LEY QUE SANCIONA LA VENTA ILEGAL DE BASES DE DATOS Y DATOS PERSONALES DE USUARIOS Y CONSUMIDORES

Transcripción

1 Sumilla: Proyecto de Ley que sanciona la venta ilegal de base de datos y datos personales de usuarios y consumidores. PROYECTO DE LEY El Congresista de la República Jaime Delgado Zegarra, y los Congresistas que suscriben, ejerciendo el derecho a iniciativa legislativa que les confiere el Artículo 107 de la Constitución, presentan el siguiente proyecto de Ley: LEY QUE SANCIONA LA VENTA ILEGAL DE BASES DE DATOS Y DATOS PERSONALES DE USUARIOS Y CONSUMIDORES I. EXPOSICIÓN DE MOTIVOS A. ANTECEDENTES Dentro del marco de las reuniones preparatorias para la reunión principal de la APEC, que se llevó a cabo en noviembre de 2008, hubo una en particular que puso en la agenda pública el tema de la protección de datos personales; y fue la reunión referida a la privacidad, coorganizada por el Osiptel con el Ministerio de Justicia. En el discurso de apertura la entonces Ministra de Justicia, Rosario Fernández Figueroa, indicó que el Proyecto de Ley de Protección de Datos Personales, que existía desde 2004, presentado por el propio ministerio en su momento, pronto vería la luz, pues se encontraba en el despacho del Consejo de Ministros para su aprobación como proyecto y posterior presentación al Congreso de la República. Con fecha 9.JUN.2010 el Poder Ejecutivo presentaría nuevamente el Proyecto de Ley Nº 04079/2009-PE, que finalmente sería aprobado por el pleno del Congreso de la República el 7.JUN.2011, en primera votación, por 65 votos a favor, 1 abstención, y 3 votos ausentes; con la dispensa de una segunda votación. La Ley Nº 29733, fue publicada el 3.JUL.2011, en el diario oficial El Peruano ; y se encuentra parcialmente vigente desde el día 4 de julio de No obstante, si bien la norma se sustenta en el Artículo 2º numeral 6 de la Constitución Política que dispone que toda persona tiene derecho a que los Página 1

2 servicios informáticos, computarizados o no, públicos o privados, no suministren informaciones que afecten la intimidad personal y familiar 1 ; y establece un nuevo status jurídico en materia de datos personales, partiendo por establecer una serie de definiciones interesantes, pues define como dato personal a toda información sobre una persona natural que la identifica o la hace identificable a través de medios que pueden ser razonablemente utilizados; la misma no ha establecido sanción, además de la administrativa, para quienes realicen actos ilícitos y dispongan de las bases de datos en un mercado negro. Cabe resaltar que en 1948, la Declaración Universal de los Derechos Humanos desarrolló el derecho a la intimidad, concibiéndolo como el derecho a no ser objeto de injerencias arbitrarias en la vida privada, la familia, el domicilio o la correspondencia, ni de ataques a la honra o la reputación, y a ser protegido contra ellas; que respondía a un concepto más bien estático y fue recogido en la mayoría de los textos constitucionales, como el nuestro. Por lo que, hoy en día, el derecho fundamental a la protección de los datos personales ha cobrado independencia y autonomía frente al derecho a la intimidad, pues la actitud pasiva de simple defensa de nuestra información personal, adquiere una postura más activa con la posibilidad de además (y sin ninguna restricción) poder ejercer pleno control sobre el caudal de información que pueda existir en los diferentes bancos de datos o plataformas de información sobre nuestra persona. Demás está comentar que el peligro para la privacidad de las personas no radica en la sola acumulación de información sobre uno, sino en la pérdida de la capacidad de cada persona de poder disponer de la información y determinar a quién y con qué objeto se transmite. Como lo señala la exposición de motivos, de acuerdo al derecho internacional aplicable, para nuestro país son normas jurídicas de observancia obligatoria el Artículo 12º de la Declaración Universal de los Derechos del Hombre, el Artículo 17º del Pacto Internacional de Derechos Civiles y Políticos, el Artículo 5º de la Declaración Americana de los Derechos y Deberes del Hombre, el Artículo 5º de la Declaración Americana de los Derechos y Deberes del Hombre de 1948, ya mencionada, y el Artículo 11º del Pacto de San José de Costa Rica; normas que consagran la protección de la honra, reputación y la vida privada y familiar, y prohíben expresamente cualquier injerencia arbitraria que pueda derivar del uso de la informática. Pese a toda la normatividad existente, nuestro Código Penal de 1991, plantea también como tipo penal el uso indebido de archivos computarizados, estableciéndose que comete delito aquel que indebidamente organiza, proporciona o emplea cualquier archivo que tenga datos referentes a las 1 Constitución Artículo 2º.- Toda persona tiene derecho: 6) A que los servicios informáticos, computarizados o no, públicos o privados, no suministren informaciones que afecten la intimidad personal y familiar. Página 2

