Google te sigue y localiza, quieras o no quieras

Ciertamente la ubicación es parte de un derecho personal, que es -no diría que intimidad- pero si de la vida privada. Por esa razón el dato que extraen las operadoras de telefonía y los servicios de Internet sobre tu UBI, es decir dónde estás, es un dato de carácter personal, por tanto protegido de acuerdo con los principios que establece el art. 18 de la Constitución española y la Ley Orgánica de Protección de Datos (LOPD 15/1999) y el recientísimo Reglamento europeo. Cosas se han escrito sobre Geolocalización y datos. No soy experta. Pero sí tengo experiencia de usuario.

Cito post de Fernando Ramos en el blog GPO&iTLaw. La primera definición de datos de localización viene establecida por la Directiva 2002/58/CE, que en su artículo 2, define los datos de localización como “cualquier dato tratado en una red de comunicaciones electrónicas que indique la posición geográfica del equipo terminal del usuario de un servicio de comunicaciones electrónicas disponible para el público”, definición que se recoge igualmente en el artículo 64.b) del Real Decreto 424/2005, de 15 de abril, por el que se aprueba el Reglamento sobre las condiciones para la prestación de servicios de comunicaciones electrónicas, el servicio universal y la protección de los usuarios.

Comparto una experiencia. Habitualmente tengo el GPS, los datos de localización inhabilitados salvo que necesite alguna aplicación que requiera saber dónde estoy ("google maps", "Uber", "MyTaxi" o "Car2Go"). Y asi lo he puesto en mi perfil del móvil del que ofrezco pantallazos.  Aquí ambas pantallas de mi móvil o celular el sábado pasado.

Google, sois muy listos, pero muy pesados

También suelo tener inhabilitado los datos de privacidad, en general, y no suelo firmar sitios o web que exijan ese dato. Pero ¡fijate tú! que habiendo quitado todo eso... al final de cualquier búsqueda que hagas, Google te pone "Tu dirección de Internet", "tu historial de búsquedas" o último lugar donde te has conectado "o te hemos seguido" (lo de trackeado no me gusta). Si vas hasta el final de los resultados de lo que hayas consultado ves esto.

Localización del móvil

Sí, ya sé que me dirían: pero puedes ir a la página y personalizar; les aseguro que lo hago, y enseño estas materias en la Facultad o cuando tengo ocasión. Los derechos están y las bases para modificar, administrar tu rastro en Google son abundantes, cambian mucho y juegan con la innovación y rapidez del uso. La lista es incluso agotadora, no hay más que ver el listado (abajo) o en este link de Google (Cómo activar y desactivar datos ubicación, etc). 

Pero es que además de un derecho, con cada vez más protección, es una norma básica de buena conducta o "compliance" se dice ahora. Tratar bien a tu usuario, cliente... caramba que pagamos muchos euros por los teléfonos, por los datos  y líneas, y damos mucho tráfico a los sitios y apps.
Seguiré en otro post, sobre el problema jurídico del consentimiento como bien destaca la abogada Judit Garrido de Écija  comentando las preocupaciones del Grupo de Trabajo del art. 29 del Reglamento.

Más información:
Interesante ver las preguntas frecuentes de la Agencia de Protección de Datos y cómo reclamar
Sobre la Portabilidad de datos véase también el artículo de Borja Roldán en web Abogados y nuevo Reglamento de Datos que entra en vigor directamente ya en mayo de 2018

Extranjeros, Administración y protección datos STC de 31 enero 2013

Autor: Lorenzo Cotino

Aún sin numerar, se conoce el texto de la sentencia del Tribunal constitucional sobre la ley de extranjería [ACCESO AQUÍ] y de régimen local y protección de datos. He hecho un RESUMEN del texto [AQUÍ] de la misma para mayor comodidad.

Sin perjuicio de cualquier consideración de oportunidad política de la ley, que no me corresponde a mí, ni al TC, entiendo que es una sentencia suficientemente razonada que aplica las reglas generales de los límites a los derechos fundamentales.  A diferencia de otras claras restricciones del derecho a la protección de datos que no tienen suficiente  cobertura legal (como la videovigilancia privada), aquí había una ley orgánica clara y finalidades evidentes no irrazonables. 

Podrá gustar o no, pero si la ley de extranjería prohíbe la estancia ilegal, perseguir la estancia ilegal es una finalidad legítima que puede llegar a legitimar la restricción de un derecho. Además, en el análisis de la proporcionalidad, como luego se comenta, el TC no se queda corto. Es posible extraer criterios para el futuro respecto del marco constitucional de la cesión de datos entre administraciones que pueden ser importantes. La novedad a este respecto es sobre todo que sea el TC quien haga las afirmaciones.

