El derecho de autodeterminación informativa

Se trata del inicio de toda esta película de la protección de datos para el afectado o propietario de los mismos. Porque, sí, como prolongación del derecho al honor, a la intimidad personal y a la propia imagen de la persona, la legislación le atribuye a ésta el derecho al control de todo dato personal que salga de su ámbito más íntimo.

Estamos ante el derecho de la persona física (aquí las personas jurídicas o morales no cuentan, aunque tengan su honor, imagen e intimidades que, además, pueden estar valoradas en millones de euros) a decidir a quién entrega sus datos, para qué finalidad egoísta los entrega y, en cualquier momento, volver sobre sus pasos e impedir que sus datos se sigan tratando, simplemente porque ha cambiado de opinión y con sus datos puede hacer lo que desee, sin más explicaciones.

Los datos personales se pueden ceder por muchas causas y para múltiples finalidades. Hay algunas que nos son impuestas por las leyes penales, de policía o administrativas (por ejemplo, el documento de identidad, pasaporte, datos del padrón, permiso conducir o de armas, o la cartilla sanitaria), y otras, las más, en las que la cesión es voluntaria aunque necesaria para que el cesionario o empresa proceda a tratar nuestros datos a fin de ejecutar contratos de prestación de servicios o suministros (gas, electricidad o teléfono, seguros, servicios bancarios, defensa jurídica, etc.).

Pues bien, para conjugar el derecho a la autodeterminación de los datos personales y la necesidad del tratamiento de los mismos para conseguir una determinada finalidad, se aplican los principios de información y consentimiento. De manera que, según dice el artículo 5 de la Ley orgánica de Protección de datos (LOPD), los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:

a.    De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.

b.    Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.

c.     De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.

d.    De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.

e.    De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante.

De manera que, cuando, como es frecuente, se utilicen cuestionarios (físicos o digitales) u otros impresos para la recogida de datos de los propios interesados o de sus representantes legales (por ejemplo, el caso de menores de edad), figurarán en los mismos, en forma claramente legible, las advertencias anteriores.

En resumen: tras inscribir el fichero en el Registro de la Agencia de Protección de Datos con una determinada finalidad y características (datos que se recaban, modo de recoger los mismos, forma de tratamiento, nivel de protección, etc.), se redactarán los cuestionarios de recogida de datos en los que, de forma clara, legible y comprensible para el usuario o afectado, se le informará de que sus datos entran a formar parte de un fichero inscrito, la finalidad y responsable del tratamiento y la posibilidad de ejercer el control sobre los mismos en cualquier momento (derechos ARCO de acceso, rectificación, cancelación y oposición).

Y, tras recibir esa información, el usuario o afectado prestará su consentimiento inequívoco (dice el artículo 6 de la LOPD), salvo algunos casos en los que no es necesario, como cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones públicas en el ámbito de sus competencias; o cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento.

¿Qué ocurre en la realidad?. Pues, aunque la LOPD data de 1.999 (¡15 años!, no está mal) y tenía un precedente parcial (la LORTAD de 1.992 hacía referencia a datos automatizados exclusivamente), parece como si para empresas e instituciones (incluyendo, por supuesto, a las propias Administraciones públicas), la ley se hubiera aprobado ayer y, en período transitorio (vacatio legis) se tuviera que “adecuar” a la nueva ley la situación ya existente.

En efecto: es demasiado frecuente encontrarse con la existencia de ficheros no inscritos y de cuestionarios en los que, si se toca el tema, se hace muchas veces en letra con fuente mini minúscula y en términos incomprensibles para el común de los mortales (especialmente en lo tocante a la finalidad del fichero y a la posibilidad de cesión de los datos, o sea, en los puntos clave).

Y si hablamos del “aviso legal” de las páginas o sitios webs, el tema es aún más preocupante. En un porcentaje elevadísimo, la protección de datos se desconoce y, cuando se recoge, se mezcla con cláusulas de todo orden (propiedad intelectual, derechos y obligaciones de los visitantes, exclusiones de responsabilidad, jurisdicción aplicable y mil extremos más) que, en la mayoría de los casos, obedecen a un copia y pega de otras webs que han servido de modelo y que, en muchos casos, conducen al absurdo.

