ES Diario Oficial de la Unión Europea C 280/16

Dictamen del Supervisor Europeo de Protección de Datos sobre la propuesta de Directiva del Parlamento Europeo y del Consejo sobre residuos de aparatos eléctricos y electrónicos (RAEE)

2010/C 280/02

EL SUPERVISOR EUROPEO DE PROTECCIÓN DE DATOS,

Visto el Tratado de Funcionamiento de la Unión Europea y, en particular, su artículo 16,

Vista la Carta de los Derechos Fundamentales de la Unión Europea y, en particular, su artículo 8,

Vista la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y, en particular, su artículo 17,

Visto el Reglamento (CE) no 2001/45/CE del Parlamento Europeo y del Consejo, de 18 de diciembre de 2000, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones y los organismos comunitarios y a la libre circulación de estos datos y, en particular, su artículo 41.

HA ADOPTADO EL SIGUIENTE DICTAMEN:

I. INTRODUCCIÓN

1. El 3 de diciembre de 2008, la Comisión adoptó una propuesta de Directiva del Parlamento Europeo y del Consejo sobre residuos de aparatos eléctricos y electrónicos (RAEE) (en lo sucesivo, «la propuesta») (1). La propuesta tiene por objeto la refundición de la Directiva 2002/96/CE sobre residuos de aparatos eléctricos y electrónicos (RAEE) aprobada el 27 de enero de 2003 (en lo sucesivo «la Directiva») (2) sin cambiar la motivación ni la justificación de la recogida y el reciclado de los RAEE.

2. EL SEPD no ha sido consultado en los términos dictados por el Reglamento 2001/45/CE (3), artículo 28, apartado 2. Por lo tanto, el SEPD, actuando por propia iniciativa, ha emitido el presente dictamen basándose en el artículo 41, apartado 2, del mismo Reglamento. El SEPD recomienda que se incluya una referencia al presente dictamen en el preámbulo de la propuesta.

3. El SEPD, consciente de que esta recomendación llega en una fase tardía del proceso legislativo, considera no obstante adecuado y conveniente emitir el presente dictamen, ya que la propuesta plantea cuestiones importantes relacionadas con la protección de datos a las que no se da respuesta en el texto de la propuesta. El presente dictamen no aspira a modificar el objetivo principal y predominante ni el contenido de la propuesta, cuyo «centro de gravedad» (4) sigue gravitando en torno a la protección del medio ambiente, sino únicamente a añadir una nueva dimensión que cobra cada vez más importancia en nuestra sociedad de la información (5).

4. El SEPD, consciente asimismo del limitado ámbito de aplicación del procedimiento de refundición, insta al legislador a tener en cuenta estas recomendaciones de acuerdo con con el artículo 8 del Acuerdo interinstitucional sobre la técnica de refundición de los actos jurídicos, que prevé la posibilidad de introducir modificaciones en disposiciones no modificadas (6).

II. CONTEXTO Y ANTECEDENTES DE LA PROPUESTA Y SU RELEVANCIA PARA LA PROTECCIÓN DE DATOS

5. El objetivo de la propuesta es actualizar la Directiva actual relativa a la eliminación, la reutilización y el reciclado de RAEE. Los problemas técnicos, jurídicos y administrativos que se pusieron de manifiesto durante los primeros años de aplicación de la Directiva llevaron a formular la propuesta actual, como se preveía en el artículo 17, apartado 5, de la Directiva.

6. Los aparatos eléctricos y electrónicos (AEE) constituyen un amplio grupo de productos que incluye distintos tipos de soportes capaces de almacenar datos personales, como equipos de informática y telecomunicaciones (p. ej., ordenadores personales, ordenadores portátiles, terminales electrónicas de comunicaciones), y caracterizados en el contexto tecno-económico actual por unos ciclos de innovación cada vez más rápidos y, como consecuencia de la convergencia tecnológica, por la disponibilidad de equipos multifuncionales. Los avances en el desarrollo de soportes para el almacenamiento electrónico de datos son cada vez más rápidos, sobre todo en lo que respecta a la capacidad y el tamaño de las memorias y, por consiguiente, las fuerzas del mercado impulsan también una rápida rotación de los AEE (que contienen grandes cantidades de datos personales, muchos de ellos sensibles). El resultado no sólo es que los RAEE «constituyan el flujo de residuos que registra el crecimiento más rápido en la UE» (7), sino también que, en caso de eliminación inadecuada, existe un mayor riesgo evidente de pérdida y dispersión de los datos personales almacenados en esos AEE.

