Decisión de la Comisión

de 26 de julio de 2000

con arreglo a la Directiva 95/46/CE del Parlamento Europeo y del Consejo, sobre la adecuación de la protección conferida por los principios de puerto seguro para la protección de la vida privada y las correspondientes preguntas más frecuentes, publicadas por el Departamento de Comercio de Estados Unidos de América

[notificada con el número C(2000) 2441]

(Texto pertinente a efectos del EEE)

(2000/520/CE)

LA COMISIÓN DE LAS COMUNIDADES EUROPEAS,

Visto el Tratado constitutivo de la Comunidad Europea,

Vista la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos(1), y, en particular, el apartado 6 de su artículo 25,

Considerando lo siguiente:

(1) De conformidad con la Directiva 95/46/CE, los Estados miembros deben prever que la transferencia a un tercer país de datos personales únicamente pueda efectuarse cuando el tercer país de que se trate garantice un nivel de protección adecuado y cuando con anterioridad a la transferencia se respeten las disposiciones legales de los Estados miembros adoptadas con arreglo a las demás disposiciones de dicha Directiva.

(2) La Comisión puede determinar que un tercer país garantiza un nivel de protección adecuado. En tal caso, pueden transferirse datos personales desde los Estados miembros sin que sea necesaria ninguna garantía adicional.

(3) De conformidad con la Directiva 95/46/CE, el nivel de protección de los datos debe evaluarse atendiendo a todas las circunstancias que concurran en una transferencia o en una categoría de transferencias de datos, y con respecto a unas condiciones determinadas. El Grupo de trabajo de protección de las personas en lo que respecta al tratamiento de datos personales, previsto en dicha Directiva(2) ha publicado orientaciones sobre la elaboración de dichas evaluaciones(3).

(4) Ante la existencia de enfoques diferentes de la protección de datos en los terceros países, tanto la evaluación del nivel de protección adecuado como la ejecución de cualquier decisión basada en el apartado 6 del artículo 25 de la Directiva 95/46/CE deben hacerse de forma que no resulte en una discriminación arbitraria o injustificada frente a o entre terceros países, si prevalecen en ellos condiciones similares, y no constituya una restricción comercial disimulada habida cuenta de los compromisos internacionales adquiridos por la Comunidad.

(5) El nivel adecuado de protección de la transferencia de datos desde la Comunidad a Estados Unidos de América, reconocido por la presente Decisión, debe alcanzarse si las entidades cumplen los principios de puerto seguro para la protección de la vida privada, con objeto de proteger los datos personales transferidos de un Estado miembro a Estados Unidos de América (en lo sucesivo denominados "los principios"), así las preguntas más frecuentes (en lo sucesivo denominadas "FAQ"), en las que se proporciona orientación para aplicar los principios, publicadas por el Gobierno de Estados Unidos de América con fecha 21 de julio de 2000. Además, las entidades deben dar a conocer públicamente sus políticas de protección de la vida privada y someterse a la jurisdicción de la Federal Trade Commission (Comisión Federal de Comercio, FTC) a tenor de lo dispuesto en el artículo 5 de la Federal Trade Commission Act, en la que se prohíben actos o prácticas desleales o fraudulentas en el comercio o en relación con él, o a la jurisdicción de otros organismos públicos que garanticen el cumplimiento efectivo de los Principios y su aplicación de conformidad con las FAQ.

(6) La presente Decisión no debe aplicarse ni a los sectores ni a los tratamientos de datos que no estén sujetos a la jurisdicción de los organismos estadounidenses enumerados en el anexo VII de la presente Decisión.

(7) Para garantizar que esta Decisión se aplique correctamente, es necesario que las entidades que suscriban los principios y las FAQ puedan ser reconocidas por los interesados (por ejemplo, las personas sobre las que existen datos, los exportadores de datos y las autoridades responsables de la protección de datos). Para ello, el Departamento de Comercio de Estados Unidos de América o su representante debe comprometerse a mantener y poner a disposición del público una lista de las entidades que autocertifiquen su adhesión a los principios y su aplicación de conformidad con las FAQ y que estén sujetas a la jurisdicción de como mínimo uno de los organismos públicos enumerados en el anexo VII de la presente Decisión.

(8) Aunque se compruebe el nivel adecuado de la protección, por motivos de transparencia y para proteger la capacidad de las autoridades correspondientes de los Estados miembros de garantizar la protección de las personas en lo que respecta al tratamiento de sus datos personales, resulta necesario especificar en la presente Decisión las circunstancias excepcionales que pudieran justificar la suspensión de flujos específicos de información.

(9) El "puerto seguro" creado por los principios y las FAQ puede precisar ser objeto de revisión teniendo en cuenta la experiencia adquirida, las novedades relativas a la protección de la vida privada en circunstancias en que la tecnología hace cada vez más fácil la transferencia y tratamiento de datos personales, y los informes de aplicación elaborados por las autoridades correspondientes.

(10) El Grupo de trabajo de protección de las personas en lo que respecta al tratamiento de datos personales, previsto en el artículo 29 de la Directiva 95/46/CE ha emitido dictámenes sobre el nivel de protección que proporcionan los principios en Estados Unidos de América, dictámenes que se han tenido en cuenta en la preparación de la presente Decisión(4).

(11) Las medidas previstas en la presente Decisión se ajustan al dictamen del Comité previsto en el artículo 31 de la Directiva 95/46/CE.

HA ADOPTADO LA PRESENTE DECISIÓN:

Artículo 1

1. A los efectos del apartado 2 del artículo 25 de la Directiva 95/46/CE, para todas las actividades cubiertas por la misma, se considerará que los principios de puerto seguro, (en lo sucesivo denominados "los principios"), que figuran en el anexo I de la presente Decisión, aplicados de conformidad con la orientación que proporcionan las preguntas más frecuentes (en lo sucesivo denominadas "FAQ") publicadas por el Departamento de Comercio de Estados Unidos de América con fecha 21 de julio de 2000, que figuran en el anexo II de la presente Decisión, garantizan un nivel adecuado de protección de los datos personales transferidos desde la Comunidad a entidades establecidas en Estados Unidos de América, habida cuenta de los siguientes documentos publicados por el Departamento de Comercio de Estados Unidos de América:

a) Estudio de aplicación, que figura en el anexo III;

b) Memorando sobre daños y perjuicios por violación de la vida privada y autorizaciones explícitas en la legislación estadounidense, que figura en el anexo IV;

c) Carta de la Comisión Federal de Comercio, que figura en el anexo V;

d) Carta del Departamento estadounidense de Transporte, que figura en el anexo VI.

2. En relación con cada transferencia de datos deberán cumplirse las condiciones siguientes:

a) la entidad receptora de los datos deberá haber manifestado de forma inequívoca y pública su compromiso de cumplir los principios aplicados de conformidad con las FAQ;

b) la entidad estará sujeta a la jurisdicción de uno de los organismos públicos estadounidenses que figuran en el anexo VII de la presente Decisión, que estará facultado para investigar las quejas que se presenten y solicitar medidas provisionales contra las prácticas desleales o fraudulentas, así como reparaciones para los particulares, independientemente de su país de residencia o de su nacionalidad, en caso de incumplimiento de los principios y su aplicación de conformidad con las FAQ.

3. Se considerará que la entidad que autocertifica su adhesión a los principios y su aplicación de conformidad con las FAQ cumple las condiciones mencionadas en el apartado 2 a partir de la fecha en que notifique al Departamento de Comercio de Estados Unidos de América o a su representante el compromiso a que se refiere la letra a) del apartado 2, así como la identidad del organismo público a que se refiere la letra b) del apartado 2.

Artículo 2

La presente Decisión se refiere únicamente a la adecuación de la protección proporcionada en Estados Unidos de América con arreglo a los principios y su aplicación de conformidad con las FAQ a fin de ajustarse a los requisitos del apartado 1 del artículo 25 de la Directiva 95/46/CE, y no afecta a la aplicación de las demás disposiciones de dicha Directiva pertenecientes al tratamiento de datos personales en los Estados miembros, y en particular a su artículo 4.

Artículo 3

1. Sin perjuicio de sus facultades para emprender acciones que garanticen el cumplimiento de las disposiciones nacionales adoptadas de conformidad con disposiciones diferentes del artículo 25 de la Directiva 95/46/CE, las autoridades competentes de los Estados miembros podrán ejercer su facultad de suspender los flujos de datos hacia una entidad que haya autocertificado su adhesión a los principios y su aplicación de conformidad con las FAQ, a fin de proteger a los particulares contra el tratamiento de sus datos personales, en los casos siguientes:

a) el organismo público de Estados Unidos de América contemplado en el anexo VII de la presente Decisión, o un mecanismo independiente de recurso, a efectos de la letra a) del principio de aplicación, que figura en el anexo I de la presente Decisión, ha resuelto que la entidad ha vulnerado los principios y su aplicación de conformidad con las FAQ; o

b) existen grandes probabilidades de que se estén vulnerando los principios; existen razones para creer que el mecanismo de aplicación correspondiente no ha tomado o no tomará las medidas oportunas para resolver el caso en cuestión; la continuación de la transferencia podría crear un riesgo inminente de grave perjuicio a los afectados; y las autoridades competentes del Estado miembro han hecho esfuerzos razonables en estas circunstancias para notificárselo a la entidad y proporcionarle la oportunidad de alegar.

La suspensión cesará en cuanto esté garantizado el cumplimiento de los principios y su aplicación de conformidad con las FAQ y las autoridades correspondientes de la Unión Europea hayan sido notificadas de ello.

2. Los Estados miembros informarán a la Comisión a la mayor brevedad de la adopción de medidas con arreglo al apartado 1.

3. Asimismo, los Estados miembros y la Comisión se informarán recíprocamente de aquellos casos en que la actuación de los organismos responsables del cumplimiento de los principios y su aplicación de conformidad con las FAQ en Estados Unidos de América no garantice dicho cumplimiento.

4. Si la información recogida con arreglo a los apartados 1 a 3 demuestra que un organismo responsable del cumplimiento de los principios y su aplicación de conformidad con las FAQ en Estados Unidos de América no está ejerciciendo su función, la Comisión lo notificará al Departamento de Comercio de Estados Unidos de América y, si procede, presentará un proyecto de medidas con arreglo al procedimiento que establece el artículo 31 de la Directiva, a fin de anular o suspender la presente Decisión o limitar su ámbito de aplicación.

Artículo 4

1. La presente Decisión podrá adaptarse en cualquier momento de conformidad con la experiencia resultante de su aplicación o si el nivel de protección establecido por los principios y las FAQ es superado por los requisitos de la legislación estadounidense.

La Comisión analizará en todo caso, basándose en la información disponible, la aplicación de la presente Decisión tres años después de su [notificación] a los Estados miembros e informará de cualquier resultado pertinente al Comité previsto en el artículo 31 de la Directiva 95/46/CE, en particular de toda prueba que pueda afectar a la evaluación de que las disposiciones del artículo 1 de la presente Decisión proporcionan protección adecuada a efectos del artículo 25 de la Directiva 95/46/CE y de toda prueba de que la presente Decisión se está aplicando de forma discriminatoria.

2. La Comisión presentará, si procede, proyectos de medidas de conformidad con el procedimiento establecido en el artículo 31 de la Directiva 95/46/CE.

