Sus datos pueden estar en la calle

Datos sensibles de personas aparecen en la calle. Y ya van varias noticias similares en los ultimos meses. Un médico que tiró a un contendedor historias clínicas de sus pacientes, el famoso caso de los expedientes judiciales de varios juzgados de España hallados en la basura con datos de mujeres maltradadas, el ya mítico caso del supermercado que tiró curriculums vitae de candidatos con, además, comentario racistas escritos. Ahora una nueva noticia que ha causado furor en los telediarios y periódicos nacionales. No es para menos. Imagínese que su historia clínica o un fichero con sus datos personales junto con un perfil de su comportamiento relacionado con el juego aparecen en la calle a la vista de todos. Indignante.

Como muchas otras veces que he escrito sobre este tema, se hace necesario reiterar algunos puntos básicos sobre la protección de los datos personales. Dejando a un lado las cuestiones relativas a las medidas de seguridad que se han de adoptar para proteger este tipo de información, en primer lugar, básica y fundamentalmente hemos de tomar conciencia de la importancia que tiene la protección de los datos personales.

Como es lógico, muchas empresas contratan servicios de protección de datos porque a su vecino le han sancionado con 6.000 euros por enviar un correo electrónico con publicidad a un destinatario que no deseaba tal comunicación, o una multa de 30.000 euros por ceder los datos a otra empresa sin haber solicitado previamente el consentimiento de los interesados. Es una como otra cualquier para cumplir con la ley, el miedo a la sanción. Sin embargo, entiendo que lo principal debe ser la educación. ¿Por qué es importante proteger los datos personales?

Porque cada vez, y gracias o por culpa de las nuevas tecnologías, más y más información sobre nuestra persona, sobre nuestros gustos, sobre nuestra economía personal e incluso vida privada, es conocida de forma sencilla por quien tiene nuestros datos. El caso es que todos tenemos el derecho fundamental a limitar y controlar la información que sobre nosotros tienen terceras personas. Y ello no es por un puro capricho del legislador, es que lo que se haga con nuestros datos personales puede afectar, y mucho, a nuestra intimidad, a nuestro honor, a nuestra propia imagen. ¿Por qué tiene que enterarse todo el mundo de mi historia clínica o que se conozca que soy un ludópata como en la noticia anterior?

Para concienciar a las empresas y personas que tratan datos personales de la importancia de esta norma, es necesario que los ciudadanos apliquemos nuestros derechos sin vacilar. Podemos solicitar que cancelen nuestros datos de sus bases de datos, podemos requerir que no nos remitan más información o nos llamen con publicidad, podemos rectificar nuestros datos e incluso podemos solicitar que nos den toda la información sobre qué datos tienen de nosotros y de donde los han sacado. En caso de que no nos atiendan mi recomendación es clara: denuncia a la Agencia Española de Protección de Datos. Es casi una advertencia a la desesperada, lo sé, pero qué le vamos a hacer si las cosas funcionan por miedo a sanción y no porque sea lo correcto.

Estas conclusiones eran parte de una conferencia en la que he participado hace pocos días en Madrid y en Sevilla, que al parecer, algún medio de comunicación se hizo partícipe de mis comentarios.

De todo un poco

Desde la última entrada, tengo muchas cosas que comentar y poco tiempo para hacerlo. No obstante no quiero dejar de hacerlo, aunque sea brevemente. Por partes.

• Los otros piratas de las telecomunicaciones. Recortar gastos inecesarios no es sólo conveniente en tiempos de crisis, si no que responde a una mentalidad no derrochadora. Esta semana he llamado a mi compañía telefónica que es la que además me suministra el ADSL con el que puedo actualizar este blog. Les pregunté si habría alguna forma de pagar menos por mi ADSL (1 mega 50 euros) y me dijeron muy amablemente que no, respuesta que ya me esperaba. Entonces me cambié de compañía en ese mismo momento. Otra compañía que me ofrecía el triple de velocidad por 12 euros menos al mes. Parece un buen trato ¿no creen?.
  
