Borrar datos personales de Google
En la era digital en que vivimos hemos incorporado a nuestro día a día multitud de aplicaciones y hábitos de comunicación que de ninguna manera hubiéramos realizado en nuestro reciente pasado analógico. A ningún adolescente de hace cinco años se le hubiera ocurrido ir repartiendo fotos de su última borrachera por el instituto, tanto a amigos como a desconocidos, acompañadas de su teléfono, aficiones e, incluso, ideologías políticas. Hasta hoy nos parece descabellado pero es, aplicando las nuevas tecnologías que tenemos al alcance, el día a día de comunidades como Tuenti o Facebook.
Lo malo llega cuando esas herramientas de las que nos beneficiamos día a día se vuelven en nuestra contra y sacan a la luz algún asunto turbio de nuestra vida, bien por comentarios realizados en una web, o por una multa que no pagamos y que nos la reclaman vía Boletín Oficial, o mismamente por un indulto publicado a nuestro favor que revela un proceso judical del que no queremos que se sepa.
Pero lo peor no es que nuestro nombre ande perdido por la nube, como antes quedaba archivado en las bibliotecas oficiales, o esperabamos a que se difuminase el rumor. El mayor peligro de que nuestra intimidad quede al descubierto se llama Google (o Yahoo, Msn, o incluso Hispavista…) y sobre todo sus robots que rastrean las webs que no se lo impiden en busca de información que ponen a disposición del buscador y este, a su vez de sus millones de usuarios. Podemos solicitar el bloqueo de dichas publicaciones siempre que la información no sea de interés general, un hecho noticioso, y cuando exista un motivo fundado, como el respeto a la dignidad y el derecho al honor.
Para los casos en los que se vierten comentarios injuriosos y/o falsos acerca de una persona, hemos de dirigirnos directamente al webmaster del sitio para solicitar que borre dicho contenido. Estos son los consejos que da Google para contactar con los responsables de los sitios web.
La publicación de la notificación de una sanción es cosa distinta ya que obedece al Artículo 59.1 de la Ley 30/92 de régimen Jurídico de las Administraciones Públicas y Procedimiento Administrativo Común, según el cual: “Las notificaciones se practicarán por cualquier medio que permita tener constancia de la recepción por el interesado o su representante, así como de la fecha, la identidad y el contenido del acto notificado.”
Así, cuando “intentada la notificación, no se hubiese podido practicar, la notificación se hará por medio de anuncios en el tablón de edictos del Ayuntamiento en su último domicilio, en el Boletín Oficial del Estado, de la Comunidad Autónoma o de la Provincia, según cual sea la Administración de la que se proceda el acto a notificar, y el ámbito territorial del órgano que lo dictó.” (Art. 59.5 LRJPAC)
Hace no muchos años, esto no suponía mayor problema para los ciudadanos porque una publicación similar a la publicada de su persona, dificilmente era accedida por personas distintas de los titulares y quedaba pronto en el olvido ya que pasaba a acumular polvo en los archivos en papel de los distintos boletines. La irrupción de las nuevas tecnologías ha llevado a la digitalización de los boletines oficiales y con ello se consigue una mayor y mejor publicidad. En algunos casos, como los que comentamos, esta publicidad juega en contra de los intereses particulares, pero obedece al mandato legal antes referido. Por ello, no serviría de nada solicitar a la administración responsable de la publicación del Boletín que borre sus datos una vez satisfecha la multa, ni siquiera que estos datos figuren de forma abreviada, porque no cumplirían con la finalidad de publicidad que persigue la publicación.
Cosa distinta es la indexación de la publicación en los buscadores de Internet. Para solicitar que un buscador bloquee la publicación de nuestros datos personales debemos ponernos en contacto con el servicio de atención al cliente de los mismos. La mayoría nos va a remitir al webmaster del sitio en el que están publicados nuestros datos, para que le solicitemos la supresión de los mismos. Por ello, es necesario consignar en el escrito que dirijamos al buscador que, a pesar de contactar con el webmaster, al ser una página propiedad de un ente público con la obligación de publicarlo, no conseguiremos nada y que la única solución pasa por que no la incluyan en los resultados de búsqueda.