Muy a bote pronto, y más allá del tema extranjería, creo que la sentencia es más destacable con relación a la protección de datos en ficheros administrativos que por cuanto al factor extranjería. Creo que a partir de la sentencia se deriva -casi por primera vez por el TC-  la relevancia constitucional que puede tener el papel de la ley en la conformación jurídica de un fichero  administrativo, para juzgar luego su naturaleza, finalidad y destino posible de los datos. Estos criterios, más bien implícitos en la sentencia (cuando habla del padrón)  pueden ser importantes para el futuro.

De igual modo, es una  de las pocas ocasiones en las que el TC hace referencias concretas a la cesión de datos entre administraciones (objeto de la STC 290/2000), e incluso diría yo que de forma algo rígida. El TC establece en su análisis de la proporcionalidad de la restricción legal unos controles de trazabilidad y garantía sobre las cesiones de datos que creo que no se cumplen  en muchas de las cesiones de datos previstas por la legislación española para las Administraciones. Y, sobre todo, unos requisitos y garantías que no se cumplen en la práctica de la cesiones de datos entre administraciones. De hecho, hasta parece que se constitucionalicen y adquieran iusfundamentalidad algunas conocidas medidas de seguridad:

“la cesión de datos que el acceso regulado por el precepto supone ha de venir rodeado de una serie de garantías específicas, garantías que, cumplimentadas por el órgano administrativo al que el precepto hace referencia, son, evidentemente, susceptibles de control. …

Entre ellas se encuentra la necesidad de motivar y justificar expresamente tanto la concreta atribución de la condición de usuario … como los concretos accesos de que se trate, evitando -en cuanto que la exigible motivación de tales decisiones facilita su correspondiente control mediante los mecanismos previstos en el ordenamiento jurídico, en especial, a través del control jurisdiccional contencioso-administrativo- que se produzca tanto un uso torticero de dicha facultad como accesos indiscriminados o masivos. … el acceso solamente será posible, en las condiciones antes dichas, cuando el concreto dato en cuestión resulte pertinente y necesario en relación con la finalidad que ha justificado el acceso, quedando garantizada la posibilidad de analizar si, en cada caso concreto, el acceso tenía amparo en lo establecido en la Ley pues, en caso contrario, no resultará posible su uso.

Bueno, dejo mi resumen de la sentencia y posiblemente tendré que leerla con algo más de detenimiento.

La protección de datos como límite a la Transparencia en México

Autora: Wilma Arellano

Activo el debate esta mañana, en Twitter #libertadytransparencia y @redderechotics

La protección de datos personales aparece en la legislación mexicana, primeramente, como parte del régimen de excepciones de la Ley de Transparencia y Acceso a la Información Pública Gubernamental. Esto es, se manifiesta como uno de los límites del derecho de acceso de los ciudadanos a la información que poseen las entidades de la Administración. Posteriormente, el derecho fundamental a la protección de datos de carácter personal se reconoce en la Constitución mexicana y se crea la Ley que lo desarrolla, cual es la de Protección de Datos Personales en Posesión de Particulares. En este otro ordenamiento, la garantía de protección a la información personal resurge con otro cariz, de manera que son los entes privados los que están obligados a respetar ciertos principios en cuanto al tratamiento y sobre todo, obtener el consentimiento de los titulares para ese objetivo.

Las dos presentaciones de este derecho, ligado notablemente al de la intimidad, pero distinguible perfectamente del mismo, suponen retos y desafíos que, aunados a la evolución acelerada de las tecnologías de la información y el tránsito de este país a la denominada Sociedad de la Información y el Conocimiento, implican una problemática que adquiere un sentido más complejo, para lo cual hay distintas respuestas. Una de las que proponemos en esta comunicación es que la adopción de códigos éticos y otras medidas de autorregulación empresarial y social se generalice, formando parte de un esquema que, complementando las disposiciones del Derecho positivo, podría constituirse como heterorregulación.

Se analizará, entonces, la normativa mexicana que contienen preceptos sobre privacidad y protección de datos, haciendo algunos ejercicios de Derecho comparado con España, Europa y América Latina, así como las propuestas de autorregulación más novedosas en referencia al medio on line y en contraposición al control de la Red.