Artículo 5

Los Estados miembros adoptarán todas las medidas necesarias para cumplir la presente Decisión, a más tardar en un plazo de noventa días a partir de la fecha de su notificación a los Estados miembros.

Artículo 6

Los destinatarios de la presente Decisión serán los Estados miembros.

Hecho en Bruselas, el 26 de julio de 2000.

Por la Comisión

Frederik Bolkestein

Miembro de la Comisión

(1) DO L 281 de 23.11.1995, p. 31.

(2) La dirección en Internet del Grupo de trabajo es: http://www.europa.eu.int/comm/internal_market/en/media/dataprot/wpdocs/index.htm

(3) WP 12: Transferencias de datos personales a terceros países: aplicación de los artículos 25 y 26 de la Directiva sobre protección de datos de la Unión Europea, aprobado por el Grupo de trabajo el 24 de julio de 1998.

(4) WP 15: Dictamen 1/99 relativo al nivel de protección de datos en Estados Unidos de América y a los debates en curso entre la Comisión Europea y el Gobierno de los Estados Unidos de América.

WP 19: Dictamen 2/99 relativo a la idoneidad de los principios internacionales de puerto de seguro que hizo públicos el Departamento estadounidense de Comercio el 19 de abril de 1999.

WP 21: Dictamen 4/99 relativo a las preguntas más frecuentes que hará públicas el Departamento de Comercio de Estados Unidos de América en relación con la propuesta de principios de puerte seguro.

WP 23: Documento de trabajo sobre el estado del debate entre la Comisión Europea y el Gobierno de Estados Unidos de América acerca de los principios internacionales de puerto seguro.

WP 27: Dictamen 7/99 relativo al nivel de protección de datos previsto por los principios de puerto seguro hechos públicos, junto con las preguntas más frecuentes y otros documentos relacionados, el 15 y 16 de noviembre de 1999 por el Departamento de Comercio de Estados Unidos de América.

WP 31: Dictamen 3/2000 sobre el diálogo entre la Unión Europea y Estados Unidos de América acerca del Acuerdo de "puerto seguro".

WP 32: Dictamen 4/2000 sobre el nivel de protección que proporcionan los principios de puerto seguro.

ANEXO I

PRINCIPIOS DE PUERTO SEGURO (PROTECCIÓN DE LA VIDA PRIVADA)

Publicados por el Departamento de Comercio de Estados Unidos de América el 21 de julio de 2000

El 25 de octubre de 1998 entró en vigor la legislación general sobre la protección de la vida privada en la Unión Europea, es decir, la Directiva relativa a la protección de datos (en adelante denominada "la Directiva"). En ella se dispone que sólo pueden transferirse datos personales a aquellos países no comunitarios que ofrezcan un nivel "adecuado" de protección de la vida privada. Aunque Estados Unidos de América y la Unión Europea comparten el objetivo de mejorar la protección de la vida privada de sus ciudadanos, los primeros siguen un enfoque diferente al de la Unión Europea. el planteamiento de Estados Unidos de América es sectorial y tiene como fundamento una mezcla de legislación, reglamentación, y autorregulación. Dadas las diferencias, muchas entidades estadounidenses han expresado su inquietud sobre las consecuencias del "nivel de adecuación" que exige la Unión Europea para las transferencias de datos personales desde la Unión Europea a Estados Unidos de América.

A fin de disipar la incertidumbre y sentar un marco más predecible para estas transferencias de datos, el Departamento Federal de Comercio publica el presente documento más las preguntas más frecuentes ("los principios"), o FAQ, en su calidad de autoridad competente para estimular, fomentar y desarrollar el comercio internacional. Dichos principios se formularon en consulta con la industria y la opinión pública para facilitar el comercio y las transacciones entre Estados Unidos de América y la Unión Europea. Son de utilización exclusiva de las entidades estadounidenses que reciben datos personales de la Unión Europea, al efecto de reunir los requisitos de "puerto seguro" y obtener la correspondiente presunción de "adecuación". Puesto que los principios se concibieron exclusivamente para lograr este objetivo concreto, resultaría impropia su utilización con otros fines. Los principios no pueden utilizarse para sustituir a las disposiciones nacionales que transponen la Directiva y que se aplican al tratamiento de datos personales en los Estados miembros.

La decisión de adherirse a los requisitos de "puerto seguro" es totalmente voluntaria, pero éstos pueden cumplirse de distintas maneras. Las entidades que decidan adherirse a los principios deben aplicarlos para obtener y conservar las ventajas del puerto seguro y declararlo públicamente. Así, si una entidad se integra en un programa autorregulado de protección de la vida privada que siga los principios mencionados, reúne las condiciones de puerto seguro. También puede reunirlas elaborando sus propias medidas autorreguladoras de protección de la vida privada siempre que se adecuen a dichos principios. Cuando una entidad siga una política de autorregulación completa o parcial que cumpla los principios, la vulneración de dicha autorregulación podrá perseguirse en virtud del artículo 5 de la Federal Trade Commission Act (Ley de la Comisión federal de comercio), por la que se prohíben las practicas desleales o fraudulentas, o de otras leyes o normativas similares. (Véase en el anexo la lista de autoridades competentes estadounidenses reconocidas por la Unión Europea). Además, las entidades sujetas a disposiciones de naturaleza legal, reglamentaria, administrativa u otra (o a reglamentaciones), que protejan con eficacia el secreto de los datos personales, podrán acogerse también a los beneficios del puerto seguro. Los beneficios del puerto seguro surten efecto desde la fecha en que la entidad que desee acogerse a ellos notifique al Departamento Federal de Comercio (o a su representante) su adhesión a los principios, de conformidad con las orientaciones de la FAQ sobre autocertificación.

La adhesión a estos principios puede limitarse: a) cuanto sea necesario para cumplir las exigencias de seguridad nacional, interés público y cumplimiento de la ley; b) por disposición legal o reglamentaria, o jurisprudencia que originen conflictos de obligaciones o autorizaciones explíticas, siempre que las entidades que recurran a tales autorizaciones puedan demostrar que el incumplimiento de los principios se limita a las medidas necesarias para garantizar los intereses legítimos esenciales contemplados por las mencionadas autorizaciones; c) por excepción o dispensa prevista en la Directiva o las normas de Derecho interno de los Estados miembros siempre que tal excepción o dispensa se aplique en contextos comparables. A fin de ser coherentes con el objetivo de mejorar la protección de la vida privada, las entidades deberán esforzarse en aplicar estos principios de manera completa y transparente, lo que incluye indicar en sus políticas de protección de la vida privada cuándo se aplicarán de manera regular las limitaciones a los principios permitidas por la anterior letra b). Por esta misma razón, cuando se permita la opción a tenor de los principios y/o de la legislación de Estados Unidos de América, se espera que las entidades opten por el mayor nivel de protección posible.

Las entidades pudieran desear por razones prácticas o de otro tipo aplicar los principios a todas sus operaciones de tratamiento de datos, pero sólo tendrán que hacerlo con las transferencias de datos una vez que se hayan adherido al "puerto seguro". A efectos de cumplimiento de los requisitos de puerto seguro, las entidades no están obligadas a aplicar dichos principios a la información conservada en sistemas de archivo procesados manualmente. Las entidades que deseen disfrutar del puerto seguro para recibir información conservada en sistemas de archivo procesados manualmente procedente de la Unión Europea deberán aplicar los principios a toda información de este tipo transferida con posterioridad a su entrada en el puerto seguro. Si una entidad desea que los beneficios del puerto seguro se apliquen también a la información sobre recursos humanos transferida desde la Unión Europea para usarla en el contexto de una relación laboral, deberá indicarlo al Departamento de Comercio (o su representante) en la autocertificación y atenerse a los requisitos establecidos en las FAQ relativas a la autocertificación.

Asimismo, las entidades podrán aportar las garantías que exige el artículo 26 de la Directiva si incluyen los principios en aquellos convenios que celebren por escrito con quienes transfieran los datos desde la Unión Europea, siempre que la Comisión y los Estados miembros autoricen las demás cláusulas de este tipo de modelos de contratos.

La legislación estadounidense se aplicará a las cuestiones relativas a la interpretación y el cumplimiento de los principios de puerto seguro (incluidas las FAQ) y a las políticas de protección de la vida privada de las entidades adheridas al puerto seguro, excepto si éstas se han comprometido a cooperar con las autoridades europeas de protección de datos. Salvo que se indique otra cosa, serán aplicables todas las disposiciones de los principios de puerto seguro y las FAQ.

Se entiende por datos personales e información personal los datos referidos a una persona identificada o identificable que entren en el ámbito de la Directiva y sean recibidos desde la Unión Europea por entidades estadounidenses, cualquiera que sea la forma en que se registren.

NOTIFICACIÓN

Las entidades informarán a los particulares de los fines con los que cuales recogen y utilizan información sobre ellos; la forma de contactar con ellas para cualquier pregunta o queja; los tipos de terceros a los cuales se revelará la información; las opciones y medios que la entidad ofrece a los particulares para limitar su uso y su divulgación. La notificación se hará en lenguaje claro y transparente la primera vez que se invite a los particulares a proporcionar a la entidad información personal o, posteriormente, tan pronto como sea posible, pero en cualquier caso antes de que la entidad use dicha información para un fin distinto de aquel con el que inicialmente la recogió o trató la entidad que la transfiere o la divulga por primera vez a un tercero(1).

OPCIÓN

Las entidades ofrecerán a los particulares la posibilidad de decidir (exclusión) si su información personal: a) puede divulgarse a un tercero(2) o bien b) puede usarse para un fin incompatible con el objetivo inicial con el que fue recogida o no haya sido autorizado posteriormente por el particular. Se deben proporcionar a los particulares mecanismos claros y transparentes, fácilmente disponibles y asequibles para ejercer su derecho de opción. Si se trata de información delicada, como datos sobre el estado de salud, el origen racial o étnico, las opiniones políticas, las creencias religiosas o filosóficas, la afilicación sindical o la vida sexual de la persona, la opción de participar será afirmativa o explícita (aceptación) si la información va a revelarse a un tercero o a utilizarse para un fin distinto del que inicialmente motivó la recogida de información o de una manera distinta a la autorizada con posterioridad por éste al optar por la "aceptación". En cualquier caso, una entidad debe tratar como delicada toda información recibida de un tercero cuando dicho tercero la identifique y la trate como información delicada.

TRANSFERENCIA ULTERIOR

Para revelar información a terceros, las entidades deberán aplicar los principios de notificación y opción. Cuando una entidad desee transferir los datos a un tercero que actúe como agente, como se describe en la nota final, podrá hacerlo si previamente se asegura de que éste suscribe los principios, si es objeto de una resolución sobre su "adecuación" con arreglo a la Directiva u otra disposición o si firma con él un convenio por escrito para que ofrezca como mínimo el mismo nivel de protección de la vida privada que el requerido por dichos principios. Si la entidad cumple estos requisitos, no será responsable (a menos que la propia entidad acuerde lo contrario) del tratamiento realizado por el tercero a quien haya transferido este tipo de información y que vulnere las limitaciones o estipulaciones establecidas, a menos que la entidad sepa, o debiera saber, que el tercero realizaría dicho tratamiento y no haya adoptado medidas razonables para impedir o detener tal tratamiento.

