Blog de Javier Álvarez Hernando

El “cloud computing” y la protección de datos personales.

2011-07-20T20:28:00.000+02:00

Javier Álvarez Hernando
www.ac-abogados.es

Cada vez resulta más habitual encontrarse con profesionales y empresas que deciden almacenar online información, más o menos sensible, relacionada con su actividad (por ejemplo, datos de clientes, documentos, presentaciones, copias de seguridad…), o bien, optan por utilizar aplicaciones informáticas de gestión (o de otro tipo) directamente a través de Internet, o más bien, en lo que se ha llamado por sus siglas en ingles como “cloud”, es decir, en la nube.

Pues bien, técnicamente una nube es un conjunto de dispositivos de comunicaciones por los que circula la información en los procesos de transmisión a través de Internet. Cuando a ese medio de transporte se le añade la posibilidad de procesamiento de la información, es cuando nos encontramos con el conocido como cloud computing. Se trata, en síntesis, de utilizar una aplicación informática que almacena la información en servidores que están bajo el control de una tercera entidad prestadora del servicio.

El cloud computing se caracteriza porque el usuario dispone de servicios a la carta o bajo demanda compartiendo recursos con otros usuarios, con independencia de la localización exacta de dichos recursos que puede no ser conocida por el usuario del sistema. Por otro lado, se puede acceder a la red desde diferentes dispositivos (PC, móvil, PDA…) y de una forma rápida y aparentemente ilimitada. Existe, por otro lado, una capacidad de control por parte del prestador del servicio sobre el uso y el nivel de recursos utilizado.

Los tipos de servicios que se pueden desplegar en un cloud computing pueden presentarse a nivel de software (las aplicaciones son del prestador y se ejecutan en la nube); de plataforma (las aplicaciones del usuario se ejecutan en la infraestructura del proveedor); y de infraestructura (el proveedor ofrece los recursos básicos y el usuario, o consumidor, controla el sistema operativo e incluso determinados componentes de red, como por ejemplo, firewalls o cortafuegos).

Tal y como refiere la Revista Abogados del CGAE, de Junio de 2011, un informe realizado por el “Centre for Economics and Business Research” (www.cebr.com), que data de 2010, estima que la tecnología cloud se convertirá en cinco años en uno de los principales impulsores de la creación de negocio, competitividad y crecimiento económico. Este estudio prevé la reducción de costes neta acumulativa, derivada del empleo de esta solución tecnológica, entre los años 2010 y 2015, de 22.000 millones de euros.

En cuanto a los principales frenos a la adopción de sistemas de servicios cloud, la mayoría de los estudios que pueden consultarse señalan, en primer lugar la falta de seguridad, seguido muy de cerca de la incertidumbre que genera la legislación relativa a la ubicación de la información, especialmente respecto a la normativa sobre protección de datos. Y no resulta baladí esta inquietud respecto a los problemas de seguridad física, lógica y jurídica que pueden (y de hecho, se dan) en los servicios de cloud, los cuales se están prestando por entidades ubicadas en países en los que la instalación de procesos de este tipo es más rentable, es decir, cuyos costes son mas bajos.

Pues bien, si tenemos en cuenta la vigente normativa de protección de datos (fundamentalmente la L.O. 15/1999, de 13 de diciembre –en adelante, LOPD-; y el R.D. 1720/2007, de 21 de diciembre –en adelante, RLOPD-) la contratación de un proveedor de servicios de “cloud computing” conforma un supuesto de tratamiento de datos por cuenta de terceros, de manera que el prestador del servicio en la “nube” adquirirá el carácter de encargado del tratamiento siempre que no pueda en modo alguno decidir sobre el contenido, finalidad y uso del tratamiento y siempre que su actividad no le reporte otro beneficio que el derivado de albergar los datos, sin utilizarlos en modo alguno en su provecho.

Al prestador del servicio de “cloud” le serán aplicables todas las obligaciones recogidas en los artículos 12 de la LOPD y 20 y siguientes del RLOPD, entre otras, la obligatoriedad de suscribir un contrato por escrito que incorpore las cláusulas que determinan los artículos meritados. Por otro lado, si dicho servicio de “cloud” es contratado por el propio encargado del tratamiento, será de aplicación lo previsto en el artículo 21 del RLOPD, respecto a la posibilidad de subcontratar los servicios.

La segunda cuestión de interés que es necesario tratar está relacionada con la circunstancia de que como consecuencia del uso de servicios en la “nube” se puede llegar a producir, lo que se denomina por la normativa, una “transferencia internacional de datos” (en adelante, TID).

Una TID se produce cuando se realiza un tratamiento de datos que implica transmitirlos fuera del Espacio Económico Europeo ─es decir, fuera de los 27 países integrantes de la Unión Europea, Islandia, Liechtenstein y Noruega─, que constituya una cesión de datos, o tenga por objeto tratamientos de datos realizados por entidades encargadas del mismo, por cuenta del responsable del fichero establecido en España. Si se da una TID es de aplicación lo previsto en los artículos 33 y 34 de la LOPD; y 65 a 70 del RLOPD.

Las TID efectuadas desde España requieren, como regla general, la previa autorización del Director de la Agencia Española de Protección de Datos (en adelante, AEPD). No obstante, los artículos 34 de la LOPD y 67.1 del RLOPD excluyen tal requisito para determinados supuestos, como por ejemplo, cuando la transferencia tenga como destino un Estado miembro de la Unión Europea o un Estado respecto del cual la Comisión Europea, en el ejercicio de sus competencias, haya declarado que garantiza un nivel adecuado de protección, equiparable al establecido en la Directiva 95/46/CE del Parlamento Europeo y del Consejo (hasta el momento, Suiza, Argentina, Guernsey, la Isla de Man, Jersey, Islas Feroe, Israel, Principado de Andorra, y por último, Uruguay). Igualmente se consideran como Estados de nivel adecuado de protección, y por tanto no requiere de la autorización del Director de la AEPD, las TID a Canadá y las entidades de EE.UU. adheridas a los principios de Puerto Seguro (Safe Harbor).

En el procedimiento enfocado a obtener la previa autorización del Director de la AEPD, ─fuera de los supuestos previstos en el artículo 34 de la LOPD─, se verificará, por parte de la AEPD, que se dan las garantías adecuadas de protección de los datos objeto de la futura transferencia internacional. El carácter adecuado del nivel de protección que ofrece el país de destino se evalúa por la AEPD atendiendo a todas las circunstancias que concurran en la TID, tomando especial consideración a la naturaleza de los datos y a la finalidad y duración del tratamiento; el país de origen y el país de destino final; las normas generales, o sectoriales, vigentes en el país tercero; el contenido de los informes de la Comisión Europea; y las normas profesionales y las medidas de seguridad en vigor en dichos países. Las Resoluciones del Director de la AEPD, por las que se acuerde que un determinado país proporciona un nivel adecuado de protección de datos son publicadas en el BOE, siendo accesible, además, a través de la web de la Agencia, una relación actualizada de países cuyo nivel de protección ha sido considerado adecuado.

En los casos en los que se pretenda realizar una TID con destino a un Estado que se considera que no proporciona un nivel adecuado de protección, según el artículo 70 del RLOPD, será necesario recabar la autorización del Director de la AEPD, el cual la concederá siempre y cuando exista un contrato escrito celebrado entre el exportador y el importador que garantice al afectado tanto los derechos y libertades fundamentales, como el ejercicio de sus derechos. Se considera que este contrato resulta adecuado si está adaptado a las cláusulas contractuales tipo que, para las TID, establecen las Decisiones de la Comisión Europea que dan cumplimiento a lo establecido en el artículo 26.4 de la Directiva 95/46/CE. En este sentido, es imprescindible apuntar que la realización de un tratamiento de datos por cuenta del responsable del fichero responsable del servicio de cloud, que implique una TID, debe respetar el contenido de lo que se conoce como “Cláusulas Contractuales Tipo”, que se incluyen en el Anexo de la “Decisión de la Comisión, de 5 de febrero de 2010, relativa a las cláusulas contractuales tipo para la transferencia de datos personales a los encargados del tratamiento establecidos en terceros países, de conformidad con la Directiva 95/46/CE”.

En definitiva, la contratación de un proveedor de servicios de “Cloud Computing” constituye un supuesto de tratamiento de los datos por cuenta de terceros y corresponde al responsable cumplir aquellos aspectos de la normativa de protección de datos que le sean exigibles conforme a la legislación española y, en particular, la relativa a la formalización de un contrato por escrito; y el cumplimiento, en su caso, de las reglas que rigen las TID.

Finalmente, deben tenerse muy en cuenta las graves consecuencias que puede suponer incumplir la referida normativa, ya que transferir datos personales, bien de modo temporal o definitivo, que hayan sido objeto de tratamiento o hayan sido recogidos para someterlos a dicho tratamiento, con destino a países que no proporcionen un nivel de protección equiparable, sin autorización del Director de la AEPD, constituye una infracción muy grave, de acuerdo con lo dispuesto en el artículo 44.4.d) de la LOPD, que conlleva exponerse a sanciones que van de los 300.001 a los 600.000 €.

Señalar, por último, que estamos con Ramón Miralles, en su artículo “Cloud computing y protección de datos”, (Revista de Internet, Derecho y Política Nº11. Octubre de 2010. UOC) cuando apunta que los aspectos más relevantes con el cumplimiento legal que deben ser considerados al tratar los servicios de “cloud computing” y protección de datos, son, en primer lugar, la perdida de control sobre el tratamiento de la información, tanto por parte de los afectados, como de los responsables del tratamiento; las dificultades de encajar jurídicamente a los encargados del tratamiento en las prestaciones de servicios de “cloud”; los problemas normativos que ocasionan las transferencias internacionales de datos y, finalmente, la resolución de incidentes sobre protección de datos en situaciones de multiterritorialidad.

20 de julio de 2011

REQUISITOS DE INCLUSIÓN EN UN FICHERO DE MOROSOS

2011-06-30T20:15:00.000+02:00

Contenido extractado de la obra «Guía práctica sobre protección de datos. Cuestiones y formularios». (Javier Álvarez Hernando. Lex Nova, 1.ª edición, junio 2011).

¿Cuáles son los requisitos de inclusión de una persona en un fichero relativo al cumplimiento o incumplimiento de obligaciones dinerarias?

Según el artículo 38 del RLOPD, los requisitos que tienen que concurrir para que se pueda producir la inclusión de datos de una persona en un fichero relativo al cumplimiento o incumplimiento de obligaciones dinerarias son los siguientes:

1. El artículo 29.4 de la LOPD establece que estos ficheros sólo pueden registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados.

Del tenor de este precepto deriva que la cesión de los datos contenidos en los ficheros de morosidad se encuentra admitida por la LOPD siempre y cuando la finalidad de la cesión se encuentre relacionada con el enjuiciamiento de la solvencia económica de los interesados, siendo los datos pertinentes para tal fin, y exigiéndose que la cesión quede perfilada y delimitada por «la finalidad a que se destinarán los datos cuya comunicación se autoriza o el tipo de actividad de aquel a quien se pretenden comunicar» (artículo 11.3 de la LOPD).

2. Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada. Es decir, que se trate de deudas realmente existentes, sin términos o condiciones pendientes de finalización o cumplimiento, de cuantía determinada y cuyo cumplimiento pueda exigirse por vía judicial.

Por tanto, la obligación cuyo incumplimiento haya generado la deuda ha de ser necesariamente de carácter dinerario, como expresamente indica el artículo 38 del RLOPD, quedando excluida, por tanto, la posibilidad de incluir datos cuando la relación obligacional no tenga tal carácter (así, por ejemplo, aquellas cuyo objeto sean prestaciones personales). También se excluye la posibilidad de incluir otros datos relativos a solvencia patrimonial o crédito distintos de los atinentes a aquellas obligaciones.

No existe, por otro lado, importe mínimo establecido en la ley para la comunicación de los datos.

3. Que no hayan transcurrido seis años desde la fecha en que hubo de procederse al pago de la deuda o del vencimiento de la obligación o del plazo concreto si aquélla fuera de vencimiento periódico. En este sentido, el artículo 29.4 de la LOPD (al igual que el artículo 41.2 del RLOPD) establecen que sólo se podrán registrar y ceder los datos que no se refieran, cuando sean adversos, a más de seis años. Esto no significa que el tratamiento pueda mantenerse durante un período de seis años, sino que la información contenida en el fichero común se debe referir a hechos que sucedieron, como máximo, seis años atrás.

En cuanto a la determinación del día del comienzo del plazo (dies a quo) de los seis años, la interpretación jurisprudencial mayoritaria (entre otras, la Sentencia de la Audiencia Nacional, de 14 de junio de 2002) considera que el inicio del plazo comienza con el vencimiento de la obligación incumplida.

En cuanto al modo de computar el plazo de seis años, la norma tercera de la Instrucción 1/1995 de la AEPD establece que «el cómputo del plazo (.) se iniciará a partir del momento de la inclusión del dato personal desfavorable en el fichero y, en todo caso, desde el cuarto mes, contado a partir del vencimiento de la obligación incumplida o del plazo en concreto de la misma si fuera de cumplimiento periódico».

Siguiendo a VIZCAÍNO CALDERÓN , lo que pretende el artículo 29.4 es que los datos adversos sean olvidados a los seis años, de tal manera que el afectado pueda recuperar su privacidad, que quedó limitada por la necesidad, en defensa de los intereses generales de que se hacía mérito más atrás, de registrar esos datos sin su consentimiento.

4. Es indispensable el requerimiento previo de pago a quien corresponda el cumplimiento de la obligación. Corresponde probar que se ha realizado este requerimiento a la entidad acreedora. En todo caso, este requerimiento debe ser dirigido a una persona en concreto y debe contener el importe exacto reclamado, en caso contrario no sería considerado válido (tal y como ha señalado la AEPD en el Procedimiento PS/77/2007) al igual que no lo sería requerir por un importe inferior a la cantidad que posteriormente se anota en el fichero común (Sentencia de la Audiencia Nacional, de 3 de mayo de 2007).

En ningún caso puede entenderse como efectuado un requerimiento previo de pago, con el sentido que estamos comentando, en el supuesto de remisión al afectado de una determinada factura. A este respecto, la Sentencia de la Audiencia Nacional, de 17 de julio de 2008, afirma que «con independencia de lo que se pueda considerarse en el ámbito civil respecto a si la remisión de una determinada factura constituye un requerimiento previo de pago a los efectos de constitución en mora del artículo 1100 del Código Civil, lo cierto es que a los efectos del ámbito de protección de datos en que nos encontramos, esta Sala (.) viene considerando que no puede equipararse la citada remisión de las facturas con el requerimiento previo de pago a que se refiere la Norma primera.1.b) de la Instrucción 1/1995, de 1 de marzo, de la AEPD».

La Sentencia de la Audiencia Nacional, de 18 de abril de 2007, señala a este respecto que «Las facturas emitidas no constituyen por sí mismas documento de requerimiento de pago ni indican por sí mismas que la ausencia de pago conllevara la inclusión de sus datos en los ficheros sobre solvencia patrimonial y crédito (.). No debe olvidarse que la inclusión de una persona en registros de solvencia patrimonial y crédito es un hecho de gran trascendencia, del que pueden derivarse consecuencias muy negativas para el afectado, de ahí la necesidad de ese requerimiento previo de pago exigido por la citada Instrucción, por lo que en modo alguno puede identificarse con la remisión de una factura para el pago del servicio prestado».

5. Por otro lado, tal y como exige el artículo 39 del RLOPD, el acreedor viene obligado a informar al deudor, en el momento en que se celebre el contrato y, en todo caso, al tiempo de efectuar el requerimiento previo de pago, al que nos hemos referido anteriormente, que en caso de no producirse el pago en el término previsto para ello y cumplirse los requisitos que estamos indicando, los datos relativos al impago podrán ser comunicados a ficheros relativos al cumplimiento o incumplimiento de obligaciones dinerarias, es decir, a ficheros de morosidad.

El artículo 38.3 del RLOPD obliga al acreedor, o quien actúe por su cuenta o interés, a conservar a disposición del responsable del fichero común y de la AEPD la documentación suficiente que acredite el cumplimiento de los requisitos que acabamos de mencionar.

6. El artículo 41.1 del RLOPD establece que sólo pueden ser objeto de tratamiento los datos que respondan con veracidad a la situación de la deuda en cada momento concreto. Por tanto, el pago o cumplimiento de la deuda traerá consigo la cancelación inmediata de todo dato en el fichero de morosidad.

7. La Norma Primera de la Instrucción 1/1995, de 1 de marzo, de la Agencia de Protección de Datos, relativa a la prestación de servicios de información sobre solvencia patrimonial y crédito, señala que «No podrán incluirse en los ficheros de esta naturaleza datos personales sobre los que exista un principio de prueba documental que aparentemente contradiga alguno de los requisitos anteriores. Tal circunstancia determinará, igualmente, la desaparición cautelar del dato personal desfavorable en los supuestos en que ya se hubiera efectuado su inclusión en el fichero».

Dos Sentencias del Tribunal Supremo, de 15 de julio de 2010 (Rec. 26/2008 y 23/2008) anularon parte del artículo 38.a) del RLOPD que establecía como requisito para la inclusión de los datos en un fichero de morosos:«Que no se haya entablado, por parte del supuesto deudor, una reclamación judicial o arbitral o administrativa o, tratándose de servicios financieros, no haya planteado una reclamación ante los comisionados de las entidades financieras (en los términos establecidos en el Reglamento de los Comisionados para la defensa del cliente de servicios financieros, aprobado por Real Decreto 303/2004, de 20 de febrero)».

Así las cosas, de acuerdo con la citada doctrina jurisprudencial, la mera impugnación de la deuda no supone per se un impedimento para su inclusión en los ficheros de solvencia, como ocurre en los casos en los que la impugnación no cuestiona la existencia o certeza de la deuda o cuando la impugnación no impide que pueda hablarse de una deuda cierta hasta que recaiga resolución firme, por carecer el órgano ante el que se interpone de competencia para declarar la existencia o inexistencia de la deuda a través de resoluciones de obligado cumplimiento para las partes. Es decir, si, por ejemplo, se ha entablado una reclamación en la que se rebate la existencia de la deuda ante un órgano administrativo que es competente para adoptar una decisión en los términos anteriormente expuestos, y aun así se incluyeran los datos en un fichero de solvencia, se estaría vulnerando el principio de calidad de los datos. En este sentido se ha pronunciado la AEPD en el procedimiento sancionador PS/00188/2010.

Finalmente, y desde un punto de vista más general, la Sentencia de la Audiencia Nacional, de 20 de abril de 2006, estableció respecto a los requisitos a observar para incluir los datos de una persona en un fichero de morosos que«(...) debe considerarse, que aquel que utiliza un medio extraordinario de cobro, como es el de la anotación de la deuda en un registro de morosos, debe garantizar el cumplimiento de todos los requisitos materiales (exactitud del dato) y formales (requerimiento previo) que permitan el empleo de este modo accesorio para conseguir el cobro de la deuda. No aplicar esta exigencia supondría, por el contrario, utilizar este medio de presión al recurrente sin el suficiente aseguramiento de las mínimas garantías para los titulares de los datos que son anotados en los registros de morosos».

Artículo publicado en Editorial Lex Nova.

Recomiendo nuevo libro. GUIA PRACTICA SOBRE PROTECCION DE DATOS. CUESTIONES Y FORMULARIOS.

2011-06-20T19:03:00.004+02:00

Se trata de un manual eminentemente práctico, estructurado en forma de preguntas y respuestas, que permite resolver las cuestiones más relevantes en materia de protección de datos de una forma rápida y sencilla.Cada capítulo contiene, además de la normativa específica de aplicación y documentos de interés, un extracto y/o comentario de las resoluciones de la Agencia Española de protección de Datos y sentencias más destacadas o con mayor trascendencia.
Contiene más de 50 formularios y modelos cumplimentables informáticamente que, permiten a cualquier organización o persona, sin conocimientos jurídicos previos, conocer cuáles son sus derechos en esta materia. Se incluyen, entre otros, documentos de seguridad, cláusulas legales, modelos de ejercicio de derechos de acceso, rectificación, cancelación u oposición, modelos de contratos, etc.
Esta obra está dirigida tanto a particulares como a profesionales del sector de asesorías y gestorías, abogados, comunidades, centros educativos y de salud, responsables de márketing y de recursos humanos...., entre otros, y, en general, a todos los responsables del cumplimiento de la normativa de protección de datos en las organizaciones, tanto púbicas como privadas. Y, presta especial atención a los ficheros de morosos; a la video - vigilancia; a los tratamientos de datos realizados por parte de abogados y procuradores; comunidades de propietarios, centros de salud y Administración Pública. Además, son objeto de estudio de tratamientos de datos en el ámbito de las relaciones laborales; los que se realizan a través de Internet ,así como los enfocados a la publicidad y la prospección comercial, a través bien de medios tradicionales o bien de las nuevas tecnologías de la información.

ÍNDICE:

Tema 1. Introducción a la protección de datos.
Tema 2. Obligaciones formales ( inscripción, modificación y supresión de ficheros en el registro general de protección de datos).
Tema 3. Principios de protección de datos ( Consentimiento. Calidad. Información. Comunicación de datos).
Tema 4. Acceso a datos por cuenta de terceros en el marco de una prestación de servicios.
Tema 5. Ejercicio de derechos ARCO (Acceso , Rectificación, Cancelación y Oposición).
Tema 6. Video - vigilancia.
Tema 7. Ficheros de " solvencia patrimonial y crédito" y " de cumplimiento o incumplimiento de obligaciones dinerarias".
Tema 8. Tratamientos de datos con fines de publicidad y prospección comercial.
Tema 9. Obligaciones en protección de datos para abogados y procuradores.
Tema 10. Protección de datos en las relaciones laborales.
Tema 11. Transferencias internacionales de datos.
Tema 12. Medidas de seguridad en materia de protección de datos.
Tema 13. Autorregulación y códigos tipo.
Tema 14. Infracciones, sanciones y procedimientos en materia de protección de datos.
Tema 15. Autoridades de protección de datos ( Nacionales, comunitarias e internacionales).
Tema 16. Formularios y modelos.

DATOS TÉCNICOS:
Autor: Javier Álvarez Hernando. 1ª edición ( junio 2011).
17 x 24 cm. 738 páginas. ISBN: 978 - 84- 9898- 394-4.
Código: MO512. PVP: 56, 73 € + 4% de IVA = 59,00 €.
Disponible también en formato e-book:
ISBN: 978-84-9898-353-1.
PVP: 38, 14 € + 18% de IVA = 45 €.

Mas información en:

https://tiendaonline.lexnova.es/producto/MO512/guia-practica-sobre-proteccion-de-datos-cuestiones-y-formularios

Aspectos materiales y procesales respecto a la retirada de contenidos ilícitos en Internet

2011-06-08T20:06:00.000+02:00

Javier Álvarez Hernando
www.ac-abogados.es

Hoy en día, nadie pone en duda que Internet se ha convertido en un medio de canalización universal de la libertad de expresión y de intercambio masivo de ingente cantidad de información (e incluso, provoca desinformación). No obstante, fácilmente en la Red se pueden localizar contenidos ilícitos, como por ejemplo, expresiones injuriosas o calumniosas contra alguien en foros o blogs, suplantaciones de identidad en redes sociales, manuales y “briconsejos” para montar un artefacto casero, falsificar un DNI, instrucciones y herramientas para “hackear” una página web o aprovecharse gratuitamente de la red wifi del vecino. Y que decir de la posibilidad de descargar películas, música, o programas informáticos, protegidos, guste o no, por la normativa de propiedad intelectual.

Frente a estas conductas ilícitas, nuestro Ordenamiento Jurídico proporciona mecanismos procesales que permiten retirar, bloquear e impedir el acceso a sitios webs que incluyen contenidos ilícitos y/o vulneradores de derechos fundamentales. En este sentido, el artículo 8 de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico (en adelante, LSSICE), se refiere a la posibilidad de establecer medidas de restricción frente a sitios web cuando se atente, o pueda atentar, contra el orden público, la investigación penal, la seguridad pública, la defensa nacional, la salud pública, a los consumidores o usuarios; contra la dignidad de la persona o contra el principio de no discriminación; la protección de la juventud y de la infancia; y por último (introducido expresamente por la Ley 2/2011, de 4 de marzo, de Economía Sostenible) contra la salvaguarda de los derechos de propiedad intelectual. Señala el citado artículo que los órganos competentes para la protección de los citados principios “podrán adoptar las medidas necesarias para que se interrumpa su prestación o para retirar los datos que los vulneran”. Por tanto, y atendiendo a los principios reseñados, en primer lugar, es posible solicitar el bloqueo total, o la retirada de contenidos concretos, de naturaleza ilícita ubicados en una página web, blog, red social o foro, como por ejemplo, injurias o calumnias, expresiones racistas, etc. En este sentido, es de aplicación el artículo 13 de la LECRIM que habilita al Juez a adoptar diligencias inmediatas para asegurar las pruebas del delito y comprobar e identificar al presunto responsable del mismo. Medidas, no obstante, que a la postre pueden devenir definitivas.

De este modo, es conveniente que el denunciante aporte a la causa una copia del contenido que se desea que se retire de Internet, bien en un soporte electrónico, bien mediante documento protocolorizado notarialmente, o a través de la fe pública del Secretario Judicial. Del mismo modo, resulta conveniente solicitar al Juez que ordene a las Fuerzas y Cuerpos de Seguridad del Estado, que además de verificar lo denunciado, informen acerca del Proveedor de Servicios de Internet (en adelante, ISP) que aloja el contenido presuntamente delictivo y detallen la concreta página web que aloja dicho contenido. Por otro lado, es clara la obligación de colaboración de los ISP, por lo que podrían invocarse los arts. 23.d 1ª; 53, 61.3, 85, 93 y 97 del Real Decreto 424/2005, de 15 de abril, por el que se aprueba el Reglamento sobre las condiciones para la prestación de servicios de comunicaciones electrónicas, el servicio universal y la protección de los usuarios.

El auto judicial que acuerde todo ello, deberá ser razonado y proporcionado atendiendo a los bienes jurídicos en juego (arts. 8.5 y 11.4 de la LSSICE) y ordenará dirigir mandamiento a las ISP para que lo antes posible tomen las medidas de restricción acordadas en dicho auto (art. 11.1 de la LSSICE). Las compañías de telecomunicaciones (ISP, en definitiva) están, como es lógico, obligadas a materializar a su costa esas actuaciones de retirada de contenidos (art. 33 de la Ley 32/2003, de 3 de noviembre, General de Telecomunicaciones).

No obstante, debe tenerse en cuenta que el establecimiento de una medida de bloqueo total a una página web presenta dificultades prácticas importantes, ya que mientras que se cierra el acceso a una dirección IP, ese sitio web puede migrar a otra dirección IP, o incluso podría alojarse en servidores fuera de la Unión Europea (o más bien, del Espacio Económico Europeo), por lo que la acción judicial se vería ralentizada, o incuso impedida. A ello, al menos en parte, pretende dar respuesta el art. 11.2 de la LSSICE al referirse al impedimento de acceso en España a una página web, señalando que, en estos supuestos, el juez puede ordenar a los prestadores de servicios de intermediación establecidos en España suspender el correspondiente servicio, o eliminar determinados contenidos. Esta medida es posible, ya que el ISP sólo ejerce una labor de intermediación de infraestructura de carácter técnico, limitándose a impedir que por sus líneas de acceso entren los contenidos ilícitos determinados por el Juez, provenientes del extranjero. En el marco de la UE es esencial, en materia de cooperación judicial, el Convenio de asistencia judicial en materia penal entre Estados miembros, de 29 de mayo de 2000, y el art. 8 de la LSSICE que permite a un juez español actuar sobre ISP del resto de países del Espacio Económico Europeo, incluso, de forma directa en casos de urgencia.