Inconstitucionalidad e ilegalidad procedimiento Sinde por obligación de uso de medios electrónicos…

Autor: Lorenzo Cotino 

Hace tiempo que dejé algunas impresiones constitucionales sobre la Ley Sinde (audio) (texto).

Aún no he hecho un análisis del Real Decreto 1889/2011, de 30 de diciembre, por el que se regula el funcionamiento de la Comisión de Propiedad Intelectual.

Con motivo de la presentación del libro de Loreto Corredoira el 8 de marzo tendremos ocasión de analizarlo varios profesores y abogados.

En esta ocasión, y como siempre a falta de mayor reposo, lo que me llama la atención es la Orden ECD/378/2012, de 28 de febrero, por la que se establece la obligatoriedad para los interesados en el procedimiento de salvaguarda de los derechos de propiedad intelectual, de comunicarse con la Sección Segunda de la Comisión de Propiedad Intelectual por medios electrónicos.

Me entero de la misma gracias a un comentario de Cristina Martínez (y veo luego uno de David Maeztu) que me pone sobre la pista de diversos de sus problemas:

-establece la obligación de uso de medios electrónicos a todo PSSI, es decir, a cualquiera que tenga un blog, por ejemplo. Dicha obligación se concreta en el marco del procedimiento de retirada de contenidos, pero implica una obligación general a millones de internautas. En principio, se puede suponer que quien tenga un blog tiene medios electrónicos. Ahora bien, no tiene por qué tener medios de firma electrónica que concretamente exige esta Orden  para ser notificado del procedimiento y también para obligarle a usar el registro electrónico.  A mi juicio, esta obligación puede considerarse desproporcionada, de modo que constituiría una ilegalidad contraria al derecho a relacionarse -voluntariamente- con la e-Adminsitración (art. 6. 2º Ley 11/2007). Este artículo, obliga a interpretar restrictivamente la posibilidad de imponer medios electrónicos del artículo 27. 6º de dicha ley.Sobre el tema puede ser de interés recordar la la sentencia núm. 59/2010 de 29 enero del TSJ  Castilla y León  (RJCA\2010\225) que anula la imposición de la relación electrónica a una empresa de la construcción. Amén de la ilegalidad, puede suponer una lesión del artículo 14 CE por discriminación. Quizá podría salvarse la ilegalidad estableciendo procedimientos de notificación y registro que no exijan identificaciones electrónicas robustas, sino de “otros medios de firma electrónica” a los que hace referencia el artículo 16 de la citada Ley. Desde siempre he defendido estos “otros medios”.

-Asimismo, aunque tengo que reflexionarlo más, puede darse ilegalidad de la Orden por contraria al artículo 28. 3º de la Ley 11/2007. Como señala Cristina Martínez, los muy breves plazos que se determinan en el Real Decreto 1889/2011 (48 horas retirada voluntaria y 24 horas tras la resolución que exige acciones al PSSI) pueden chocar con el citado artículo 28.3º, en concreto con los 10 días que implica la puesta a disposición de la comunicación. Cuanto menos, determinaría una interpretación del procedimiento ley Sinde que implicara que sus breves plazos deben cohonestarse con la Ley 11/2007, contando sólo a partir de la recepción o los 10 días de la no actuación para proseguir el procedimiento.

-Finalmente, tamibén considero que los dos problemas anteriores pueden  incluso generar problemas de inconstitucionalidad por vinculación con el artículo 24 CE y el derecho de defensa. Ya por la norma abstracta en sí, cuanto, especialmente, a partir de los datos concretos de la aplicación de la tan cuestionable normativa.

Protección de datos y privacidad en México: publicado el Reglamento

Autora: Wilma Arevalillo 

Hace más de un año, en junio de 2010, escribía en este mismo espacio que había sido publicada la Ley Federal de Protección de Datos Personales en México. Gracias a esa legislación, en este país se tiene, además del reconocimiento constitucional a este derecho (artículo 16), una legislación que lo desarrolla. Hace apenas un mes fue publicado el Reglamento de dicha Ley que, aunque con retraso, viene a completar un marco jurídico en la materia, que sin duda será de mucho beneficio en la consolidación de los derechos fundamentales de los mexicanos.

El objetivo de este marco es garantizar que la información personal de todos nosotros no sea mal utilizada por los particulares que la recaban, que la traten y protejan debidamente y que medie el consentimiento del titular para que ese tratamiento sea legítimo.

La Ley obliga a todas las personas físicas o jurídicas que posean información personal de sus clientes con fines comerciales o de divulgación. Es por ello que quedan o quedamos exentas las personas que tengamos información de personas, pero con fines exclusivamente privados, como es el caso de una agenda telefónica o de contactos.

