DICTAMEN COMPLEMENTARIO AL CN13-036, DE 26 DE NOVIEMBRE DE 2013, RELATIVO A LA RECOGIDA DE DATOS DE PERSONAS VÍCTIMAS DE VIOLENCIA POLÍTICA.

Transcripción

1 CN DICTAMEN COMPLEMENTARIO AL CN13-036, DE 26 DE NOVIEMBRE DE 2013, RELATIVO A LA RECOGIDA DE DATOS DE PERSONAS VÍCTIMAS DE VIOLENCIA POLÍTICA. ANTECEDENTES PRIMERO: Se ha solicitado consulta a la Agencia Vasca de Protección de Datos en relación con el dictamen CN emitido por la misma con fecha 26 de noviembre de 2013, relativo a la recogida de datos de personas víctimas de violencia política. SEGUNDO: El artículo 17.1 de la Ley 2/2004, de 25 de febrero, de Ficheros de Datos de Carácter Personal de Titularidad Pública y de Creación de la Agencia Vasca de Protección de Datos, en su apartado n) atribuye a la Agencia Vasca de Protección de Datos la siguiente función: Atender a las consultas que en materia de protección de datos de carácter personal le formulen las administraciones públicas, instituciones y corporaciones a que se refiere el artículo 2.1 de esta Ley, así como otras personas físicas o jurídicas, en relación con los tratamientos de datos de carácter personal incluidos en el ámbito de aplicación de esta Ley. Corresponde a esta Agencia Vasca de Protección de Datos, en virtud de la normativa más arriba citada, la emisión del informe en respuesta a la consulta formulada. CONSIDERACIONES Se formula el presente dictamen en relación con las preguntas formuladas a esta Agencia Vasca de Protección de Datos por el grupo de ciudadanos que solicitaron el dictamen CN13-036, ante las dudas que le surgen en la interpretación del mismo. En relación con esta consulta, son varias las cuestiones que plantean: PRIMERA.- Se debe comenzar manifestando que su pregunta primera y segunda pueden ser contestadas conjuntamente y ello porque parece confundir la obligación de información en la recogida y tratamiento de datos con el consentimiento necesario para poder ser tratados los mismos. Así señala: En el punto 5 de la página 2 se mencionan las finalidades históricas (que son las nuestras), y que la información al interesado exija esfuerzos desproporcionados (a veces puede ser nuestro caso); por lo que, en los casos en los que no tratemos datos ideológicos o sensibles, se entiende que podemos actuar sin necesidad de consentimiento expreso y escrito, no es así? y En la página 3, en el párrafo primero (donde se menciona el artículo 18) sobre la acreditación del cumplimiento del deber de información: entiendo c/ Beato Tomás de Zumárraga, 71, 3º Vitoria Gasteiz - Tel Fax avpd@avpd.es -