Con la excepción del e-comerce o tiendas virtuales (en las que la oferta de la empresa y la aceptación del consumidor respecto a la compra de un producto se realizan online, incluido el pago a través de pasarela), en el resto nos solemos encontrar con meros “escaparates” virtuales de los productos o servicios de empresas o instituciones en los que únicamente es de obligada referencia:

1.    El propietario del sitio, con su identificación y datos de contacto.

2.    La política de protección de datos, si es que se recaban datos que se incluyen en ficheros inscritos.

3.    La política sobre cookies, si es que el sitio web las tiene.

¡Y ya está! Pero, claro, un diseñador web (el webmaster) no tiene porque saber de esas cosas; y, ya se sabe, de cara al cliente, más vale que sobre…, aunque lo que sobra no haga falta.

Con todo, los avances en la adaptación de empresas e instituciones para el reconocimiento y protección del derecho de autodeterminación informativa es, año a año, progresivo. Buena culpa de lo cual la tiene la labor divulgativa que realiza la Agencia Española de Protección de Datos, especialmente, a través de su web, en la que se pueden encontrar, desde guías hasta videos prácticos e informativos y formularios de cláusulas y documentos. Les recomiendo una visita.

¿Qué es un fichero de datos de carácter personal?

La Ley orgánica de protección de datos de carácter personal (LOPD) de 1.999 define los ficheros como el conjunto organizado de datos de carácter personal, cualquiera que sea la forma y modalidad de su creación, almacenamiento, organización y acceso; como dato personal la Ley considera cualquier información concerniente a personas físicas identificadas o identificables.

-         O sea: que la ley se aplica a la agenda de contactos que tengo en mi teléfono con nombre, teléfono, email y “careto” de todos mis amigos y conocidos

-         No. Aunque se trata de un fichero, la LOPD no se aplica a los que se tengan por personas físicas para usos personales o domésticos

-         ¿Y si soy un dentista o un abogado?

-         Entonces la cosa cambia: todos los datos de tus clientes están sujetos al ámbito de aplicación de la ley, formando uno o varios ficheros según lo tengas organizado

-         ¿Y qué obligaciones tengo?

-         La LOPD impone, como obligación previa a la creación de cualquier fichero, proceder a su inscripción en el Registro que la Agencia Española de Protección de Datos tiene habilitado al efecto

-         Pero, si inscribo el fichero estoy vulnerando el deber de sigilo profesional para con mis clientes

-         En modo alguno. En el Registro sólo se inscribe la existencia del fichero, su objeto y protección; en modo alguno se publica su contenido o concretos datos objeto del tratamiento… Tus clientes pueden estar tranquilos

-         Entonces, ¿no tengo que dar a la Agencia de protección de datos nombres de personas?

-         No, salvo el tuyo como titular del fichero, claro está

-         Y después de inscribir el fichero, ¿hay alguna obligación?

-         Sí, básicamente la de asegurar la conservación de los datos personales de tus clientes, evitando el acceso a los mismos de cualquier tercero

-         Y si el cliente quiere acceder a sus datos, ¿se lo debo permitir o son datos de mi propiedad?

-         El fundamento de la ley protectora de datos personales es la de que tu cliente disponga de los datos que te cedió para una determinada finalidad (el tratamiento odontológico, la defensa en juicio, etc.) en cualquier momento, y que pueda acceder fácilmente a ellos, rectificarlos, oponerse a su tratamiento o a que sean cancelados de tus ficheros (derechos ARCO).

En resumen: todo profesional, empresa o institución (Administraciones públicas, ONGs, Iglesia Católica u otras confesiones religiosas, etc.) que, para las finalidades propias de su actividad, posea cualquier tipo de datos personales (identificación, domicilio, contacto, imágenes, sonidos, pruebas radiológicas, cuentas bancarias, cuestionarios psicotécnicos, etc.) de personas físicas, sean o no clientes o usuarios, integrados en un fichero, tiene la obligación de inscribir éste en el Registro de la AEPD, conservar tales datos adoptando las medidas necesarias para su seguridad e integridad y cancelarlos cuando la finalidad para la que fueron recabados haya sido cumplida. Entre tanto, los datos estarán siempre a disposición de la persona a la que se refieran.

El derecho a la protección de datos de carácter personal

-       Hola papá

-       ¿Qué tal Paula?, ¿cómo te ha ido el día?

-       Bien. Mira, acabo de hacer un test psicológico en Facebook y ha acertado en todo: simpática, creativa, impulsiva, …

-       ¿sabes Paula que ahora tienen tu perfil psicológico?