7. Desde hace mucho tiempo, las políticas de la Unión Europea en materia de medio ambiente y desarrollo sostenible se encaminan a una utilización más racional de los recursos naturales y a la adopción de medidas para evitar la contaminación.

8. En ese contexto se enmarca la eliminación, reutilización y reciclado de los RAEE. Las medidas expuestas tratan de evitar la eliminación de aparatos eléctricos y electrónicos junto con el resto de residuos y obligan a los productores a procurar su eliminación de la manera prevista en la Directiva.

9. En concreto, entre las distintas medidas previstas en la Directiva, hay que destacar las dirigidas a la reutilización (es decir, toda operación que permita destinar los RAEE o algunos de sus componentes al mismo uso para el que fueron concebidos; este término comprende el uso continuado de los aparatos o de algunos de sus componentes devueltos a los puntos de recogida o a los distribuidores, empresas de reciclado o fabricantes), al reciclado (es decir, el reprocesado en un proceso de producción de materiales de los residuos para su finalidad inicial o para otros fines) y a la búsqueda de otras formas de recogida de RAEE que permitan reducir la eliminación de residuos [véase el artículo 1 y el artículo 3, letras d) y e) de la Directiva].

10. Estas operaciones y, en particular, la reutilización y el reciclado de RAEE, sobre todo de equipos informáticos y de telecomunicaciones, pueden representar un riesgo, mayor que en el pasado, de que las personas dedicadas a la recogida de tales residuos o a la venta y compra de aparatos reutilizados o reciclados tengan acceso a los datos personales en ellos almacenados. Muchos de esos datos a menudos son sensibles o pueden referirse a un gran número de personas.

11. Por todos estos motivos, el SEPD considera urgente que todas las partes interesadas (usuarios y productores de AEE) sean conscientes de los riesgos para los datos personales, sobre todo en la etapa última del ciclo de vida de los AEE. En esa fase, aunque el valor económico de los AEE sea menor, es probable que incluyan una gran cantidad de datos personales y, por tanto, que posean un elevado valor «intrínseco» tanto para las personas a quienes se refieran dichos datos como para terceros.

III. ANÁLISIS DE LA PROPUESTA

III.1. Aplicabilidad de la Directiva 95/46/CE

12. El SEPD no tiene ninguna observación que formular en relación con el objetivo general de la propuesta y respalda plenamente la iniciativa emprendida y orientada a la mejora de las políticas respetuosas con el medio ambiente en el ámbito de los RAEE.

13. Ahora bien, la propuesta, así como la Directiva, se centran exclusivamente en los riesgos ambientales relacionados con la eliminación de RAEE. No se tienen en cuenta otros riesgos adicionales para las personas o las organizaciones que puedan plantear las operaciones de eliminación, reutilización y reciclado de RAEE, en particular los relacionados con la probabilidad de adquisición, revelación o divulgación inadecuadas de los datos personales en ellos almacenados.

14. Es importante señalar que la Directiva 95/46/CE (8) se refiere a «cualquier operación o conjunto de operaciones aplicadas a datos personales», como la «supresión o destrucción» [artículo 2, letra b)]. La eliminación de AEE puede exigir operaciones de tratamiento de datos. Existe, pues, una yuxtaposición entre la propuesta y la mencionada Directiva, por lo que las disposiciones que ésta incluye sobre protección de datos podrían aplicarse a las actividades contempladas en aquella.

III.2. Eliminación de RAEE y medidas de seguridad

15. El SEPD quiere subrayar los importantes riesgos en que pueden incurrir las personas u organizaciones que actúen como «responsables del tratamiento de datos» (9) cuando los RAEE, en particular cuando los equipos informáticos y de telecomunicaciones contienen datos personales relacionados con los usuarios de dichos dispositivos o con terceros en el momento de su eliminación. El acceso ilícito o la divulgación de ese tipo de datos personales, consistente a veces en categorías especiales de datos que revelan el origen racial o étnico, las opiniones políticas, las convicciones religiosas o filosóficas, la pertenencia a sindicatos, así como datos relativos a la salud o a la sexualidad (los denominados «datos sensibles») (10) , pueden afectar ciertamente a la intimidad o la dignidad de las personas a las que se refieren, así como a otro legítimos intereses suyos (por ejemplo, económicos).