En cualquier caso, y con carácter general, destacamos que en la vía penal es igualmente predicable la clausura de páginas web por la vía de aplicación del artículo 129.3, en relación con el art. 33.7 del Código Penal, en lo referente a personas jurídicas.

Por otro lado, la LSSICE, en sus arts. 30 y 31, regula la acción de cesación, la cual se debe promover conforme a las prescripciones de la Ley de Enjuiciamiento Civil para esta clase de acciones. Esto es, se deberá realizar mediante los trámites del juicio verbal (art. 250.12 de la LEC). Igualmente, se prevé una acción de cesación específica en el art. 139 de la Ley de Propiedad Intelectual (Real Decreto Legislativo 1/1996, de 12 de abril) –en adelante, LPI-.

Respecto a la libertad de expresión, el art. 20.5 de la CE establece que sólo en virtud de resolución judicial se puede acordar el secuestro de publicaciones, grabaciones y otros medios de información. Esto es plenamente aplicable a las restricciones de acceso a sitios web, en consonancia con lo que indica el art. 11.3.2 de la LSSICE.

La adopción de medidas de restricción de contenidos en Internet no es competencia exclusiva de jueces y tribunales, como veremos a continuación.

La Ley 2/2011, de 4 de marzo, de Economía Sostenible, mencionada anteriormente, crea la Comisión de Propiedad Intelectual (art. 158 de la LPI), con el objetivo, entre otros, de salvaguardar los derechos de propiedad intelectual, estando legitimada para promover, en un tiempo record, la interrupción de una página web -o eliminación de contenidos- vulneradores de la LPI, siempre que actúen con animo de lucro (dispongan de publicidad, por ejemplo), o hayan causado, o sea susceptible de causar, un daño patrimonial. Es decir, todos los sitios de intercambio de archivos de música, películas y programas de ordenador, bien de descarga directa, bien a través de sitios web peer to peer (P2P).

Podemos afirmar que el procedimiento para la clausura o eliminación de contenidos ostenta una doble naturaleza. Por un lado administrativa, ya que es la Sección Segunda de la meritada Comisión la que requiere al presunto infractor para que en el plazo de 48 horas proceda a la retirada de esos contenidos, o en su caso alegue o proponga las pruebas que estime necesarias, que se practicaran en el plazo de 2 días. Posteriormente la fase de conclusiones tendrá el plazo máximo de 5 días, y en los 3 siguientes la Comisión dictará la resolución que proceda. En todo caso, la retirada voluntaria de contenidos pone fin al procedimiento.

En una segunda parte, de naturaleza judicial, para que la resolución de la Comisión sea ejecutable, es decir, se proceda a la efectiva eliminación de contenidos o la suspensión de un sitio web, éste órgano administrativo debe solicitarlo al juez competente para conocer estos asuntos (Juzgados Centrales de lo Contencioso-Administrativo, según el reformado art. 9 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa). El Juzgado tiene 24 horas para resolver desde que se efectuó la solicitud, previa audiencia del Ministerio Fiscal. En el supuesto de que pudieran verse afectados derechos y libertades garantizadas por el art. 20 CE (libertad de expresión…) en el improrrogable plazo de 2 días desde la solicitud de la Comisión, se convocará a las partes a una audiencia, resolviendo el juzgador como máximo en los 2 días siguientes, autorizando o denegando la ejecución de la medida. Resultan sorprendentes los brevísimos plazos que establece el legislador. Es evidente que esta reforma de la LPI obedece a las presiones de “lobbies” o grupos de presión tanto nacionales (SGAE,…) como internacionales (entre otros, EE.UU, según los documentos de Wikileaks).

En otro orden de cosas, la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos (LOPD), permite a un órgano de naturaleza administrativa, en este caso, la Agencia Española de Protección de Datos, la tutela de derechos como el de cancelación o de oposición frente a tratamientos de datos personales, estando habilitado el citado órgano a ordenar la cesación de tratamientos (art. 37.1.f LOPD); y la inmovilización de ficheros que contengan datos (una página web que contenga una relación de datos de personas físicas identificadas e identificables, por ejemplo), tal y como prevé el art. 49 de la meritada Ley Orgánica.

Finalmente, el art. 32 de la LSSICE permite, para temas comerciales, la solución extrajudicial para la retirada de contenidos en Internet, a través del arbitraje, códigos de conducta u otros instrumentos de autorregulación.

8 de Junio de 2011

Infracciones y sanciones en materia de protección de datos, tras la reforma introducida por la Ley 2/2011, de 4 de marzo, de Economía Sostenible.

2011-05-02T20:00:00.000+02:00

Javier Álvarez Hernando

www.ac-abogados.es

El legislador español, consciente de los problemas prácticos que por entonces presentaba, en materia sancionadora, la aplicación de la hoy derogada Ley Orgánica 5/1992, de 29 de octubre, de Regulación del Tratamiento Automatizado de los Datos de Carácter Personal, tuvo la intención, durante la tramitación parlamentaria de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos (LOPD), de profundizar en la materia desde una doble perspectiva: la seguridad jurídica consagrada en el artículo 25.1 de la Constitución Española y la ponderación de los elementos que concurren en las infracciones de ley, intentando ajustar la descripción de los derechos y deberes nacidos del tratamiento de datos a los tipos de infracciones. No obstante, la pretendida concreción y delimitación de conductas tipificadas no siempre se consiguió, dando lugar, en ocasiones, a la existencia de conceptos jurídicos indeterminados o a tipos infractores que exigían una interpretación extensiva de éstos para su aplicación. Con estas disfunciones pretende acabar la reforma del régimen sancionador, producido por la Disposición final quincuagésima sexta de la Ley 2/2011, de 4 de marzo, de Economía Sostenible, que introduce modificaciones a los artículos 43, 44, 45, 46 y 49 de la LOPD. Se pretende que ésta reforma aporte mayor seguridad jurídica y mayor precisión en la aplicación de la norma, además de permitir ampliar los criterios de modulación y adecuación de las sanciones.

Las infracciones y sanciones se regulan en el Título VII de la LOPD y se establecen tres modalidades de infracciones, en función de su gravedad, dividiéndolas en leves, graves y muy graves. Las infracciones leves se sancionan ahora con multa de 900 a 40.000 euros; las graves con multa de 40.001 a 300.000 €; y las muy graves, con multa de 300.001 a 600.000 €. Se contemplan en la LOPD, después la modificación introducida por la meritada Ley de Economía Sostenible, las siguientes infracciones leves:

a) No remitir a la AEPD las notificaciones previstas en la LOPD o en sus disposiciones de desarrollo;

b) No solicitar la inscripción del fichero de datos de carácter personal en el Registro General de Protección de Datos (RGPD);

c) El incumplimiento del deber de información al afectado acerca del tratamiento de sus datos de carácter personal cuando los datos sean recabados del propio interesado. El artículo 5 de la LOPD establece, entre otras cosas, que a los interesados a los que se soliciten datos personales se les debe informar en el momento de la recogida y de modo expreso, preciso e inequívoco de la existencia del fichero o del tratamiento, de la finalidad de la recogida, los destinatarios de esa información, del carácter obligatorio o facultativo de la respuesta a las preguntas planteadas, de las consecuencias de la obtención de los datos o la negativa a suministrarlos, la identidad y dirección del responsable del tratamiento o su representante, y de la posibilidad del ejercicio de derechos. El artículo 18 establece una regulación complementaria al señalar la necesidad de acreditar el cumplimiento del deber de información debiendo conservarse el soporte. No cumplir con esta obligación se califica como infracción leve. No obstante, cuando los datos hayan sido recabados de persona distinta del afectado y no se dé cumplimiento al principio de información, estaríamos ante una infracción calificada como grave por el artículo 44.3.f);

d) La transmisión de los datos a un encargado del tratamiento sin dar cumplimiento a los deberes formales establecidos en el artículo 12 de la LOPD. El deber formal al que debe entenderse que se refiere esta tipificación es la suscripción de un contrato por escrito, o por cualquier medio que permita acreditar su celebración, en el que se regulen las condiciones del acceso a datos por cuenta de terceros, en el marco de una prestación de servicios. El contenido de dicho contrato se determina en los artículos 12 de la LOPD y 20 y siguientes del RLOPD.

Por otro lado, son infracciones graves: a) Proceder a la creación de ficheros de titularidad pública o iniciar la recogida de datos de carácter personal para los mismos, sin autorización de disposición general, publicada en el “Boletín Oficial del Estado” o diario oficial correspondiente. Aunque la gravedad de la conducta es la misma, ya se trate de ficheros de titularidad pública o privada, las consecuencias son sustancialmente distintas. Ya que, mientras que en el caso de ficheros privados la sanción es pecuniaria, en el supuesto de la Administración Pública no cabe imponer una sanción económica, sino que se limita a la presentación de una proposición, por parte del Director de la AEPD, del inicio de actuaciones disciplinarias contra el funcionario infractor;

b) Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en la LOPD y sus disposiciones de desarrollo. El consentimiento es uno de los principios cardinales en materia de protección de datos. Su regulación se encuentra en el artículo 6, exigiéndose como regla general el consentimiento del afectado para tratar sus datos. No obstante, el apartado segundo del artículo 6 recoge las excepciones a la necesidad de obtener este consentimiento;

c) Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la LOPD y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave. Si se tratara de datos especialmente protegidos, el artículo 44.4.b agrava la sanción, considerándose como una infracción muy grave;

d) La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la LOPD;

e) El impedimento o la obstaculización del ejercicio de los derechos de acceso, rectificación, cancelación y oposición. No es necesaria una conducta activa de obstaculización, por parte del responsable del fichero, sino que basta, como así lo ha dicho la Audiencia Nacional, la simple desatención al ejercicio de los derechos;

f) El incumplimiento del deber de información al afectado acerca del tratamiento de sus datos de carácter personal cuando los datos no hayan sido recabados del propio interesado. La peculiaridad de la agravación de la sanción se refiere a cuando los datos fueron recabados por persona distinta del afectado;

g) El incumplimiento de los restantes deberes de notificación o requerimiento al afectado impuestos por la LOPD y sus disposiciones de desarrollo. El artículo 44.2.a de la LOPD contiene el tipo atenuado de este precepto, que peca, en nuestra opinión, de ser poco específico en su definición, cuando señala “incumplimiento de los restantes deberes”;

h) Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen. La infracción que se describe en este artículo, se limita a sancionar la omisión y no las consecuencias que pudieran derivarse de la falta de adopción de medidas de seguridad. Los requisitos y directrices a cumplir en materia de seguridad están previstos en los artículos 79 y siguientes del RLOPD;

i) No atender los requerimientos o apercibimientos de la AEPD o no proporcionar a aquélla cuantos documentos e informaciones sean solicitados por la misma. Es un tipo relacionado con la obstrucción a la actividad inspectora, aunque de distinta naturaleza.

j) La obstrucción al ejercicio de la función inspectora. Bastará con dificultar, poner obstáculos o no colaborar para que pueda estimarse esta conducta, sin perjuicio, de que se llegue, o no, al conocimiento de los datos o de la actividad investigada, pues lo que se sanciona no es un resultado sino una conducta que obstruye la tarea inspectora. Las sanciones más frecuentes por esta infracción alcanzan los 60.000 euros, si bien, ésta cantidad era la mínima que se preveía antes de la reforma introducida por la Ley 2/2011, de 4 de marzo, de Economía Sostenible;

k) La comunicación o cesión de los datos de carácter personal sin contar con legitimación para ello en los términos previstos en la LOPD y sus disposiciones reglamentarias de desarrollo, salvo que la misma sea constitutiva de infracción muy grave. Si se tratara de comunicaciones de datos especialmente protegidos, el artículo 44.4.b agrava la sanción, considerándose como una infracción muy grave.

Son infracciones muy graves:

a) La recogida de datos en forma engañosa o fraudulenta. Debido a la generalidad del precepto, la existencia de engaño o fraude debe acreditarse atendiendo a las circunstancias concurrentes a cada caso, tal y como se hizo en la Sentencia de la Audiencia Nacional, de 8 de junio de 2006;

b) Tratar o ceder los datos de carácter personal a los que se refieren los apartados 2, 3 y 5 del artículo 7 de la LOPD, salvo en los supuestos en que la misma lo autoriza o violentar la prohibición contenida en el apartado 4 del artículo 7. El Tratamiento o la cesión de datos, solo se considera infracción muy grave si afecta a datos especialmente protegidos. Si no fuera así, se tipifica como infracción 44.3.k.

c) No cesar en el tratamiento ilícito de datos de carácter personal cuando existiese un previo requerimiento del Director de la AEPD para ello. Lo que caracteriza a este tipo infractor es la desatención al requerimiento que haya podido realizar el Director de la AEPD al responsable del fichero o encargado del tratamiento. En este supuesto, no se exige que haya reiteración.

d) La transferencia internacional de datos de carácter personal con destino a países que no proporcionen un nivel de protección equiparable sin autorización del Director de la AEPD salvo en los supuestos en los que conforme a esta Ley y sus disposiciones de desarrollo dicha autorización no resulta necesaria. Recordamos que la transferencia internacional de datos se regula en los artículos 33 y 34 de la LOPD y 65 y siguientes del RLOPD. Por su parte, el procedimiento se establece en los artículos 137 y siguientes del RLOPD. El artículo 33 de la LOPD establece la regla general de necesidad de autorización previa por parte del Director de la AEPD para cualquier transferencia internacional de datos. El carácter adecuado de esta protección se evalúa atendiendo a las circunstancias que se recogen en el apartado segundo del artículo 33. Por su parte, el artículo 34 indica las excepciones tasadas a la prohibición general del artículo 33. La infracción muy grave que establece este precepto consiste en la realización de una transferencia, sin haber obtenido, previamente, la autorización del Director de la Agencia. Esta conducta es también sancionable en base al artículo 44.4.b) de la LOPD.

Graduación de las sanciones

Los criterios establecidos para la graduación de las sanciones son similares, con carácter general, a los recogidos en el Derecho Administrativo Sancionador y en el Derecho Penal. Según la Sentencia del Tribunal Constitucional 126/2005, entre los principios que tienen un origen penal, pero que son aplicables al procedimiento sancionador cabe incluir el derecho a la defensa, que proscribe cualquier indefensión; el derecho a conocer los cargos que se formulan contra el sometido a procedimiento sancionador, y el derecho a utilizar los medios de prueba adecuados para la defensa. Igualmente el TC considera vigente el principio de contradicción, al igual que sucede con el resto de garantías constitucionales que conforme al artículo 24.2 de la CE ordenan la potestad sancionadora de la Administración. Es el Director de la AEPD el que, de forma discrecional y atendiendo a la gravedad, impone la cuantía de la sanción. De acuerdo con el apartado 4 del artículo 45 de la LOPD, la cuantía de las sanciones se graduará atendiendo a: a) El carácter continuado de la infracción; b) El volumen de los tratamientos efectuados. Es decir, se aplicará un mayor baremo sancionador a aquellos que tengan un volumen de tratamiento de datos más elevado frente a aquellos que su volumen sea menor; c) La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal; d) El volumen de negocio o actividad del infractor; e) Los beneficios obtenidos como consecuencia de la comisión de la infracción. Para graduar la sanción se considera que dichos beneficios se deben relacionar con la conducta ilícita realizada y no con el volumen de beneficios derivados de la actividad económica de la entidad; f) El grado de intencionalidad. Sostenible cuando se trate de infracciones meramente administrativas, como, por ejemplo, la falta de notificación a la AEPD, pero sería de difícil aplicación cuando dicha intencionalidad afecte a derechos y principios rectores de la protección de datos. No obstante, es frecuente que las entidades sancionadas aleguen el devenir de errores técnicos, organizativos o informáticos; g) La reincidencia por comisión de infracciones de la misma naturaleza. Este criterio que sirve para cuantificar la sanción de la infracción, debe tener en cuenta las infracciones cometidas con anterioridad, sancionadas por una resolución firme y que versen sobre la misma materia; h) La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas; i) La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor; j) Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. Es evidente que cualquier criterio es válido para agravar la sanción en base a esta tipificación, creando, por tanto, una insoportable inseguridad jurídica

La AEPD suele ponderar la profesionalidad o no del sujeto infractor. Es por ello que cuando la actividad es de constante y abundante manejo de datos de carácter personal se insiste en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto.

Atenuación de la sanción

El artículo 45.5 de la LOPD prevé la posibilidad de atenuar la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate. Es decir que las infracciones graves sean consideradas leves y las muy graves, graves.

Los supuestos en lo que es posible esta atenuación, son los siguientes:

a) Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios de graduación de las sanciones contemplados en el apartado cuarto del artículo 45, como por ejemplo, la naturaleza de los perjuicios causados, la ausencia de reincidencia, la intencionalidad, el volumen de los tratamientos efectuados, etc.

b) Cuando la entidad infractora haya regularizado la situación irregular de forma diligente. Es decir, haya tomado medidas para cumplir con la LOPD y el RLOPD, como por ejemplo, elaborar e implantar un documento de seguridad, establecer protocolos en la organización respecto a los derechos ARCO, elaboración de jornadas formativas periódicas del personal con acceso a datos, encargo de auditorías de seguridad externas, etc.

c) Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.

d) Cuando el infractor haya reconocido espontáneamente su culpabilidad.

e) Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.

El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquélla en que se integra la considerada, en el caso de que se trate.

La Audiencia Nacional, de forma reiterada, como, por ejemplo, en sus Sentencias de 24 de mayo de 2002 y 16 de febrero de 2005, señala, en este sentido, que “(…) la presente regla debe aplicarse con exquisita ponderación y solo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas atendidas las circunstancias del caso concreto, de forma que repugne a la sensibilidad jurídica, siempre guiada por el valor justicia, la imposición de la sanción correspondiente al grado. Lo cual insistimos puede darse, por excepción, en casos muy extremos y concretos (…)”.

Finalmente, el apartado 6 del artículo 45 de la LOPD, establece que “en ningún caso podrá imponerse una sanción más grave que la fijada en la Ley para la clase de infracción en la que se integre la que se pretenda sancionar”. Algo que, por otra parte, resulta obvio.

Sanción de apercibimiento como gran novedad de la reforma.

Según establece el artículo 45.6 de la LOPD, de forma excepcional, la AEPD puede, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios relativos a la graduación de las sanciones (del artículo 45.4), no acordar la apertura del procedimiento sancionador y, en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos: a) Que los hechos fuesen constitutivos de infracción leve o grave; y b) Que el infractor no hubiese sido sancionado o apercibido con anterioridad.

Si el apercibimiento no fuera atendido en el plazo que la AEPD hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento.

Esta medida preventiva en el cumplimiento de la LOPD, de naturaleza no sancionadora, introducida por la disposición final quincuagésima sexta de la meritada Ley 2/2011, de 4 de marzo, de Economía Sostenible, resulta muy cuestionable desde el punto de vista del principio de seguridad jurídica, ya que se deja al arbitrio de la Autoridad de Protección de Datos decidir, si bien con condiciones, cuando inicia un procedimiento sancionador o no. Es cuestión de tiempo verificar como ante supuestos similares unos casos terminarán con una sanción y en otros con un mero apercibimiento.

Abril de 2011

Publicado en Avance Normativo de Editorial Europea de Derecho de Mayo de 2011

El derecho al olvido en Internet.

2011-04-04T19:48:00.000+02:00

Javier Álvarez Hernando
AC-ABOGADOS

Es sobradamente conocido que los buscadores de Internet, como Google, Yahoo, Bing, etc. muestran resultados que previamente han sido indexados de las páginas web donde originariamente han sido publicados, como ocurre, por ejemplo, con los boletines oficiales. En consecuencia, los datos personales permanecen relacionados en los buscadores de forma indefinida. Frente a ello, la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos, reconoce a los afectados el derecho a oponerse a estos tratamientos con sus datos. Pretenden, en definitiva, alcanzar mediante la eliminación definitiva de los mismos, “desaparecer” de Internet. Es lo que se conoce comúnmente como “el derecho al olvido”.

Este concepto no es nuevo, ya que un jurista estadounidense de nombre, Louis Brandeis, que fuera Juez de la Corte Suprema de los Estados Unidos de 1916 a 1939, lo definió como el derecho a que le dejen a uno en paz (the right to be let alone).

Según la Memoria de la Agencia Española de Protección de Datos (en adelante, AEPD), correspondiente al año 2009, las solicitudes de cancelación de los datos o de oposición al tratamiento de los mismos por los buscadores de Internet, aún no siendo muy numerosas en valores absolutos, se han incrementado en un 200%. Lo que revela que cada vez es mayor el interés mostrado por los ciudadanos para que no aparezcan sus datos personales en los índices que ofrecen los servicios de búsqueda en Internet a partir de los datos identificativos de una persona. De los casos planteados ante la AEPD, relacionados con la publicación de sus datos en ediciones digitales de diarios oficiales o medios de comunicación, destacan los siguientes: publicación de sanciones administrativas ya cumplidas; publicación por edictos de deudas vencidas; sanciones disciplinarias a funcionarios de prisiones que afectan a su seguridad; publicación de datos de una mujer y sus hijos menores, víctimas de violencia doméstica que facilitan su localización para el cónyuge; publicación en una página web que replica la edición electrónica de boletines oficiales de ayudas de exclusión social y desempleo; y publicación de indultos.

La AEPD en su Informe Jurídico 0214/2010, reconoce, con meridiana claridad, que los afectados o interesados pueden ejercitar el derecho de oposición frente a los buscadores, ya que “concurren todos los requisitos necesarios para que atiendan tal petición”. Además, la Agencia ha estimado varias reclamaciones de afectados, (por ejemplo, en los Procedimientos de Tutela de Derechos 00463/2007; 00444/2008; 01589/2008; y en el 00458/2010) reconociendo su ejercicio del derecho de oposición frente a Google Spain, S.L., instándola a adoptar las medidas necesarias para retirar los datos del interesado de su índice e imposibilite el acceso futuro a los mismos. La AEPD señala al respecto que “no existe, por tanto, una disposición legal en contrario respecto del ejercicio del derecho de oposición frente a Google. (…) Desde Google deberían haberse implementado las medidas necesarias para retirar los datos de su índice e imposibilitar el acceso posterior a los mismos.”

Por otro lado, el “Grupo de Trabajo del Artículo 29 de la Directiva 95/46/CE, de 25 de octubre de 1995, del Parlamento Europeo y del Consejo, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de éstos”, en su Informe de 4 de Abril de 2008, ha analizado la situación legal en relación con la protección de datos personales y los buscadores de Internet, llegando a la conclusión de que el periodo de conservación de datos personales por parte de dichos buscadores no debería sobrepasar los seis meses de plazo, ya que no existe una base legal para mantenerlos durante un periodo de tiempo mayor.

La Agencia viene recomendando, por otra parte, a la Administración Pública que proceda a adoptar las medidas oportunas para limitar la indexación del nombre y apellidos de los afectados, cuando se publican sus datos en boletines o diarios oficiales en Internet, mediante la incorporación de un código (NOROBOT.txt), con objeto de que los motores de búsqueda no puedan asociarlo a los interesados. En similares términos se pronuncia la Recomendación 2/2008, de 25 de abril, de la Agencia de Protección de Datos de la Comunidad de Madrid.

En cualquier caso, este criterio de la Agencia no deja de ser cuestionable, debiendo ser la Audiencia Nacional la que resuelva el conflicto al haber presentado el todopoderoso buscador Google los correspondientes recursos contencioso-administrativos frente a las resoluciones de la AEPD que les exigen eliminar datos de los afectados de sus resultados de búsquedas. Por de pronto, tal y como se ha publicado en elmundo.es, el 25 de febrero de 2011, la Audiencia Nacional ha dictado una providencia en la que pregunta a Google España y a la AEPD si procede recabar la opinión del Tribunal de Justicia de la Unión Europea, sobre quién debe eliminar en Internet los enlaces a contenidos con datos personales.

La posición oficial de Google es que “Exigir a los intermediarios, como los motores de búsqueda, que censuren el material publicado por otros tiene un efecto profundo y negativo sobre la libertad de expresión, sin que se proteja la privacidad de las personas".

El Director de la AEPD, en su comparecencia en el Congreso, el 1 de diciembre de 2010, se refirió expresamente al derecho al olvido en Internet, señalando que “el valor que nosotros le damos en términos relativos es alto, entre otras cosas, porque también hay situaciones personales detrás de cada una de esas peticiones que exigen y merecen esa protección. Pero también hay que hacer notar el hecho de que este derecho al olvido y las peticiones que lo acompañan no son un fenómeno nacional español, obviamente se enmarcan en una dinámica mucho más global y es una problemática que está alcanzando a otras muchas autoridades que también se encuentran en la misma dinámica de garantía de este derecho”.

Valladolid, a 09 de marzo de 2011

Artículo publicado en el Avance Normativo de abril de 2011 de Editorial Europea de Derecho.

Régimen Jurídico de la Videovigilancia en España.

2011-01-05T10:34:00.001+01:00

Javier Álvarez Hernando

AC-ABOGADOS

1.- Aplicación de la normativa sobre protección de datos.

Las imágenes, con independencia del formato en el que se contengan, tienen la consideración de datos personales. En este sentido, el artículo 5.1 del RLOPD (Real Decreto 1720/2007, de 21 de diciembre), precisa que constituye un dato de carácter personal “cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo concerniente a personas físicas identificadas o identificables.”

Los principios vigentes en materia de protección de datos personales son de aplicación al uso de cámaras, videocámaras y a cualquier medio técnico análogo, que capte y/o registre imágenes, ya sea con fines de vigilancia u otros en los supuestos en los que exista una grabación, captación, transmisión, conservación, o almacenamiento de imágenes, incluida su reproducción o emisión en tiempo real o un tratamiento que resulte de los datos personales relacionados con aquéllas, siempre que tales actividades se refieran a datos de personas identificadas o identificables.

Además de la LOPD (Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos) y el precitado RLOPD, debe tenerse en cuenta, por su importancia, la Instrucción 1/2006, de 12 de diciembre, de la AEPD sobre el tratamiento de datos personales con fines de vigilancia a través de sistemas de cámaras o videocámaras. Sin embargo, los principios de la Instrucción son válidos para cualquier otro tratamiento de imágenes mediante videocámaras.

La LOPD y la Instrucción 1/2006, de 12 de diciembre, de la AEPD no es de aplicación, como es lógico, a las grabaciones realizadas en el ámbito doméstico, como por ejemplo las que se producen en el marco de una celebración familiar, escolar o un viaje turístico. Ahora bien, si las videocámaras se instalan con la finalidad de garantizar la seguridad de la vivienda sí deberá cumplirse lo dispuesto en la Instrucción, particularmente cuando se trate de espacios comunes en comunidades de propietarios, urbanizaciones privadas o cuando afecte al personal del servicio doméstico.

