Source: http://docplayer.es/2753744-El-tratamiento-invisible-de-datos-de-caracter-personal-en-internet.html
Timestamp: 2018-05-28 04:30:50
Document Index: 322807317

Matched Legal Cases: ['artículo 3', 'artículo 8', 'artículo 3', 'artículo 4', 'artículo 2', 'artículo 13', 'artículo 43', 'artículo 38', 'artículo 43', 'artículo 2', 'artículo 29']

EL TRATAMIENTO INVISIBLE DE DATOS DE CARÁCTER PERSONAL EN INTERNET - PDF
EL TRATAMIENTO INVISIBLE DE DATOS DE CARÁCTER PERSONAL EN INTERNET
Download "EL TRATAMIENTO INVISIBLE DE DATOS DE CARÁCTER PERSONAL EN INTERNET"
Álvaro Murillo Tebar
1 EL TRATAMIENTO INVISIBLE DE DATOS DE CARÁCTER PERSONAL EN INTERNET ROBERTO YANGUAS GÓMEZ Estudiante de Derecho Universidad de La Rioja SUMARIO I. INTRODUCCIÓN. II. EL OBJETO DE LAS NORMAS GENERALES RELATIVAS A LA PROTECCIÓN DE DATOS: DERECHOS Y BIENES JURÍDICOS PROTEGIDOS. 1. Normativa aplicable y objeto de la misma. 2. Intimidad y privacidad. 3. La autodeterminación informativa. III. DATO DE CARÁCTER PERSONAL: CONCEPTO. 1. Qué hemos de entender por dato concerniente a una persona física? 2. Qué hemos de entender por identificada o identificable? IV. PRINCIPIOS DE LA PROTECCIÓN DE DATOS. V. INTERNET COMO FUENTE ACCESIBLE AL PÚBLICO. VI. LA DIRECCIÓN DE CORREO ELECTRÓNICO O COMO DATO DE CARÁCTER PERSONAL. VII. EL CHARLOTEO DEL NAVEGADOR (CHATTERING). 1. Consideraciones generales. 2. Interpretación jurídica. VIII. EL SPAMMING. 1. Spam: concepto y caracteres. 2. Opt-in versus opt-out. La evolución de la normativa española y comunitaria. 3. Problemática normativa. 4. La nueva capacidad sancionadora de la Agencia de Protección de Datos en materia de spam. IX. HIPERVÍNCULOS INVISIBLES. 1. Hipervínculos invisibles que actúan en la navegación. 1.1 Hipervínculos invisibles en sentido estricto. 1.2 Web bugs ( Bichos del web ). 2. Hipervínculos invisibles que actúan a través de programas: el adware. 3. Un supuesto particular: el spyware. 3.1 Aspectos técnicos. 3.2 Aspectos jurídicos. X. COOKIES ( GALLETAS O CHIVATOS ). 1. Qué son?. 2. Riesgos reales para la privacidad. 3. Regulación existente. Especial atención al considerando 25 de la Directiva 2002/58/CE.
2 160 ROBERTO YANGUAS GÓMEZ I. INTRODUCCIÓN Vaya, tenemos observadores! -exclamó K. en alta voz, dirigiéndose al inspector e indicando con su índice la ventana de enfrente-. Váyanse! -les increpó. Sorprendidos, retrocedieron los tres con rapidez dos pasos hacia atrás. Los dos ancianos se escondieron detrás del hombre, que los ocultó con su corpachón, y a juzgar por el movimiento de sus labios, les habló algo, que la distancia les impidió oír. No obstante, no se ocultaron del todo, como si aguardasen el momento en que K. no pudiera verles, para volver a colocarse en la ventana KAFKA. F, El Proceso. Ed. Seix Barral. Madrid, 1987 La vida privada de las personas es hoy un bien muy preciado, tanto, que el legislador ha elaborado hasta la fecha un gran número de normas tendentes a la protección de la misma. El ser humano, como dijo Aristóteles, es un ser social: fuera de ello sólo puede ser un Dios o una bestia. Pero sin embargo, no se puede ser social las veinticuatro horas del día. Todos necesitamos, en algún momento, y en mayor o menor medida, disfrutar de la compañía de la soledad. Además, como ser libre, es el hombre quién debe elegir con quién quiere relacionarse y hasta qué punto. Ningún particular puede inmiscuirse en la vida de otro sin su consentimiento y menos aún si los propósitos no son desinteresados. De ello trata nuestro ensayo. Las nuevas tecnologías, especialmente la informática a través de Internet, han configurado una gran red mundial de interrelaciones. Sin embargo, al igual que ocurre cuando vamos paseando por la calle, no todo el mundo tiene por qué saber quienes somos, o más aun, qué somos. En Internet, al igual que en la realidad física, debe abogarse porque sea la persona quién decida si quiere permanecer o no en el anonimato (siempre que no esté en juego el orden social).
3 EL TRATAMIENTO INVISIBLE DE DATOS DE CARÁCTER PERSONAL EN INTERNET 161 II. EL OBJETO DE LAS NORMAS GENERALES RELATIVAS A LA PROTECCIÓN DE DATOS: DERECHOS Y BIENES JURÍDICOS PROTEGIDOS 1. Normativa aplicable y objeto de la misma. Hemos de partir señalando cuales son las normas de cuyo análisis se nutrirá la mayor parte de este ensayo: en primer lugar, la Ley orgánica 15/1999, de Protección de Datos de Carácter Personal, de 13 de diciembre, (LOPD en adelante), norma que viene a transponer en el ordenamiento interno la Directiva 95/46/CE, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, y que deroga a la antigua Ley orgánica reguladora del Tratamiento Automatizado de Datos de Carácter personal, de En cuanto al objeto de dicha normativa, y ciñéndonos al ámbito interno, la LOPD, tal y como se afirma en su artículo primero:... tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente su honor e intimidad personal y familiar. Sin embargo, pese a la teórica sencillez y claridad que emana de esta norma en relación al objeto protegido por la misma, nos encontramos, por el contrario, ante verdaderas dificultades a la hora de definir de manera pormenorizada cuál es el objeto al que se refiere. Dificultades que han tenido su reflejo en un extenso debate doctrinal, que vino a apaciguar en gran medida el Tribunal Constitucional en el año 2000 a través de la importantísima sentencia 292/2000 de 30 de noviembre. 2. Intimidad y privacidad. Frente a la antigua concepción de que el derecho a la intimidad abarca la protección de las expresiones más interiores y reservadas del ser humano (filosofía, comportamiento sexual, etc.), esto es, de su vida íntima, podemos decir (consecuencia de la incidencia del transcurso del tiempo en los Derechos fundamentales positivizados en un momento histórico concreto), que intimidad se correspondería hoy con privacidad. La privacidad abarca un espectro de protección más amplio que el núcleo al que hemos hecho referencia. Tal y como disponía la Ley orgánica 5/1992, reguladora del tratamiento automatizado de datos de carácter personal en su Exposición de Motivos, refiriéndose a privacidad e intimidad: aquélla es más amplia que ésta, pues en tanto la intimidad protege la esfera en que se desarrollan las facetas más singularmente reservadas de la vida de la persona (...), la privacidad constituye un conjunto, más amplio, más global, de facetas de su personalidad que, aisladamente consideradas, pueden carecer de significación intrínseca pero que, coherentemente enlazadas entre sí, arrojan como
