Scam: nueva estafa a través de Internet

Fecha: Agosto de 2009
Autor: Javier Alvarez Hernando (AC-ABOGADOS)
Publicado en Tribuna del Derecho.


Scam, en su traducción del inglés al castellano viene a significar estafa, timo. Con este anglicismo se identifica una nueva modalidad delictiva realizada a través de Internet, y que se ha dado a conocer en nuestro País, a finales del mes de julio, debido a la denuncia de una vecina de Tordesillas (Valladolid) a la que retiraron sin su consentimiento 2.700 euros de su cuenta bancaria, trayendo como consecuencia la imputación penal de cuatro personas que hacían labores de intermediación.

El scam tiene como particularidad el empleo de intermediarios en la comisión del delito, captados mediante ofertas de trabajo a través de Internet, en las que, bajo una apariencia respetable, se ofrecen grandes ingresos sin esfuerzo alguno. Tan sólo exigen disponer de una conexión a Internet y una cuenta bancaria propia.

Esta nueva figura delictiva, se articula en tres fases o momentos. En una primera, los estafadores, ubicados en su mayoría en países del Este de Europa, intentan captar a los futuros colaboradores o intermediarios, a través de llamativos anuncios en páginas web, en foros, o a través de correos electrónicos. La oferta del supuesto trabajo consiste, simplemente, en hacer de intermediario en transferencias internacionales de dinero, ofreciéndose un porcentaje de cada operación, en concepto de comisión.

Una vez que alguien parece interesado en ganar dinero por no hacer nada, se le exige que cumplimente un formulario de datos personales para comenzar el trabajo. Resulta destacable como, tanto los contenidos de estas páginas web, como los campos de los formularios de datos, contienen numerosos errores ortográficos y/o sintácticos, que deberían alertar al usuario respecto a la ilicitud de esta actividad.

En un segundo momento, los estafadores emplean la ya tradicional técnica del “phishing”. Es decir, proceden a remitir de forma masiva millones de correos electrónicos, haciéndose pasar por entidades bancarias reales, buscando que el correo tenga como destinatario a un usuario ingenuo de ese concreto banco, que a pesar de las advertencias continuadas de las entidades de banca electrónica, y a pesar de que los emails contienen innumerables faltas de ortografía, y cuyos enlaces remiten a sitios web con direcciones sospechosas, aun así, piquen y se decidan a teclear en la pantalla sus contraseñas de acceso a su cuenta.

Una vez que los estafadores han recopilado estos datos, comienza la tercera fase de la estafa. Proceden a realizar transferencias de fondos de esas cuentas hacia las de los trabajadores intermediarios captados en la primera fase. Verificado el ingreso, se apresuran a enviarles un correo electrónico indicando la forma y el modo de remitir el dinero (a través de empresas de envíos internacionales de dinero), previo descuento de la comisión correspondiente.

Todo este entramado de intermediarios y de envíos de dinero, hace que sea muy difícil la persecución policial de los delincuentes organizadores, y en cambio, sea muy sencillo localizar a los ingenuos intermediarios, que podrían ser considerados cómplices, o cooperadores necesarios de un delito de estafa, tipificado en el artículo 248.2 y 249 del Código Penal, contemplándose la pena de prisión de 6 meses a 3 años, si la cuantía de lo defraudado excede de 400 euros. En caso contrario, podría ser considerado como una falta del artículo 623.4, del mismo texto legal, penada con localización permanente de 4 a 12 días, o multa de 1 a 2 meses. Sin duda, todo un premio a la ingenuidad y la avaricia, quizá influenciadas por la necesidad en estos tiempos que corren.

Valladolid, a 6 de agosto de 2009

Auditoría de seguridad en materia de protección de datos

Fecha: Junio de 2009
Autor: Javier Alvarez Hernando (AC-ABOGADOS)
Publicado en: La Tribuna del Derecho. Junio de 2009



Desde un punto de vista genérico se puede definir el término “auditoría” como la revisión, consulta, verificación y obtención de evidencias sobre un hecho o sistema establecido, en base a unas normas de aplicación, mediante la certificación de personal cualificado y acreditado en la materia.