Tampoco es de aplicación la normativa de protección de datos en los casos de videovigilancia llevada a cabo por parte de las Fuerzas y Cuerpos de Seguridad del Estado. Estos supuestos se rigen específicamente por la Ley Orgánica 4/1997, de 4 de agosto. No obstante, a estos tratamientos se les aplica supletoriamente la LOPD en aspectos concretos como la necesaria creación de ficheros mediante una disposición general publicada en boletín o diario oficial. De cualquier modo, es de aplicación la LOPD a las instalaciones fijas de videocámaras que realicen las Fuerzas Armadas y las Fuerzas y Cuerpos de Seguridad del Estado en sus edificios, siempre que éstas se dediquen exclusivamente a garantizar la seguridad y protección interior o exterior de los mismos. Igualmente, es de aplicación a las Unidades de Policía Judicial en el desempeño de sus funciones cuando realicen captaciones de imágenes y sonidos mediante videocámaras.

Por otro lado, a las videocámaras con fines de control de tráfico la LOPD es igualmente de aplicación, específicamente a la creación de los ficheros mediante una disposición de carácter general publicada en el diario oficial que corresponda; a la inscripción ante el Registro General de Protección de Datos; la adopción de medidas de seguridad y su documentación; la satisfacción de los derechos de acceso, cancelación, etc., de los ciudadanos y la señalización del espacio vigilado (Esto último, debido a su especial dificultad práctica, ha sido matizado por la AEPD admitiendo que se preste esta información en espacios municipales y/o mediante señalización en el acceso a las vías y/o poblaciones).

Finalmente tampoco es de aplicación la normativa de protección de datos a los tratamientos de imágenes por parte de los medios de comunicación, en el ejercicio legítimo de los derechos que les confiere el artículo 20 de la Constitución Española, como por ejemplo, la emisión de un informativo de televisión, o la edición de un periódico.

Respecto a la posibilidad que un particular suba a una página web la imagen de otro particular sin su permiso, al desbordar el ámbito doméstico, solo puede aceptarse si se dispone del consentimiento de las personas cuya imagen de incluye en una página web en Internet. En caso contrario se estaría vulnerando la LOPD y la Agencia Española de Protección de Datos podría abrir un procedimiento sancionador contra el infractor.
Se ha planteado en alguna ocasión a la AEPD, si ésta debe autorizar la instalación de cámaras de videovigilancia. Debe quedar claro que la Agencia no es el organismo competente para autorizar la instalación de cámaras de seguridad, ni en el ámbito privado ni en el público. La Agencia vela por la protección de la imagen como dato personal, exigiendo el cumplimiento de la LOPD y la Instrucción 1/2006 de 8 de noviembre de 2006, de la AEPD, sobre el tratamiento de datos personales con fines de vigilancia a través de sistemas de cámaras o videocámaras.

2.-Aspectos a tener en cuenta previamente a la puesta en marcha de un sistema de videovigilancia.

La instalación de videocámaras no se justifica legalmente en todos los casos, sino sólo en aquellos supuestos en los que la finalidad de vigilancia no pueda satisfacerse mediante otros medios que, sin que exijan unos esfuerzos desproporcionados, resulten menos intrusivos para la intimidad de las personas. Es decir, el uso de instalaciones o videocámaras sólo es admisible cuando no exista un medio menos invasivo para la intimidad, por lo que habrá de estarse a cada caso concreto.

En este sentido, el Tribunal Constitucional, en su Sentencia 207/1996, determina que cualquier medida restrictiva de derechos fundamentales, entre ellas las que supongan una injerencia en los derechos a la integridad física y a la intimidad viene determinada por la estricta observancia del principio de proporcionalidad. Para ello el TC considera necesario constatar si se cumplen tres siguientes requisitos o condiciones: “si tal medida es susceptible de conseguir el objetivo propuesto (juicio de idoneidad); si, además, es necesaria, en el sentido de que no exista otra medida más moderada para la consecución de tal propósito con igual eficacia (juicio de necesidad); y, finalmente, si la misma es ponderada o equilibrada, por derivarse de ella más beneficios o ventajas para el interés general que perjuicios sobre otros bienes o valores en conflicto (juicio de proporcionalidad en sentido estricto)”.

Por otro lado, hay que tener en cuenta desde la entrada en vigor de la conocida como Ley Omnibus, las exigencias de los ficheros de videovigilancia son distintas atendiendo a si el sistema está, o no, conectado a una central de alarma.[1]

3.-Cámaras en portales

Recordamos que la imagen de una persona identificada o identificable constituye un dato de carácter personal, por lo que su tratamiento está sujeto a la normativa de protección de datos, consecuencia de lo cual, para la instalación de cámaras de seguridad en un inmueble se debe tener en cuenta todo lo señalado a lo largo de este capítulo, y que sintetizamos, en la necesidad de inscribir un fichero de videovigilancia en la AEPD si se graban las imágenes (en caso contrario no sería necesario hacerlo); colocar carteles informativos en lugar visible; poner a disposición de los interesados impresos de ejercicios de derechos de acceso, cancelación u oposición (que pueden estar en poder del secretario o del presidente); contar con una empresa de seguridad habilitada para instalar las cámaras en el caso de que estén conectadas a una central de alarma, y suscribir con ésta empresa, un acuerdo de acceso a datos por cuenta de terceros, tal y como exige el artículo 12 de la LOPD; cumplir con las medidas de seguridad de nivel básico; y proceder a la cancelación de los ficheros de videovigilancia en el plazo de un mes.

No obstante, al tratarse de la captación de imágenes en zonas o elementos comunes de un inmueble destinado a viviendas, debe tenerse en cuenta, además, lo previsto en la Ley 49/1960, de 21 de julio, de Propiedad Horizontal, siendo preciso contar con la aprobación de los propietarios del inmueble, acordándose la instalación de videocámaras, en Junta de Propietarios en la forma prevista en el artículo 17 de dicha norma, la cual considera que para la validez de este tipo de acuerdos basta el voto de la mayoría del total de los propietarios que, a su vez, representen la mayoría de las cuotas de participación. En segunda convocatoria será válido el acuerdo adoptado por la mayoría de los asistentes, siempre que ésta represente, a su vez, más de la mitad del valor de las cuotas de los presentes.

Finalmente, debe tenerse en cuenta que las cámaras solo se deben orientar a las zonas comunes del inmueble, nunca hacia alguna de las viviendas, evitando, igualmente, su orientación hacia la vía pública.

Por otro lado, no es legal instalar cámaras en un portal de una comunidad de propietarios cuyo visionado se realiza por todos los vecinos a través de un canal de televisión, y que la AEPD (Informe jurídico 0335/2009) considera que esta opción no concuerda con el principio de proporcionalidad.

4.-Instalación de cámaras en centros comerciales.

Aunque es frecuente la instalación en los centros comerciales de monitores de visualización de las cámaras, dónde todos los clientes que acceden y/o trabajadores pueden ver las imágenes en tiempo real, con un claro efecto disuasorio, la AEPD considera este sistema como vulnerador del principio de proporcionalidad, ya que se produce una visualización indiscriminada si se instalan estos monitores en zonas de acceso no restringido y controlado.

5.-¿Qué tiene que tener en cuenta una empresa, organización o entidad que pretenda instalar un sistema de videovigilancia con conexión a una central de alarmas?

Para que un responsable del fichero pueda instalar legalmente una cámara de videovigilancia en aquellos supuestos en los que el sistema se pretende que esté conectado a una central de alarmas, debe advertirse que, o bien cuenta con el consentimiento de todos los afectados[2], algo muy improbable en la práctica, o bien el sistema se debe ser instalado por una empresa de seguridad habilitada por el Ministerio de Interior, como veremos a continuación.

De este modo, atendiendo a lo establecido, además de en la normativa sobre protección de datos, a la Ley 23/1992, de 30 de julio, de Seguridad Privada (LSP) y a el Reglamento de Seguridad Privada, aprobado por Real Decreto 2364/1994, de 9 de diciembre (RSP), sólo se permite instalar sistemas de videovigilancia con conexión a una central de alarmas teniendo en cuenta que sólo pueden prestar, o desarrollar, los servicios de instalación y mantenimiento de aparatos, dispositivos y sistemas de seguridad, entre ellos, las cámaras de videovigilancia, las empresas de seguridad y el personal de seguridad privada, integrado por los vigilantes de seguridad, los jefes de seguridad y los escoltas privados que trabajen en aquéllas, los guardas particulares del campo y los detectives privados ^{^[3]}.

Además, es imprescindible que la empresa de seguridad haya dado cumplimiento a los requisitos formales establecidos en la LSP, es decir, que estén inscritas en el Registro correspondiente^{^[4]} y haya comunicado el contrato al Ministerio del Interior^{^[5]}.

En consecuencia, y tal y como señala la AEPD, en su Informe Jurídico de 5 de febrero de 2007, siempre que se haya dado cumplimiento a los requisitos formales establecidos en la LSP, las empresas de seguridad reconocidas podrán instalar dispositivos de seguridad, entre los que se encontrarían los que tratasen imágenes con fines de videovigilancia, existiendo así una habilitación legal para el tratamiento de los datos resultantes de dicha instalación.

6.-Consideraciones acerca de quien es considerado responsable del fichero y quien encargado del tratamiento.

Se considera como responsable del fichero a la empresa u organización que decide instalar el sistema de videovigilancia, dado que decide sobre la finalidad, contenido y uso del tratamiento, requisitos necesarios para considerarla responsable del fichero, al amparo del artículo 3.d) de la LOPD. Con independencia de que el responsable encargue a una empresa la gestión del sistema de las cámaras y videocámaras. En este caso, se considera a dicha empresa como encargada del tratamiento de datos personales con fines de vigilancia a través de sistemas de cámaras o videocámaras, dado que su actividad debería quedar limitada única y exclusivamente a la prestación de este servicio.

En todo caso, a las empresas de seguridad, como encargadas del tratamiento les compete el deber de asesorar a los particulares sobre la adecuación a la normativa sobre protección de datos de las instalaciones de videovigilancia, según se deriva del artículo 5 de la LSP.

Implementar un sistema de videovigilancia en una entidad (empresa, comunidad de vecinos….) puede dar lugar a varios tipos de prestaciones por parte de la empresa de seguridad. En cualquier caso, si dicha empresa externa, después de la instalación (o incluso en su labor de mantenimiento técnico) no tiene acceso a las imágenes no posee la condición de encargado de tratamiento correspondiendo al responsable, que la contrató, la adaptación de la instalación a los requisitos normativos.

En caso, contrario, si la empresa de seguridad además de instalar y mantener el sistema de videovigilancia, tiene acceso (inmediato o en remoto) a las imágenes, será considerada encargada del tratamiento y la obligatoriedad de suscribir un contrato de acceso a datos por cuenta de terceros y observar el resto de previsiones normativas que se detallan en los artículos 12 de la LOPD y 20 y siguientes del RLOPD.

Es muy habitual que las empresas de seguridad presten servicios combinados de central de alarmas y videovigilancia de modo que cuando se activa la alarma se verifica directamente las imágenes por el personal de la empresa de seguridad.

Debe tenerse en cuenta que nos estamos refiriendo a cuando los clientes de las empresas de seguridad, sean empresas u órganos corporativos, ya que si el servicio está instalado en un domicilio particular, y sólo se accede a las imágenes cuando salte el dispositivo de la alarma, en este caso, no se considera al particular responsable del tratamiento, pues la instalación del sistema en su domicilio, excluye la aplicación de la LOPD, al tratarse de un ámbito personal y doméstico, según establece el artículo 2.a de la LOPD. Sin embargo, la empresa de seguridad cuando instala el mencionado sistema en el domicilio particular de su cliente, adquiere la condición de responsable del fichero de gestión de sistemas de videovigilancia con acceso a las imágenes de sus clientes, cuando éstos sean personas físicas y el sistema de seguridad con acceso a imágenes se efectúe en su domicilio particular, dado que no resulta aplicable la excepción antes mencionada.

7.-Sistemas de videovigilancia no conectados a una central de alarmas.

Por aplicación de lo establecido en el artículo 14 de la Ley 25/2009, de 22 de diciembre, (conocida como Ley Omnibus) se permite que, en los supuestos en los que el sistema de videovigilancia no esté conectado a una central de alarma, cualquier particular o empresa, cuya actividad no sea la propia de una empresa de seguridad privada, pueda instalar y mantener dichos equipos de videovigilancia, legitimando a quienes adquieran de estos dispositivos para tratar los datos personales derivados de la captación de las imágenes, siendo dicho tratamiento conforme a lo previsto en la LOPD.

Es decir, para la mayor parte de los supuestos de videovigilancia, una vez ha entrado en vigor la Ley Omnibus (el 27 de diciembre de 2009), ha implicado, siempre que el sistema no esté conectado a una central de alarma, la no necesidad de contar con una empresa de seguridad privada para su puesta en funcionamiento, ni cumplir con las obligaciones de notificación del contrato al Ministerio del Interior.

8.-Obligaciones que tiene una empresa, organización o entidad que pretenda instalar un sistema de videovigilancia en sus instalaciones.

Siguiendo la Instrucción 1/2006 y los abundantes informes y recomendaciones de la AEPD el responsable del fichero de videovigilancia debe tener en cuenta los siguientes aspectos:

Las cámaras y videocámaras instaladas en espacios privados no podrán obtener imágenes de espacios públicos. No obstante, podrían tomarse imágenes parciales y limitadas de vías públicas cuando resulte imprescindible para la finalidad de vigilancia que se pretende, o resulte imposible evitarlo por razón de la ubicación de aquéllas.

No sería admisible la captación de imágenes en espacios protegidos por el derecho a la intimidad como los interiores de viviendas cercanas, en baños o vestuarios o en espacios físicos ajenos al específicamente protegido por la instalación.

Los responsables que cuenten con sistemas de videovigilancia deben cumplir con el deber de información previsto en el artículo 5 de la LOPD. A tal fin deben proceder a la colocación, en las zonas videovigiladas, al menos un distintivo informativo ubicado en lugar suficientemente visible, tanto en espacios abiertos como cerrados, que incluya las palabras: «ZONA VIDEOVIGILADA». El distintivo deberá ubicarse, como mínimo, en los accesos a las zonas vigiladas, sean estos exteriores o interiores. Debe tenerse en cuenta que si el lugar vigilado dispone de varios accesos se debe colocar en todos ellos al objeto de que la información sea visible con independencia de por donde se acceda. La AEPD señala que el cartel se encuentre dentro del campo de visión natural del afectado, esto es, a la altura de sus ojos.
Tener a disposición de los interesados impresos en los que se detalle la información prevista en el artículo 5.1 de la LOPD, es decir, «que sus datos se incorporarán al fichero (...) y serán tratados por (...) cuya dirección es (...) con fines de seguridad a través de cámaras de videovigilancia, que los destinatarios de los datos serán (...). Puede ejercer sus derechos de acceso, rectificación, cancelación u oposición ante (...)» El uso del cartel informativo y del impreso, no excluye la existencia de métodos adicionales de información como, por ejemplo, la publicación en el sitio web de la entidad, acerca de la política de privacidad, o proporcionar información a la representación sindical de la existencia de videovigilancia en las instalaciones. Por tanto, los afectados deberán poder dirigirse a la dirección señalada en el cartel informativo a los efectos de poder ejercitar sus derechos, que coincidirá con el domicilio del responsable, pues así se dispone en el artículo 5 de la citada LOPD, que sigue resultando aplicable a los ficheros creados a partir de las imágenes de las personas.

· Tal y como recuerda el Informe Jurídico 0070/2010 de la AEPD, todo lo previsto en la Instrucción 1/2006, de 12 de diciembre, resulta de aplicación a la captación de imágenes con independencia de que éstas se graben o no, siendo la única excepción la contenida en su artículo 7 en materia de notificación de ficheros, que como antes apuntamos, dispone en su número primero que “La persona o entidad que prevea la creación de ficheros de videovigilancia deberá notificarlo previamente a la AEPD, para su inscripción en el Registro General de la misma.”, aclarando en el número segundo que “A estos efectos, no se considerará fichero el tratamiento consistente exclusivamente en la reproducción o emisión de imágenes en tiempo real.“

9.-¿Una empresa o entidad está obligada a solicitar la inscripción de un fichero de videovigilancia en el Registro General de Protección de Datos (RGPD) en el caso de que no exista grabación de las imágenes?

Debemos partir por considerar que si se produce una grabación de las imágenes, el sistema de videovigilancia genera un fichero, por lo que el responsable deberá notificarlo previamente a la AEPD para su inscripción en el Registro General.

En el supuesto de que las cámaras que el responsable del fichero tiene instaladas no graben imágenes, limitándose a su reproducción en tiempo real, es preciso destacar lo dispuesto en el artículo 7.2 de la Instrucción 1/2006, donde se establece que, a estos efectos, no se considera fichero el tratamiento consistente exclusivamente en la reproducción o emisión de imágenes en tiempo real. En consecuencia, al amparo de lo dispuesto en los artículos 3 y 7.2 de la citada Instrucción 1/2006, la utilización de sistemas de videocámaras con fines de seguridad, que no graban imágenes, constituyen un tratamiento de datos que obliga a informar del mismo, pero no genera ningún fichero. Por tanto, la inscripción en el RGPD no es necesaria si no se graban imágenes y se transmiten en tiempo real. En estos supuestos, no obstante, deben cumplirse el resto de deberes establecidos por la normativa de protección de datos y por la Instrucción 1/2006.

Cabe la posibilidad de que una entidad utilice simultáneamente un sistema de videovigilancia con fines de seguridad y de control laboral o de control el proceso productivo. En este supuesto, la inscripción de fichero en el Registro General de Protección de Datos deberá incluir ambas finalidades.

10.- Derechos de las personas cuyas imágenes han sido captadas por un sistema de videovigilancia.

Como regla general, los interesados tienen derecho de acceso, cancelación u oposición frente al responsable o encargado del tratamiento de un fichero de videovigilancia. La dirección ante donde dirigir la solicitud debería ser visible en el cartel informativo, cuya presencia, como dijimos anteriormente, es del todo imprescindible.

El artículo 5 de la Instrucción 1/2006 se dedica al ejercicio de derechos en el ámbito de la videovigilancia, que como veremos, posee perfiles específicos.

El interesado, tiene, en primer lugar el derecho de acceso, el cual, requiere aportar como documentación complementaria el incluir una imagen actualizada que permita al responsable verificar y contrastar la presencia del afectado en los registros.

Si se ejerciese el derecho de acceso ante el responsable de un sistema que únicamente reproduzca imágenes sin registrarlas deberá responderse en todo caso indicando la ausencia de imágenes grabadas.

Por otro lado, no resulta posible el ejercicio del derecho de rectificación, ya que por la naturaleza de los datos —imágenes tomadas de la realidad que reflejan un hecho objetivo—, se trataría del ejercicio de un derecho de contenido imposible, al igual que lo sería el derecho de oposición, ya que si éste se interpreta como la imposibilidad de tomar imágenes de un sujeto concreto en el marco de instalaciones de videovigilancia vinculadas a fines de seguridad privada no resultaría posible su satisfacción en la medida en la que prevalecería la protección de la seguridad.

En lo que respecta al derecho de cancelación, se rige por lo previsto en la LOPD sin especialidad alguna.

Finalmente se hace necesario recordar que el caso de que al interesado se le deniegue el ejercicio de estos derechos podrá instar la iniciación del procedimiento de tutela ante la AEPD, a que se refiere el artículo 18 de la LOPD.

11.-Permanencia temporal de las imágenes captadas por un sistema de videovigilancia.

Desde un punto de vista general la LOPD señala que los datos (en este caso, las imágenes) sólo se podrán conservar por el tiempo imprescindible para la satisfacción de la finalidad para la que se recabaron, y en todo caso, según la Instrucción 1/2006, de 12 de diciembre, deben ser canceladas en el plazo de un mes desde su captación, lo que implica su bloqueo, pues así lo establece el artículo 16.3 de la LOPD.

En cuanto al modo de llevar a cabo el bloqueo, tal y como señala la AEPD en su Informe de 5 junio de 2007, se debe tratar de evitar la posibilidad de acceso a las imágenes por parte del personal que tuviera habitualmente tal acceso, limitándose el mismo a una persona con la máxima responsabilidad y en virtud de la existencia de un requerimiento judicial o administrativo a tal efecto.

En cuanto al plazo de conservación de las imágenes bloqueadas, la AEPD se ha manifestado en varias ocasiones al respecto (como por ejemplo, en el Informe 472/2009), señalando que resulta imposible establecer una enumeración taxativa de los mismos, debiendo, fundamentalmente, tenerse en cuenta, los plazos de prescripción de las acciones que pudieran derivarse de la relación jurídica que vincula al responsable con el interesado, así como los derivados de la normativa aplicable o el plazo de prescripción de tres años, previsto en el artículo 47.1 de la LOPD, en relación con las conductas constitutivas de infracción muy grave. Es decir, para definir el período de bloqueo de los datos se deberá tener en cuenta el derecho aplicable, en el que se determinará los criterios de delimitación del mismo. Cuando este plazo no exista, como entendemos que ocurre en este supuesto, o cuando sea inferior a un año, se deberán tener en cuenta los plazos de prescripción de las infracciones a la LOPD que, en el caso de las muy graves es de tres años. Este podía ser el plazo de mantenimiento de las grabaciones y sus copias de seguridad, en su fase de bloqueo.

El plazo de un mes que se establece en la Instrucción para cancelar las imágenes es el mismo que el fijado en la Ley Orgánica 4/1997, de 4 de agosto, por la que se regula la utilización de videocámaras por las Fuerzas y Cuerpos de Seguridad del Estado en lugares públicos, donde en su artículo 8 señala que las grabaciones serán destruidas en el plazo máximo de un mes desde su captación.

Como es lógico, en aquellos casos en los que el responsable constatase la grabación de un delito o infracción administrativa que deba ser puesta en conocimiento de la autoridad, y la denunciase, deberá conservar las imágenes a disposición de la citada autoridad.

A modo de resumen, concluimos que las imágenes grabadas deben conservarse durante un mes, pasado el cual ese fichero (por ejemplo, la cinta que hace de soporte de las imágenes) debe pasar a una fase de bloqueo, guardando dichos soportes en un lugar restringido en la organización, estando, únicamente, a disposición de Jueces y Tribunales y de la Administración Pública. Pasados tres años, que duraría la fase de bloqueo, esas cintas que contienen imágenes (y en su caso sus copias de seguridad) deberán ser materialmente destruidos.

12.-Nivel de seguridad aplicable a los ficheros de videovigilancia.

El nivel de seguridad aplicable a los ficheros de imágenes captadas por sistemas de videovigilancia con fines de seguridad, se corresponde, con carácter general, con el nivel básico. Es decir, ello implica que deberá disponerse, entre otros, de un documento de seguridad, realizarse copia de seguridad semanal, dotarse de usuario y contraseña diferenciada a los usuarios autorizados.

Podría darse el caso de que sean de aplicación niveles de seguridad medio o alto, como ocurriría, por ejemplo, cuando la captación de imágenes tenga fines de selección de personal, o para verificar la respuesta a determinados estímulos en el ámbito de la psicología o la medicina.

El responsable de la instalación de las cámaras de videovigilancia debe cumplir con la obligación de garantizar la seguridad de las imágenes en los términos precisos que se contienen en la LOPD y en el RLOPD. Incluso, la Instrucción 1/2006, de 8 de noviembre, establece expresamente, en su artículo 8, que deben adoptarse las medidas de índole técnica y organizativas necesarias para garantizar la seguridad de los datos, evitando su alteración, pérdida, tratamiento o acceso no autorizado.

El RLOPD, señala concretamente, en su artículo 94.2, que debe existir un procedimiento de copias de respaldo o backup de los ficheros, al menos una vez a la semana. No se establece ninguna excepción a dicho deber, por lo que el mismo es aplicable a cualquier fichero automatizado entre los que se encuentran los resultantes de la grabación de imágenes con fines de videovigilancia.

El periodo de cancelación de estas copias de respaldo será el mismo que el establecido para el fichero originario. La Agencia se ha pronunciado al respecto de esta cuestión en su Informe 0672/2008.

13.- Sanciones que se establecen por no cumplir la normativa de protección de datos en materia de videovigilancia.

Las infracciones y las sanciones son las mismas que se establecen para cualquier tipo de vulneración en materia de protección de datos, las cuales se recogen en los artículos 44 y 45 de la LOPD. Así por ejemplo, las infracciones pueden ser sancionadas con multas que van desde los 600 euros (ausencia del cartel informativo) hasta los 300.000 euros (cesión a terceros de las imágenes).

Según la Memoria de la AEPD correspondiente al año 2009, el sector de videovigilancia recibió 721 denuncias y se situó como el segundo ámbito con mayor número de sanciones, tras el sector de telecomunicaciones. En concreto, se destaca como las sanciones por videovigilancia se incrementaron hasta las 117 sanciones, frente a las 27 registradas en el año 2008. Los principales motivos de denuncia y sanción, en este sector, fueron la ausencia de carteles informativos, la grabación o captación de imágenes de la vía pública y- antes de la entrada en vigor de la Ley Ómnibus-, la ausencia de contrato con una empresa de seguridad acreditada.

14.- Instalación de cámaras en guarderías o centros de educación infantil, con el fin de permitir a los padres o tutores el acceso a esas imágenes en tiempo real.

Es cada vez más frecuente que los centros educativos de educación infantil permitan a los progenitores acceder, incluso en tiempo real, a las imágenes de las clases y espacios de juego dónde se encuentran sus hijos. Obviamente estos tratamientos con datos personales (imágenes de los menores) están sometidos a la normativa de protección de datos.

Debido a que el tratamiento de las imágenes incumbe al profesorado, y al personal que presta servicios profesionales en el centro, éstos deberán otorgar su consentimiento a la captación de su imagen. Lo mismo ocurrirá respecto de los menores, cuyo consentimiento deberán otorgar sus padres o representantes legales, tal y como dispone el artículo 13 del RLOPD, cuando señala que “podrán tratarse los datos de los menores de catorce años con el consentimiento de padres o tutores.”

En el caso de obtenerse el consentimiento, tanto del profesorado y quienes presenten servicio en el mismo, como de los padres de los menores, las cámaras podrán instalarse, debiendo de informarse, por parte de la dirección del centro, de la existencia de las mismas a través de la instalación de los correspondientes carteles informativos; proceder a la inscripción del fichero correspondiente en el Registro General de Protección de Datos (si se tratara de una guardería pública, mediante la aprobación de la oportuna Disposición General que deberá publicarse en el Boletín Oficial correspondiente); así como adoptar las medidas de seguridad de nivel básico que se detallan en el RLOPD.

De cualquier modo, la decisión de instalar cámaras en una guardería implica que la dirección del centro defina claramente cual va a ser la finalidad para la captación de las imágenes de los menores que, en todo caso, debe ser muy cuidadoso con el principio de proporcionalidad y adecuación, y en particular debe atenderse a los usos adicionales con fines promocionales o de marketing, memorias escolares de actividad, o publicación en el sitio web del centro.

Igualmente debe garantizarse la seguridad y el secreto, en particular cuando el acceso a las imágenes se produzca a través de Internet, siendo imprescindible que éstas se encuentren en un lugar de acceso restringido en el sitio web, habiendo proporcionado, previamente a los padres, un nombre de usuario y una contraseña. Por otro lado, deben definirse los perfiles de acceso con el objeto de que se limite el acceso a los entornos en los que se encuentren sus hijos, nunca a otras aulas.