3 convicciones políticas o religiosas y otros aspectos de la vida íntima de una o más personas 2, pero no contempla ningún tipo especial que contenga el supuesto de hecho planteado en esta propuesta. Muy a pesar que posteriormente fueron incorporados al Código Penal los denominados delitos informáticos, configurándose como delito el ingreso indebido a una base de datos para diseñar, ejecutar o alterar un esquema u otro similar, o para interferir, interceptar, acceder o copiar la información en tránsito o que ella contenga, conocido en la doctrina como el delito de espionaje informático o intrusismo 3. B. PROBLEMÁTICA Al ser las tecnologías de la información (y sus derivadas como la internet y equipos de avanzada tecnología) un aporte sustantivo en la vida de todos, transformando la realidad económica, social y cultural del mundo; la información, fuente de todo este conocimiento y cambio social, se convierte en un elemento clave de poder. No obstante, si bien es cierto, la información es poder y que sin ella 2 Código Penal Artículo 157º.- Uso indebido de archivo político o religioso El que, indebidamente, organiza, proporciona o emplea cualquier archivo que tenga datos referentes a las convicciones políticas o religiosas y otros aspectos de la vida íntima de una o más personas será reprimido con pena privativa de la libertad no menor de uno ni mayor de cuatro años. Si el agente es funcionario o servidor público y comete el delito en ejercicio del cargo, la pena será no menor de tres ni mayor de seis años e inhabilitación conforme al artículo 36º incisos 1, 2 y 4. 3 Código Penal (Artículo incorporado mediante Ley Nº de 17.JUL.2000) Delitos informáticos Artículo 207-Aº.- El que utiliza o ingresa indebidamente a una base de datos, sistema o red de computadoras o cualquier parte de la misma, para diseñar, ejecutar o alterar un esquema u otro similar, o para interferir, interceptar, acceder o copiar información en tránsito o contenida en una base de datos, será reprimido con pena privativa de la libertad o mayor de dos años o con prestación de servicios comunitarios de cuarentidós a ciento cuatro jornadas. Si el agente actuó con el fin de obtener un beneficio económico, será reprimido con pena privativa de libertad no mayor de tres años o con prestación de servicios comunitarios no menor de ciento cuatro jornadas. Artículo 207B.- El que utiliza, ingresa o interfiere indebidamente una base de datos, sistema, red o programa de computadoras o cualquier parte de la misma con el fin de alterarlos, dañarlos o destruirlos, será reprimido con pena privativa de libertad no menor de tres ni mayor de cinco años y con setenta a noventa días multa. Artículo 207C.- En los casos de los artículo 207-A y 207-B, la pena será privativa de libertad no menor de cinco ni mayor de siete años, cuando: 1. El agente accede a una base de datos, sistema o red de computadora, haciendo uso de información privilegiada, obtenida en función a su cargo. 2. El agente pone en peligro la seguridad nacional. Página 3

