El Parlamento Europeo trabaja en actualizar las normas de protección de datos
Esta semana el Parlamento Europeo ha organizado un seminario para periodistas los días 14 y 15 de Mayo para detallar y debatir sobre las diversas cuestiones que están en juego.
El paquete de propuestas legislativas para reformar las actuales normas europeas sobre protección de datos es una medida que pretende garantizar el derecho fundamental a la vida privada en un entorno cada vez más tecnológico.
La reforma aborda varias cuestiones, entre las que se encuentran la obligación de disponer de la explicita para tratar datos personales, el derecho a borrar información personal, y el estudio del comportamiento de una persona a través de análisis automáticos.
Derecho al olvido
La Comisión Europea defiende que los usuarios pueden solicitar que sus datos sean borrados si no desean que los sigan procesando.
Consentimiento explicito
La Comisión Europea propone que se pueda procesar información personal solo si previamente se ha obtenido el permiso del afectado/a.
Análisis del perfil y comportamiento
En la actualidad los datos personales se analizan de manera automática para predecir el comportamiento de las personas. Se plantea que solo se permitan estas prácticas con consentimiento previo.
Transparencia
Según la propuesta las empresas y autoridades públicas deberían explicar claramente sus políticas de privacidad y nombrar un responsable si cuentan con al menos 250 empleados.
Multas
Para el incumplimiento de las normas, se plantean multas que se elevan hasta un máximo de un millón de euros o el dos por ciento de la facturación anual global de la empresa infractora.
A finales de Junio de 2013 la comisión de Libertades Civiles, Justicia y Asuntos del Interior del Parlamento Europeo votará esta reforma legislativa. Después comenzaran las negociaciones entre los eurodiputados y los Gobiernos nacionales de la UE. Adoptar la legislación definitiva antes de las elecciones europeas previstas en primavera en 2014 es el objetivo.
La AEPD sanciona por enviar correos masivos incorrectamente
Es importante conocer que han sido ya varias las entidades sancionadas por la Agencia de Protección de Datos (AEPD) tras haber realizado un envío de correos masivos de forma incorrecta.
En esta ocasión exponemos el caso de la Fundación Santa María la Real, que es una escuela de restauración y conservación del Patrimonio, sita en Aguilar de Campo en la provincia de Palencia.
Dicha entidad remitió un correo a sus clientes para informarles de que la Fundación estaría presente en la Feria del Libro de Madrid. Por un error involuntario de la persona que realizó el envío, se remitió sin ocultar la direcciones de los demás destinatarios.
Fue una de esos destinatarios quien interpuso la reclamación ante la AEPD, después de haber recibido dicho correo, en el que figuraban las direcciones de correo de aproximadamente 1000 personas.
La AEPD inicio procedimiento sancionador por la posible infracción del articulo 10 de la LOPD, tipificada como grave. El articulo 10 de la LOPD dispone que “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero, o en su caso, con el responsable del mismo”.
El deber de secreto tiene la finalidad de evitar que quienes tratan los datos personales almacenados en los ficheros realicen filtraciones no consentidas por los titulares de los mismos.
En este caso se acreditó que el denunciante recibió dicho correo, en el que se visualizaban datos personales de múltiples personas por lo que se entiende vulnerado el deber de secreto.
El envío de mensajes electrónicos debe atender también a los requisitos previstos en el articulo 21 de la Ley 34/2002 de Servicios de la Sociedad de la Información y de Comercio electrónico (LSSI). Cuando al remitente del mensaje le sea exigible el deber de secreto y si no le son aplicables excepciones como las relaciones de ámbito domestico, es necesario utilizar la opción que ofrecen los programas de correo electrónico disponibles en el mercado que permite detallar las direcciones de los destinatarios múltiples en un campo especifico del encabezado del mensaje el campo CCO que significa Con Copia Oculta en lugar de utilizar el habitual CC.
En un principio si se considerase una falta grave, la sanción establecida por la ley, estaría en el rango de 40.001€ a 300.000€. No obstante, una vez revisado este caso, la AEPD determinó que al haber reconocido su culpabilidad y al no haber intencionalidad, ni reincidencia, se les aplicaría la sanción equivalente a las faltas leves. Finalmente la sanción impuesta fue de 2,000€.
Aumenta el conocimiento sobre protección de datos
Esta semana la Agencia Española de Protección de Datos (AEPD) ha hecho pública la Memoria del 2011.
En dicho documento se exponen los datos pormenorizados de las distintas acciones llevadas a cabo por la AEPD y se realiza un detallado análisis del uso de los servicios que se ha realizado tanto por los ciudadanos como por empresas y otras entidades.
Tal y como la Agencia indica “El creciente conocimiento de los ciudadanos sobre la protección de sus datos personales se ha traducido en un incremento de las solicitudes de información al Servicio de Atención al Ciudadano, así como del número de denuncias y de solicitudes de tutela de los derechos de acceso, rectificación, cancelación y oposición (derechos ARCO).”
Las consultas realizadas al servicio de Atención al Ciudadano han aumentado en casi un 30%, alcanzando la cifra de 134.635.
Según los datos publicados en el informe, las consultas relacionadas con el ejercicio de los derechos de acceso, rectificación, cancelación y oposición (ARCO), siguen siendo el principal motivo de consulta con un 28,81%. De estas consultas el 50,35% están relacionadas con el derecho de cancelación, lo que denota que al usuario le provoca rechazo que se utilice su información personal de forma indebida. También es indicativo que el 27,85% de ellas son consultas relacionadas con cómo ejercer el derecho de oposición.
