemburgo). En una reciente resolución de la AEPD se ha estimado una tutela de derechos frente al buscador Bing dirigida a Microsoft Iberica S.L. y no a Microsoft Luxemburgo. Las diferencias con el caso de Megaupload son esenciales, en primer lugar porque Luxemburgo es miembro de la Unión Europea y por tanto entra dentro de la aplicación de la Directiva Europea sobre protección de datos, pero lo determinante es que el propio buscador (la propia Microsoft) en sus condiciones de uso te da a elegir entre que te acojas a la legislación/jurisdicción de Luxemburgo o a la legislación/jurisdicción de tu país, dice así:
“Todas las demandas, incluidas las relacionadas con las leyes de protección del consumidor, la legislación relativa a la competencia desleal y en caso de responsabilidad extracontractual, se resolverán en virtud de las leyes de Luxemburgo o del país en el que usted resida. Con respecto a la jurisdicción, usted puede elegir el tribunal responsable en Luxemburgo o en el país en el que resida para resolver los conflictos derivados de este contrato o relativos a él.”
Por tanto, y teniendo en cuenta que Microsoft tiene un establecimiento permanente en España, no hay lugar a dudas de que si el ciudadano español así lo desea, puede ejercer sus derechos de protección de datos en España. Pero ojo, esta política de Microsoft lleva vigente desde el 31 de agosto de 2010.
c) Se ha indicado también que los usuarios españoles dirijan sus solicitudes en materia de protección de datos frente a las autoridades de EEUU; creo que no es necesario explicar que invocar una ley española de protección de datos ante una autoridad policial o judicial en Estados Unidos está fuera de lugar. Por supuesto, no esperéis que os respondan desde EEU y podéis ahorraros el tiempo de acudir a nuestra AEPD para quejaros por el hecho de que el FBI o los tribunales de Estados Unidos no han atendido vuestra solicitud relativa a la protección de datos; si de hecho recientemente el Tribunal Supremo ha determinado que la AEPD no tiene competencia para actuar frente a órganos judiciales españoles, imaginaros frente a órganos de países fuera de la Unión Europea.
d) Pero es que además, aunque fuera de aplicación nuestra LOPD, los casos en los que podría aplicarse serían muy muy reducidos. Recordemos que esta ley se aplica en relación a “datos de carácter personal” y no a cualquier dato o información. Si hemos subido unos apuntes de clase, una película o una canción, todo eso no son datos de carácter personal y tampoco se va a aplicar la LOPD. Pero aunque fuesen datos de carácter personal, habría que ver cómo se demuestra que efectivamente están en los servidores ahora en poder del FBI y bajo unas leyes penales en Estados Unidos.
Llegados a este punto donde queda claro que por un motivo u otro no podremos aplicar la LOPD o la tutela de la AEPD frente a Megaupload, podemos preguntarnos ¿qué podemos hacer para recuperar esos ficheros que subí a Megaupload?
Antes de responder, pregunto yo ¿alguien se había leído las condiciones de uso de Megaupload? Es que da la sensación de que parece que las condiciones de uso de un servicio están de adorno y no, esas condiciones de uso suelen tener información importante en casos de problemas. Veamos lo que decían las condiciones de uso de Megaupload en el apartado de “datos alojados en Megaupload por los usuarios”:
“El cliente es el único responsable y tiene la responsabilidad sobre lo que almacena en Megaupload. Megaupload anima al cliente a archivar regular y frecuentemente sus datos. El cliente tiene toda la responsabilidad por los datos que almacene y será el único responsable por la pérdida o por no poder recuperar sus datos.”
Y luego añade en el apartado “Sin garantías”:
“El uso que hagas del Servicio es bajo tu propia responsabilidad. El servicio de Megaupload es ofrecido “como es” y “con su disponibilidad”. [...] Megaupload no puede garantizar la duración del Servicio o que no sea interrumpido. [...] Megaupload se reserva el derecho de interrumpir el servicio en cualquier momento sin previo aviso. Si no estás de acuerdo con nuestras condiciones o con nuestro Servicio o con cualquier otra de nuestras reglas, tu única opción es dejar de utilizar nuestro Servicio”.
Y termina indicando lo que comentaba al principio, que cualquier controversia será resuelta por los tribunales de Santa Clara (California).
En definitiva, que Megaupload no se hacía responsable de nada que alojaras con ellos y que podían dar el servicio por terminado en cualquier momento, sin previo aviso. Esas eran sus reglas del juego y se jugaba en el Estado de California, si no te gustaba tu única opción era no jugar.
Por último añadir que en relación a la noticia sobre que la AEPD ha pedido a la Comisión Federal de Comercio en Estados Unidos información sobre lo que sucederá con los datos almacenados en Megaupload es simplemente eso, una consulta realizada por nuestra AEPD que bajo mi punto de vista tiene como finalidad la de ofrecer una falsa sensación de tranquilidad o control sobre este asunto, que realmente no tiene.
Fuente: Periodistas en español
Fecha: 07/02/2012
Examinemos los motivos por los que debemos concluir que nuestra autoridad en materia de protección de datos de carácter personal (la Agencia Española de Protección de Datos (AEPD)), que recordemos NO es una autoridad judicial, no podrá hacer nada frente a nuestras solicitudes en relación a Megaupload en materia de su competencia: la protección de los datos de carácter personal.
