Mostrando entradas con la etiqueta datos personales. Mostrar todas las entradas
Mostrando entradas con la etiqueta datos personales. Mostrar todas las entradas

miércoles, 14 de mayo de 2014

Sentencia del Tribunal de Justicia de la Unión Europea sobre el mal llamado “derecho al olvido”.


En el día de ayer se publicaba la Sentencia del Tribunal de Justicia de la Unión Europea en el asunto C-131/12 Google Spain, S.L., Google Inc. / Agencia Española de Protección de Datos, Mario Costeja González. Dicha sentencia se produce en el marco de una cuestión prejudicial planteada por la Audiencia Nacional española respecto de la interpretación de determinados preceptos de la Directiva 95/46/CE del Parlamento europeo y del Consejo de 24 de octubre de 1995 relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos.

En realidad, lo que está en la base del pronunciamiento es la colisión de dos derechos fundamentales: el de protección de los datos de carácter personal y el de libertad de expresión e información, ambos recogidos en el Título II de la Carta de Derechos Fundamentales de la Unión Europea. Recordemos la mención que la Carta hace de cada uno de ellos:

Artículo 8:

1. Toda persona tiene derecho a la protección de los datos de carácter personal que le conciernan.
2. Estos datos se tratarán de modo leal, para fines concretos y sobre la base del consentimiento de la persona afectada o en virtud de otro fundamento legítimo previsto por la ley. Toda persona tiene derecho a acceder a los datos recogidos que le conciernan y a obtener su rectificación.
3. El respeto de estas normas estará sujeto al control de una autoridad independiente.
  

Artículo 11:

1. Toda persona tiene derecho a la libertad de expresión. Este derecho comprende la libertad de opinión y la libertad de recibir o comunicar informaciones o ideas sin que pueda haber injerencia de autoridades públicas y sin consideración de fronteras.
2. Se respetan la libertad de los medios de comunicación y su pluralismo.

Pues bien, con estas premisas, los hechos y las cuestiones prejudiciales planteadas las describe en sus conclusiones el abogado general Sr. NIILO JÄÄSKINEN en los siguientes términos:

A comienzos de 1998, un periódico español de gran tirada publicó en su edición impresa dos anuncios relativos a una subasta de inmuebles relacionada con un embargo derivado de deudas a la Seguridad Social. Se mencionaba al interesado como propietario de éstos. En un momento posterior, la editorial puso a disposición del público una versión electrónica del periódico online.

En noviembre de 2009, el interesado contactó con la editorial del periódico afirmando que, cuando introducía su nombre y apellidos en el motor de búsqueda de Google, aparecía la referencia a varias páginas del periódico que incluían los anuncios de la mencionada subasta de inmuebles. Alegó que el embargo estaba solucionado y resuelto desde hacía años y carecía de relevancia en aquel momento. La editorial le respondió que no procedía la cancelación de sus datos, dado que la publicación se había realizado por orden del Ministerio de Trabajo y Asuntos Sociales.

En febrero de 2010, el interesado remitió escrito a Google Spain solicitando que al introducir su nombre y apellidos en el motor de búsqueda en Internet de Google no aparecieran en los resultados de búsqueda enlaces a ese periódico. Google Spain le remitió a Google Inc., con domicilio social en California, Estados Unidos, por entender que ésta era la empresa que presta el servicio de búsqueda en Internet.

En consecuencia, el interesado interpuso una reclamación ante la AEPD solicitando que se exigiese a la editorial eliminar o modificar la publicación para que no apareciesen sus datos personales, o utilizar las herramientas facilitadas por los motores de búsqueda para proteger sus datos personales. También solicitaba que se exigiese a Google España o a Google que eliminaran u ocultaran sus datos para que dejaran de incluirse en sus resultados de búsqueda y ofrecer los enlaces al periódico.

Mediante resolución de 30 de julio de 2010, el Director de la AEPD estimó la reclamación formulada por el interesado contra Google Spain y Google Inc., instándoles a adoptar las medidas necesarias para retirar los datos de su índice e imposibilitar el acceso futuro a los mismos, pero desestimó la reclamación contra la editorial porque la publicación de los datos en la prensa tenía justificación legal. Google Spain y Google Inc. interpusieron recursos ante el tribunal remitente en los que solicitaban la nulidad de la resolución de la AEPD.

