Tratamiento de datos personales y derechos fundamentales

TRATAMIENTO DE DATOS PERSONALES Y DERECHOS FUNDAMENTALES: DESDE
HOLLERITH HASTA INTERNET.
Ana Garriga Domínguez,
Profesora Titular de Filosofía del Derecho
Universidad de Vigo
Sin duda, la tecnología que más influencia ha tenido sobre nuestra forma de vida,
cultura y sociedad es la informática o, más propiamente, las tecnologías de la información
(TIC). Las tecnologías de la información y nuestro sistema social están estrechamente
conectados, lo que hace imposible la comprensión de uno sin el otro. Ninguna otra tecnología
había desplegado antes sus potencialidades con la misma rapidez que los ordenadores y las
telecomunicaciones pero, por otra parte, este fenómeno presenta desde sus inicios una cara más
oscura al poseer estas tecnologías la capacidad de concentrar el poder y de crear nuevas formas
de manipulación y dominación sociales1. Su impacto en la sociedad y en la economía ha sido tal
que se afirma que estamos ante el nuevo paradigma de la tecnología de la información2.
Desde el primer momento, una de las aplicaciones más importantes de la informática ha
sido el tratamiento y la elaboración de la información, al propiciar inmensas posibilidades de
acumulación y manipulación de toda clase de datos, incluidas las informaciones sobre personas.
En el año 1884, Herman Hollerith, a quien se considera el precursor del tratamiento
automatizado de la información sobre personas, creó la primera empresa3 de procesamiento
automático de información en el mundo, revolucionando de manera radical el análisis de la
información del censo. Desarrolló un sistema de cómputo mediante tarjetas perforadas en las
que los agujeros representaban el sexo, la edad o raza, entre otros. Gracias a la máquina
tabuladora de Hollerith el censo en Estados Unidos de 1890 se realizó en dos años y medio,
cinco menos que el censo de 18804. La utilización de tarjetas perforadas en el procesamiento de
datos permitía clasificarlas. De esta forma era posible saber cuantas tarjetas cumplían
determinados requisitos, por ejemplo, el número de personas de un determinado sexo, raza,
estado civil y edad que vivían en una localidad. Posteriormente, su invento se utilizó para
elaborar y organizar estadísticas sanitarias en algunas ciudades y en el ejército5.
1
SÁNCHEZ BRAVO, A.A.: Internet y la sociedad europea de la información: implicaciones para los
ciudadanos, Universidad de Sevilla, Sevilla, 2001, p. 14.
2
CASTELLS, M.: La era de la información, trad. de C. Martínez Gimeno y J. Alborés, Alianza Editorial
tercera edición, Madrid, 2008, p. 103 y ss.
3
H. Hollerith, fundó en 1896 la Tabulating Machine Company, empresa precursora de la que en 1924 se
denominaría International Business Machines Corporation (IBM).
4
IFRAH, G.: The Universal History of Computing. From the abacus to the quantum computer, John
Wiley, New York, 2001, p. 180.
5
La máquinas diseñadas por Hollerith fueron utilizadas por los nazis en Alemania para elaborar el censo
de 1933. El uso de las tarjetas perforadas permitió elaborar una ficha informatizada de cada persona
internada en los campos de exterminio. A cada categoría de personas, se le asignaron determinados
códigos numéricos en la tarjetas perforadas. Había hasta 16 catergorías diferentes que se calsificaban en
función de los agujeros de las tarjetas: el agujero 3 significaba homosexual, el 9 antisocial, el 12 gitano y
el número 8 judío. Sin duda, el uso de las tarjetas perforadas fue de suma utilidad para la localización y
clasificación de los grupos de personas que posteriormente serían victimas del genocidio nazi. (en
1
Si bien en los siglos anteriores se fueron cimentando sus bases, a lo largo del siglo XX
se produce su evolución definitiva. En 1936, Alan Turing realizaba el diseño abstracto de un
ordenador estableciendo los principios que supusieron el mayor avance teórico que condujo al
nacimiento de la informática. Sus descubrimientos aportaron enormes progresos conceptuales,
tanto en los fundamentos lógicos, como en el desarrollo de las ciencias de la computación6. En
1946, John Von Newman y su equipo publicaron un documento en el que se esbozaban las
bases del diseño de los ordenadores digitales y microprocesadores actuales7. Pero será después
de la Segunda Guerra Mundial, cuando el desarrollo de los ordenadores electrónicos, el de la
industria y su comercio experimenten un crecimiento espectacular. En las décadas siguientes se
produjo un crecimiento exponencial de la industria informática y con la convergencia de los
ordenadores y las telecomunicaciones nació la tecnología de la información, que se ha
convertido en uno de los más importantes sectores económicos de nuestro tiempo. Las
diferentes respuestas que el Derecho ha dado a las inquietudes suscitadas por determinadas
aplicaciones de esta nueva tecnología fueron consecuencia de su misma evolución, pues no
planteaba los mismos problemas para los derechos humanos, un ordenador de las primeras
generaciones, que un microordenador personal de los años 80, aunque solo fuera por el propio
tamaño de la memoria.