En primer lugar respondamos tres preguntas claves:
¿Cuál es la nacionalidad de la empresa que gestionaba Megaupload? Megaupload era explotada por “Megaupload Limited” (entre otras sociedades) registrada y ubicada en Hong Kong y no en California como podría parecer en un primer momento.
¿Tenía sedes en España o en algún país de la Unión Europea o del Espacio Económico Europeo? NO.
Según Megaupload Limited, al hacer uso de su servicio Megaupload ¿por qué legislación me rijo? En las propias condiciones del servicio de Megaupload (que ya no están accesibles) se informaba al usuario (en inglés) que cualquier posible relación con ellos así como cualquier controversia se va a rejir por las leyes del Estado de California (EEUU).
Con esto tenemos suficiente; ahora examinemos los motivos por los que la AEPD no va a poder ayudarnos en el caso de Megaupload:
a) Comencemos por el más evidente: la AEPD no puede decirle nada a una empresa que está operando en Hong Kong y que se rije por las leyes de California. Esto es así porque nuestras leyes no se aplican en todos los paises del mundo así sin más(lógicamente). Nuestra Ley Orgánica de Protección de Datos (LOPD) nos dice en el artículo 2.1.c que se aplicará esta LOPD cuando la empresa que trata nuestros datos no esté establecida en territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, salvo que tales medios se utilicen únicamente con fines de tránsito.
Es decir, si una empresa no está en la Unión Europea pero utiliza medios situados en España para tratar los datos personales, entonces sí que se le aplica nuestra LOPD aunque la empresa esté en Hong Kong. Sin entrar en lo que significa “medios situados en España”, decir que una institución europea, la conocida como Grupo de Trabajo del artículo 29, en varios de sus documentos ha indicado que se entiende que una empresa utiliza medios situados en España para tratar datos cuando utiliza cookies en los ordenadores de sus “clientes” con el objetivo de tratar datos personales. Y esta es precisamente la excusa que en algunos medios se ha utilizado para afirmar que como Megaupload utilizaba cookies (presumiblemente, porque la página web ya no existe), pues entonces se aplica la LOPD española. El problema es que no cualquier cookie que una página web nos instale en nuestro navegador determina directamente la aplicación de la LOPD a la empresa que gestione esa página web (ojo, siempre según esos documentos del Grupo de Trabajo del artículo 29), se requiere además que esa cookie esté diseñada para tratar nuestros datos personales y normalmente por “tratar” debemos entender “obtener”. Así por ejemplo, una cookie que sea utilizada para recordar en el navegador la marcación o no de una casilla no entraría en este caso. Es por ello que sería necesario auditar qué hacían las cookies de Megaupload, lo cual ya es imposible. Al ser imposible determinar siquiera si Megaupload utilizaba cookies, no podremos aplicar esta excepción de “medios situados en España”, por lo que la LOPD no puede ser de aplicación.
b) Megaupload Limited no tiene establecimientos permanentes ni en España ni en Europa. Esto es relevante porque se ha intentado hacer ver, de forma errónea, una similitud entre el caso de Megaupload y el caso del buscador Bing (gestionado por Microsoft en Luxemburgo). En una reciente resolución de la AEPD se ha estimado una tutela de derechos frente al buscador Bing dirigida a Microsoft Iberica S.L. y no a Microsoft Luxemburgo. Las diferencias con el caso de Megaupload son esenciales, en primer lugar porque Luxemburgo es miembro de la Unión Europea y por tanto entra dentro de la aplicación de la Directiva Europea sobre protección de datos, pero lo determinante es que el propio buscador (la propia Microsoft) en sus condiciones de uso te da a elegir entre que te acojas a la legislación/jurisdicción de Luxemburgo o a la legislación/jurisdicción de tu país, dice así:
“Todas las demandas, incluidas las relacionadas con las leyes de protección del consumidor, la legislación relativa a la competencia desleal y en caso de responsabilidad extracontractual, se resolverán en virtud de las leyes de Luxemburgo o del país en el que usted resida. Con respecto a la jurisdicción, usted puede elegir el tribunal responsable en Luxemburgo o en el país en el que resida para resolver los conflictos derivados de este contrato o relativos a él.”
Por tanto, y teniendo en cuenta que Microsoft tiene un establecimiento permanente en España, no hay lugar a dudas de que si el ciudadano español así lo desea, puede ejercer sus derechos de protección de datos en España. Pero ojo, esta política de Microsoft lleva vigente desde el 31 de agosto de 2010.
c) Se ha indicado también que los usuarios españoles dirijan sus solicitudes en materia de protección de datos frente a las autoridades de EEUU; creo que no es necesario explicar que invocar una ley española de protección de datos ante una autoridad policial o judicial en Estados Unidos está fuera de lugar. Por supuesto, no esperéis que os respondan desde EEU y podéis ahorraros el tiempo de acudir a nuestra AEPD para quejaros por el hecho de que el FBI o los tribunales de Estados Unidos no han atendido vuestra solicitud relativa a la protección de datos; si de hecho recientemente el Tribunal Supremo ha determinado que la AEPD no tiene competencia para actuar frente a órganos judiciales españoles, imaginaros frente a órganos de países fuera de la Unión Europea.
d) Pero es que además, aunque fuera de aplicación nuestra LOPD, los casos en los que podría aplicarse serían muy muy reducidos. Recordemos que esta ley se aplica en relación a “datos de carácter personal” y no a cualquier dato o información. Si hemos subido unos apuntes de clase, una película o una canción, todo eso no son datos de carácter personal y tampoco se va a aplicar la LOPD. Pero aunque fuesen datos de carácter personal, habría que ver cómo se demuestra que efectivamente están en los servidores ahora en poder del FBI y bajo unas leyes penales en Estados Unidos.