El concepto de auditoría tiene su origen primario en el siglo XVI, donde comerciantes navales utilizaron técnicas de revisión contable, con el fin de evitar fraudes por parte de los participantes en las expediciones. Más tarde, con la Revolución Industrial, la auditoría de cuentas se utilizó como medio para dar credibilidad a la información que suministraban las compañías cuando solicitaban financiación. En España, en el año 1928 un Decreto Ley estableció la obligatoriedad de la auditoría de cuentas para las Sociedades Anónimas, pero no fue hasta el año 1945 cuando se creó el Instituto de Censores Jurados de Cuentas de España. Desde finales de los años 70 la transcendencia de la Auditoría de Cuentas es notoria, por mandato legal, consistiendo, principalmente, en verificar y dictaminar si las cuentas anuales expresan la imagen fiel del patrimonio y de la situación financiera de la entidad auditada.

Por otro lado, en los años 80 se generalizan los modelos de Gestión de Calidad, exigiéndose auditorías, -que originan sus correspondientes certificaciones- sobre los estándares de gestión de procesos implantados en las empresas, surgiendo organizaciones como la BSI, ISO, o AENOR. En este marco, han ido surgiendo nuevas formas de aseguramiento de la calidad, con entidad propia, como por ejemplo, la gestión de la seguridad de la información, o la gestión del medioambiente.

De carácter obligatorio, por tanto no voluntario como en el supuesto anterior, se presenta tanto en la Ley de Prevención de Riesgos Laborales, como en el Reglamento de los Servicios de Prevención que la desarrolla, como uno de los instrumentos adecuados para garantizar la idoneidad de la actividad preventiva que, como resultado de la evaluación, necesita adoptar el empresario cuando dicha actividad es asumida por él mismo.

Finalmente, llegamos a las auditorías de seguridad de los ficheros y tratamientos de datos de carácter personal, que fueron introducidas, por primera vez, en el R.D. 994/1999, de 11 de junio, que aprobó el conocido como Reglamento de Medidas de Seguridad (RMS). Esta norma fue derogada recientemente por el Reglamento (R.D. 1720/2007, de 21 de diciembre) de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal.

Este R.D. 1720/2007, establece en su Título VIII (Arts. 79 a 114), las medidas de seguridad, de carácter técnico u organizativo, que todo responsable o encargado del tratamiento debe implementar. La referencia expresa a la realización de auditorías la encontramos en los artículos 96 y 110 del precitado R.D., y tiene como objetivo determinar si se han establecido, si son adecuadas y si se observan las medidas de seguridad recogidas en la norma.

La realización de estas auditorías es obligatoria para ficheros que contengan datos personales, que por su naturaleza, deban ser aplicados niveles de seguridad definidos como de nivel medio y alto. Esto es, ficheros que contengan datos que se relacionan en el artículo 81 del R.D. 1720/2007, entre otros, los relativos a la comisión de infracciones administrativas o penales; relacionados con ficheros dedicados a la prestación de información sobre solvencia patrimonial y crédito (ficheros de morosos); aquellos de los que sean responsables las Administraciones tributarias, Entidades Gestoras y Servicios Comunes de la S.S.; los que se refieran a datos sobre ideología, afiliación sindical, religión, creencias, origen racial, salud o vida sexual; o aquellos que contengan datos derivados de actos de violencia de género.

Estas auditorías deben realizarse, al menos cada dos años (o antes, si se han realizado modificaciones sustanciales en el sistema de información), bien de forma externa o interna, es decir, realizándola una persona de la propia organización o empresa, o por el contrario contratando a un auditor externo.
No se exige cualificación alguna para la realización de este tipo de auditorías, por lo que existen en el mercado multitud de empresas y “profesionales” que, sin especialización alguna en la materia, ofertan este tipo de servicios, con los riesgos que esto conlleva para quienes les contratan. Un auditor solvente, en materia de protección de datos, debe contar con una titulación en Derecho y con un Máster o Curso de postgrado de garantías, siendo necesario que cuente con una experiencia profesional acreditada.

No resulta aceptable, que los auditores de cuentas, de prevención de riesgos, de calidad… cuenten, como es lógico, con sistemas de acreditación que les habilita como tales, mientras que los auditores de seguridad de la información, en materia de protección de datos, puedan operar, sin ningún requisito o control institucional.

Por otro lado, tal y como exige el R.D. 1720/2007, el informe que elabore el auditor debe dictaminar sobre la adecuación de las medidas y controles establecidos en la propia norma; acerca de la identificación de deficiencias y propuesta de medidas correctoras o complementarias; incluyendo, además, datos, hechos y observaciones en que se basen los dictámenes alcanzados y recomendaciones propuestas por el auditor. Este informe debe quedar a disposición de la Agencia Española de Protección de Datos (AEPD), que pudiera requerirlo en un momento dado.