2 que se refiere a un documento mediante el cual el interesado permite que se usen sus datos, no es así?. Hay que partir considerando que en el punto 5 de la página 2 del informe no se está examinando ni se hace referencia alguna al consentimiento del interesado. En el mismo se está analizando única y exclusivamente del deber de informar, es decir, la obligación que la LOPD establece de informar al interesado previamente a la recogida de sus datos y de forma expresa, precisa e inequívoca de los extremos que figuran en el artículo 5 de la LOPD. Es decir, nada se dice del consentimiento, ni como señala el consultante en los casos en los que no tratemos datos ideológicos o sensibles, se entiende que podemos actuar sin necesidad de consentimiento expreso y escrito, no es así?. SIEMPRE se requiere el consentimiento del interesado para poder tratar los datos de carácter personal, salvo en aquellos supuestos que, conforme a la LOPD el mismo no es necesario, tal y como se desarrollaba detalladamente en las consideraciones TERCERA (necesidad de consentimiento) y CUARTA (Datos especialmente protegidos y consentimiento) del dictamen relativo al expediente CN13-036, en el que se manifestaba, entre otras cosas, lo siguiente Por tanto, para poder recoger datos personales del propio afectado se requiere su consentimiento, debiendo ser necesariamente expreso cuando se trate de datos relacionados con la salud, el origen racial y la vida sexual y además por escrito cuando se trate del tratamiento de datos de ideología, religión, creencias y afiliación sindical. Por tanto, el derecho a ser informado en la recogida de datos del artículo 5 de la LOPD, nada tiene que ver con el consentimiento necesario para poder ser tratados los datos al que hace referencia el artículo 6 y siguientes de la LOPD. El deber de informar es previo al tratamiento de los datos y a la prestación del consentimiento, siendo precisamente requisito previo, básico y necesario para poder otorgar por el afectado su consentimiento inequívoco. En cuanto a ese deber de información, se podrá acreditar por cualquier medio válido, siendo una forma fácil y sencilla de acreditación, como ustedes señalan, un documento que contenga los requisitos referidos en el artículo 5 de la LOPD (existencia de un fichero, finalidad de la recogida de datos ), como se señalaba en la consideración PRIMERA del dictamen correspondiente al procedimiento CN13-036, no siendo este documento en el que el titular de los datos personales presta su consentimiento para el tratamiento de sus datos, sino el documento que acredita que ha sido previamente informado de todas las circunstancias señaladas en el artículo 5 de la LOPD. SEGUNDA.- Manifiesta la consultante que ocurre en el caso de personas fallecidas que no se encuentran en los archivos históricos, si tenemos en cuenta que es imposible pedirles el consentimiento para usar sus datos?. En relación con esta pregunta, resulta preciso señalar, en primer lugar, que la protección conferida por la Ley Orgánica 15/ 1999, de 13 de diciembre, de protección de Datos de Carácter Personal (LOPD), no se extiende a los datos de las personas fallecidas, tal y como expresamente lo señala su Reglamento de desarrollo, aprobado por Real Decreto 1720/2007, de 21 de diciembre, en su artículo 2.4, al disponer que Este reglamento no será de aplicación a los datos relativos a personas fallecidas. No obstante las personas vinculadas al fallecido, por razones familiares o análogas, podrán dirigirse a los responsables de los ficheros o tratamientos que contengan datos de éste con la finalidad de notificar el óbito, aportando 2

3 acreditación suficiente del mismo, y solicitar, cuando hubiere lugar a ello, la cancelación de los datos. Por consiguiente, debe concluirse que, con carácter general, no serán aplicables a los tratamientos de los datos de las personas fallecidas las normas de la citada Ley Orgánica, salvo que esa información pudiera revelar datos de carácter personal de personas vivas (pensemos en datos genéticos, el dato del domicilio etc.) en cuyo caso, la cesión de esos datos estaría plenamente protegida por la Ley Orgánica de Protección de Datos. Además, es necesario aclarar que el fallecimiento del individuo no afecta a la subsistencia de las acciones que procedan para preservar el honor de la persona fallecida, conforme a lo dispuesto en la Ley Orgánica 1/1982, de 5 de mayo, acciones que serán ejercidas por la persona que el difunto haya designado a tal efecto en testamento, su cónyuge, ascendientes, descendientes o hermanos que viviesen al tiempo de su fallecimiento o, a falta de las personas anteriormente citadas, el Ministerio Fiscal. En todo caso, y tratándose de una solicitud de acceso a archivos administrativos, la misma deberá resolverse por la Administración competente, de conformidad con el régimen de acceso establecido en el artículo 37 de la Ley 30/ 1992, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común. TERCERA.- Manifiesta la consultante Entiendo que en nuestro caso solo podremos utilizar los datos ideológicos (filiación ) con el consentimiento del interesado Cuando no contemos con el consentimiento, no usaremos datos de ideología ni sensibles. Por lo tanto, tendríamos dos tipos de tratamientos con dos niveles de seguridad. Por lo que, deberíamos establecer dos protocolos (con medidas de seguridad) diferenciados o deberíamos regular en un único protocolo el uso de los datos recogidos en nuestro fichero, para cada tipo de datos y de tratamiento?: entiendo que algunas medidas se aplican a todos los datos y otras (consentimiento escrito, encriptaciones ) solamente a algunos datos. Las medidas de seguridad que se contemplan y se señalan en la consideración QUINTA del dictamen de 26 de noviembre de 2013 se refieren y son aplicables, no a cada uno de los datos recabados y que van a ser tratados, sino al fichero o tratamiento que contiene dichos datos. Es decir, si se crea un fichero que contiene además de nombre y apellidos, datos de salud o de ideología, al mismo le corresponde unas medidas de Nivel Alto, además de las medidas de nivel básico y medio, de acuerdo con el artículo 81.3.a del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Así parece indicarse cuando en su pregunta se hace referencia a los datos recogidos en nuestro fichero, de lo cual parece deducirse que se va a crear un único fichero en el que se van a recoger los diferentes datos (nombre, apellidos, dirección, edad, datos de salud, ideológicos, creencias.) de las personas que van a ser entrevistadas. Por tanto, si se trata de un único fichero que va a contener datos básicos y en su caso también datos especialmente protegidos, se exigirán medidas de nivel Alto (además de las medidas de nivel básico y medio), por ser de aplicación a los ficheros o tratamientos de datos de carácter personal que se refieran a datos especialmente protegidos. 3