Llegados a este punto donde queda claro que por un motivo u otro no podremos aplicar la LOPD o la tutela de la AEPD frente a Megaupload, podemos preguntarnos ¿qué podemos hacer para recuperar esos ficheros que subí a Megaupload?
Antes de responder, pregunto yo ¿alguien se había leído las condiciones de uso de Megaupload? Es que da la sensación de que parece que las condiciones de uso de un servicio están de adorno y no, esas condiciones de uso suelen tener información importante en casos de problemas. Veamos lo que decían las condiciones de uso de Megaupload en el apartado de “datos alojados en Megaupload por los usuarios”:
“El cliente es el único responsable y tiene la responsabilidad sobre lo que almacena en Megaupload. Megaupload anima al cliente a archivar regular y frecuentemente sus datos. El cliente tiene toda la responsabilidad por los datos que almacene y será el único responsable por la pérdida o por no poder recuperar sus datos.”
Y luego añade en el apartado “Sin garantías”:
“El uso que hagas del Servicio es bajo tu propia responsabilidad. El servicio de Megaupload es ofrecido “como es” y “con su disponibilidad”. [...] Megaupload no puede garantizar la duración del Servicio o que no sea interrumpido. [...] Megaupload se reserva el derecho de interrumpir el servicio en cualquier momento sin previo aviso. Si no estás de acuerdo con nuestras condiciones o con nuestro Servicio o con cualquier otra de nuestras reglas, tu única opción es dejar de utilizar nuestro Servicio”.
Y termina indicando lo que comentaba al principio, que cualquier controversia será resuelta por los tribunales de Santa Clara (California).
En definitiva, que Megaupload no se hacía responsable de nada que alojaras con ellos y que podían dar el servicio por terminado en cualquier momento, sin previo aviso. Esas eran sus reglas del juego y se jugaba en el Estado de California, si no te gustaba tu única opción era no jugar.
Por último añadir que en relación a la noticia sobre que la AEPD ha pedido a la Comisión Federal de Comercio en Estados Unidos información sobre lo que sucederá con los datos almacenados en Megaupload es simplemente eso, una consulta realizada por nuestra AEPD que bajo mi punto de vista tiene como finalidad la de ofrecer una falsa sensación de tranquilidad o control sobre este asunto, que realmente no tiene.
Fuente: Periodistas en español
Fecha: 07/02/2012
El Supremo anula el artículo 10.2.b del Reglamento de desarrollo de la LOPD y permite el uso de datos personales sin permiso
El Tribunal Supremo ha dictado sentencia anulando el artículo 10.2.b del Real Decreto 1720/2007 de desarrollo de la LOPD, por ser contrario al derecho comunitario.
Dicho artículo exigía que, para tratar o ceder datos personales sin el consentimiento del interesado, se cumpliese el requisito adicional de que dichos datos figurasen en fuentes accesibles al público.
La demanda la realizó la Federación de Comercio Electrónico y Marketing Directo (FECEMD), Asociación Española de Economía Digital, en 2008, por considerar que la regulación española en materia de protección de datos era más restrictiva que la europea
En opinión de Rafael García del Poyo y Miguel Ángel Serrano, (en la foto), abogados y socios de “CREMADES & CALVO-SOTELO”. Ambos intervinieron como abogados y representantes de ADIGITAL en los asuntos acumulados C-468/10 y C-469/10 seguidos ante el Tribunal de Justicia de la Unión Europea, desde su punto de vista ” en la Sentencia publicada ayer día 14 de Febrero el Tribunal Supremo español ha declarado nula la restricción añadida por el legislador español en el artículo 10, apartado 2, letras a), supuesto primero, y b), párrafo primero del Real Decreto 1720/2007 sobre protección de datos personales.
El Reino de España estaba, a tenor de la sentencia del Tribunal de Justicia de la UE manteniendo un nivel distinto de protección al de los demás Estados miembros. Y esta situación, a su vez, dificultaba las actividades económicas en dicha Unión, impidiendo la libre circulación de datos personales y la libre prestación de servicios entre los Estados miembros. ”
En opinión de estos expertos, “no sobrará añadir, además, que suponía una seria desventaja competitiva para los operadores afectados por la aplicación del referido artículo 10, lo que, a buen seguro, afectaba a las libertades de establecimiento y de prestación de servicios en la medida en que sedificultaba o, simplemente, se hacía menos atractivo el ejercicio de estas libertades en España.”