SEGURIDAD

Las entidades que creen, mantengan, utilicen o difundan información personal tomarán precauciones razonables para evitar su pérdida, su mal uso y consulta no autorizada, su divulgación, su modificación y su destrucción.

INTEGRIDAD DE LOS DATOS

De acuerdo con los principios, la información personal debe ser pertinente para los fines con los que se utiliza. Una entidad no podrá tratar la información personal de manera incompatible con los fines que motivaron su recogida o aprobó posteriormente el particular. En la medida necesaria para alcanzar dichos fines, las entidades adoptarán medidas razonables para que los datos tengan fiabilidad para el uso previsto y sean exactos, completos y actuales.

ACCESO

Los particulares deberán tener acceso a la información personal que las entidades tengan sobre ellos y poder corregir, modificar o suprimir dicha información si resultase inexacta, excepto en dos casos: cuando permitir el acceso suponga una carga o dispendio desproporcionado en relación con los riesgos que el asunto en cuestión conlleve para la vida privada de la persona; o cuando puedan vulnerarse los derechos de otras personas.

APLICACIÓN

Una protección eficaz de la vida privada debe incluir mecanismos para garantizar la conformidad con los principios, una vía de recurso para las personas a que se refieran los datos y se vean afectadas por el incumplimiento de dichos principios y sanciones contra la entidad incumplidora. Como mínimo, tales mecanismos deben incluir: a) una vía de recurso independiente, asequible e inmediatamente disponible para investigar y resolver con arreglo a los principios las denuncias y litigios de los particulares y otorgar daños y perjuicios donde determinen la legislación aplicable o las iniciativas del sector privado; b) procedimientos de seguimiento para comprobar que los certificados y declaraciones de las empresas sobre sus prácticas en materia de vida privada se ajustan a la verdad y que dichas prácticas se aplican en consecuencia; y c) obligación de subsanar los problemas derivados del incumplimiento de los principios para las entidades que se hayan adherido a ellos y las sanciones correspondientes contra ellas, que serán lo suficientemente rigurosas para garantizar su cumplimiento.

(1) La notificación o la opción no son necesarias cuando la información se revela a un tercero que ejecute un cometido, como agente, en nombre y bajo instrucciones de la entidad. No obstante, en este caso sí se aplica el principio de transferencia ulterior.

(2) La notificación o la opción no son necesarias cuando la información se revela a un tercero que ejecute un cometido, como agente, en nombre y bajo instrucciones de la entidad. No obstante, en este caso sí se aplica el principio de transferencia ulterior.

Anexo

Lista de organismos jurídicos de Estados Unidos de América reconocidos por la Unión Europea

La Unión Europea reconoce la competencia de los siguientes organismos públicos estadounidenses para investigar las quejas y solicitar medidas provisionales contra las prácticas desleales o fraudulentas, así como preparaciones para los particulares en caso de incumplimiento de los principios aplicados de conformidad con las FAQ:

- la Comisión Federal de Comercio (Federal Trade Commission, FTC) con arreglo a la competencia que le confiere el artículo 5 de la Ley de la Comisión Federal de Comercio,

- el Departamento de Transporte con arreglo a la competencia que le confiere el artículo 41712 del título 49 del United States Code.

ANEXO II

PREGUNTAS MÁS FRECUENTES (FAQ)

FAQ n° 1 - Datos especialmente protegidos

P: ¿Debe una entidad ofrecer siempre de modo explícito la opción de participar cuando se trate de datos especialmente protegidos?

R: No, puesto que no es necesario optar cuando el tratamiento: 1) se realiza en función de intereses vitales de la persona afectada o de otra persona; 2) es necesario para preparar un recurso o acción en justicia; 3) se requiere para hacer un diagnóstico médico; 4) se lleva a cabo en el marco de las legítimas actividades de una fundación, asociación o cualquier otro organismo sin fines lucrativos que persiga un objetivo político, filosófico, religioso o sindical, a condición de que el tratamiento se refiera exclusivamente a los miembros del organismo o a las personas que tienen contactos habituales con él relacionados con sus fines, y a condición de que los datos no se revelen a terceros sin el consentimiento de los interesados; 5) es necesario para que la entidad cumpla sus obligaciones en materia de Derecho laboral; o 6) se refiere a información hecha pública de modo manifiesto por el particular.

FAQ n° 2 - Excepciones del periodismo

P: Habida cuenta del amparo que la Constitución de Estados Unidos de América ofrece a la libertad de prensa, así como de las excepciones que contempla la Directiva en materia de periodismo, ¿se aplican los principios de puerto seguro a la información de carácter personal recogida, mantenida o divulgada con fines periodísticos?

R: Cuando el derecho a la libertad de prensa consagrado en la Primera Enmienda de la Constitución de Estados Unidos de América entra en conflicto con los intereses de la protección de la vida privada, la Primera Enmienda debe regir el equilibrio de tales intereses en lo tocante a las actividades de particulares o entidades estadounidenses. La información personal que se recoge con fines de publicación, transmisión u otras formas de comunicación pública de material periodístico, aunque no se utilice, así como la información que se recabe de material de archivo publicado anteriormente, no están sujetas a los requisitos de los principios de puerto seguro.

FAQ n° 3 - Responsabilidad subsidiaria

P: Los proveedores de servicios Internet, los operadores de telecomunicaciones u otras entidades, ¿son responsables desde el punto de vista de los principios de puerto seguro cuando, en nombre de otra entidad, se limitan a transmitir, encaminar, intercambiar o almacenar temporalmente información contraviniendo sus preceptos?

R: No. Tal como la propia Directiva, el puerto seguro no genera una responsabilidad subsidiaria. Si una entidad actúa como mero conducto de los datos transmitidos por terceros y no es determinante ni de la finalidad ni de los medios de tratamiento de los datos personales, no será responsable.

FAQ n° 4 - Bancos de inversiones y sociedades de auditoría

P: Las actividades de bancos de inversiones y sociedades de auditoría podrían suponer el tratamiento de datos personales sin autorización o conocimiento del interesado. ¿En qué circunstancias autorizan este proceder los principios del puerto seguro relativos a la notificación, la opción y el acceso?

R: Los bancos de inversiones o las sociedades de auditoría pueden tratar información sin conocimiento del interesado sólo en la medida y durante el período necesarios para cumplir las normas o satisfacer las exigencias del interés público, así como en otras circunstancias en que la aplicación de estos principios perjudicaría los intereses legítimos de la entidad. Entre éstos se cuenta la supervisión del cumplimiento por las empresas de sus obligaciones legales y las actividades legítimas de contabilidad, así como la necesidad de secreto relacionada con posibles adquisiciones, fusiones, joint ventures u otras operaciones similares llevadas a cabo por los bancos de inversiones o las sociedades de auditoría.

FAQ n° 5(1) - La función de las autoridades de protección de datos

P: ¿Qué forma adoptarán y cómo se aplicarán los compromisos de colaboración de las empresas con las autoridades de protección de datos (APD) de la Unión Europea?

R: Las entidades estadounidenses que reciban datos personales procedentes de la Unión Europea deberán comprometerse a utilizar mecanismos eficaces para dar cumplimiento a los principios del puerto seguro. En concreto y con arreglo al principio de aplicación, dichos mecanismos establecerán: a) vías de recurso para los particulares a que se refieran los datos; b) procedimientos de seguimiento para comprobar la sinceridad de las afirmaciones y declaraciones de las entidades sobre el respeto de la intimidad, y c) la obligación de éstas de subsanar los problemas que surjan por el incumplimiento de los principios, así como de asumir sus consecuencias. Una entidad puede satisfacer las letras a) y c) del principio de aplicación si se adhiere a los requisitos de colaboración con las autoridades de protección de datos (APD) de la presente FAQ.

Una entidad puede comprometerse a colaborar con las APD declarando en su certificación de puerto seguro dirigida al Departamento de Comercio (véase la FAQ no 6 sobre autocertificación) que:

1) opta por cumplir las letras a) y c) del principio de aplicación del puerto seguro comprometiéndose a colaborar con las APD competentes;

2) colaborará con las APD competentes en la investigación y resolución de las quejas que se formulen con arreglo al puerto seguro;

3) cumplirá las decisiones de la APD cuando ésta determine que la entidad debe tomar medidas concretas para cumplir los principios de puerto seguro, y en particular el pago de indemnizaciones o compensaciones en beneficio de los afectados por el incumplimiento de los principios, y notificará por escrito a la APD la adopción de dichas medidas.

Las APD colaborarán con información y asesoramiento, que se prestarán de la manera siguiente:

- Las APD proporcionarán asesoramiento a través de un panel informal de APD de ámbito europeo, que permitirá, entre otras cosas, seguir un enfoque armonizado y coherente.

- El panel asesorará a las entidades estadounidenses involucradas en quejas no resueltas de particulares, sobre el tratamiento de información personal transferida desde la Unión Europea dentro del puerto seguro. Esta actividad de asesoramiento tendrá como finalidad la correcta aplicación de los principios de puerto seguro y conllevará la indemnización de los afectados que las APD consideren adecuada.

- El panel proporcionará este tipo de asesoramiento en respuesta tanto a los casos que le remitan las entidades afectadas, como a las quejas que reciba directamente de particulares contra entidades que se hayan comprometido a colaborar con las APD en el marco del puerto seguro. Simultáneamente, animará y, en su caso, ayudará a los particulares en un primer momento a hacer uso de las modalidades internas de resolución de litigios que ofrezcan las entidades.

- Sólo se proporcionará asesoramiento una vez que las partes en litigio hayan dispuesto de una oportunidad razonable de hacer sus observaciones y aportar las pruebas que deseen. El panel tratará de dar su consejo tan pronto como lo permita esta exigencia de garantía jurisdiccional y, de modo general, en un plazo de sesenta días tras recibir la queja o la remisión, o antes si es posible.

- El panel hará público los resultados de sus deliberaciones sobre las quejas si lo considera conveniente.

- El asesoramiento del panel no conllevará responsabilidad alguna ni para éste ni para una APD en concreto.

Como se señaló anteriormente, las entidades que escojan esta opción para la resolución de litigios deben comprometerse a cumplir el consejo de la APD. Si una entidad persiste en el incumplimiento transcurridos veinticinco días desde que se recibió consejo y no ha dado una explicación satisfactoria sobre el retraso, el panel notificará su intención ya sea de someter la cuestión a la Comisión Federal de Comercio u otro organismo federal o estatal de Estados Unidos de América con jurisdicción para actuar en casos de fraude o engaño, o de certificar que se ha vulnerado gravemente el acuerdo de cooperación, por lo que deberá considerarse nulo de pleno derecho. En este último caso, el panel informará al Departamento de Comercio (o a su representante) de la consiguiente modificación de la lista de participantes del puerto seguro. Todo incumplimiento del compromiso de cooperar con las APD, así como de los principios de puerto seguro, podrá originar un procedimiento por fraude de conformidad con el artículo 5 de la Ley de la Comisión Federal de Comercio o norma similar.