El tema de la instalación de cámaras en entornos escolares ha sido tratado por la Guía de Videovigilancia, de la AEPD del año 2009, y por el Gabinete Jurídico de la Agencia en sus Informes 0274/2009 y 262/2006.

La Agencia, a través de su Gabinete Jurídico, en el Informe 0648/2009, no considera adecuado la instalación de cámaras en una piscina durante el desarrollo de un curso con menores, con el fin de que los padres puedan tener un control visual de la actividad.

Se consulta a la AEPD la posibilidad de instalar cámaras de videovigilancia dirigidas a una piscina municipal y a sus zonas perimetrales, con emisión de imágenes en tiempo real (sin grabación) en una pantalla instalada en la zona de entrada a las instalaciones, con el objeto de que, como medida de seguridad complementaria, durante un cursillo de natación dirigido a menores, los padres pudieran tener un control visual.

La AEPD toma en consideración, en este supuesto, el principio de proporcionalidad y el de calidad de los datos (artículo 4.1 LOPD), por el que se establece que solo se pueden tratar datos cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido. Por ello, el tratamiento de la imagen de los afectados debe ser proporcionado a la finalidad que lo motiva que no es otra, en este caso, que la seguridad de los menores. Recuerda la AEPD la doctrina del Tribunal Constitucional, fijada en su Sentencia 207/1996, donde se determina que cualquier medida restrictiva de derechos fundamentales, entre ellas las que supongan una injerencia en los derechos a la integridad física y a la intimidad viene determinada por la estricta observancia del principio de proporcionalidad. Para ello el TC considera necesario constatar si se cumplen tres siguientes requisitos o condiciones: «si tal medida es susceptible de conseguir el objetivo propuesto (juicio de idoneidad); si, además, es necesaria, en el sentido de que no exista otra medida más moderada para la consecución de tal propósito con igual eficacia (juicio de necesidad); y, finalmente, si la misma es ponderada o equilibrada, por derivarse de ella más beneficios o ventajas para el interés general que perjuicios sobre otros bienes o valores en conflicto (juicio de proporcionalidad en sentido estricto)”.

Teniendo en cuenta estas premisas, el criterio de la Agencia es considerar que la seguridad de los menores puede lograrse de forma más idónea mediante la adopción de otro tipo de medidas que no pasan por la grabación, algo que de hacerse pudiera vulnerar el principio de proporcionalidad por lo que el tratamiento podría resultar contrario a lo establecido en la LOPD. Pero incluso si no se considerara vulnerado dicho principio de proporcionalidad, debe tenerse en cuenta que la difusión a través de una pantalla de televisión de la imagen de las personas que se encuentren en la piscina, (menores, monitores y cualquier otro usuario), imagen que puede ser vista por cualquier persona que se encuentre en el vestíbulo de la piscina, constituye una cesión de datos (artículo 11 LOPD) que exige que todos los afectados hayan prestado previamente su consentimiento.

15.- ¿Es necesario que la instalación de videocámaras IP y webcams sea realizado por una empresa de seguridad habilitada por el Ministerio del Interior?

Desde la entrada en vigor de la Ley Omnibus, la instalación y puesta en funcionamiento de videocámaras IP y Webcams capaces de transmitir datos en formato digital a través de Internet, salvo que estén conectadas con una central de alarmas, podrá ser realizado por cualquier persona, sin que sea ahora exigible la participación de una empresa de seguridad autorizada por el Ministerio del Interior. Según la AEPD estos sistemas deberán cumplir con el nivel de seguridad que corresponda conforme al RDLOPD y en particular se deberá contar con procedimientos de identificación y autenticación de los usuarios del sistema y no se permitirá el acceso de terceros no autorizados; se deberá garantizar la seguridad en el acceso a través de redes públicas de comunicaciones; y se tendrá en cuenta la naturaleza de la instalación al definir las obligaciones del personal.

16.- ¿Qué requisitos son necesarios para que una asociación o federación pueda proceder a grabar las asambleas que se celebren?

La Agencia, a través de su Gabinete Jurídico, ha tratado este tema en su Informe 0112/2009, concluyendo que es conforme a la normativa de protección de datos grabar con medios audiovisuales las asambleas que se celebren en una asociación o federación siempre que se cuente con el consentimiento de los interesados, salvo en el supuesto de que dicho tratamiento (la posibilidad de grabar las reuniones) conste en los estatutos de la federación o asociación, ya que, el asociado por el hecho de adquirir tal condición debe conocerlos y aceptarlos, de modo que es posible considerar que su incorporación a la asociación o federación, implica la creación de una relación jurídica entre aquél y ésta, cuyos términos serán fijados por los propios estatutos. Por otro lado, debe tenerse muy en cuenta que el uso de esas imágenes quedará delimitado por la finalidad que se haya previsto a tal efecto en los estatutos.

17.- ¿Es legalmente posible instalar webcams que transmitan imágenes sobre exteriores en una ciudad? ¿Estaría sometido este tratamiento a la normativa sobre protección de datos?

Únicamente quedaría fuera del ámbito de aplicación de la normativa de protección de datos este tipo de tratamientos siempre que la captación de imágenes se circunscriban a paisajes o panorámicas y no permitan identificar a las personas cuya imagen pueda ser captada. Es decir, no habría limitación alguna y dicha difusión de imágenes podría producirse a través de Internet sin mayor problema.

No obstante, la captación de imágenes de la vía pública de personas identificadas o identificables y fuera de un ámbito estrictamente privado o domestico se encuentra reservada, con carácter exclusivo, a las Fuerzas y Cuerpos de Seguridad del Estado con fines de videovigilancia, en consonancia con lo establecido en la Ley Orgánica 4/1997, de 4 de agosto. Resulta, por lo tanto, contrario a la normativa de protección de datos, salvo en el caso de panorámicas o paisajes, la captación y difusión de imágenes de la vía pública en las que pueda identificarse a las personas, y mucho menos difundirlo a través de Internet, ya que se excedería el ámbito privado o doméstico, por lo que se produciría una vulneración de la LOPD.

Este es el criterio de la AEPD, tal y como se desprende de los Informes Jurídicos 102/2008 y 285/2010 y de las Recomendaciones derivadas del Plan Sectorial de Oficio sobre videocámaras en Internet, de junio de 2009.

18.- Instalación de cámaras en los centros de trabajo.

El artículo 20.3 del Estatuto de los Trabajadores (Real Decreto Legislativo 1/1995, de 24 de marzo) establece que el empresario puede adoptar las medidas que estime oportunas de vigilancia y control para verificar el cumplimiento por el trabajador de sus obligaciones y deberes laborales, guardando en su adopción y aplicación la consideración debida a su dignidad humana.

Según el criterio seguido por la AEPD (entre otros, véase el Informe Jurídico 323/2007) y por la jurisprudencia (por ejemplo, STS de 18 de junio de 2006), ésta previsión normativa no legitima por si sola que el empresario instale cámaras de videovigilancia, es decir, que realice un tratamiento de las imágenes en el centro de trabajo. No obstante, este tratamiento a través de videovigilancia si que será posible, aun sin contar con el consentimiento del afectado, en caso de que los trabajadores hayan sido debidamente informados de la existencia de esta medida. Dichas medidas deben haber sido hechas constar expresamente al trabajador, pasando así a formar parte de la propia relación laboral y siendo el tratamiento de los datos necesario para su adecuado desenvolvimiento.

Por otro lado, la normativa exige su comunicación a los representantes de los trabajadores, en tanto que el artículo 64.1 del Estatuto de los Trabajadores dispone que el comité de empresa tiene derecho a ser informado y consultado por el empresario sobre aquellas cuestiones que puedan afectar a los trabajadores, y en el punto 5 que el comité de empresa tiene derecho a emitir informe, con carácter previo a la ejecución por parte del empresario de las decisiones adoptadas por éste, sobre las siguientes cuestiones, entre otras, el apartado f) se refiere a la implantación y revisión de sistemas de organización y control del trabajo.

La instalación de cámaras de vigilancia en los centros de trabajo es una práctica que se encuentra plenamente sometida a la LOPD y la Instrucción 1/2006 y por tanto, el responsable debe tener en cuenta lo siguiente:

Conforme a lo exigido por el artículo 4.2 LOPD, los datos (es decir, las imágenes grabadas) no podrán ser utilizadas por parte del empresario, para fines distintos que los propios de vigilancia y control.
Deberán respetar el principio de proporcionalidad, es decir, el empresario podrá adoptar esta medida cuando no exista otra más idónea para conseguir los fines perseguidos de vigilancia y control. En este sentido, el Tribunal Constitucional en Sentencia de 10 de julio de 2000, consideró que la instalación de videovigilancia con la finalidad de control en determinados puestos laborales, era conforme al principio de proporcionalidad. [6]
Sólo se deben captar imágenes en los espacios indispensables para satisfacer las finalidades de control laboral. En este sentido, deben respetarse los derechos específicos de los trabajadores, como por ejemplo, a la intimidad, en relación con espacios vetados a la utilización de este tipo de medios como vestuarios, baños, taquillas o zonas de descanso; o el derecho a la propia imagen de los trabajadores, además de la vida privada en el entorno laboral no registrando en particular las conversaciones privadas.

En principio, la captación de audio podría desbordar el principio de proporcionalidad ^{^[7]}, según señaló el Tribunal Constitucional en su Sentencia 98/2000, considerando que es una intromisión ilegítima en el derecho a la intimidad ^{^[8]}.

Se debe garantizar el cumplimiento del principio de información en la recogida de las imágenes, mediante la presencia de carteles informativos y tener a disposición de los interesados impresos para el ejercicio de los derechos de acceso y cancelación.
Se recomienda que con el objeto de reforzar el principio de información, además de la comunicación a la representación sindical, como con anterioridad señalamos, se disponga de información referente a la existencia de un sistema de videovigilancia en tablones de anuncios o en la intranet corporativa de la empresa, en el caso de existir.
La empresa debe proceder, en su caso, a la inscripción del fichero de videovigilancia en el Registro General de Protección de Datos; deberá proceder a cancelar las imágenes en el plazo de un mes, pudiendo conservar aquellas que registren una infracción o incumplimiento de los deberes laborales; y deberá, dar cumplida respuesta a los derechos de acceso y cancelación que potencialmente pudieran solicitar los trabajadores.
Se deberían formalizar, en su caso, contratos de acceso a los datos por cuenta de terceros, por mandato del artículo 12 de la LOPD y 20 y siguientes del RLOPD, en el supuesto que intervengan empresas de seguridad en el mantenimiento del sistema, y ello implique un acceso a las imágenes, ya sea este puntual o continuado.
Y por último, deberán adoptarse las correspondientes medidas de seguridad.

19.- ¿Un trabajador puede ejercitar su derecho de oposición a ser grabado durante la jornada laboral?

Se trata de un derecho de ejercicio imposible ya que el artículo 20.3 del ET excluye la oposición. Aunque se base en una concreta situación personal, las videocámaras tienen por objeto grabar el conjunto del entorno de trabajo y a otros trabajadores. En definitiva, si se respetan las condiciones previstas por la LOPD, y que hemos detallado en la cuestión previa, prevalece el interés del empresario.

20.- Acceso a las grabaciones del centro de trabajo por parte de los representantes de los trabajadores.

Los representantes de los trabajadores tienen atribuidas, entre otras funciones, la del ejercicio de vigilancia en el cumplimiento de las normas vigentes en materia laboral, así como el resto de pactos con la empresa, y la de vigilar y controlar las condiciones de seguridad e higiene en el desarrollo del trabajo, por expresa habilitación del artículo 64.1.9 del ET.

Los representantes de los trabajadores (comité de empresa, delegados de personal, sindicales, de prevención, etc.) no son órganos de la empresa, por lo que la puesta a su disposición de los instrumentos de videovigilancia, o entrega total o parcial de las imágenes de los trabajadores, constituye una cesión de datos, sujeta a los requisitos del artículo 11 de la LOPD. Lo cual implica que es necesario el consentimiento de los trabajadores afectados (es decir, de todos los que hayan sido captados por las cámaras).

Los representantes de los trabajadores no son titulares del derecho de acceso a los datos personales (a las imágenes). Se trata de un derecho personalísimo que solo puede ejercitar el propio trabajador interesado, salvo que éste haya otorgado un poder específico para ello, por lo que bien pudiera atribuirse expresamente dicha posibilidad de ejercicio a un representante de los trabajadores.

21.- Intervención de detectives privados que realizan operaciones de videovigilancia de los trabajadores que están de baja.

Tal y como establecen los artículos 19 de la Ley 23/1992 y 101 del RD 2364/1994, los detectives privados, a solicitud de personas físicas o jurídicas, pueden obtener y aportar información y pruebas sobre conductas o hechos privados, que afecten, entre otros, al ámbito laboral, como por ejemplo, con el fin de controlar durante la situación de incapacidad temporal del trabajador, la realización de actividades profesionales o lúdicas de posible incidencia negativa sobre la recuperación de la capacidad laboral . En numerosas sentencias se concluye en el carácter indiscutible de la grabación de imágenes por parte de los detectives privados, como prueba determinante de la conducta ilícita del trabajador durante su periodo de baja. [9]

En estos supuestos, los detectives están obligados a seguir las instrucciones impartidas por las empresas (o las mutuas de accidente de trabajo) que los han contratado y a no utilizar, ni aplicar con un fin distinto esos datos personales. En definitiva, los detectives se configuran como encargados del tratamiento, por lo que resulta indispensable la existencia de un contrato de acceso a datos por cuenta de terceros con el responsable del fichero, es decir, la entidad que les contrate, según establece el artículo 12 de la LOPD y 20 y siguientes del RLOPD.

SENTENCIAS DE INTERÉS
Sentencia del Tribunal Constitucional 98/2000, de 10 de abril.	El TC analiza la legalidad de la instalación en dos zonas concretas de un casino de un sistema de control microfónico, junto con otro de videovigilancia, a fin de registrar las conversaciones entre los clientes y los trabajadores con el objetivo de evitar posteriores problemas en las transacciones económicas. El TC señaló que, en este supuesto, la captación de audio desborda el principio de proporcionalidad considerando que es una intromisión ilegítima en el derecho a la intimidad, al no quedar acreditado que el uso de micrófonos, que permitía la audición continuada e indiscriminada de todo tipo de conversaciones, tanto entre los propios trabajadores, como con los clientes, resultase indispensable para la seguridad y buen funcionamiento del casino.
Sentencia del Tribunal Constitucional 186/2000, de 10 de julio.	El TC rechazó el amparo solicitado por un empleado de un economato que había sido despedido de su empresa, apoyándose en pruebas de su conducta obtenidas mediante un circuito cerrado de televisión instalado sin advertirlo; pero la instalación, ceñida a determinados puestos laborales, se encontraba justificada y era proporcionada, por lo que respetaba el derecho a la intimidad del trabajador afectado.
Sentencia del Tribunal Superior de Justicia de La Rioja, de 5 de diciembre de 2000.	El TSJ considera adecuado la instalación secreta de un sistema de videovigilancia, para justificar el despido disciplinario de un trabajador, el cual abandonaba con frecuencia su puesto de trabajo y la maquinaria cuyo control tenía asignado. Considera el TSJ que la medida no es arbitraria ni caprichosa, tratando la empresa únicamente de conocer el comportamiento laboral del trabajador, pretensión justificada por haberse detectado irregularidades en su actuación profesional, constitutivas de la transgresión a la buena fe contractual.
Sentencia del Tribunal Superior de Justicia de Andalucía, de 9 de marzo de 2001.	El TSJ acepta la utilización de imágenes captadas por unas cámaras de seguridad en El Corte Inglés como prueba incriminatoria para justificar el despido disciplinario de un trabajador, que fue sorprendido, a través de dichas cámaras consumiendo una bebida mientras desempeñaba su labor de reposición de mercancías, sin autorización de la empresa. El TSJ entiende que la instalación de videovigilancia es una medida justificada por razones de seguridad, idónea para la finalidad pretendida por la empresa.
Sentencia del Tribunal Superior de justicia de Galicia, de 30 de noviembre de 2001.	El TSJ aprecia que se vulneró el derecho a la intimidad de un trabajador, declarando la nulidad del despido disciplinario, el cual desempeñaba su labor en un museo en el turno de noche, y verificándose a través de una microcámara instalada, sin su conocimiento, que dormía en horario de trabajo e incluso mantenía relaciones sexuales con una mujer.
Sentencia de la Audiencia Nacional, de 24 de enero de 2003	Esta sentencia se enfrenta a un supuesto de instalación, en la redacción del Diario Marca, de una webcam que recogía una imagen, cada pocos segundos, de los empleados las 24 horas del día, estando accesible a cualquier usuario, a través del sitio web del periódico, sin ninguna restricción. La AN considera vulnerada la normativa de protección de datos y confirma la sanción impuesta por la AEPD a la empresa editora del diario deportivo, y que ascendió a 6.000 euros.
Sentencia del Tribunal Supremo, de 18 de junio de 2006	El establecimiento de medidas de vigilancia y control, en el marco del artículo 20.3 del Estatuto de los Trabajadores, deben haber sido hechas constar expresamente al trabajador, pasando así a formar parte de la propia relación laboral y siendo el tratamiento de los datos necesario para su adecuado desenvolvimiento.

RESOLUCIONES DE LA AEPD
Resolución	Tipo de procedimiento	Resumen del asunto	Cuantía de la sanción
PS/00752/2009	Sancionador	Por parte de un particular se procede a colocar dispositivos de videovigilancia en su propiedad cuyo campo de visión abarca parte del terreno de la propiedad de un vecino y parte de edificios colindantes al suyo, como vía Pública. La Agencia verifica que la resolución de las imágenes hace bastante dificultosa cualquier identificación de personas concretas, sólo tal vez las que accedieran a la propiedad privada de la denunciada, y aún así con dificultades.	Archivo de las actuaciones.
PS/00071/2008	Sancionador	Por parte de una comunidad de propietarios se rechaza la instalación de cámaras en las zonas comunes. Uno de los vecinos unilateralmente decide instalar una en su plaza de garaje. Se sanciona a la empresa de seguridad al no haber informado a los propietarios de una comunidad de un garaje de la existencia de un sistema de videovigilancia.	2.000 €
PS/00709/2009	Sancionador	Una empresa, que tenía dos cámaras de seguridad, es denunciada al no disponer de cartel informativo, impresos de ejercicio de derechos, no haber sido instaladas por empresa de seguridad registrada, además de que dichas cámaras enfocan hacia parte de la acera.	2.500 €
PS/00737/2009	Sancionador	Por remisión de un Juzgado de Instrucción, la Agencia inicia procedimiento y termina sancionando a una vecina de un inmueble que instaló, sin consentimiento del resto de vecinos, una cámara que enfocaba directamente a un elemento común del inmueble, captando imágenes no sólo de la zona común del rellano sino también las correspondientes a los vecinos y propietarios del inmueble que estuvieran o pasaran por la zona videovigilada con fines de seguridad.	601 €
PS/00315/2009	Sancionador	Por medio de un oficio de la Policía, se inicia el procedimiento sancionador por parte de la AEPD. Queda probado que un establecimiento que tiene instaladas cámaras no cumple con la LOPD, al no tener carteles informativos, impresos de ejercicio de derechos, etc. Se da la circunstancia que existe una cámara en el exterior del local de las denominadas “domo”, la cual tiene un gran ángulo de visión y nitidez de la vía pública.	2.500 €
PS/00268/2009	Sancionador	La AEPD, previa denuncia de la Policía Municipal, procede a sancionar a un local destinado a sauna, al detectarse el día que acudió la guardia urbana, tres cámaras de videovigilancia sin cumplir la normativa reguladora de protección de datos.	2.000 €
PS/00381/2009	Sancionador	Se sanciona a una empresa de seguridad, ya que se consideró que había vulnerado el principio de calidad de los datos, en lo que se refiere a un uso proporcional de los mismos, ya que por parte de un guardia de seguridad de dicha empresa, destinado a un aeropuerto, se utilizaban las cámaras de videovigilancia para captar imágenes de empleadas y usuarias del aeropuerto.	90.101 €
PS/00419/2009	Sancionador	Un propietario de una plaza de garaje decide, unilateralmente, instalar una cámara de seguridad, contratando el servicio con una empresa especializada. No consta que se hubiera inscrito el fichero en el RGPD ni existía cartel informativo, entre otras obligaciones en la materia.	3.000 €
PS/00139/2009	Sancionador	Se sanciona a una empresa que mantenía tres webcams activas, de libre acceso a través de su sitio web, las cuales captaban imágenes en tiempo real de la vía pública de un municipio. Dos de las cámaras permitían identificar a los transeúntes que se localizaban en la zona de cobertura.	2.000 €
PS/00377/2007	Sancionador	En el presente caso, la Agencia acredita que en la sede de una empresa se instaló y se puso en funcionamiento un sistema de videovigilancia en su interior sin informar previamente a sus trabajadores ni a aquellas personas que accedían al mismo. Además, consta acreditado que los ficheros resultantes de la citada videovigilancia no fueron declarados ante el RGPD hasta tiempo después.	6.000 €
PS/00136/2009	Sancionador	La AEPD de oficio detecta que a través del sitio web de una empresa, sin restricción de acceso alguna, los usuarios pueden visualizar, en tiempo real, el centro de trabajo, identificándose perfectamente a los empleados. La Agencia comprueba que existe un documento firmado por todos los trabajadores de dicha empresa en la que manifiestan que han sido informados del tratamiento de sus datos prestando inequívocamente su consentimiento.	Archivo de las actuaciones.
PS/00126/2009	Sancionador	La Agencia sanciona a un conocido supermercado en el cual se colocaron dos cámaras en la línea de cajas, grabando una caja registradora, a la cajera, y a todas las personas que efectuaran sus compras en dicha caja, sin existir distintivo informativo alguno, ni cartel en la zona donde las cámaras de videovigilancia captaban y grababan imágenes.	1.000 €
PS/00479/2007	Sancionador	En este procedimiento quedó probado que un propietario de un chalet instaló en la terraza de su domicilio, camuflado en una maceta, un sistema de videovigilancia cuyas cámaras enfocaban a zonas colindantes a su vivienda y ajenas a la misma. No obstante, en el presente caso, la Agencia señala que no consta acreditado que el citado sistema de videovigilancia disponga de dispositivos desproporcionados con la función para la que fue instalado del tipo captación de imágenes mediante sistema “fotográfico” o proximidad mediante sistemas tipo “zoom”. Además, la grabación de las imágenes se realiza de forma aleatoria sin que se haya constatado la instalación de sistemas de direccionamiento remoto o automático.	600 €

Valladolid, a 30 de noviembre de 2010.

[1] Esta distinción se establece a partir de la entrada en vigor, el 27 de diciembre de 2009, de la Ley Omnibus (Ley 25/2009, de 22 de diciembre, de modificación de diversas Leyes para su adaptación a la Ley sobre el libre acceso a las actividades de servicios y su ejercicio). En concreto, el artículo 14 de la nueva Ley modifica el artículo 5.1 e) de la Ley 23/1992, de 30 de julio de Seguridad Privada, añadiendo una disposición adicional sexta a la Ley de Seguridad Privada con la siguiente redacción: «Disposición adicional sexta. Exclusión de las empresas relacionadas con equipos técnicos de seguridad: Los prestadores de servicios y las filiales de empresas de seguridad que vendan, entreguen, instalen o mantengan equipos técnicos de seguridad, siempre que no incluyan la prestación de servicios de conexión con centrales de alarma, quedan excluidas de la legislación de seguridad privada, siempre y cuando no se dediquen a ninguno de los otros fines definidos en el artículo 5, sin perjuicio de otras legislaciones específicas que pudieran resultarles de aplicación».

[2] Como decimos existiría legitimación para el uso de videovigilancia si se cuenta con el consentimiento del interesado. No obstante, son supuestos poco frecuentes que se han planteado en el caso de acceso a las imágenes de guarderías por parte de los padres o tutores de los menores.

^{^[3]}En este sentido, la AEPD en su Memoria correspondiente al año 2007, señaló que «las empresas de seguridad ostentan una legitimación específica para la realización de funciones de videovigilancia derivada de la Ley de Seguridad Privada y del Reglamento que la desarrolla. Pero esta legitimación opera respecto de las empresas de seguridad que hayan cumplido los requisitos de haber obtenido la oportuna autorización administrativa mediante su inscripción en el correspondiente registro del Ministerio del Interior. Estas exigencias, que traducen la acreditación de una actuación profesionalmente cualificada por parte de tales empresas, suscitan una reflexión sobre la diligencia que han de acreditar respecto del cumplimiento de las garantías establecidas en la LOPD, cuando sean contratadas para realizar actividades de videovigilancia; diligencia que debe estar en consonancia con la habilitación legal que ostentan vinculada a aquella profesionalidad».

^{^[4]} Artículo 7.1 del RSP: «Para la prestación privada de servicios o actividades de seguridad, las empresas de seguridad habrán de obtener la oportuna autorización administrativa mediante su inscripción en un Registro que se llevará en el Ministerio del Interior». La inscripción se regula en el artículo 2 del RSP, detallando el Anexo los requisitos que han de reunir estas empresas. No obstante, quedarían excluidas las de ámbito exclusivamente autonómico. Además, el artículo 39.1 dispone que «únicamente podrán realizar las operaciones de instalación y mantenimiento de sistemas de seguridad electrónica contra robo e intrusión y contra incendios las empresas autorizadas».

^{^[5]}. Para la efectiva puesta en funcionamiento de la medida, el artículo 6.1 de la LSP dispone que «Los contratos de prestación de los distintos servicios de seguridad deberán en todo caso consignarse por escrito, con arreglo a modelo oficial, y comunicarse al Ministerio del Interior, con una antelación mínima de tres días a la iniciación de tales servicios». El artículo 20 del RSP regula el procedimiento de notificación del contrato, la autoridad competente y el régimen aplicable a la contratación del servicio por las Administraciones Públicas y a supuestos excepcionales que exijan la inmediata puesta en funcionamiento del servicio.

[6] El Tribunal Constitucional, en reiteradas ocasiones (STC 99/1994, 6/1995, 186/2000, entre otras), ha señalado que “desde la prevalencia de los derechos fundamentales, su limitación por parte de las facultades empresariales sólo puede derivar del hecho de que la propia naturaleza del trabajo contratado implique la restricción del derecho”. De acuerdo con ello, la videovigilancia por motivos de seguridad, en la medida que implica un tratamiento con imágenes, es decir, con datos personales, y supone una restricción de derechos fundamentales del trabajador, debe entenderse en sentido restrictivo y limitado a los casos en que exista una necesidad real de seguridad. No obstante, el TC (STC 196/1987) se ha manifestado partidario de entender como interés constitucionalmente relevante la existencia de una finalidad de seguridad preventiva y genérica, y por lo tanto, entiendo, como parece entender la propia AEPD, que cabe emplearse medidas de videovigilancia con esa genérica finalidad en los centros de trabajo.

^{^[7]} La propia AEPD reconoce que pueden existir casos excepcionales como el de los teleoperadores online.