Otras reacciones al fallo del Supremo
Para Diego Ramos, socio de protección de datos de DLA Piper “el Tribunal Supremo, cómo advertimos que podía suceder en su momento, no se ha limitado a transcribir mecánicamente las decisiones del TJUE, sino que ha hecho una interpretación activa y creativa de los fallos del TJUE,” desde su punto de vista
”En primer lugar, ha declarado legal y ha mantenido en vigor el artículo 10.1.a del Reglamento LOPD, rechazando el recurso en ese punto. De esa forma, sólo si una norma aplicable en España admite tratar los datos sin el consentimiento del afectado se podrá efectuar ese tratamiento. Respecto a si una Directiva podrá aplicarse también, la sentencia lo admite de pasada pero la forma en que lo hace sugiere que sería sólo en casos de aplicación directa (como sucede con un Reglamento Comunitario) o de no trasposición correcta de la Directiva.
En segundo lugar, ANULA el 10.2.b del Reglamento LOPD. La redacción del fallo de la sentencia es imprecisa en este punto, porque lo que se tendría que haber hecho es anular el requisito de que los datos estén en fuentes accesibles al público, no el conjunto del 10.2.b. Al anular el apartado en bloque, elimina también la habilitación para usar sin consentimiento los datos personales de los afectados cuando haya un interés legítimo del responsable del fichero.
Con lo cual estaríamos peor que antes del recurso. Imaginamos que se pondrá inmediatamente un recurso de aclaración para que el Tribunal Supremo declare en vigor todo el apartado salvo la restricción de “fuentes accesibles al público” que era la que se buscaba anular. Si no fuera así, habría que defender una aplicación directa de la directiva, una fórmula posible y con cierto apoyo en esta sentencia (cuando habla del 10.1.a) y en la del TJUE, pero incómoda porque requiere confiar en una fina argumentación jurídica y en jurisprudencia española y comunitaria, más que en una norma española específica.
Ello puede retraer a empresas deseosas de poner en marcha esquemas innovadores de captación y gestión de datos. Incluso si se aclara que el apartado sigue en vigor, la AEPD es probable que sostenga que el Supremo opina (indirectamente) que la protección de los derechos fundamentales puede válidamente exigir que los datos recogidos de forma ilegal, engañosa o sin un consentimiento por parte del afectado para esos fines concretos no puedan tratarse ni cederse al amparo del 10.2.b “modificado”. El debate continúa así pues, y será necesario validar cada nueva fuente de datos que queramos usar.
En todo caso, el Tribunal Supremo le ha dado a la AEPD y al gobierno, probablemente sin querer, la pista para cerrar la ventana que ahora se ha abierto.
Si el gobierno traspasa la restricción de que los datos deben venir de “fuentes accesibles al público” desde el inicio del apartado al final (como una forma de proteger los derechos fundamentales de los afectados, más que como una condición adicional), el Tribunal Supremo podría no poner obstáculos a su validez. Es por ello previsible que, de uno y otro lado, el gobierno esté sometido a fuertes presiones para que lo haga o se abstenga de hacerlo.”
Por su parte, Fco. Javier Carbayo, asociado senior del área de Governance, Risk & Compliance de ECIJA comenta que realmente, esta Sentencia trae causa de una del Tribunal de Justicia de la Unión Europea (TJUE) de 24 de noviembre de 2011.
De hecho, en un momento determinado, la propia Agencia Española de Protección de Datos ya emitió una Nota de prensa sobre la citada Sentencia del TJUE que se puede ver en este enlace que adjuntamos a continuación, donde se llegaba a decir , entre otras cosas, principalmente que:,
a) la interpretación y la aplicación que hasta el momento se ha venido realizando en España, tanto por la AEPD como los órganos judiciales, ya se estaba llevando a cabo una ponderación en la línea de lo exigido por el artículo 7 f) de la Directiva, atendiendo a criterios diversos, tales como la finalidad del tratamiento de los datos, el marco legal aplicable, -p. ej. La existencia de una ley que ampare intereses legítimos- o circunstancias concurrentes en el caso como, entre otras, la existencia de una relación jurídica, o que los datos figuren o no en fuentes accesibles al público.
b) de la Sentencia del TJUE no parece derivarse una alteración sustancial del marco vigente de protección de los datos personales en España si bien en el futuro será preciso acentuar la ponderación de las circunstancias que concurran en cada supuesto concreto para decidir sobre la legitimidad del tratamiento.
c) se necesita la Sentencia del Supremo que ahora ha recaído, puesto que al fin y al cabo la sentencia del TJCE resuelve una cuestión prejudicial planteada ante aquel.
A juicio de Carbayo, esta Sentencia del Tribunal Supremo es seguidora de la opinión del TJCE; “la cuestión ahora es, por un lado, delimitar qué se entiende por “interés legítimo”, y por otro lado, ver qué pasa con las sanciones dictadas con amparo al art. 10.2.b RLOPD, que la Sentencia anula. “
La cuestión es que la Agencia ha parecido querer anticiparse a este segundo efecto, indicando en la citada nota de prensa que su interpretación hasta el momento se puede alinear con la del TJCE (tanto respecto al interés legítimo, como más importante aún, respecto a que éste no es el único criterio a ponderar en la mayoría de casos), lo que parece una “advertencia” a las reclamaciones contras sanciones ya impuestas.
