El Grupo de Trabajo del Artículo 29 ha publicado recientemente su Opinión 1/2010 (pdf) a propósito de los conceptos de Responsable del Fichero y Encargado del Tratamiento. Resulta muy interesante el análisis detallado de los conceptos, nada claro en algunos casos, y los problemas que puede plantear especialmente con la proliferación del cloud computing.
En resumen, Responsable del Fichero es la persona física o jurídica que determina los fines y los medios del tratamiento de los datos personales, ya sea porque existe un mandato legal explícito o implícito (en el marco de una relación jurídica o el tráfico mercantil), por via de hecho o con motivo de una obligación contractual. En definitiva, se es responsable del fichero en la medida en que se realice un tratamiento de datos con una finalidad propia y que le corresponde por los motivos anteriores.
Encargado del Tratamiento, por contra, será quien realice un tratamiento de datos por cuenta del Responsable del Fichero, dentro de la prestación de un servicio (subcontratación). Por tanto dicho tratamiento no obedece a una finalidad e interés propios sino del Responsable del Fichero.
Desde el punto de vista de las obligaciones de la normativa sobre protección de datos, y también simplificando, el Responsable del Fichero es quien debe notificar éste ante la Agencia de Protección de Datos correspondiente y garantizar el respeto a los principios y derechos de los afectados, y debe firmar un contrato por escrito con el Encargado del Tratamiento que delimite los datos a los que éste tiene acceso, la finalidad de éste, las medidas de seguridad aplicables y una serie de limitaciones y garantías destinadas a que los datos no se utilicen con un objeto distinto de la prestación del servicio por cuenta del Responsable (arts. 12 de la Ley y 20 a 22 del Reglamento).
Lo anterior se puede complicar bastante y además encuentra muchas limitaciones legales y prácticas en el caso de transferencias internacionales de datos. Veamos algunos escenarios:
-
Transmisión de datos por redes de telecomunicaciones: operadoras (de telefonía fija y móvil, mensajes cortos o datos) y en general ISPs, desde el alojamiento externo de servidores de correo a servicios de correo web como Gmail o de acceso a correo electrónico y a datos corporativos como Blackberry. En estos casos, el ISP interviene como Encargado del Tratamiento respecto de los datos transmitidos (remitente, destinatario, contenido del mensaje y adjuntos, que origina el Responsable), si bien también es Responsable del Fichero respecto de los datos que hacen posible dicha transmisión (datos de tráfico) y los de facturación por el servicio que prestan. Es un claro ejemplo de mandato legal explícito, pues de acuerdo con la Ley de Conservación de Datos, es su responsabilidad almacenar dicha información y ponerla a disposición únicamente en caso de mandato judicial y para la persecución de determinados delitos (al menos en la Unión Europea).
La legislación nacional en concreto aplicable al Responsable o al Encargado viene determinada por el lugar de establecimiento de cada uno de éstos. Con todo, el criterio de la Agencia Española de Protección de Datos es amplio, basta con tener un establecimiento en España para determinar su sujección a la ley española (de ahí que intervenga sobre Facebook (pdf)), y siendo así Google, Blackberry, Nokia y otros que luego veremos, deben cumplir nuestra ley. Echen un vistazo aquí: Google no tiene inscrito ningún fichero con esa finalidad, Research in Motion Spain sólo tiene un fichero de videovigilancia (no tienen ni clientes ni personal, misterioso) y Nokia tiene una maraña de ficheros caótica, aunque puede que por tanto acotar algún fichero termine encajando. En la medida en que tanto Responsable como Encargado estén situados en la Unión Europea, los problemas se reducen. Estos prestadores, además de tener que firmar el correspondiente contrato de encargo de tratamiento, deberán cumplir las medidas establecidas en una legislación armonizada en función del nivel de seguridad de los datos. No obstante, si salimos de ahí nos encontramos con que la salvaguarda de los derechos en materia de protección de datos y la aplicación de las medidas de seguridad correspondientes vendrá determinada únicamente por el contenido de este contrato, por lo que conviene extremar y cuidar estas cuestiones. A propósito de esto, la Comisión Europea ha modificado recientemente las cláusulas tipo para transferencias internacionales (pdf) con motivo de un tratamiento por cuenta de tercero cuando el encargado esté establecido en un país no comunitario que no proporcione un nivel adecuado de protección.
-
Redes sociales: los titulares de estos servicios actúan como Responsables en la medida en que son ellos quienes determinan los fines y los medios de tratamiento de los datos. Esto es, los usuarios obviamente son los que facilitan la información, pero quien delimita los usos, funcionalidades y establece limitaciones a la misma son las propias redes sociales. No puede ser de otra forma, cuando por ejemplo en las condiciones de uso de Facebook se prohibe al usuario cualquier extracción o utilización de los datos personales de otros usuarios fuera de dicha red, aunque ésta tampoco tiene registrado ningún fichero en la AGPD. Los usuarios podrán ser, en su caso, considerados Responsables del Fichero respecto a los datos de terceros que ellos incorporen a la red (imágenes especialmente), pero no de los que se encuentren en ésta por que los hayan incluido los propios usuarios, aunque los utilicen en el marco de la red social.
-
Publicidad basada en intereses (behavioural advertising): es la publicidad basada en hábitos de navegación, que lleva a mostrar publicidad segmentada en función, no de los contenidos de una página (lo que sería publicidad contextual), sino en sus intereses deducidos de la captura y procesamiento de las páginas visitadas y las búsquedas realizadas. Google lo aplica en Gmail, Youtube y AdSense, operando a través de cookies.
En estos casos, tanto el medio como el proveedor del sistema pueden ser considerados responsables conjuntamente, en la medida en que el primero recaba la información (perfil de usuario, dirección IP, localización, sistema operativo,…) y el segundo determina la finalidad (la monitorización de los usuarios), distribuyéndose las responsabilidades del modo siguiente: el medio debe informar de que terceras partes accederán a sus datos, y el proveedor del sistema debe responder sobre el modo en que los datos se gestionan y garantizar los derechos de los afectados.
-
Computación distribuida: el problema en estos casos reside en la dificultad en conocer en qué recursos en concreto, distribuidos en distintos países, se procesan los datos personales. En caso de que existiera un uso no autorizado de los datos en uno de los grids, éste sería considerado responsable de la infracción como Encargado y el lugar en el que se encontrara determinaría la legislación aplicable.
Volviendo sobre la obligación legal de celebrar un contrato por escrito entre el Responsable y el Encargado, uno puede pensar que bueno, que si no es posible qué le vamos a hacer. Las probabilidades de que RIM, Google o un proveedor de hosting de EE.UU. firmen un contrato en estos términos, incluyendo el cumplimiento de medidas de seguridad de nivel alto (piensen en colectivos como médicos, abogados, compañías de seguros,…) son remotas. El Grupo de Trabajo del Artículo 29 es tajante en estos casos: búsquese otro proveedor o, si sospecha del incumplimiento de las normas sobre protección de datos por parte de éste, póngalo en conocimiento de las autoridades competentes. Mientras tanto, en la medida en que no exista contrato, el acceso por parte de ese tercero se considerará una cesión y, en su caso, una transferencia internacional de datos, debiendo garantizarse las autorizaciones y requisitos correspondientes.
4 Comentarios
Un Trackback