Cuando se habla de generaciones de ordenadores o computadoras se está haciendo
referencia a sus distintas etapas evolutivas. Son cinco estas generaciones y su clasificación
dependerá de la tecnología utilizada para su fabricación y del tipo de información procesada. La
primera generación de computadoras se caracterizaban por ser máquinas muy grandes y
costosas, que tenían una ínfima potencia en comparación con los actuales ordenadores
personales. Posteriormente, las computadoras se hicieron más pequeñas, fiables y baratas y con
la invención de los circuitos integrados se origina un gran impacto en la comercialización de los
miniordenadores. Los chips significaron el paso definitivo en microelectrónica, ya que requieren
mucho menos espacio y potencia y su fabricación es más barata, lo que hizo posible la aparición
de los ordenadores personales a finales de los años 708. Finalmente, la quinta generación de
ordenadores, conlleva un cambio fundamental en el perfeccionamiento técnico de los
ordenadores digitales. En esta generación se han producido un gran desarrollo en los programas
instalables (software), que le indican al ordenador cómo ha de realizar una serie de funciones, y
el perfeccionamiento de los sistemas operativos, así como de sus dispositivos físicos9.
Conforme se va avanzando en el perfeccionamiento de los ordenadores, cada vez más
funcionales y eficaces y, al mismo tiempo, más asequibles, su uso se irá expandiendo hasta
generalizarse en todos los ámbitos a finales del siglo XX.
Tan importante como el progreso tecnológico de los ordenadores ha sido el de los
sistemas de comunicación, que se comenzaron a desarrollar desde los años sesenta. Si bien, en
un primer momento, cada empresa tenía su propio sistema de interconexión entre ordenadores,
que eran incompatibles entre sí, desde el año 77 se empezó a trabajar en la unificación de los
sistemas y de las arquitecturas de comunicación de diversos fabricantes. La Advanced Research
Projetcts Agency (ARPA), Agencia dependiente del Departamento de Defensa de los Estados
Unidos, diseñó un sistema de interconexión de ordenadores en red y nació ARPANET, de la
cual deriva Internet10. Finalmente, Internet nace cuando hacia 1983 diversas redes informáticas
BLACK, E.: IBM and the Holocaust: The Strategic Alliance between Nazi Germany and America's Most
Powerful Corporation, Crown Publishers, 2001, p. 21). También, BARCELÓ, M.: Una historia de la
informática, Editorial UOC, Barcelona, 2008, p. 91).
6
IFRAH, G.: The Universal History of Computing. From the abacus to the quantum computer, ob. cit., p.
272.
7
BISHOP, P.: Computadores de la 5ª generación, trad. de T. Hurtado Merelo, Paraninfo, Madrid, 1989,
p. 14 y ss.
8
PÉREZ HERNÁNDEZ, Mª.G. y DUARTE, A.: La informática, presente y futuro en la sociedad,
Universidad Rey Juan Carlos - Dikynson, Madrid, 2006, p. 34.
9
Ibídem, p. 40.
10
BARCELÓ, M.: Una historia de la informática, cit., p. 102 y ss.
2
con la misma tecnología se unen creando la llamada red de redes. Internet es una red de
ordenadores interconectados que se comunican entre sí formando una red internacional a escala
planetaria, que permite el acceso a enormes cantidades de información procedente de todo el
mundo y la comunicación entre millones de personas. Con su comercialización se produjo el
comienzo de una nueva era de la informática.