El tribunal remitente (Audiencia Nacional española) suspendió el procedimiento y planteó las siguientes cuestiones al Tribunal de Justicia:

«1.      Por lo que respecta a la aplicación territorial de [la Directiva] y, consiguientemente de la normativa española de protección de datos:
1.1      ¿Debe interpretarse que existe un “establecimiento”, en los términos descritos en el art. 4.1.a) de [la Directiva], cuando concurra alguno o algunos de los siguientes supuestos:
–        cuando la empresa proveedora del motor de búsqueda crea en un Estado miembro una oficina o filial destinada a la promoción y venta de los espacios publicitarios del buscador, que dirige su actividad a los habitantes del Estado,
o
–        cuando la empresa matriz designa a una filial ubicada en ese Estado miembro como su representante y responsable del tratamiento de dos ficheros concretos que guardan relación con los datos de los clientes que contrataron publicidad con dicha empresa
o
–        cuando la oficina o filial establecida en un Estado miembro traslada a la empresa matriz, radicada fuera de la Unión Europea, las solicitudes y requerimientos que le dirigen tanto los afectados como las autoridades competentes en relación con el respeto al derecho de protección de datos, aun cuando dicha colaboración se realice de forma voluntaria?
1.2.      ¿Debe interpretarse el art. 4.1.c de [la Directiva] en el sentido de que existe un “recurso a medios situados en el territorio de dicho Estado miembro”
cuando un buscador utilice arañas o robots para localizar e indexar la información contenida en páginas web ubicadas en servidores de ese Estado miembro
o
cuando utilice un nombre de dominio propio de un Estado miembro y dirija las búsquedas y los resultados en función del idioma de ese Estado miembro?
1.3.      ¿Puede considerarse como un recurso a medios, en los términos del art. 4.1.c de [la Directiva], el almacenamiento temporal de la información indexada por los buscadores en internet? Si la respuesta a esta última cuestión fuera afirmativa, ¿puede entenderse que este criterio de conexión concurre cuando la empresa se niega a revelar el lugar donde almacena estos índices alegando razones competitivas?
1.4.      Con independencia de la respuesta a las preguntas anteriores y especialmente en el caso en que se considerase por el [Tribunal] de Justicia de la Unión que no concurren los criterios de conexión previstos en el art. 4 de la Directiva,
¿Debe aplicarse [la Directiva] en materia de protección de datos, a la luz del art. 8 de la Carta Europea de Derechos Fundamentales, en el país miembro donde se localice el centro de gravedad del conflicto y sea posible una tutela más eficaz de los derechos de los ciudadanos de la Unión Europea?
2.      Por lo que respecta a la actividad de los buscadores como proveedor de contenidos en relación con [la Directiva]:
2.1.      En relación con la actividad del buscador de la empresa “Google” en internet, como proveedor de contenidos, consistente en localizar la información publicada o incluida en la red por terceros, indexarla de forma automática, almacenarla temporalmente y finalmente ponerla a disposición de los internautas con un cierto orden de preferencia, cuando dicha información contenga datos personales de terceras personas,
¿Debe interpretarse una actividad como la descrita comprendida en el concepto de “tratamiento de datos” contenido en el art. 2.b de [la Directiva]?
2.2.      En caso de que la respuesta anterior fuera afirmativa y siempre en relación con una actividad como la ya descrita: ¿Debe interpretarse el artículo 2.d) de [la Directiva], en el sentido de considerar que la empresa que gestiona el buscador “Google” es “responsable del tratamiento” de los datos personales contenidos en las páginas web que indexa?
2.3.      En el caso de que la respuesta anterior fuera afirmativa: ¿Puede la autoridad nacional de control de datos (en este caso la [AEPD]), tutelando los derechos contenidos en el art. 12.b) y 14.a) de [la Directiva], requerir directamente al buscador de la empresa “Google” para exigirle la retirada de sus índices de una información publicada por terceros, sin dirigirse previa o simultáneamente al titular de la página web en la que se ubica dicha información?
2.4.      En el caso de que la respuesta a esta última pregunta fuera afirmativa, ¿Se excluiría la obligación de los buscadores de tutelar estos derechos cuando la información que contiene los datos personales se haya publicado lícitamente por terceros y se mantenga en la página web de origen?
3.      Respecto al alcance del derecho de cancelación y/o oposición en relación con el derecho al olvido se plantea la siguiente pregunta:
3.1      ¿Debe interpretarse que los derechos de supresión y bloqueo de los datos, regulados en el art. 12.b) y el de oposición, regulado en el art. 14.a) de [la Directiva] comprenden que el interesado pueda dirigirse frente a los buscadores para impedir la indexación de la información referida a su persona, publicada en páginas web de terceros, amparándose en su voluntad de que la misma no sea conocida por los internautas cuando considere que puede perjudicarle o desea que sea olvidada, aunque se trate de una información publicada lícitamente por terceros?»