Así, como primera medida deberá dirigir un escrito fundado de solicitud de bloqueo de página web a los buscadores en que aparezcan los datos que queremos borrar. Este escrito ha de dirigirse a las siguientes direcciones en función del buscador al que queramos solicitarlo.
Google
Google pone a disposición de sus usuarios un formulario para eliminar datos personales, es el siguiente: Formulario
Para poder enviar el formulario de Google, ha de tener activa una cuenta de Google. En este enlace puede abrir la cuenta.
Yahoo
Yahoo no proporciona un formulario tipo, ya que remite directamente a los webmasters sin dar más opciones.
Por ello, hay que redactar y dirigir un escrito con el mismo contenido al departamento de atención al cliente. Link
Se procederá del mismo modo para todos aquellos buscadores en que queramos solicitar la baja de la información.
Agencia Española de Protección de Datos
En caso de no recibir respuesta satisfactoria por parte de los buscadores contactados en un plazo de 10-15 días, habría que dar comienzo a la siguiente vía que implica la denuncia del hecho ante la Agencia Española de Protección de Datos. El escrito deberá contener una descripción de los hechos y la solicitud de que se inste a los respectivos buscadores a cesar la publicación de la información deshonrosa relativa a su persona, iniciando un Procedimiento de tutela de derechos.
Dicho escrito dará inicio a una inspección por parte de la Agencia que no reportará una compensación económica al denunciante, pero sí el bloqueo de la publicación de la página del boletín en los buscadores, si el Director de la AEPD lo considera oportuno.
En caso de que haya que llegar a esta instancia, las probabilidades de éxito son elevadas ya que se cuenta con jurisprudencia previa favorable para casos similares. Sin ir más lejos, la Resolución 1046/2007, para el caso, de sobra conocido, del profesor, subdirector de un colegio, que solicitaba el bloqueo de la publicación de una multa impuesta en el pasado por haber sido sorprendido orinando en la vía pública. En la Resolución 1488/2008 ya se ha pronunciado al respecto, instando al buscador a borrar los datos personales.
Hay que reseñar que el proceso de borrado puede ser lento, pero si se llevan a cabo correctamente los pasos necesarios, se conseguirá el objetivo. Por otro lado, es recomendable saldar las cuentas pendientes con la administración de turno, no sea que, después de conseguido el bloqueo de la publicación primera, nos vuelvan a reclamar a través del boletín oficial y tengamos que volver a empezar…
Relacionado: Consultas Jurídicas. Abanlex Abogados
Guía de Seguridad de Datos AEPD
Me twittea Alonso Hurtado que la AEPD ha publicado en su Web una Guía para facilitar una correcta implantación de medidas de seguridad de los datos personales.
Sin perjuicio de un análisis más profundo, esta Guía de Seguridad de Datos responde a la necesidad expuesta en varias ocasiones por el Director de la AEPD de dar un paso más en el cuidado de la privacidad. En la Memoria 2007, ya se resaltaba la cantidad de intervenciones que ha tenido que realizar la Agencia como consecuencia de “despistes” más o menos intencionados que contenían información personal a la cual se accedía bien mediante una cuenta de una red P2P que no había sido bien bloqueada o bien en papeles en un contenedor (historias clínicas, curriculums…).
Esta Guía está dirigida tanto a entidades públicas como privadas y viene a exponer de un modo práctico las medidas de seguridad detalladas en el Reglamento de desarrollo de la AEPD. Destaca, además, un pequeño formulario de “Autoevaluación” para que las empresas evalúen si están cumpliendo debidamente con la normativa vigente en la materia.