^{^[8]} La STC 98/2000, de 10 de abril, señala que «no ha quedado acreditado que la instalación del sistema de captación y grabación de sonidos sea indispensable para la seguridad y buen funcionamiento del casino. Así las cosas, el uso de un sistema que permite la audición continuada e indiscriminada de todo tipo de conversaciones, tanto de los propios trabajadores, como de los clientes del casino, constituye una actuación que rebasa ampliamente las facultades que al empresario otorga el artículo 20.3 del ET y supone, en definitiva, una intromisión ilegítima en el derecho a la intimidad consagrado en el artículo 18.1 de la CE».

[9] Así entre otras, las STSJ de Galicia, de 27 de noviembre de 2003 y de 20 de marzo de 2002; la STSJ de la Comunidad Valenciana, de 27 de abril de 2004; o la STSJ del País Vasco, de 25 de septiembre de 2001.

MAS INFORMACION EN LA MONOGRAFÍA: GUIA PRACTICA SOBRE PROTECCION DE DATOS. CUESTIONES Y FORMULARIOS.

Breve estudio jurisprudencial sobre intromisiones ilegítimas en el derecho al honor a través de Internet

2011-01-05T10:33:00.000+01:00

Javier Álvarez Hernando
AC-ABOGADOS

El Tribunal Supremo ha resuelto recientemente, en su Sentencia 316/2010, de 18 de mayo de 2010, un recurso de casación, en la que considera que los prestadores de servicios de alojamiento de páginas web no son responsables de los comentarios aportados por terceros.

El supuesto de hecho es el siguiente: En la página web (quejasonline.com, donde se permite publicar protestas frente a las actividades de las empresas) un usuario no identificado, suplantando la identidad de un abogado, dejó una nota en el foro claramente atentatoria contra su honor y el de una compañía de seguros. La empresa que gestiona dicha web retiró esos contenidos en el momento en el que el citado letrado les remitió una comunicación. Posteriormente éste interpuso la correspondiente demanda que finalmente fue estimada, condenando a la empresa titular de la página web a abonar al demandante, en concepto de daños y perjuicios, 6.135 euros, además de los intereses, las costas y a difundir el fallo de la sentencia. La Audiencia Provincial (de Valencia), que conoció la apelación, confirmó la sentencia de instancia, condenando igualmente a las costas del procedimiento.

Recurrido en casación, el TS se pronuncia finalmente en la precitada Sentencia de 18 de mayo de 2010, y a diferencia de lo resuelto por el Juzgado de Instancia y por la AP, declara haber lugar a la casación. En los Fundamentos de Derecho el TS refiere la Directiva 2000/31/CE del Parlamento Europeo y del Consejo, de 8 de junio de 2000, donde se regula el régimen de responsabilidad de los prestadores de servicios que actúan como intermediarios de la sociedad de la información. En su artículo 16 se dispone que los Estados miembros deben garantizar que los prestadores de servicios consistentes en almacenar datos facilitados por el destinatario de los mismos, no responden cuando se ejercite una acción por daños y perjuicios, siempre que no tengan conocimiento de los hechos o circunstancias por los que la actividad o la información revele su carácter ilícito, y, en el caso de que tuvieran dicho conocimiento, cuando actúen “con prontitud para retirar los datos o hacer que el acceso a ellos sea imposible.”

En el mismo sentido, la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico, dispone, en su artículo 16, que los prestadores de servicios de alojamiento o almacenamiento no serán responsables por la información siempre que “no tengan conocimiento efectivo de que la actividad o la información almacenada es ilícita o de que lesiona bienes o derechos de un tercero susceptibles de indemnización, o si lo tienen, actúen con diligencia para retirar los datos o hacer imposible el acceso a ellos”.

Continúa el artículo definiendo lo que se entiende por “conocimiento efectivo”, señalando que existirá cuando un órgano competente haya declarado la ilicitud de los datos, ordenado su retirada o que se imposibilite el acceso a los mismos, o se hubiera declarado la existencia de la lesión, y el prestador conociera la correspondiente resolución.

Pues bien, aplicando estas normas, el Supremo señala que la AP no ha tenido en cuenta este conjunto normativo al declarar la responsabilidad de la demandada, y por ello no ha extraído consecuencia alguna de que dicha sociedad no conociera, ni pudiera razonablemente conocer, directamente o indirectamente, que quien le suministraba el contenido lesivo (es decir, el letrado objeto de la ofensa) no era él, sino otra persona que utilizaba indebidamente su nombre con el ánimo de perjudicarle; ni que conocedora con posterioridad de esa realidad, merced al requerimiento del perjudicado, retirase el comentario sin tacha de negligencia.

El TS ha tenido oportunidad de pronunciarse en otra importante Sentencia (773/2009, de 9 de diciembre), donde si reconoció la responsabilidad del prestador de servicios de la sociedad de la información (en este caso, la Asociación de Internautas), ya que a través de varios sitios web (putasgae.org y antisgae.internautas.org) se publicaron comentarios críticos y, en algunos casos, ofensivos contra la Sociedad General de autores y Editores (SGAE). Haciendo una interpretación del precitado artículo 16 de la Ley 34/2002, y del concepto de “conocimiento efectivo”, el TS determina que la Asociación de Internautas ha incurrido en una falta de diligencia, por lo que la considera responsable de la intromisión ilegítima en el derecho al honor de la SGAE, condenándola a abonar, en concepto de daños y perjuicios, la cantidad de 18.000 euros; a cesar en el uso del nombre de dominio putasgae.org y a eliminar los enlaces y contenidos dependientes de la web de la Asociación de Internautas; a publicar en dicha web la sentencia por un tiempo equivalente de la intromisión ilegítima; además de las costas del procedimiento.

Por otro lado, la AP de Lugo, en Sentencia de 9 de julio de 2009, exime de responsabilidad a un prestador de servicios que mantenía un foro en su sitio web (mindoniense.com), y en el cual un usuario, no identificado, introdujo un comentario injurioso y atentatorio contra el derecho al honor del alcalde de una localidad lucense. La Audiencia reconoce la intromisión en el derecho al honor del demandante, si bien no estima que los creadores del foro tuvieran un “conocimiento efectivo” de que la información fuera ilícita. Reconoce la Sentencia que en un foro en Internet la publicación es instantánea para generar un debate fluido, sin que los administradores del mismo puedan decidir lo que se publica o no. En dicho sentido, sólo estando 24 horas podrían controlarse las opiniones vertidas. Finalmente, destaca la sentencia, que los demandados retiraron los contenidos tan pronto como les fue comunicado, por parte de la Guardia Civil, la existencia de dicho contenido ilícito.

El Juzgado de 1ª Instancia Nº44 de Madrid, en Sentencia de 13 de septiembre de 2007, vino a reconocer la responsabilidad del administrador de una página web (alasbarricadas.org) por un atentado contra el derecho al honor de un personaje famoso (Ramoncín), al haberse recogido en dicha web expresiones injuriosas, descalificaciones e incluso una fotografía manipulada. Entiende el Juzgado que el prestador del servicio es responsable civil ya que los datos del registro del nombre de dominio alasbarricadas.org no se encontraban actualizados, no correspondiéndose con su actual domicilio, además de no haber acreditado que el correo electrónico de contacto disponible en la web, fuera un medio efectivo de contacto con el administrador. Considera la Sentencia, que “es por ello que el demandado ha impedido con su actuación que pudiese cumplir diligentemente con su deber de retirada de los mensajes, expresiones y fotografía difamatorias, por lo que se estima al mismo responsable de su contenido y debe así indemnizar al actor”. Además de condenarse a cesar en la perturbación ilegítima en el derecho al honor de Ramoncín, eliminando las expresiones y fotografía, se condenó a indemnizar al actor con la cantidad de 6.000 euros, y al abono de las costas causadas.

Valladolid, a 01 de junio de 2010

Primeras interpretaciones jurisprudenciales restrictivas de la Ley 11/2007, de Acceso Electrónico de los Ciudadanos a los Servicios Públicos.

2011-01-05T10:31:00.001+01:00

Javier Álvarez Hernando
AC-ABOGADOS

La Administración Electrónica comienza a ser una realidad en España. Con el objetivo último de evolucionar desde la Administración tradicional (presencia física basada en el papel) hasta llegar a la Administración Electrónica es absolutamente imprescindible que exista una amplia previsión normativa que dote de seguridad jurídica a las precitadas comunicaciones telemáticas entre las AA.PP. y los ciudadanos. Y esto es lo que pretende la Ley de Acceso Electrónico de los Ciudadanos a los Servicios Públicos (Ley 11/2007, de 22 de junio) y su reglamento de desarrollo (Real Decreto 1671/2009, de 6 de noviembre).

La Ley 11/2007 consagra la relación con las AA.PP. por medios electrónicos como un derecho de los ciudadanos y como una obligación correlativa para la Administración. Es decir, la comunicación de los ciudadanos con la Administración se configura como una facultad, y no como una obligación. No obstante, como veremos, esta regla general, permite excepciones.

El artículo 27 de la Ley 11/2007, bajo la rúbrica de “Comunicaciones Electrónicas”, dispone, en su punto primero, que los ciudadanos pueden elegir, en todo momento, la manera de comunicarse con las Administraciones Públicas, sea o no por medios electrónicos, excepto en aquellos casos en los que lo establezca una norma con rango de Ley.

Añade el punto segundo, que las AA.PP. utilizarán medios electrónicos en sus comunicaciones con los ciudadanos siempre que así lo hayan solicitado o consentido expresamente. En este mismo sentido, se manifiesta el artículo 36.1 del R.D. 1671/2009.

La excepción la encontramos en el artículo 27.6 de la Ley 11/2007, cuando señala que reglamentariamente, las AA.PP podrán establecer la obligatoriedad de comunicarse con ellas utilizando sólo medios electrónicos, cuando los interesados se correspondan con personas jurídicas o colectivos de personas físicas que por razón de su capacidad económica o técnica, dedicación profesional u otros motivos acreditados tengan garantizado el acceso y disponibilidad de los medios tecnológicos precisos.

No obstante lo anterior, los tribunales, en sentencias muy recientes, (Sentencias del TSJ de Castilla y León de 18 de septiembre de 2009 y 29 de enero de 2010) vienen a interpretar muy restrictivamente esta obligatoriedad de comunicación únicamente por medios electrónicos.

Considera la STSJ de Castilla y León, de 18 de septiembre de 2009, que “si la regla general es que la elección de la forma de comunicación es una facultad del ciudadano, siendo la excepción que la Administración pueda exigir reglamentariamente que dicha comunicación se realice obligatoriamente por medios electrónicos, tenemos como pauta interpretativa que este supuesto, como excepcional que es, habrá de ser interpretado de forma restrictiva”.

El supuesto de hecho de estas resoluciones es el siguiente: Una Orden autonómica, que crea el “Registro de Empresas Acreditadas en el Sector de la Construcción en la Comunidad de Castilla y León”, establece la obligatoriedad de inscripción en el mismo, de forma telemática, desde un sitio web destinado al efecto.

La argumentación de la Administración demandada se basaba en que los solicitantes de esta inscripción tienen garantizado el acceso a este tipo de medios, ya que son personas jurídicas que adoptan la forma civil o mercantil, y cuentan con trabajadores contratados por cuenta ajena. Además, argumenta la Administración que, a este tipo de empresas, ya se les obliga a realizar determinadas comunicaciones por medios telemáticos, como por ejemplo, los partes de accidentes, la relación de accidentes de trabajo ocurridos sin baja médica, y la relación de altas o fallecimientos de trabajadores accidentados.

Este razonamiento es calificado por el precitado TSJ como “simple”, señalando que es necesario una labor de interpretación de las normas jurídicas según la realidad del tiempo en el que han de ser aplicadas, en consonancia con lo establecido en el artículo 3.1 del Código Civil.

Señala el Tribunal, en sus Fundamentos de Derecho, que si bien la Administración puede exigir que las comunicaciones se realicen de forma telemática, atendiendo a lo dicho por la Ley 11/2007, no puede olvidarse que ello es posible siempre que quede demostrado que concurren determinados presupuestos, algo que en este caso no sucede. Argumentan ambas Sentencias que “no puede establecerse como supuesto de hecho indubitado que todas las empresas que intervienen en el sector de la construcción, absolutamente todas, tienen de antemano garantizado el acceso y la disponibilidad de los medios tecnológicos precisos para realizar la comunicación de esta forma, debiendo significarse de nuevo que las posibilidad de establecer de forma obligatoria la comunicación telemática es excepcional, y en consecuencia las dudas interpretativas que puedan suscitarse habrán de ser resueltas en el sentido de otorgar el poder de elección del medio a los interesados, quienes pueden elegir si realizan la comunicación en esa forma o utilizan las vías que prevé el artículo 38 de la Ley 30/1992”.

No cabe duda, en definitiva, que estas sentencias pioneras abren una puerta al establecimiento de límites a la Administración en el ámbito de la imposición de las comunicaciones telemáticas a los administrados, en base a una restrictiva (y cuestionable) interpretación de la Ley 11/2007.

Valladolid, a 24 de Mayo de 2010

¿El Fiscal, en el marco de una investigación, precisa de autorización judicial para averiguar la identidad de un usuario de Internet?

2010-11-08T10:50:00.000+01:00

Javier Álvarez Hernando
AC-ABOGADOS

Es frecuente que las Fuerzas y cuerpos de Seguridad del Estado, en el marco de una investigación en el que el medio comisivo del delito es Internet, soliciten al Juez que dirija los correspondientes oficios a las compañías de telecomunicaciones, con el objetivo de averiguar, entre sus abonados, los datos identificativos del titular de una línea que ha utilizado una determinada dirección IP (“Internet Protocol”). Los delitos en los que se solicita ésta autorización judicial, por parte de la Policía o la Guardia Civil, suelen corresponderse con asuntos de descarga de pornografía infantil, estafas, delitos contra la intimidad o el honor, y, en menor medida, delitos relativos a la propiedad intelectual.

La pregunta que pudiera plantearse es si el Ministerio Fiscal puede solicitar directamente a las operadoras de comunicaciones esa información identificativa de un abonado, actuando en el ejercicio de sus funciones, entre otras, promover la acción de la justicia (art. 126 C.E. y art. 3 de su Estatuto Orgánico) y también, investigar los hechos delictivos, dentro del marco de unas diligencias preprocesales de naturaleza criminal (art. 773.2 LECRIM). Como veremos, para responder a esta cuestión se debe tener atender a la fecha en el que se produce este requerimiento directo por parte del Ministerio Público.

El 9 de noviembre de 2007 entró en vigor la “Ley 25/2007, de 18 de octubre, de conservación de datos relativos a las comunicaciones electrónicas y a las redes públicas de comunicaciones”. En síntesis, el objeto de esta norma es el establecimiento de la obligación de los operadores de telecomunicaciones de retener determinados datos, recogidos como consecuencia de la comunicación realizada por sus usuarios, con el fin de que estén a disposición de la Policía Judicial, personal del Centro Nacional de Inteligencia (CNI) y de la Dirección de Vigilancia Aduanera, (no se refiere al Ministerio Fiscal). Lo primero que aclara la Ley 25/2007, es que sólo se aplica a los datos de tráfico y de localización de personas (ya sean físicas o jurídicas) y a los datos de identificación del usuario, excluyéndose el contenido de las comunicaciones electrónicas.

Posteriormente, en Acuerdo del Pleno no jurisdiccional del Tribunal Supremo, de 23 de febrero de 2010, se acordó que es necesaria autorización judicial para que los operadores de telecomunicaciones cedan los datos generados o tratados con tal motivo. Por lo cual, el Ministerio Fiscal precisará de tal autorización para obtener de los operadores los datos conservados que se especifican en el art. 3 de la Ley 25/2007 y entre los que se destacan los datos necesarios para rastrear e identificar el origen y el destino de una comunicación, como el número de teléfono, nombre y dirección del abonado, y la dirección IP asignada en cada comunicación.

La Sentencia del Tribunal Supremo, de 18 de marzo de 2010, en la que es ponente José Ramón Soriano Soriano, da la razón al Ministerio Fiscal recurrente, casando la Sentencia de la Audiencia Provincial de Álava, en la que se declaró nula la mayor parte de la prueba, por entender que era de origen vicioso, al no haber solicitado el Ministerio Fiscal en su labor investigadora, la autorización judicial para averiguar la identidad de un abonado, a través de su IP, que estaba en posesión de pornografía infantil. Si bien la confesión del acusado fue suficiente, a pesar de todo, para condenarle por posesión, pero no lo fue para condenarle por distribución, en el marco del artículo 189 del Código Penal, sobre corrupción de menores.

Esta Sentencia recuerda que después de la entrada en vigor de la Ley 25/2007, es decir, después del 9 de noviembre de 2007, es de aplicación el Acuerdo del Pleno no jurisdiccional de 23 de febrero de 2010, en el que se exige la necesaria autorización judicial. No obstante, antes de la Ley 25/2007, es suficiente el requerimiento directo a las operadoras de comunicaciones por parte del Ministerio Fiscal, y ello, debido a que no todos los datos afectan al secreto de las comunicaciones. El TS distingue dos tipos de datos. Por un lado, aquellos externos o de tráfico que hacen referencia a una comunicación concreta y contribuyen a desvelar todo o parte del secreto que protege el art. 18.3 C.E.; y por otro lado, datos referentes a la intimidad de una persona (art. 18.1 C.E.), pero autónomos o desconectados de cualquier comunicación que caerán dentro del derecho a la protección de datos del art. 18.4 C.E, que no pueden comprometer un proceso de comunicación. En el asunto que resuelve la precitada Sentencia, los datos cuya obtención se pretende por el Fiscal no tienen relación ni afectan, ni intercepta, ni descubren, ni tratan de descubrir una comunicación concreta, sino que por ser preciso para la acción investigadora el conocimiento del domicilio, número de teléfono o la identidad del titular del equipo informático que opera en Internet (IP), la solicita a la operadora, al objeto de pedir del Juez un mandamiento de entrada y registro con fines de investigación de un posible delito.

Es decir, el TS determina que, en estos casos, el proceder el Ministerio Fiscal no afecta al secreto de las comunicaciones, sino a la protección de datos, en el marco de lo establecido en la L.O. 15/1999, de 13 de diciembre, y su Reglamento de desarrollo (R.D. 1720/2007). Concretamente el artículo 11.2.d señala que no es necesario el consentimiento del interesado cuando la comunicación tenga por destinatario, entre otros, al Ministerio Fiscal. Incluso, destaca la Sentencia que la Agencia Española de Protección de Datos, ja dicho en sus informes 135/2003 y 297/2005 que en los supuestos que se refiere el artículo 11.2 de la LOPD, la cesión de datos no está sujeta a reserva jurisdiccional.

Aunque otras Sentencia del TS (236/2008, de 9 de mayo y 292/2008, de 28 de mayo) han apuntado ya los criterios anteriormente expuesto, la Sentencia que hoy comentamos tiene la especialidad de referirse a la intervención del Ministerio Fiscal solicitando la identidad de un usuario de una línea y no la policía. La solución dada por el TS, como hemos visto, depende de si esa actuación del Fiscal se hubiera hecho antes o después del 9 de noviembre de 2007. Para que luego cuenten en las facultades de Derecho que la seguridad jurídica es un principio universalmente reconocido, que se entiende y se basa en la «certeza del derecho», tanto en el ámbito de su publicidad como en su aplicación.

Valladolid, a 08 de Noviembre de 2010

Ejercicio de derechos en materia de protección de datos

2010-05-24T10:24:00.000+02:00

Javier Álvarez Hernando
AC-ABOGADOS

La Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos (en adelante, LOPD) faculta a las personas físicas a ejercer una serie de derechos, en lo que respecta a sus propios datos, frente a aquellos que realizan un tratamiento con los mismos. Estos derechos son los siguientes: de acceso, rectificación, cancelación, oposición, e impugnación de valoraciones.

En este sentido, el Tribunal Constitucional (Sentencia del TC 290/2000, de 30 de noviembre) ha declarado, de forma expresa, este poder de disposición y control por parte de los interesados sobre sus datos de carácter personal. Señala el TC que estos derechos constituyen un haz de facultades que emanan del derecho fundamental a la protección de datos y sirven a la “capital función que desempeña este derecho: garantizar a la persona un poder de control sobre sus datos personales, lo que sólo es posible y efectivo imponiendo a terceros los mencionados deberes de hacer”. “Este derecho faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, o cuáles puede un tercero recabar, y también le permite saber quién posee esos datos personales y para qué, pudiendo oponerse a su posesión o uso”.

No obstante, como ocurre con los Derechos Fundamentales (y el de protección de datos lo es, autónomo y diferenciado del derecho a la intimidad) no se trata de derechos absolutos, ya que el Reglamento de la LOPD (R.D. 1720/2007) establece que es posible su modulación “por razones de seguridad pública en los casos y con el alcance previsto en las Leyes”. Así por ejemplo, hay determinadas normas que establecen procedimientos especiales para la rectificación o cancelación de los datos contenidos en los mismos, como ocurre, por ejemplo, en la "Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica”; en la "Ley Orgánica 10/2007, de 8 de octubre, reguladora de la base de datos policial sobre identificadores obtenidos a partir del ADN"; o en la “Ley 12/2003, de 21 de mayo, de prevención y bloqueo de la financiación del terrorismo”.

El primer derecho que tiene cualquier persona es el de consulta al Registro General de Protección de Datos, al que se puede dirigir para recabar información en relación a la existencia de un tratamiento de datos, su finalidad y la identidad del responsable del fichero, entre otras. Esta consulta al registro se puede realizar, bien a través del sitio web de la Agencia Española de Protección de Datos –AEPD- (http://www.agpd.es), o bien por vía telefónica (901 100 099).

Por su parte, el derecho de acceso, es la facultad que todo interesado tiene con el fin de solicitar y obtener gratuitamente del responsable del tratamiento, información de sus datos personales sometidos a tratamiento, la finalidad del mismo, información sobre el origen de dichos datos, así como las cesiones a terceros, realizadas o que se prevén hacer de los mismos. Se trata de una de las cargas que, en garantía de los derechos del afectado, debe asumir, con especial diligencia, el responsable del fichero, tal y como han manifestado, entre otras, las Sentencias de la Audiencia Nacional de 24 mayo de 2002 y 6 de julio de 2006. La AEPD ha aclarado que si el interesado no especifica el fichero sobre el que quiere ejercer el derecho solicitado, se deberá entender que se refiere a todos los ficheros que se encuentren bajo la responsabilidad del responsable del tratamiento.

En lo referente a los plazos, el responsable del fichero debe resolver sobre la petición de acceso en el plazo máximo de un mes. Si la resolución fuera estimatoria, el acceso deberá ser efectivo en el plazo de los 10 días siguientes a la notificación. En todo caso, lo que es claro es que el responsable debe contestar con independencia de que figuren datos personales del interesado en el fichero.

Los únicos casos en los que se permite denegar el acceso se producen cuando el derecho sea ejercitado en un intervalo inferior a 12 meses y no se acredite ningún interés legítimo al efecto (se pretende evitar que el responsable del fichero se vea acosado por reiteradas y caprichosas peticiones de acceso); cuando la solicitud la formule una persona distinta del propio interesado; cuando así lo prevea una norma; o cuando los datos del interesado se encuentren “bloqueados”, que supone, a efectos prácticos, que ya han sido cancelados. Cabe destacarse que los tribunales han venido considerando como desestimado el derecho de acceso en todos aquellos casos en los que no hay respuesta alguna del responsable del fichero (por ejemplo, Sentencia de la AN, de 14 de diciembre de 2006).

Otro de los derechos reconocidos legalmente es el de rectificación, y que consiste en la facultad que tiene el interesado de solicitar que se modifiquen los datos que resulten ser inexactos o incompletos. En este caso, el responsable tiene la obligación de hacer efectivo este derecho en el plazo de 10 días a contar desde la recepción de la solicitud, y en el caso de que esos datos objeto de modificación hayan sido cedidos a terceros, el responsable deberá notificarlo (de oficio) al cesionario de los mismos, para que éste, igualmente en el plazo de 10 días, proceda a rectificar los datos.

En cualquier caso, la solicitud de rectificación deberá indicar el dato erróneo y la corrección que deba de realizarse, acompañada, en su caso, de la documentación justificativa.

Si el responsable del fichero considera que no procede la rectificación, se lo deberá comunicar al afectado de forma motivada, en el mismo plazo de 10 días. Trascurrido ese plazo sin que se responda, de forma expresa, el interesado podrá solicitar la tutela de la AEPD. Al igual que ocurre con los derechos de acceso, rectificación y cancelación, podrá denegarse el derecho en los supuestos en que así lo prevea una ley o una norma de derecho comunitario de aplicación directa o cuando éstas impidan al responsable del tratamiento revelar a los afectados el tratamiento de los datos a los que se refiera el acceso.

Por otro lado, en cualquier momento, un interesado puede solicitar al responsable que se cancelen los datos que le conciernen, bien porque desee revocar el consentimiento prestado con anterioridad, o bien porque entienda que el tratamiento se está efectuando sin su consentimiento previo, o porque no se le ha informado de todo aquello que exige el artículo 5 de la LOPD, y que conforma el principio de información.

El responsable del fichero tiene la obligación de hacer efectivo este derecho (o motivar el porqué no procede) en el plazo de 10 días, a contar desde la recepción de la solicitud. Si los datos objeto de la cancelación se cedieron previamente a terceros, el responsable deberá notificar esta circunstancia a los cesionarios de los mismos, en ese mismo plazo, con el fin de que procedan igualmente a cancelar los datos en sus ficheros, sin que tenga obligación alguna de comunicarlo al interesado.

En cualquier caso, puede denegarse la cancelación cuando los datos deban ser conservados durante los plazos previstos en las distintas normas de aplicación; o cuando los datos deban ser conservados con ocasión de las relaciones contractuales existentes entre la persona o entidad responsable del tratamiento y el interesado que justificaron el tratamiento de los datos.

Igualmente el interesado tiene un derecho de oposición, que consiste en que no se lleve a cabo el tratamiento de sus datos personales o se cese en el mismo en determinados supuestos: 1.-Cuando no sea necesario su consentimiento para el tratamiento, como consecuencia de la concurrencia de un motivo legítimo y fundado, referido a su concreta situación personal, que lo justifique. (En este supuesto, el interesado en su solicitud deberá indicar cuales son los motivos fundados y legítimos. De no hacerlo, o si se hace de forma insuficiente, este derecho puede ser denegado); 2.-Cuando se trate de ficheros que tengan por finalidad la realización de actividades de publicidad y prospección comercial; y 3.- Cuando el tratamiento tenga por finalidad la adopción de una decisión referida al afectado y basada únicamente en un tratamiento automatizado de sus datos.

Existe la posibilidad de rechazo por parte del interesado al uso de sus datos, ya sea de forma general (oponiéndose al tratamiento) o concreta (oponiéndose a un uso determinado de sus datos o con una finalidad específica).

Como el resto, este derecho se puede ejercitar mediante una solicitud dirigida al responsable, que deberá resolver en el plazo máximo de 10 días a contar desde la recepción de dicha solicitud. No obstante, el derecho de oposición en tratamientos para actividades de publicidad y de prospección comercial puede ejercitarse mediante llamada a un número telefónico gratuito, o incluso, mediante la remisión de un correo electrónico.