Y el fallo de la Sentencia del TJUE que comentamos es el siguiente:

1)     El artículo 2, letras b) y d), de la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, debe interpretarse en el sentido de que, por un lado, la actividad de un motor de búsqueda, que consiste en hallar información publicada o puesta en Internet por terceros, indexarla de manera automática, almacenarla temporalmente y, por último, ponerla a disposición de los internautas según un orden de preferencia determinado, debe calificarse de «tratamiento de datos personales», en el sentido de dicho artículo 2, letra b), cuando esa información contiene datos personales, y, por otro, el gestor de un motor de búsqueda debe considerarse «responsable» de dicho tratamiento, en el sentido del mencionado artículo 2, letra d).
2)     El artículo 4, apartado 1, letra a), de la Directiva 95/46 debe interpretarse en el sentido de que se lleva a cabo un tratamiento de datos personales en el marco de las actividades de un establecimiento del responsable de dicho tratamiento en territorio de un Estado miembro, en el sentido de dicha disposición, cuando el gestor de un motor de búsqueda crea en el Estado miembro una sucursal o una filial destinada a garantizar la promoción y la venta de espacios publicitarios propuestos por el mencionado motor y cuya actividad se dirige a los habitantes de este Estado miembro.
3)     Los artículos 12, letra b) y 14, párrafo primero, letra a), de la Directiva 95/46 deben interpretarse en el sentido de que, para respetar los derechos que establecen estas disposiciones, siempre que se cumplan realmente los requisitos establecidos en ellos, el gestor de un motor de búsqueda está obligado a eliminar de la lista de resultados obtenida tras una búsqueda efectuada a partir del nombre de una persona vínculos a páginas web, publicadas por terceros y que contienen información relativa a esta persona, también en el supuesto de que este nombre o esta información no se borren previa o simultáneamente de estas páginas web, y, en su caso, aunque la publicación en dichas páginas sea en sí misma lícita.
4)     Los artículos 12, letra b), y 14, párrafo primero, letra a), de la Directiva 95/46 deben interpretarse en el sentido de que, al analizar los requisitos de aplicación de estas disposiciones, se tendrá que examinar, en particular, si el interesado tiene derecho a que la información en cuestión relativa a su persona ya no esté, en la situación actual, vinculada a su nombre por una lista de resultados obtenida tras una búsqueda efectuada a partir de su nombre, sin que la apreciación de la existencia de tal derecho presuponga que la inclusión de la información en cuestión en la lista de resultados cause un perjuicio al interesado. Puesto que éste puede, habida cuenta de los derechos que le reconocen los artículos 7 y 8 de la Carta, solicitar que la información de que se trate ya no se ponga a disposición del público en general mediante su inclusión en tal lista de resultados, estos derechos prevalecen, en principio, no sólo sobre el interés económico del gestor del motor de búsqueda, sino también sobre el interés de dicho público en acceder a la mencionada información en una búsqueda que verse sobre el nombre de esa persona. Sin embargo, tal no sería el caso si resultara, por razones concretas, como el papel desempeñado por el interesado en la vida pública, que la injerencia en sus derechos fundamentales está justificada por el interés preponderante de dicho público en tener, a raíz de esta inclusión, acceso a la información de que se trate.

Por tanto, el Alto Tribunal europeo considera la indexación en buscadores de datos relativos a las personas como tratamiento de datos personales, aunque se realice de forma automática y sobre la base de informaciones ajenas. Y, en consecuencia, cuando el interesado así lo solicite, el buscador (Google) viene obligado a borrar dichos datos a pesar de que permanezcan en el sitio web desde donde se tomaron y a la que el resultado de la búsqueda redirige. Sólo se excepcionan los supuestos en que prevalezca el interés público en la permanencia del enlace a dicha información.

¿Estamos ante un derecho al olvido o, más bien, a un derecho a la selección de lo que los motores de búsqueda deben o no indexar sobre informaciones publicadas de forma lícita?.

jueves, 20 de febrero de 2014

El principio de calidad de los datos personales

Cuando a principios de la década de los sesenta del pasado siglo, los ingenieros americanos acometieron el reto de poner al hombre en la Luna, tuvieron constantemente dos principios en la cabeza: la finalidad (llegar a la Luna…, y volver) y la eficiencia. Eficiencia que implicaba utilizar lo imprescindible para conseguir la misión: ni más (porque la encarecería y la haría peligrar al tener que llevar objetos inservibles a cientos de miles de kilómetros), ni menos (porque carecerían de lo necesario para alcanzarla).