Por su parte, los sujetos protegidos por la Ley somos todos, ya que al ser un derecho que aparece en el texto constitucional, es una garantía individual o un derecho humano que no puede negársele a nadie. 

El Reglamento de la Ley permite ampliar las condiciones bajo las cuales deben recopilarse datos personales, tratar las bases de datos ya existentes y establecer una serie de medidas de seguridad y reglas para este tratamiento y para las transferencias internacionales de datos.

En el caso de México, no contamos con una agencia específica para el tema que nos ocupa, que hubiese sido homóloga de la AEPD. Sin embargo, es el Instituto Federal de Acceso a la Información el designado por la Ley y dotado de atribuciones para constituirse en el órgano garante de este derecho y ante el cual se pueden ejercer aquellos que se derivan del mismo: los de acceso, rectificación, cancelación y oposición al tratamiento de datos (derechos ARCO). 

Pero además, hay una autoridad que tiene atribuciones en la materia y se trata de la Secretaría de Economía, que será el órgano regulador y fomentará la cultura de protección de datos entre el sector empresarial, con un fuerte componente de autorregulación, tal y como lo manda la legislación en comento.

Con todo, es partir de este mes cuando los mexicanos podamos iniciar el ejercicio de derechos ARCO, sabes dónde están nuestros datos, quién y cuáles tiene, además de solicitar su modificación si están incompletos o son inexactos.

Privacy Conference 2011

Autora: Wilma Arellano 

Con la participación de autoridades de protección de datos de diversos países de todas las regiones del orbe, líderes de las empresas más importantes en el entorno de la Sociedad de la Información, además de académicos y sociedad; tuvo lugar la Privacy Conference 2011: The global age, en México, D.F.

Teniendo como organizador principal al Instituto Federal de Acceso a la Información y Protección de Datos mexicano, en la Conferencia se discutieron temas de la más viva actualidad, tales como la privacidad en el contexto del cómputo en la nube, de los desastres naturales, del acceso a la información pública, de la libertad de expresión y de la seguridad informática o de infraestructuras

Se analizaron también temas tales como el derecho al olvido, mismo que está ganando un lugar notable en los debates teórico- conceptuales de la doctrina, pero que al mismo tiempo y quizá por ello se ve reflejado en los desarrollos legales y jurisprudenciales, configurando poco a poco (y sobre todo a nivel de la Unión Europea) lo que será un auténtico derecho al olvido digital.

En cuanto a este derecho al olvido, o lo que hasta el momento relacionamos y sustentamos con él. que es la autodeterminación informativa y el ejercicio de dos de los derechos ARCO (el de cancelación y oposición), así como de un derecho al honor y la propia imagen –todos estos garantizados a nivel constitucional en diversas latitudes--; llama la atención el panel en donde participan, tanto el director de la Agencia Española de Protección de Datos (AEPD) como el consejero de privacidad de Google, David Fleischer. Por supuesto, las posturas de ambos son distintas, ya que José Luis Rodríguez estima que el derecho al olvido está bien entendido en el marco de la protección de datos personales y que la Agencia tiene el deber de garantizarlo. Por su parte, el representante del buscador más importante a nivel mundial considera, erróneamente por supuesto, que la supresión de ciertos datos de la indexación que hace su buscador, es un acto de censura. Cada uno defendió y argumentó su postura y fue el director de la autoridad española en la materia quien dijo que el debate continuará, como hasta ahora lo han venido haciendo, en los Tribunales.

Asimismo, el asunto de la privacidad por diseño fue recurrente en algunas sesiones, pero en particular en la que fue presidida por Ann Cavoukian, comisionada de privacidad de Ontario y quien ha defendido y argumentado sobre esta noción desde hace algunos años. Destaca, en este panel en particular, el avance en la protección de la privacidad en Canadá, pero también de las medidas técnicas y de seguridad implementadas para tal efecto. Por ejemplo, aquel sistema de reconocimiento facial de la entidad que controla los juegos en ese país y que permite a los usuarios inscribirse en listas de autoexclusión que les impidan el acceso a ese tipo de inmuebles. Pero lo interesante de esta propuesta, en materia de un derecho a la privacidad, es que los datos biométricos se encriptan a través de una plantilla.