El último de los derechos que tienen las personas físicas es la posibilidad de impugnar las decisiones que impliquen una valoración de su comportamiento, cuyo único fundamento sea un tratamiento de datos que ofrezca una definición de sus características o personalidad. La LOPD prohíbe la realización de valoraciones de la personalidad que únicamente estén fundadas en informaciones proporcionadas mediante tratamientos de datos personales, ya sean utilizados, o no, procesos automatizados.

Se deben dar los siguientes requisitos para el ejercicio de este derecho, aunque no obstante, habrá que analizarse cada caso concreto debido a los conceptos jurídicos indeterminados que se manejan: 1.- Que los efectos jurídicos sobre las personas les afecten de manera significativa (por ejemplo, la concesión de un crédito hipotecario); 2.- El fundamento único de la decisión debe estar constituido por información proporcionada por el tratamiento. Por lo que si existe cualquier otro argumento que influya en la decisión adoptada, la prohibición de tratamiento de los datos deja de existir. 3.- La decisión ha de tener por objeto evaluar aspectos de la personalidad del afectado, como por ejemplo, su rendimiento laboral, crédito, fiabilidad o conducta.

El interesado tiene derecho a obtener información sobre los criterios de valoración utilizados; acerca del programa técnico-informático empleado en el tratamiento que sirvió para adoptar la decisión; y a ser informado previamente, respecto a las decisiones individuales automatizadas, de las consecuencias del tratamiento y de la circunstancia de que se cancelarán los datos en el caso de que no llegue a celebrarse finalmente el contrato.

El Reglamento de la LOPD establece que las valoraciones sobre el comportamiento de un afectado, únicamente podrán tener valor probatorio a petición de éste. Es decir, con su consentimiento inequívoco e informado.

En todos los derechos (acceso, rectificación, cancelación, oposición, impugnación de valoraciones) debe tenerse en cuenta el cómputo de los plazos, que siempre se refieren a plazos administrativos (es decir, el sábado se considera hábil).

En lo que respecta a la posibilidad de que el ejercicio de derechos se realice mediante representante voluntario, es importante tener en cuenta que sería necesario un poder de representación específico, no debiendo aceptarse un apoderamiento genérico. Y ello se explica ya que los derechos indicados, con excepción del de consulta al RGPD, son personalísimos, es decir, solamente el interesado puede ejercerlos frente al responsable del fichero, bastando, con el fin de acreditar su identidad, con adjuntar, junto con la solicitud, una fotocopia del DNI o documento equivalente.

Por otro lado, el ejercicio de estos derechos debe ser gratuito y no puede suponer un ingreso adicional para el responsable ante el que se ejercitan, por lo que no es ajustado a Derecho que se fije como medio para su ejercicio el envío de cartas certificadas, la utilización de servicios de telecomunicaciones que impliquen una tarificación adicional al afectado, o cualesquiera otros medios que supongan un coste excesivo para el interesado.

La acreditación del envío y recepción del ejercicio de los derechos le corresponde al interesado, mientras que la contestación, le corresponde al responsable del fichero o tratamiento. En la práctica, se recomienda que el envío de contestación se realice mediante burofax certificado con acuse de recibo, ya que en estos casos, se produce una inversión de la carga de la prueba y es el responsable del tratamiento el que tiene que demostrar que ha dado cumplida respuesta al ejercicio del derecho.

El Reglamento de la LOPD dispone que las personas vinculadas al fallecido, por razones familiares o análogas, pueden dirigirse a los responsables de los ficheros que contengan datos de éste con la finalidad de notificar el óbito, aportando acreditación suficiente del mismo y solicitar, cuando hubiere lugar a ello, la cancelación de los datos. Es de destacar que la Agencia se refirió a esta cuestión en un Informe Jurídico en el año 2002, señalando que los herederos pueden tener acceso a los datos personales del causante, en cuanto supongan el ejercicio, en su nombre, de una acción que esté amparada en la L.O. 1/1982, de Protección Civil de Derecho al Honor, intimidad Personal y Familiar y Propia Imagen, es decir, para proteger los derechos al honor, intimidad o imagen de las personas fallecidas, o bien cuando se realice en defensa de su derecho hereditario (por ejemplo, datos para conocer el caudal relicto o el estado de determinados bienes hereditarios).

En cualquier caso, el interesado, una vez que se ha dirigido a un responsable para ejercer uno de los derechos, resultando infructuoso el mismo (bien porque no se responda, o se deniegue total o parcialmente), puede solicitar el amparo de la AEPD, interponiendo la oportuna reclamación.

Según la última Memoria de la AEPD, correspondiente al año 2008, se iniciaron 1.687 procedimientos de tutela de derechos, lo que supone un 88 % más respecto al año anterior.

Valladolid, a 24 de Mayo de 2010

Instalación de cámaras en el centro de trabajo.

2010-03-22T20:07:00.001+01:00

Javier Álvarez Hernando
AC-Abogados

Cada día con más frecuencia me consultan en el despacho cuestiones relacionadas con la videovigilancia, y más en concreto con la instalación de cámaras en el puesto de trabajo. La primera de las preguntas que suelen hacerse es si es necesario o no el consentimiento de los trabajadores para la puesta en marcha de esta medida de control. Pues bien, la Agencia Española de Protección de Datos (AEPD), en su Informe Jurídico 323/2007, entre otros, señaló que la aplicación del artículo 20.3 del Estatuto de los Trabajadores, que indica que «El empresario podrá adoptar las medidas que estime más oportunas de vigilancia y control para verificar el cumplimiento por el trabajador de sus obligaciones y deberes laborales, guardando en su adopción y aplicación la consideración debida a su dignidad humana… », no legitima por sí solo el tratamiento de las imágenes, si bien éste será posible, aun sin contar con el consentimiento del afectado en los casos en los que los trabajadores hayan sido debidamente informados de la existencia de esta medida, debiendo además dejar claro que, conforme a lo exigido por el artículo 4.2 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos (en adelante, LOPD), los datos no podrán ser utilizados para fines distintos a los propios de ese control a que se refiere el Estatuto de los Trabajadores.

Por otra parte, no se puede obviar la doctrina del Tribunal Supremo, en Sentencia de 18 de junio de 2006, en virtud de la cual se deja claro que dichas medidas deben haber sido hechas constar expresamente al trabajador, pasando así a formar parte de la propia relación laboral y siendo el tratamiento de los datos necesario para su adecuado desenvolvimiento.

No obstante, la instalación de cámaras de vigilancia en los centros de trabajo es una práctica que se encuentra plenamente sometida a la LOPD y a la Instrucción 1/2006 de la AEPD y por tanto, el responsable debe tener en cuenta las siguientes cuestiones específicas:

Deberán respetar de modo riguroso el principio de proporcionalidad, es decir, podrá adoptarse esta medida cuando no exista otra más idónea. Así, por ejemplo, en la STC 186/2000, de 10 de julio, el Tribunal Constitucional rechazó el amparo solicitado por un empleado que había sido despedido de su empresa, apoyándose en pruebas de su conducta obtenidas mediante un circuito cerrado de televisión instalado sin advertirlo; pero la instalación, ceñida a determinados puestos laborales, se encontraba justificada y era proporcionada, por lo que respetaba el derecho a la intimidad del trabajador afectado.

Sólo se deben captar imágenes en los espacios indispensables para satisfacer las finalidades de control laboral. No debe confundirse la captación de la imagen con su uso y/o difusión, tal y como resolvió el TC en su Sentencia 99/1994, de 11 de abril, en el conocido como caso Diario Marca. Señaló el TC que «la captación y difusión de la imagen del sujeto sólo será admisible cuando la propia —y previa— conducta de aquél o las circunstancias en las que se encuentre inmerso, justifiquen el descenso de las barreras de reserva para que prevalezca el interés ajeno o el público que puedan colisionar con aquél».

Deberán tener en cuenta los derechos específicos de los trabajadores respetando, por ejemplo, los derechos a la intimidad y el derecho fundamental a la protección de datos en relación con espacios vetados a la utilización de este tipo de medios como vestuarios, baños, taquillas o zonas de descanso; el derecho a la propia imagen de los trabajadores, además de la vida privada en el entorno laboral no registrando en particular las conversaciones privadas.

En principio, la captación de audio podría desbordar el principio de proporcionalidad, según señaló el Tribunal Constitucional en su Sentencia 98/2000, considerando que es una intromisión ilegítima en el derecho a la intimidad. No obstante, la propia AEPD reconoce que pueden existir casos excepcionales como el de los teleoperadores online.

Se debe garantizar el cumplimiento del principio de información en la recogida de las imágenes, mediante un cartel informativo. Igualmente se refuerza el cumplimiento del citado principio informando específicamente a la representación sindical, además de proporcionando información personalizada a los interesados a través de la intranet corporativa.

Se deberá proceder, en su caso, a la inscripción del correspondiente fichero en el Registro General de Protección de Datos. Cabe la posibilidad de utilizar simultáneamente un sistema de videovigilancia con fines de seguridad y de control laboral. En este supuesto la inscripción de fichero deberá incluir ambas finalidades.

Se deberán cancelar las imágenes en el plazo máximo de 30 días y únicamente podrán conservarse aquellas que registren una infracción o incumplimiento de los deberes laborales.

Se deberán dar cumplida respuesta a los derechos de acceso y cancelación. Puede surgir la duda de si un trabajador puede ejercitar su derecho de oposición a ser grabado durante la jornada laboral. Pues bien, si la grabación se realiza en aplicación del artículo 20.3 del ET la oposición plantea dificultades y deviene un derecho de ejercicio imposible ya que la previsión legal del ET excluye la oposición. Debe argumentarse, además, que aunque se base en una concreta situación personal, las videocámaras tienen por objeto grabar el conjunto del entorno de trabajo y a otros trabajadores. En definitiva, si se respetan las condiciones previstas por la Ley, prevalece el interés del empresario.

Se deberían formalizar, en su caso, contratos de acceso a los datos por cuenta de terceros (por mandato del artículo 12 de la LOPD), en el supuesto que intervengan empresas de seguridad en el mantenimiento del sistema, y ello implique un acceso a las imágenes, ya sea este puntual o continuado.

Y por último, deberán adoptarse las correspondientes medidas de seguridad, atendiendo a lo establecido en el R.D. 1720/2007, de 21 de diciembre.

Valladolid, a 22 de marzo de 2010

Cuestiones jurídicas acerca de los dispositivos de geolocalización

2010-03-22T20:05:00.000+01:00

Javier Alvarez Hernando
AC-ABOGADOS

Cada vez es más frecuente que las empresas opten por instalar sistemas de localización GPS en los vehículos que los empleados utilizan para el desarrollo de su actividad laboral, con el fin de controlar la utilización de estos medios puestos a disposición de los trabajadores.

Es necesario recordar que la puesta a disposición de estos medios de control se encuentra dentro de los poderes empresariales contenidos en el artículo 20.3 del Estatuto de los Trabajadores (ET), y por tanto, estaría legitimada su utilización siempre que se den una serie de requisitos, que son los siguientes:

1.- La concreta finalidad debe ser la establecida por el artículo 20.3 del ET de verificar el cumplimiento por el trabajador de sus obligaciones y deberes laborales. En este sentido, establece el precitado artículo 20.3, que el empresario puede “adoptar las medidas que estime más oportunas de vigilancia y control para verificar el cumplimiento por el trabajador de sus obligaciones y deberes laborales, guardando en su adopción y aplicación la consideración debida a su dignidad humana y teniendo en cuenta la capacidad real de los trabajadores disminuidos, en su caso”.

2.- Es necesario informar a los trabajadores implicados de la instalación de estos controles. No es necesario contar con el consentimiento del interesado, ya que el artículo 6.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos (LOPD) aunque dispone, que como regla general, el tratamiento de datos requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga lo contrario, no obstante, en lo referente al tratamiento de los datos correspondientes a los trabajadores, cuando el mismo se efectúa en el ámbito de la relación laboral, el artículo 6.2 de la LOPD exceptúa la obligación de recabar el consentimiento de los afectados en los supuestos en que “los datos de carácter personal (...) se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento”.

No obstante, tal y como señalábamos, aunque no sea necesario recabar el consentimiento de los trabajadores, sí es exigible informar previamente a la implantación de la medida, conforme a lo establecido por el artículo 5 de la LOPD, a saber, indicar la existencia de la medida de control de geolocalización que va a adoptar la empresa y a partir de qué fecha; señalar que la misma permite obtener información acerca de la situación geográfica de los trabajadores, exclusivamente durante la jornada laboral; que los datos recogidos con ocasión del citado sistema de geolocalización va a pasar a formar parte del Fichero de Personal de la empresa con la finalidad de gestionar la relación laboral existente, indicando si van a ser cedidos o no a terceros; y finalmente recordando que el trabajador tiene derecho a acceder, rectificar o cancelar los datos referentes a su persona incluidos en ese fichero.

En cualquier caso, entendemos que es recomendable informar a los representantes de los trabajadores de las políticas adoptadas en esta materia.

La Agencia Española de Protección de Datos procedió al archivo de actuaciones, en el Expediente núm. E/742/2008, iniciado, previa denuncia de unos trabajadores de una empresa, al haberse establecido un sistema de geolocalización de los vehículos de la misma. La Agencia concluyó que existía una prueba indiciaria razonada que, en virtud del principio de presunción de inocencia, lleva a confirmar que la empresa informó a los trabajadores a través de diversos medios de la instalación de los GPS en los vehículos de trabajo, habiéndose así reconocido por incluso alguno de los denunciantes, y por otros, a través de su negativa a prestar el consentimiento, por lo que se estima que la empresa cumplió con la obligación del empresario de informar de los extremos del artículo 5 de la LOPD.

3.- Debe tratarse de un vehículo proporcionado por la empresa para el desarrollo de las funciones laborales del trabajador. Incluso, si se tratara de un vehículo que fuera utilizado, con el consentimiento de la empresa, además, para fines privados del trabajador, el sistema de geolocalización no debería estar operativo fuera del horario correspondiente a la jornada laboral.

Por otro lado, no estaría justificado facilitar un dispositivo de esta naturaleza a todos los trabajadores de la empresa cuando su tipo de prestación no lo haga necesario.

Finalmente, debemos concluir recordando que el responsable del fichero, es decir, la empresa u organización que decide implementar un sistema de geolocalización entre sus trabajadores, debe proceder a notificar al Registro General de Protección de Datos, la creación de un fichero con la finalidad de geolocalización, o en su caso, promover la modificación del que, en su caso, tuviera ya inscrito, relativo a recursos humanos, con el fin de introducir esta nueva finalidad.

Valladolid, a 3 de marzo de 2010

Ley Omnibus y videovigilancia

2010-03-22T20:02:00.002+01:00

Javier Alvarez Hernando
AC-ABOGADOS

El régimen jurídico concerniente a la videovigilancia se modifica de una manera sustancial, a raíz de la entrada en vigor, el 27 de diciembre de 2009, de la conocida como Ley Omnibus (Ley 25/2009, de 22 de diciembre, de modificación de diversas Leyes para su adaptación a la Ley sobre el libre acceso a las actividades de servicios y su ejercicio).

En concreto, el artículo 14 de dicha norma modifica el artículo 5.1 e) de la Ley 23/1992, de 30 de julio de Seguridad Privada, añadiendo una Disposición Adicional Sexta a la misma.

En todo caso, sigue siendo de aplicación la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos (LOPD), el Real Decreto 1520/2007 (RLOPD), y la Instrucción 1/2006, de 8 de noviembre, de la Agencia Española de Protección de Datos (AEPD).

Analizando el régimen normativo de la videovigilancia, debemos partir por la Instrucción 1/ 2006, de 8 de noviembre, de la AEPD, la cual regula el tratamiento de imágenes de personas físicas identificadas o identificables con fines de vigilancia, a través de sistemas de cámaras y videocámaras.

La precitada Instrucción tiene por objeto regular la grabación y el almacenamiento de imágenes, así como el tratamiento que pudiera resultar de los datos de personas, identificadas o identificables, relacionados con ella. Sin embargo, excluye de su ámbito de aplicación, a las grabaciones domésticas (por ejemplo, grabaciones realizadas en el contexto de una celebración familiar, o de un viaje turístico); a las realizadas por parte de las Fuerzas y Cuerpos de Seguridad del Estado, las cuales se regulan, de forma específica, por la Ley Orgánica 4/1997, de 4 de agosto; y los tratamientos de imágenes por parte de medios de comunicación, en el ejercicio legítimo de los derechos que les confiere el artículo 20 de la Constitución Española (como por ejemplo, la emisión de un informativo de televisión, o la edición de un periódico).

Sólo se permite la instalación de videocámaras cuando la finalidad de vigilancia no pueda satisfacerse mediante otros medios que, sin que exijan unos esfuerzos desproporcionados, resulten menos intrusivos para la intimidad de las personas. Es decir, el uso de instalaciones de cámaras o videocámaras sólo es admisible cuando no exista un medio menos invasivo para la intimidad. Por lo que habrá de estarse a cada caso concreto. En este sentido, el Tribunal Constitucional en sus sentencias (entre ellas, STC 207/1996) ha concluido que aunque la proporcionalidad es un concepto jurídico indeterminado debe ser una «exigencia común y constante para la constitucionalidad de cualquier medida restrictiva de derechos fundamentales, entre ellas, las que supongan una injerencia en los derechos a la integridad física y la intimidad».

Distinguimos DOS SUPUESTOS que el responsable del fichero debe tener en cuenta a la hora de instalar cámaras o videocámaras de vigilancia:

1) Si la instalación del sistema de videovigilancia está conectado a una central de alarmas.

En estos supuestos de conexión con una central de alarmas, para que un responsable del fichero pueda instalar legalmente una cámara de videovigilancia, debe tener en cuenta que sólo podrá hacerlo, sin contar con el consentimiento de los interesados (que será lo excepcional), atendiendo, además de a lo establecido en la LOPD y en la Instrucción 1/2006, a lo señalado en la Ley 23/1992, de 30 de julio, de Seguridad Privada (LSP) y en el Reglamento de Seguridad Privada, aprobado por Real Decreto 2364/1994, de 9 de diciembre (RSP), y que sintetizamos en los siguientes puntos:

— Sólo pueden prestar, o desarrollar, los servicios de instalación y mantenimiento de aparatos, dispositivos y sistemas de seguridad, entre ellos, las cámaras de videovigilancia, las empresas de seguridad y el personal de seguridad privada.

— Es necesario que la empresa de seguridad haya dado cumplimiento a los requisitos formales establecidos en la LSP (inscripción en el Registro y comunicación de un contrato al Ministerio del Interior).

En consecuencia, y tal y como señala la AEPD, en su Informe Jurídico de 5 de febrero de 2007, siempre que se haya dado cumplimiento a los requisitos formales establecidos en la LSP, las empresas de seguridad reconocidas podrán instalar dispositivos de seguridad, entre los que se encontrarían los que tratasen imágenes con fines de videovigilancia, existiendo así una habilitación legal para el tratamiento de los datos resultantes de dicha instalación.

Por otro lado, se considera como responsable del fichero a la empresa u organización que decide instalar el sistema de videovigilancia, dado que decide sobre la finalidad, contenido y uso del tratamiento, requisitos necesarios para considerarla responsable del fichero, al amparo del artículo 3.d) de la LOPD. Con independencia de que el responsable encargue a una empresa la gestión del sistema de las cámaras y videocámaras. En este caso, se considera a dicha empresa como encargada del tratamiento de datos personales con fines de vigilancia a través de sistemas de cámaras o videocámaras, dado que su actividad debería quedar limitada única y exclusivamente a la prestación de este servicio.

2) Si la instalación del sistema de videovigilancia no está conectado a una central de alarma.

Por aplicación de lo establecido en el artículo 14 de la Ley Omnibus cualquier particular o empresa cuya actividad no sea la propia de una empresa de seguridad privada podrá: “vender, entregar, instalar y mantener equipos técnicos de seguridad” sin necesidad de cumplir las exigencias previstas en la Ley de Seguridad Privada para tales empresas.

De este modo, dado que la ley permite la instalación y mantenimiento de dichos equipos por empresas distintas a las de seguridad privada, legitima a quienes adquieran de estos dispositivos para tratar los datos personales derivados de la captación de las imágenes sin necesidad de acudir a empresas de seguridad privada, siendo dicho tratamiento conforme a lo previsto en la LOPD, siempre y cuando la instalación del sistema de videovigilancia no esté conectado a una central de alarma.

Ello implica que la instalación y puesta en funcionamiento de videocámaras IP y Webcams capaces de transmitir datos en formato digital a través de Internet, salvo que estén conectadas con una central de alarmas, podrá ser realizado por cualquier persona.

Es decir, para la mayor parte de los supuestos de videovigilancia, la entrada en vigor de la Ley Omnibus el 27 de diciembre de 2009, ha implicado, siempre que el sistema no esté conectado a una central de alarma, la no necesidad de contar con una empresa de seguridad privada para su puesta en funcionamiento, ni cumplir con las obligaciones de notificación del contrato al Ministerio del Interior.

Siguiendo la Instrucción 1/2006 y los informes y recomendaciones de la AEPD el responsable deberá tener en cuenta los siguientes aspectos:

A.-Las cámaras y videocámaras instaladas en espacios privados no podrán obtener imágenes de espacios públicos. No obstante, podrían tomarse imágenes parciales y limitadas de vías públicas cuando resulte imprescindible para la finalidad de vigilancia que se pretende, o resulte imposible evitarlo por razón de la ubicación de aquéllas. En todo caso, no sería admisible la captación de imágenes en espacios protegidos por el derecho a la intimidad como los interiores de viviendas cercanas, en baños o vestuarios o en espacios físicos ajenos al específicamente protegido por la instalación.

B.- La Instrucción 1/2006 establece que los responsables que cuenten con sistemas de videovigilancia deben cumplir con el deber de información previsto en el artículo 5 de la LOPD. A tal fin deben:

a) Colocar, en las zonas videovigiladas, al menos un distintivo informativo ubicado en lugar suficientemente visible, tanto en espacios abiertos como cerrados, que incluya las palabras: «ZONA VIDEOVIGILADA». El distintivo deberá ubicarse, como mínimo, en los accesos a las zonas vigiladas, sean estos exteriores o interiores. Debe tenerse en cuenta que si el lugar vigilado dispone de varios accesos se debe colocar en todos ellos al objeto de que la información sea visible con independencia de por donde se acceda. La AEPD señala que el cartel se de debe encontrar dentro del campo de visión natural del afectado, esto es, a la altura de sus ojos.

b) Tener a disposición de los interesados impresos en los que se detalle la información prevista en el artículo 5.1 de la LOPD, es decir, «que sus datos se incorporarán al fichero (...) y serán tratados por (...) cuya dirección es (...) con fines de seguridad a través de cámaras de videovigilancia, que los destinatarios de los datos serán (...). Puede ejercer sus derechos de acceso, rectificación, cancelación u oposición ante (...)».

Por tanto, los afectados deberán poder dirigirse a la dirección señalada en el cartel informativo a los efectos de poder ejercitar sus derechos, que coincidirá con el domicilio del responsable, pues así se dispone en el artículo 5 de la citada LOPD, que sigue resultando aplicable a los ficheros creados a partir de las imágenes de las personas.

C.- Si el sistema de videovigilancia genera un fichero el responsable deberá notificarlo previamente a la AEPD, para su inscripción en el Registro General. Esto ocurrirá siempre que exista algún tipo de grabación. En el supuesto de que las cámaras que el responsable del fichero tiene instaladas no graben imágenes, limitándose a su reproducción en tiempo real, es preciso destacar lo dispuesto en el artículo 7.2 de la Instrucción 1/2006, donde se establece que, a estos efectos, no se considera fichero el tratamiento consistente exclusivamente en la reproducción o emisión de imágenes en tiempo real. En consecuencia, al amparo de lo dispuesto en los artículos 3 y 7.2 de la citada Instrucción 1/2006, la utilización de sistemas de videocámaras con fines de seguridad, que no graban imágenes, constituyen un tratamiento de datos que obliga a informar del mismo, pero no genera ningún fichero. Por tanto, la inscripción en el Registro General de Protección de Datos no es necesaria si no se graban imágenes y se transmiten en tiempo real. En estos supuestos, no obstante, deben cumplirse el resto de deberes establecidos por la normativa de protección de datos y por la Instrucción 1/2006.

D.- Derechos de las personas. El artículo 5 de la Instrucción 1/2006 se dedica al ejercicio de derechos en el ámbito de la videovigilancia, que como veremos, posee perfiles específicos.

Derecho de acceso. El ejercicio del derecho de acceso requiere aportar como documentación complementaria el aportar una imagen actualizada que permita al responsable verificar y contrastar la presencia del afectado en los registros.

Resulta prácticamente imposible acceder a imágenes sin que pueda verse comprometida la imagen de un tercero. Por ello, según indica la AEPD, puede facilitarse el acceso mediante escrito certificado en el que, con la mayor precisión posible y sin afectar a derechos de terceros, se especifiquen los datos que han sido objeto de tratamiento. Así por ejemplo: “Su imagen fue registrada en nuestros sistemas de videovigilancia el día x del mes x del año x entre las _ horas y las _ horas. En concreto el sistema registra su acceso y salida del edificio de la empresa x, ubicada en la dirección x..:”

Derecho de rectificación.

No resulta posible el ejercicio del derecho de rectificación ya que por la naturaleza de los datos -imágenes tomadas de la realidad que reflejan un hecho objetivo-, se trataría del ejercicio de un derecho de contenido imposible.

Derecho de oposición.

El ejercicio del derecho de oposición plantea serias dificultades. Si este se interpreta como la imposibilidad de tomar imágenes de un sujeto concreto en el marco de instalaciones de videovigilancia vinculadas a fines de seguridad privada no resultaría posible su satisfacción en la medida en la que prevalecería la protección de la seguridad.

Derecho de cancelación. Este derecho se rige por lo previsto en la LOPD sin especialidad alguna.

En todo caso, recordamos que la denegación de un derecho implica que el responsable del fichero deberá indicar expresamente la posibilidad de reclamar la tutela de la AEPD.

E.-Las imágenes se podrán conservar por el tiempo imprescindible para la satisfacción de la finalidad para la que se recabaron, y en todo caso, deben ser canceladas en el plazo de 1 mes desde su captación. Lo que implica su bloqueo pues así lo establece la LOPD.

En cuanto al modo de llevar a cabo el bloqueo, tal y como señala la AEPD en su Informe de 5 junio de 2007, deberá efectuarse “de forma tal que no sea posible el acceso a los datos por parte del personal que tuviera habitualmente tal acceso, por ejemplo, el personal que preste sus servicios en el centro consultante, limitándose el acceso a una persona con la máxima responsabilidad y en virtud de la existencia de un requerimiento judicial o administrativo a tal efecto. De este modo, pese a permanecer el tratamiento de los datos, el acceso a los mismos quedaría enteramente restringido a las personas a las que se ha hecho referencia.”

Como es lógico, en aquellos casos en los que el responsable constatase la grabación de un delito o infracción administrativa que deba ser puesta en conocimiento de una autoridad, y la denunciase, deberá conservar las imágenes a disposición de la citada autoridad.