4 CUARTA.- Fuentes accesibles al público: e) Los medios de comunicación social: además de revistas y periódicos, los LIBROS también son fuentes de acceso público? Relacionado con lo anterior, si los libros que vamos a utilizar como fuentes son publicaciones referidas a métodos propios de la investigación científica histórica (página 15, párrafo 5) entiendo que tendríamos la posibilidad de usar dichos datos Es así?. En primer lugar, y como ya se indicó en el dictamen correspondiente a la consulta CN13-036, debemos de partir indicando que sólo son fuentes accesibles al público las enumeradas taxativamente en el artículo 3 j) de la LOPD, complementado por el artículo 7.1 de su Reglamente de desarrollo. Tal y como se indicaba en dicho dictamen, las definiciones que del término fuentes accesibles al público que se ofrece tanto en la LOPD como en su Reglamento de desarrollo, no corresponden necesariamente con la idea comúnmente aceptada de lo que son dichas fuentes, por lo que a la hora de manejar datos personales, el responsable del fichero debe ceñirse a las instrucciones legales de estos textos. La pregunta que se formula es, por tanto, si los libros son considerados medios de comunicación social y por tanto son fuentes accesibles al público. El Diccionario de la Real Academia de la Lengua define libro: (Del lat. liber, libri). 1. m. Conjunto de muchas hojas de papel u otro material semejante que, encuadernadas, forman un volumen. 2. m. Obra científica, literaria o de cualquier otra índole con extensión suficiente para formar volumen, que puede aparecer impresa o en otro soporte. Voy a escribir un libro. La editorial presentará el atlas en forma de libro electrónico. 3. m. Cada una de ciertas partes principales en que suelen dividirse las obras científicas o literarias, y los códigos y leyes de gran extensión. Mientras que define medio de comunicación social como: 1.- Medio de comunicación: m. Órgano destinado a la información pública. Cosa que puede servir para un determinado fin. Medios de transporte, de comunicación 2.- Social: (Del lat. sociālis). adj. Perteneciente o relativo a la sociedad. Entonces, si mezclamos ambos conceptos, podríamos entender como medio de comunicación social el órgano destinado a la información pública destinada a la sociedad, no pudiendo incluir los libros dentro de dicho concepto. De conformidad con lo señalado, debe concluirse que no todos los datos personales que aparecen publicados forman parte de fuentes accesibles al público y, por ello, no pueden ser utilizados sin el consentimiento de los afectados. Como se manifestaba ya en el dictamen de referencia Quizá el ejemplo más claro puede ser el supuesto de Internet. Internet no tiene la consideración de fuente accesible al público, de manera que no se podrán tratar los datos personales que aparezcan en una página web para una finalidad distinta de la que motivó su recogida sin consentimiento del titular de dichos datos personales. 4

5 Es opinión mantenida por esta Agencia al igual que por el resto de autoridades de control que Internet es un canal de comunicación y no un medio de comunicación, por tanto, todo lo que se publica en Internet (sin importar como esté protegido) no tiene la consideración de fuente accesible al público. En este sentido debemos apuntar que en Internet únicamente tendrá la consideración de fuente accesible al público lo que fuera de la Red la tiene, por ejemplo, los boletines o diarios oficiales. En definitiva, el tratamiento de datos personales hechos públicos, que no procedan de fuentes accesibles al público, precisará el consentimiento de los afectados. A la vista de lo anterior, no procede sino concluir que los LIBROS no son medios de comunicación social y, por tanto, no son fuentes accesibles al público a los efectos de la LOPD. Lo cual nos lleva a indicar que en el caso de obtener datos de carácter personal de cualquier otra fuente de información no indicada en el articulado legal, el responsable del fichero deberá obtener siempre el consentimiento previo del afectado. En Vitoria-Gasteiz, a 5 de febrero de