Source: http://docplayer.es/4701251-Gabinete-jur-dico-informe-0241-2011.html
Timestamp: 2017-10-22 21:33:57+00:00

Document:
Gabinete Jur?dico. Informe 0241/ PDF
Download "Gabinete Jur?dico. Informe 0241/2011"
Josefa Marín Córdoba
1 Gabinete Jur?dico Informe 0241/2011 Se consulta como debe adecuarse a la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, la actuación de empresa consultante, que desea crear una cuenta en una red social con fines publicitarios. En particular, plantea si puede invitar a todo el mundo, y si dicha invitación puede reproducirse de forma viral, reenviándose dicha invitación por otras personas a terceros. I Como punto de partida, debe señalarse que la actuación del consultante en el ámbito de la red social en la que considera abrir una cuenta no es equiparable a la de los usuarios que forman parte de ella actuando en un ámbito puramente personal o familiar, en tanto que a éstos resultará de aplicación la llamada exención doméstica contenida en el artículo 2.a de la Ley Orgánica 15/1999 según el cual El régimen de protección de los datos de carácter personal que se establece en la presente Ley Orgánica no será de aplicación: a) A los ficheros mantenidos por personas físicas en el ejercicio de actividades exclusivamente personales o domésticas. Dicha exención no resulta de aplicación al consultante tal y como señala el Grupo de Trabajo del artículo 29, órgano consultivo independiente de la UE sobre protección de los datos y la vida privada, creado en virtud de lo previsto en el citado artículo de la Directiva 95/46/CE relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de éstos, en su Dictamen 5/2009, sobre redes sociales. Señala dicho informe que si un usuario del servicio de redes sociales actúa en nombre de una empresa o una asociación o utiliza la red principalmente como una plataforma con fines comerciales, políticos o sociales asume todas las obligaciones de un responsable de datos que está revelando datos personales a otro responsable de datos (el servicio de redes sociales) y a terceros (otros usuarios de Servicios de Redes Sociales o, potencialmente, otros responsables de datos con acceso a los mismos) En estas circunstancias, el usuario necesita el consentimiento de las personas concernidas. Por consiguiente, el consultante, en dicha calidad de responsable del tratamiento de datos, deberá asumir aquéllas obligaciones que la Ley Orgánica 15/1999 impone a éstos. Ahora bien, teniendo en cuenta que dicho tratamiento se efectúa en el marco de una determinada red social, en la que las reglas de funcionamiento son impuestas por el proveedor de la red, algunas de estas obligaciones se limitan a aquéllos aspectos en los que el consultante tiene c. Jorge Juan Madrid 1
2 libertad para actuar. Dentro de estas obligaciones debe hacerse referencia en primer término a la obtención del consentimiento para el tratamiento de los datos personales de las personas físicas. La Ley Orgánica 15/1999 configura el consentimiento como el eje central legitimador del tratamiento de los datos de carácter personal, disponiendo a este respecto su artículo 6.1 El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. Dicho consentimiento debe reunir las características señaladas en el artículo 3.h de la misma Ley que lo define como manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen. Esta Agencia ha venido describiendo en sus informes dichas características de manera que se entiende por consentimiento libre aquel que ha sido obtenido sin la intervención de vicio alguno del consentimiento en los términos regulados por el Código Civil. El consentimiento específico viene referido a una determinada operación de tratamiento y para una finalidad determinada, explícita y legítima del responsable del tratamiento, tal y como impone el artículo 4.2 de la Ley Orgánica 15/1999. Para que pueda hablarse de consentimiento inequívoco se exige la realización de una acción u omisión que implique la existencia del consentimiento. En cuanto al requisito de la información, supone que el afectado conozca con anterioridad al tratamiento la existencia del mismo y las finalidades para las que el mismo se produce. Con carácter general, debe entenderse que el consentimiento en el supuesto a que se refiere la consulta se entenderá otorgado por el hecho de convertirse en amigo o seguidor de la página del consultante. El consentimiento así prestado se