-Estamos inmersos en la sociedad de la información, siendo Internet el eje principal de este escenario. Tenemos perfiles en las redes sociales, acceso a videos en Youtube, existe un gran círculo de claves personales de correos, tarjetas de crédito...millones de datos que, en algún momento y lugar, son recogidos y tratados. ¿Cómo se puede garantizar la privacidad, y con ello la seguridad, de estos datos?
En mi opinión, hay que diferenciar tres ámbitos posibles de protección. El primero de ellos, y por evidente que resulte, es el de la autoprotección. El usuario debe aprender a gestionar su información personal, a administrar qué comparte y a configurar los perfiles de privacidad en las redes sociales. El segundo plano es el de la responsabilidad de las empresas. Éstas deben plantearse seriamente evolucionar hacia un modelo de privacy by design que garantice la legalidad de los tratamientos de datos personales y su seguridad. El derecho a la vida privada está garantizado por los convenios internacionales y por la mayor parte de ordenamientos constitucionales. Por tanto, es un valor normativo y un derecho fundamental que debe contemplarse ab initio, no cuando se ha convertido en problema. Por último, los poderes públicos deben comprometerse y educar a nuestros menores, y también plantearse campañas de sensibilización de amplio espectro. Convertir el valor “privacidad” en reclamación del consumidor y en elemento de prestigio y calidad para las organizaciones depende de ello.
-Hemos llegado a un punto en el que empresas que residen en otros países tienen información privada que consiguen del propio damnificado, tras aceptar éste unas condiciones contractuales, siempre en letra pequeña, a las que llega haciendo clic en un mensaje que suele ser engañoso. ¿Realmente alguien vigila esto?
Las cláusulas a las que Vd. se refiere han sido definidas en el mundo anglosajón con la expresión take it or leave it. En la mayor parte de las ocasiones su contenido es perfectamente lícito y define un intercambio de servicios a cambio de información personal. El usuario ni las lee, ni está dispuesto a pagar “con dinero” el servicio que recibe. El Working Party y algunas autoridades nacionales han considerado que el uso de medios en el país del usuario, como su PC para depositar cookies, es un punto de conexión para tutelar los derechos de los nacionales. En cualquier caso, es imprescindible un cambio de actitud del usuario, debe leer el contrato, entender sus cláusulas y no contratar si no le resulta conveniente. Otra cuestión es que no exista transparencia o condiciones generales de la contratación que puedan ser nulas. En ese caso, el problema se traslada hacia la determinación de la jurisdicción competente.
-A raíz de la primera pregunta, ¿cree que el aumento del tráfico de datos en Internet puede conllevar a una pérdida de la privacidad de los mismos? ¿Es ahora más fácil que esos datos caigan en manos ajenas y se trafique con ellos?
La respuesta no puede ser sino afirmativa, especialmente si al riesgo del incremento del volumen de tráfico añadimos la imprudencia o el desconocimiento de las reglas del juego por el usuario.
-En el caso del portal de servicio de alojamiento de archivos, MegaUpload, ¿dónde van a parar los ficheros privados de los usuarios tras el cierre de la página? ¿Pueden darse casos de cierre similares en otras webs de España?
Me temo que ésta pregunta no tenga una respuesta fácil. Primero, y de acuerdo con la legislación procesal que resulte de aplicación, habría que determinar si estamos ante un cierre o ante un bloqueo temporal. Evidentemente en el caso español, la acción policial o judicial debería ponderarse a la luz de los derechos fundamentales y de otros derechos de las personas concernidas. Por tanto, podría concebirse un bloqueo temporal de un servicio y la incautación de cierta información por su valor probatorio pero, paralelamente, deberían garantizarse los derechos de todos aquellos usuarios a los que tal retención pudiera causar un daño en sus derechos o en su patrimonio.
-En los últimos meses estamos viviendo el auge del almacenaje de contenidos en la “nube” pero, ¿hasta dónde se respeta la privacidad de los datos alojados en sus servidores?
En principio deberíamos pensar que se respeta completamente ya que de lo contrario se estaría vulnerando la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal. En tal sentido, quisiera destacar la imaginativa solución del reciente Reglamento Mexicano de Protección de Datos que apuesta por definir esta realidad y admitir contratos mediante condiciones generales siempre que éstas aseguren el cumplimiento de la legalidad vigente.
-El pasado 24 de noviembre el Tribunal Superior de Justicia de la Unión Europea hizo pública una sentencia relativa a la protección de datos personales. En ella se exige la “satisfacción de un interés legítimo” para el tratamiento de dichos datos. ¿Cree que afectará de algún modo esta sentencia al ámbito de la privacidad?
Sí, en un doble plano. Aunque conviene desmitificar algunas afirmaciones realizadas en distintos medios en internet en el sentido de que “deroga el Reglamento”. No deroga nada, responde a una cuestión prejudicial planteada por el Tribunal Supremo. Es más, quisiera subrayar que el problema serio no se encuentra en su art. 10 sino en el 6 de la LOPD, sobre la que el Tribunal Supremo carece de capacidad de acción, salvo que ahora plantease una cuestión de inconstitucionalidad que, a mi juicio, no parece oportuna. En la práctica la primera consecuencia es la del efecto directo de la Directiva, que permite a los responsables invocar el principio de interés legítimo para tratar datos siempre que se cumplan el resto de requisitos que fija la misma. El segundo es que siendo contrario el Reglamento a la Directiva el principio de primacía determina su inaplicación. Sin embargo, en mi modesta opinión el supuesto de hecho previsto por el art. 10 RLOPD sigue siendo un caso de interés legítimo, por tanto una correcta interpretación del precepto sería la que apunta a que no es admisible un numerus clausus en este tipo de supuestos, lo que permitiría una interpretación conforme a la Directiva tanto del art. 10 RLOPD como del art. 6 LOPD.