Conversación sobre Libros de Bautismo, Apostasía y Protección de Datos
A continuación, con permiso de mis dos amigos (ninguno de ellos abogado ni relacionado con la materia), transcribo un pequeño debate que surgió, vía mail, en relación a las sentencias de la Audiencia Provincial de Valencia, la posterior estimación del recurso de casación por el Tribunal Supremo y la intención de la AEPD de recurrir al Constucional. Creo que es ilustrativo de las diferentes posturas que se pueden encontrar en la calle al respecto.
XAG: “Viendo la reciente disposición de la parroquia al debate y la reflexión sobre temas más o menos de actualidad, me dispongo a abrir un nuevo tema para el que pido la opinión de todos vosotros, en especial de Joaquín, que es el que se dedica al tema…” (Copia link de la noticia)
JMR: Para los que quieran un exámen jurídico en profundidad de la sentencia recomiendo el artículo de Miguel Ángel Mata, amigo mío.
Hay fundamentos suficientes desde el punto de vista de la Ley de Protección de Datos tanto para dar la razón a unos como a otros. La AEPD, como siempre, partiendo de una ley hecha para matar moscas a cañonazos, barre para casa. En las sentencias de la Audiencia Provincial de Valencia y el Tribunal Supremo se limitan a discutir sobre meras definiciones, lo cual demuestra que la LOPD no es nada explícita.
Mi opinión es que los Libros de Bautismo son libros, generalmente ya amarillos en los que para buscar el nombre de alguien tienes que saber, al menos el mes y año de bautismo y la Iglesia en la que fue bautizado porque sino, puedes tirarte un siglo, por lo que no los considero un fichero organizado de datos, como ha dicho el TS. Os propongo si no, que alguno de vosotros intente localizar la partida de bautismo de alguno del grupo…de locos. Además, creo que aún no se ha dado el caso de que alguna Iglesia haya utilizado esos datos (que no incluyen ni dirección, ni teléfono, ni mail del bautizado o sus padres, por ejemplo), para enviar a sus casas ni siquiera la hoja parroquial o el “Hoy Domingo”… por lo que son simplemente un archivo de mera constatación del hecho del bautismo de cara a futuras “relaciones” con la Iglesia, en caso de que cada uno quiera seguir teniéndolas, es decir, continuar recibiendo sacramentos. También entran por ahí en juego los acuerdos entre el Estado y la Santa Sede, pero eso es cosa aparte.
Creo que es lícito que el que quiera apostate, de eso sólo le podrá pedir cuentas el Jefe, no la AEPD, o el párroco de turno. De ahí a que se le borre de los libros… personalmente creo que incluso para el apóstata es mejor que conste que ha decidido hacerlo, y quede reflejada su voluntad, a que se le borre como si nunca hubiera estado.
XAG: “Efectivamente es lícito que quien quiera apostatar, apostate. Como diría el otro: “faltaría más…”.
Pero yo creo (desde mi enciclopédica ignorancia sobre el tema y abogando por el diablo) que, desde el punto de vista de la protección de datos, no tiene sentido que quien quiera ejercer su derecho (constitucional, si no me equivoco) a cancelar/borrar/rectificar sus datos personales de un fichero (que como bien dices, es difícil calificar de organizado, pero que contiene sin duda datos personales) vea que su acción tiene como efecto que, no sólo sus datos personales no son borrados, sino que además le es añadido un nuevo dato (tb personal): el propio de la apostasía.
Y sigo en representación de don Diablo: Tampoco creo que tenga sentido en los tiempos que corren que la Iglesia recurra a los “históricos privilegios” que los Concordatos (firmados en 1979 con la Santa Sede) le confieren. Creo que la Iglesia debe leer bien los signos de los tiempos si no quiere que siga creciendo el ya de por sí grande sentimiento anticlerical. Desde mi opinión, considerándome un miembro de la Iglesia Católica (aunque en habitual desacuerdo con su jerarquía) y reconociendo que una parte importante de la sociedad española (ya no me atrevería a decir que la mayoría) se considere parte de la misma, creo que el Estado no debe financiar ninguna agrupación sea ésta de la índole que quiera (aquí incluiría por supuesto a los partidos políticos, en cuya financiación todos somos legalmente paganos…). El dinero que se recaude de los impuestos que TODOS pagamos, debe revertir en acciones de las que TODOS nos beneficiemos. ¿Estaríamos de acuerdo si, un día en España la mitad de la población es musulmana, en que el Estado deba financiar al Islam? Yo tengo clara mi respuesta.