  Desde ese mismo momento, he recibido tres llamadas telefónicas, de tres compañías de telecomunicaciones distintas, incluida la mía original, ofreciéndome nuevas y maravillosas ofertas de ADSL, televisión, móvil, internet móvil, wifi y mil cosas más. Sobran los comentarios.
  
• La campaña del Ministerio de Cultura. Cultura está realizando una campaña titulada "Si eres legal, eres legal" sobre la protección de la propiedad intelectual. También se ha desarrollado un decálogo "Las 10 mentiras más difundidas sobre propiedad intelectual", sin embargo, según las asociaciones de internautas, lo que es mentira son las mentiras que cita la campaña. ¿Enrevesado? Sirva el siguiente ejemplo:
  
  "6.- Los intercambios de archivos a través de las redes P2P son legales.
  Cultura: ¡Falso! Si estos intercambios tienen lugar sin la autorización de los titulares de los derechos de propiedad intelectual, son actos ilegales.
  Antidecálogo: ¡Verdadero! Además de lo dicho en el punto cinco, la doctrina de la Fiscalía General del Estado (circular de mayo de 2006) señala que el intercambio de archivos través del sistema p2p no es incriminable penalmente. Es cierto que la Fiscalía señala que pueden constituir un ilícito civil, pero tampoco ha habido un fallo judicial en vía civil contra internautas que hayan usado el p2p sin ánimo de lucro". (+ mas).

• El rasto de los datos personales en Internet. El Director de la Agencia Española de Protección de Datos piensa que los internautas no somos conscientes del rastro que dejamos en Internet al navegar. No le falta razón. En muchos casos es abusivo el uso de nuestros datos en la red (envío de correos publicitarios masivos, uso de cookies de forma desmesurada, publicidad especializada, etc.). Es conveniente que todos los ciudadanos conozcan que sus datos pueden traspasar fornteras y ser tratados para despertarte de la siesta y el modo de ejercitar los derechos para que esto no pase. (+mas).
  
  
• La EXGAE. No, no, no me he confundido al escribir, es así EXGAE. Es una nueva asociación ¿adivinan para qué? Según ellos son “una entidad especializada en librar a los ciudadanos de los abusos de las entidades de gestión como la SGAE”. Teniendo en cuenta las últimas perlas de la SGAE, no me extraña: registros a pinchadiscos, si van a pinchar con discos copiados, se acabó la fiesta (según El Confidencial), utilización de detectives privados para perseguir el cobro del canon.

Para no alargar más esta entrada con mis opiniones sobre todo lo anterior, sirvanse ustedes de hacerlo.

Cómo ejercitar los derechos de la Protección de Datos

Google Analitycs me gusta. Es una herramienta on-line del omnipresente Google que genera toda clase de estadísiticas sobre un sitio web, desde los lugares desde los que se visitan las págias web, las entradas más visitadas, el tipo de navegadores que utilizan los internautas, e incluso, cómo han acabado entrando en nuestra web. Esto es muy útil para conocer los gustos de los lectores de un blog, por ejemplo. En mi caso, me ha servido para ver qué buscaban los internautas en el buscador de Google para que les apareciera mi blog: "cómo mandar cartas de oposición y cancelación por temas de protección de datos" era de las más buscadas.

En aras de servir e informar, sirvan entonces las siguientes recomendaciones. Para una persona que quiera ir por la vía rápida, recomiendo, cómo no, utilizar los formularios que tiene la Agencia Española de Protección de Datos al efecto. Es rellenar y listo.

Si se quiere hacer las cosas de una forma más personal, con un escrito con su propio estilo, es muy fácil. Primero se identifica usted, es recomendable adjuntar una fotocopia del D.N.I, para evitar que el destinatario de la misiva le conteste que no puede darle información al respecto porque si usted no es quien dice ser y le diera la información, incurriría en una infracción de la Ley Orgánica 15/1999 de Protección de Datos, ¡fíjese usted! Lo segundo es identificar al responsable del fichero que trata su dato (esa empresa molesta que no para de enviarle publicidad no deseada) para continuar exigíendole que cancele sus datos personales, que no le remita más publicidad por cualquier medio, que desea acceder a todos los datos suypos que tiene o simplemente revocar el consentimiento ya dado. Por último, nunca viene de más recordar que si no contestan en el plazo legal (entre 10 y 30 días dependiendo de lo que se solicite), se solicitará tutela de derechos a la AEPD, o lo que es lo mismo, que le diremos a la Agencia que se ocupe de que nuestras peticiones se cumplan.