16. En términos generales, el SEPD considera necesario insistir en la importancia de adoptar las medidas de seguridad pertinentes en cada una de las etapas (desde el comienzo hasta el final) del tratamiento de datos personales, como ya ha reiterado en anteriores dictámenes (11), lo que también se aplica, a fortiori, durante la delicada etapa en la que el responsable del tratamiento de datos se propone eliminar dispositivos que contengan datos personales.

17. De hecho, la adopción de medidas de seguridad constituye, en muchos casos, una condición previa para garantizar eficazmente el derecho a la protección de los datos personales.

18. Por consiguiente, sería incoherente imponer la obligación de adoptar medidas de seguridad (a veces costosas) en el curso ordinario de las operaciones de tratamiento de datos personales [como prevé, llegado el caso, el artículo 17 de la Directiva 95/46/CE (12)], para luego simplemente ignorar la necesidad de adoptar medidas de salvaguarda suficientes en relación con la eliminación de los RAEE.

19. También sería incoherente atribuir importancia a la cuestión de la seguridad de los datos en la medida en que la obligación de notificar las violaciones de los datos personales a través del artículo 3 de la Directiva 2009/136/CE (13), para luego no ofrecer ninguna garantía o salvaguarda durante las operaciones de eliminación de los RAEE, ni en caso de reutilización o reciclado de este tipo de aparatos.

20. EL SEPD lamenta que la propuesta no tenga en cuenta los posibles efectos nocivos que puede representar la eliminación de los RAEE para la protección de los datos personales almacenados en equipos «usados».

21. Este aspecto tampoco ha sido tenido en cuenta en la evaluación de impacto realizada por la Comisión (14), pese a que la experiencia ha demostrado que la no adopción de las medidas de seguridad oportunas en la eliminación de RAEE puede entrañar un riesgo para la protección de datos personales (15). Ante la complejidad de los problemas planteados (por ejemplo, la multitud de métodos legítimos, tecnologías y partes afectadas en el ciclo de eliminación de los RAEE), el SEPD considera que habría sido más adecuado proceder a una «evaluación de impacto para la intimidad y la protección de datos» en los procesos relacionados con la eliminación de RAEE.

22. En cualquier caso, recomienda encarecidamente que se desarrollen las «mejores técnicas disponibles» para preservar la intimidad, la protección de los datos y la seguridad en este ámbito.

23. A eso se añade que en la consulta pública previa a la refundición de la Directiva algunas partes interesadas, sobre todo empresas de informática y comunicaciones electrónicas, han planteado en ocasiones cuestiones relacionadas con la seguridad y la protección de datos personales (16).

24. Por último, el SEPD desea recordar que algunas autoridades nacionales de protección de datos han publicado directrices para reducir al mínimo los riesgos derivados de la falta de adopción de las medidas de seguridad necesarias, sobre todo en la eliminación de materiales sujetos a la aplicación de la Directiva (17).

25. El SEPD reitera que la Directiva 95/46/CE es aplicable en la fase de eliminación de los RAEE que contienen datos personales. Los responsables del tratamiento de datos — sobre todo los que emplean equipos informáticos y de comunicaciones — están, por tanto, obligados a cumplir sus obligaciones de seguridad para evitar la desclasificación o divulgación indebidas de datos personales. Con este fin y para evitar que sea considerado responsable del incumplimiento de las medidas de seguridad, es preciso que el responsable del tratamiento de datos, ya sea del sector público o privado, con la cooperación de las autoridades de protección de datos (cuando existan), adopte las políticas adecuadas para la eliminación de los RAEE que contienen datos personales.

26. En caso de que los responsables del tratamiento de datos no dispongan de la cualificación o de los conocimientos técnicos necesarios para suprimir esos datos personales, podrán encomendar dicha tarea a responsables cualificados del tratamiento de datos (por ejemplo, centros de asistencia, fabricantes de equipos y distribuidores) en las condiciones establecidas en el artículo 17, apartados 2, 3 y 4, de la Directiva 95/46/CE. Por su parte, los encargados del tratamiento deberán certificar que se han realizado las operaciones en cuestión o efectuarlas ellos mismos.