En fin, es por hablar de algo… y porque no encontraba ningun video intersante que mandar…“
ECG: “Me gusta que haya salido a la luz este debate, ya que pone de manifiesto una vez más el sentimiento “revanchista” que cada día más se ve contra la Iglesia, por parte de un grueso de la izda. española moderna, bien conocida como “progre”.
Y llegado a este punto del tema, tan interesante como inútil, mi reflexión es la siguiente ¿a quién carajo le importa que en alguna perdida iglesia del mundo, en un viejo libro, escrito no probablemente a boli sino a lápiz, esté reflejado que tal día de tal año se bautizó a un niño y que ahora ese niño ya crecido no quiere pertenecer a la Santa Madre Iglesia?
Me gusta la reflexión de Joaquín, Primero ¿cómo carajo encontrar una partida bautismal hoy día? Y segundo ¿qué información da para que a alguien le preocupe? ¿es que a un apóstata le preocupa que esa partida exista? ¿es que le compromete a algo? La pertenencia a una confesión no es como afiliarse a un partido político o ser socio de un club de fútbol. No exige cuotas ni responsabilidades, más bien al contrario, la relación es simplemente personal e intransferible entre el feligrés y el de arriba.
Y dado el caso, ¿para qué gastar tanta pasta en tener un registro de las partidas bautismales cuando eso no implica absolutamente nada? ¿no es mejor dotar los recursos en algo más útil?
En resumen…. mucho aburrimiento y muchas ganas de llamar la atención…”
JMR: Como te he dicho, se puede argumentar desde ambas partes.
De hecho, las dos sentencias discuten sobre la definición de fichero para dar la razón a unos o a otros. La de la Audiencia dice que sí es un fichero y la del supremo dice que no….
En mi opinión, tanta razón tienen unos (es un archivo de datos personales al fin y al cabo), como otros (al no ser un conjunto organizado es casi imposible encontrar a una persona en concreto, en este caso el apóstata y tratar sus datos). Aunque me inclino más por la opción del Supremo, teniendo en cuenta el voto particular, el cual también me parece una buena reflexión.
En fin…
Por cierto, me dáis permiso, para colgar esta conversación cibernética en mi blog? Es interesante y refleja las opiniones de una gran mayoría al respecto… gracias!
Comparecencia del Presidente de la AEPD ante la Comisión Constitucional
Ayer tuve el privilegio de asistir (como prensa) a la Comisión Constitucional del Congreso de los Diputados, ante la cual presentaba la Memoria Anual el Director de la AEPD, D. Artemi Rallo.
En una primera comparecencia, el Sr. Rallo repasó los datos estadísticos que se contienen en la citada Memoria, destacando la proliferación de cámaras de videovigilancia, y puso de relevancia los ataques a la intimidad y privacidad de las personas a los que los ciudadanos están expuestos, con los avances de las nuevas tecnologías, en especial, las redes sociales y de compartición de archivos en Internet.
Igualmente, solicitó, algo que nos parecerá muy interesante a los que trabajamos en este ámbito, la inclusión en los planes de estudio de una educación reglada en materia de protección de datos.
Consideró el Presidente como “inadmisible” el abandono de documentación con datos personales en la vía pública. Por este motivo se realizaron, en 2007, alrededor de 30 inspecciones.