La eficiencia es pariente cercano de la calidad, pues sólo con ella se logra la finalidad perseguida, al menor coste, con el menor desperdicio y la mayor satisfacción de las expectativas.

Principios como el de la calidad y la eficiencia rigen el mundo de la industria automovilística desde mediados del pasado siglo y, muy especialmente, desde las sucesivas crisis del petróleo, cuyo encarecimiento ha revolucionado la investigación en la búsqueda de materiales más ligeros y moldeables para, junto con los avances en aerodinámica, obtener un aumento de potencia, seguridad y mínimo consumo.

-       Pero, oiga, ¡yo pensaba que este blog iba de protección da datos!, ¿dónde quiere ir usted a parar?
-       Pues quiero significar que la consecución de una meta, de una finalidad, cualquiera que esta sea, implica tener los recursos imprescindibles para ello, significando despilfarro el exceso (para construir, mantener, etc.) e inutilidad el defecto.
-       De acuerdo. ¿Y eso qué tiene que ver con la protección de datos?
-       Pues mucho: los datos se recogen con una finalidad, y el consentimiento para su tratamiento se pide al interesado para conseguir dicha finalidad, no para cualquier cosa.
-       ¿Y?
-       Pues que si se recogen más datos de los necesarios, o nos estamos desviando de la declarada finalidad (y hay alguna otra encubierta), o estamos malgastando tiempo y recursos: los del afectado, declarando y aportando datos innecesarios; y los nuestros, tratando y protegiendo datos inútiles.

En efecto, abriendo el título que la Ley orgánica de protección de datos (LOPD) dedica a los principios de la protección de datos, dice el artículo 4 que

1. Los datos de carácter personal sólo se podrán recoger para su tratamiento, así como someterlos a dicho tratamiento, cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido.

2. Los datos de carácter personal objeto de tratamiento no podrán usarse para finalidades incompatibles con aquellas para las que los datos hubieran sido recogidos. No se considerará incompatible el tratamiento posterior de éstos con fines históricos, estadísticos o científicos.

3. Los datos de carácter personal serán exactos y puestos al día de forma que respondan como veracidad a la situación actual del afectado.

4. Si los datos de carácter personal registrados resultaran ser inexactos, en todo o en parte, o incompletos, serán cancelados y sustituidos de oficio por los correspondientes datos rectificados o completados, sin perjuicio de las facultades que a los afectados reconoce el artículo 16 (derechos ARCO).

5. Los datos de carácter personal serán cancelados cuando hayan dejado de ser necesarios o pertinentes para la finalidad para la cual hubieran sido recabados o registrados.  

Es decir, los datos solicitados para una finalidad determinada, explícita y legítima (como dice el artículo 8 del Reglamento de la Ley, han de ser adecuados, pertinentes y no excesivos para el logro o consecución de la misma; y, una vez alcanzada la finalidad pretendida, hay obligación de cancelar dichos datos recabados, salvo excepciones. Más allá se podrán conservar únicamente como dato disociado que no permite la identificación del afectado.

Por lo tanto, recabemos de nuestros clientes o usuarios los datos imprescindibles para el desarrollo de nuestra oferta de negocio o actividad: además de cumplir con la ley, ahorraremos recursos (en la recogida, tratamiento, protección y cancelación; además de las consecuencias de los derechos de acceso, rectificación, cancelación y oposición por el afectado) y ganaremos en seriedad e imagen corporativa ante nuestra clientela y nuestro mercado.  

viernes, 7 de febrero de 2014

El consentimiento al tratamiento de datos personales

Por dato personal entendemos toda información relativa a personas físicas, identificadas o identificables. Y hablamos de tratamiento para referirnos a las operaciones y procedimientos técnicos, automatizados o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.

Si en la base de todo dato personal está, como es lógico, la persona titular del mismo (afectado o interesado), el fundamento del tratamiento de los datos personales está en el consentimiento de la persona a la que los datos se refieren. De manera que, sin consentimiento, no puede haber tratamiento.

El consentimiento debe ser expreso e informado, admitiéndose también que sea tácito. Lo que se prohíbe es que sea presunto o conjetural.

