El Reglamento de Desarrollo de la Ley Orgánica de Protección de Datos ha llegado con retraso, pues el plazo previsto en la Disposición Adicional Primera de la LOPD terminó el 24 de octubre del año pasado. Ocho años (desde dicha Ley) no han debido ser suficientes para resolver qué se hace con los ficheros no automatizados (léase papel en la mayoría de los casos), así que nos quedan unos meses en los que habrá que mirar para otro lado. Sobre los plazos para implantar las medidas, les remito a Samuel Parra.
Un reglamento es una norma del poder Ejecutivo que desarrolla una ley, esto es, contempla las cuestiones secundarias o de detalle, pero siempre debe estar guiado por los parámetros que fija la norma superior. Con mayor medida si nos referimos a derechos fundamentales, como es el de la protección de datos, donde rebasar esos límites además vulneraría la Constitución, que reserva su regulación a las leyes orgánicas.
Y así ha sido. Como señaló Félix Haro, el Consejo de Estado ya advirtió de estas cuestiones a propósito del borrador de Reglamento, que se excedía en algunos puntos, entrando en conflicto con la Ley Orgánica, conflicto que se resuelve por cuestión de rango, pero añadimos una incertidumbre y falta de seguridad jurídica que es lo que faltaba a las empresas. Ya no se trata de que se resuelvan las imprecisiones de la Ley, sino que este Reglamento, que ya no se refiere, como el anterior, únicamente a las medidas de seguridad, aspira a ser la norma de referencia en materia de protección de datos.
Dentro de las cuestiones conflictivas que me llaman la atención, destaco las siguientes:
- La chapuza incomprensible que ha comentado David Maeztu, a propósito de determinados datos que quedan fuera del Reglamento pero no de la Ley.
- El tratamiento de datos por cuenta de tercero (artículos 12 de la Ley y 20 a 22 del Reglamento). De acuerdo con la Ley, quien realice servicios por cuenta del responsable del fichero no puede comunicar dichos datos, ni siquiera para su conservación, a otras personas. Dicha prohibición el Reglamento se la salta a la torera, permitiendo la subcontratación de las obligaciones del encargado del tratamiento, en algunos casos sin autorización del responsable del fichero, siempre que se cumplan determinadas exigencias. Habrá quien diga que una cosa es ceder o comunicar y otra subcontratar (esto es, un tratamiento de datos por cuenta de quien trata datos por cuenta de tercero), y es cierto, pero si la Ley expresamente se refiere a la “conservación”, entiendo que no sólo se refería a la comunicación propiamente dicha sino también a estos casos. Los resellers de servicios de alojamiento pueden dormir más tranquilos porque ahora sólo deben resolver la cuestión de las tranferencias internacionales de datos, pero si realmente se quería modificar dicho régimen, la vía era reformar la Ley, no introducirla en el Reglamento.
- Aún cuando se traten datos relativos a ideología, afiliación sindical, religión o creencias, origen racial, salud o vida sexual (datos especialmente protegidos), se aplicarán medidas de nivel básico cuando únicamente se utilicen para la realización de transferencias dinerarias como asociados o miembros (casos en que la empresa paga la cuota sindical por cuenta del trabajador, por ejemplo) o se trate de ficheros no automatizados en los que los datos se traten de forma incidental o accesoria. Lo mismo cuando se traten el grado de discapacidad o su simple condición en cumplimiento de deberes públicos. Un alivio para las empresas que tengan minusválidos contratados, pero nuevamente la Ley era el camino idóneo para regular estas excepciones cuando el régimen de estos datos es tan riguroso.
- Algunas medidas de seguridad son papel mojado. Por ejemplo, se mantiene la obligación de cifrar (o proteger de modo equivalente) lo datos en los soportes o dispositivos de almacenamiento que vayan a emplearse para la distribución de datos de nivel alto, si bien esto es matizable, porque curiosamente se establece como simple recomendación que se evite el tratamiento de datos de carácter personal en dispositivos portátiles que no permitan su cifrado.
- Siguiendo con las medidas de nivel alto, los armarios, archivadores u otros elementos en los que se almacenen los ficheros no automatizados deberán encontrarse en áreas en las que el acceso esté protegido con puertas de acceso dotadas de sistemas de apertura mediante llave u otro dispositivo equivalente, y permanecer cerradas cuando no sea preciso acceder a los ficheros, pero sigue la norma diciendo que no obstante, si eso no fuera posible de acuerdo con las características de los locales, el responsable adoptará “medidas alternativas”, lo que abre un gran margen de discrecionalidad. Del mismo modo, los dispositivos de almacenamiento deben disponer de mecanismos que obstaculicen su apertura, pero si no es posible volvemos a la indefinición.
No obstante, no todo son críticas. Acertadamente se delimitan los ficheros personales o domésticos como aquellos que se refieren a la vida privada o familiar, lo que corrobora la tesis que sostemos algunos de que los datos de los comentaristas de bitácoras digitales se somenten al régimen de esta normativa, aunque rara vez se cumpla.
Me parece interesante la definición de “persona identificable”, pues determina el ámbito de aplicación de la normativa. Se establece que una persona física no se considerará identificable si dicha identificación requiere plazos o actividades desproporcionados, como ya venía sosteniendo la AEPD. Sigo sin entender cómo puede seguir sosteniéndose que la dirección IP es un dato personal para quien no sea el administrador de una red local o el proveedor de acceso del afectado, pero tanto el Supervisor Europeo de Protección de Datos como la AEPD siguen en esa línea.
En cuanto a la regulación del consentimiento para el tratamiento de los datos (artículos 6 de la Ley y 12 a 17 del Reglamento), se permite la prestación de éste de forma tácita (no presunta), debiendo concederse un plazo de 30 días para manifestar la negativa al tratamiento, de forma sencilla y gratuita. Recuerden que de utilizar esta vía deben reforzar los sistemas de prueba. La revocación del consentimiento no podrá someterse a la obligación de remitir carta certificada o la utilización de servicios de tarificación adicional. Estas exigencias también quedan prohibidas en cuanto al ejercicio de los derechos de acceso, rectificación, oposición y cancelación.
Se desdobla el régimen de ficheros de las Administraciones Públicas, de modo que no todos tendrán la consideración de ficheros públicos. Serán privados los correspondientes a determinados organismos públicos (sociedades del servicio público empresarial y corporaciones de derecho público, como cámaras de comercio, colegios profesionales, cofradías de pescadores,…) que no estén vinculados al ejercicio de potestades de derecho público. Entiendo que esto no termina de resolver el tema y choca con la normativa autonómica sobre protección de datos, pero para más información sobre esta cuestión les remito a lo que comenté en su día.
Los productos de software destinados al tratamiento automatizado de datos personales, deberán incluir en su descripción técnica el nivel de seguridad, básico, medio o alto, que permitan alcanzar. Está muy bien, porque en realidad cualquier aplicación ofimática puede servir para el tratamiento de datos, así que será estupendo ver cómo se incumple o las cosas que se dicen. Claro que tampoco pasará nada porque no constituye una infracción.
Por último, es importante señalar que los datos relativos a actos de violencia de género, y los de tráfico y localización de los operadores de servicios de comunicaciones electrónicas o que exploten redes públicas de telecomunicaciones serán de nivel alto. Uniendo esto a la conservación de los datos, está claro que éste es el grupo que sale peor parado en este tema.
17 Comentarios
Un Trackback