4 ningún gobierno moderno es capaz de cumplir sus fines, también lo es que el uso indebido o abusivo de la informática puede amenazar de muerte el desarrollo de las instituciones democráticas, por lo que resultaba imprescindible someter los avances informáticos a una evaluación crítica sobre sus consecuencias 4. Por lo que, el proceso de la generación, almacenamiento, transmisión y procesamiento de la información, necesariamente exigía por parte de todos los actores una evaluación crítica sobre las posibles consecuencias de un uso inadecuado. Actualmente uno de los principales problemas existentes es el de la comercialización indebida de información. En estos lugares, identificados como las zonas comerciales de la Av. Wilson, Polvos Azules, Av. Argentina entre otros no tan recurridos, cualquier persona puede adquirir a precios asequibles bases de datos completas empleadas para la sistematización de datos por sectores de la industria o el comercio. Lo preocupante es que, más allá de la aparente impunidad con que los traficantes puedan realizar las transacciones comerciales ilegales de venta de bases de datos, la vulnerabilidad de nuestra información queda reflejada en lo fácil que es obtener esta base de datos de primera fuente para su posterior venta ilegal. Su ámbito de aplicación refiere a todos los datos personales contenidos o destinados a ser contenidos en los bancos de datos personales de administración pública y de administración privada. Excluye los datos personales contenidos en bancos creados por personas naturales para fines exclusivamente relacionados con su vida privada o familiar y, los contenidos o destinados a bancos de administración pública solo en tanto su tratamiento resulte necesario para el estricto cumplimiento de las competencias que la ley le ha dado a las instituciones públicas. Lamentablemente, el Código Penal peruano, como muchas otras legislaciones, salvo legislaciones como la de Malasia, no contempla expresamente como delito la comercialización de bases de datos, sea cual fuere su naturaleza. C. OBJETO DE LA PROPUESTA En ese sentido, reconocemos al derecho a la intimidad como un derecho superior que debe ser protegido por el Estado, en la garantía al irrestricto ejercicio de los derechos a la libertad informática, autodeterminación informática y protección de datos personales. Toda persona tiene el derecho a controlar la circulación de toda aquella información que pueda estar referida a ella. Por tal motivo, teniendo en cuenta que el peligro para la privacidad del individuo no radica en que se acumule información sobre él, sino más bien, en 4 Proyecto de Ley Nº 4079/2009-PE, p. 24. Página 4

5 que pierda la capacidad de disposición sobre ella y respecto a quien, y con qué objeto se transmite 5 aquella información, es que presentamos esta propuesta legislativa, que tiene como objeto, precisamente, desincentivar conductas como la comercialización, tráfico y/o venta ilegal de bases de datos y datos personales, mediante el establecimiento de un tipo penal específico que castigue dicha conducta. II. INCIDENCIA DE LA NORMA SOBRE LA LEGISLACIÓN NACIONAL En cuanto al tratamiento de la información personal en la legislación peruana, podemos comentar las siguientes leyes: Ley Nº 26497, Ley Orgánica del Registro Nacional de Identificación y Estado Civil (RENIEC). El Artículo 2º establece que es precisamente el RENIEC la entidad encargada de organizar y mantener el registro único de identificación de las personas naturales e inscribir los hechos y actos relativos a su capacidad y estado civil. Con tal fin desarrollará técnicas y procedimientos automatizados que permitan un manejo integrado y eficaz de la información. Por otro lado, establece como funciones del RENIEC las de velar por el irrestricto respeto del derecho a la intimidad e identidad de la persona y los demás derechos inherentes a ella derivados de su inscripción; garantizar la privacidad de los datos relativos a las personas que son materia de inscripción; e implementar, organizar, mantener y supervisar el funcionamiento de los registros dactiloscópicos y pelmatoscópicos de las personas. Sin embargo, si bien ya se encuentra establecido dentro de la legislación referida al RENIEC la protección de datos, no existe ninguna conducta punitiva establecida dentro del Código Penal para que sancionen estas actividades que atentan la seguridad de las personas; siendo ello lo que se busca implementar mediante esta propuesta legislativa. Ley Nº , Ley que regula las Centrales Privadas de Información de Riesgos y de Protección al Titular de la Información. Esta norma regula el funcionamiento de las empresas conocidas como Centrales Privadas de Riesgos (CEPIRS), como aquellas 5 Benda, Ernesto, et al. (2001) Dignidad humana y derechos de la personalidad, En: Manual de derecho constitucional, Barcelona, 2a. ed., Marcial Pons. Página 5