4 162 ROBERTO YANGUAS GÓMEZ precipitado un retrato de la personalidad del individuo que éste tiene derecho a mantener reservado. (1) 3. La autodeterminación informativa. La fundamental STC 292/2000, de 30 de noviembre, a la que antes nos hemos referido, define la autodeterminación informativa como un derecho que atribuye a su titular un haz de facultades que consisten en su mayor parte en el poder jurídico de imponer a terceros la realización u omisión de determinados comportamientos, en relación con el tratamiento de sus datos personales (2), cuya concreta regulación debe establecer la ley La LOPD tiene un campo de actuación mucho mayor que la LORTAD, un campo que abarca y se extiende sobre un conglomerado difuso de derechos y libertades. El legislador lo que pretende es defender tales derechos y libertades, y para ello, en lugar de concretar cuáles son éstos y atribuirles de manera unívoca un instrumento particular de protección, lo que hace es llevar a cabo una acción preventiva sobre el medio que puede vulnerar tales derechos, sean cuales sean. Y este medio no es otro sino el tratamiento de datos personales. Y es que el verdadero peligro no deriva de si se ponen en conocimiento datos de carácter íntimo o no. Sino de que la adecuada identificación (entrecruzamiento) de esos datos dispersos, que permiten las nuevas tecnologías, vinculándolas a un sujeto en particular, puede arrojar como resultado la indefensión o vulneración de determinados derechos. III. DATO DE CARÁCTER PERSONAL: CONCEPTO Poseer una concepción clara de dato de carácter personal no es algo que atienda con propósitos meramente doctrinales, sino que tiene una directa repercusión en la práctica, pues si no es posible determinar si un elemento constituye o no un dato de carácter personal, tampoco cabe discernir si éste se halla afecto a la regulación sobre protección de datos existente. El artículo 3 de la LOPD se refiere a dato de carácter personal como cualquier información concerniente a personas físicas identificadas o identificables. 1 Epecialmente interesante resulta en este sentido el Considerando 10 de la Directiva 95/46/CE, donde se dice que las legislaciones nacionales relativas al tratamiento de datos personales tienen por objeto garantizar el respeto de la vida privada reconocido en el artículo 8 del Convenio Europeo para la Protección de los Derechos Humanos y de las Libertades Fundamentales, así como en los principios generales del Derecho Comunitario. En este sentido, señala el art.8 CEDH que Toda persona tiene derecho al respeto de su vida privada y familiar 2 La cursiva es nuestra
5 EL TRATAMIENTO INVISIBLE DE DATOS DE CARÁCTER PERSONAL EN INTERNET 163 Partiendo de esta definición podemos señalar, por tanto, dos presupuestos que definen a un dato como de carácter personal: 1) Que se trate de un dato concerniente a una persona física; y 2) Que tal persona física sea identificada o identificable 1. Qué hemos de entender por dato concerniente a una persona física? Por dato concerniente a una persona física hemos de entender, no sólo aquellos relativos a informaciones íntimas o especialmente características del sujeto en cuestión, sino a cualquier información que, por intranscendente o insignificante que pueda parecer, pertenece al fuero interno de la esfera privada de la misma (en el sentido que hemos definido privacidad anteriormente) (3). Si a priori nos puede parecer esta una concepción muy amplia del ámbito a proteger, observamos que no se trata de un capricho del legislador, sino que, como ya hemos señalado con anterioridad, información cuyo tratamiento a simple vista puede parecer inocuo en cuanto a vulneración de derechos se refiere, estableciendo los apropiados vínculos puede llegar a servir para la elaboración de perfiles de personalidad, con el consiguiente peligro que, ahora sí, esto supone en relación con los derechos y libertades. 2. Qué hemos de entender por Identificada o Identificable? Significa que el dato personal no tiene porqué suponer identificación presente, basta con que lo sea en un futuro. Representa una posibilidad. Como señala VIZCAÍNO CALDERÓN (4) ha de entenderse, no como necesaria identificación actual, sino como una posibilidad real de identificación. El Considerando 26 de la Directiva 95/46/CE contiene una regla de interpretación a la hora de evaluar tal posibilidad real de identificación. Y concretamente señala que para determinar si una persona es identificable hay que considerar el conjunto de los medios que pueden ser razonablemente utilizados por el responsable del tratamiento o por cualquier otra persona para identificar a dicha persona. Es decir, apunta (como en su día lo hizo la propuesta de Directiva de 1990) a una no inversión excesiva de tiempo y recursos humanos y económicos. Todo dato relativo a una persona que no cumpla este segundo presupuesto habrá de entenderse disociado (5) 3 Ver apartado Intimidad y privacidad. 4 VIZCAÍNO CALDERÓN, M., Comentarios a la LOPD, pág.72. Madrid, Ed. Cívitas. 5 Esto es, y con relación al art.3.f LOPD que habla del procedimiento de disociación, habrá de entenderse que el sujeto se halla en situación de anonimato.
6 164 ROBERTO YANGUAS GÓMEZ IV. PRINCIPIOS DE LA PROTECCIÓN DE DATOS Antes de comenzar la parte central de nuestro trabajo conviene recordar brevemente que LOPD viene a establecer una serie de principios cuyo respeto es presupuesto de partida para un correcto tratamiento de los datos de carácter persona. La doctrina ha diferido formalmente en cuanto a la enumeración de tales requisitos. Sin embargo, todas las teorías vienen a converger en la idea que subyace de fondo, y que ha sido recogida con cierta nitidez (más aun que en los textos normativos que resultan ciertamente confusos y desorganizados en cuanto a la exposición se refiere), en el Considerando 28 de la Directiva 95/46/CE, y que enuncia lo siguiente: Considerando que todo tratamiento de datos personales debe efectuarse de forma lícita y leal con respecto al interesado; que debe referirse, en particular, a datos adecuados, pertinentes y no excesivos en relación con los objetivos perseguidos; que estos objetivos han de ser explícitos y legítimos, y deben estar determinados en el momento de obtener los datos; que los objetivos de los tratamientos posteriores a la obtención no pueden ser incompatibles con los objetos originalmente especificados. Así podríamos enumerar como principios fundamentales en el tratamiento de datos de carácter personal los siguientes: principio de finalidad predeterminada (art.4.1 LOPD); principio de proporcionalidad (art.4.1 LOPD); principio de lealtad (art.4.7 LOPD); principio de congruencia (art.4.2 LOPD); y principio de exactitud (art.4.3 LOPD). Además, establece el Considerando 30 de la Directiva 95/46/CE que para ser lícito el tratamiento de datos personales debe basarse (...) en el consentimiento del interesado. El Considerando 33 señala por su parte que, los datos que por su naturaleza puedan atentar contra las libertades fundamentales o la intimidad no deben ser objeto de tratamiento alguno, salvo en caso de que el interesado haya dado su consentimiento explícito, y que deberán constar de forma explícita las excepciones a esta prohibición. Ambos Considerandos constituyen el axis jurídico del principio de autodeterminación informativa. V. INTERNET COMO FUENTE ACCESIBLE AL PÚBLICO Entre las cuestiones más relevantes que debemos de plantearnos antes de entrar a estudiar a fondo los medios por los que se puede llegar a vulnerar el derecho a la autodeteminación informativa a través de Internet, se encuentra la pregunta de si hemos de considerar precisamente Internet como una fuente accesible al público. De la contestación a esta pregunta dependerá de que jueguen en Internet, con plenitud o no, el derecho a la información previsto en el art.5 LOPD, y el principio de consentimiento del art.6 de la misma Ley. Puesto que si concebimos Internet como una fuente accesible al público no será necesario que se informe de forma expresa al interesado de la recogida de datos a el relativos sitos en la Red (art.5.5, párrafo segundo LOPD), ni que consienta en el tratamiento de los mismos (art.6.2 LOPD).