Además, personalmente recomiendo que las cartas se envíen por correo certificado con acuse de recibo, así nos evitamos largas de la empresa alegando retrasos en la entrega o desconocimiento de la misma.

En cualquier caso, si el asunto de que se trata es un tema importante como estar inscrito sin saberlo en un fichero de cumplimiento o incumplimeinto de obligaciones patrimoniales (los llamados ficheros de morosos), temas bancarios, etc., siempre será mejor consultar con un abogado, puesto que se abren muchos frentes y la precisión es fundamental.

Me doy de baja (II)

El otro día contaba cúan complicado era ejercitar el derecho de oposición a recibir comunicaciones comerciales de Movistar por correo electrónico, SMS y llamadas. Pues sepa ud. que es aún más complicado.

Movistar, no conforme con proponer el medio más sencillo (llamada gratuita) como el más complicado (45 minutos al teléfono) para oponerme hasta de 7 tratamientos accesorios de mis datos (¿sabía ud. que pueden usar su movil para ofrecerle productos de terceros e incluso venta directa?), resulta que no me ha hecho ni caso y sigue enviándome SMS y e-mails publicitarios.

Una cosa que comenté el otro día, es que sólo ofrecían dos medios reales para ejercitar los derechos "ARCO" (acceso, rectificación, cancelación y oposición) que la Ley Orgánica de Protección de Datos confiere a las personas físicas: llamada al 4407 o envío de una carta postal. Expresamente excluyen el correo electrónico: no lo intente, ni lo van a leer.

Me quejaba de que, apesar de que la LSSI (Ley de Servicios de la Sociedad de la Información) como la LOPD, requerían que el responsable del fichero (Movistar) ofreciera al interesado (ud. y yo) un medio sencillo para que puediera ejercitar sus derechos, la compañía complicaba el asunto sobremanera. Sin embargo, no mencioné, para no extenderme mucho, que el Real Decreto 1720/2007 de desarrollo de la LOPD, requiere además, que cuando el responsable del fichero "disponga de servicios de cualquier índole para la atención a su público o el ejercicio de reclamaciones relacionadas con el servicio prestado o los productos ofertados al mismo, podrá concederse la posibilidad al afectado de ejercer sus derechos de acceso, rectificación, cancelación y oposición a través de dichos servicios".

Como el número de atención al cliente de Movistar 609, es un servicio de atención al cliente (válgame la redundancia, pero me costó convencer al operador de turno), les he solicitado que me confirmaran el estado de mi oposición -que ya me había confirmado el otro día la voz sexy de la grabación-, y me han dicho que la única forma para ejercitar estos derechos son los antes descritos (carta o 45 minutos de rescuchar una retaila de instrucciones pregrabadas con voz de navegador GPS). La clave está en mencionar la que la LOPD no se qué, la LSI no se cuanto, algo de tutela de derechos de la Agencia Española de Protección de Datos, te transfieren la llamada a un encargado que se ocupa de todo enseguida. Así da gusto.

Ahora sólo queda esperar a ver si sigo recibiendo correos no deseados, así puedo seguir con esta serie.

Poder empresarial

Si es usted trabajador, sepa que su jefe puede leerle el contenido de sus correos electrónicos enviados o recibidos desde la cuenta de e-mail de su trabajo. Así lo entiende la Agencia Española de Protección de Datos en su último informe jurídico de 2008 titulado "Acceso por el empresario al correo electrónico de los trabajadores".