Finalmente hay que señalar que la AEPD ha publicado una “Guía de Seguridad de datos” (disponible en www.agpd.es ), con el objetivo de facilitar a los responsables de ficheros, y a los encargados de tratamientos de datos, la adopción de las medidas de seguridad exigidas, incluyendo, en lo que ahora nos interesa, una relación de comprobaciones, o de “checklist”, con el objeto de facilitar la realización de la auditoría de seguridad.


Valladolid, a 23 de junio de 2009

Reclamaciones de los usuarios de servicios de telecomunicaciones

Fecha: Marzo de 2009
Autor: Javier Alvarez Hernando (AC-ABOGADOS)
Publicado en: Avance Normativo Editorial Europea de Derecho. Mayo de 2009


No me explico como en una sociedad como la nuestra, que se rige por un elevado numero de normas jurídicas relacionadas con la defensa de los consumidores, con gran cantidad de asociaciones (me decanto por FACUA, por su combatividad), con innumerables juntas arbitrales de consumo (de los municipios, de las comunidades autónomas…), con tantas y tantas oficinas de atención al usuario, con la inestimable presión de los medios de comunicación y como no, con la existencia de nuestra decimonónica Administración de Justicia, se siga permitiendo que las compañías de telecomunicaciones abusen de los usuarios (o sea de todos los ciudadanos) y se sigan aprovechando de su posición de fuerza y de la ineficacia de los sistemas de defensa (normativos, institucionales…) de los consumidores y usuarios.

Existe una extensa normativa específica en el ámbito de las telecomunicaciones que tiende a proteger a los usuarios de estos servicios, en distintas facetas, a saber: la Ley General de Telecomunicaciones de 2003; el Reglamento sobre las condiciones para la prestación de servicios de comunicaciones electrónicas, el servicio universal y la protección de los usuarios (RD 424/2005); la Ley Orgánica de Protección de Datos (LO 15/1999); la Orden ITC/308/2008, que regula la prestación de servicios de mensajes de texto y multimedia; la Orden ITC/1030/2007, que regula el procedimiento de resolución de las reclamaciones y la atención al cliente por los operadores; la Orden ITC/912/2006, que regula la calidad de los servicios de comunicaciones; o todas las normas que regulan los Servicios de Tarificación Adicional (STA), como son, la Orden PRE/361/2002, la Orden PRE/2410/2004, o la Resolución de la Secretaría de Estado de Telecomunicaciones y para la Sociedad de la Información, de 15 de septiembre de 2004, sobre el Código de Conducta que deben observar los citados STA.

A pesar de todo ello, a nadie se le escapa que se siguen produciendo situaciones de abuso en las relaciones entre usuarios y operadoras. Así lo corrobora, además, la Oficina de Atención al Usuario de Telecomunicaciones (adscrita al Ministerio de Industria, Turismo y Comercio), en sus estadísticas correspondientes al año 2008, dónde se señala que el número de reclamaciones ascendió a 24.679, lo que supone un aumentó de casi un 25% respecto al año anterior. Las resoluciones de la citada Oficina, resolviendo dichas reclamaciones, han dado la razón al usuario en el 85,6% de las mismas.

Las reclamaciones más frecuentes se centran, entre otras, en disconformidades con las facturas, demoras en la baja de los servicios contratados, negativas a la portabilidad del número, en telefonía móvil, e interrupciones del servicio. No pocos usuarios se encuentran con situaciones esperpénticas, como por ejemplo, cuando se encuentran con facturas de un operador con el que no se ha contratado ningún servicio (o habiéndolo hecho, pretenden facturarle por servicios añadidos).

Muchos reaccionan –bien por desconocimiento, bien por hartazgo- devolviendo el recibo bancario, no sin antes haber llamado por teléfono en innumerables ocasiones a la compañía. Esto provoca que las operadoras reclamen automáticamente esa supuesta deuda a través de sus departamentos de recobro, o a través de la subcontratación de empresas especializadas, que tratan de amedrentar al cliente con sus escritos engañosos que dan apariencia, en algunos casos, a los legos en Derecho, de que es un Juzgado el que le reclama la deuda.
Todo ello, sin contar con que las compañías amenazan con incluir al sufrido usuario en ficheros de morosos (denominados ficheros de solvencia patrimonial y crédito), como ASNEF, o EXPERIAN. En otras ocasiones -las menos- se reclaman las supuestas deudas a través de procedimientos monitorios. Ante esta batería de acciones el usuario capitula y paga esos miserables treinta euros que le reclaman con el único objetivo de que lo dejen en paz.