El consentimiento del interesado debe ser expreso y por escrito cuando se trate de datos especialmente protegidos como son la ideología, afiliación sindical, religión y creencias, pudiendo ser expreso, aunque no necesariamente escrito, cuando se trate de datos relativos a la salud, el origen racial y la vida sexual.

Un supuesto muy usual de consentimiento tácito es el que se produce cuando existe una relación negocial o de prestación de servicios por parte del responsable del tratamiento y los datos recabados son necesarios para llevar aquéllas a cabo. Igualmente se entenderá prestado el consentimiento para la cesión de dichos datos cuando la misma sea necesaria para cumplir con el contrato existente entre titular de los datos y responsable del tratamiento. Piénsese, por ejemplo, en la encomienda de un litigio a un abogado.

Los datos que se recaben y sobre los que se pida el consentimiento del afectado para su tratamiento, deben ser los necesarios (calidad de los datos) para cumplir con la finalidad perseguida, ni más ni menos; quedando limitado el consentimiento al tratamiento para el cumplimiento de dicha finalidad.

Por último, en toda recogida de datos personales para su posterior tratamiento, se deberá informar al afectado de la existencia de un fichero al que se incorporarán aquéllos, de la finalidad para la que se recaban los datos, del carácter obligatorio o facultativo de responder a las preguntas que se le presenten y sus correspondientes consecuencias, de la identidad y datos de contacto del responsable del tratamiento y de los derechos del afectado o interesado de acceso, rectificación, cancelación y oposición.

Aunque cada caso tiene sus particularidades, un ejemplo de cláusula de recogida de datos personales podría ser la siguiente:

En cumplimiento de lo dispuesto en la Ley orgánica de protección de datos de carácter personal, se le informa que sus datos personales pasarán a formar parte de un fichero inscrito en el Registro de la Agencia Española de Protección de Datos, titularidad de esta empresa (nombre y datos identificativos), siendo tratados con la finalidad (especificar la concreta finalidad para la que se recaban los datos). Así mismo se le informa que puede ejercer sus derechos de acceso, rectificación, cancelación y oposición a través de la dirección (indicar postal y/o electrónica), acompañando fotocopia de DNI o autorización suficiente.  

sábado, 1 de febrero de 2014

Google y la protección de datos personales


Hace poco más de un mes que la Agencia Española de Protección de Datos, en coordinación con organismos homólogos de Alemania, Reino Unido, Francia, Italia y Holanda, impuso a Google una sanción de casi un millón de euros “por vulnerar gravemente los derechos de los ciudadanos”.

La “llamada de atención” tiene especial relieve dado que Google es el motor de búsqueda más utilizado, con diferencia, por los internautas españoles, a lo que hay que unir la popularidad de herramientas de correo electrónico como Gmail, de mapas como Google Maps o de sitios web de vídeos como You Tube.

¿Cuáles son las razones que han llevado a estas sanciones?. Básicamente son tres:
 
1)    La recogida y tratamiento ilegítimo de información personal, y no sólo la de los usuarios dados de alta en sus diversos servicios, sino incluso de usuarios pasivos que se limitan a acceder a páginas que incluyen elementos gestionados por la compañía estadounidense. Como ejemplo, la Agencia señala que no se informa con claridad a los usuarios de Gmail de que se realiza un filtrado del contenido del correo y de los ficheros anexos para insertar publicidad y, cuando se informa, se utiliza una terminología imprecisa, con expresiones genéricas y poco claras que impiden a los usuarios conocer el significado real de lo que se plantea.
 
2)   La utilización de la información para fines múltiples y distintos para los que han sido recabados. 

3)   El incumplimiento del deber de cancelar los datos una vez concluida la finalidad para la que fueron recabados, a lo que se une la extraordinaria dificultad que tienen los usuarios para ejercer sus derechos ARCO (acceso, rectificación, cancelación y oposición). La propia compañía reconoce que hay que ejecutar al menos siete procesos diferentes, reservándose incluso el derecho de no atender las solicitudes que supongan “un esfuerzo desproporcionado”.