7 EL TRATAMIENTO INVISIBLE DE DATOS DE CARÁCTER PERSONAL EN INTERNET 165 El artículo 3.j LOPD define como fuentes accesibles al público aquellos ficheros cuya consulta puede ser realizada, por cualquier persona, no impedida por una norma limitativa o sin más exigencias que, en su caso, el abono de una contraprestación. Tienen consideración de fuentes de acceso público, exclusivamente, el censo promocional, los repertorios telefónicos en los términos previstos por su normativa específica y las listas de personas pertenecientes a grupos de profesionales que contengan únicamente los datos de nombre, título, profesión, actividad, grado académico, dirección e indicación de su pertenencia al grupo. Asimismo, tienen el carácter de fuentes de acceso público los diarios y boletines oficiales y los medios de comunicación. Nos encontramos ante un supuesto de numerus clausus (6), o enumeración taxativa, que supone que sólo y únicamente han de tener la consideración de fuentes accesibles al público: el censo promocional, los repertorios telefónicos y las listas de grupos de profesionales en los términos previstos, los diarios y boletines oficiales y los medios de comunicación. La enumeración es clara. Sin embargo, la cuestión que planteamos en un principio no obtiene respuesta ciñéndonos únicamente a este precepto, pues si bien Internet no se halla recogido exclusivamente dentro de los supuestos tasados, no parecería, a priori, descabellado, incluirlo como parte integrante dentro de los medios de comunicación. No cabe duda de que Internet es un medio de comunicación en el sentido que permite transmitir grandes cantidades de información de una parte del globo a otra en muy pocos segundos. Sin embargo, sin atender a consideraciones puramente terminológicas, deberemos de saber cuál es el concepto jurídico de medio de comunicación a que se refiere la Ley 15/1999. La respuesta a esta cuestión nos la ha dado nuevamente la Agencia de Protección de Datos (en adelante, APD), en una de sus respuestas a consultas planteadas recopiladas en su Memoria anual. En este caso, la respuesta se halla concretamente en la Memoria de la Agencia del año 2000 (7). Al respecto señala la APD que no se considera que la procedencia de los datos recogidos en Internet sea la de fuente accesible al público, siendo necesario, por lo tanto, la obtención del consentimiento inequívoco, específico e informado del afectado para realizar tratamientos con sus datos personales publicados en Internet, aunque estos se hayan publicado de forma que cualquier internauta pueda acceder a los mismos. Así pues, y con esta contestación, la APD deja claro que en el caso de datos personales publicados en foros, grupos de noticias, chats o similares, éstos no podrán ser recogidos sin informar al sujeto a quién pertenecen, ni ser tratados sin su consentimiento. La tesis del principio de finalidad viene a reforzar este planteamiento, si tenemos en cuenta que la publicación de estos datos en los denominados espacios públicos de internet responde a motivos diversos, cuales son la posibilidad de recibir respuestas a posts (mensajes) publicados en foros, o entablar comunicación con otras personas. Pero en 6 STSJ de Castilla y León, de 1 de octubre de RJCA 2002\ Memoria de la Agencia de Protección de Datos, Ministerio de Ciencia y Tecnología. Madrid, 2002, pag.93.
8 166 ROBERTO YANGUAS GÓMEZ ningún caso se adecuarán, por lo general, a la finalidad pretendida por el responsable de la recogida. VI. LA DIRECCIÓN DE CORREO ELECTRÓNICO O COMO DATO DE CARÁCTER PERSONAL La cuestión de si hemos de concebir la dirección de correo electrónico como dato de carácter personal no es una cuestión tampoco baladí, sino que, dependiendo de la respuesta, habremos de proyectar sobre la dirección las prebendas y disposiciones sobre protección de datos que indican las leyes internas y la normativa comunitaria. Este es un tema especialmente a tener en cuenta en el caso del spam, pues si entendemos que la dirección de no es un dato de carácter personal, en ese caso, el tratamiento del mismo con fines de prospección comercial no requerirá del sometimiento del responsable a determinadas pautas y deberes. Del mismo modo la venta o cesión de listas con millones de direcciones de también podrá se considerado como un acto perfectamente lícito. Cómo se contesta a esta pregunta? La respuesta corresponde nuevamente a la Agencia de Protección de Datos en una contestación a una consulta similar, concretamente a si la venta o cesión de datos de un fichero que contiene direcciones de correo electrónico, debe ser considerada cesión de datos a los efectos de la ley (8) (la LOPD se sobreentiende). La respuesta de la Agencia es clara: sí, ha de ser considerada cesión a los efectos de la ley. La APD lo justifica de la siguiente manera: existen direcciones que, en sí mismas, hacen identificable al sujeto, en cuanto en ellas se incluye el nombre del mismo, su edad, país o análogo. Sería el caso por ejemplo de la dirección En este caso, la dirección contiene el nombre y primer apellido del titular de la misma. La organización en la que se encuentra integrado, en este caso la universidad de la Rioja. La posición que ocupa dentro de la misma, en este caso la de alumno. Y la zona geográfica a la que pertenece, en este caso España. Pues bien, en estos casos, la APD ha venido entendiendo que en aquellos supuestos en los que la dirección se refiera a aspectos particulares de un sujeto en concreto, que lo hagan identificable en cualquier faceta, la dirección habrá de ser considerada un dato de carácter personal. Ahora bien, existen ocasiones en los que los datos mostrados no identifican al titular de la cuenta, incluso pueden identificar a otra persona distinta. O simplemente existen casos en los que la dirección está compuesta por caracteres alfa-numéricos que no representan ninguna realidad concreta, es el caso de direcciones como o En estos casos, la APD ha dicho que habremos de estar a la norma general. Y la norma general no es otra que entender que un sujeto es identificable si 8 Memoria de la Agencia de la Protección de Datos, Ministerio de Ciencia y Tecnología. Madrid, 1999, pág.127.