¿Y qué debemos hacer como usuarios para intentar evitar todo esto y hacer valer nuestros derechos? Pues bien, lo primero es dirigirse al departamento de atención al cliente del operador bien por teléfono, por correo postal u ordinario o directamente en sus oficinas, si las tiene, en el plazo de un mes desde que conocimos el motivo de la queja (o, en su caso, desde la fecha de recepción de la factura).

Están obligados a dar número de referencia de la reclamación y a que nos remitan, por escrito, un acuse de recibo, de la misma, si lo hacemos vía telefónica. Si en un mes no contestan o la respuesta es insatisfactoria, se puede acudir a una Junta Arbitral de Consumo, o bien directamente interponer una reclamación ante la Oficina de Atención al Usuario de Telecomunicaciones (http://www.usuariosteleco.es) teniendo como plazo otros tres meses más. Este organismo dictará una resolución sobre el asunto planteado, en el plazo máximo de seis meses, resolviendo, según proceda, exigiendo la restitución de derechos vulnerados por la compañía, o bien, obligando al operador en cuestión a devolver las cantidades indebidamente cobradas.

En el caso de haber incluido al usuario injustamente en un fichero de morosos, debemos solicitar el amparo de la Agencia Española de Protección de Datos (www.agpd.es) y en último extremo, se puede solicitar una indemnización por daños y perjuicios ante la jurisdicción ordinaria, como en una reciente sentencia de la Audiencia Provincial de Madrid que, por primera vez, reconoce el derecho de un usuario a ser resarcido con 6.100 euros en concepto de daños morales.


Valladolid, 25 de marzo de 2009

Sistema de registros administrativos de apoyo a la Administración de Justicia

Fecha: Febrero de 2009
Autor: Javier Alvarez Hernando (AC-ABOGADOS)
Publicado en: Avance Normativo Editorial Europea de Derecho. Abril de 2009


Dentro de las acciones, que muy lentamente, se vienen implementando en el proceso de modernización de nuestra decimonónica Administración de Justicia, destacamos la reciente publicación, en el Boletín Oficial del Estado, del Real Decreto 95/2009, de 6 de febrero, que regula lo que se ha venido a llamar el “Sistema de registros administrativos de apoyo a la Administración de Justicia”.

Esta importante norma conforma, por primera vez, el “Registro Central de Medidas Cautelares, Requisitorias y Sentencias No Firmes”, -creado, sin duda, por la alarma social que supuso el caso Mariluz- y permite la interconexión de los otros cuatro registros preexistentes: a saber, de Penados; de Protección de las Víctimas de la Violencia Doméstica; de Rebeldes Civiles; y de Sentencias de Responsabilidad Penal de los Menores.

El “Sistema de Registros” va a constituir un importante canal de información que servirá de apoyo a la actividad de órganos judiciales, Ministerio Fiscal, Fuerzas y Cuerpos de Seguridad del Estado y Cuerpos de Policía autonómica, y, limitadamente, a otros órganos administrativos, en el ámbito de sus competencias, como, por ejemplo, la Administración Penitenciaria o responsables autonómicos con labores de coordinación en materia de protección de víctimas de violencia de género.

Por primera vez una norma regula, de forma conjunta, todos estos registros unificando los criterios que determinan, entre otros, el contenido, el acceso, la cancelación y las medidas de seguridad aplicables de acuerdo con la normativa sobre protección de datos (L.O. 15/1999 y RD 1720/2007).

Con independencia de que todos los registros enumerados mantengan su individualidad, se pretende que además de que exista un único sistema informático de acceso global a todos ellos -siempre que se cuente con la correspondiente autorización-, se permita interactuar directamente desde las aplicaciones que ya están implementadas en los Juzgados (Minerva, Temis…).