refiere únicamente a la persona que realiza la acción de hacerse amigo o seguidor y no puede extenderse al tratamiento de datos de terceros relacionados con dicha persona y ello aunque el perfil de estos últimos se encuentre abierto, en tanto que dicha circunstancia no implica el consentimiento de sus titulares para el tratamiento de los datos personales contenidos en el mismo. Dentro de los requisitos señalados para la validez del consentimiento es preciso referirse aquí especialmente al relativo a la información. Dispone a este respecto el artículo 5 de la Ley Orgánica 15/1999 que 1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco: a. De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información. 2
3 Gabinete Jur?dico b. Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas. c. De las consecuencias de la obtención de los datos o de la negativa a suministrarlos. d. De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición. e. De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. De este modo, deberá informarse por el consultante, a aquellos que pretendan convertirse en amigos, de la finalidad o finalidades de la recogida de datos, y de la identidad y dirección del consultante, así como de la posibilidad de ejercer sus derechos de acceso, rectificación, cancelación y oposición ante el mismo. En cuanto a la forma en que debe llevarse a cabo dicha información, debe tomarse en consideración que la Ley 15/1999 exige que se realice con carácter previo a la obtención del consentimiento, lo que implica que quienes deseen hacerse amigos del consultante deberán conocerla antes de efectuar dicha acción. Una posible solución sería ubicarla en el espacio de cuenta que facilite la red social con la información personal del consultante. Ello sin perjuicio de que puedan utilizarse otro tipo de procedimientos, como enlaces a políticas de privacidad del consultante, o cualquier medio que asegure que las finalidades del tratamiento son previamente conocidas por el afectado. El consentimiento está vinculado a la finalidad, perseguida por el tratamiento, esto es, el consentimiento se entiende prestado para aquéllas finalidades, determinadas y expresas, además de legítimas (cómo exige el artículo 4.2 de la Ley Orgánica 15/1999) que con carácter previo han sido conocidas por el afectado por el tratamiento de datos. Ello implica que si la finalidad del tratamiento es, como ocurre en el presente supuesto, publicitaria, dicha finalidad debe encontrarse recogida expresamente en la información facilitada, de manera que el nuevo amigo tenga conocimiento de la misma al prestar su consentimiento. En este sentido, la información que aparece en el perfil de los usuarios de redes sociales, con carácter general, revela sus intereses y actividades a todos aquellos que tengan la condición de amigos o a todos los demás usuarios si el perfil se encuentra abierto, ahora bien, la utilización de dichos datos, incluso en el ámbito de la propia red, con fines comerciales exige que dicho tratamiento de datos sea conocido y consentido por el interesado. Debe recordarse a este respecto, que el tratamiento de los datos se c. Jorge Juan Madrid 3
4 encuentra limitado por el principio de proporcionalidad recogido en el artículo 4.1 de la Ley 15/1999, conforme al cual Los datos de carácter personal sólo se podrán recoger para su tratamiento, así como someterlos a dicho tratamiento, cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido de modo que la utilización de información contenida en el perfil de aquéllos que han solicitado ser amigos del consultante se encuentra limitada a aquéllos estrictamente necesarios para lograr la finalidad para la que se ha prestado el consentimiento. Si se pretendiera además recolectar datos adicionales contenidos en el perfil, por ejemplo, los relativos a gustos, aficiones, periodicidad de la utilización de los servicios del consultante o cualquier otro que pueda utilizarse con la finalidad de remitirle una publicidad personalizada, deberá informarse de la existencia de dicho tratamiento de datos y de la finalidad del mismo, a fin de que sea conocido y consentido por los amigos del consultante. II Se plantea en la consulta si se puede invitar a todo el mundo, sin que el consultante aclare qué medios pretende utilizar para efectuar dicha invitación. Si la invitación pretende efectuarse mediante comunicaciones electrónicas, entre