“En definitiva, se elimina con la anulación del art. 10.2.b RLOPD la necesidad del requisito adicional de origen en fuentes accesibles al público para la invocación del “interés legítimo” como base del tratamiento, pero no se descarta que la decisión sancionadora no se pueda basar o no se pondere en base a otros requisitos adicionales o diferentes. Por tanto, la virtualidad práctica de la Sentencia del Tribunal Supremo es relativa o está aún pendiente de determinar, puesto que depende de cómo se re-interpreten las sanciones ya impuestas que puedan ser ahora objeto de recursos. E incluso, no se descarta un cambio normativo para perfilar el efecto de la sentencia del TJCE.”
Desde el Grupo Antevenio, empresa de publicidad digital, su directora juridica Analore Garcia, también vocal de ENATIC, recién constituida asociacion de profesionales de derecho de la información, señala que esta sentencia demuestra que España no ha llevado a cabo la transposición de la Directiva 95/46/CE en el respeto del espíritu de la misma.
A su juicio, en el sector de Internet, encontramos en demasiadas ocasiones normas que, con una interpretación paternalista de los derechos de los ciudadanos, limitan las posibilidades comerciales en muchos ámbitos, en perjuicio de las empresas y players españoles, también con respecto a sus competidores europeos, e incluso en detrimento de la concienciación de los ciudadanos como herramienta de control y decisión.
De la sentencia del Tribunal Supremo cabe resaltar sobre todo dos aspectos.
“En primer lugar, declara la nulidad del requisito adicional al del “interés legítimo perseguido” exigido por la norma como título habilitador para proceder al tratamiento o cesión de datos por un Responsable de Tratamiento sin el consentimiento del afectado. La Sentencia interpreta que el legislador español ha “añadido” un requisito limitativo adicional, el de la proveniencia de los datos de fuentes accesibles al público como conditio sine qua non para ampararse en la excepción del artículo 10.2.b) del RD 1720/2007, contraviniendo así la disposición europea. Declara, por lo tanto, la nulidad del precepto.”
Por otro lado, la Sentencia reitera que el artículo 7.f) de la Directiva tiene “efecto directo”, al ser contraria la norma nacional, por lo que debe interpretarse que el tratamiento de datos personales será lícito sin obtener consentimiento del afectado, si es necesario para la satisfacción del interés legítimo perseguido por el Responsale de Tratamiento y siempre que no se oponga a los derechos fundamentales de éste. ”
Por lo tanto, según comenta la responsable legal de Antevenio, “ahora mismo la coyuntura implica la necesidad de interpretar un concepto jurídico indeterminado: “El interés legítimo perseguido por el Responsable del Tratamiento”, debate que ya empieza a fraguarse en los medios.”
Ahora bien, no podemos olvidar que la Viviane Reding recientemente hizo una propuesta en forma de “paquete de medidas” cuyo espíritu, de momento, no parece indicar que vaya a permitirse una interpretación lata de este concepto.
Como conclusión final, Garcia indica que ”siendo una sentencia positiva, que aplana el camino para la armonización europea real, y de alguna manera censura la tendencia conservadora en las transposiciones normativas españolas.
Pero aún no sabemos cómo se instrumentará la interpretación del “interés legítimo perseguido” ni la modificación que, previsiblemente, aprobará España en un futuro cercano. Esperemos que el legislador tome en cuenta, además de su obligación de proteger los derechos de los ciudadanos, también su obligación de formar e informar a los mismos, no entorpeciendo así, el desarrollo y evolución sector del marketing y de Internet en España.”
Por último, APEP; Asociación Profesional de la Privacidad hizo público un comunicado suscrito por su presidente, Ricard Martínez, donde hace algunas puntualizaciones a la citada sentencia:
Desde esta entidad se señala que considerar que las empresas podrán comercializar datos personales sin pedir permiso supone una interpretación simplista y nada rigurosa del tenor literal de la sentencia.
Esta se limita a declarar:
La imposibilidad competencial de derogar lo dispuesto por el art. 6.2 de la LOPD.
- La conformidad del art. 10.2.a) RLOPD con la Directiva 95/46/CE.
La contradicción entre el citado art. 10.2.b) RLOPD y el art. 7.f de la Directiva 95/46/CE lo que determina su anulación.
La sentencia únicamente extrae como consecuencia de la resolución del Tribunal de Justicia de la Unión Europea en los asuntos C-468/10 y C-469/10 la primacía del Derecho de la Unión y el principio de de interpretación conforme reconocidos, entre otros, en la sentencia Costa contra Enel del 15 de julio de 1964.
Que, por tanto, no se excluye en absoluto la aplicación tanto de los principios generales de la LOPD como los propios de la Directiva 95/46/CE de los que la LOPD trae causa.
APEP recuerda en todo caso que los profesionales de la privacidad y los operadores deben actuar con rigor en esta materia y, a tal efecto, es muy conveniente subrayar algunos extremos relevantes:
1) El principio de interés legítimo es un concepto jurídico indeterminado que debe ser interpretado en función del contexto. Por tanto, tener un interés económico en tratar un dato no supone necesariamente que éste sea legítimo. Habrá que estar al caso concreto para apreciar la presencia de este interés.
2) Que este principio viene limitado por la protección del derecho fundamental a la protección de datos y a los demás derechos fundamentales del afectado tal y como se prevé en la Directiva 95/46/CE y que, por tanto, en cada caso habrá que ponderar con rigor si estos prevalecen frente al interés legítimo en tratar los datos.