Las entidades que escojan esta opción deberán pagar una tasa anual para cubrir el coste de funcionamiento del panel. Además, podría solicitárseles que se hagan cargo de los gastos de traducción derivados de las deliberaciones del panel sobre las quejas que les afecten. La tasa anual no sobrepasará los 500 dólares estadounidenses y será de menor cuantía para las empresas más pequeñas.

Las entidades que suscriban el puerto seguro podrán optar por cooperar con las APD durante un período de tres años. Al final de dicho período, las APD podrán reconsiderar el acuerdo si el número de las entidades estadounidenses que hayan escogido esta opción resulta excesivo.

FAQ n° 6 - Autocertificación

P: ¿De qué modo una entidad autocertifica su adhesión a los principios de puerto seguro?

R: Los beneficios del puerto seguro se garantizan desde la fecha en que una entidad autocertifica ante el Departamento de Comercio, o su representante, su adhesión a los principios de conformidad con las directrices que se indican a continuación.

Para proceder a la autocertificación, las entidades pueden proporcionar al Departamento de Comercio (o a su representante) una carta firmada por uno de los responsables de la empresa en nombre de la entidad que se adhiere al puerto seguro, que contendrá cuando menos la información siguiente:

1) nombre de la entidad, señas postales y de correo electrónico, teléfono y fax;

2) descripción de las actividades de la entidad en lo relativo a la información personal recibida de la Unión Europea; y

3) descripción de su política de protección de la vida privada respecto de dicha información personal, con indicación de: a) el lugar donde puede consultarla el público; b) la fecha de entrada en vigor de dicha política; c) una oficina de contacto para la tramitación de las quejas, las solicitudes de acceso y cualquier otra cuestión relacionada con los principios de puerto seguro; d) el organismo oficial concreto con jurisdicción para entender de cualquier queja contra la entidad por posibles prácticas desleales o fraudulentas y vulneraciones de las leyes o normas sobre la vida privada (y citado en el anexo de los principios); e) el nombre de los programas de protección de la vida privada a los que esté adscrita la entidad; f) el método de verificación (por ejemplo, interna, por terceros)(2); y g) la instancia independiente de recurso que se ocupará de investigar las quejas no resueltas.

Si la entidad desea que los beneficios del puerto seguro se apliquen a la información sobre recursos humanos transferida desde la Unión Europea para usarla en el contexto de la relación laboral, puede hacerlo siempre que exista un organismo oficial con jurisdicción para entender de cualquier queja contra la entidad provocada por información sobre recursos humanos citado en el anexo de los principios. Además, la entidad deberá indicarlo en su carta y expresar su compromiso de cooperar con las autoridades comunitarias de conformidad con las FAQ nos 9 y 5, según el caso, y que cumplirá las recomendaciones de dichas autoridades.

El Departamento (o su representante) llevará una lista de las entidades que presenten dichas cartas, dispensándoles por consiguiente los beneficios del puerto seguro. Asimismo, actualizará la lista con las cartas anuales y las notificaciones recibidas de conformidad con la FAQ no 11. Las cartas de autocertificación se presentarán por lo menos una vez al año. De lo contrario, la entidad será eliminada de la lista y dejarán de dispensársele los beneficios del puerto seguro. Tanto la lista como las cartas de autocertificación remitidas por las entidades se harán públicas. Las entidades que autocertifican su adhesión a los principios de puerto seguro indicarán también este extremo en las declaraciones relativas a su política de protección de la vida privada.

El compromiso de adhesión a los principios de puerto seguro respecto a los datos recibidos durante el período en que la entidad disfruta de los beneficios del puerto seguro no está limitado en el tiempo. Según este compromiso, continuarán aplicándose los principios a dichos datos mientras la entidad los almacene, utilice o divulgue, aunque posteriormente se desvincule del puerto seguro por cualquier motivo.

Una entidad que deje de existir como persona jurídica independiente a resultas de una fusión o adquisición deberá notificarlo previamente al Departamento de Comercio (o su representante). La notificación deberá indicar también si la entidad adquirente o la entidad resultante de la fusión: 1) mantendrá su adhesión a los principios de puerto seguro en virtud de la normativa sobre adquisiciones o fusiones, o bien 2) opta por autocertificar su adhesión a los principios de puerto seguro o establece otras salvaguardias, por ejemplo un acuerdo escrito que garantice la adhesión a los principios de puerto seguro. Si no se aplican los anteriores puntos 1 o 2, cualquier dato que se haya adquirido en el marco del puerto seguro deberá suprimirse inmediatamente.

La entidad no necesita someter a los principios de puerto seguro toda la información personal, perso sí deberá aplicar los principios de puerto seguro a todos los datos personales recibidos desde la Unión Europea a partir del momento en que se adhiera al puerto seguro.

Cualquier deficiencia de la información dada a conocer al público en lo relativo a la adhesión de la entidad a los principios de puerto seguro podrá denunciarse ante la Comisión Federal de Comercio u otra instancia oficial competente. Las deficiencias de la información proporcionada al Departamento de Comercio (o a su representante) podrán perseguirse en virtud de la False Statements Act (Ley sobre declaraciones falsas, 18USC § 1001).

FAQ n° 7 - Verificación

P: ¿Qué procedimientos ofrecen las entidades para verificar que los certificados y declaraciones que presentan las empresas sobre sus prácticas de protección de la vida privada de puerto seguro son ciertos y que estas prácticas se han aplicado de la manera indicada y de conformidad con los principios de puerto seguro?

R: Para reunir los requisitos de verificación del principio de aplicación, una entidad puede verificar los certificados y declaraciones mencionados mediante autoevaluación o mediante verificaciones por terceros.

Siguiendo el método de autoevaluación, la verificación debería indicar que la política de protección de la vida privada respecto a la información personal recibida de la Unión Europea y hecha pública por la entidad es precisa, completa, está expuesta de manera destacada, se ha aplicado en su totalidad y es accesible. Asimismo, debería indicar que dicha política cumple los principios de puerto seguro; que los particulares reciben información sobre los mecanismos de resolución de quejas de que disponen; que ha puesto en marcha los procedimientos, ofrece formación a los trabajadores para su aplicación y aplica medidas disciplinarias en caso de que no los cumplan; y que ha puesto en marcha procedimientos internos para efectuar periódicamente revisiones objetivas sobre el cumplimiento de todo lo anterior. Un directivo u otro representante autorizado de la empresa debería firmar un informe de verificación de la autoevaluación como mínimo una vez al año y éste debería difundirse a petición de los consumidores o en el contexto de posibles investigaciones o quejas por incumplimiento.

Las entidades deberían conservar registros sobre la aplicación de sus prácticas de puerto seguro de protección de la vida privada, y ponerlos a disposición cuando se soliciten en caso de investigaciones o quejas por incumplimiento ante los organismos independientes encargados de ellas o competentes en materia de prácticas desleales y fraudulentas.

Cuando la entidad haya elegido someterse a la verificación por terceros, dicha verificación deberá demostrar que la política de la entidad en cuanto a la vida privada relativa a la información personal recibida de la Unión Europea se ajusta a los principios de puerto seguro, que se está cumpliendo y que los particulares reciben información sobre los mecanismos de queja. Los métodos de verificación pueden incluir, a título meramente enunciativo, auditorías, comprobaciones imprevistas, el uso de "señuelos" o de herramientas tecnológicas, según se considere apropiado. El informe de que se ha completado satisfactoriamente la verificación por terceros deberá portar la firma del revisor o del directivo u otro representante autorizado de la empresa, se elaborará como mínimo una vez al año y se difundirá a petición de los consumidores o en el contexto de posibles investigaciones o quejas por incumplimiento.

FAQ n° 8 - Acceso

Principio de "acceso"

Los particulares tendrán acceso a la información personal que sobre ellos detenten las entidades. Podrán corregirla o modificarla si es inexacta, excepto en dos casos: cuando ello suponga una carga o dispendio claramente desproporcionado en relación con los riesgos que el asunto en cuestión conlleve para la intimidad de la persona; o cuando puedan vulnerarse los legítimos derechos de otras personas.

P. 1: ¿Es el derecho de acceso un derecho absoluto?

R. 1: No. De acuerdo con los principios de puerto seguro, el derecho de acceso es fundamental para la protección de la intimidad. En particular, permite a las personas verificar la presión de la información existente sobre ellas. No obstante, la obligación que tiene una entidad de proporcionar acceso a la información personal que posee sobre una persona está sujeta al principio de proporcionalidad o razonabilidad y debe suavizarse en determinados casos. De hecho, la exposición de motivos de las Directrices sobre intimidad de la Organización de Cooperación y Desarrollo Económico (OCDE) de 1980 establece claramente que la obligación de ofrecer acceso de una entidad no es absoluta. No exige la búsqueda excesivamente detallada requerida, por ejemplo, para una citación judicial, ni tampoco exige dar acceso a todos los formatos distintos en los que la entidad puede mantener la información.

La experiencia ha demostrado que, al responder a las peticiones de acceso de los afectados, las entidades deben guiarse por los motivos de preocupación que provocaron inicialmente la petición. Por ejemplo, si una petición de acceso es vaga o muy amplia, la entidad puede dialogar con el afectado para comprender mejor los motivos de la petición y localizar la información correspondiente. La entidad podría indagar sobre los departamentos con los que ha tenido contacto el afectado o sobre la naturaleza (o el uso) de la información a la que solicita acceder. No obstante, los afectados no tienen que justificar las peticiones de acceso a sus propios datos.

Las cargas y dispendios son factores importantes y deberían tenerse en cuenta, pero no son determinantes a la hora de decidir si es razonable facilitar el acceso. Por ejemplo, si la información se está utilizando para tomar decisiones que afectarán significativamente a la persona (por ejemplo, la concesión o denegación de ventajas importantes, como un seguro, una hipoteca o un puesto de trabajo), de conformidad con los demás preceptos de estas FAQ, la entidad debería proporcionar la información aunque sea relativamente difícil o costoso.

Si la información solicitada no se refiere a datos especialmente protegidos o no se emplea en decisiones que afecten significativamente a la persona (por ejemplo, información de márketing que no incluye datos especialmente protegidos y que se utiliza para decidir si se envía un catálogo a una persona), pero es fácil de consultar y no cuesta nada, la entidad tendría que proporcionar acceso a los datos que tiene almacenados sobre el afectado. La información pertinente podría incluir datos proporcionados por el propio individuo, datos recopilados en el transcurso de una transacción o datos obtenidos a través de terceros y que estén relacionados con la persona.

De conformidad con la naturaleza fundamental del acceso, las entidades siempre deben esforzarse de buena fe en facilitar el acceso. Por ejemplo, cuando se necesite proteger cierta información y ésta pueda separarse fácilmente del resto de información sujeta a una petición de acceso, la entidad debería guardar la información protegida y facilitar el resto. Si una entidad decide que debe denegar el acceso en algún caso concreto, debe ofrecer a la persona que solicita dicho acceso una explicación de los motivos que han provodado tal decisión e indicarle un punto de contacto en caso de duda.