En general, excelentes participaciones de comisionados de privacidad de todo el mundo, con todas las regiones representadas; llegando a un nuevo acuerdo sobre privacidad y protección de datos que se conocerá como la Resolución de la Ciudad de México. Los principales compromisos de los países firmantes del documento son: “1 Compartir el conocimiento entre los países, las autoridades y las organizaciones de expertos en materia de privacidad. 2 Establecerse prioridades para una mejor distribución de los recursos disponibles para la consecución de objetivos comunes. 3 Contribuir a que los individuos comprendan sus derechos y puedan proteger aquellos intereses relacionados con sus datos personales. 4 Impulsar las herramientas disponibles para fomentar y promover buenas prácticas en materia de privacidad” (Periódico Reforma, 4 de noviembre de 2011).

Nos congratulamos por estas decisiones, pero sobre todo, esperamos que se implementen medidas adecuadas para su cumplimiento por parte de todas las autoridades firmantes.

Derecho al olvido digital, Google y Facebook

Autora: Wilma Arellano 

Últimamente se habla mucho en España y otros países del ámbito comunitario europeo sobre el derecho al olvido en Internet, tema muy relacionado con los derechos a la intimidad y a la protección de datos. En cuanto a este último, la principal relación es con la autodeterminación informativa --denominada así por la doctrina española y que en México (aunque también en el país ibérico) se conoce como el conjunto de derechos ARCO (de acceso, rectificación, cancelación y oposición por parte del titular al tratamiento de sus datos)--.

Sin embargo, el ejercicio de los derechos fundamentales mencionados (lo son tanto en España como en México, ya que de acuerdo con la teoría de los derechos fundamentales de Ferrajoli, tienen esta característica aquellos que aparecen en los textos constitucionales) puede verse obstaculizado o vulnerado por el uso de Internet y en especial de las redes sociales y los buscadores. La razón es que tanto unos como otros permiten el hallazgo de información relevante y personal e los usuarios, pero no sólo de época reciente, sino incluso de muchos años atrás.

Los datos proporcionados por esos servicios o aplicaciones de Internet pueden ser vistos por millones de personas (aunque en el caso de las redes sociales las políticas de privacidad pueden reducir el espectro a uno menor) y pueden revelar información sobre una persona que ésta quiera que se olvide y borre, por pertenecer a su pasado. Es el caso de algunas personas que han interpuesto recursos ante la Agencia Española de Protección de Datos (AEPD), por considerar que se viola su privacidad e incluso su honor e imagen.

Entre los ejemplos que se pueden mencionar están las informaciones aparecidas en los Diarios, Boletines o Semanarios Judiciales y que pueden estar referidas a conductas tipificadas como delito, por las cuales un individuo puede resultar absuelto o bien, ya ha pagado su pena. Con lo cual, se hace necesario que ese pasado desaparezca de las redes y se evite que pueda ser recordado eternamente.

Es por estas cuestiones que en la Unión Europea, en España y en Francia se está trabajando en regulaciones o disposiciones relativas al derecho al olvido digital. En la UE, la Comisión ha puesto en marcha un proceso legislativo para reforzar la privacidad y protección de datos en el ámbito de Internet y la Sociedad de la Información. La Comisaria de Justicia, Derechos Fundamentales y Ciudadanía de la Unión Europea, Vivian Reding (antes Comisaria de la Sociedad de la Información) ha declarado que la protección de datos es un derecho fundamental y que la UE debe garantizar este derecho también en el mundo digital, con todas las garantías (incluyendo la del olvido) que su protección supone. Para ello "hay que actualizar nuestras leyes para adaptarlas a los cambios que la globalización y las nuevas tecnologías han traído consigo", dice Reding. Se prevé que este año la UE emita una nueva legislación sobre privacidad que incluya estos supuestos y mejore la protección que hasta ahora prevén las Directivas 95/46 y 2002/58.

Por su parte, Francia quiere instaurar el derecho al olvido digital, por lo que el gobierno francés abrirá un turno de reuniones con los principales agentes de Internet en Francia para tratar de instaurar este derecho. Nathalie Kosciusko- Morizet, secretaria de Estado para la Economía Digital, defiende esta iniciativa y ha realizado una consulta pública en la cual el  saldo muestra que más del 70% de los franceses considera que debe implementarse tal derecho.

Finalmente, en España se han dado casos de denuncias ante la AEPD en relación al derecho al olvido digital, en la mayoría de los cuales la institución ha dado la razón a los titulares de los datos y anima a los ciudadanos a solicitar a las redes sociales el borrado de toda su información cuando se cancele una cuenta en las mismas. Así, Artemi Rallo, director de esta Agencia ha dicho que "el problema no es el alud de información sobre una persona que puede albergar Internet, sino que sea información sea imperecedera". Y no se trata de un acto de censura, ya que la cuestión no es eliminar una noticia del mundo real o del virtual sino que el "derecho al olvido se refiere al efecto multiplicador de Google y los motores de búsqueda", entre otros.