3) Que, con independencia de la concurrencia de interés legítimo, en aquellos casos en los que se proceda a un tratamiento de datos personales sin consentimiento conviene extremar la diligencia de nuestros clientes en lo que afecta al deber de información del art. 5.4 LOPD y los supuestos de legítimo ejercicio del derecho de oposición al tratamiento conforme a lo dispuesto por el art. 6.4 LOPD y de modo muy específico, para el caso objeto de la demanda en los arts. 34 y 51 del RLOPD. Por otra parte, no deben olvidarse en ningún caso, caso de tratamientos con fines de marketing directo, los ficheros de exclusión regulados pro el art. 49 RLOPD.
Desde APEP se ve positivo que exista el necesario alineamiento de la LOPD con la Directiva 95/46/CE. Sin embargo, “debemos subrayar que esto no significa, ni puede significar de conformidad con la Directiva 95/46/EC, sin mayor detalle, abrir la puerta a la comercialización de datos personales obtenidos sin consentimiento.”
APEP sugiere que “ todo proceso de cumplimiento normativo en esta materia exige un estudio riguroso y adaptado al caso concreto. Conviene recordar que la propuesta del futuro Reglamento comunitario que pretende sustituir la Directiva 95/46/CE y sus trasposiciones nacionales concede una gran importancia a los conceptos de «data protection impact assesment» y «data protection by default», pero esos valores y procedimientos deben ser aplicados desde este mismo momento y, en especial, en casos difíciles como el que nos ocupa”.
Fuente: Diario Jurídico
Fecha: 15/02/2012
Dicho artículo exigía que, para tratar o ceder datos personales sin el consentimiento del interesado, se cumpliese el requisito adicional de que dichos datos figurasen en fuentes accesibles al público.
La demanda la realizó la Federación de Comercio Electrónico y Marketing Directo (FECEMD), Asociación Española de Economía Digital, en 2008, por considerar que la regulación española en materia de protección de datos era más restrictiva que la europea
En opinión de Rafael García del Poyo y Miguel Ángel Serrano, (en la foto), abogados y socios de “CREMADES & CALVO-SOTELO”. Ambos intervinieron como abogados y representantes de ADIGITAL en los asuntos acumulados C-468/10 y C-469/10 seguidos ante el Tribunal de Justicia de la Unión Europea, desde su punto de vista ” en la Sentencia publicada ayer día 14 de Febrero el Tribunal Supremo español ha declarado nula la restricción añadida por el legislador español en el artículo 10, apartado 2, letras a), supuesto primero, y b), párrafo primero del Real Decreto 1720/2007 sobre protección de datos personales.
El Reino de España estaba, a tenor de la sentencia del Tribunal de Justicia de la UE manteniendo un nivel distinto de protección al de los demás Estados miembros. Y esta situación, a su vez, dificultaba las actividades económicas en dicha Unión, impidiendo la libre circulación de datos personales y la libre prestación de servicios entre los Estados miembros. ”
En opinión de estos expertos, “no sobrará añadir, además, que suponía una seria desventaja competitiva para los operadores afectados por la aplicación del referido artículo 10, lo que, a buen seguro, afectaba a las libertades de establecimiento y de prestación de servicios en la medida en que sedificultaba o, simplemente, se hacía menos atractivo el ejercicio de estas libertades en España.”
Otras reacciones al fallo del Supremo
Para Diego Ramos, socio de protección de datos de DLA Piper “el Tribunal Supremo, cómo advertimos que podía suceder en su momento, no se ha limitado a transcribir mecánicamente las decisiones del TJUE, sino que ha hecho una interpretación activa y creativa de los fallos del TJUE,” desde su punto de vista
”En primer lugar, ha declarado legal y ha mantenido en vigor el artículo 10.1.a del Reglamento LOPD, rechazando el recurso en ese punto. De esa forma, sólo si una norma aplicable en España admite tratar los datos sin el consentimiento del afectado se podrá efectuar ese tratamiento. Respecto a si una Directiva podrá aplicarse también, la sentencia lo admite de pasada pero la forma en que lo hace sugiere que sería sólo en casos de aplicación directa (como sucede con un Reglamento Comunitario) o de no trasposición correcta de la Directiva.
En segundo lugar, ANULA el 10.2.b del Reglamento LOPD. La redacción del fallo de la sentencia es imprecisa en este punto, porque lo que se tendría que haber hecho es anular el requisito de que los datos estén en fuentes accesibles al público, no el conjunto del 10.2.b. Al anular el apartado en bloque, elimina también la habilitación para usar sin consentimiento los datos personales de los afectados cuando haya un interés legítimo del responsable del fichero.
Con lo cual estaríamos peor que antes del recurso. Imaginamos que se pondrá inmediatamente un recurso de aclaración para que el Tribunal Supremo declare en vigor todo el apartado salvo la restricción de “fuentes accesibles al público” que era la que se buscaba anular. Si no fuera así, habría que defender una aplicación directa de la directiva, una fórmula posible y con cierto apoyo en esta sentencia (cuando habla del 10.1.a) y en la del TJUE, pero incómoda porque requiere confiar en una fina argumentación jurídica y en jurisprudencia española y comunitaria, más que en una norma española específica.