El plazo de un mes que se establece en la Instrucción para cancelar las imágenes, no es arbitrario, dado que se ha optado por seguir el mismo criterio que el fijado en la Ley Orgánica 4/1997, de 4 de agosto, por la que se regula la utilización de videocámaras por las Fuerzas y Cuerpos de Seguridad del Estado en lugares públicos, dónde en su artículo 8 señala que «Las grabaciones serán destruidas en el plazo máximo de un mes desde su captación».

Tal y como ha indicado la AEPD, para definir el periodo de bloqueo de los datos se deberá tener en cuenta el Derecho aplicable, en el que se determinará los criterios de delimitación del mismo. Cuando este plazo no exista, como entendemos que ocurre en este supuesto, o cuando sea inferior a un año, se tendrán en cuenta los plazos de prescripción de las infracciones a la LOPD que, en el caso de las muy graves es de tres años. Este podía ser el plazo de mantenimiento de las grabaciones y sus copias de seguridad, en su fase de bloqueo.

F.- El nivel de seguridad aplicable a los ficheros de imágenes captadas por sistemas de videovigilancia con fines de seguridad, se corresponde, con carácter general, con el nivel básico (no obstante, puede darse el caso de que sean de aplicación niveles de seguridad medio o alto, como ocurriría, por ejemplo, cuando la captación de imágenes tenga fines de selección de personal, o para verificar la respuesta a determinados estímulos en el ámbito de la psicología o la medicina).

Esto implica que deberá disponerse de documento de seguridad, realizarse copia de seguridad semanal, dotarse de usuario y contraseña diferenciada a los usuarios y cualquier otra medida prevista en el RLOPD.

Valladolid, a 12 de enero de 2010

La inclusión no veraz en un registro de morosos atenta contra el derecho al honor del interesado

2010-03-22T20:00:00.001+01:00

Comentarios a la Sentencia del Tribunal Supremo de 24 de abril de 2009

Javier Alvarez Hernando
AC-ABOGADOS

El Tribunal Supremo, con su Sentencia de 24 de abril de 2009 (Rec. 2221/2002) viene a consolidar un criterio jurisprudencial, que ya fue sentado por la SSTS de 5 julio de 2004, en el cual se considera que la inclusión por parte de una entidad, faltando a la veracidad, en un registro de solvencia patrimonial y crédito (los llamados registros de morosos), implica un atentado contra el derecho del honor del interesado que ha aparecido erróneamente en dicho registro.

La demandante de instancia era titular de una cuenta en una entidad financiera, en la cual tenía domiciliados los cargos de su tarjeta de crédito. En un momento dado, se la hizo un cargo en dicha tarjeta, que no era debido, ya que la interesada no había realizado operación alguna por el importe y concepto descontado. La interesada procedió a reclamar, durante el plazo de un año, al banco por vía telefónica, por escrito, ante el Defensor del Cliente de la entidad, ante el Banco de España, e incluso mediante denuncia en la Comisaría de Policía. Durante todo ese tiempo, la entidad bancaria siguió reclamando dicha cantidad, incrementándola con intereses y gastos, comunicando, por otra parte, los datos personales y la cantidad adeudada a dos ficheros de morosos (Asnef-Equifax y Badex).

El registro con los datos personales de la demandante se mantuvieron únicamente 12 días, sin que fueran consultados por ninguna otra tercera entidad.

Pues bien, el TS plantea dos alternativas para resolver el asunto. Por un lado, la inclusión errónea en un fichero de morosos constituye una intromisión ilegítima en el derecho al honor de la persona afectada, con lo cual es de aplicación la Ley Orgánica 1/1982, de 5 de mayo, de protección civil del derecho al honor, a la intimidad personal y familiar y a la propia imagen, cuyo artículo 7.7 tipifica la intromisión ilegítima en el derecho al honor, y el artículo 9.3 proclama la presunción iure et de iure de la existencia del perjuicio y su extensión al daño moral.

Por otro lado, el TS plantea la alternativa que entiende que los casos de ficheros de morosos se enmarcan en el ámbito de la normativa común, considerándose bien, responsabilidad extracontractual, del artículo 1902 del Código Civil, o incumplimiento contractual, del artículo 1101 del Código Civil, lo que conllevaría la existencia de perjuicios y su correspondiente prueba.

Con las premisas anteriores, el Supremo determina que la inclusión errónea de una persona en un fichero de incumplimiento de obligaciones dinerarias (de morosos), implica un atentado a su derecho al honor.

El Supremo reconoce que es posible que se entremezclen, e incluso se confundan los derechos de honor e intimidad, y mucho más la intimidad y la imagen, pero aclara que son derechos distintos entre sí, y no un solo derecho trifonte. Este criterio se viene manteniendo desde la SSTS de 26 de julio de 2008.

La definición legal de derecho al honor, como intromisión ilegítima, se encuentra en el artículo 7.7 de la L.O. 1/1982: “la imputación de hechos o la manifestación de juicios de valor a través de acciones o expresiones que de cualquier modo lesionen la dignidad de otra persona, menoscabando su fama o atentando contra su propia estimación”.

Por su parte, existe un concepto doctrinal, recogido y reiterado por la jurisprudencia, desde la SSTS de 4 de noviembre de 1986, y que señala que es la dignidad personal reflejada en la consideración de los demás y en el sentimiento de la propia persona. De esta definición derivan dos aspectos: un aspecto interno, entendido como un sentimiento subjetivo de la propia dignidad; y un aspecto externo objetivo o trascendente, entendido como sentimiento de los demás hacia la propia persona.

Por tanto, la inclusión de datos de una persona en un fichero de morosos, indebidamente, atenta contra el derecho al honor, ya que, como señala el TS tal persona, ciudadano particular o profesionalmente comerciante se ve incluido en dicho registro, lo cual le afecta directamente a su dignidad, interna o subjetiva e igualmente le alcanza, externa u objetivamente, en la consideración de los demás, ya que se trata de una imputación de un hecho consistente en ser incumplidor de una obligación pecuniaria que, lesiona su dignidad y atenta a su propia estimación, como aspecto interno y menoscaba su fama, como aspecto externo.

Apunta el Supremo que es intrascendente el que el registro haya sido o no consultado por terceras personas, ya que basta la posibilidad de conocimiento por un público, sea o no restringido y que esta falsa morosidad haya salido de la esfera interna del conocimiento de los supuestos acreedor y deudor, para pasar a ser de una proyección pública. En todo caso, sí, además, es conocido por terceros y ello provoca unas consecuencias económicas (como la negación de un préstamo hipotecario) o un grave perjuicio a un comerciante (como el rechazo de la línea de crédito) sería indemnizable, además del daño moral que supone la intromisión en el derecho al honor.

La Sentencia, que viene a confirmar las Sentencias del Juzgado de 1ª Instancia Nº3 de Santa Cruz de Tenerife y de la Audiencia Provincial de Santa Cruz de Tenerife, impone el pago de una indemnización por el daño moral genérico, a la afectada de poco más de 1.800 euros.

En otro orden de cosas, es destacable una Sentencia de la Audiencia Provincial de Barcelona, de 17 de enero de 2003, en la que confirma la intromisión ilegítima en el derecho al honor de la demandante, al haber incluido sus datos de forma indebida en un registro de morosos, condenando a la entidad que lo hizo a indemnizarla en la cantidad de 6.000 euros.

En cuanto a lo que se refiere a personas jurídicas, la Jurisprudencia del Tribunal Supremo admite expresamente la tutela del honor de las sociedades mercantiles y no simplemente de aquéllas personalistas (SSTS de 21 de mayo de 2001, SSTS de 9 de octubre de 1997) al establecer que si bien el derecho al honor tiene en la Constitución un sustrato personalista, como inherente a la dignidad humana (art. 18 CE), ello no excluye la extensión de su protección y garantía a las personas jurídicas respecto a los ataques injustificados que afecten a su prestigio profesional y social, que conforman integración de su patrimonio moral, con repercusión en el patrimonial, por sus resultados negativos y así puede traducirse en una pérdida de confianza de la clientela, de proveedores y concurrentes comerciales o de rechazo o minoración en el mercado de forma general.

Valladolid, a 17 de diciembre de 2009

Prevención de riesgos laborales y protección de datos

2010-03-22T19:58:00.000+01:00

Javier Alvarez Hernando
AC-ABOGADOS

Como en otros aspectos de la realidad empresarial la normativa sobre protección de datos incide, de una forma considerable, en las relaciones laborales, y concretamente en lo que aquí nos ocupa, en la prevención de riesgos laborales.

A la hora de dar solución a las cuestiones concretas que se presentan en el día a día el responsable del fichero (es decir, la empresa u organización) debe tener en cuenta, no sólo la normativa básica sobre la materia, es decir, la Ley Orgánica 15/1999, de Protección de Datos (en adelante, LOPD), y el Reglamento de desarrollo de la misma (R.D. 1720/2007, en adelante RLOPD), sino otras normas igualmente aplicables, como la Ley 31/1995, de Prevención de Riesgos Laborales (en adelante, LPRL) y sus normas de desarrollo.

La Agencia Española de Protección de Datos (AEPD), desde el primer momento, ha sido consciente de los riesgos que pueden afectar al derecho a la intimidad del trabajador. Por ello, la Agencia no ha escatimado esfuerzos en aclarar, a través de sus recomendaciones e informes jurídicos, las dudas que han venido surgiendo en los tratamientos de datos, y cesiones de los mismos, en general en las relaciones laborales. Incluso, en fechas recientes, la AEPD ha publicado una Guía monográfica al respecto, y que es accesible desde su sitio web (www.agpd.es).

Es conocido el elenco de obligaciones que la Ley de Prevención de Riesgos exige a las empresas, con el fin de disminuir o evitar los riesgos derivados del trabajo. Con este fin, se hace imprescindible tratar diversos datos de los trabajadores, detallar sus puestos de trabajo, tener en cuenta si padecen algún tipo de enfermedad, etc.

Debemos partir por considerar que, en materia de prevención de riesgos, el tratamiento de datos personales no requiere, por regla general, contar con el consentimiento del trabajador, al amparo del artículo 6.2 de la LOPD, al existir una relación contractual cuyo desarrollo, cumplimiento y control lo hace necesario.

No obstante, es preciso matizar que en el ámbito de la vigilancia de la salud, las revisiones médicas pueden tener un carácter voluntario u obligatorio. En el primer caso, es decir, cuando la revisión de la salud es voluntaria, es necesario contar con el consentimiento del trabajador para tratar, y en su caso, ceder, sus datos. La obligatoriedad de la vigilancia de la salud se exige por el artículo 21.1 de la LPRL, previo informe de los representantes de los trabajadores en aquellos supuestos en los que los reconocimientos médicos sean imprescindibles para evaluar los efectos de las condiciones de trabajo sobre la salud de los trabajadores, o para verificar si el estado de salud del trabajador puede constituir un peligro para el mismo, o para el resto de compañeros, o cuando así lo diga una norma en relación con la protección de riesgos específicos y actividades catalogadas como especialmente peligrosas.

En todo caso, se trate de revisiones médicas voluntarias u obligatorias, el responsable del fichero debe cumplir con el principio de información, cuyo contenido se detalla en el artículo 5 de la LOPD. Además, el responsable debe limitarse a recabar y utilizar los datos que sean estrictamente necesarios para la finalidad de la prevención, tal y como impone el artículo 4 de la LOPD, al establecer los principios de calidad, finalidad y proporcionalidad en el tratamiento de datos de carácter personal.

En este sentido, es interesante apuntar que el acceso a datos de salud es completo para el personal médico, mientras que la gerencia únicamente podría acceder a las condiciones de aptitud o no aptitud del trabajador. No obstante, cabe la posibilidad de que el empresario deba acceder, de modo específico, a información personal del trabajador necesaria para el cumplimiento de sus obligaciones. Así por ejemplo, es obvio que si debe adaptarse una pantalla de ordenador con un determinado tipo de letra, existirán problemas visuales que denoten la existencia de una minusvalía o enfermedad. En estos supuestos, la legitimación para el tratamiento deriva de la propia Ley, como veremos a continuación, pero en todo caso debe respetarse el principio de calidad de los datos (artículo 4 de la LOPD), en el sentido de que el tratamiento de los mismos debe limitarse a los estrictamente necesarios.

Por otro lado, se hace necesario determinar quien será considerado responsable del fichero, o tratamiento, en el supuesto de que exista un servicio de prevención ajeno a la empresa. Pues bien, si se trata de un servicio propio la empresa será responsable del fichero que se genere para la gestión de la prevención, mientras que aquellas empresas que actúan como servicios de prevención ajenos tienen la consideración de responsables del tratamiento.

Debido a que el servicio de prevención tiene un carácter multidisciplinar (seguridad, ergonomía y psicosociología, medicina del trabajo) deben establecerse, por parte de la empresa responsable, un protocolo de actuación a la hora de tratar datos personales de los trabajadores. En dicho protocolo, deben fijarse distintos perfiles y facultades de acceso a los ficheros, por parte del personal de la empresa, deben implementarse medidas de seguridad de nivel alto, siempre que se incluyan datos de salud con identificación precisa de enfermedades, o se gestionen historiales de salud laboral.

Se hace necesario aclarar que no tiene la consideración de dato de salud, y por tanto no serían de aplicación las medidas de seguridad de nivel alto, la información relativa a la aptitud o no aptitud del trabajador, pero, si este dato no aparece aislado, sino se asocia a otros que motiven su calificación, como por ejemplo, una situación de minusvalía o enfermedad crónica, que motive una adaptación del puesto de trabajo, será considerado, sin lugar a dudas, un dato de salud.

En cualquier caso, las medidas de seguridad tienen que estar plasmadas en un “Documento de Seguridad”, tal y como exigen los artículos 79 y siguientes del RLOPD. Además debe tenerse en cuenta que, en el supuesto de historiales clínicos, es de aplicación tanto la “Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica”, como la abundante normativa autonómica que regula las historias clínicas.

Por último, este protocolo de actuación, debe contemplar qué procedimientos deben seguirse para dar cumplida respuesta a los posibles ejercicios de derechos de acceso, rectificación y cancelación de los trabajadores, tal y como determinan los artículos 15 y sig. de la LOPD; 23 y sig. del RLOPD, y 18 de la Ley 41/2002.

En otro orden de cosas, la normativa de prevención de riesgos habilita, y obliga, a que sean comunicados datos personales de trabajadores a los delegados de prevención, a la autoridad sanitaria, a la inspección de trabajo y a la autoridad laboral.

Los delegados de prevención, por mandato de los artículos 18, 23 y 36 de la LPRL, están facultados para acceder a la información y documentación relativa a las condiciones de trabajo que sean necesarias en el ejercicio de sus funciones. En este sentido, el artículo 36.2.c de la citada norma, señala que los delegados de prevención deben ser informados sobre los daños producidos en la salud de los trabajadores pudiendo conocer las circunstancias que los produjeron. Es decir, pueden acceder a datos personales relacionados con daños en la salud de los trabajadores, en el marco de la relación laboral, con la única finalidad de control, que les atribuye la LPRL, y limitada a los datos estrictamente necesarios, que en este supuesto, se corresponderían con la gravedad del daño y la naturaleza del mismo.

En todo caso, los delegados de prevención, al ser cesionarios de los datos, deben cumplir con lo establecido en la normativa de protección de datos, y en particular deben guardar el deber de secreto que se exige tanto por el artículo 10 de la LOPD como por el 37.3 de la LPRL, en relación con el artículo 65.2 del Estatuto de los Trabajadores.

Valladolid, a 2 de diciembre de 2009

Listas Robinson

2010-03-22T19:52:00.001+01:00

Javier Alvarez Hernando
AC-ABOGADOS

Todos somos testigos, directos o indirectos, de las agresivas campañas publicitarias que las distintas empresas, de cualquier sector, están desarrollando en la actualidad. Mensajes “sms” que nos animan a contestar preguntas ridículas para participar en concursos; correos electrónicos promocionales, sin que los hubiéramos solicitado previamente; molestas llamadas de teléfono ofreciéndonos cambiar de operador de telefonía, o bien, ofreciéndonos comprar la vaporeta o la thermomix...

Por todo ello, el legislador se planteó el establecer normativamente un equilibrio entre el derecho fundamental a la protección de datos y el legítimo tratamiento de los mismos con fines publicitarios y comerciales, por parte de los diferentes tipos de entidades.

Por influencia de la Directiva 95/46/CE del Parlamento Europeo y del Consejo de 24 de octubre de 1995, las comunicaciones comerciales se limitan por la Ley 15/1999, de 13 de diciembre, de Protección de Datos; por el Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la misma (en adelante, RLOPD); por la Ley 32/2003, de 3 de noviembre, General de Telecomunicaciones y por la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico, y por su normativa de desarrollo.

Por primera vez, el RLOPD (en su artículo 49), que entró en vigor en el año 2008, regula los llamados “Ficheros comunes de exclusión del envío de comunicaciones comerciales”, comúnmente conocidos como “listas robinson”.

El objetivo de estas listas es simple: evitar el envío de comunicaciones comerciales a los interesados que manifiesten su negativa u oposición a recibir publicidad no deseada.

El RLOPD permite la creación de este tipo de ficheros comunes, bien de forma general o sectorial, en los que sean objeto de tratamiento los datos personales que resulten necesarios para evitar el envío de publicidad a quien se haya opuesto a ello. A tal efecto, los citados ficheros pueden contener los mínimos datos imprescindibles para identificar al afectado.

Es decir, se permite un abanico amplio de posibilidades. Por un lado, se faculta al destinatario a decidir no recibir publicidad de una o varias entidades concretas, o, de uno o varios sectores de actividad, y, por otro lado, el destinatario puede decidir el admitir la publicidad de otros sectores o empresas, o, simplemente la exclusión absoluta para recibir publicidad, mediante la inclusión de sus datos en un fichero general.

El RLOPD establece que cuando el afectado manifieste ante un concreto responsable (es decir, la empresa o la organización) su negativa u oposición a que sus datos sean tratados con fines de publicidad o prospección comercial, aquél debe ser informado de la existencia de los ficheros comunes de exclusión generales o sectoriales, así como de la identidad de su responsable, su domicilio y la finalidad del tratamiento. El problema principal es que el propio responsable del fichero conozca de la existencia de estas listas robinson.

Podría cumplirse con la obligación de informar sobre los ficheros de exclusión, (vinculando ésta información al supuesto de que el afectado manifieste su oposición), con carácter previo, en la propia comunicación publicitaria evitando, así, el envío de cartas-respuesta.

Una vez informado el afectado puede solicitar su exclusión respecto de un fichero o tratamiento concreto o su inclusión en ficheros comunes de excluidos de carácter general o sectorial.

Por último, y como gran novedad, el RLOPD establece una obligación de consulta previa de las listas robinson. Así, el artículo 49.4 de la citada norma señala que, quienes pretendan efectuar un tratamiento relacionado con actividades de publicidad o prospección comercial deben, previamente, consultar los ficheros comunes que pudieran afectar a su actuación, a fin de evitar que sean objeto de tratamiento los datos de los afectados que hubieran manifestado su oposición o negativa a ese tratamiento.

Esta exigencia es aplicable tanto a quienes se dediquen de forma principal o profesional a la publicidad, como a quienes puntualmente realicen acciones promocionales.

En relación con los ficheros comunes de exclusión del envío de publicidad, conviene señalar que la iniciativa para la creación de estos ficheros es voluntaria, pudiéndose obtener información sobre la existencia de estos ficheros consultando el Registro General de Protección de Datos (www.agpd.es).

Uno de los Servicios de Lista Robinson más importantes es el mantenido por la Federación de Comercio Electrónico y Marketing Directo (FECEMD). A través de su sitio web (www.listarobinson.es) todas aquellas personas que lo deseen pueden registrarse gratuitamente en este servicio de exclusión publicitaria. Dicho registro cabe, incluso, para menores de 14 años y para personas fallecidas, lógicamente a través de sus tutores o representantes legales. Aquellas organizaciones que deseen adquirir este listado, con el fin de cruzarlo con sus bases de datos publicitarias y proceder a eliminar a aquellas personas que allí aparezcan, deben suscribirse al servicio, eso sí, previo pago.

Valladolid, a 21 de octubre de 2009

Las redes P2P (y los usuarios) nuevamente en el punto de mira.

2010-03-22T19:49:00.001+01:00

Javier Alvarez Hernando
AC-ABOGADOS

A principios de verano se ha conocido una importante decisión del Consejo Constitucional Francés (Décision nº2009-580 DC du 10 juin 2009) que avivó el debate suscitado en el país vecino en relación con la llamada Ley Zarkozy o Loi Hadopi, recién aprobada, tras un intento fallido, por la Asamblea Nacional francesa. Esta norma habilitaba a una autoridad administrativa (la Haute autorité pour la diffusion des ceuvres et la protection des droits sur Internet) para sancionar a los usuarios de Internet que descargan contenidos protegidos por derechos de autor, principalmente a través de redes P2P, contemplando la desconexión de la Red durante un periodo que puede ir desde los dos meses a un año.

Esta ley pretende crear una “lista negra” de usuarios, con el objeto de impedir que cambiaran de proveedor de acceso a Internet y eludieran indefinidamente la sanción. Por si fuera poco se estableció una enmienda a lo largo del proceso legislativo, que contemplaba obligar al internauta a seguir abonando al proveedor la cuota correspondiente durante el periodo que durara la sanción.

Pues bien, el Consejo Constitucional Francés ha declarado inconstitucional la precitada Ley, que modificaba algunos artículos del Código de Propiedad Intelectual francés, al considerar que supone una injustificada restricción del derecho a la libertad de expresión de los ciudadanos, que incluye el derecho a acceder a los servicios de Internet, dado “su desarrollo generalizado y la importancia de estos servicios para la participación en la vida democrática y la expresión de ideas y opiniones”. Además, sólo un juez puede restringir una libertad fundamental, como es la libertad de expresión, a través del debido proceso.

Por otro lado, la Decisión entiende que la medida impone sanciones por medio de autoridades administrativas estableciendo el principio de presunción de culpabilidad y no de presunción de inocencia. (Argumento perfectamente aplicable en nuestro país respecto al mantenimiento del canon que graba los soportes digitales).

En todo caso, la Asamblea Nacional Francesa, el 15 de septiembre de 2009, aprobó una nueva versión de la Ley Hadopi II, no en los términos exactos que habría deseado el presidente de la República vecina, sino con las observaciones y objeciones que ha establecido el Consejo Constitucional y que hemos apuntado.

Resulta una resolución judicial transcendente que cuestiona la excesiva intervención administrativa frente a Internet, aunque sea a través de organismos administrativos supuestamente “independientes”. Las entidades de gestión de derechos de autor en España, con tantos derechos adquiridos y con tanto poder de influencia en el escenario político como en Francia, observan con gran expectación (lo ven como el modelo idóneo a seguir), el proceso legislativo de esa Ley en el país vecino, que podría abrir la puerta a que el legislador español (no importa el signo político del Gobierno, como se ha demostrado) impulsara la “solución final”. Es decir, intervenir y reprimir la creciente actividad de las redes de intercambio de archivos que permiten a los usuarios, sin poseer conocimiento técnico alguno, descargar gratuitamente productos audiovisuales protegidos por derechos de autor.

No son pocas las resoluciones judiciales en España que cuestionan que las redes de intercambio P2P vulneren por esa simple consideración de serlo la Ley de Propiedad Intelectual. Baste, como ejemplo muy reciente, un Auto (138/2009) del Juzgado Mercantil Número 7 de Barcelona, de 2 de julio de 2009, que con meridiana claridad viene a reconocer que la propia existencia de las redes P2P y las actividades de los usuarios relacionadas con ellas no encuentra un claro acomodo en los comportamientos prohibidos por la Ley de Propiedad Intelectual, en especial, la reproducción, distribución y comunicación pública sin autorización.

Pero donde la batalla la tienen perdida las entidades de gestión de derechos de autor es en el ámbito penal. Desde esta misma tribuna, hace más o menos un año, comentábamos un Auto de la Audiencia Provincial de Madrid, de fecha 11 de septiembre de 2008, que reiteraba la línea jurisprudencial existente en cuanto a no considerarse un ilícito penal las actividades de numerosos sitios web que se limitan a facilitar la dirección donde se pueden descargar obras audiovisuales incluyendo solamente los enlaces o “links” donde poder hacerlo a través de programas P2P de intercambio de archivos.

En definitiva, en Francia se cierra, con un punto y seguido, un nuevo capítulo de la lucha de los lobbies audiovisuales (industrias discográficas, del cine, entidades de gestión de derechos colectivos de autor…) frente a las redes P2P, y que comenzó en EE.UU. hace más de 10 años con Napster, el primero de los sistemas de distribución de archivos “entre pares” de popularidad masiva y que fue cerrado por orden judicial en el mes de julio de 2001. Napster finalmente aceptó pagar a las empresas discográficas 26 millones de dólares por daños y perjuicios y otros 10 millones de dólares por futuras licencias.

Valladolid, 15 de septiembre de 2009

Scam: nueva estafa a través de Internet

2009-08-28T13:09:00.008+02:00

Fecha: Agosto de 2009
Autor: Javier Alvarez Hernando (AC-ABOGADOS)
Publicado en Tribuna del Derecho.

Scam, en su traducción del inglés al castellano viene a significar estafa, timo. Con este anglicismo se identifica una nueva modalidad delictiva realizada a través de Internet, y que se ha dado a conocer en nuestro País, a finales del mes de julio, debido a la denuncia de una vecina de Tordesillas (Valladolid) a la que retiraron sin su consentimiento 2.700 euros de su cuenta bancaria, trayendo como consecuencia la imputación penal de cuatro personas que hacían labores de intermediación.

El scam tiene como particularidad el empleo de intermediarios en la comisión del delito, captados mediante ofertas de trabajo a través de Internet, en las que, bajo una apariencia respetable, se ofrecen grandes ingresos sin esfuerzo alguno. Tan sólo exigen disponer de una conexión a Internet y una cuenta bancaria propia.

Esta nueva figura delictiva, se articula en tres fases o momentos. En una primera, los estafadores, ubicados en su mayoría en países del Este de Europa, intentan captar a los futuros colaboradores o intermediarios, a través de llamativos anuncios en páginas web, en foros, o a través de correos electrónicos. La oferta del supuesto trabajo consiste, simplemente, en hacer de intermediario en transferencias internacionales de dinero, ofreciéndose un porcentaje de cada operación, en concepto de comisión.

Una vez que alguien parece interesado en ganar dinero por no hacer nada, se le exige que cumplimente un formulario de datos personales para comenzar el trabajo. Resulta destacable como, tanto los contenidos de estas páginas web, como los campos de los formularios de datos, contienen numerosos errores ortográficos y/o sintácticos, que deberían alertar al usuario respecto a la ilicitud de esta actividad.

En un segundo momento, los estafadores emplean la ya tradicional técnica del “phishing”. Es decir, proceden a remitir de forma masiva millones de correos electrónicos, haciéndose pasar por entidades bancarias reales, buscando que el correo tenga como destinatario a un usuario ingenuo de ese concreto banco, que a pesar de las advertencias continuadas de las entidades de banca electrónica, y a pesar de que los emails contienen innumerables faltas de ortografía, y cuyos enlaces remiten a sitios web con direcciones sospechosas, aun así, piquen y se decidan a teclear en la pantalla sus contraseñas de acceso a su cuenta.