Redes sociales como Facebook están en contra de que ese derecho al olvido pueda ser una realidad y la semana pasada se han manifestado con respecto a las declaraciones de la Comisaria Reding y la posibilidad de que la legislación europea sufra modificaciones para hacer efectivo ese derecho y las informaciones personales –y con ello los perfiles—sean borrados a petición de sus titulares.

Por su parte, Google ha recurrido ante la Audiencia Nacional, 75 resoluciones de la AEPD que le ordenan el borrado de datos y que la empresa considera que se trata de censura y que se coarta la libertad de expresión en la Red.

Fin de mi actividad cerebral

Autor: Lorenzo Cotino 

En 2010, en afán de cumplir con la LOPD inscribí como fichero mi actividad cerebral (por escasa o torpe que sea). No fue una labor fácil puesto que se trata de un fichero -así lo considero- que trata datos sensibles. El fichero se inscribió y así fue accesible hasta hace unos días en la misma web de la Agencia . 

Pueden verse algunos de los rasgos de aquel fichero tan sensible aquí.

Sin perjuicio de la inscripción realizada, fui luego  requerido para "confirmar" la inscripción y contesté en noviembre mediante el siguiente escrito. En el mismo, básicamente señalaba que estaba convencido de que se trataba de un fichero a inscribir, pero lo cierto es que no veía más inscritos (y no por falta de 45 millones de cerebros en el país). Temí cualquier inspección u obligaciones de consultoría y consieré que procedía no confirmar la inscripción. 

Ayer recibí la notificación de la cancelación del fichero y compruebo que ya no aparece en la web entre los ficheros inscritos. Pese a que no esté inscrito, la actividad sigue siendo la misma, escasita. 

De lo anterior, me permito señalar algunas reflexiones: 

-Sigo pensando que en razón de la LOPD, 45 millones de cerebros en España habrían de inscribirse, así como casi tantos millones ficheros con información en soporte de teléfonos móviles, portátiles, usbs, muros de Facebook, etc. Todos estamos seriamente expuestos a sanciones nada simbólicas. Estamos, pues, a merced de denuncias o actuaciones de oficio de una Administración, independiente, pero administración al fin y al cabo. 

-He comprobado que es imposible comunicar electrónicamente con la AGPD en mis alegaciones. No tienen registro y el registro común del 060 fue imposible de utilizar con la Agencia, a pesar de más de 20 minutos de llamadas con técnicos del 060.

-He comprobado que la Agencia revisa aunque sea a posteriori la naturaleza de los registros, lo cual le honra, al menos en mi caso.

Saludos cordiales.

Protección de datos de menores en las redes sociales

Autora: Wilma Arellano 

El Instituto Federal de Acceso a la Información y Protección de Datos (IFAIPD) de México, se ha pronunciado con respecto a la problemática que supone la inserción de datos personales de los menores en las redes sociales. Y su pronunciamiento ha sido muy claro, ya que la directora de clasificación y datos personales del organismo, Lina Ornelas, señaló que se vigilará que las empresas que administren redes sociales modifiquen sus políticas “para proteger la integridad física y moral de niñas, niños y adolescentes mexicanos”.

Vistos los riesgos que ha traído el manejo indiscriminado y poco respetuoso de la intimidad, de los datos personales, la autoridad competente en la materia en México ha decidido actuar en consecuencia y sancionar conforme a lo estipulado en la Ley de protección de datos en posesión de particulares a las empresas que incumplan con lo dicho anteriormente y obligar a que la industria establezca mecanismos para informar a los niños sobre la utilización de la información que suban a las redes sociales.

Ese uso por parte de las empresas deberá ser solamente para los fines propios de la red social y no para utilizarse en buscadores abiertos como Google o Yahoo.

En una cumbre de la Red Iberoamericana de Protección de Datos que se celebró recientemente, se firmó la Declaración de México, en donde las naciones que la conforman se comprometieron --entre otras cosas-- a delinear políticas y tener actuaciones para proteger a los menores y a su información personal en Internet y las redes sociales.