Si bien es cierto que deja claro desde el principio que esta conclusión se entiende exclusivamente desde el punto de vista de la Ley Orgánica 15/1999 de Protección de Datos de Carácter Personal y que pueden existir otras normas o principios que pueden intervenir en este supuesto, lo cierto es que el informe asevera con rotundidad que el poder de control del empresario alcanza a "filtar" y a "acceder a la información contenida en los correos electrónicos".

No obstante, la AEPD, apoyándose en el Estatuto de los Trabajadores que permite que el empresario pueda adoptar medidas de vigilancia y control sobre el trabajador para verificar el desarrollo de sus obligaciones y deberes laborales, en nutrida doctrina europea y en la Sentencia de 26 de septiembre del Tribunal Supremo, consagra la posibilidad de que el empleador pueda acceder al contenido de los correos electrónicos cuando medien unos requisitos (que a mi juicio, y al del Tribunal Constitucional en la Sentencia 186/2000 de 10 de julio, parecen insuficientes).

Sin embargo, se olvida la Agencia, que esta sentencia no trata sobre el control del contenido de correos electrónicos de empleados, sino de los medios informáticos puestos a disposición de éstos por parte de su empleador. Es más, la propia Sentencia especifica que "en el caso del uso por el trabajador de los medios informáticos facilitados por la empresa pueden producirse conflictos que afectan a la intimidad de los trabajadores, tanto en el correo electrónico, en el que la implicación se extiende también, como ya se ha dicho, al secreto de las comunicaciones", para posteriormente concluir que "la segunda precisión o matización se refiere al alcance de la protección de la intimidad, que es compatible, con el control lícito al que se ha hecho referencia. Es claro que las comunicaciones telefónicas y el correo electrónico están incluidos en este ámbito con la protección adicional que deriva de la garantía constitucional del secreto de las comunicaciones".

Ahora lo explico para el común de los mortales. La interpretación de la AEPD sobre poder de control del empresario (desde su punto de vista de protección de datos que parece extenderse a todos los ámbitos) va más allá de un simple control del uso del correo electrónico como herramienta, esto es, la verificación del envío de e-mails, los recibidos, las horas de envío, la existencia de ficheros adjuntos, etc, puesto que una cosa es el control del medio y otra, controlar absolutamente todo, hasta la intimidad del trabajador, vulnerando el secreto a las comunicaciones y ello es así porque se presume que el contenido de la comunicación es secreto para quienes participan en la misma, ya que la Constitución, en cuanto al concepto de secreto se refiere, es formalista.

Sirva el siguiente ejemplo: usted ha redactado una carta de su puño y letra (sería raro, pero todavía quedamos algunos que a pesar de estar en un mundo 2.0 seguimos manteniendo correspondencia a la vieja usanza). La ha metido en un sobre y la tiene encima de su mesa lista para enviar. Su jefe entra para sobrecargarle aún más de trabajo y repara en la misiva. Podrá cogerla, mirar quién es el remitente, quién el destinatario, el último sello que ha emitido Correos, pesarla e incluso le podrá cantar las cuarenta por dedicarse a perder el tiempo en temas personales en tiempo de trabajo, pero lo que no podrá hacer es abrir el sobre y leerlo sin su autorización (o la de un juez), porque simple y llanamente es delito.

De hecho, el artículo 197.4 del Código Penal, agrava la pena de 1 a 4 años de prisión al que para descubrir los secretos o vulnerar la intimidad de otro, sin su consentimiento, se apodere de sus papeles, cartas, mensajes de correo electrónico o cualesquiera otros documentos, a una pena de 3 a 5 años de prisión, si quien efectúa estos hechos son las personas encargadas o responsables de los ficheros (empresario = responsable del fichero de trabajadores).

Concluyendo: si es usted trabajador sepa que le pueden controlar el ordenador o cualquier medio informático de la empresa de forma lícita (con unas garantías previas), pero a priori y por las buenas no así el contenido de sus comunicaciones. Si es usted empresario, no se le ocurra aplicar al pie de la letra este informe porque hay otros principios a aplicar en este supuesto que pueden tirarlo por tierra y dejarle, como se dice vulgarmente con ... un palmo de narices.