Una vez que los estafadores han recopilado estos datos, comienza la tercera fase de la estafa. Proceden a realizar transferencias de fondos de esas cuentas hacia las de los trabajadores intermediarios captados en la primera fase. Verificado el ingreso, se apresuran a enviarles un correo electrónico indicando la forma y el modo de remitir el dinero (a través de empresas de envíos internacionales de dinero), previo descuento de la comisión correspondiente.

Todo este entramado de intermediarios y de envíos de dinero, hace que sea muy difícil la persecución policial de los delincuentes organizadores, y en cambio, sea muy sencillo localizar a los ingenuos intermediarios, que podrían ser considerados cómplices, o cooperadores necesarios de un delito de estafa, tipificado en el artículo 248.2 y 249 del Código Penal, contemplándose la pena de prisión de 6 meses a 3 años, si la cuantía de lo defraudado excede de 400 euros. En caso contrario, podría ser considerado como una falta del artículo 623.4, del mismo texto legal, penada con localización permanente de 4 a 12 días, o multa de 1 a 2 meses. Sin duda, todo un premio a la ingenuidad y la avaricia, quizá influenciadas por la necesidad en estos tiempos que corren.

Valladolid, a 6 de agosto de 2009

Auditoría de seguridad en materia de protección de datos

2009-08-28T13:06:00.002+02:00

Fecha: Junio de 2009
Autor: Javier Alvarez Hernando (AC-ABOGADOS)
Publicado en: La Tribuna del Derecho. Junio de 2009

Desde un punto de vista genérico se puede definir el término “auditoría” como la revisión, consulta, verificación y obtención de evidencias sobre un hecho o sistema establecido, en base a unas normas de aplicación, mediante la certificación de personal cualificado y acreditado en la materia.

El concepto de auditoría tiene su origen primario en el siglo XVI, donde comerciantes navales utilizaron técnicas de revisión contable, con el fin de evitar fraudes por parte de los participantes en las expediciones. Más tarde, con la Revolución Industrial, la auditoría de cuentas se utilizó como medio para dar credibilidad a la información que suministraban las compañías cuando solicitaban financiación. En España, en el año 1928 un Decreto Ley estableció la obligatoriedad de la auditoría de cuentas para las Sociedades Anónimas, pero no fue hasta el año 1945 cuando se creó el Instituto de Censores Jurados de Cuentas de España. Desde finales de los años 70 la transcendencia de la Auditoría de Cuentas es notoria, por mandato legal, consistiendo, principalmente, en verificar y dictaminar si las cuentas anuales expresan la imagen fiel del patrimonio y de la situación financiera de la entidad auditada.

Por otro lado, en los años 80 se generalizan los modelos de Gestión de Calidad, exigiéndose auditorías, -que originan sus correspondientes certificaciones- sobre los estándares de gestión de procesos implantados en las empresas, surgiendo organizaciones como la BSI, ISO, o AENOR. En este marco, han ido surgiendo nuevas formas de aseguramiento de la calidad, con entidad propia, como por ejemplo, la gestión de la seguridad de la información, o la gestión del medioambiente.

De carácter obligatorio, por tanto no voluntario como en el supuesto anterior, se presenta tanto en la Ley de Prevención de Riesgos Laborales, como en el Reglamento de los Servicios de Prevención que la desarrolla, como uno de los instrumentos adecuados para garantizar la idoneidad de la actividad preventiva que, como resultado de la evaluación, necesita adoptar el empresario cuando dicha actividad es asumida por él mismo.

Finalmente, llegamos a las auditorías de seguridad de los ficheros y tratamientos de datos de carácter personal, que fueron introducidas, por primera vez, en el R.D. 994/1999, de 11 de junio, que aprobó el conocido como Reglamento de Medidas de Seguridad (RMS). Esta norma fue derogada recientemente por el Reglamento (R.D. 1720/2007, de 21 de diciembre) de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal.

Este R.D. 1720/2007, establece en su Título VIII (Arts. 79 a 114), las medidas de seguridad, de carácter técnico u organizativo, que todo responsable o encargado del tratamiento debe implementar. La referencia expresa a la realización de auditorías la encontramos en los artículos 96 y 110 del precitado R.D., y tiene como objetivo determinar si se han establecido, si son adecuadas y si se observan las medidas de seguridad recogidas en la norma.

La realización de estas auditorías es obligatoria para ficheros que contengan datos personales, que por su naturaleza, deban ser aplicados niveles de seguridad definidos como de nivel medio y alto. Esto es, ficheros que contengan datos que se relacionan en el artículo 81 del R.D. 1720/2007, entre otros, los relativos a la comisión de infracciones administrativas o penales; relacionados con ficheros dedicados a la prestación de información sobre solvencia patrimonial y crédito (ficheros de morosos); aquellos de los que sean responsables las Administraciones tributarias, Entidades Gestoras y Servicios Comunes de la S.S.; los que se refieran a datos sobre ideología, afiliación sindical, religión, creencias, origen racial, salud o vida sexual; o aquellos que contengan datos derivados de actos de violencia de género.

Estas auditorías deben realizarse, al menos cada dos años (o antes, si se han realizado modificaciones sustanciales en el sistema de información), bien de forma externa o interna, es decir, realizándola una persona de la propia organización o empresa, o por el contrario contratando a un auditor externo.
No se exige cualificación alguna para la realización de este tipo de auditorías, por lo que existen en el mercado multitud de empresas y “profesionales” que, sin especialización alguna en la materia, ofertan este tipo de servicios, con los riesgos que esto conlleva para quienes les contratan. Un auditor solvente, en materia de protección de datos, debe contar con una titulación en Derecho y con un Máster o Curso de postgrado de garantías, siendo necesario que cuente con una experiencia profesional acreditada.

No resulta aceptable, que los auditores de cuentas, de prevención de riesgos, de calidad… cuenten, como es lógico, con sistemas de acreditación que les habilita como tales, mientras que los auditores de seguridad de la información, en materia de protección de datos, puedan operar, sin ningún requisito o control institucional.

Por otro lado, tal y como exige el R.D. 1720/2007, el informe que elabore el auditor debe dictaminar sobre la adecuación de las medidas y controles establecidos en la propia norma; acerca de la identificación de deficiencias y propuesta de medidas correctoras o complementarias; incluyendo, además, datos, hechos y observaciones en que se basen los dictámenes alcanzados y recomendaciones propuestas por el auditor. Este informe debe quedar a disposición de la Agencia Española de Protección de Datos (AEPD), que pudiera requerirlo en un momento dado.

Finalmente hay que señalar que la AEPD ha publicado una “Guía de Seguridad de datos” (disponible en www.agpd.es ), con el objetivo de facilitar a los responsables de ficheros, y a los encargados de tratamientos de datos, la adopción de las medidas de seguridad exigidas, incluyendo, en lo que ahora nos interesa, una relación de comprobaciones, o de “checklist”, con el objeto de facilitar la realización de la auditoría de seguridad.

Valladolid, a 23 de junio de 2009

Reclamaciones de los usuarios de servicios de telecomunicaciones

2009-08-28T13:02:00.000+02:00

Fecha: Marzo de 2009
Autor: Javier Alvarez Hernando (AC-ABOGADOS)
Publicado en: Avance Normativo Editorial Europea de Derecho. Mayo de 2009

No me explico como en una sociedad como la nuestra, que se rige por un elevado numero de normas jurídicas relacionadas con la defensa de los consumidores, con gran cantidad de asociaciones (me decanto por FACUA, por su combatividad), con innumerables juntas arbitrales de consumo (de los municipios, de las comunidades autónomas…), con tantas y tantas oficinas de atención al usuario, con la inestimable presión de los medios de comunicación y como no, con la existencia de nuestra decimonónica Administración de Justicia, se siga permitiendo que las compañías de telecomunicaciones abusen de los usuarios (o sea de todos los ciudadanos) y se sigan aprovechando de su posición de fuerza y de la ineficacia de los sistemas de defensa (normativos, institucionales…) de los consumidores y usuarios.

Existe una extensa normativa específica en el ámbito de las telecomunicaciones que tiende a proteger a los usuarios de estos servicios, en distintas facetas, a saber: la Ley General de Telecomunicaciones de 2003; el Reglamento sobre las condiciones para la prestación de servicios de comunicaciones electrónicas, el servicio universal y la protección de los usuarios (RD 424/2005); la Ley Orgánica de Protección de Datos (LO 15/1999); la Orden ITC/308/2008, que regula la prestación de servicios de mensajes de texto y multimedia; la Orden ITC/1030/2007, que regula el procedimiento de resolución de las reclamaciones y la atención al cliente por los operadores; la Orden ITC/912/2006, que regula la calidad de los servicios de comunicaciones; o todas las normas que regulan los Servicios de Tarificación Adicional (STA), como son, la Orden PRE/361/2002, la Orden PRE/2410/2004, o la Resolución de la Secretaría de Estado de Telecomunicaciones y para la Sociedad de la Información, de 15 de septiembre de 2004, sobre el Código de Conducta que deben observar los citados STA.

A pesar de todo ello, a nadie se le escapa que se siguen produciendo situaciones de abuso en las relaciones entre usuarios y operadoras. Así lo corrobora, además, la Oficina de Atención al Usuario de Telecomunicaciones (adscrita al Ministerio de Industria, Turismo y Comercio), en sus estadísticas correspondientes al año 2008, dónde se señala que el número de reclamaciones ascendió a 24.679, lo que supone un aumentó de casi un 25% respecto al año anterior. Las resoluciones de la citada Oficina, resolviendo dichas reclamaciones, han dado la razón al usuario en el 85,6% de las mismas.

Las reclamaciones más frecuentes se centran, entre otras, en disconformidades con las facturas, demoras en la baja de los servicios contratados, negativas a la portabilidad del número, en telefonía móvil, e interrupciones del servicio. No pocos usuarios se encuentran con situaciones esperpénticas, como por ejemplo, cuando se encuentran con facturas de un operador con el que no se ha contratado ningún servicio (o habiéndolo hecho, pretenden facturarle por servicios añadidos).

Muchos reaccionan –bien por desconocimiento, bien por hartazgo- devolviendo el recibo bancario, no sin antes haber llamado por teléfono en innumerables ocasiones a la compañía. Esto provoca que las operadoras reclamen automáticamente esa supuesta deuda a través de sus departamentos de recobro, o a través de la subcontratación de empresas especializadas, que tratan de amedrentar al cliente con sus escritos engañosos que dan apariencia, en algunos casos, a los legos en Derecho, de que es un Juzgado el que le reclama la deuda.
Todo ello, sin contar con que las compañías amenazan con incluir al sufrido usuario en ficheros de morosos (denominados ficheros de solvencia patrimonial y crédito), como ASNEF, o EXPERIAN. En otras ocasiones -las menos- se reclaman las supuestas deudas a través de procedimientos monitorios. Ante esta batería de acciones el usuario capitula y paga esos miserables treinta euros que le reclaman con el único objetivo de que lo dejen en paz.

¿Y qué debemos hacer como usuarios para intentar evitar todo esto y hacer valer nuestros derechos? Pues bien, lo primero es dirigirse al departamento de atención al cliente del operador bien por teléfono, por correo postal u ordinario o directamente en sus oficinas, si las tiene, en el plazo de un mes desde que conocimos el motivo de la queja (o, en su caso, desde la fecha de recepción de la factura).

Están obligados a dar número de referencia de la reclamación y a que nos remitan, por escrito, un acuse de recibo, de la misma, si lo hacemos vía telefónica. Si en un mes no contestan o la respuesta es insatisfactoria, se puede acudir a una Junta Arbitral de Consumo, o bien directamente interponer una reclamación ante la Oficina de Atención al Usuario de Telecomunicaciones (http://www.usuariosteleco.es) teniendo como plazo otros tres meses más. Este organismo dictará una resolución sobre el asunto planteado, en el plazo máximo de seis meses, resolviendo, según proceda, exigiendo la restitución de derechos vulnerados por la compañía, o bien, obligando al operador en cuestión a devolver las cantidades indebidamente cobradas.

En el caso de haber incluido al usuario injustamente en un fichero de morosos, debemos solicitar el amparo de la Agencia Española de Protección de Datos (www.agpd.es) y en último extremo, se puede solicitar una indemnización por daños y perjuicios ante la jurisdicción ordinaria, como en una reciente sentencia de la Audiencia Provincial de Madrid que, por primera vez, reconoce el derecho de un usuario a ser resarcido con 6.100 euros en concepto de daños morales.

Valladolid, 25 de marzo de 2009

Sistema de registros administrativos de apoyo a la Administración de Justicia

2009-08-28T12:57:00.001+02:00

Fecha: Febrero de 2009
Autor: Javier Alvarez Hernando (AC-ABOGADOS)
Publicado en: Avance Normativo Editorial Europea de Derecho. Abril de 2009

Dentro de las acciones, que muy lentamente, se vienen implementando en el proceso de modernización de nuestra decimonónica Administración de Justicia, destacamos la reciente publicación, en el Boletín Oficial del Estado, del Real Decreto 95/2009, de 6 de febrero, que regula lo que se ha venido a llamar el “Sistema de registros administrativos de apoyo a la Administración de Justicia”.

Esta importante norma conforma, por primera vez, el “Registro Central de Medidas Cautelares, Requisitorias y Sentencias No Firmes”, -creado, sin duda, por la alarma social que supuso el caso Mariluz- y permite la interconexión de los otros cuatro registros preexistentes: a saber, de Penados; de Protección de las Víctimas de la Violencia Doméstica; de Rebeldes Civiles; y de Sentencias de Responsabilidad Penal de los Menores.

El “Sistema de Registros” va a constituir un importante canal de información que servirá de apoyo a la actividad de órganos judiciales, Ministerio Fiscal, Fuerzas y Cuerpos de Seguridad del Estado y Cuerpos de Policía autonómica, y, limitadamente, a otros órganos administrativos, en el ámbito de sus competencias, como, por ejemplo, la Administración Penitenciaria o responsables autonómicos con labores de coordinación en materia de protección de víctimas de violencia de género.

Por primera vez una norma regula, de forma conjunta, todos estos registros unificando los criterios que determinan, entre otros, el contenido, el acceso, la cancelación y las medidas de seguridad aplicables de acuerdo con la normativa sobre protección de datos (L.O. 15/1999 y RD 1720/2007).

Con independencia de que todos los registros enumerados mantengan su individualidad, se pretende que además de que exista un único sistema informático de acceso global a todos ellos -siempre que se cuente con la correspondiente autorización-, se permita interactuar directamente desde las aplicaciones que ya están implementadas en los Juzgados (Minerva, Temis…).

En cuanto al acceso a la información contenida en el “Sistema de Registros”, destacamos que, el R.D. 95/2009 –artículos 5 a 7- permite al interesado, acreditando su identidad, solicitar el acceso, mediante exhibición, únicamente de los datos relativos a su persona contenidos en cualquiera de los Registros. El artículo 17 del R.D. concreta el modo en el que se materializa este acceso: mediante la certificación.

En lo que se refiere al nuevo “Registro Central de Medidas Cautelares, Requisitorias y Sentencias No Firmes”, el R.D. señala que se inscribirán las penas y medidas de seguridad impuestas en Sentencia No Firme por delito o falta, las medidas cautelares notificadas al imputado (siempre que no sean objeto de inscripción en el Registro Central de Protección de las Víctimas de la Violencia Doméstica), los autos de declaración de rebeldía y las requisitorias adoptadas por los Juzgados o Tribunales del orden jurisdiccional penal.

No hay duda que este Registro será (debería ser ya) un instrumento de gran utilidad para los órganos judiciales que contarán con más elementos de juicio en el momento de dictar resoluciones en un procedimiento penal, y más aun, si tenemos en cuenta que el sistema incluye una especie de tablón de alertas y avisos virtual, que permitirá a los órganos judiciales conocer, por ejemplo, si una persona incursa en algún procedimiento que viene tramitando en ese Juzgado, se ha visto afectada por cualquier otra circunstancia.

Respecto a la inclusión de datos en el “Sistema de Registros”, el artículo 13 del R.D., establece que se realizará de forma electrónica por parte de los secretarios judiciales (que deben verificar previamente el contenido de la información que ha sido cumplimentada por el personal de la oficina judicial). El legislador es consciente de las limitaciones técnicas existentes, por lo que el R.D. señala que cuando las condiciones técnicas lo permitan (es decir, se reconoce que aún no lo permiten y se establece un plazo máximo de 18 meses para ello) la transmisión de la información se realizará desde las propias aplicaciones de gestión procesal y las firmas plasmadas en documentos serán sustituidas por las correspondientes firmas electrónicas reconocidas.

En cuanto a los plazos en que deben comunicar la información, destacamos que, lógicamente, se exige su comunicación inmediata, y en cualquier caso, en el plazo de cinco días desde la firmeza de la sentencia o auto de rebeldía, o desde que se adopte la medida cautelar o Sentencia No Firme, o desde que se acuerde la comunicación edictal, en caso de inscripciones. En el supuesto del “Registro Central para la protección de Víctimas de Violencia Doméstica”, el plazo máximo se reduce a veinticuatro horas. ¿Son estos plazos realistas si tenemos en cuenta que hasta no hace mucho tiempo se tardaba un año en registrar una condena en el Registro de penados?

El Registro de Medidas Cautelares es la primera fase del proceso de interconexión de todos los registros a los que nos hemos referido, entrado en funcionamiento inicialmente con el de Protección de Víctimas de Violencia Domestica.

¿Y qué ocurre con las medidas cautelares, requisitorias y Sentencias No Firmes acordadas con anterioridad a la entrada en vigor del R.D.? Pues, su Disposición transitoria segunda fija el plazo de tres meses (es decir, hasta el 8 de mayo de 2009) para que se inscriban en el Registro. Plazo, que en todo caso se nos antoja insuficiente a la vista de la saturación endémica que padecen los Juzgados y Tribunales en España.

Valladolid, a 24 de febrero de 2009

Videovigilados

2009-08-28T12:55:00.001+02:00

Fecha: Marzo de 2009
Autor: Javier Alvarez Hernando (AC-ABOGADOS)
Publicado en: Avance Normativo Editorial Europea de Derecho. Marzo de 2009

Viernes 13 de febrero. 08.00 horas. Como todos los días me dispongo a comenzar la jornada. Bajo al portal y me percato (nunca antes había reflexionado sobre ello) que el videoportero, que acaban de instalar, y que a todos los vecinos les pareció bien, en aras a la seguridad decían, es capaz de transmitir imágenes en tiempo real de todas aquellas personas que entran y salen del portal. No solo eso, sino que mi vecina del tercero, me asegura que además el ángulo de visión del videoportero alcanza una parte de la calle, ya que “resulta imprescindible para la finalidad de vigilancia que se pretende, resultando imposible evitarlo por razón de la ubicación del videoportero”.
En definitiva, que cualquiera de mis vecinos puede conectar su televisión y visualizar –o grabar- a su antojo. Me indica mi vecina, que todo es legal, ya que han inscrito el fichero en el Registro General de Protección de Datos, y que con eso mis derechos como vecino “video-portero-vigilado” están garantizados.

No le doy más importancia, así que me dirijo rápidamente al banco a retirar dinero. Nada más que accedo al interior de la sucursal me veo reflejado en una pantalla de televisión, comprobando la existencia de un cartel informativo que asegura que me están grabando a través de un circuito cerrado de videovigilancia. Eso sí, me advierte, con toda solemnidad, que tengo una serie de derechos como el de acceso, rectificación, cancelación y oposición a los tratamientos que recogen mi imagen, que dicen, guardan durante un mes. Al parecer tengo muchos derechos, pero no el derecho a que no me graben. Es por razones de seguridad, me asegura convencido el empleado del banco.

En fin, que no lo doy mas importancia y me dirijo al garaje a por el coche. Nada más acceder miro al techo y una luz roja intermitente me advierte de que vuelvo a ser objetivo de una videocámara. Me pregunto quién me estará viendo en ese momento. Parece ser que una empresa de seguridad autorizada por el Ministerio del Interior, según asegura un cartel amarillo. El mismo que me aclara que me encuentro en una “zona videovigilada”. Un escalofrío recorre mi espalda. Me recuerda a las advertencias de las películas bélicas: “zona militar minada” “Zona con valla electrificada... no acercarse”… Achtung!

Salgo de la zona “super-video-vigilada” de mi garaje y paso por una gasolinera a repostar. Mientras espero a que se llene el depósito miró hacia arriba y veo que una potente cámara dirige sus ojos mecánicos hacia mí. De nuevo veo un cartel amarillo que me informa de lo que ya se.

Continúo la marcha hasta mi oficina y me siento en mi puesto con la ilusión que se tienen los viernes al acercarse el fin de semana. Me informa mi compañero Lucas que han instalado cámaras en la oficina. Abro lo ojos sorprendido. Lucas me señala, que parece ser que el artículo 20.3 del Estatuto de los Trabajadores “faculta al empresario para adoptar las medidas que estime más oportunas de vigilancia y control para verificar el cumplimiento por el trabajador de sus obligaciones y deberes laborales”. Claro que todo ello sin que necesite dar mi consentimiento. Basta con que me informen con carteles. Eso sí, me consuela saber que no pueden registrar las conversaciones privadas y que “ésta medida se adopta, ya que no hay otra más idónea”. Además, el enlace sindical de la empresa me indica, que el empresario tiene en cuenta mis derechos y dignidad como persona, por lo que no me van a grabar en el baño o en la zona de descanso…

Salgo inquieto de la empresa, por lo que me acerco al gimnasio a quemar las energías negativas que me han ido entrando. En 5 minutos comienza una actividad deportiva impronunciable, por lo que espero en la sala. Miro por casualidad al techo y de nuevo localizo una cámara de videovigilancia con una luz roja amenazante. ¡Por Dios! ¿Aquí también? Pues sí, y también en el taxi que me llevó al centro, y en la tienda de sándwiches, y en la guardería de mi hijo… y, de nuevo, en el portal de mi casa.

El 28 de enero se celebró el Día Europeo de Protección de Datos. Según estadísticas proporcionadas por la Agencia Española de Protección de Datos, el sector de videovigilancia ocupa el tercer lugar en cuanto a denuncias recibidas. Asimismo, resaltan el notable incremento de los dos últimos años en las entidades responsables de cámaras de vigilancia inscritas en la Agencia. Hasta el año 2006 eras 700, en el año 2007 más de 5.000 y a 15 de enero de 2009 ya se superan las 15.500, de las que el 90 por ciento corresponden al sector privado. A veces me da la impresión que el Gran Hermano, no ya de Orwell, sino de Mercedes Milá, está entre nosotros.

Valladolid, a 9 de enero de 2009

Los peligros de las denominadas “redes sociales”

2009-08-28T12:47:00.004+02:00

Fecha: Febrero de 2009
Autor: Javier Alvarez Hernando (AC-ABOGADOS)
Publicado en: Avance Normativo Editorial Europea de Derecho. Febrero de 2009

El auge espectacular de las llamadas “redes sociales” resulta sorprendente. Facebook, Tuenti, My Space, Xing Wamba… son algunas de las más aceptadas por los usuarios, los cuales aportan voluntariamente, y sin pensarlo dos veces, ingente cantidad de información personal, incluidas fotografías propias y ajenas, con o sin consentimiento de los terceros.

Formar parte de una de estas redes sociales es sencillo. Tan sólo es necesario cumplimentar un formulario en el que se pueden incluir voluntariamente desde datos básicos como: nombre y apellidos, dirección, correo electrónico…, hasta otro tipo de datos bastante más comprometidos, como el estado civil, ideología política o creencias religiosas. Igualmente, se pueden adjuntar, sin mayor problema, gran cantidad de fotografías y videos. Una vez que el usuario se ha registrado puede invitar a otros participantes de la red a unirse a su grupo, los cuales, si aceptan, pueden tener acceso a toda, o parte, de la información personal suministrada. Las relaciones pueden ser de distinto tipo, como, por ejemplo, amistad, contenido profesional, aficiones, etc. Complementariamente, el sistema propone al usuario aceptar a otros participantes, que presumiblemente pueden interesar al primero, al constar como amigos de amigos.

En definitiva, estas redes manejan ingente cantidad de información vulnerable que no siempre está bajo el control del usuario que la proporciona. El propio Facebook, en su Política de Privacidad, declara expresamente que “no podemos y no garantizamos que el Contenido de Usuario que publiques en el Sitio no será visualizado por personas no autorizadas”.

Conscientes de ello, las Autoridades de Protección de Datos de 37 países adoptaron, en el marco de la trigésima Conferencia Internacional de la Privacidad, celebrada en Estrasburgo, una Resolución relativa a la protección de la privacidad en redes sociales. Esta resolución advierte claramente de los potenciales riesgos de estos servicios para la privacidad de los usuarios y de terceras personas, proponiendo un conjunto de medidas preventivas para los usuarios y correctivas para los proveedores de los servicios de redes sociales. Así, se recomienda a los usuarios ser especialmente conscientes de la información que aportan, teniendo especial cuidado al incluir fotografías propias, o de terceros sin contar con su consentimiento. Se aconseja el uso de pseudónimos y se advierte a los menores de edad que no proporcionen datos sobre su domicilio o su número de teléfono.

Uno de los mayores peligros que suponen las redes sociales es el fraude de identidad con fines injuriosos, favorecido por la amplia disponibilidad de datos personales accesible en los distintos perfiles. En este sentido El País, el 3 de enero de 2009, se hizo eco de una noticia en la que señalaba que algunos alumnos de un colegio de Logroño crearon un perfil en una red social, haciéndose pasar por un compañero, aportando una fotografía retocada, siendo objeto de mofa por parte de otros alumnos del centro. Según la citada noticia, estos hechos han sido denunciados por el colegio.

Es claro, que en estos foros, con una cierta sensación de impunidad, se cometen, con mucha frecuencia, determinados delitos, como, por ejemplo, los relativos al descubrimiento y revelación de secretos (art. 197 CP) e injurias graves hechas con publicidad (arts. 208 y sig. CP).

Otro de los potenciales riesgos se conforma en materia de protección de datos, si tenemos en cuenta que muchos datos incluidos en los perfiles (entre ellos la fotografía) están accesibles fuera de la red social, al ser indexados o utilizados por los buscadores. Facebook, en su sitio web, lo confirma señalando que los buscadores pueden acceder a datos personales, como el nombre o la foto de perfil, y a “cierta información limitada acerca del perfil”.

Las autoridades de protección de datos han advertido, además, de ciertas prácticas que están empezando a usarse por responsables de recursos humanos, con la herramienta de las redes sociales como instrumento fundamental, con el fin de investigar los perfiles de un empleado o un candidato a un puesto de trabajo. No obstante, existen redes sociales profesionales que tienen, entre otros, este objetivo, como por ejemplo Xing, que afirma contar con cinco millones de profesionales en su red.

Finalmente, objeto de estudio monográfico tendría que tener el uso de los datos incluidos en las redes sociales con fines comerciales y publicitarios. La valiosa información proporcionada voluntariamente por el usuario resulta especialmente atractiva para las empresas, y mucho más para los propios proveedores de servicios de redes sociales que han visto en este fenómeno una forma de obtener importantes ingresos. Sirva como muestra una frase que Facebook incluye en su Política de Privacidad: “si pones una película favorita en tu perfil, podemos proporcionarte un anuncio que haga hincapié en el estreno de una película del mismo estilo en tu ciudad. Pero no le decimos a la productora cinematográfica quién eres”. Todo un detalle.