Cabe mencionar que las sanciones contempladas en la Ley de protección de datos mexicana, van de los 100 a los 160.000  días de salario mínimo mexicano (unos 540.000 euros) por infracciones más o menos leves. De 200 a 320.000 días de salario mínimo (más o menos 1.081.600 euros) por infracciones más graves y finalmente, penas de cárcel de tres meses a diez años, para faltas muy graves, dependiendo el grado de lesión de éstas.

Nueva ley de protección de datos en México

Autora: 

Finalmente, tras dos meses de espera, ha sido publicada en el Diario Oficial de la Federación, la Ley federal de protección de datos en posesión de particulares. En México sólo existía protección de datos, para aquella información personal que aparecía en los archivos estatales o de la Administración, a través de la Ley federal de transparencia y acceso a la información.

Con la nueva ley, las empresas privadas tendrán un periodo de un año para nombrar al encargado del tratamiento de los datos.

Asimismo, también se estipuló el plazo de un año para la emisión del Reglamento de la ley, que contendrá disposiciones específicas. Esperamos que éste, tenga las característica del RD 1720/2007 de España, con las medidas de seguridad de los ficheros que contengan datos personales.

La ley, por supuesto, contempla las figuras de encargado, responsable y tercero; así como el concepto de datos sensibles, que tendrán que tener un tratamiento especial.

En posteriores entregas, hablaremos más ampliamente de esta ley, de sus aspectos positivos y de aquellos que son susceptibles de mejora.

Protección de datos y libertades informativas

Autor: Lorenzo Cotino 

Se puede visualizar el VÍDEO, que se ve realmente bien, (también sólo el AUDIO) de la conferencia “Medios de comunicación en internet: el difícil equilibrio entre las libertades informativas y la protección de los datos personales" que impartí en el SICARM en Murcia el pasado 19 de mayo de 2010. El vídeo es a partir del minuto 23. Todo hay que decir que fui precedido por la más que excelente intervención de Pedro Grimalt, del todo recomendable. Se puede acceder a los vídeos de todo el congreso AQUÍ También es muy recomendable acudir a los vídeos del Congreso sobre Periodismo digital AQUÍ 

La Agencia de Protección de Datos abre expediente a Google

Autora: Wilma Arellano 

Debido a la incesante intención de recopilar toda la información posible, la empresa Google aceptó haber tomado datos de navegación e información personal de las wireless que no estaban protegidas con una contraseña, cuando realizaba imágenes de las calles para su servicio Street View (que ha tomado fotografías en España desde 2008).

Primero fue en Alemania en donde solicitaron que la empresa entregara inmediatamente los datos que tenía almacenados, tras el compromiso de eliminarlos de sus bases de datos.

Después, la Agencia de Protección de Datos española anunció que abrirá un expediente de investigación a la empresa por recopilar dicha información, con el argumento de que posiblemente se estaría violando la Ley 15/99, la de protección de datos. Evidentemente, se ha solicitado que bloquee dicha información. Ahora suman ya cinco los países de la Unión que investigan a Google. Además de los mencionados están Francia, Italia y la República Checa.

Considero que es preocupante que Google haya guardado esa información “por error”, como ellos dicen, aunque sabemos que no es así. Afortunadamente estas naciones europeas han actuado ante esta situación y esperemos que lo hagan también en otros países, como México, en donde recientemente se aprobó una Ley de protección de datos en posesión de particulares, que será publicada en breve en el Diario Oficial de la Federación.

Registro de móviles y protección de datos en México

Autora: Wilma Arellano 

Por disposición oficial y con reforma a la Ley Federal de Telecomunicaciones, en México se hizo obligatorio registrar los datos de los usuarios de teléfonos celulares, para crear un Registro Nacional de Usuarios de Telefonía Móvil, con el supuesto fin de combatir el crimen. Definitivamente dicha base de datos carece de un sentido lógico para la persecución del delito, ya que no se ha explicado la forma en que será viable cumplir con ese objetivo. Más aún, parece prestarse a todo lo contrario.

Sin embargo, lo que nos parece aún más delicado es el tema del control de esa base de datos. No se tiene la seguridad de quiénes asumirán el control de la información personal de más de 80 millones de líneas celulares en el país. La información que contendrá es el nombre completo del usuario, su fecha de nacimiento y su número de cédula única de registro poblacional (CURP) cuyo número contiene por sí una cantidad de datos similar a la de un DNI español.

Se ha hablado recientemente de que las bases de datos de empresas privadas y del propio Instituto Federal Electoral (que contienen incluso la huella digital, fotografía, firma y domicilio del ciudadano, entre otros) son vendidas en el mercado negro mexicano. ¿A qué nos vamos a exponer con una base de datos como la de los celulares que podrá correr la misma suerte?