El derecho de acceso a la información objeto de tratamiento motiva el 15,7% de las consultas, mientras que las consultas motivadas por el derecho de rectificación son 3,57%.
Más del 80% de las consultas sobre el ejercicio de los derechos antes citados, están relacionadas con la decisión de los usuarios de evitar el tratamiento de sus datos personales.
Otras consultas destacables son las que afectan al ámbito de aplicación de la Ley Orgánica de Protección de Datos (LOPD) no sólo en España, sino también sobre el tratamiento de datos de residentes en nuestro país, en páginas web alojadas en terceros países. Lo cual denota una mayor preocupación de los usuarios, respecto a las garantías que la actual legislación sobre protección de datos, les ofrece sobre el uso que las compañías multinacionales, que prestan servicios en Internet realizan de su información.
Derecho de acceso sobre nuestros datos personales
A continuación me hago eco de esta noticia, por ser un claro ejemplo de que todos nosotros, tenemos la posibilidad de ejercer nuestro derecho de acceso, sobre nuestros datos personales.
Las organizaciones, empresas y profesionales, que tratan nuestros datos personales, están obligados a aportarnos toda la información de la que dispongan.
Normalmente es poco frecuente poder demostrar la ausencia de documentación, es por ello que esta resolución es muy significativa.
La Agencia Española de Protección de Datos (AEPD) ha dictado una resolución favorable a un trabajador contra la mutua Asepeyo.
El trabajador asistido por la Federación de Industria y Trabajadores agroalimentarios de UGT de La Rioja (FITAG), presentó una reclamación ante la Agencia por entender que la mutua no había atendido correctamente, su derecho de acceso a su historial clínico completo.
El conflicto se inicio después de que tras sufrir un accidente laboral en el año 2006, el trabajador solicitase a la mutua el acceso completo a su historial clínico. La mutua en aquella ocasión no le facilito todos los datos, ya que no le entrego determinada información, aunque seguían asegurándole haber satisfecho completamente la solicitud.
Tras realizar la investigación y el análisis de los datos, la Agencia ha estimado la demanda del trabajador, instando a la Mutua a facilitarle una copia de las “observaciones de enfermería” y los datos que no le entregó en su momento.
Según la vigente Ley Orgánica de Protección de Datos (LOPD) el derecho de acceso podrá ejercitarse a intervalos de 12 meses sin necesidad de que el titular de los datos personales alegue justificación alguna. Podrá ejercitarse en periodos inferiores cuando se invoque un interés legítimo.
La información que se facilite comprenderá los datos de base del afectado y los resultantes de cualquier elaboración o proceso informático, así como el origen de los datos, los cesionarios de los mismos y la especificación de los concretos usos y finalidades para los que se almacenaron los datos.
Deberá resolverse la solicitud en un plazo de un mes desde su recepción y satisfacerse en los siguientes diez días a la notificación.
De acuerdo con la previsto en la LOPD constituye infracción grave el impedimento o la obstaculización del ejercicio de los derechos de acceso y oposición y la negativa a facilitar la información que sea solicitada. También puede considerarse como infracción muy grave la circunstancia de no atender u obstaculizar de forma sistemática el ejercicio de los derechos de acceso, rectificación, cancelación u oposición.
Tratamiento de datos con consentimiento
En 2008 la Federación de Comercio Electrónico y Marketing Directo, ahora llamada Adigital y la Asociación Nacional de Establecimientos Financieros (ASNEF) presentaron recursos ante el Tribunal Supremo contra el reglamento (RLOPD) que desarrolla la Ley Orgánica de Protección de Datos(LOPD). La norma contravenía una directiva europea redactada cuatro años antes para regular la protección de los datos europeos y apostaba por la libre utilización de esos datos.
El Tribunal Supremo ya ha dictado sentencia y ha anulado parte de la normativa española de protección de datos para adecuarla así a la normativa europea.
Toda empresa u organismo que trate datos de carácter personal debe contar con el consentimiento de la persona afectada. Entre las excepciones está la existencia del interés legítimo por parte de quien trata los datos. Y siempre que no prevalezcan las libertades y derechos fundamentales del interesado.
Hasta ahora en los casos en que no había consentimiento, solo se podían usar los datos obtenidos de fuentes accesibles al público (BOE, periódicos, listines telefónicos). Ahora los organismos y empresas que consideren que tienen un interés legítimo podrán alegarlo para tratar los datos.
El problema es que el principio de interés legítimo es un concepto jurídico indeterminado que debe en función del contexto ser interpretado. Por lo que tener un interes economico no supone que éste necesariamente sea legitimo.
Este principio viene limitado según la Directiva 95/46/CE por la protección del derecho fundamental a la protección de datos y a los demás derechos fundamentales del afectado. En cada uno de los casos habrá que considerar con rigor, si estos prevalecen frente al interés legítimo en tratar los datos.
No obstante en los casos en los que se realice un tratamiento de datos personales sin consentimiento habría que tener en cuenta las obligaciones respecto al deber de información del art. 5.4, y los supuestos del ejercicio del derecho de oposición al tratamiento conforme al art. 6.4 de la LOPD. También conviene tener en cuenta los ficheros de exclusión regulados en el art. 49 RLOPD.
Comentarios recientes