P. 2: ¿Qué es la información comercial confidencial? ¿Pueden las entidades denegar el acceso para protegerla?

R. 2: La información comercial confidencial (en el uso dado al término "confidential commercial information" en la Ley federal de enjuiciamiento civil en materia de divulgación de la información) son los datos que una entidad ha considerado que debe proteger contra la divulgación, dado que su conocimiento ayudaría a un competidor en el mercado. Un programa informático utilizado por la entidad, por ejemplo, un programa de modelización, o los detalles de dicho programa pueden ser información comercial confidencial. Cuando la información comercial confidencial se pueda separar fácilmente del resto de información sujeta a una petición de acceso, la entidad debería guardar la información comercial confidencial y facilitar la información no confidencial. Las entidades pueden denegar o limitar el acceso para no revelar su propia información comercial confidencial, en la acepción mencionada (predicciones de márketing o clasificaciones confeccionadas por la entidad), o la de otra entidad, cuando dicha información esté sujeta a una obligación contractual de confidencialidad, en aquellas circunstancias en las que normalmente se cumpliría o se impondría tal obligación de confidencialidad.

P. 3: A la hora de proporcionar el acceso ¿puede una entidad facilitar a los afectados la información personal de que disponga sobre ellos extraída de sus bases de datos o se exige el acceso a la propia base de datos?

R. 3: El acceso se puede facilitar directamente a través de un informe de la entidad al afectado y no exige que dicha persona acceda a la base de datos de la entidad.

P. 4: ¿Deben las entidades reestructurar sus bases de datos para poder facilitar el acceso?

R. 4: Solamente es necesario facilitar el acceso en la medida en que la entidad almacene información. El principio de acceso no crea de por sí ninguna obligación de obtener, mantener, reorganizar ni reestructurar ficheros de datos personales.

P. 5: Estas respuestas aclaran que el acceso se puede denegar en determinadas circunstancias. ¿En qué otras circunstancias podrían las entidades denegar a los afectados el acceso a su información personal?

R. 5: Estas circunstancias son limitadas y las razones para denegar el acceso deben ser específicas. Una entidad puede negarse a proporcionar acceso a la información en la medida en que sea probable que su difusión interfiera con la protección de intereses públicos importantes equivalentes, como la seguridad del Estado, la defensa o la seguridad pública. Además, si la información personal se trata exclusivamente para fines de investigación o estadísticos, el acceso se puede denegar. Entre otros motivos para denegar o limitar el acceso cabe citar los siguientes:

a) interferencia en la ejecución o aplicación de la ley, especialmente en la prevención, investigación o detección de delitos o el derecho a un juicio justo;

b) interferencia en juicios privados, especialmente en la prevención, investigación o detección de reclamaciones contenciosas o el derecho a un juicio justo;

c) divulgación de información personal relativa a terceras personas en caso de que no se puedan separar dichas referencias;

d) vulneración de un privilegio o una obligación jurídica o profesional;

e) incumplimiento de la confidencialidad necesaria de negociaciones presentes o futuras, como las relacionadas con la adquisición de empresas cotizadas en bolsa;

f) perjuicio para investigaciones sobre seguridad de los trabajadores o procedimientos de resolución de conflictos;

g) perjuicio para el sigilo que pueda ser necesario durante períodos limitados en relación con la planificación de la sucesión de trabajadores y la reorganización empresarial;

h) perjuicio de la confidencialidad necesaria para las funciones de control, inspección o regulación relacionadas con la buena gestión económica o financiera;

i) otras circunstancias en que la carga o dispendio necesarios para facilitar el acceso sean desproporcionados o se vulneren los derechos o intereses legítimos de otras personas.

Una entidad que se acoja a una excepción tendrá que demostrar que corresponde aplicarla (como suele suceder). Como se indica anteriormente, se debe informar al afectado de los motivos por los que se deniega o limita el acceso y se le debe proporcionar un contacto para consultas posteriores.

P. 6: ¿Pueden las entidades cobrar una cuota para cubrir el coste del acceso?

R. 6: Sí. Las directrices de la OCDE admiten que las entidades cobren una cuota, siempre que no sea excesiva. Por tanto, las entidades pueden cobrar una cuota razonable por el acceso, lo que puede resultar de utilidad para evitar peticiones repetitivas y enojosas.

Por tanto, las entidades dedicadas a la venta de información de dominio público podrán cobrar los honorarios habituales para responder a las peticiones de acceso. Alternativamente, los afectados podrán acceder a su información directamente a través de la entidad que haya compilado los datos inicialmente.

No podrá denegarse el acceso por motivos de coste si el particular se ofrece a pagarlo.

P. 7: ¿Deben las entidades proporcionar acceso a información personal extraída de registros públicos?

R. 7: En primer lugar, es preciso aclarar que los registros públicos son los registros que mantienen los órganos o entidades gubernamentales de cualquier nivel y que los ciudadanos pueden consultar. No es necesario aplicar el principio de acceso a estos datos siempre que no se combinen con otra información personal, excepto en el caso de que se usen algunos datos de registros que no sean públicos para indizar u organizar la información de los registros públicos. Sin embargo, deberán respetarse las condiciones de consulta establecidas por la jurisdicción correspondiente. Asimismo, cuando la información de registros públicos se combina con información de otros registros que no sean públicos (con la excepción indicada anteriormente) las entidades deben facilitar el acceso a toda la información, suponiendo que no esté sujeta a otras excepciones permitidas.

P. 8: ¿Debe aplicarse el principio de acceso a la información personal de dominio público?

R. 8: Como sucede con la información de los registros públicos (véase la P. 7), no es necesario facilitar el acceso a la información de dominio público siempre que no se combine con información que no sea de dominio público.

P. 9: ¿Cómo puede protegerse una entidad contra las peticiones de acceso repetitivas o vejatorias?

R. 9: Las entidades no tienen que responder a estas peticiones de acceso. Éste es el motivo de que las entidades puedan cobrar una cuota razonable y establecer límites razonables en cuanto al número de veces que responderán en un período determinado a las peticiones de acceso de cada persona. Al definir estos límites, la entidad debe analizar factores tales como la frecuencia con que se actualiza la información, los fines para los que se usan los datos y la naturaleza de éstos.

P. 10: ¿Cómo puede protegerse una entidad contra las peticiones de acceso fraudulentas?

R. 10: No se exige a las entidades que proporcionen acceso a menos que reciban información suficiente para confirmar la identidad de la persona que realiza la petición.

P. 11: ¿Existe un plazo para responder a las peticiones de acceso?

R. 11: Sí, las entidades deben responder sin demoras excesivas y en un plazo de tiempo razonable. Este requisito se puede cumplir de distintos modos, como se indica en el memorándum explicativo de las Directrices sobre intimidad de la OCDE de 1980. Por ejemplo, el responsable de un fichero de datos que facilite información a intervalos regulares puede estar exento de la obligación de responder inmediatamente a peticiones individuales.

FAQ n° 9 - Recursos humanos

P. 1: ¿Está cubierta por los principios de puerto seguro la transferencia de la Unión Europea a Estados Unidos de América de información personal obtenida en el contexto de la relación laboral?

R. 1: Sí, cuando una empresa ubicada en la Unión Europea transfiera información personal de sus trabajadores (pasada o presente) obtenida en el contexto de la relación laboral a una matriz, filial o a un proveedor de servicio no asociado ubicado en Estados Unidos de América que se haya adherido al puerto seguro, la transferencia disfruta de las ventajas del puerto seguro. En tal caso, la recogida de la información y su tratamiento previo a la transferencia se habrá sometido a la legislación nacional del país de la Unión Europea donde se haya realizado y a cualquier condición o restricción aplicable a su transferencia de conformidad con la normativa vigente.

Los principios de puerto seguro solamente son pertinentes cuando se transfieran registros identificados de manera individual o se acceda a ellos. Los informes estadísticos basados en datos generales sobre empleo o el uso de datos disociados o en los que se hayan utilizado seudónimos no plantean problemas para el derecho a la vida privada.

P. 2: ¿Cómo se aplican los principios de notificación y opción a dicha información?

R. 2: Aquellas entidades estadounidenses que hayan recibido de la Unión Europea información sobre los trabajadores dentro del puerto seguro podrán revelarla a terceros y utilizarla con fines diferentes exclusivamente con arreglo a los principios de notificación y de opción. Por ejemplo, cuando las entidades estadounidenses deseen utilizar la información personal obtenida a través de la relación laboral para fines no relacionados con los laborales, como comunicaciones de márketing, deberán facilitar a los afectados el ejercicio de la opción antes de hacerlo, a menos que éstos hayan autorizado la utilización de la información para tales fines. Es más, esta opción no se utilizará para limitar sus oportunidades laborales ni para sancionarles.

Debe advertirse que es preciso cumplir algunas condiciones de aplicación general a las transferencias procedentes de los Estados miembros, las cuales pueden excluir otras utilizaciones de la información incluso después de su transferencia fuera de la Unión Europea.

Además, los empresarios deberán realizar todos los esfuerzos razonables para responder a las preferencias de sus trabajadores en cuanto a la vida privada. Esto incluirá, por ejemplo, restringir el acceso a los datos, disociar determinados datos o bien asignar códigos o seudónimos cuando no se necesiten los nombres para la finalidad de gestión de que se trate.

La entidad no aplicará los principios de notificación y opción en la medida y tiempo necesarios para que no haya perjuicio de sus intereses legítimos cuando tome decisiones sobre ascensos, nombramientos y otras decisiones laborales similares.

P. 3: ¿Cómo se aplica el principio de acceso?

R. 3: Las FAQ sobre acceso ofrecen orientación sobre los motivos que pueden justificar la denegación o limitación del acceso previa petición en el ámbito de los recursos humanos. Por supuesto, los empresarios de la Unión Europea deben cumplir las normativas locales y garantizar que los trabajadores europeos tienen acceso a la información de la forma exigida por ley en sus países, independientemente del lugar donde se traten y almacenen los datos. Los principios de puerto seguro exigen a las entidades que tratan estos datos en Estados Unidos de América que cooperen a la hora de facilitar el acceso directamente o a través del empresario de la Unión Europea.

P. 4: ¿Cómo se gestionará la aplicación forzosa de los principios de puerto seguro para los datos sobre trabajadores?

R. 4: En la medida en que la información se utilice exclusivamente en el contexto de la relación laboral, la responsabilidad principal sobre los datos relativos al trabajador recae en la entidad de Estados Unidos de América. De ello se deduce que, cuando los trabajadores europeos planteen quejas sobre la violación de sus derechos de protección de datos y no estén satisfechos con los resultados de los procedimientos de verficiación interna, queja y apelación (o con cualquier procedimiento de resolución de conflictos a tenor de un contrato con organizaciones sindicales), deben dirigirse a la agencia nacional de protección de datos o a la autoridad en materia laboral correspondiente a su jurisdicción. Se incluyen también los casos en que la presunta gestión inadecuada de la información personal haya tenido lugar en Estados Unidos de América, sea responsabilidad no del empresario sino de la entidad estadounidense que haya recibido la información a través del empresario y, por consiguiente, suponga un presunto incumplimiento de los principios de puerto seguro y no de la legislación nacional por la que se transpone la Directiva. Será el método más eficaz para abordar los derechos y obligaciones, con frecuencia coincidentes, impuestos por la legislación local en materia de empleo y por los convenios colectivos, así como por la legislación sobre protección de datos.