En cuanto al acceso a la información contenida en el “Sistema de Registros”, destacamos que, el R.D. 95/2009 –artículos 5 a 7- permite al interesado, acreditando su identidad, solicitar el acceso, mediante exhibición, únicamente de los datos relativos a su persona contenidos en cualquiera de los Registros. El artículo 17 del R.D. concreta el modo en el que se materializa este acceso: mediante la certificación.

En lo que se refiere al nuevo “Registro Central de Medidas Cautelares, Requisitorias y Sentencias No Firmes”, el R.D. señala que se inscribirán las penas y medidas de seguridad impuestas en Sentencia No Firme por delito o falta, las medidas cautelares notificadas al imputado (siempre que no sean objeto de inscripción en el Registro Central de Protección de las Víctimas de la Violencia Doméstica), los autos de declaración de rebeldía y las requisitorias adoptadas por los Juzgados o Tribunales del orden jurisdiccional penal.

No hay duda que este Registro será (debería ser ya) un instrumento de gran utilidad para los órganos judiciales que contarán con más elementos de juicio en el momento de dictar resoluciones en un procedimiento penal, y más aun, si tenemos en cuenta que el sistema incluye una especie de tablón de alertas y avisos virtual, que permitirá a los órganos judiciales conocer, por ejemplo, si una persona incursa en algún procedimiento que viene tramitando en ese Juzgado, se ha visto afectada por cualquier otra circunstancia.

Respecto a la inclusión de datos en el “Sistema de Registros”, el artículo 13 del R.D., establece que se realizará de forma electrónica por parte de los secretarios judiciales (que deben verificar previamente el contenido de la información que ha sido cumplimentada por el personal de la oficina judicial). El legislador es consciente de las limitaciones técnicas existentes, por lo que el R.D. señala que cuando las condiciones técnicas lo permitan (es decir, se reconoce que aún no lo permiten y se establece un plazo máximo de 18 meses para ello) la transmisión de la información se realizará desde las propias aplicaciones de gestión procesal y las firmas plasmadas en documentos serán sustituidas por las correspondientes firmas electrónicas reconocidas.

En cuanto a los plazos en que deben comunicar la información, destacamos que, lógicamente, se exige su comunicación inmediata, y en cualquier caso, en el plazo de cinco días desde la firmeza de la sentencia o auto de rebeldía, o desde que se adopte la medida cautelar o Sentencia No Firme, o desde que se acuerde la comunicación edictal, en caso de inscripciones. En el supuesto del “Registro Central para la protección de Víctimas de Violencia Doméstica”, el plazo máximo se reduce a veinticuatro horas. ¿Son estos plazos realistas si tenemos en cuenta que hasta no hace mucho tiempo se tardaba un año en registrar una condena en el Registro de penados?

El Registro de Medidas Cautelares es la primera fase del proceso de interconexión de todos los registros a los que nos hemos referido, entrado en funcionamiento inicialmente con el de Protección de Víctimas de Violencia Domestica.

¿Y qué ocurre con las medidas cautelares, requisitorias y Sentencias No Firmes acordadas con anterioridad a la entrada en vigor del R.D.? Pues, su Disposición transitoria segunda fija el plazo de tres meses (es decir, hasta el 8 de mayo de 2009) para que se inscriban en el Registro. Plazo, que en todo caso se nos antoja insuficiente a la vista de la saturación endémica que padecen los Juzgados y Tribunales en España.

Valladolid, a 24 de febrero de 2009

Videovigilados

Fecha: Marzo de 2009
Autor: Javier Alvarez Hernando (AC-ABOGADOS)
Publicado en: Avance Normativo Editorial Europea de Derecho. Marzo de 2009

Viernes 13 de febrero. 08.00 horas. Como todos los días me dispongo a comenzar la jornada. Bajo al portal y me percato (nunca antes había reflexionado sobre ello) que el videoportero, que acaban de instalar, y que a todos los vecinos les pareció bien, en aras a la seguridad decían, es capaz de transmitir imágenes en tiempo real de todas aquellas personas que entran y salen del portal. No solo eso, sino que mi vecina del tercero, me asegura que además el ángulo de visión del videoportero alcanza una parte de la calle, ya que “resulta imprescindible para la finalidad de vigilancia que se pretende, resultando imposible evitarlo por razón de la ubicación del videoportero”.
En definitiva, que cualquiera de mis vecinos puede conectar su televisión y visualizar –o grabar- a su antojo. Me indica mi vecina, que todo es legal, ya que han inscrito el fichero en el Registro General de Protección de Datos, y que con eso mis derechos como vecino “video-portero-vigilado” están garantizados.