6 empresas que recolectan y tratan información de riesgos relacionada con personas naturales o jurídicas, con el propósito de difundir reportes de crédito. Esta ley regula la información de riesgos, que es la que se encuentra relacionada a las obligaciones o antecedentes financieros, comerciales, tributarios, laborales, de seguros, de una persona natural o jurídica; y la denominada información sensible, que es la referida a las características físicas, morales o emocionales de una persona natural, o a hechos circunstanciales de su vida afectiva o familiar, tales como los hábitos personales, las ideologías y opiniones políticas o creencias y convicciones religiosas. Si bien esta ley define al titular de la información como la persona natural o jurídica a la que se refiere la información de riesgos; o el reporte de crédito, y lo que es también un Banco de datos, entre otros conceptos; sin embargo, al igual que la ley de el RENIEC, y la propia ley de Protección de Datos Personales, ninguna de estas iniciativas estableció sanción penal al no encontrarse establecida la conducta típica dentro del Código Penal. Código Penal. Nuestro código Penal ha considerado para los delitos contra la intimidad, lo dispuesto en el Artículo 157º, que sanciona con una pena privativa de la libertad no menor de 1 ni mayor de 4 años a quien indebidamente, organiza, proporciona o emplea cualquier archivo que tenga datos referentes a las convicciones políticas o religiosas y otros aspectos de la vida íntima de una o más personas ; estableciendo como agravante la condición del sujeto activo de desempeñar funciones en la administración pública, aumentando la sanción a una pena privativa de la libertad no menor de 3 pero tampoco mayor de 6 años, más la inhabilitación de funciones 6. Sin embargo, el problema que advertimos en este tipo penal es que no considera como violación del derecho a la intimidad de una persona, la comercialización, tráfico o venta ilegal de los datos personales de la persona, o de bases de datos donde se encuentren también los datos personales de la persona. 6 CÓDIGO PENAL VIOLACIÓN DE LA INTIMIDAD Artículo 157º.- El que, indebidamente, organiza, proporciona o emplea cualquier archivo que tenga datos referentes a las convicciones políticas o religiosas y otros aspectos de la vida íntima de una o más personas será reprimido con pena privativa de libertad no menor de uno ni mayor de cuatro años. Si el agente es funcionario o servidor público y comete el delito en ejercicio del cargo, la pena será no menor de tres ni mayor de seis años e inhabilitación conforme al artículo 36º incisos 1, 2 y 4. Página 6

7 El actual tipo penal se limita a la protección de datos referentes a convicciones religiosa, y otros aspectos de la vida íntima, y deja de lado todo lo concerniente a la información reconocida por la leyes especiales como información de riesgo, referida a temas económicos, financieros, laborales, de seguros, tributarios, y demás de una persona. Por otro lado, ha establecido el Artículo 204-A, dentro de un novedoso capítulo referido a los Delitos Informáticos, en el que señala que se sancionará con pena privativa de la libertad no mayor de 2 años o con prestaciones de servicios comunitarios de 42 a 104 jornadas, a quien utilice o ingrese indebidamente a una base de datos, sistema o red de computadoras o cualquier parte de la misma, para diseñar, ejecutar o alterar un esquema y otro similar, o para interferir, interceptar, acceder o copiar información en tránsito o contenida en una base de datos En éste se establece como agravante el hecho que el sujeto activo haya actuado con el fin de obtener un beneficio económico, y por tal razón la pena privativa de la libertad se agrava a no más de 3 años o prestación de servicios comunitarios no menor de 104 jornadas 7. Sin embargo, consideramos que este tipo penal, que podría aproximarse más al objeto de este proyecto, solo aplicaría para el funcionario de la empresa o entidad encargada de la administración de una base de datos. Por otro lado, también se contempla en el Artículo 207B, la variante de este tipo, que proscribe el uso, ingreso o interferencia indebida a una base de datos, sistema, red o programa de computadoras o cualquier parte de la misma con la finalidad de cambiarlos, dañarlos o destruirlos; acto que se sanciona con una pena privativa de la libertad no menor de 3 años, ni mayor de 5 años y con 70 a 90 días multas 8. 7 CÓDIGO PENAL DELITOS INFORMATICOS Artículo 207A.- El que utiliza o ingresa indebidamente a una base de datos, sistema o red de computadoras o cualquier parte de la misma, para diseñar, ejecutar o alterar un esquema u otro similar, o para interferir, interceptar, acceder o copiar información en tránsito o contenida en una base de datos, será reprimido con pena privativa de la libertad o mayor de dos años o con prestación de servicios comunitarios de cuarentidós a ciento cuatro jornadas. Si el agente actuó con el fin de obtener un beneficio económico, será reprimido con pena privativa de libertad no mayor de tres años o con prestación de servicios comunitarios no menor de ciento cuatro jornadas. 8 CÓDIGO PENAL Artículo 207B.- El que utiliza, ingresa o interfiere indebidamente una base de datos, sistema, red o programa de computadoras o cualquier parte de la misma con el fin de alterarlos, dañarlos o destruirlos, será reprimido con pena privativa de libertad no menor de tres ni mayor de cinco años y con setenta a noventa días multa. Página 7