Tras su comparecencia, intervinieron los diputados Jordi Xuclá (CiU) quien, en una extensa intervención, destacó el buen trabajo de la Agencia y animó a su presidente a seguir en el mismo camino. Asimismo, destacó lo beneficioso de la ampliación de plantilla de la AEPD. Después, Gabriel Mato (PP) que manifestó “estar como un cañón, de salud…”, subscribió lo comentado por su antecesor en la palabra, si bien hizo incapié en la tardanza en presentar la Memoria de 2007 en el Congreso. A lo anterior, el Presidente de la Comisión, Alfonso Guerra, defendió al Director de la AEPD, explicando que la comparecencia fue solicitada en el mes de Julio. El tercero en tomar la palabra fue Juan Luis Rascón (PSOE), quien, de nuevo, felicitó al Director por la labor llevada hasta el momento y le conminó a ofrecer una información-formación más intensa a los ciudadanos.
En su turno de réplica el Director respondió a las intervenciones, destacando que, con los medios económicos y de personal que actualmente posee la Agencia no se pueden acometer campañas de información ciudadana y conminó a los presentes a valorar una partda destinada al efecto, aprobada en Sede Parlamentaria.
No me pude quedar mucho más porque tenía que ir a la Notaría a firmar unos asuntos de Abanlex, y leo hoy que me perdí la trifulca entre mi admirada Rosa Díez y el socialista Torres Mora, en la que este la acusó de hacer propuestas que hacen daño a la Democracia, por proponer, como una medida en tiempos de crisis, eliminar las subvenciones estatales que tienen los partidos políticos para realizar mailings…. en fin…
I. Sistemas de denuncias internas en la empresa – Whistleblowing
-
Los empleados hayan sido previamente informados de la existencia de un sistema de denuncias, por lo que este sistema se encuentre ya incorporado normalmente a la relación contractual.
-
El sistema de denuncias se limite a aquellas relacionadas con acciones que tengan efectiva implicación en la relación laboral. La mayoría de estas denuncias serán relativas a actividades ilegales o inmorales, aprovechamiento de la institución para lucro personal, gastos injustificados o excesivos, etc.
-
El denunciante quede identificado. En pro de la exactitud e integridad de la denuncia, no se debe dar trámite a denuncias anónimas. Aún así, para el buen funcionamiento del sistema, es necesario garantizar la confidencialidad del denunciante, por lo que no será revelada al afectado en caso de que éste ejerza su derecho de acceso. Al quedar identificado el denunciante, se podrán tomar medidas disciplinarias cuando se den casos de denuncias falsas o malintencionadas.
-
Se informe al denunciado, dentro del plazo de 3 meses, contados desde el momento del registro de la denuncia, de forma expresa, precisa e inequívica, por parte del responsable del fichero, del contenido del tratamiento, los destinatarios de la información y demás contenido del artículo 5.1 LOPD .
-
Quede garantizado el tratamiento confidencial de las denuncias a través de estos sistemas hasta que se resuelvan.
-
Se establezca un plazo máximo de conservación de los datos relacionados con las denuncias. La investigación interna no ha de extenderse más allá de lo necesario y, si esta auditoría interna derivase en un procedimiento judicial, la empresa deberá colaborar para no dilatar en demasía dicho procedimiento.
-
El sistema de whistleblowing garantice, en todo caso, el ejercicio de los derechos reconocidos legalmente. Estos derechos van desde el de información, que se incorporará al contrato laboral, hasta los de acceso, rectificación, cancelación y oposición, pasando por la información relativa al tratamiento y finalidad de los datos.
-
Se implanten las medidas de seguridad que correspondan al tipo de datos que contengan las denuncias, con la correspondiente notificación del tratamiento de los datos a la AEPD, a fin de obtener su inscripción en el Registro General.
Regulación
Es muy necesaria una regulación estatal de estos sistemas que garantice los derechos de todas las partes implicadas: denunciantes, denunciado y empresa. En España, el Código Unificado de la CNMV para empresas cotizadas, recomienda el establecimiento de cauces internos para la denuncia de irregularidades: “Recomendación de que las sociedades establezcan, bajo la supervisión del Comité de Auditoría, algún mecanismo que permita a los empleados denunciar de forma confidencial o, si se considera oportuno, incluso anónima las irregularidades que observen en la sociedad. El Grupo entiende que tales mecanismos se referirán principalmente al ámbito financiero y contable. Y parte de la convicción de que las sociedades que los establezcan lo harán con escrupuloso respeto de lo dispuesto en la Ley Orgánica de Protección de Datos de Carácter Personal.”
