cuestiones

Una única cuestión quiero aportar para el debate sobre el Real Decreto 1720/2007:

“Artículo 2.2: Este reglamento no será aplicable a los tratamientos de datos referidos a personas jurídicas, ni a los ficheros que se limiten a incorporar los datos de las personas físicas que presten sus servicios en aquéllas, consistentes únicamente en su nombre y apellidos, las funciones o puestos desempeñados, así como la dirección postal o electrónica, teléfono y número de fax profesionales.”

Artículo 2.1 “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico, que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado.”

Siendo datos de caracter personal: “cualquier información concerniente a personas físicas identificadas o identificables.” (LOPD, art. 3.a)

Por lo tanto es lógico pensar que los datos de personas jurídicas (empresas, asociaciones, etc.) no están protegidos por esta norma, precisamente porque no se puede establecer que las personas jurídicas tengan derecho a la intimidad en los términos del artículo 18 de la Constitución.

Sin embargo, al sacar del ámbito de aplicación de la norma, del Reglamento, los ficheros de datos que contienen información personal de los trabajadores de esa empresa, como el nombre, el puesto de trabajo, el email, etc. aunque sean referidos a su puesto de trabajo, en mi opinión va más allá de lo permitido por la LOPD, originándose un conflicto de jerarquía normativa, o al menos una situación jurídica curiosa.

En el peor de los casos ese fichero con los datos de todos los trabajadores de una empresa estará sometido a la LOPD (ley orgánica porque desarrolla derechos fundamentales) pero no estará sometido a lo que dispone el Reglamento, así no habrá obligación de someterlo a medidas de seguridad, etc.

Y en el mejor de los casos ese artículo se declarará nulo y fuera del ordenamiento. Además es curioso que su inclusión ahí se produce despues del Informe del Consejo de Estado.

Si lo que se quería conseguir es que los datos de las personas que representan a una persona jurídica pudiesen utilizarse sin obstáculo, la via de las excepciones a tratamientos concretos es más adecuada que sacarlos del ámbito de aplicación de la norma, y más cuando contraviene el ámbito de aplicación de la LOPD, pero dejar esos datos completamente desprotegidos me parece, una chapuza.

Otra noticia relacionada con el ámbito de aplicación de la LOPD.

Se publica en algunos medios que Google deberá dejar de tratar los datos de una persona, según una resolución de 20 de noviembre de 2007 (PDF) y que figura como recurrida.

El caso es el de un señor que fué sancionado adminsitrativamente y la sanción apareció en el Boletín Oficial de la Provincia correspondiente.

Los Boletines Oficiales son “fuentes accesibles al público” que se definen como, artículo 3.j LOPD:

“aquellos ficheros cuya consulta puede ser realizada, por cualquier persona, no impedida por una norma limitativa o sin más exigencia que, en su caso, el abono de una contraprestación. Tienen la consideración de fuentes de acceso público, exclusivamente, el censo promocional, los repertorios telefónicos en los términos previstos por su normativa específica y las listas de personas pertenecientes a grupos de profesionales que contengan únicamente los datos de nombre, título, profesión, actividad, grado académico, dirección e indicación de su pertenencia al grupo. Asimismo, tienen el carácter de fuentes de acceso público los diarios y boletines oficiales y los medios de comunicación.”

Pues bien cualquiera puede utilizar estas fuentes para tratar datos, lo que no excluye que uno pueda oponerse al tratamiento de sus datos, según se establece en el artículo 6.4 LOPD:

“4. En los casos en los que no sea necesario el consentimiento del afectado para el tratamiento de los datos de carácter personal, y siempre que una ley no disponga lo contrario, éste podrá oponerse a su tratamiento cuando existan motivos fundados y legítimos relativos a una concreta situación personal. En tal supuesto, el responsable del fichero excluirá del tratamiento los datos relativos al afectado.”

El señor reclamó a Google su oposición al tratamiento que realiza del Boletín Oficial de la Provincia para que no vuelva a aparecer su nombre en el buscador relacionado con aquella infracción.

Google dijo que la información debía bloquearla el Boletín Oficial y la Agencia da la razón al ciudadano español y obliga a Google a que establezca medidas para evitar que esa búsqueda vuelva a producirse.

Sin embargo, la Agencia pasa por alto un pequeño detalle relacionado con el ámbito de aplicación de la norma (Art. 2 LOPD)

Se regirá por la presente Ley Orgánica todo tratamiento de datos de carácter personal:

1. Cuando el tratamiento sea efectuado en territorio español en el marco de las actividades de un establecimiento del responsable del tratamiento.

2. Cuando al responsable del tratamiento no establecido en territorio español, le sea de aplicación la legislación española en aplicación de normas de Derecho Internacional público.

3. Cuando el responsable del tratamiento no este establecido en territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, salvo que tales medios se utilicen únicamente con fines de tránsito.

Google tiene un establecimiento permanente en España, pero no este tratamiento concreto no se realiza desde aquí ni en el marco de las actividades del mismo.

Desconozco si en Irlanda u otro país de la UE es dónde se realiza el tratamiento de los datos del buscador, pero si es en el domicilio de Google en Estados Unidos, no me explico como es posible que la Agencia tenga competencias en esta materia cuando la ley es muy clara.

Yo no digo que esta sea la mejor opción, porque se deberían proteger los datos de los ciudadanos con independencia de dónde se realice el tratamiento, pero lo cierto es que lo que dice la ley es eso, y la Agencia no tiene competencias en virtud del artículo 2 de la LOPD para decirle nada a Google.