No le doy más importancia, así que me dirijo rápidamente al banco a retirar dinero. Nada más que accedo al interior de la sucursal me veo reflejado en una pantalla de televisión, comprobando la existencia de un cartel informativo que asegura que me están grabando a través de un circuito cerrado de videovigilancia. Eso sí, me advierte, con toda solemnidad, que tengo una serie de derechos como el de acceso, rectificación, cancelación y oposición a los tratamientos que recogen mi imagen, que dicen, guardan durante un mes. Al parecer tengo muchos derechos, pero no el derecho a que no me graben. Es por razones de seguridad, me asegura convencido el empleado del banco.

En fin, que no lo doy mas importancia y me dirijo al garaje a por el coche. Nada más acceder miro al techo y una luz roja intermitente me advierte de que vuelvo a ser objetivo de una videocámara. Me pregunto quién me estará viendo en ese momento. Parece ser que una empresa de seguridad autorizada por el Ministerio del Interior, según asegura un cartel amarillo. El mismo que me aclara que me encuentro en una “zona videovigilada”. Un escalofrío recorre mi espalda. Me recuerda a las advertencias de las películas bélicas: “zona militar minada” “Zona con valla electrificada... no acercarse”… Achtung!

Salgo de la zona “super-video-vigilada” de mi garaje y paso por una gasolinera a repostar. Mientras espero a que se llene el depósito miró hacia arriba y veo que una potente cámara dirige sus ojos mecánicos hacia mí. De nuevo veo un cartel amarillo que me informa de lo que ya se.

Continúo la marcha hasta mi oficina y me siento en mi puesto con la ilusión que se tienen los viernes al acercarse el fin de semana. Me informa mi compañero Lucas que han instalado cámaras en la oficina. Abro lo ojos sorprendido. Lucas me señala, que parece ser que el artículo 20.3 del Estatuto de los Trabajadores “faculta al empresario para adoptar las medidas que estime más oportunas de vigilancia y control para verificar el cumplimiento por el trabajador de sus obligaciones y deberes laborales”. Claro que todo ello sin que necesite dar mi consentimiento. Basta con que me informen con carteles. Eso sí, me consuela saber que no pueden registrar las conversaciones privadas y que “ésta medida se adopta, ya que no hay otra más idónea”. Además, el enlace sindical de la empresa me indica, que el empresario tiene en cuenta mis derechos y dignidad como persona, por lo que no me van a grabar en el baño o en la zona de descanso…

Salgo inquieto de la empresa, por lo que me acerco al gimnasio a quemar las energías negativas que me han ido entrando. En 5 minutos comienza una actividad deportiva impronunciable, por lo que espero en la sala. Miro por casualidad al techo y de nuevo localizo una cámara de videovigilancia con una luz roja amenazante. ¡Por Dios! ¿Aquí también? Pues sí, y también en el taxi que me llevó al centro, y en la tienda de sándwiches, y en la guardería de mi hijo… y, de nuevo, en el portal de mi casa.

El 28 de enero se celebró el Día Europeo de Protección de Datos. Según estadísticas proporcionadas por la Agencia Española de Protección de Datos, el sector de videovigilancia ocupa el tercer lugar en cuanto a denuncias recibidas. Asimismo, resaltan el notable incremento de los dos últimos años en las entidades responsables de cámaras de vigilancia inscritas en la Agencia. Hasta el año 2006 eras 700, en el año 2007 más de 5.000 y a 15 de enero de 2009 ya se superan las 15.500, de las que el 90 por ciento corresponden al sector privado. A veces me da la impresión que el Gran Hermano, no ya de Orwell, sino de Mercedes Milá, está entre nosotros.

Valladolid, a 9 de enero de 2009

Los peligros de las denominadas “redes sociales”

Fecha: Febrero de 2009
Autor: Javier Alvarez Hernando (AC-ABOGADOS)
Publicado en: Avance Normativo Editorial Europea de Derecho. Febrero de 2009


El auge espectacular de las llamadas “redes sociales” resulta sorprendente. Facebook, Tuenti, My Space, Xing Wamba… son algunas de las más aceptadas por los usuarios, los cuales aportan voluntariamente, y sin pensarlo dos veces, ingente cantidad de información personal, incluidas fotografías propias y ajenas, con o sin consentimiento de los terceros.