El Congreso Norteamericano aprobó en 2002 la Ley Sarbanes-Oxley (SOX), con el fin de controlar a las empresas que cotizan en bolsa para evitar que las acciones de las mismas sean alteradas de manera dudosa, mientras que su valor es menor. Su finalidad es evitar fraudes y riesgo de bancarrota, protegiendo al inversor. Impone a las sociedades norteamericanas o extranjeras cotizadas en EEUU, así como a sus filiales en el exterior, el establecimiento de un código ético y un sistema que permita a los trabajadores denunciar anónimamente las malversaciones contables y financieras y los fraudes que puedan conocer. Esta ley fue la respuesta del gobierno americano a escándalos como el Caso Enron o el caso Tyco International. La Whistleblowers Protection Act de 1989, sienta las bases de los derechos de los “chivatos internos”.
Por su parte, en Francia, el Gobierno inició consultas con la patronal y los sindicatos para regular lo que denominan “sistemas de alerta profesional” en cualquier empresa. Ambos coinciden en que no se puede obligar a ningún trabajador a denunciar, en que ningún empleado pueda ser despedido por utilizar de buena fe el sistema de denuncias, así como en que se garantice el derecho a la defensa de las personas denunciadas.
No creo necesaria una regulación como la americana para el volumen de esta actividad que existe actualmente en España, pero cada vez va a ser más necesaria. Habrá que tener en cuenta tanto a asociaciones de empresarios, representantes de los trabajadores y poder normativo para llegar a sentar unas bases que, desarrolladas posteriormente, sean efectivas y consigan la finalidad perseguida sin quebrantar los derechos de ninguna de las partes. En cualquier caso, creo que la clave está en la información al trabajador, los límites que se impongan a los empresarios y el castigo de conductas que pongan en peligro la eficacia y eficiencia de estos sistemas.
Memoria AEPD 2007. Recomendaciones
La Memoria 2007 de la AEPD, además de las cifras de denuncias, sanciones y actuaciones, presenta este año, como novedad, un apartado dedicado a impartir una serie de recomendaciones, tanto normativas como ejecutivas, dirigidas especialmente a los poderes públicos, que van encaminadas a que estos sienten las bases para tutelar la privacidad de los usuarios de sus servicios y adecuar activa y efectivamentemente su organización interna.-
El establecimiento de sistemas de denuncia interna en las empresas por los trabajadores
-
El desarrollo de procedimientos que permitan proteger, de forma compatible con el derecho de protección de datos, los derechos de autor
-
Una regulación normativa que permita publicar las sentencias de órganos jurisdiccionales de forma que no ponga en juego el anonimato de quien las dicta o de alguna de las partes
Por otro, tenemos las recomendaciones ejecutivas, que ponen de manifiesto las que son, en opinión de la Agencia, las líneas maestras que deberán observar las administraciones de cara a una efectiva adecuación de sus actuaciones a la normativa vigente en protección de datos:
-
Plan de protección de los datos personales de los menores en Internet
-
Iniciativa de impulso de cautelas especiales para evitar el intercambio de datos personales sensibles en Internet a través de redes P2P
-
Acción de orientación ciudadana sobre la utilización de garantías de confidencialidad de los destinatarios en el envío de correos electrónicos
-
Plan de Promoción de Buenas Práctyicas en garantía de la privacidad en todos los Boletines y Diarios Oficiales
-
Estrategia Local dirigida a adecuar la instalación de cámaras para el control del tráfico a la normativa de protección de datos personales
-
Promover la Autorregulación en los medios de comunicación para garantizar la privacidad y la protección de los datos personales
Como se puede observar, más que unas simples recomendaciones, constituyen un plan de trabajo en el que la Agencia tiene pensado involucrarse. Me parecen objetivos muy necesarios, pero a la vez muy difíciles de conseguir teniendo en cuenta la poca colaboración que suele haber entre organismos públicos y la escasa concienciación de éstos, y especialemente las personas que los componen, en materia de protección de datos hasta el momento.