las que se encuentran los mensajes remitidos por correo electrónico, SMS, MMS u otros sistemas equivalentes, debe tenerse en cuenta que a la misma resulta aplicable la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico. A este respecto, conviene señalar que actualmente se denomina spam a todo tipo de comunicación no solicitada, realizada por vía electrónica. De este modo es posible entender por spam cualquier mensaje no solicitado y que normalmente tiene el fin de ofertar, comercializar o tratar de despertar el interés respecto de un producto, servicio o empresa. En cuanto a la regulación jurídica del spam, la citada Ley 34/2002, prohíbe el envío de mensajes comerciales sin el consentimiento del interesado. Así, su artículo 21.1, en la redacción resultante de la reforma operada por la Ley 32/2003, General de Telecomunicaciones establece que queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas, transponiendo así a nuestro derecho lo dispuesto en el artículo 13.1 de la Directiva 2002/58/CE, del Parlamento Europeo y del Consejo, de Privacidad en las Comunicaciones Electrónicas. 4
5 Gabinete Jur?dico Esta regla admite una única excepción, prevista en el artículo 21.2 de la Ley 34/2002, a cuyo tenor Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. Además, incluso en este supuesto En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. El ámbito de aplicación del precepto viene delimitado por el concepto de comunicación comercial contenido en el apartado f del Anexo de la Ley, definiendo como tal toda forma de comunicación dirigida a la promoción, directa o indirecta, de la imagen o de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional. Si bien en su segundo párrafo se señala que a efectos de esta Ley, no tendrán la consideración de comunicación comercial los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, ni las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica. Además, del contenido del apartado d) que define al destinatario del servicio o destinatario se desprende que la Ley 34/2003 extiende su protección a personas físicas y jurídicas al incluir en su definición a ambas, persona física o jurídica cuando utilicen sea o no por motivos profesionales, un servicio de la sociedad de la información. En el presente caso, se desprende de la consulta que la invitación que se pretende enviar tiene por objeto la promoción directa de los servicios de la empresa consultante, por lo que no existe duda alguna de que el envío de dicha comunicación se encuentra, en todo caso, sometido a lo dispuesto en los artículos 21 y 22 de la Ley 34/2002, en los términos que se han venido indicando. En consecuencia, y sin perjuicio de las restantes responsabilidades a las que pudiera dar lugar el envío de la comunicación, será en todo caso necesario contar con el consentimiento previo y expreso de los destinatarios para que su envío no resulte contrario a lo dispuesto en la Ley 34/2002 y, en consecuencia, c. Jorge Juan Madrid 5
6 sancionable por parte de esta Agencia Española de Protección de Datos, en virtud de las competencias sancionadoras que dicha Ley le atribuye en su artículo Por otra parte, en cuanto al envío de correos comerciales por terceros, esta Agencia, en el ejercicio de las competencias sancionadoras que le atribuye la citada Ley 34/2002, ha venido sancionado por incumplimiento de lo previsto en su artículo 21, aquellos supuestos en que se ha considerado que la empresa sancionada había ideado un sistema de enviar correos comerciales omitiendo las exigencias de dicha Ley (consentimiento previo e informado o que, previamente, haya habido una relación contractual entre el remitente del correo y el destinatario) al hacerse a través de personas que sí mantienen una relación con la entidad sancionada, pero que lo único que han de hacer es reenviar el propio correo comercial de la empresa sancionada. III Si el consultante pretende utilizar los mecanismos de relación con terceros que la red social pone a su disposición, deben hacerse las siguientes consideraciones. La primera es que a la utilización del servicio de mensajería de la red social resulta igualmente de aplicación lo previsto en el artículo 21 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico, a que se ha hecho referencia en el número anterior. La segunda hace referencia a aquellas opciones planteadas por la red social que permiten importar datos desde otros