La revolución tecnológica del Siglo XX condujo a lo que se denominó muy pronto
«civilización cibernética»11, que significó el inicio de una nueva era que planteó nuevos retos
éticos. Desde el último tercio del siglo pasado se produce un cambio de paradigma que afecta a
todos los aspectos de la sociedad postindustrial. En la sociedad de la información o sociedad
informatizada12, la obtención y el tratamiento de la información se convierten en las fuentes
fundamentales de productividad y poder. En el tránsito del modelo de desarrollo industrial al
informacional, las tecnologías de la información han jugado y juegan todavía un papel central y,
como no pudo ser de otra forma, exigió del Derecho nuevas respuestas para intentar solucionar
los nuevos problemas sociales e individuales que surgieron como consecuencia de las nuevas
aplicaciones tecnológicas. De entre estas respuestas, un lugar muy destacado corresponde al
derecho fundamental que pretende garantizar la libertad y la privacidad en la revolución
informática: el derecho fundamental a la protección de datos personales.
En el año 1978 y de manera muy expresiva, James Martin explicaba cómo, en la
sociedad de las telecomunicaciones, los seres humanos nos podemos sentir como osos polares a
los que se les haya conectado un radiotransmisor en miniatura que envíe continuas señales a un
satélite, que puedan ser registradas y seguidas desde un ordenador. Pues, la informática puede
hacer nuestras vidas tan visibles para quienes controlan los grandes bancos de información
personal como lo son para nosotros los peces de colores que tenemos en una pecera13. Once
años antes, Alan F. Westin daba cuenta de los millones de datos sobre personas que
determinadas entidades y organismos en Estados Unidos tenían en su poder y como más y más
información estaba siendo reunida y usada por corporaciones, asociaciones, universidades,
colegios públicos y agencias gubernamentales14. Un lugar común para los estudiosos del
impacto de las tecnologías de la información en las libertades es citar la antiutopía orwelliana
del «Gran Hermano», descrita en su obra 1984, y es que las posibilidades de indagación,
manipulación, control y persuasión de masas de las tecnologías de la información son de tal
entidad, que ésta sería plenamente realizable.
Como ya se ha señalado, una de las primeras aplicaciones de la informática, aún en su
fase más incipiente, fue la de registrar y establecer clasificaciones de personas. Desde el
principio, una de las características básicas de los ordenadores fue la de incrementar
exponencialmente las posibilidades del almacenamiento de información personal. El desarrollo
de las tecnologías de la información, hizo posible recoger y conservar, sin límite de espacio,
infinidad de datos sobre un mismo individuo, realizando sobre él un auténtico catálogo de su
vida, a través de la interrelación de todos los datos existentes, con independencia de que se
encuentren en archivos distintos, relativos a diferentes etapas de su vida, o que estos hubieran
sido recogidos incluso en lugares lejanos. El progreso tecnológico propugna la abolición de toda
privacidad de la vida individual, expuesta ahora a toda forma de inspección y violación15.
11
El término cibernética fue acuñado por Norbert Wiener en su libro Cibernética o el control y
comunicación en animales y máquinas, publicado en 1948.
12
FROSINI, V.: Il guirista e le tecnologie dell’informazione, seconda edizione, Bulzoni Editore, Roma,
2000, p. 79.
13
MARTIN, J.: The Wired Society, Prentice-Hall, Englewood Cliffs, N.J., 1978, p. 250.
14
WESTIN, A.F.: Privacy and Freedom, Atheneum, New York, 1970, p.159. La primera edición de esta
obra es de 1967.
15
FROSINI, V.: Cibernética, Derecho y sociedad, Tecnos, Madrid, 1982, p. 168.
3
La aparición del ordenador electrónico y el posterior desarrollo de las tecnologías de la
información, hizo posible una vigilancia real de la vida cotidiana del individuo, al permitir el
registro de una serie de datos que, separadamente, carecen de importancia, pero que,
adecuadamente relacionados, permiten obtener el perfil de una persona. De este modo nos
encontramos con que nuestra vida individual y social corren el riesgo de hallarse sometidas a lo
que Frosini calificó de «juicio universal permanente»16.
