PREGUNTA ESCRITA E-0718/02

de Erik Meijer (GUE/NGL) a la Comisión

(15 de marzo de 2002)

Asunto: Recogida subrepticia de datos de usuarios por parte de Microsoft .NET Passport y medidas para proteger la intimidad

1. ¿Conoce la Comisión el servicio gratuito .NET Passport de Microsoft, que tiene por objeto permitir que, durante una compra, un juego, una solicitud o un asiento bancario en línea los datos personales de los consumidores puedan ser recogidos continuamente, por ejemplo a través de una dirección de correo electrónico (hotmail), un programa de chat (MSN Messenger), una tienda (Expedia.com), una subasta (QXL), una comunidad (MSN Communities) o una cadena de hoteles (Hilton.com), lo cual hace que sobre todo los titulares de una dirección de hotmail faciliten, sin darse cuenta, una enorme cantidad de datos personales a un desconocido?

2. ¿Sabe asimismo la Comisión que el hecho de no inscribirse en .NET Passport conlleva la exclusión de (servicios de) muchos sitios, que no es posible darse de baja, que periódicamente sólo se borran los datos antiguos y que las contraseñas que se utilizan constan de tan sólo seis caracteres y pueden en parte ser fácilmente averiguadas por otras personas que se hacen pasar por administradores del sistema o que tienen muchos conocimientos de diccionarios?

3. ¿Considera aceptable la Comisión que los usuarios de terminales públicas en universidades, bibliotecas y cibercafés, si no se desconectan bien, puedan transmitir sus datos personales al siguiente usuario, que al alquilar software por Internet (utilizando los servidores de Microsoft en lugar del propio disco duro) sólo es posible tener acceso con .NET Passport, y que, gracias a su posición de monopolio real, en un futuro próximo Microsoft puede hacer pagar caro los servicios que actualmente se ofrecen gratuitamente?

4. ¿Es legal que una empresa dominante elabore una base de datos muy amplia con datos personales? ¿Se ha inscrito .NET Passport en las instituciones nacionales que vigilan la aplicación de la legislación en materia de intimidad? ¿Existe esta obligación en todos los Estados miembros? ¿Es válida esta obligación si la base de datos no se encuentra en el territorio de un Estado miembro de la UE?

5. ¿Pueden disponer los departamentos de investigación criminal nacionales o europeos de los datos recogidos sin necesidad de una autorización previa del implicado o del juez?

6. ¿Cree la Comisión que hay motivo para promulgar un reglamento que impida los abusos por parte de personas interesadas y la violación de las normas de derecho a la intimidad?

Respuesta del Sr. Bolkestein en nombre de la Comisión

(7 de mayo de 2002)

1. a 3. La Comisión tiene conocimiento del sistema .NET Passport de Microsoft y de sus supuestas capacidades, y comparte algunas de las preocupaciones de Su Señoría. Está examinando este asunto con carácter prioritario, conjuntamente con las autoridades de control nacionales, para determinar si el sistema es compatible o no con las disposiciones comunitarias sobre protección de datos.

4. Cualquier empresa que opere en la Unión está sujeta a la normativa comunitaria y puede elaborar una base de datos de información de carácter personal, siempre que cumpla con las obligaciones estipuladas en la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos(1). Entre ellas, figura la de tener fines determinados y legítimos, informar al interesado de la identidad del responsable del tratamiento de los datos, los fines de la recogida y los derechos que tiene el interesado, como el de acceso a sus propios datos personales. Cuando sea necesario el consentimiento para el tratamiento, la Directiva exige que éste se dé de forma inequívoca. La Directiva también establece la obligación de notificar los tratamientos a las autoridades de control nacionales. No obstante, la Directiva también prevé algunas exenciones de la obligación de notificar. La Comisión no puede actualmente afirmar si esta operación de procesamiento ha sido notificada en la Comunidad.

La Comisión y las autoridades nacionales de protección de datos están examinando minuciosamente si la Directiva se aplica a bases de datos (o, en términos de la Directiva, a responsables de tratamiento de datos) situadas fuera de la Unión, o en qué medida se aplica, sobre todo cuando los datos se recaban directamente de los interesados a través de Internet. La letra c) del apartado 1 del artículo 4 de la Directiva establece su aplicación cuando el responsable del tratamiento recurra a medios, automatizados o no, situados en el territorio de un Estado miembro, lo que significa que la Directiva se aplica, en algunos casos al menos, a responsables situados fuera de la Unión. Además, las normas específicas referentes a un país tercero en el que esté establecido el responsable también pueden aplicarse y hacerse cumplir en dicha jurisdicción. A este respecto, Microsoft ha comunicado al Departamento de Comercio de EE.UU. que aplica una política de intimidad que se ajusta al marco de puerto seguro(2).

5. A tenor de las disposiciones legislativas, los departamentos de investigación criminal pueden utilizar información recogida sin la autorización previa del interesado o sin autorización judicial, siempre que se respete el derecho a la defensa de las personas de que se trate y que la restricción del derecho a la intimidad sea estrictamente necesaria para el objetivo de la investigación del delito. Además, la información recogida durante la investigación sólo puede emplearse en la medida que sea necesaria para dichos fines.

6. Con arreglo al artículo 33 de la Directiva, la Comisión está examinando la aplicación de la Directiva 95/46/CE, y espera elaborar un informe antes de final de año. En dicho contexto se examinará el incumplimiento de la normativa actual.

(1) DO L 281 de 23.11.1995.

(2) Véase la Decisión 2000/520/CE de la Comisión, de 26 de julio de 2000, con arreglo a la Directiva 95/46/CE del Parlamento Europeo y del Consejo, sobre la adecuación de la protección conferida por los principios de puerto seguro para la protección de la vida privada y las correspondientes preguntas más frecuentes, publicadas por el Departamento de Comercio de Estados Unidos de América, DO L 215 de 25.8.2000.