-A las grandes empresas se les se exige un cumplimiento de la norma muy por encima del resto, ¿hasta qué punto las medidas de protección de datos suponen un coste que sólo les afecta a ellas?
Viene a mi mente un viejo brocardo, ubi lex non distinguit nec nos distinguere debemus. Las medidas son las mismas para todos, lo que varía habitualmente es la complejidad de la organización lo que puede multiplicar los riesgos e incrementar los costes, pero ni la Ley ni el reglamento en la práctica distinguen.
-La desigualdad internacional en la legislación sobre esta materia, ¿no supone de facto una imposibilidad real en la garantía de estos derechos para el ciudadano?
No sólo eso, suponen un coste para las organizaciones. Los estándares internacionales sobre protección de datos y privacidad, o Resolución de Madrid en los que tuve el honor de trabajar, marcan un punto de encuentro que permitiría homogeneizar las regulaciones en beneficio de los derechos fundamentales de los ciudadanos y de la seguridad jurídica para los responsables.
-En los próximos días la UE pretende endurecer la normativa de protección de datos, así como simplificarla para evitar que las reglas entren en conflicto entre sí. ¿Le parecen unas medidas acertadas?
Hay que esperar a ver cómo evoluciona la tramitación. Pero lo cierto es que el intento en sí mismo, en lo que tiene de apuesta por garantizar la uniformidad aplicativa y de hacer frente a los nuevos retos que plantea la evolución de las tecnologías de la información, debe ser positivamente valorado. En particular, desde el punto de vista de la Asociación Profesional Española de Privacidad, la apuesta por definir las funciones de los profesionales de privacidad y la aparición de conceptos como data protection impact assesment o data protection by default debe ser particularmente bienvenida.
-A su entender, ¿cuáles son las principales carencias de la legislación española actual? ¿Espera algún cambio en ella?
La LOPD tiene su origen en la adaptación de una Ley, la antigua LORTAD, que a su vez nació por la vía casi de urgencia a partir no de la Directiva, sino de su proyecto. Este pecado original se arrastra hasta hoy. El sector siempre ha planteado la necesidad de alinear nuestra norma mucho más con la Directiva y mejorar el régimen de las transferencias internacionales. Por otra parte, la gestión de datos en materia de solvencia, la clarificación de la videovigilancia, la definición técnica y profesional del asesoramiento en LOPD y las auditorías de seguridad, o las desigualdades en el régimen sancionador son retos siempre de actualidad. Unamos la aparición de las redes sociales, el derecho al olvido o el periodismo ciudadano y tendremos un panorama de cambio ciertamente amplio. Sin embargo, no conviene tampoco demonizar la LOPD ni pensar que el legislador debe regular todo hasta el menor detalle. La norma ha sido una herramienta eficiente y ahora debemos esperar al debate sobre el Reglamento propuesto por la Comisión.
-Como sabe, operamos en el sector jurídico, por lo que nos resultaría interesante conocer cómo percibe que se tratan los datos en los despachos de abogados. ¿Se cumple un nivel mínimo de privacidad respecto a la documentación de los clientes?
Honestamente, carezco de datos empíricos, aunque me consta el enorme esfuerzo de los Colegios Profesionales en la promoción del cumplimiento normativo. Sin embargo, sí me atrevo a subrayar dos elementos. Tratamos datos muy valiosos para nuestros clientes tanto desde el punto de vista de sus derechos fundamentales a la protección de datos y a la tutela judicial efectiva, como desde un punto de vista de su seguridad personal y de la de su patrimonio. En segundo lugar, hay un aspecto ético ineludible, puesto que por nuestra profesión nuestro compromiso con la garantía de los derechos fundamentales debería suponer perseguir la excelencia en el cumplimiento de la LOPD.
-Por último y desde una visión más periodística, ¿cree que una mayor protección de datos implicará un lastre para la libertad de información?
En ningún caso si el legislador aborda de una vez esta materia. Opino que, en sus trazos básicos, el derecho a la información y el derecho fundamental a la protección de datos ocupan ecosistemas diversos con regulaciones diferenciadas. Sin embargo, hay dos puntos de contacto. El primero, es el de los principios de protección de datos. El principio de proporcionalidad que a mi juicio debería inspirar la publicación de algunas noticias minimizando los datos personales que contienen y el de veracidad. Ésta, cuando la noticia es reciente, se concibe como diligencia en la comprobación. Ahora bien, cuando se encuentra en una hemeroteca debería ofrecer una imagen real. Por ejemplo, si publicamos una imputación penal y después no la vinculamos en la hemeroteca a la posterior absolución los buscadores ofrecerán una imagen falsa de la persona afectada. El segundo gran reto es el del periodismo ciudadano. A día de hoy, cuando alguien publica en un blog y no prevalece el derecho a la información puede entrar en juego el régimen sancionador de la LOPD, dando lugar a situaciones particularmente complicadas. Por ello necesita de regulación.
------------------------------------------------------------------------------------------------------------------------------
La APEP , Asociación Profesional Española de Privacidad, nace como respuesta al vacío al que se enfrentan profesionales de la protección de datos personales y de la privacidad, focalizándose en tres puntos clave: dotar de patrones de calidad al desarrollo profesional de las actividades vinculadas a la privacidad, fomentar el conocimiento y valoración social del derecho fundamental a la protección de datos de carácter personal y defender los intereses profesionales de sus asociados.