9 EL TRATAMIENTO INVISIBLE DE DATOS DE CARÁCTER PERSONAL EN INTERNET 167 dicha identificación no supone un esfuerzo desproporcionado. Concretamente la APD ha dicho al respecto que incluso en estos supuestos (a los que nos acabamos de referir), la dirección de correo electrónico aparecerá necesariamente referenciada a un dominio concreto, de tal forma que podrá procederse a la identificación mediante la consulta del servidor en que se gestione dicho dominio sin necesidad de un esfuerzo desproporcionado por parte de quien lleve a cabo dicha identificación Así pues, como vemos, para la APD la dirección de correo electrónico constituirá, en todos los casos, un dato de carácter personal. Sin embargo ha de ponerse en duda la correción de la anterior argumentación. Situémonos en el supuesto de una dirección alojada en una gran compañía proveedora de servicios de correo electrónico (por ejemplo Hotmail, cuyos servidores manejan millones de cuentas de correo diariamente). Se habrá de entender que no constituye un esfuerzo desproporcionado el acudir a dicha compañía y solicitar información sobre el titular de la cuenta? La respuesta, a todas luces, parece negativa. A nuestro modo de ver, la APD ha acertado en el fondo del asunto, pues lo que se trata es de proteger del abuso a través del tratamiento de direcciones de correo electrónico. Sin embargo, la argumentación es pobre. Más correcto a nuestro juicio habría sido decir que, en tanto que en la cabecera del remitido queda registrada la dirección IP del ordenador del que partió, así como de los host intermedios, es este hecho más que suficiente para considerarlo como posible instrumento de identificación de una persona, y por ello es digno de toda la cobertura que ofrece la normativa reguladora sobre protección de datos. VII. EL CHARLOTEO DEL NAVEGADOR (CHATTERING) 1. Consideraciones generales. Cuando un usuario de Internet navega por la Red, lo que está haciendo es acceder a páginas alojadas en servidores (9) de todo el mundo. Para ello se emplea un tipo especial de software denominado browser o navegador. Algunos de los navegadores más conocidos son Internet Explorer, Netscape, Opera, Safari o Mozilla, entre otros. Cuando el usuario introduce el URL (Universal Remote Locator) correspondiente, suma del protocolo y de la dirección antes visto, el navegador solicita al servidor donde está hospedada la página que nos la muestre, para que el usuario la pueda visualizar. En este 9 Por servidor hemos de entender todo ordenador utilizado como intrumento para prestar un servicio. Por el contrario, el ordenador al que se dirige ese servicio se denomina cliente. Es por ello que Internet ha de ser considerado de manera global como una gran red multiservidor-multicliente, por cuanto los propios ordenadores actuales, al ser multiproceso, es decir, crear la ficción de que se desempeñan varias tareas a la vez, son capaces de funcionar simultáneamente como servidores y como clientes dependiendo de la actividad realizada (chatear, navegar, mantener una conversación oral, etc.)
10 168 ROBERTO YANGUAS GÓMEZ proceso se transmiten datos a través del protocolo HTTP, datos a los que se les puede atribuir la calificación de datos de carácter personal, en el sentido ya estudiado (10). Fundamentalmente son cinco, a saber: 1- En primer lugar se solicita la página que se quiere visualizar, a través de la instrucción GET. En dicha solicitud se señala el protocolo utilizado a fin de que el servidor pueda proceder en su actuación. 2- En la línea User-Agent se señala por lo general, el navegador utilizado y el sistema operativo del ordenador solicitante (Windows 98, Windows XP, BeOs, Linux...) 3- En una tercera línea se especifican los formatos aceptados para ser visualizados (texto plano, mapas de bits, imágnes JPGE o GIP, etc.). Sin embargo, en el caso del Internet Explorer y asimilados, se ha venido teniendo la mala costumbre de remitir al servidor que ciertos programas están instalados en el ordenador del solicitante (p.ej. Word o Excel) 4- En último término, algunos navegadores señalan el idioma especificado por el usuario para el navegador o para el sistema operativo. 5- Además, a través de este protocolo se pueden transmitir, sin que el usuario lo perciba, las denominadas cookies que estudiaremos más adelante 2. Interpretación jurídica. Como vemos, al navegar por la Red se está vulnerando en la práctica totalidad de los casos la normativa sobre protección de datos. Uno de los principios que hemos analizado en la parte introductoria como indispensables en todo tratamiento de datos de carácter personal es el principio de proporcionalidad. Aquí, no cabe duda de que el idioma, los programas que el usuario tiene instalados en su máquina o el sistema operativo utilizado, son datos de carácter personal por cuanto permiten identificar al usuario en varias facetas (idioma, preferencias en cuanto al uso de determinados productos informáticos, etc.). Y por otro lado, también resulta claro que la finalidad a que tiende el protocolo HTTP no debe ser otra que a posibilitar la visualización de páginas web en el computador del usuario. Técnicamente, para desempeñar tal función, sólo sería imprescindible la solicitud de la página a través de la instrucción GET. El resto de datos referidos no son necesarios. Por ello, y de acuerdo con el artículo 4.1 de la LOPD y 6.1.c de la Directiva 95/46/CE, tal acción estaría vulnerando el hecho de que los datos sólo se podrán recoger para su tratamiento, cuando sean adecuados, pertinentes y no excesivos (si bien sería discutible este punto) (11) en relación con el ámbito y las finalidades... para las que se hayan obtenido. Además, el usuario medio, ni tan siquiera sabe que su dirección IP está siendo transmitida en ese proceso. Es más, por regla general no es consciente, ni informado de 10 Ver apartado Dato de carácter personal: concepto. 11 La cursiva es nuestra
11 EL TRATAMIENTO INVISIBLE DE DATOS DE CARÁCTER PERSONAL EN INTERNET 169 ello, de que se están tratando datos que permiten identificarlo. Ni tan siquiera cuáles son esos datos, o que la dirección IP es uno de ellos, vulnerando así las disposiciones de los arts.5 y ss. LOPD, que constituyen el armazón básico de la defensa del derecho a la autodeterminación informativa en nuestro ordenamiento. VIII. EL SPAMING 1. Spam: concepto y caracteres En primer lugar, y antes de pasar a a analizar la realidad jurídica de este fenómeno, deberemos dar una concreta definición de spam, a fin de delimitar concretamente el objeto sobre el cual versarán los siguientes apartados. Qué es el spam exactamente? El término spam procede de Inglaterra, donde se utilizaba hace algunas décadas para designar a los trozos de carne, que, en las carnicerías, se regalaba a los clientes por las compras realizadas, salvo manifestación en contra de los mismos (Spiced jam). En la actualidad, por spaming se ha venido entendiendo aquélla actividad, desarrollada en el espacio de Internet, consistente en el envío masivo de comunicaciones comerciales no solicitadas, por parte de una empresa. Suele ser habitual el falseo de los