Ello puede retraer a empresas deseosas de poner en marcha esquemas innovadores de captación y gestión de datos. Incluso si se aclara que el apartado sigue en vigor, la AEPD es probable que sostenga que el Supremo opina (indirectamente) que la protección de los derechos fundamentales puede válidamente exigir que los datos recogidos de forma ilegal, engañosa o sin un consentimiento por parte del afectado para esos fines concretos no puedan tratarse ni cederse al amparo del 10.2.b “modificado”. El debate continúa así pues, y será necesario validar cada nueva fuente de datos que queramos usar.
En todo caso, el Tribunal Supremo le ha dado a la AEPD y al gobierno, probablemente sin querer, la pista para cerrar la ventana que ahora se ha abierto.
Si el gobierno traspasa la restricción de que los datos deben venir de “fuentes accesibles al público” desde el inicio del apartado al final (como una forma de proteger los derechos fundamentales de los afectados, más que como una condición adicional), el Tribunal Supremo podría no poner obstáculos a su validez. Es por ello previsible que, de uno y otro lado, el gobierno esté sometido a fuertes presiones para que lo haga o se abstenga de hacerlo.”
Por su parte, Fco. Javier Carbayo, asociado senior del área de Governance, Risk & Compliance de ECIJA comenta que realmente, esta Sentencia trae causa de una del Tribunal de Justicia de la Unión Europea (TJUE) de 24 de noviembre de 2011.
De hecho, en un momento determinado, la propia Agencia Española de Protección de Datos ya emitió una Nota de prensa sobre la citada Sentencia del TJUE que se puede ver en este enlace que adjuntamos a continuación, donde se llegaba a decir , entre otras cosas, principalmente que:,
a) la interpretación y la aplicación que hasta el momento se ha venido realizando en España, tanto por la AEPD como los órganos judiciales, ya se estaba llevando a cabo una ponderación en la línea de lo exigido por el artículo 7 f) de la Directiva, atendiendo a criterios diversos, tales como la finalidad del tratamiento de los datos, el marco legal aplicable, -p. ej. La existencia de una ley que ampare intereses legítimos- o circunstancias concurrentes en el caso como, entre otras, la existencia de una relación jurídica, o que los datos figuren o no en fuentes accesibles al público.
b) de la Sentencia del TJUE no parece derivarse una alteración sustancial del marco vigente de protección de los datos personales en España si bien en el futuro será preciso acentuar la ponderación de las circunstancias que concurran en cada supuesto concreto para decidir sobre la legitimidad del tratamiento.
c) se necesita la Sentencia del Supremo que ahora ha recaído, puesto que al fin y al cabo la sentencia del TJCE resuelve una cuestión prejudicial planteada ante aquel.
A juicio de Carbayo, esta Sentencia del Tribunal Supremo es seguidora de la opinión del TJCE; “la cuestión ahora es, por un lado, delimitar qué se entiende por “interés legítimo”, y por otro lado, ver qué pasa con las sanciones dictadas con amparo al art. 10.2.b RLOPD, que la Sentencia anula. “
La cuestión es que la Agencia ha parecido querer anticiparse a este segundo efecto, indicando en la citada nota de prensa que su interpretación hasta el momento se puede alinear con la del TJCE (tanto respecto al interés legítimo, como más importante aún, respecto a que éste no es el único criterio a ponderar en la mayoría de casos), lo que parece una “advertencia” a las reclamaciones contras sanciones ya impuestas.
“En definitiva, se elimina con la anulación del art. 10.2.b RLOPD la necesidad del requisito adicional de origen en fuentes accesibles al público para la invocación del “interés legítimo” como base del tratamiento, pero no se descarta que la decisión sancionadora no se pueda basar o no se pondere en base a otros requisitos adicionales o diferentes. Por tanto, la virtualidad práctica de la Sentencia del Tribunal Supremo es relativa o está aún pendiente de determinar, puesto que depende de cómo se re-interpreten las sanciones ya impuestas que puedan ser ahora objeto de recursos. E incluso, no se descarta un cambio normativo para perfilar el efecto de la sentencia del TJCE.”
Desde el Grupo Antevenio, empresa de publicidad digital, su directora juridica Analore Garcia, también vocal de ENATIC, recién constituida asociacion de profesionales de derecho de la información, señala que esta sentencia demuestra que España no ha llevado a cabo la transposición de la Directiva 95/46/CE en el respeto del espíritu de la misma.
A su juicio, en el sector de Internet, encontramos en demasiadas ocasiones normas que, con una interpretación paternalista de los derechos de los ciudadanos, limitan las posibilidades comerciales en muchos ámbitos, en perjuicio de las empresas y players españoles, también con respecto a sus competidores europeos, e incluso en detrimento de la concienciación de los ciudadanos como herramienta de control y decisión.
De la sentencia del Tribunal Supremo cabe resaltar sobre todo dos aspectos.
“En primer lugar, declara la nulidad del requisito adicional al del “interés legítimo perseguido” exigido por la norma como título habilitador para proceder al tratamiento o cesión de datos por un Responsable de Tratamiento sin el consentimiento del afectado. La Sentencia interpreta que el legislador español ha “añadido” un requisito limitativo adicional, el de la proveniencia de los datos de fuentes accesibles al público como conditio sine qua non para ampararse en la excepción del artículo 10.2.b) del RD 1720/2007, contraviniendo así la disposición europea. Declara, por lo tanto, la nulidad del precepto.”