ficheros de que disponga el consultante (por ejemplo, su libreta de direcciones de correo electrónico). En estos casos, debe tenerse en cuenta que si dichos datos se refieren a personas físicas resulta de aplicación la Ley Orgánica 15/1999, de 13 de diciembre de protección de datos de carácter personal. Dicha importación de datos supondrá una cesión de datos al servicio de red social, de conformidad con la definición que de cesión de datos se contiene en el artículo 3 i) de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal como Toda revelación de datos realizada a una persona distinta del interesado. Tal cesión debe sujetarse al régimen general de comunicación de datos de carácter personal establecido en el artículo 11 de la misma Ley, donde se establece que la misma solo puede verificarse para el cumplimiento de fines directamente relacionados con las funciones legitimas del cedente y cesionario y exige, para que pueda tener lugar, el consentimiento del interesado (artículo 11.1), otorgado con carácter previo a la cesión y suficientemente informado de la finalidad a que se destinarán los datos cuya comunicación se autoriza o el 6
7 Gabinete Jur?dico tipo de actividad de aquél a quien se pretenden comunicar (artículo 11.3), y que debe recabar el cedente como responsable del fichero que contiene los datos que se pretenden ceder. De este modo, la inexistencia de consentimiento de los afectados por el tratamiento para la aludida cesión de datos a la red social dará lugar a una vulneración de lo previsto en la Ley Orgánica 15/1999. IV En cuanto a otras obligaciones impuestas por la Ley Orgánica 15/1999, cabe señalar lo siguiente: En cuanto al ejercicio de los derechos de acceso, rectificación y cancelación, se encontrará limitado a aquellos aspectos que estén bajo el control del consultante como, por ejemplo, eliminar datos en el propio muro o dar de baja a los amigos cuando así lo soliciten. El artículo 10 de la Ley Orgánica 15/1999 impone un deber de secreto disponiendo que El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo. Este deber es igualmente aplicable en el ámbito de las redes sociales si bien debe interpretarse en el sentido de que los datos conocidos en el marco de esa red social debe tratarse en dicho ámbito y conforme a las reglas del mismo, de manera que no cabe difundir o tratar datos personales conocidos en dicha red social fuera de la misma, por cualquier medio, sin consentimiento del interesado, o excediendo de lo permitido por las normas de uso de la concreta red social. En este sentido, el consultante debería configurar sus parámetros de privacidad en la red de forma que no fuera posible el acceso a la información acerca de quienes aparezcan como sus amigos sino a los mismos o al mínimo grupo de personas que la red permitiese. Quiere ello decir, por ejemplo, que no debería ser accesible la lista de amigos de la consultante por parte de no usuarios de la red social o de terceros que no tengan la condición de amigos, por cuanto ello implicaría la revelación de información concerniente a tales amigos a estas terceras personas. En particular, si el perfil de la consultante pudiese resultar accesible desde motores de búsqueda, debería resultar imposible a quien accediera sin ostentar la condición de amigo acceder a los datos de quienes allí se hubieran registrado. Asimismo, debe tenerse en cuenta que la incorporación de los datos de los amigos o seguidores a los propios sistemas del consultante, c. Jorge Juan Madrid 7
8 exige el consentimiento de los afectados, en los términos señalados en el número segundo de este informe. Dicha incorporación, implicaría que el consultante adquiere además de la condición de responsable del tratamiento la de responsable del fichero, y en consecuencia, se encuentra obligado a notificar la creación del fichero para su inscripción en el Registro General de Protección de Datos, así como la plena adopción de las medidas de seguridad que, en función, de la naturaleza de los datos a tratar exigen los artículos 9 de la Ley Orgánica 15/1999 y concordantes del Reglamento de desarrollo de dicha Ley, aprobado por Real Decreto 1720/2007, de 21 de diciembre. 8

References: artículo 2
 artículo 29
 artículo 6
 artículo 3
 artículo 4
 artículo 5
 artículo 4
 artículo 4
 artículo 21
 artículo 13
 artículo 21
e contrario
 artículo 21
 artículo 21
 artículo 3
 artículo 11
 artículo 10
 Real Decreto