datos de cabecera del con objeto de que los emisores no puedan ser identificados posteriormente. Algunos autores han venido a distinguir entre spam y comunicaciones comerciales no solicitadas. Sin embargo, y a efectos de la nueva regulación, la definición dada de spam es perfectamente subsumible al supuesto de hecho regulado por la norma. Debemos sin embargo aquí distinguir el spam de otras actividades de contenido semejante pero no idéntico y que, por tanto, no han de ser considerados ilícitos de acuerdo a la nueva normativa. Permission marketing o marketing autorizado: con este término se designa a la actividad realizada por las empresas, consistente en establecer una relación con el usuario de internet, a través de la Red, basada en una creciente confianza que se materializa a través de promesas cumplidas. En la práctica suele concretarse a través de concursos, ofertas, regalos o promociones, todos ellos buenos motivos para que el usuario consienta en el tratamiento de sus datos. Suelen ser campañas menos agresivas y con mejores resultados a largo plazo que el spaming. Como están basados en el consentimiento del usuario, son perfectamente lícitas de acuerdo al art.13 de la nueva Directiva 2002/58/CE Hoaxes: se trata de un tipo de actividad tan difundida como el spam. Consiste en el envío de s a través de la Red, que instan a quién las recibe, a que las reenvíe a sus contactos. En este caso la actividad se inicia con una o un número reducido de comunicaciones. Sin embargo su crecimiento es exponencial. El contenido de los mismos
12 170 ROBERTO YANGUAS GÓMEZ suele ser historias (falsas en su inmensa mayoría), solicitudes de ayuda, odas a las más variopintas figuras o chistes. Desde el punto de vista meramente jurídico cabría plantearnos si los hoaxes podrían ser considerados una conducta ilícita. Tanto la Directiva 2000/31/CE como la 2002/58, y en el plano del Derecho interno, la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico (LSSI a partir de ahora), y la nueva Ley General de Comunicaciones, hacen referencia a la conducta a regular como comunicaciones comerciales no solicitadas (12), o comunicaciones no solicitadas con fines de venta directa (13). De lo que se deduce que una de las características inherentes a este tipo de conductas es el hecho de que en cuanto a su finalidad, tiendan a la venta de un producto o servicio, impulsadas por el ánimo de lucro. Es por ello, que las comunicaciones que carezcan de tal animus no incurrirán en el ilícito estudiado. El fundamento jurídico de este tipo de actuaciones lo podríamos situar en el artículo 2.2 LOPD, cuando dice que El régimen de protección de datos de carácter personal que se establece en la presente Ley Orgánica no será de aplicación... a los ficheros mantenidos por personas físicas en el ejercicio de actividades exclusivamente personales o domésticas 2. Opt-in versus opt-out. La evolución de la normativa española y comunitaria. A la hora de llevar a cabo la regulación sobre el envío de comunicaciones comerciales no solicitadas, el legislador tiene ante sí dos posibilidades en cuanto a la protección de datos y la prestación del consentimiento. Estas dos posibilidades se han venido a concretar en la doble política opt-in /opt-out, o lo que es lo mismo, de consentimiento expreso o inclusión voluntaria y de oposición expresa o exclusión voluntaria. Cuando se remite a un consumidor, usuario de un servicio de correo electrónico, un e- mail de carácter comercial, es claro que, de acuerdo a lo que llevamos visto normativamente sobre protección de datos, éste deberá de consentir a tal envío de comunicación. Pues bien, este consentimiento, de acuerdo a la LOPD, podrá ser formalmente diferente en atención al contenido de los datos tratados. En este caso, parece claro que el , si bien constituye, como ya hemos visto (14), un dato de carácter personal, parece claro que tal dato no se encuentra entre los datos especialmente protegidos del art.7. Luego bastará en principio con el consentimiento tácito para que la publicidad pueda ser enviada a dicha dirección. Y es aquí donde surge la divergencia con el actual Derecho comunitario. La LOPD, como vemos, permite que se consienta tácitamente, es decir, que, siempre que se cumplan las previsiones dispuestas en el art.5 de la propia LO respecto al deber de información del responsable de los datos, se entenderá prestado el consentimiento salvo que el usuario se oponga expresamente. Es lo que se ha venido a 12 Art.9 de la Directiva 2000/31/CE, y art. 21 de la LSSI 13 Art. 13 de la Directiva 2002/58/CE 14 Ver apartado Dato de carácter personal: conepto.
13 EL TRATAMIENTO INVISIBLE DE DATOS DE CARÁCTER PERSONAL EN INTERNET 171 conocer como política de opt-out, y que conllevaría en principio, la validez, en el ámbito de la protección de datos, del silencio positivo. La política de la LOPD deriva de la Directiva 95/46/CE, norma comunitaria que transpone, y que posibilitaba a los Estados miembros de la UE el elegir entre consentimiento expreso y consentimiento tácito, con la excepción de los datos especialmente sensibles a los que hace referencia nuestra LOPD en su art.7, donde, en coherencia con lo señalado en el Considerando 33 de la Directiva, se requiere consentimiento explícito. Es decir, los Estados miembros, respecto a la generalidad los supuestos, podrían establecer si se debía prestar expresamente el consentimiento o cabía la otorgación tácita del mismo. En 1997, la Directiva sobre venta a distancia (15) y en materia concreta de protección al consumidor, establece que el correo electrónico es una técnica de comunicación que puede utilizarse a falta de oposición manifiesta del consumidor. Luego, nuevamente vemos aquí como el legislador comunitario opta por el sistema de opt-out en el ámbito de las comunicaciones electrónicas. Tres años más tarde, la Directiva 2000/31/CE, de 8 de junio de 2000, relativa a determinados aspectos jurídicos de los servicios de la sociedad de la información, en particular el comercio electrónico en el mercado interior (Directiva sobre el comercio electrónico), en su art. 7.2 señala que, sin perjuicio de lo dispuesto en las Directivas 97/7/CE y 97/66/CE, los Estados miembros deberán adoptar medidas para garantizar que los prestadores de servicios que realicen comunicaciones comerciales no solicitadas por correo electrónico consulten regularmente las listas de exclusión voluntaria ( opt-out ) en las que se podrán inscribir las personas físicas que no deseen recibir dichas comunicaciones comerciales, y las respeten. Es decir, la Directiva 2000/31/CE señala con carácter general la posibilidad de optar nuevamente a los Estados miembros, por la política de opt-out en el ámbito de las comunicaciones comerciales por , siempre en consonancia con lo dispuesto en la Directiva general 95/46/CE. Sin embargo, va a ser en este punto donde la LSSI cambia el criterio mantenido hasta la fecha por el legislador interno y opta por una política de inclusión voluntaria. Por si el caos normativo no fuera suficiente, finalmente, en el año 2002, Parlamento Europeo y Consejo, acuerdan, mediante el procedimiento de codecisión, la aprobación de la Directiva 2002/58/CE, de 12 de julio de 2002, relativa al tratamiento de los datos personales y a la protección de la intimidad en el sector de las comunicaciones electrónicas (Directiva sobre la privacidad y las comunicaciones electrónicas). Es en este momento, cuando, debido al exponencial incremento del spam, a las dificultades que conlleva una doble regulación (16) y a las negativas repercusiones que esto tiene en el mercado 15 Directiva 97/7/CE del Parlamento Europeo y del Consejo, de 20 de mayo de 1997, relativa a la protección de los consumidores en materia de venta a distancia 16 Hasta ese momento tan sólo Austria, Dinamarca, Alemania, Finlandia e Italia practicaban una política de opt-in, lo que suponía para los prestadores de servicios numerosos problemas a la hora de orientar sus