En los próximos “posits“ iré desgranando, una a una, las recomendaciones y planteando supuestos e ideas acerca de por qué vías podrá ir encaminada encaminado cada asunto. Se aceptan sugerencias y colaboraciones…
Dile al Dr. GOOGLE dónde te duele
Google sube un escalón en querer saber más de sus usuarios que ellos mismos. Confieso que no puedo dejar de usar sus servicios y que me hacen la vida mucho más fácil pero hay veces que me da un miedo tremendo según qué le tenga que confesar a sus bots. Esto me pasa con su prueba en Beta Google Health (respuesta a un servicio similar de Microsoft, el HealthValut). Vale que se enteren por medio de un mail enviado a un amigo que quiero pasar un fin de semana en París y me “recomienden” un vuelo, un hotel o hasta un coche de alquiler… pero que tengan constancia de mis dolores, ardores o picores me parece más que excesivo. Claramente, se deja bajo responsabilidad del usuario qué datos subir y cuáles no, pero me temo que mucha gente no piensa en posibles consecuencias y se fían de la marca del monstruo americano. Esa delegación de responsabilidad tan habitual en Google, y tan aceptada sin leer, es la que me inquieta.-
“By creating a link to these websites, you give them permission to send you information such as medical records, prescription histories, or test reports“.
-
“If a website accesses your health information and stores a copy of your information, that copy will be governed by that website’s privacy policy“.
Está claro que el servicio es de suscripción voluntaria y que, de momento, sólo hay colaboración con un hospital de Estados Unidos, así que habrá que esperar a ver cómo rompe esto. Aunque yo aviso que, de momento, no se me pasa por la cabeza usarlo…
La recogida de datos personales de menores de edad
El nuevo reglamento, que ya en breve entrará en vigor, ha aumentado la protección de los datos de menores de edad, prohibiendo la solicitud o tratamiento de los datos de menores de 14 años sin el consentimiento de sus padres. Si son mayores de esa edad, no se exige dicho consentimiento, salvo que sean actos que los menores de edad no puedan realizar sin el permiso paterno, como son los recogidos en el artículo 162.1 del Código Civil. El lenguaje de la información en la recogida debe garantizar que el menor la comprende y dejar constancia de que se ha comprobado su edad y la autenticidad del consentimiento prestado. Lógicamente, cuando el recabo de datos se realiza a través de Internet, es muy dificil tener certeza de la edad. Lo que la Children’s Online Privacy Protection Act establece es, entre otras cosas, que los padres o representantes legales tienen el derecho a conocer qué información sobre sus hijos se ha recabado y el uso y finalidad que se van a dar a la misma. Las autorizaciones otorgadas por los padres o representantes de los menores, deben ser verificables: requiere la realización de un esfuerzo proporcionado por parte de quien recoge los datos para comprobar que detrás del consentimiento está el verdadero padre o tutor del menor, ya sea mediante firma digital, clave que la empresa le otorgue o llamada telefónica.Tu jefe te espía
Este derecho del empleado se ve enfrentado al derecho del empresario a proteger su empresa.
La AEPD, se pronunció a este respecto en su día exigiendo, como requisito previo imprescindible la información y recabo del consentimiento del trabajador “en caso de que exista un sometimiento de los ficheros a la Ley Orgánica, será necesario para proceder al tratamiento de los datos el consentimiento de los afectados, tal y como dispone el artículo 6.1 de la Ley, debiendo informarse a los mismos de los extremos contenidos en el artículo 5.1 de la misma”. Recabado este imprescindible consentimiento, el empleador antes de instalar cámaras de vigilancia dentro del establecimiento de la empresa deberá sopesar la necesidad real y objetiva de la instalación de esas cámaras y evaluar el grado de intrusión en la privacidad de su empleado, limitando las grabaciones a una finalidad concreta.