27. Debido a todas estas consideraciones, el SEPD ha llegado a la conclusión de que el texto refundido de la Directiva debe integrar los principios relativos a la protección de datos en las disposiciones dedicadas a la protección del medio ambiente.

28. En consecuencia, el SEPD recomienda al Consejo y al Parlamento Europeo que incluyan una disposición específica en la propuesta actual en la que se establezca que la Directiva se aplicará a la eliminación de RAEE sin perjuicio de lo dispuesto en la Directiva 95/46/CE.

III.3. Reutilización o reciclado de RAEE y medidas de seguridad

29. A las personas encargadas de las operaciones de eliminación de RAEE, en la medida en que pueden tomar decisiones autónomas sobre los datos en ellos almacenados, puede considerárseles «responsables del tratamiento de datos» (18). Así pues, han de adoptar procedimientos internos para evitar operaciones innecesarias de tratamiento de los datos personales almacenados en los RAEE, a saber, otras operaciones que no sean las estrictamente necesarias para verificar la eliminación efectiva de los datos contenidos en ellos.

30. Además, no deben permitir a las personas no autorizadas el acceso o el tratamiento de los datos almacenados en AEE. En concreto, cuando los medios de almacenamiento se reciclan o reutilizan y, por lo tanto, vuelven a entrar en el mercado, aumenta el riesgo de revelación o divulgación indebidas de los datos personales que contengan, por lo que es necesario evitar el acceso a estos últimos de personas no autorizadas.

31. En consecuencia, el SEPD recomienda que el Consejo y el Parlamento Europeo incluyan en la propuesta actual una disposición específica en la que se prohíba la comercialización de aparatos usados que no hayan sido sometidos previamente a medidas de seguridad adecuadas con las técnicas más modernas disponibles (por ejemplo, sobreescritura multipass) para suprimir todos los datos personales que contengan.

III.4. Intimidad y seguridad «integradas en el diseño»

32. El marco jurídico que se establezca para los residuos electrónicos debería incluir no sólo una disposición específica sobre el «principio del diseño ecológico» de los equipos en términos generales (véase el artículo 4 de la propuesta sobre el «Diseño del producto»), sino también otra — como ya se ha recomendado en anteriores dictámenes del SEPD (19) — sobre el principio de la «intimidad integrada en el diseño» (20) o, más concretamente en este ámbito, de la «seguridad integrada en el diseño» (21). En la medida de lo posible, la intimidad y la protección de datos deben integrarse en el diseño de los equipos eléctricos y electrónicos «por defecto», de manera que los usuarios puedan destruir, por medio de un procedimiento sencillo y sin costes, los datos personales que contengan los equipos que se eliminen (22).

33. Este enfoque está claramente respaldado por la Directiva 1999/5/CE (23), en su artículo 3, apartado 3, letra c), sobre el diseño de equipos radioeléctricos y equipos terminales de telecomunicación, así como la Directiva 2002/58/CE (24), artículo 14, apartado 3.

34. Por lo tanto, los productores deben «incorporar» salvaguardas de la intimidad y la seguridad basadas en soluciones tecnológicas (25). En este contexto, se deben fomentar y apoyar también las iniciativas dirigidas a informar a los interesados sobre la necesidad de suprimir los datos personales antes de proceder a la eliminación de RAEE (incluidos los productores del software gratuito disponible para este fin) (26).

IV. CONCLUSIONES

35. Teniendo en cuenta todo lo anterior, el SEPD recomienda que las autoridades de protección de datos, en concreto a través del Grupo de Trabajo creado por el artículo 29, y el propio SEPD, se impliquen de lleno en las iniciativas relacionadas con la eliminación de RAEE, por medio de consultas realizadas en una fase suficientemente precoz antes de la adopción de las medidas oportunas.

36. Considerando el contexto en el que se efectúa el tratamiento de los datos personales, el SEPD aconseja que la propuesta incluya disposiciones específicas: — en las que se establezca que la Directiva sobre RAEE se aplicará sin perjuicio de lo dispuesto en la Directiva 95/46/CE, — en las que se prohíba la comercialización de aparatos usados que no hayan sido sometidos previamente a las medidas de seguridad adecuadas, utilizando las tecnologías más modernas disponibles para suprimir los datos personales que contengan, — relativas al principio de la «intimidad integrada en el diseño» o la «seguridad integrada en el diseño»: en la medida de lo posible, la intimidad y la protección de datos deben integrarse en el diseño de los equipos eléctricos y electrónicos «por defecto», de manera que los usuarios puedan destruir, por medio de un procedimiento sencillo y sin costes, los datos personales contenidos en los aparatos que se eliminen.