14 172 ROBERTO YANGUAS GÓMEZ (especialmente en las transacciones comerciales vía Internet), decide cambiar de orientación y unificar el derecho comunitario. Así, en el artículo 13 de Directiva se establece que: sólo se podrá autorizar la utilización de sistemas de llamada automática sin intervención humana, fax o correo electrónico, con fines de venta directa respecto de aquellos abonados que hayan dado su consentimiento previo. Es decir, se establece con carácter general y aplicable para todos los Estados miembro, la exigencia del consentimiento expreso (opt-in) en el ámbito de las comunicaciones comerciales por e- mail, desterrando así, al menos en teoría, las prácticas consagradas hasta la fecha y las denominadas Listas Robinson. Para adecuarse a lo anterior, y tras cierta tardanza, el legislador interno ha transpuesto la directiva mediante la Ley 32/2003, de 3 de noviembre, General de Telecomunicaciones (LGT a partir de ahora), cuya Disposición Adicional Primera amplía el antiguo y ratifica lo ya dispuesto en el art.21 de la LSSI (fundamento del consentimiento expreso) reafirmando su postura de asunción del derecho comunitario. D.95/46/CE D. Venta a Distancia D.2000/31 D.2002/58/CE 2 opciones: opt-in / opt-out mínimo: opt-out mínimo: opt-out opt-in Concordancia 2002 Derecho interno LOPD LSSI LGT opt-out opt-in opt-in Cabría destacar aquí, por último, y en cuanto a iniciativa comunitaria se refiere, una comunicación de la Comisión de 22 de abril de 2004, en la que se proponen acciones de aplicación y cumplimiento de la legalidad vigente, de autorregulación y acciones técnicas y de sensibilización 17. Si bien es cierto que dicha comunicación no tiene vinculación normativa, es probable que en un periodo relativamente corto de tiempo dicha opción se vea materializada normativamente a través de nuevos instrumentos o modificaciones de la Directiva 2002/58/CE. 3. Problemática normativa Lo que nos interesa es, desde luego, resolver el nudo gordiano planteado, y para ello vamos a intentar ir paso por paso: actuaciones, sobre todo si tenemos en cuenta que en numerosísimas ocasiones el por si sólo no permite conocer la nacionalidad de la persona a que pertenece el mismo. 17 <www.iustel.com>, 24 de marzo de 2004.
15 EL TRATAMIENTO INVISIBLE DE DATOS DE CARÁCTER PERSONAL EN INTERNET 173 a) En el periodo que media entre la Directiva 95/46/CE y la Directiva 2000/31/CE, legislador comunitario e interno van de la mano y no se contradicen en modo alguno (al menos en este ámbito, pero si en otros como veremos más adelante). b) Desde la transposición de la Directiva 2000/31/CE, hasta la aparición de la Directiva 2002/58/CE el problema residía en la existencia de dos normas internas, la LOPD y la LSSI, que pese a estar ambas amparadas por el legislador comunitario, se contradecían entre sí. En este periodo, por tanto, primaría la LOPD, ya que la disposición final segunda de la misma incluye los arts. 6 y 7, objeto de conflicto, dentro de los de carácter orgánico. Y dado que el objeto de regulación (especialmente en lo referido al art.5.5, segundo párrafo LOPD) es el mismo, será la Ley Orgánica quien hayan de primar, en última instancia, sobre la ley ordinaria (18). Así por tanto, respecto a las comunicaciones comerciales vía e- mail cabría entender la existencia de una política de exclusión voluntaria, que ampararía las prácticas de enviar publicidad si el interesado es informado y no se pronuncia al respecto. c) Tras la Directiva 2002/58/CE se produce una incompatibilidad en lo relativo a las comunicaciones comerciales por . Por tanto, dado que se trata de una norma precisa e incondicional cuyo plazo de transposición había el 31 de octubre de 2003, habría que aplicar en este periodo la teoría general del Derecho comunitario para ver si, en su caso, podría hacerse valer en algún caso lo dispuesto en ella (norma precisa e incondicional, aplicable sólo a relaciones verticales y ascendentes con el Estado, no transpuesta en plazo) Cabría aun plantearnos es si era necesaria la transposición de la Directiva 2002/58/CE o bastaba con lo dispuesto en la LSSI. Podríamos inclinarnos a pensar, en principio, que será necesaria al menos una reforma en la Ley orgánica que establezca la necesidad de consentimiento expreso, aparte de para los supuestos recogidos en el art.7, para las comunicaciones comerciales vía correo electrónico; y que en tanto eso no se haya producido, no podría alegarse como fundamento jurídico la LSSI como norma transpuesta. No obstante, todo ello parece resolverse mediante la citada LGT, si bien es cierto que nos hallamos ante los mismos interrogantes y discordancias internas que en el supuesto anterior. La realidad es que nos encontramos aquí ante un problema jurídico de difícil solución, incluso podríamos atrevernos a decir que carece de solución hasta que no se pronuncien los tribunales, y por tanto opinable. De este modo, tampoco resultaría absurdo ni mucho menos, entender que la LSSI es apta como norma que transpone la Directiva, y que el problema en este caso ya no es a nivel comunitario, sino a nivel interno (19) 18 En este sentido el Ministerio de Ciencia y Tecnología vino a decir en la FAQ de su página web <www.mcyt.es> que, respecto del consentimiento sería aplicable lo dispuesto en la LOPD y no lo dispuesto en la reciente LSSI 19 A modo de breve recordatorio, y para no perdernos, señalar que pese a que el art.30 de la LOPD sobre el tratamiento con fines de publicidad y prospección comercial no tiene el rango de orgánico por no estar sujeto a reserva de acuerdo a la Disposición final segunda, estricto sensu, de la misma ley; sigue habiendo contradicción insalvable entre los arts. 5.5 y 6.2 LOPD y 13 Directiva 2002/58/CE. Y de ahí toda la polémica suscitada