Formar parte de una de estas redes sociales es sencillo. Tan sólo es necesario cumplimentar un formulario en el que se pueden incluir voluntariamente desde datos básicos como: nombre y apellidos, dirección, correo electrónico…, hasta otro tipo de datos bastante más comprometidos, como el estado civil, ideología política o creencias religiosas. Igualmente, se pueden adjuntar, sin mayor problema, gran cantidad de fotografías y videos. Una vez que el usuario se ha registrado puede invitar a otros participantes de la red a unirse a su grupo, los cuales, si aceptan, pueden tener acceso a toda, o parte, de la información personal suministrada. Las relaciones pueden ser de distinto tipo, como, por ejemplo, amistad, contenido profesional, aficiones, etc. Complementariamente, el sistema propone al usuario aceptar a otros participantes, que presumiblemente pueden interesar al primero, al constar como amigos de amigos.

En definitiva, estas redes manejan ingente cantidad de información vulnerable que no siempre está bajo el control del usuario que la proporciona. El propio Facebook, en su Política de Privacidad, declara expresamente que “no podemos y no garantizamos que el Contenido de Usuario que publiques en el Sitio no será visualizado por personas no autorizadas”.

Conscientes de ello, las Autoridades de Protección de Datos de 37 países adoptaron, en el marco de la trigésima Conferencia Internacional de la Privacidad, celebrada en Estrasburgo, una Resolución relativa a la protección de la privacidad en redes sociales. Esta resolución advierte claramente de los potenciales riesgos de estos servicios para la privacidad de los usuarios y de terceras personas, proponiendo un conjunto de medidas preventivas para los usuarios y correctivas para los proveedores de los servicios de redes sociales. Así, se recomienda a los usuarios ser especialmente conscientes de la información que aportan, teniendo especial cuidado al incluir fotografías propias, o de terceros sin contar con su consentimiento. Se aconseja el uso de pseudónimos y se advierte a los menores de edad que no proporcionen datos sobre su domicilio o su número de teléfono.

Uno de los mayores peligros que suponen las redes sociales es el fraude de identidad con fines injuriosos, favorecido por la amplia disponibilidad de datos personales accesible en los distintos perfiles. En este sentido El País, el 3 de enero de 2009, se hizo eco de una noticia en la que señalaba que algunos alumnos de un colegio de Logroño crearon un perfil en una red social, haciéndose pasar por un compañero, aportando una fotografía retocada, siendo objeto de mofa por parte de otros alumnos del centro. Según la citada noticia, estos hechos han sido denunciados por el colegio.

Es claro, que en estos foros, con una cierta sensación de impunidad, se cometen, con mucha frecuencia, determinados delitos, como, por ejemplo, los relativos al descubrimiento y revelación de secretos (art. 197 CP) e injurias graves hechas con publicidad (arts. 208 y sig. CP).

Otro de los potenciales riesgos se conforma en materia de protección de datos, si tenemos en cuenta que muchos datos incluidos en los perfiles (entre ellos la fotografía) están accesibles fuera de la red social, al ser indexados o utilizados por los buscadores. Facebook, en su sitio web, lo confirma señalando que los buscadores pueden acceder a datos personales, como el nombre o la foto de perfil, y a “cierta información limitada acerca del perfil”.

Las autoridades de protección de datos han advertido, además, de ciertas prácticas que están empezando a usarse por responsables de recursos humanos, con la herramienta de las redes sociales como instrumento fundamental, con el fin de investigar los perfiles de un empleado o un candidato a un puesto de trabajo. No obstante, existen redes sociales profesionales que tienen, entre otros, este objetivo, como por ejemplo Xing, que afirma contar con cinco millones de profesionales en su red.

Finalmente, objeto de estudio monográfico tendría que tener el uso de los datos incluidos en las redes sociales con fines comerciales y publicitarios. La valiosa información proporcionada voluntariamente por el usuario resulta especialmente atractiva para las empresas, y mucho más para los propios proveedores de servicios de redes sociales que han visto en este fenómeno una forma de obtener importantes ingresos. Sirva como muestra una frase que Facebook incluye en su Política de Privacidad: “si pones una película favorita en tu perfil, podemos proporcionarte un anuncio que haga hincapié en el estreno de una película del mismo estilo en tu ciudad. Pero no le decimos a la productora cinematográfica quién eres”. Todo un detalle.