37. El SEPD recomienda encarecidamente, por tanto, modificar la propuesta con el fin de adaptarla a la Directiva 95/46/CE, en los siguientes términos: — considerando (11): «Además, la presente Directiva debe aplicarse sin perjuicio de lo dispuesto en la legislación sobre protección de datos, en particular la Directiva 95/46/CE. Puesto que los aparatos eléctricos y electrónicos (AEE) constituyen un amplio grupo de productos que incluye distintos tipos de soportes capaces de almacenar datos personales (p. ej., equipos de informática y telecomunicaciones), las operaciones relacionadas con la eliminación de esos residuos, en especial su reutilización y reciclado, pueden representar riesgos de acceso no autorizado a los datos personales almacenados en los AEE. Por consiguiente, siempre que sea posible habrá que integrar por defecto salvaguardas de la intimidad y la protección de datos en el diseño de los aparatos eléctricos y electrónicos capaces de almacenar datos personales, de manera que los usuarios puedan destruir, mediante un procedimiento sencillo y sin costes, los datos almacenados en los aparatos que se eliminen. — artículo 2, apartado 3: «La presente Directiva se aplicará sin perjuicio de la normativa comunitaria sobre protección de datos, en particular la Directiva 95/46/CE».

38. Además, el SEPD considera adecuado que se tengan en cuenta las siguientes modificaciones: — artículo 4, apartado 2: «Los Estados miembros fomentarán la adopción de medidas para favorecer el diseño y la producción de aparatos eléctricos y electrónicos que faciliten la supresión de todos los datos personales que contengan en el momento de su eliminación.», — artículo 8, apartado 7: «Los Estados miembros velarán por que todos los RAEE recogidos que contengan datos personales y sean objeto de algún tratamiento antes de su reciclado o reutilización no se comercialicen hasta que ese tipo de datos sean destruidos utilizando las mejores técnicas disponibles.», — artículo 14, apartado 6: «Los Estados miembros podrán exigir que los usuarios de AEE que contengan datos personales reciban información de los productores y distribuidores, por ejemplo en las instrucciones de uso o en el punto de venta, sobre la necesidad de que se supriman dichos datos personales antes de su eliminación.».

Hecho en Bruselas, el 14 de abril de 2010. Peter HUSTINX Supervisor europeo de protección de datos

(1) COM(2008) 810 final.

(2) DO L 37 de 13.2.2003, p. 24.

(3) Reglamento (CE) no 45/2001 del Parlamento Europeo y del Consejo, de 18 de diciembre de 2000, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones y los organismos comunitarios y a la libre circulación de estos datos (DO L 8 de 12.1.2001, p. 1).

(4) Véase TJCE, 23.2.1999, asunto C-42/97 Parlamento Europeo contra Consejo de la Unión Europea, [1999] ECR I-869, apartado 43.

(5) Véase también, entre otras cosas, TJCE, 30.1.2001, asunto C-36/98 España contra Consejo, [2001] ECR I-779, apartado 59: «Si el examen de un acto comunitario muestra que éste persigue un doble objetivo o que tiene un componente doble, y si uno de ellos puede calificarse de principal o preponderante, mientras que el otro sólo es accesorio, dicho acto debe fundarse en una sola base jurídica, a saber, aquella que exige el objetivo o componente principal o preponderante».

(6) Acuerdo interinstitucional, de 28 de noviembre de 2001, sobre un recurso más estructurado a la técnica de la refundición de los actos jurídicos, DO C 77 de 28.3.2002, p. 1.

(7) Véase el Documento de trabajo de los Servicios de la Comisión que acompaña a la propuesta de Directiva del Parlamento Europeo y del Consejo sobre residuos de aparatos eléctricos y electrónicos (RAEE) (refundición). Evaluación de impacto, 3.12.2008 [COM(2008) 810 final] SEC(2008) 2933, p. 17.