16 174 ROBERTO YANGUAS GÓMEZ 4. La nueva capacidad sancionadora de la APD en materia de Spam. La otra gran reforma que plantea la nueva Ley General de Telecomunicaciones y que ha pasado bastante inadvertida es la posibilidad que se le otorga a la Agencia de Protección de Datos en materia de spam. Hasta la entrada en vigor de la nueva ley, el artículo 43 de la LSSI señalaba, en su número primero, que: la imposición de sanciones por el incumplimiento de lo previsto en esta ley corresponderá, en el caso de infracciones muy graves, al Ministro de Ciencia y Tecnología, y en el de infracciones graves y leves (caso del spam de acuerdo al artículo 38.3.b y 38.4.d) (20 Al respecto cabe mencionar que la nueva Ley General de Comunicaciones también reforma ambos apartados incluyendo el inciso...desinatarios que no hayan autorizado su remisión o se hayan opuesto a ella..., que, a nuestro juicio, vuelve a suponer un ejemplo de deficiente técnica legislativa por cuanto su interpretación autónoma, sin tener en cuenta todo lo dicho hasta ahora, podría dar lugar a grandes equívocos. ), al Secretario de Estado de Telecomunicaciones y para la Sociedad de la Información (SETSI). Sin embargo, el número cinco de la Disposición final primera de la nueva ley reforma el apartado segundo del artículo 43 LSSI, estableciendo que,...corresponderá a la Agencia de Protección de Datos la imposición de sanciones por la comisión de las infracciones tipificadas en los artículos 38.3.b) y 38.4.d) de esta ley. Es decir, los referidos al spam. Resumiendo, hasta la entrada en vigor de la nueva ley era el SETSI quién se produce de respecto de la única resolución sobre spam de la que tenemos conocimiento en España (Casp David M.E contra Guía de Empresas en Internet S.L. ). Y es que, la resolución sancionadora de la APD es anterior a la entrada en vigor de la nueva LGT. Así pues, quién debiera haber conocido del asunto, y sancionado en su caso es el SETSI. Nuevamente nos enfrentamos a una difunción jurídica. IX. HIPERVÍNCULOS INVISIBLES Como su propio nombre indica, los hipervínculos invisibles son canales de transmisión de datos que el usuario de Internet no percibe y a través de los cuales se está vulnerando su derecho a la autodeterminación informativa. Hay dos grandes modalidades: hipervínculos invisibles que actúan en la navegación e hipervínculos invisibles que actúan a través de programas. 20 Dispone el art.38.3.b que: son infracciones graves... el envío masivo de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente a destinatarios que no hayan autorizado o solicitado expresamente su remisión o el envío, en el plazo de un año, de más de tres comunicaciones comerciales por los medios aludidos a un mismo destinatario, cuando éste no hubiera solicitado o autorizado su remisión. En tanto que el art.38.4.d señala que son infracciones leves... el envío de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente a los destinatarios que no hayan solicitado o autorizado expresamente su remisión, cuando no constituya infracción grave.
17 EL TRATAMIENTO INVISIBLE DE DATOS DE CARÁCTER PERSONAL EN INTERNET Hipervínculos invisibles que actúan en la navegación. Dentro de estos, hemos de distinguir a su vez dos subtipos, los hipervínculos invisibles en sentido estricto, y los denominados bugs. 1.1 Hipervínculos invisibles en sentido estricto. Cuando se solicita a través del navegador una página web, en ocasiones, los datos transmitidos no se dirigen a un único servidor, concretamente al que aloja la página. Sino que en ocasiones, dentro de las páginas hay espacios en blanco, vacíos de contenido, que el responsable de los contenidos alquila a otra empresa (21) para que ésta proyecte en ellos su publicidad (22), a cambio de una contraprestación económica. El ejemplo paradigmático es el de los buscadores de internet. En la práctica, cuando un usuario ingresa en la página principal de Google (23) y escribe un texto como parámetro de búsqueda (por ejemplo Fernando Alonso ), lo que sucede es que el resultado de la misma corresponde a una dirección similar a esta: 8&hl=es&btnG=B%C3%Busqueda+en+Google&meta=lr%Dlang_es Como vemos, dentro de la dirección de respuesta se incluyen los términos de nuestra búsqueda, que han sido empleados para localizar en las páginas que el buscador ha indexado, a fin de poder proporcionar el servicio, la información correspondiente. Sin embargo, y desde el prisma de la protección de datos, ocurre que en numerosas ocasiones ese path o cadena de búsqueda, o aun incluso la dirección de respuesta, es enviada automáticamente a un tercero con quién el buscador tiene contratado, quien, de acuerdo a los términos extraídos de la dirección mostrada (en este caso Fernando+Alonso), busca en su propia base de datos la categoría que más se aproxima a ellos a fin de enviar al espacio en blanco contratado la publicidad correspondiente. No obstante, pese a lo gráfico del ejemplo cabe decir que no solamente a través de los buscadores se lleva a cabo este tipo de actividad, sino que son, por desgracia para el usuario, numerosas las páginas que contienen este tipo de hipervínculos Web Bugs ( bichos del web ). 21 Notese que nos estamos refiriendo siempre a empresas, entendiendo por tales cualquier entidad o persona física, que actúe movido por propósitos comerciales 22 El caso paradigmático es el de los denominados portales de internet que proporcionan al usuario un enlace a un gran número de servicios, o el de los grandes buscadores como Google o Yahoo. 23 <www.google.com>
18 176 ROBERTO YANGUAS GÓMEZ También conocidos como Bacon GIFs, Invisible GIFs, Clear GIFs o 1-by-1 GIFs (24), los web bugs son imágenes en formato GIF, de un reducido tamaño (la mayoría de 1 pixel cuadrado, que es el tamaño mínimo que puede mostrar un monitor), y en muchas ocasiones transparentes. La consecuencia de ello es que pasan desapercibidos para el usuario, son inapreciables. Los web bugs se vienen a utilizar de dos modos distintos: asociándose a un archivo (documentos de word, excel, etc.); o bien asociándose a una página web. En ambos casos la imagen no está incluída dentro de dichos documentos o páginas web. En realidad, la imagen se halla alojada en un servidor de Internet. Lo que existe en la página o documento es un mero vínculo (una especie de acceso directo) cuya funcionalidad consiste en acceder al servidor donde está alojada la imagen y descargarla. Qué se consigue con eso? Pues en el caso de los web bugs asociados a documentos, permite conocer (siempre que el ordenador se halle conectado a la Red), en qué fecha y hora han sido abiertos esos documentos, la IP del ordenador donde se han abierto y todos los datos propios del charloteo de navegador que ya hemos visto. En el caso de los web bugs situados en páginas web, permiten conocer, además, la página web visitada. La utilidad para el responsable del web bug es enorme. A través de estos datos puede llegar a saber cuáles son las páginas web más visitadas a fin de contratar publicidad con ellas; cotejar el éxito que ha tenido una campaña de spam (los gestores de correo suelen tener activada por defecto la vista preliminar del documento); e incluso elaborar un seguimiento de los hábitos de navegación de un mismo sujeto. A) Aspectos Jurídicos a) Normativa aplicable. Antes de pasar a debatir sobre el fondo del asunto, deberemos señalar cuál es la normativa aplicable en relación con estas nuevas figuras (incluido el adware del que hablaremos en el posterior apartado). La Directiva 2002/58/CE afecta al tratamiento de datos en el sector de las comunicaciones electrónicas (25). Cabría plantearnos por tanto si la normativa en ella es aplicable a los supuestos tratados.. La Directiva 2002/21/CE, relativa a un marco regulador común de las redes y los servicios de comunicaciones electrónicas, de 7 de marzo de 2002, define en su artículo 2.c servicio de comunicaciones electrónicas como el prestado por lo general a cambio de una remuneración que consiste, en su totalidad o principalmente, en el transporte de señales a través de redes de comunicaciones electrónicas, con inclusión de los servicios de telecomunicaciones y servicios de transmisión en las redes utilizadas para la radiodifusión, pero no de los servicios que suministren contenidos transmitidos mediante redes y servicios de comunicaciones electrónicas o ejerzan control editorial sobre ellos. 24 <www.bugnosis.com> 25 A diferencia de la Directiva 97/66/CE a la que deroga, que se refería al sector de las telecomunicaciones