Por otro lado, la Sentencia reitera que el artículo 7.f) de la Directiva tiene “efecto directo”, al ser contraria la norma nacional, por lo que debe interpretarse que el tratamiento de datos personales será lícito sin obtener consentimiento del afectado, si es necesario para la satisfacción del interés legítimo perseguido por el Responsale de Tratamiento y siempre que no se oponga a los derechos fundamentales de éste. ”
Por lo tanto, según comenta la responsable legal de Antevenio, “ahora mismo la coyuntura implica la necesidad de interpretar un concepto jurídico indeterminado: “El interés legítimo perseguido por el Responsable del Tratamiento”, debate que ya empieza a fraguarse en los medios.”
Ahora bien, no podemos olvidar que la Viviane Reding recientemente hizo una propuesta en forma de “paquete de medidas” cuyo espíritu, de momento, no parece indicar que vaya a permitirse una interpretación lata de este concepto.
Como conclusión final, Garcia indica que ”siendo una sentencia positiva, que aplana el camino para la armonización europea real, y de alguna manera censura la tendencia conservadora en las transposiciones normativas españolas.
Pero aún no sabemos cómo se instrumentará la interpretación del “interés legítimo perseguido” ni la modificación que, previsiblemente, aprobará España en un futuro cercano. Esperemos que el legislador tome en cuenta, además de su obligación de proteger los derechos de los ciudadanos, también su obligación de formar e informar a los mismos, no entorpeciendo así, el desarrollo y evolución sector del marketing y de Internet en España.”
Por último, APEP; Asociación Profesional de la Privacidad hizo público un comunicado suscrito por su presidente, Ricard Martínez, donde hace algunas puntualizaciones a la citada sentencia:
Desde esta entidad se señala que considerar que las empresas podrán comercializar datos personales sin pedir permiso supone una interpretación simplista y nada rigurosa del tenor literal de la sentencia.
Esta se limita a declarar:
La imposibilidad competencial de derogar lo dispuesto por el art. 6.2 de la LOPD.
- La conformidad del art. 10.2.a) RLOPD con la Directiva 95/46/CE.
La contradicción entre el citado art. 10.2.b) RLOPD y el art. 7.f de la Directiva 95/46/CE lo que determina su anulación.
La sentencia únicamente extrae como consecuencia de la resolución del Tribunal de Justicia de la Unión Europea en los asuntos C-468/10 y C-469/10 la primacía del Derecho de la Unión y el principio de de interpretación conforme reconocidos, entre otros, en la sentencia Costa contra Enel del 15 de julio de 1964.
Que, por tanto, no se excluye en absoluto la aplicación tanto de los principios generales de la LOPD como los propios de la Directiva 95/46/CE de los que la LOPD trae causa.
APEP recuerda en todo caso que los profesionales de la privacidad y los operadores deben actuar con rigor en esta materia y, a tal efecto, es muy conveniente subrayar algunos extremos relevantes:
1) El principio de interés legítimo es un concepto jurídico indeterminado que debe ser interpretado en función del contexto. Por tanto, tener un interés económico en tratar un dato no supone necesariamente que éste sea legítimo. Habrá que estar al caso concreto para apreciar la presencia de este interés.
2) Que este principio viene limitado por la protección del derecho fundamental a la protección de datos y a los demás derechos fundamentales del afectado tal y como se prevé en la Directiva 95/46/CE y que, por tanto, en cada caso habrá que ponderar con rigor si estos prevalecen frente al interés legítimo en tratar los datos.
3) Que, con independencia de la concurrencia de interés legítimo, en aquellos casos en los que se proceda a un tratamiento de datos personales sin consentimiento conviene extremar la diligencia de nuestros clientes en lo que afecta al deber de información del art. 5.4 LOPD y los supuestos de legítimo ejercicio del derecho de oposición al tratamiento conforme a lo dispuesto por el art. 6.4 LOPD y de modo muy específico, para el caso objeto de la demanda en los arts. 34 y 51 del RLOPD. Por otra parte, no deben olvidarse en ningún caso, caso de tratamientos con fines de marketing directo, los ficheros de exclusión regulados pro el art. 49 RLOPD.
Desde APEP se ve positivo que exista el necesario alineamiento de la LOPD con la Directiva 95/46/CE. Sin embargo, “debemos subrayar que esto no significa, ni puede significar de conformidad con la Directiva 95/46/EC, sin mayor detalle, abrir la puerta a la comercialización de datos personales obtenidos sin consentimiento.”
APEP sugiere que “ todo proceso de cumplimiento normativo en esta materia exige un estudio riguroso y adaptado al caso concreto. Conviene recordar que la propuesta del futuro Reglamento comunitario que pretende sustituir la Directiva 95/46/CE y sus trasposiciones nacionales concede una gran importancia a los conceptos de «data protection impact assesment» y «data protection by default», pero esos valores y procedimientos deben ser aplicados desde este mismo momento y, en especial, en casos difíciles como el que nos ocupa”.
Fuente: Diario Jurídico
Fecha: 15/02/2012
Suscribirse a:
Entradas (Atom)
Entradas