8 Sin embargo, este tipo penal pareciera que se ocupara más bien de la preocupación de las empresas administradoras de información o bancos de datos, pero tampoco se aproxima al objeto de esta iniciativa. En cuanto a estos delitos, se dispone en el Artículo 207-C, los hechos agravantes de los delitos contemplados tanto en el Artículo 207- A como en el Artículo 207-B, sancionando con una pena privativa de la libertad no menor de 5 ni mayor de 7 años (i) a aquel que accede a una base de datos, sistema o red de computadora haciendo uno de información privilegiada, obtenida en función a su cargo; y (ii) a aquel que pone en peligro la seguridad nacional. Y como es de suponer, esta agravante no considera ni por asomo la venta ilegal de datos personales o banco de datos como delito 9. Finalmente, siguiendo la línea de los delitos informáticos, vemos necesario incluir una conducta más precisa sobre la problemática en mención, dentro de ese capítulo. Sobre el particular cabe precisar que este tipo es el que se aplicaría actualmente al sujeto que vende ilegalmente datos personales o base de datos, sea cual fuere el soporte (CDs, USBs, papel o vía correo electrónico). En tal sentido, y atendiendo la necesidad de reprimir las conductas ilícitas de venta de información de datos personales o bases de datos, consideramos necesario la incorporación en este tipo penal, la venta, en cualquier soporte (digital, electrónico o material) de bases de datos que contengan información concerniente a una persona física, identificada o identificable 10, entre otra, la que sea relativa a su origen étnico o racial, o que esté referida a las características físicas, morales o emocionales, a su vida afectiva y familiar, domicilio, número telefónico, patrimonio, ideología, y opiniones políticas, creencias o convicciones religiosas o filosóficas, los estados de salud físicos o mentales, las preferencias sexuales u otras análogas que afecten su intimidad. III. ANALISIS COSTO BENEFICIO La presente propuesta legislativa presenta el siguiente impacto económico: 1. Identificación de los beneficios de la Ley 9 Artículo 207C.- En los casos de los artículo 207-A y 207-B, la pena será privativa de libertad no menor de cinco ni mayor de siete años, cuando: 1. El agente accede a una base de datos, sistema o red de computadora, haciendo uso de información privilegiada, obtenida en función a su cargo. 2. El agente pone en peligro la seguridad nacional." 10 Ley Federal de Transparencia y Acceso a la Información Pública de México. Artículo 3º Página 8