Una entidad estadounidense adherida al puerto seguro que utilice datos europeos sobre recursos humanos transferidos desde la Unión Europea en el contexto de la relación laboral y que desee que dicha transferencia también esté cubierta por el acuerdo de puerto seguro deberá comprometerse a cooperar en las investigaciones de las autoridades de la Unión Europea competentes y a acatar sus recomendaciones en dichos casos. Las APD que decidan cooperar de esta forma lo notificarán a la Comisión Europea y al Departamento de Comercio. Cuando una entidad estadounidense adherida al puerto seguro desee transferir información sobre recursos humanos desde un Estado miembro en el que la APD no lo permita, se aplicarán las disposiciones de la FAQ no 5.

FAQ n° 10 - Contratos del artículo 17

P: Cuando se transfieren datos de la Unión Europea a Estados Unidos de América exclusivamente para tratamiento, ¿es necesario un contrato, participe o no el encargado del tratamiento en el puerto seguro?

P: Sí. Los responsables del tratamiento en Europa tienen siempre que celebrar un contrato al realizar una transferencia para el simple tratamiento de los datos, con independencia de que la operación tenga lugar dentro o fuera de la Unión Europea. La finalidad del contrato es proteger los intereses del responsable del tratamiento, es decir, de la persona u organismo que determina los fines y los medios de dicho tratamiento, y sobre la cual recae toda la responsabilidad de los datos ante los afectados. Así pues, en el contrato se estipula qué tipo de tratamiento se va a realizar y las medidas necesarias para garantizar la seguridad de los datos.

Las entidades de Estados Unidos de América que participen en el puerto seguro y reciban información personal de la Unión Europea para su mero tratamiento no están por tanto obligadas a aplicar los principios a dicha información, pues el responsable europeo de los datos sigue teniendo la responsabilidad sobre ella frente a los particulares, de conformidad con los preceptos comunitarios correspondientes (que pueden ser más rigurosos que los principios de puerto seguro equivalentes).

Puesto que los participantes en el puerto seguro proporcionan la protección necesaria, los contratos concertados con ellos que tengan por objeto el simple tratamiento de los datos no requieren la autorización previa (o ésta sería concedida automáticamente por los Estados miembros) que se exigiría a los receptores que no participen en el puerto seguro o que no garanticen la protección adecuada.

FAQ n° 11 - Resolución de litigios y ejecución

P: ¿Cómo deberán cumplirse los requisitos de resolución de litigios impuestos por el principio de aplicación y cómo se deberá actuar ante el caso de que una entidad incumpla sistemáticamente los principios?

R: El principio de aplicación establece los requisitos en virtud de los cuales se regulan los mecanismos de aplicación del puerto seguro. La FAQ sobre verificación (FAQ no 7) establece la forma de reunir los requisitos de la letra b) del principio. En la presente FAQ no 11 se abordan las letras a) y c), que requieren instancias independientes de recurso. Dichas instancias pueden adoptar formas diversas, pero siempre deben reunir los requisitos exigidos por el principio de aplicación. Las entidades podrán cumplirlos de la manera siguiente: 1) conformidad con programas de protección de la vida privada concebidos por el sector privado que incorporen los principios de puerto seguro en sus normas y cuenten con mecanismos de aplicación eficaces, similares a los descritos en el principio de aplicación; 2) conformidad con lo dispuesto por las autoridades de control establecidas legal o reglamentariamente que prevean la tramitación de las quejas individuales y la resolución de litigios; o 3) compromiso de colaboración con las autoridades de protección de datos establecidas en la Comunidad Europea o sus representantes autorizados. Esta lista se ofrece a título ilustrativo y no es de ninguna manera taxativa. El sector privado puede crear otros mecanismos de aplicación, siempre que reúnan los requisitos contemplados en el principio de aplicación y en las FAQ. Obsérvese que los requisitos del principio de aplicación se añaden al requisito expuesto en el apartado 3 de la introducción a los principios, en el sentido de que las iniciativas autorreguladoras deberán ser vinculantes con arreglo al artículo 5 de la Federal Trade Commission Act (Ley de la Comisión Federal de Comercio) o legislación similar.

Instancias de recurso:

Se alentará a los consumidores a presentar cualquier queja que tengan ante la entidad correspondiente antes de acudir a las instancias de recurso independientes. La independencia de éstas es una cuestión de hecho que puede demostrarse de varias formas, por ejemplo, por la transparencia de su composición y de su financiación o por exhibir unos antecedentes reconocidos. Tal como exige el principio de aplicación, los recursos que se pongan a disposición de los particulares deberán ser rápidos y asequibles. Los organismos de resolución de litigios aceptarán a trámite todas las quejas que reciban de los particulares, a menos que sea patente su falta de base o ésta sea de poca entidad, lo cual no impedirá que la entidad gestora de la instancia de recurso establezca condiciones de admisibilidad. Sin embargo, dichas condiciones deberán ser transparentes y justificarse debidamente (por ejemplo, para excluir las quejas que no entran en el ámbito de aplicación del programa y que merecen consideración en otra instancia), y no deberán obstaculizar el compromiso de aceptar a trámite las quejas legítimas. Además, las instancias de recurso proporcionarán a los particulares toda la información disponible sobre el funcionamiento del procedimiento de resolución de litigios cuando presenten la queja. Esta información deberá incluir la notificación de las prácticas de protección de la vida privada que utilian tales instancias, de conformidad con los principios de "puerto seguro"(3). También deberán colaborar en el desarrollo de herramientas tales como formularios normalizados de queja para facilitar el proceso de resolución de las quejas.

Vías de recurso y sanciones:

En virtud de los remedios proporcionados por el organismo de resolución de litigios, la entidad corregirá o anulará los efectos del incumplimiento, en la medida de lo posible; cualquier tratamiento que la entidad haga en el futuro se adecuará a los principios; y, cuando proceda, se interrumpirá el tratamiento de los datos personales del particular que haya presentado la queja. Las sanciones tienen que ser lo suficientemente rigurosas para que la entidad cumpla los principios. Una gama de sanciones con distintos grados de severidad permitirá a los organismos de resolución de litigios responder debidamente a los diferentes niveles de incumplimiento. Las sanciones deberán incluir la publicidad de los casos de incumplimiento y la obligación de suprimir datos en determinadas circunstancias(4). Otras sanciones pueden consistir en la suspensión y levantamiento de una licencia, la compensación a los afectados por pérdidas en que hayan incurrido como resultado del incumplimiento y medidas provisionales. Cuando las entidades del puerto seguro incumplan sus decisiones, los organismos de resolución de litigios del sector privado y los de autorregulación deben notificarlo a los tribunales o a los organismos de la administración competentes según los casos, así como al Departamento de Comercio (o a su representante).

Recurso ante la FTC:

La FTC se ha comprometido a tramitar prioritariamente los casos presentados por los organismos de autorregulación privados, como BBBOnline y TRUSTe, y de los Estados miembros de la Unión Europea que aleguen el incumplimiento de los principios de puerto seguro, a fin de determinar si se ha vulnerado el artículo 5 de la Ley FTC, por la que se prohíben los actos o prácticas desleales o fraudulentos en el comercio. Si la FTC ve indicios de que se ha vulnerado el artículo 5, podría solucionar el asunto solicitando una decisión administrativa de cese de las prácticas denunciadas o presentando una denuncia ante un tribunal federal de primera instancia (Federal District Court). Si ésta prospera, puede originar una resolución al efecto de un tribunal federal. La FTC puede tanto conseguir una sanción civil si se quebrantan las decisiones administrativas de cese, como ejercer acciones civiles o penales en los casos de incumplimiento de las resoluciones de los tribunal federales de primera instancia. La FTC pondrá en conocimiento del Departamento de Comercio todas las acciones de este tipo que emprenda. El Departamento de Comercio alienta a otros organismos públicos a notificarle el resultado final de estos asuntos o cualquier otra resolución sobre la adhesión a los principios de puerto seguro.

Incumplimiento sistemático:

Si una entidad incumple sistemáticamente los principios, cesará su derecho a beneficiarse del puerto seguro. Se considera incumplimiento sistemático cuando una entidad que haya autocertificado su adhesión a los principios ante el Departamento de Comercio (o su representante) se niega a cumplir las resoluciones de cualquier organismo de autorregulación o público, o si uno de estos organismos considera que una entidad incumple con frecuencia los principios, hasta el punto en que deja de ser creíble su participación en el puerto seguro. En estos casos, la entidad deberá notificar inmediatamente los hechos al Departamento de Comercio (o su representante). El incumplimiento de esta obligación puede ser punible en el marco de la False Statements Act (Ley relativa a las declaraciones falsas).

El Departamento (o su representante) indicará en la lista de entidades que autocertifican su adhesión a los principios de puerto seguro toda notificación de incumplimiento sistemático que le remita la propia entidad, cualquier organismo de autorregulación o la administración, pero proporcionará un plazo de treinta días para notificar este extremo a la entidad incumplidora y le concederá la oportunidad de alegar. Por consiguiente, la lista pública del Departamento de Comercio (o su representante) precisará las entidades que se acogen a los beneficios del puerto seguro y las que han dejado de acogerse.

Una entidad que solicite participar en un organismo de autorregulación con el fin de volver a acogerse a los principios de puerto seguro deberá facilitar a dicho organismo información completa sobre su participación anterior en el puerto seguro.

FAQ n° 12 - Opción - Momento de la exclusión

P: ¿Permite el principio de opción que una persona ejerza su derecho de opción solamente al principio de una relación o en cualquier momento de la misma?

R: En general, el objeto del principio de opción es garantizar que la información personal se utiliza y difunde de manera coherente con las expectativas y opciones del afectado. Por tanto, cualquier persona debería tener la posibilidad de ejercer el derecho de "exclusión" (u opción) de su información personal con fines de márketing directo en cualquier momento, con los límites de tiempo razonables establecidos por la entidad, como dejar un plazo suficiente para que ésta pueda aplicar dicho derecho de exclusión. Asimismo, una entidad puede requerir información suficiente para confirmar la identidad de la persona que solicita la "exclusión". En Estados Unidos de América, se puede ejercer esta opción mediante un programa central de "exclusión" como el "Mail Preference Service" de la Direct Marketing Association. Las entidades que participen en el "Mail Preference Service" de la Direct Marketing Association deberán fomentar esta posibilidad entre los consumidores que no deseen recibir información comercial. En cualquier caso, todo ciudadano debe tener acceso a un mecanismo rápido y asequible para ejercitar esta opción.

De la misma forma, una entidad puede utilizar la información para determinados fines de márketing directo cuando sea imposible proporcionar al afectado la oportunidad de ejercer su derecho de exclusión antes de usar la información, siempre que le ofrezca de inmediato dicha posibilidad (previa pertición en cualquier momento) de negarse (sin coste alguno para el consumidor) a recibir posteriores envíos de márketing directo y que la entidad se ajuste a los deseos del afectado.

FAQ n° 13 - Información sobre viajes

P: ¿Cuándo se puede transferir a entidades situadas fuera de la Unión Europea la información de las reservas de billetes de avión u otra información sobre viajes, por ejemplo, la relativa a personas con tarjetas de fidelidad o a reservas hoteleras y a necesidades especiales, como la dieta por motivos religiosos o la asistencia física?