Esta clara violación del derecho a la intimidad abre otros debates similares como son la lectura de los e-mails, o el exhaustivo control horario.
El nuevo Reglamento de desarrollo LOPD
El esperado Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en adelante, LOPD), ha sido publicado, en el BOE, el 19 de enero de este año, unos meses después de la fecha prevista. Introduce algunas novedades, entre las que destaca la extensión de su ámbito de aplicación a los datos de carácter personal contenidos en soporte físico, que sean susceptibles de tratamiento.El Reglamento establece unos plazos para la implantación de las nuevas medidas a los ficheros que ya existan a la fecha de su entrada en vigor, que van desde un año a partir de la entrada en vigor del Real Decreto hasta los dieciocho meses, en función del tipo de fichero y del nivel de seguridad exigido, ampliados hasta dos años para los ficheros no automatizados que contengan datos considerados de nivel alto. Para los ficheros que hayan sido creados con posterioridad al 19 de abril de 2008, deberán tener implantadas las medidas de seguridad del presente Reglamento desde el momento de su creación.
Se facilita la implantación de medidas de seguridad en las empresas al permitir, para aquellos datos referentes al grado de discapacidad o la simple declaración de la condición de invalidez o discapacidad, aplicar medidas de seguridad de nivel básico, cuando su finalidad consista en cumplir con una obligación legal. Igualmente, para datos especialmente protegidos (ideología, afiliación sindical, religión o creencias, origen racial, salud o vida sexual), cuando únicamente se utilicen para el pago de cuotas como asociados o miembros.
El Reglamento concreta los requisitos necesarios para que se considere válido el consentimiento tácito. Así, establece que se debe conceder un plazo de 30 días para manifestar la negativa al tratamiento y se deben proporcionar los medios para que esta negativa pueda prestarse de forma sencilla y gratuita. No se podrá exigir para el ejercicio de acceso, rectificación, oposición y cancelación, la remisión de carta certificada o la utilización de servicios de tarificación adicional. Tampoco se podrán utilizar estos medios para la comentada revocación del consentimiento.
Las medidas de seguridad de nivel alto dispuestas, para el tratamiento de los ficheros no automatizados, consisten en proteger mediante puertas de acceso, bajo llave o sistema equivalente, los archivadores, armarios o aquellos dispositivos en los que se almacenen los ficheros. Aunque, el Reglamento relaja esta exigencia al permitir “medidas alternativas” para los casos en que no sea posible establecer estas medidas físicas.
Se ha aumentado la protección de los datos de menores de edad, prohibiendo la solicitud o tratamiento de los datos de menores de 14 años sin el consentimiento de sus padres. Si son mayores de esa edad, no se exige dicho consentimiento, salvo que sean actos que los menores de edad no puedan realizar sin el permiso paterno. El lenguaje de la información en la recogida debe garantizar que el menor la comprende y dejar constancia de que se ha comprobado su edad y la autenticidad del consentimiento prestado.
Asimismo, se eleva a una protección con medidas de seguridad de nivel alto de aquellos datos personales derivados de la violencia de género, tráfico y localización de los operadores de servicios de comunicaciones electrónicas o que exploten las redes públicas de telecomunicaciones.
Con el nuevo Reglamento, no todos los ficheros de las Administraciones Públicas tendrán la consideración de ficheros públicos. Serán privados los correspondientes a aquellos organismos públicos que no estén vinculados al ejercicio de potestades de Derecho Público (cámaras de comercio, colegios profesionales, cofradías de pescadores…).
Por último, señalar que los productos de software utilizados para el tratamiento de datos personales, se exige que incluyan en su descripción el nivel de seguridad con el que permiten proteger los datos, según los niveles estipulados en el Reglamento.