Por su propia concepción, el desarrollo tecnológico hizo insuficiente el derecho a la
intimidad para dar respuesta a las amenazas y peligros específicos que para la dignidad de las
personas, su libertad, el derecho a no ser discriminados o el ejercicio de los demás derechos
fundamentales, encierran las posibilidades de tratamiento automatizado de la información
personal y, por ello, a partir de los años setenta, comienza la construcción de un nuevo derecho
fundamental. El derecho a la protección de datos personales, recogido en el artículo 18.4 de
nuestra Constitución, es según el Tribunal Constitucional una nueva garantía constitucional,
como forma de respuesta a una nueva forma de amenaza concreta a la dignidad y a los derechos
de las personas (...) un instituto que es, en sí mismo, un derecho o libertad fundamental, el
derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la
persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos, lo que la
Constitución llama «la informática»17. Pues si el artículo 18.118 tiene como función proteger
frente a cualquier invasión que pueda realizarse en el ámbito de la vida personal y familiar que
la persona desea excluir del conocimiento ajeno, el derecho fundamental a la protección de
datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su
uso y destino, con el propósito de impedir su tráfico ilícito y lesivo para la dignidad y derecho
del afectado19.
Por otra parte, el rápido desarrollo de Internet planteó y plantea en la actualidad, cada
vez en mayor medida, nuevos retos a la protección de datos personales y a los derechos de las
personas, especialmente los relativos a su vida privada. De un lado, se desarrollan nuevos
servicios con mayores posibilidades de comunicación y de intercambio de información; pero, de
otro, se ha generalizado la recogida y tratamiento de ingentes cantidades de información sobre
personas a través de los diferentes servicios que ofrece la red y, en numerosas ocasiones, sin el
consentimiento y sin el conocimiento del interesado. Muy pronto se hicieron evidentes los
riesgos que las redes de comunicación, y particularmente Internet, implicaban para el derecho
fundamental a la protección de datos personales por la capacidad de las redes de generar datos
transaccionales, es decir, datos generados a fin de asegurar conexiones correctas20. Las
amenazas para los derechos de las personas se amplifican con la expansión de Internet, a través
de determinados programas como las cookies remotas, programas rastreadores o sniffers o, en
los últimos tiempos las denominadas supercookies, que son capaces de reestablecer los perfiles
de los usuarios después de que estos las hayan borrado del disco duro de su ordenador. Este tipo
de programas posibilita el funcionamiento de las denominadas «redes de seguimiento», que
permiten seguir al usuario a medida que navega por determinados «sitios», controlando sus
acciones, acumulando información sobre él, conociendo qué servicios o bienes adquiere, etc.21
16
PÉREZ LUÑO, A. E.: Vittorio Frosini y los nuevos derechos de la sociedad tecnológica, en
Informatica e Diritto, 1-2, Edizioni Scientifiche Italiane, 1992, p. 104.
17
STC 254/1993, de 20 de julio. En el mismo sentido, entre otras, STC 11/1998, de 13 de enero, 94/1998
y 202/1999, de 8 de noviembre.
18
El artículo 18.1 de la Constitución española establece que “se garantiza el derecho al honor, a la
intimidad personal y familiar y a la propia imagen”; en el artículo 18.4 se dispone que “la ley limitará el
uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos y el
pleno ejercicio de sus derechos”.
19
STC 292/2000, de 30 de noviembre.
20
Recomendación 3/97, del Grupo de Trabajo sobre protección de las personas en lo que respecta al
tratamiento de datos personales.
21
TÉLLEZ AGUILERA, A.: Nuevas tecnologías, intimidad y protección de datos, Edisofer, Madrid,
2001, p. 83.
4
Pues, cada vez que se accede a Internet se deja un rastro digital y cuanto mayor sea el número
de actividades que se realicen en línea, mayor será la información que sobre nuestras
ocupaciones, gustos y preferencias quede registrada. El conjunto de datos recogidos pueden
relacionarse permitiendo la elaboración de un completo perfil público de las personas, que
podría, al menos de manera potencial, perjudicar a su titular. Existen soportes lógicos capaces
de buscar y recopilar todos los datos que sobre una misma persona se encuentren en la red22.