R: Esta información se puede transferir en diversas circunstancias. De conformidad con el artículo 26 de la Directiva, podrá efectuarse una transferencia de datos personales "a un país tercero que no garantice un nivel de protección adecuado con arreglo a lo establecido en el apartado 2 del artículo 25" siempre y cuando: 1) la transferencia sea necesaria para proporcionar los servicios solicitados por el consumidor o cumplir un convenio, como el programa de fidelización "frequent flyer"; o 2) el consumidor haya dado su consentimiento inequívocamente. Las organizaciones estadounidenses que suscriben los principios de puerto seguro ofrecen una protección adecuada de los datos y por consiguiente pueden recibir datos transferidos de la Unión Europea sin cumplir estas condiciones u otras condiciones expuestas en el artículo 26 de la Directva. Dado que el puerto seguro incluye normas específicas para datos especialmente protegidos, dicha información (que puede ser preciso recoger, por ejemplo, en relación con las necesidades de asistencia física de los clientes) puede incluirse en las transferencias a participantes en el puerto seguro. No obstante, en todos los casos, la organización que transfiere la información ha de cumplir la legislación del Estado miembro de la Unión Europea en el que opera, que, entre otras cosas, puede imponer condiciones especiales para el tratamiento de datos especialmente protegidos.

FAQ n° 14 - Productos médicos y farmacéuticos

P. 1: Si se recogen datos personales en la Unión Europea y se transfieren a Estados Unidos de América con fines de investigación farmacéutica u otros, ¿se aplican las leyes de los Estados miembros o los principios de puerto seguro?

R. 1: Las leyes de los Estados miembros se aplican a la recogida de los datos personales y a cualquier tratamiento previo a su transferencia a Estados Unidos de América. Los principios de puerto seguro se aplican a los datos una vez que se han transferido a Estados Unidos de América. Los datos personales utilizados con fines de investigación farmacéutica u otros deben ser convertidos en datos anónimos cuando resulte adecuado.

P. 2: Los datos personales conseguidos en estudios de investigación médica o farmacéutica suelen desempeñar un valioso papel en futuras investigaciones científicas. Cuando se transfieren datos personales recogidos para un estudio de investigación a una entidad estadounidense acogida al puerto seguro, ¿podrá dicha entidad utilizar los datos en una nueva actividad de investigación científica?

R. 2: Sí, si desde el primer momento se ha procedido a la correspondiente notificación y se proporciona la posibilidad de optar. En la notificación se proporcionará información sobre la utilización concreta que se dará a los datos, a saber, seguimiento, otros estudios o márketing. Se sobreentiende que no podrán especificarse todas las utilizaciones futuras de los datos, ya que éstas pueden resultar de un nuevo enfoque de los datos originales, de nuevos descubrimientos y avances médicos, y de novedades en materia legislativa y de salud pública. Por consiguiente, la notificación debería incluir, si procede, una referencia a la posible utilización de los datos personales en futuras actividades de investigación médica y farmacéutica que todavía se desconocen. Será necesario obtener un nuevo consentimiento si la utilización no es coherente con las finalidades de investigación general para las que se recogieron originalmente los datos o dieron posteriormente los particulares su consentimiento.

P. 3: ¿Qué ocurre con los datos de un particular si un participante decide voluntariamente o a petición del patrocinador retirarse de un ensayo clínico?

R. 3: Los participantes pueden decidir voluntariamente o a instancias de terceros retirarse de un ensayo clínico en cualquier momento. No obstante, los datos recogidos con anterioridad a la retirada podrán seguir siendo tratados con los demás datos del ensayo clínico si este extremo quedó claro en la notificación a los participantes desde el momento en que dieron su conformidad para participar.

P. 4: Las sociedades de productos farmacéuticos y médicos tienen autorización para facilitar datos personales obtenidos en ensayos clínicos realizados en la Unión Europea a las autoridades de regulación de Estados Unidos de América con fines de regulación y control. ¿Están autorizadas las transferencias similares a terceros que no sean las autoridades de regulación, como las filiales de las empresas u otros investigadores?

R. 4: Sí, con arreglo a los principios de notificación y de opción.

P. 4: Muchas veces, para garantizar la objetividad de los ensayos clínicos, se priva a los participantes y, con frecuencia, también a los investigadores, de la información sobre el tratamiento. Este proceder podría poner en peligro la validez de los estudios de investigación y de sus resultados. ¿Tendrán los participantes en este tipo de ensayos clínicos (denominados "experimentos a ciegas") acceso a los datos sobre su tratamiento durante el ensayo?

R. 5: No, no deberá proporcionarse este acceso a los participantes si se les explicó tal restricción cuando se unieron al ensayo y si la revelación de la información puede poner en peligro la integridad de la investigación. Consentir la participación en los ensayos dentro de estas condiciones constituye un modo razonable de renunciar al derecho de acceso. Tras la conclusión del ensayo y el análisis de los resultados, los participantes tendrán acceso a sus datos si lo solicitan. En primer lugar, se dirigirán al médico o profesional sanitario de quien recibieron tratamiento en el marco del ensayo clínico y, en segundo lugar, a la empresa patrocinadora.

P. 6: ¿Tiene una empresa de productos médicos o farmacéuticos que aplicar los principios de puerto seguro, en lo relativo a la notificación, opción, transferencia ulterior y acceso, en las actividades que realiza para garantizar la seguridad de los productos y controlar su eficacia, entre ellas la información sobre circunstancias adversas y el seguimiento de pacientes/individuos que utilicen determinadas medicinas o dispositivos médicos (por ejemplo, marcapasos)?

R. 6: No, si la adhesión a los principios interfiere con el cumplimiento de las exigencias legales. Esto se aplica tanto a los informes de los profesionales sanitarios dirigidos a las empresas de productos médicos y farmacéuticos, como a los de éstos a organismos de la administración como la Food and Drug Administration.

P. 7: El investigador principal codifica siempre los datos de la investigación, en su origen, con una clave única, para que no se conozca la identidad de los interesados. Las empresas farmacéuticas que patrocinan la investigación no reciben la clave. El código original sólo lo conoce el investigador, de modo que sólo él puede identificar al sujeto de la investigación en determinadas circunstancias (por ejemplo, cuando es necesario un acompañamiento médico). Una transferencia de datos codificados de esta forma desde la Unión Europea a Estados Unidos de América, ¿constituye una transferencia de datos personales sujeta a los principios de puerto seguro?

R. 7: No, no se trata de una transferencia de datos personales sujeta a los mencionados principios.

FAQ n° 15 - Información extraída de registros públicos e información de dominio público

P: ¿Deben aplicarse los principios de notificación, opción y transferencia ulterior a la información extraída de registros públicos y a la información de dominio público?

R: No es necesario aplicar los principios de notificación, opción y transferencia ulterior a la información extraída de registros públicos siempre que no se combine con información de otros registros no públicos y se cumplan las condiciones de consulta establecidas por la jurisdicción competente.

Asimismo, generalmente no es necesario aplicar los principios de notificación, opción y transferencia ulterior a la información de dominio público a menos que el transferidor europeo de dicha información indique que está sujeta a restricciones que exijan la aplicación de tales principios por parte de la entidad para los usos a los que piensa destinarla. Las entidades no tendrán ninguna responsabilidad sobre el uso de la información por quienes la obtengan de materiales publicados.

Cuando se descubra que una entidad ha hecho pública intencionadamente información personal contraviniendo los principios, para beneficiarse de estas excepciones o beneficiar a terceros, la entidad dejará de estar cualificada para disfrutar de los beneficios del puerto seguro.

(1) La inclusión de esta FAQ en el expediente depende del acuerdo que se alcance con las APD, las cuales han debatido la actual redacción en el Grupo de trabajo del artículo 29. Aunque a la mayoría le parece aceptable, sólo se podrá adoptar un punto de vista definitivo en el marco del dictamen general que evacuará el Grupo de trabajo sobre el expediente final.

(2) Véase la FAQ n° 7 sobre verificación.

(3) No se exige a los organismos de resolución de litigios que se ajusten al principio de aplicación. También pueden desviarse de los principios cuando se enfrenten a conflictos de obligaciones o autorizaciones explícitas en la ejecución de sus tareas específicas.

(4) Los organismos de resolución de litigios tienen la potestad de decidir las circunstancias de aplicación de las sanciones. El carácter delicado de la información es uno de los factores que se tomarán en consideración al decidir sobre la exigencia de suprimir los datos, al igual que si una entidad ha recogido, utilizado o divulgado información incumpliendo manifiestamente los principios.

ANEXO III

Informe sobre la aplicación del puerto seguro

Competencia estatal y federal en materia de "prácticas desleales y fraudulentas" y protección de la vida privada

El presente memorando explica la competencia que el artículo 5 de la Federal Trade Commission Act (USC, título 15, §§ 41-58, modificado) confiere a la Federal Trade Commission (FTC) para actuar contra los que vulneran la obligación de proteger la confidencialidad de la información personal, con arreglo a las declaraciones efectuadas o los compromisos adquiridos. Asimismo, aborda las excepciones a dicha competencia y la capacidad de actuación de otros organismos estatales y federales en los casos en los que la FTC no está facultada para hacerlo(1).

Competencia de la FTC en materia de prácticas desleales y fraudulentas

El artículo 5 de la Federal Trade Commission Act declara ilegales los actos o prácticas desleales o fraudulentos en el comercio o relacionados con el comercio, véase el USC, título 15, § 45(a)(1). La FTC está autorizada, en virtud de dicho artículo, a actuar contra tales actos y prácticas, véase el USC, título 15, § 45(a)(2). En consecuencia, la FTC puede dictar un mandamiento ordenando el cese de las prácticas denunciadas, previa audiencia formal, véase el USC, título 15, § 45(b). La FTC también puede solicitar a un tribunal de distrito de Estados Unidos de América una prohibición temporal o medidas cautelares temporales o permanentes por motivos de interés público, véase el USC, título 15, § 53(b). Cuando los actos o prácticas desleales o fraudulentos tengan lugar de forma continuada, o si ya se han dictado mandamientos para el cese de los mismos, la FTC puede promulgar una norma administrativa que prohíba los actos o prácticas en cuestión, véase el USC, título 15, § 57a.

El incumplimiento de una decisión de la FTC puede ser objeto de una sanción civil de hasta 11000 dólares estadounidenses, y cada día de incumplimiento se considera un nuevo delito(2), véase el USC, título 15, § 45(1). Igualmente, quien viola conscientemente una disposición de la FTC puede ser objeto de una sanción de 11000 dólares estadounidenses, por cada violación, véase el USC, título 15, § 45(m). El Departamento de Justicia o, en su defecto, la FTC pueden adoptar las medidas de ejecución, véase el USC, título 15, § 56.

Competencia de la FTC y protección de la vida privada

Al ejercer la competencia que le confiere el artículo 5, la FTC considera que proporcionar intencionadamente a los consumidores información inexacta sobre el motivo de la recogida de datos personales y la utilización de dichos datos constituye una práctica fraudulenta(3). Por ejemplo, en 1998, la FTC presentó una denuncia contra GeoCities por revelar a terceros con fines comerciales información que había recogido en su sitio Web, sin permiso previo, a pesar de haber manifestado lo contrario(4). Asimismo, la FTC afirma que la recogida de información personal procedente de menores y la venta y revelación de dicha información sin el consentimiento paterno puede constituir también una práctica fraudulenta(5).