-       No, era un test anónimo de 100 preguntas…

-       Pero, para acceder a él has tenido que introducir tu usuario y contraseña, ¿verdad?

-       Claro

-       Pues ya tienen tu perfil y, el día de mañana, alguien que esté interesado en contratarte, podrá tener acceso al mismo

-       No lo sabía

-       Ya me lo imagino. Y supongo que, antes de empezar a hacerlo, habrás tenido que marcar alguna casilla referida a unas condiciones recogidas en un texto muy largo que, por supuesto, no habrás leído ¿verdad?

-       Pues sí…. ¡Cambiemos de tema que me estoy poniendo mala! Ya lo sé para otra vez.

¿Cuántas veces caemos en situaciones como la descrita?, ¿cuántas veces aceptamos las cookies de los sitios web que visitamos y permitimos que quede “guardada” nuestra navegación?..., y todo ello de forma inocente…

En 1978, cuando se aprobó nuestra Constitución, aún no pasaban estas cosas. Sí existían bases de datos informáticas que, en países como Alemania y Estados Unidos, habían dado lugar a previsiones legales que limitaban el tratamiento de dichos datos. De ahí que, siguiendo tal tendencia, nuestro texto constitucional diga en el apartado 4º de su artículo 18 que la ley limitará el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos y el pleno ejercicio de sus derechos.

En realidad, el derecho a la protección de datos de carácter personal va mucho más allá de lo descrito por el precepto: es una consecuencia de principios esenciales a la persona como el de su dignidad o el de libre desarrollo de su personalidad, que le lleva a disponer y, una vez dispuesto, tener el control sobre toda información que el Estado u otras entidades puedan poseer sobre ella.

En este sentido, el artículo 8 de la Carta Europea de Derechos Fundamentales dice que toda persona tiene derecho a la protección de los datos de carácter personal que la conciernen; añadiendo en su apartado 2º que estos datos se tratarán de modo leal, para fines concretos y sobre la base del consentimiento de la persona afectada o en virtud de otro fundamento legítimo previsto por la ley, teniendo, en consecuencia, derecho a acceder a los datos recogidos que la conciernan y a obtener su rectificación.

Como puede deducirse, el derecho a la protección de datos es un derecho autónomo e independiente del derecho a la intimidad o a la privacidad.

En efecto, la exposición de motivos de la Ley orgánica que en 1992 desarrolló la previsión del citado artículo 18, 4º (LORTAD, derogada por la vigente Ley orgánica de protección de datos de carácter personal de 1999) distinguía intimidad y privacidad en los siguientes términos: “en tanto la intimidad protege la esfera en que se desarrollan las facetas más singularmente reservadas de la vida de las personas, el domicilio donde realiza su vida cotidiana, las comunicaciones en las que expresa sus sentimientos, por ejemplo, la privacidad constituye un conjunto más amplio, más global, de facetas de su personalidad que, aisladamente consideradas, pueden carecer de significación intrínseca pero que, coherentemente enlazadas entre sí, arrojan como precipitado un retrato de la personalidad del individuo que éste tiene derecho a mantener reservado”.

La protección al honor, a la intimidad personal y familiar y a la propia imagen se protegen por Ley orgánica de 1982 contra las intromisiones ilegítimas, con marcado carácter pasivo o defensivo.

En cambio, el derecho a la protección de los datos personales es eminentemente activo, haciendo a la persona dueña y señora de todo lo relativo a ella: desde el nombre, a los datos de contacto, pasando por cualquier manifestación de su ideología, imagen, atributos, salud, actuaciones, etc.

Nadie podrá realizar tratamiento de estos datos sin consentimiento de la persona a la que se refieren, ni para finalidades distintas a las consentidas. Y, en todo caso, del derecho al que nos referimos surgen las facultades de acceso a los propios datos que tenga un tercero, de rectificación de los mismos, de su cancelación u oposición (los llamados derechos ARCO), que imponen obligaciones correlativas a los titulares y encargados de tales ficheros.

Y como quien puede tratar los datos personales pueden ser tanto personas o entidades privadas como públicas, surge la necesidad de un ente independiente encargado de llevar un Registro en el que consten los ficheros que contengan datos personales, de inspeccionar que tales ficheros son llevados de manera segura y, en su caso, de sancionar las irregularidades observadas. Esta entidad es la Agencia Española de Protección de Datos.