9 Beneficios Protección efectiva de los datos personales, y bases de datos (información) que contengan cualquier tipo de información concerniente a una persona física determinada o determinable. Enriquecer la legislación penal con el establecimiento como figura agravada, del acto de comercializar, traficar, vender, promover, favorecer o facilitar la información información personal o bases de datos de manera ilegal. La erradicación de la venta ilegal de información personal o bases de datos que contengan cualquier tipo de información concerniente a una persona física determinada o determinable. 2. Identificación de costos Costos La propuesta del proyecto de ley no genera gasto público, reduciendo, por el contrario, el gasto público puesto que desincentiva la comisión de este tipo de conductas delictivas, que generan un perjuicio económico a la sociedad y al Estado, al poner al alcance de cualquiera información clasificada. IV. RELACION DE LA PROPUESTA CON EL ACUERDO NACIONAL Y LA AGENDA LEGISLATIVA Políticas de Estado Objetivo I: Democracia y Estado de Derecho: 1. Fortalecimiento del régimen democrático y del Estado de derecho Nos comprometemos a consolidar el régimen democrático y el Estado de derecho para asegurar un clima de estabilidad y cooperación política, promover la competencia democrática y garantizar elecciones libres y transparentes, el pluralismo y la alternancia en el poder. Declaramos que la democracia representativa es la base de la organización del Estado de derecho, que se refuerza y profundiza con la participación ciudadana permanente, ética y responsable, en el marco de la constitucionalidad. Propuesta legislativa Esta propuesta legislativa, tiene como objeto, desincentivar conductas como la venta ilegal de bases de datos y datos personales, mediante el establecimiento de un agravante a los delitos informáticos para que castigue dicha conducta; lo que redundará en el cumplimiento del objetivo I y la política de Estado 1. Con este objetivo el Estado: (a) defenderá el imperio de la Constitución asegurando su funcionamiento como Estado constitucional unitario y descentralizado, bajo los principios de independencia, pluralismo, equilibrio de Página 9

10 poderes y demás que lo integran; (b) garantizará el respeto a las ideas, organizaciones políticas y demás organizaciones de la sociedad civil, y velará por el resguardo de las garantías y libertades fundamentales, teniendo en cuenta que la persona y la sociedad son el fin supremo del Estado; (c) fomentará la afirmación de una cultura democrática que promueva una ciudadanía consciente de sus derechos y deberes; y (d) establecerá normas que sancionen a quienes violen o colaboren en la violación de la constitucionalidad, los derechos fundamentales y la legalidad. En consecuencia, habiéndose cumplido con lo establecido en el artículo 75º del Reglamento del Congreso de la Republica, se propone la siguiente proposición legislativa: V. FÓRMULA LEGAL EL PRESIDENTE DE LA REPÚBLICA Por Cuanto: EL CONGRESO DE LA REPÚBLICA DEL PERÚ, Ha dado la siguiente Ley: LEY QUE SANCIONA LA VENTA ILEGAL DE BASES DE DATOS Y DATOS PERSONALES DE USUARIOS Y CONSUMIDORES Artículo 1º.- Objeto de la ley. El objeto de la presente ley es incorporar la venta ilegal de bases de datos y datos personales de usuarios y consumidores dentro de los delitos informáticos, con el fin de proteger la información concerniente a una persona física, identificada o identificable, para cuya difusión y/o comercialización no se ha dado autorización. Artículo 2º.- Modificatoria. Agréguese el Artículo Dº al Código Penal, aprobado mediante Decreto Legislativo Nº 635, que establece penalizar la venta ilegal de bases de datos y datos personales de usuarios y consumidores, en los siguientes términos: Artículo Dº.- Venta Ilegal de Base de Datos Página 10

11 El agente que utiliza con la finalidad de comercializar, traficar, vender, promover, favorecer o facilitar, información contenida en una base de datos sobre una persona física, identificada o identificable, sin su autorización, relativa a su origen étnico o racial, o que esté referida a sus características físicas, morales o emocionales, a su vida afectiva, familiar, a su domicilio, números telefónicos, patrimonio, situación financiera, laboral o tributaria, o su estado de salud física o mental, o a su ideología y opiniones políticas, creencias o convicciones religiosas o filosóficas; será reprimido con pena privativa de la libertad no menor de dos ni mayor de cinco años. Artículo 3º.- Vigencia La presente ley entra en vigencia al día siguiente de su publicación. DISPOSICIÓN DEROGATORIA Única.- Disposición Derogatoria Deróguese cualquier disposición que se oponga a la presente ley. Página 11

12 Página 12