Se discute en el Congreso una Ley de protección de datos en posesión de particulares, pero la misma ha sido pospuesta en muchas ocasiones y posiblemente no vea la luz en breve tiempo. Y aún más, esa ley, sin el adecuado reglamento de medidas de seguridad, como el que existe en España, puede estar condenada al fracaso o, cuando menos, a una aplicación exigua.

Hemerotecas virtuales y protección de datos

Autor: Lorenzo Cotino. 

Cabe recordar que tienen el carácter de fuentes accesibles los “medios de comunicación” (art. 3 f) LOPD). El artículo 7. 1º e) RLOPD) añade el apelativo “medios de comunicación social” con una clara finalidad de limitar o delimitar el alcance de esta fuente accesible.

Afirmar a los medios de comunicación como fuentes accesibles al público supone que datos personales difundidos por tales medios de comunicación, pueden constituir  una “materia prima” reutilizable para generar ficheros o tratar datos con finalidades legítimas sin consentimiento del afectado (art. 6. 2 LOPD; art. 10. 2. b) RLOPD). Tampoco se requiere el consentimiento para la comunicación de datos procedentes de fuentes accesibles (art. 11. 2 b LOPD). Y es muy dudoso que se tenga el deber de informar al afectado a los tres meses de la inserción en el fichero (arts. 5. 4 LOPD).

Pues bien, las hemerotecas virtuales generan un problema real. Muchos ciudadanos que algún día fueron noticia siguen viendo entre los primeros resultados de las búsquedas en Google aquella noticia (por lo general negativa: acusación e implicación en delitos, cuestiones vinculadas a política o cualquier largo etcétera.). Al menos en dos ocasiones han llegado a la AGPD ciudadanos que pretenden no salir como resultado  tanto en la hemeroteca virtual (de El País) como al buscador que lanza el resultado de búsqueda (Lycos y Google). Resolución nº 1871/2008 Google Spain, S.L. y Prisacom (web de El País)

Resolución n 494/2009 (Lycos y El País).

La APD en estos casos, en los de Google, y en los de foros, afirma que los personajes no públicos no tienen que resignarse a ver sus datos en la red y pueden ejercer a posteriori los derechos ARCO, cancelación, oposición o rectificacion, según se trate.

La AEPD parece conceder inicialmente el interés público a todo lo que fuera publicado por un medio de comunicación clásico. Señala que los medios debieran valorar si incluir la identidad de las personas afectadas, con el uso de abreviaturas, por ejemplo, y que teniendo en cuenta los motores de búsqueda, mediten si mantener permanentemente noticias que dejan de ser relevantes con el tiempo. Asimismo habla de usar medidas que eviten la indexación y, por tanto, su divulgación indiscriminada. Sobre estas bases considera motivos legítimos para que el afectado se oponga a que una noticia no relevante con el paso del tiempo deje de aparecer a través del buscador. Pero no habla de oponerse para que se evite el acceso a la hemeroteca digital misma.

Considero que estos problemas no se han encauzado sobre la base de que la hemeroteca no es en sí un medio de comunicación, sino un fichero a partir de fuentes accesibles al público procedentes de medios de comunicación. El tratamiento que hace el buscador o la hemeroteca virtual no es en sí el medio de comunicación, sino que se opera un tratamiento diferente a partir de fuentes accesibles. En ambos casos se da una finalidad legítima. Ello no obsta para que pueda ejercerse por el afectado el derecho de oposición tanto frente al buscador cuanto respecto de la hemeroteca. Ello no supone obligatoriamente dar la razón al afectado, sino analizar, de forma individualizada las razones esgrimidas. El paso del tiempo y la situación particular del afectado podrá llevar a considerar que no se justifica el tratamiento que opera la hemeroteca, por lo que aún existiendo históricamente la noticia, ésta no tendrá porqué permanecer fácilmente accesible en su formato virtual o quedar indexada por Google, por ejemplo.

Esta posición es compatible con soluciones que pasan por el principio de proporcionalidad preventivo tanto por los periodistas, cuanto por los gestores de las hemerotecas virtuales y los buscadores. Primero la valoración de la necesidad de incluir datos personales por el medio de comunicación. Segundo, la elección de sistemas que reduzcan la visibilidad de la información y su indexación más allá de lo necesario. Tercero. Mecanismos automáticos de anonimización, especialmente sobre la base del paso del tiempo.