Para algunos tal comportamiento es el “peaje” que hay que pagar por disfrutar de unos servicios gratuitos; para otros, es un abuso injustificado y una forma opaca de obtener pingües beneficios a los que la sanción del millón de euros no parece vaya a provocar propósito de enmienda alguno.

jueves, 30 de enero de 2014

El derecho a la protección de datos de carácter personal



-       Hola papá
-       ¿Qué tal Paula?, ¿cómo te ha ido el día?
-       Bien. Mira, acabo de hacer un test psicológico en Facebook y ha acertado en todo: simpática, creativa, impulsiva, …
-       ¿sabes Paula que ahora tienen tu perfil psicológico?
-       No, era un test anónimo de 100 preguntas…
-       Pero, para acceder a él has tenido que introducir tu usuario y contraseña, ¿verdad?
-       Claro
-       Pues ya tienen tu perfil y, el día de mañana, alguien que esté interesado en contratarte, podrá tener acceso al mismo
-       No lo sabía
-       Ya me lo imagino. Y supongo que, antes de empezar a hacerlo, habrás tenido que marcar alguna casilla referida a unas condiciones recogidas en un texto muy largo que, por supuesto, no habrás leído ¿verdad?
-       Pues sí…. ¡Cambiemos de tema que me estoy poniendo mala! Ya lo sé para otra vez.

¿Cuántas veces caemos en situaciones como la descrita?, ¿cuántas veces aceptamos las cookies de los sitios web que visitamos y permitimos que quede “guardada” nuestra navegación?..., y todo ello de forma inocente…

En 1978, cuando se aprobó nuestra Constitución, aún no pasaban estas cosas. Sí existían bases de datos informáticas que, en países como Alemania y Estados Unidos, habían dado lugar a previsiones legales que limitaban el tratamiento de dichos datos. De ahí que, siguiendo tal tendencia, nuestro texto constitucional diga en el apartado 4º de su artículo 18 que la ley limitará el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos y el pleno ejercicio de sus derechos.

En realidad, el derecho a la protección de datos de carácter personal va mucho más allá de lo descrito por el precepto: es una consecuencia de principios esenciales a la persona como el de su dignidad o el de libre desarrollo de su personalidad, que le lleva a disponer y, una vez dispuesto, tener el control sobre toda información que el Estado u otras entidades puedan poseer sobre ella.

En este sentido, el artículo 8 de la Carta Europea de Derechos Fundamentales dice que toda persona tiene derecho a la protección de los datos de carácter personal que la conciernen; añadiendo en su apartado 2º que estos datos se tratarán de modo leal, para fines concretos y sobre la base del consentimiento de la persona afectada o en virtud de otro fundamento legítimo previsto por la ley, teniendo, en consecuencia, derecho a acceder a los datos recogidos que la conciernan y a obtener su rectificación.

Como puede deducirse, el derecho a la protección de datos es un derecho autónomo e independiente del derecho a la intimidad o a la privacidad.

En efecto, la exposición de motivos de la Ley orgánica que en 1992 desarrolló la previsión del citado artículo 18, 4º (LORTAD, derogada por la vigente Ley orgánica de protección de datos de carácter personal de 1999) distinguía intimidad y privacidad en los siguientes términos: “en tanto la intimidad protege la esfera en que se desarrollan las facetas más singularmente reservadas de la vida de las personas, el domicilio donde realiza su vida cotidiana, las comunicaciones en las que expresa sus sentimientos, por ejemplo, la privacidad constituye un conjunto más amplio, más global, de facetas de su personalidad que, aisladamente consideradas, pueden carecer de significación intrínseca pero que, coherentemente enlazadas entre sí, arrojan como precipitado un retrato de la personalidad del individuo que éste tiene derecho a mantener reservado”.

La protección al honor, a la intimidad personal y familiar y a la propia imagen se protegen por Ley orgánica de 1982 contra las intromisiones ilegítimas, con marcado carácter pasivo o defensivo.

En cambio, el derecho a la protección de los datos personales es eminentemente activo, haciendo a la persona dueña y señora de todo lo relativo a ella: desde el nombre, a los datos de contacto, pasando por cualquier manifestación de su ideología, imagen, atributos, salud, actuaciones, etc.

Nadie podrá realizar tratamiento de estos datos sin consentimiento de la persona a la que se refieren, ni para finalidades distintas a las consentidas. Y, en todo caso, del derecho al que nos referimos surgen las facultades de acceso a los propios datos que tenga un tercero, de rectificación de los mismos, de su cancelación u oposición (los llamados derechos ARCO), que imponen obligaciones correlativas a los titulares y encargados de tales ficheros.

Y como quien puede tratar los datos personales pueden ser tanto personas o entidades privadas como públicas, surge la necesidad de un ente independiente encargado de llevar un Registro en el que consten los ficheros que contengan datos personales, de inspeccionar que tales ficheros son llevados de manera segura y, en su caso, de sancionar las irregularidades observadas. Esta entidad es la Agencia Española de Protección de Datos.