(8) Directiva 95/46/CE del Parlamento Europeo y del Consejo de 24 de octubre de 1995 relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, DO L 281 de 23.11.1995, p. 31.

(9) Véase la definición de «responsable del tratamiento» en el apartado d) del artículo 2 de la Directiva 95/46/CE.

(10) Véase el artículo 8 de la Directiva 95/46/CE.

(11) Véase el Dictamen del SEPD relativo a una Agencia para la gestión operativa de sistemas informáticos de gran magnitud (DO C 70 de 19.3.2010, p. 13), puntos 46 y 47; Dictamen del SEPD relativo a la propuesta de Directiva relativa a la aplicación de los derechos de los pacientes en la asistencia sanitaria transfronteriza (DO C 128 de 6.6.2009, p. 20), puntos 27-31.

(12) Véase el artículo 3 de la misma Directiva.

(13) Directiva 2009/136/CE del Parlamento Europeo y del Consejo de 25 de noviembre de 2009 por la que se modifica la Directiva 2002/22/CE relativa al servicio universal y los derechos de los usuarios en relación con las redes y los servicios de comunicaciones electrónicas, Directiva 2002/58/CE relativa al tratamiento de los datos personales y a la protección de la intimidad en el sector de las comunicaciones electrónicas y Reglamento (CE) no 2006/2004 sobre la cooperación entre autoridades nacionales encargadas de la aplicación de la legislación de protección de los consumidores, DO L 337 de 18.12.2009, p. 11.

(14) Documento de trabajo de los Servicios de la Comisión que acompaña a la propuesta de Directiva del Parlamento Europeo y del Consejo relativa a los residuos de aparatos eléctricos y electrónicos (RAEE) (refundición), SEC(2008) 2933, 3.12.2008; véase también United Nations University, 2008 Review of Directive 2002/96/CE on Waste Electrical and Electronic Equipment (WEEE), Comisión Europea, Bélgica, 2007, p. 273 (http://ec.europa.eu/environment/waste/weee/pdf/final_rep_unu.pdf); «Data security is also an issue — removing personal data from a hard-drive».

(15) Véase, por ejemplo, el artículo publicado en Internet por la BBC «Children’s files on eBay computer» el 4 de mayo de 2007, en el que se informaba de la venta en eBay de un ordenador que contenía datos personales sobre la acogida y adopción de niños (http://news.bbc.co.uk/2/hi/uk_news/england/6627265.stm); véase también el artículo publicado en Internet por la BBC «Bank customer data sold on eBay» el 26 de agosto de 2008, en el que se informaba de la venta en eBay de un disco duro que contenía datos personales sobre un millón de clientes de bancos (http://news.bbc.co.uk/2/hi/uk_news/7581540.stm).

(16) Véase HP, Stakeholder Consultation on the Review of Directive 2002/96/EC of the European Parliament and of the Council on Waste Electrical and Electronic Equipment (WEEE), pp. 7-8; (draft comments), WEEE Review Policy Options of the stakeholder consultation on the review of directive 2002/96/EC of the European Parliament and of the Council on Waste Electrical And Electronic Equipment (WEEE), p. 2, puntos 1.1. y 4, punto 1.3.; y Royal Philips Electronics Position and Proposal, Stakeholder consultation on the Revision of the WEEE Directive, p. 12 (5.6.2008) (http://circa.europa.eu/Public/irc/env/weee_2008_review/library). Véase también la Respuesta a la consulta sobre los RAEE, el Resumen de respuestas y la Respuesta del Gobierno a la cuarta consulta sobre la aplicación de las Directivas 2002/96/CE y 2003/108/CE sobre residuos de aparatos eléctricos y electrónicos, diciembre de 2006, p. 30: «Data protection and security. Some waste management companies would like there to be some guidance issued on data protection and security, particularly in light of the fact they will be handling sensitive data» (http://www.berr.gov.uk/files/file35961.pdf).