19 EL TRATAMIENTO INVISIBLE DE DATOS DE CARÁCTER PERSONAL EN INTERNET 177 De la anterior definición se deriva que los servidores de contenidos transmitidos a través de redes y servicios de comunicación electrónica no pertenecerán al ámbito de la Directiva 2002/58/CE. Es por ello, que en el caso de los hipervínculos invisibles dirigidos al envío de pancartas personalizadas en atención a los gustos o intereses del usuario (hipervínculos invisibles en sentido propio y adware), deberemos de atenernos únicamente a lo dispuesto por la normativa general, y concretamente por la LOPD. Sin embargo, en el caso de los web bugs y las cookies (26), será aplicable lo dispuesto en la Directiva 2002/58/CE (27) b) Tratamiento de datos personales a través de hipervínculos invisibles en sentido estricto (con finalidad de envío de banners). Podemos plantearnos si este tratamiento invisible de datos personales esta permitido por la actual legislación sobre protección de datos. Todo tratamiento debe respetar los principios a que tantas veces hemos aludido ya, de finalidad, congruencia, proporcionalidad, exactitud, lealtad, etc. Asimismo se debe respetar el derecho a la información y el principio de prestación del consentimiento. Por otra parte, no hemos de olvidar que en tanto se está enviando información de carácter personal (dirección IP, páginas visitadas, etc.) a un tercero nos hallamos ante un supuesto de cesión de datos, en el sentido del art.3.i LOPD (28). Nos encontramos por tanto ante un problema complejo. En primer lugar, y antes de analizar si la cesión a los terceros es lícita o no, tendremos que comprobar si el prestador de servicios está legitimado para tratar los datos de carácter personal del usuario, entre los que se encuentra, al menos, su dirección IP. Para proceder a continuación a examinar si, partiendo de la lícitud del tratamiento, la cesión de datos es posible. Se tratan, como vemos de dos presupuestos cumulativos, la legitimidad de la cesión sólo será posible en tanto en cuanto el tratamiento previo sea lícito. i) La legitimidad del tratamiento: Cuando accedemos a una página web, lo que pretendemos es visualizar el contenido de la misma. Para ello, el servidor al que dirigimos nuestra solicitud debe conocer cuál es la dirección IP del solicitante, y cuál es la concreta solicitud. Estos son los requisitos mínimos para que la relación sea funcional. 26 Vid intra 27 En este mismo sentido Documento de trabajo: Privacidad en internet: enfoque comunitario integrado de la protección de datos en línea, aprobado por el Grupo de Trabajo sobre protección de datos del artículo 29, el 21 de noviembre de 2000, WP 37, 5063/00/ES/final, pág El art.3.1 entiende por cesión o comunicación de datos toda revelación de datos realizada a una persona distinta del interesado
20 178 ROBERTO YANGUAS GÓMEZ El art.5 LOPD como ya hemos visto, exige la previa información al interesado respecto al subsiguiente tratamiento de los datos de carácter personal a él vinculados. En este sentido mayoría de los navegadores actuales (29) advierten antes de realizar ninguna búsqueda que los datos van a ser transmitidos por un canal de comunicación abierto que no es completamente seguro, preguntando al usuario si desea continuar. Y por su parte, el art.6 exige el consentimiento del interesado respecto del tratamiento de los datos personales a él vinculados. Respecto del derecho a la información, la problemática que supone, en cuanto el propio usuario no sabe qué datos se transmiten ni el carácter de los mismos, ya fue objeto de análisis en el apartado dedicado al charloteo del navegador (30). Por otro lado, el único pronunciamiento al respecto en una norma comunitaria (en sede de Derecho interno aplicable no ha habido ninguna hasta el momento), ha sido el que se lleva a cabo en el Considerando 24 de la Directiva 2002/58/CE. En él se señala textualmente que Los denominados programas espía (spyware), web bugs, identificadores ocultos y otros dispositivos similares pueden introducirse en el terminal del usuario sin su conocimiento para acceder a información, archivar información oculta o rastrear las actividades del usuario, lo que puede suponer una grave intrusión en la intimidad de dichos usuarios. Sólo debe permitirse la utilización de tales dispositivos con fines legítimos y con el conocimiento de los usuarios afectados. El Considerando en sí no aporta nada nuevo respecto a la Directiva general, y al no tener plasmación efectiva dentro del articulado, tampoco tiene fuerza normativa de aplicabilidad. Seguimos por tanto ante una materia no regulada. Ahora bien, el hecho de que el legislador se haya preocupado por incluir este inciso en la Directiva debe ser entendido al menos como una manifestación de intencionalidad, y por tanto, debería ser considerado por los Estados miembros como un criterio a tener en cuenta, en consonancia con el principio general de lealtad comunitaria, que tiene su fundamento en el art.10 TCE (31 Los Estados miembros se abstendrán de todas aquellas medidas que puedan poner en peligro la realización de los fines del presente Tratado ). En el caso del consentimiento, el art.6.2 de la LOPD establece que No será preciso el consentimiento cuando... se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento. En este caso, aunque el acceso a las páginas donde se hallan los hipervínculos invisibles, no suele conllevar ninguna contraprestación por parte del usuario, éstas se lucran a través de la financiación de terceros. el TJCE ha venido interpretando, a propósito, en este sentido, que no es necesario que la remuneración vaya a cargo del 29 Como ejemplo, el navegador Opera, cuando accedes a determinadas páginas te pregunta: Send form without encryption? ; o el Internet explorer: Va a abandonar una zona segura de internet. Desea continuar? 30 Ver apartado El charloteo del navegador (chattering) 31 Dispone el art.10 TCE que: Los Estados miembros adoptarán todas las medidas generales o particulares apropiadas para asegurar el cumplimiento de las obligaciones derivadas del presente Tratado o resultantes de los actos de las instituciones de la Comunidad. Facilitarán a esta última el cumplimiento de su misión.