En una carta dirigida al Director General John Mogg de la Comisión Europea, el presidente de la FTC Pitofsky señaló las limitaciones de la competencia de la FTC para proteger la vida privada si no han existido declaraciones falsas (o ningún tipo de declaración) sobre los fines de la información recogida [carta del presidente de la FTC a John Mogg (23 de septiembre de 1998)]. No obstante, las empresas que desean beneficiarse del puerto seguro propuesto deberán certificar que protegerán la información que recojan de conformidad con las orientaciones estipuladas. En consecuencia, si una empresa certifica que protegerá la confidencialidad de la información y posteriormente no lo hace, habrá incurrido en declaración falsa o "práctica fraudulenta" con arreglo a lo dispuesto en el artículo 5.

Dado que la jurisdicción de la FTC se extiende a los actos o prácticas desleales o fraudulentos relacionados con el comercio, la FTC no tiene jurisdicción respecto a la recogida y utilización de información personal con fines no comerciales, por ejemplo, para la recogida de fondos con fines benéficios. Véase la carta de Pitofsky, página 3. Sin embargo, la utilización de la información personal en cualquier transacción comercial satisface este requisito jurisdiccional. Así, por ejemplo, la venta por parte de un empresario de información personal relativa a sus empleados a una empresa de márketing directo pertenece al ámbito de aplicación del artículo 5.

Excepciones al artículo 5

El artículo 5 establece una serie de excepciones a la competencia de la FTC sobre los actos o prácticas desleales o fraudulentos en los casos siguientes:

- instituciones financieras, incluidos bancos, cooperativas de ahorro y préstamo y cooperativas de crédito,

- telecomunicaciones y empresas de transporte interestatal,

- compañías aéreas,

- envasadores y explotadores de áreas para ganado.

Véase el USC, título 15, § 45(a)(2). A continuación se comenta cada excepción y la autoridad reglamentaria correspondiente.

Instituciones financieras(6)

La primera excepción se aplica a los bancos, cooperativas de ahorro y préstamo que se describen en el artículo 18(f)(3) [véase el USC, título 15, § 57a(f)(3)] y a las cooperativas de crédito que se describen en el artículo 18(f)(4) [véase el USC, título 15, § 57a(f)(4)](7). Estas instituciones financieras están sujetas a las reglamentaciones de los organismos siguientes: Federal Reserve Board, Office of Thrift Supervision(8), y la National Credit Union Administration Board, respectivamente, véase el USC, título 15, § 57a(f). Estos organismos pueden prescribir las normas necesarias para evitar prácticas desleales y fraudulentas por parte de estas instituciones financieras(9) y crear una división independiente para tramitar las denuncias de los consumidores. Véase el USC, título 15, § 57a(f)(1). Por último, la competencia de ejecución se deriva del artículo 8 de la Federal Deposit Insurance Act (véase el U.S.C., título 12, § 1818), en el caso de los bancos y cooperativas de ahorro y préstamo, y de los artículos 120 y 206 de la Federal Credit Union Act, en el caso de las cooperativas federales de crédito. Véase el USC, título 15, §§ 57a(f)(2)-(4).

Aunque el sector de los seguros no figura expresamente en la lista de excepciones del artículo 5, la McCarran-Ferguson Act (véase el USC, título 15, § 1011 et seq.) delega de manera general en los Estados la regulación de esta actividad(10). Por otro lado, con arreglo al artículo 2(b) de dicha Ley, ninguna ley federal podrá invalidar, perjudicar o sustituir la reglamentación estatal a menos que dicha Ley se refiera específicamente a la actividad de las entidades aseguradoras, véase el USC, título 15, § 1012(b). No obstante, los preceptos de la Ley FTC se aplican subsidiariamente en aquellos Estados que no hayan regulado la actividad. Id. Asimismo, debe señalarse que la Ley McCarran-Ferguson delega en los Estados únicamente respecto a la actividad aseguradora. Por tanto, la FTC conserva una competencia residual sobre las prácticas desleales o fraudulentas de las compañías de seguros que se realicen al margen de la actividad aseguradora, por ejemplo, si venden información personal sobre los titulares de las pólizas a empresas de márketing directo de productos no relacionados con los seguros(11).

Compañías de servicio público de transportes y telecomunicaciones

La segunda excepción del artículo 5 se refiere a aquellas empresas públicas "sujetas a las leyes que regulan el comercio", véase el USC, título 15, § 45(a)(2), es decir, el subtítulo IV del título 49 del United States Code y la Communications Act de 1934 (véase el USC, título 47, § 151 et seq.) (la Ley de comunicaciones), véase el USC, título 15, § 44.

El subtítulo IV del título 49 de la USC (Transporte interestatal) afecta al transporte ferroviario, por carretera y por vía navegable, agentes, transitarios y transportistas por oleoducto, véase el USC, título 49, § 10101 et seq. Estas empresas de transporte están sometidas a la jurisdicción del Surface Transportation Board, organismo independiente del Departamento de Transporte, véase el USC, título 49, §§ 10501, 13501, y 15301. Las leyes federales prohíben a los transportistas revelar información sobre la naturaleza, el destino y otros aspectos de la carga que pudieran utilizarse en detrimento del expedidor, véase el USC, título 49, §§ 11904, 14908, y 16103. Cabe destacar que estas disposiciones se refieren a la información relativa a la carga del expedidor, por lo que no parecen afectar a la información personal del expedidor que no guarde relación con el envío en cuestión.

Respecto a la Communications Act, prevé la regulación del "comercio interestatal y extranjero de la comunicación por cable y radio", por parte de la Federal Communications Commission (FCC), véase el USC, título 47, §§ 151 y 152. Además de a las empresas de servicio público de telecomunicaciones, la Communications Act se aplica también a empresas de difusión de radio y televisión y a los proveedores de servicios por cable que no son compañías de servicio público. Como tales, estas últimas empresas no pueden acogerse a las excepciones previstas en el artículo 5 de la Ley FTC, por la que la FTC puede someterlas a investigación por prácticas desleales o fraudulentas, mientras que la FCC tiene jurisdicción concurrente para aplicar su competencia independiente en este ámbito tal como se describe a continuación.

En el marco de la Communications Act, todas las empresas de servicio público de telecomunicaciones, incluidas las empresas locales, tienen la obligación de proteger la confidencialidad de la información de red exclusiva del cliente(12). Véase el USC, título 47, § 222(a). Además de esta autoridad general de protección de la vida privada, la Communications Act fue modificada por la Cable Communications Policy Act de 1984 (Ley del cable), véase el USC, título 47, § 521 et seq., que establece específicamente que las empresas de distribución por cable deben proteger la confidencialidad de la información personal identificable sobre sus abonados, véase el USC, título 47, § 551(13). La Ley del cable restringe la recogida de información personal por parte de empresas de distribución por cable y les obliga a notificar al abonado la naturaleza de la información recogida y el uso que se hará de la misma. Asimismo, confiere a los abonados el derecho de acceso a la información que les afecta y obliga a las empresas a destruir la información cuando ya no sea necesaria.

La Communications Act faculta a la FCC a aplicar estas dos disposiciones relativas a la protección de la vida privada, ya sea por propia iniciativa o como respuesta a una denuncia exterior(14), véase el USC, título 47, §§ 205, 403; id. § 208. Si la FCC determina que una empresa de servicios públicos de telecomunicaciones (incluidas las de distribución por cable) ha vulnerado las disposiciones del artículo 222 o del artículo 551, puede emprender tres acciones básicas. En primer lugar, tras celebrar una audiencia y determinar la violación, la Comisión puede ordenar a la empresa el pago de sanciones pecuniarias(15), véase el USC, título 47, § 209. En segundo lugar, la FCC puede ordenar a la empresa el cese de las prácticas o la omisión, véase el USC, título 47, § 205(a). Por último, la Comisión puede también ordenar a la empresa que cumpla y respete los reglamentos o prácticas que la FCC pueda prescribir. Id.

Los particulares que consideren que una empresa de telecomunicaciones o de distribución por cable ha vulnerado las disposiciones correspondientes de la Communications Act o de la Cable Act pueden presentar una denuncia ante la FCC o plantear su reclamación ante un tribunal federal de distrito, véase el USC, título 47, § 207. Si el demandante obtiene una sentencia favorable en un juicio ante un tribunal federal contra una empresa de telecomunicaciones que no ha cumplido la obligación de proteger la información de red exclusiva del cliente en virtud del artículo 222 de la Communications Act puede obtener indemnizaciones por daños efectivamente causados y el reembolso de los honorarios de abogados, véase el USC, título 47, § 206. En el marco del artículo 551 de la Cable Act, se pueden obtener también indemnizaciones punitivas y resarcimiento de costes procesales razonables, véase el USC, título 47, § 551(f).

La FCC ha adoptado normas detalladas de aplicación del artículo 222, véase el CFR, título 47, 64.2001-2009. Las normas establecen salvaguardas específicas de protección contra el acceso no autorizado a la información de red exclusiva del cliente. Las empresas de telecomunicaciones deben:

- desarrollar y aplicar sistemas de software para la señalización automática del aviso/aprobación del cliente cuando sus datos aparezcan por primera vez en pantalla,

- mantener un "seguimiento" electrónico para controlar el acceso a la cuenta de un cliente, en particular cuándo, quién y con qué fin se abre el registro de un cliente,

- formar a su personal sobre la utilización autorizada de la información de red exclusiva del cliente, con medidas disciplinarias adecuadas,

- establecer un proceso de revisión y supervisión para garantizar el cumplimiento cuando se realicen actividades de márketing externo,

- certificar anualmente a la FCC el cumplimiento de estas obligaciones.

Compañías aéreas

Las compañías aéreas extranjeras y estadounidenses que están sujetas a la Federal Aviation Act de 1958 tampoco entran en el ámbito de aplicación del artículo 5 de la FTC Act; véase el USC, título 15, § 45(a)(2). Se trata de las empresas que se dedican al transporte interestatal o al extranjero de mercancías o pasajeros, o al transporte aéreo de correo, véase el USC, título 49, § 40102. Las compañías aéreas están sometidas a la autoridad del Departamento de Transporte. A este respecto, la Secretaría de Transporte puede actuar para evitar prácticas anticompetitivas, fraudulentas, desleales o abusivas en el transporte aéreo, véase el USC, título 49, § 40101(a)(9). Del mismo modo, puede investigar por motivos de interés público si una compañía aérea estadounidense o extranjera, o una agencia de viajes, ha llevado a cabo prácticas engañosas o desleales, véase el USC, título 49, § 41712. Tras una audiencia, la Secretaría de Transporte podrá ordenar el cese de la práctica ilegal. Id. Según los datos de que disponemos, nunca ha utilizado esta competencia para proteger la confidencialidad de la información personal relativa a los pasajeros de las líneas aéreas(16).

Existen dos disposiciones de protección de la confidencialidad de la información personal que se aplican a las compañías aéreas en contextos específicos. En primer lugar la Federal Aviation Act protege la vida privada de los candidatos a piloto, véase el USC, título 49, § 44936(f). Si bien las compañías aéreas pueden obtener información profesional de los candidatos, la Ley confiere a estos últimos el derecho a comunicar que esta información se les ha solicitado, acceder a la solicitu