(17) Landesbeauftragter für Datenschutz und Informationsfreiheit Bremen, Entwicklung eines Konzeptes zur Löschung und Datenträgervernichtung durch Behörden und Unternehmen, 16. Mai 2007 (http://www.datenschutz-bremen.de/rtf/datenloeschung.rtf); Garante per la protezione dei dati personali, Electrical and Electronic Waste and Data Protection, 13 de octubre de 2008 (http://www.garanteprivacy.it/garante/doc.jsp?ID=1583482), también mencionado en el XII Informe anual del Grupo de Trabajo para la Protección de Datos creado por el artículo 29, 16 de junio de 2009, p. 57; véase también Grupo Internacional de Protección de Datos y Telecomunicaciones, Recomendación sobre la protección de datos y los residuos electrónicos, Sofía, 12-13.3.2009 (http://www.datenschutz-berlin.de/attachments/650/675.38.14.pdf?1264671551).

(18) «El concepto de responsable del tratamiento es […] funcional, en el sentido de que su intención es asignar responsabilidades a los que tienen influencia real y, por tanto, se basa en un análisis más objetivo que formal»: véase Grupo de Trabajo para la Protección de Datos creado por el artículo 29, WP 169, Opinion 1/2010 on the concepts of«controller»and«processor», adoptado el 16 de febrero de 2010.

(19) Véase, p. ej., e.g., The EDPS and EU Research and Technological Development. Policy paper, 28 de abril de 2008, p. 2; Dictamen del SEPD sobre los sistemas de transporte inteligentes (DO C 47 de 25.2.2010, p. 6); Dictamen del SEPD sobre la farmacovigilancia (DO C 229 de 23.9.2009, p. 19).

(20) A favor de una aplicación amplia del principio, véase el Grupo Europeo de Protección de Datos del Artículo 29 — Grupo de Trabajo de Policía y Justicia, The Future of Privacy. Joint contribution to the Consultation of the European Commission on the legal framework for the fundamental right to protection of personal data, WP 168, aprobado el 1 de diciembre de 2009, p. 3 y 12; véase asimismo la Recomendación de la Comisión sobre la aplicación de los principios relativos a la protección de datos y la intimidad en las aplicaciones basadas en la identificación por radiofrecuencia, C(2009) 3200 final, p. 8.

(21) Véase la Comunicación de la Comisión, Agenda Europea de Investigación e Innovación en materia de Seguridad — Posición inicial de la Comisión sobre los principales resultados y recomendaciones del ESRIF, COM(2009) 691 final, p. 6 y 14.

(22) Véase también SEPD, Dictamen de 18 de marzo de 2010 sobre el fomento de la confianza en la sociedad de la información mediante el fomento de la protección de los datos y la privacidad.

(23) Apartado 3 del artículo 3 de la Directiva 1999/5/CE del Parlamento Europeo y del Consejo de 9 de marzo de 1999 sobre equipos radioeléctricos y equipos terminales de telecomunicación y reconocimiento mutuo de su conformidad (DO L 91 de 7.4.1999, p. 10): «[…] la Comisión podrá decidir que los aparatos incluidos en determinadas categorías de equipo se construyan de forma que […]contengan salvaguardias que garanticen la protección de los datos personales y de la intimidad del usuario y del abonado».

(24) «Cuando proceda, se podrán adoptar medidas para garantizar que los equipos terminales estén fabricados de manera compatible con el derecho de los usuarios de proteger y controlar el uso de sus datos personales, de conformidad con la Directiva 1999/5/CE y la Decisión 87/95/CEE del Consejo de 22 de diciembre de 1986, relativa a la normalización en el campo de la tecnología de la información y las comunicaciones». Véase también el considerando 46 de la misma Directiva, mencionada en la nota a pie de página 13.

(25) A favor de esta perspectiva política, véase también la transcripción del discurso de V. Reding en el Día de la Protección de Datos, 28 de enero de 2010, Parlamento Europeo, Bruselas, SPEECH/ 10/16: «Las empresas tienen que utilizar su capacidad de innovación para mejorar la protección de la intimidad y los datos personales desde que se inicia el ciclo de desarrollo. La intimidad integrada en el diseño es un principio que interesa tanto a los ciudadanos como a las empresas, ya que mejorará la protección de las personas, así como la seguridad y la confianza en los nuevos servicios y productos, lo que a su vez tendrán un impacto positivo en la economía. Ya se ven algunos ejemplos alentadores, pero todavía queda mucho por hacer».

(26) Véase, por ejemplo, Royal Canadian Mounted Police, B2-002 — IT Media Overwrite and Secure Erase Products (05/2009), in http://www.rcmp-grc.gc.ca/ts-st/pubs/it-ti-sec/index-eng.htm