Utilizando de forma conjunta el charloteo del navegador e hipervínculos invisibles, cualquier
empresa de cibermarketing puede, por defecto, conocer todas las palabras clave introducidas por
un usuario de Internet en el motor de búsqueda en el que se anuncia la empresa. También puede
saber qué ordenador, sistema operativo o navegador utiliza el usuario, su dirección IP y la hora,
así como la duración de las sesiones HTTP. La combinación de estos datos sin procesar con
otros que ya posea la empresa permite la deducción de nueva información, tal como: el país
donde vive el usuario de Internet, el dominio de Internet al que pertenece, el sector de actividad
de la empresa donde trabaja, la facturación y el volumen de su empresa, su función y el puesto
que ocupa en dicha empresa, su proveedor de acceso a Internet, así como el tipo de sitios Web
que actualmente visita23.
Pero, además, la problemática derivada del tratamiento de este tipo de datos personales
se complica también porque se trata de «datos invisibles» para el usuario de la red, cuyo
almacenamiento o elaboración escapan a su conocimiento y a su control y porque Internet
implica el riesgo de un efecto multiplicador de los atentados contra los derechos, los bienes y
los intereses de las personas.
El uso de determinados servicios en Internet puede ser potencialmente lesivo con
nuestra vida privada. Dentro de este grupo debe señalarse, en primer lugar, a las redes sociales,
que ofrecen medios de interacción entre los usuarios basados en los perfiles que éstos mismos
generan, formándose comunidades de personas que comparten determinados intereses de tipo
profesional o personal, sobre actividades o aficiones, etc. A la información personal publicada
en línea por el propio usuario, debe añadirse la relativa a sus acciones e interacciones. Su
combinación permite la obtención de un perfil muy preciso de sus intereses y actividades y
estos datos, o el resultado de su procesamiento, podrán ser utilizados con distintos fines, sobre
todo comerciales y de publicidad, pero pueden también implicar riesgos para esa persona como
la suplantación de identidad24, mermas económicas o de oportunidades de empleo, ya que, por
ejemplo, cada vez un mayor número de empresas admite que acude las redes sociales para
investigar a aquellos aspirantes a un trabajo en sus empresas25, o finalmente, pueden propiciar
ataques a la integridad física y moral.
22
DRUMMOND, V.: Internet, privacidad y datos personales, trad. de I. Espín Alba, Editorial Reus,
Madrid, 2004, p. 118.
23
Vid. El documento de trabajo sobre Privacidad en Internet: Enfoque comunitario integrado de la
protección de datos en línea, adoptado el 21 de noviembre de 2000, del Grupo de Trabajo sobre
protección de las personas en lo que respecta al tratamiento de datos personales.
24
Según un estudio realizado por Microsoft sobre 600 millones de ordenadores en todo el mundo, la
usurpación de identidad en las redes sociales se ha disparado en los últimos años: en enero de 2010
representaba el 8,3% de todos los casos detectados, pero a finales de ese mismo año, los robos de
identidades vinculados a redes sociales suponían el 84,5% de todos los casos registrados.
Según este mismo informe, hay dos tipos de atacantes: los profesionales pagados por mafias o agencias
gubernamentales y los delincuentes individuales. Tanto las mafias como estos últimos buscan recolectar
datos con objetivos económicos. Por ejemplo obtener las tarjetas de crédito para robar en las cuentas
asociadas. En el caso del espionaje estatal se trata de conocer la jerarquía de las amistades del personaje
investigado (EL PAÍS, 12/05/2011).
25
Lo que en muchos casos sería perjudicial para las posibilidades de los candidatos al puesto de trabajo.
El 16 de diciembre de 2011, el diario británico The Telegraph publicaba que según un estudio reciente,
las tres cuartas partes de las fotos que aparecían en Facebook, mostraban a los usuarios británicos
5
Las redes sociales han propiciado un nivel de divulgación de información personal,
incluidas grandes cantidades de fotografías y vídeos, tanto de los usuarios de las redes como de
terceros, sin precedentes. Unos y otros, como se señaló en la Resolución sobre protección de la
privacidad en los servicios de redes sociales, se enfrentan a la posible pérdida de control “sobre
la forma en que terceros emplearán la información una vez publicada en la red: aunque la base
«de comunidad» de las redes sociales sugiere que la publicación de los datos personales de
carácter privado sería comparable a compartir información con amigos de forma presencial,
en realidad la información de cada perfil está disponible para toda una comunidad de usuarios
(que pueden ascender a millones)”26.
No menos importante es el impacto de los motores de búsqueda en nuestra vida privada,
por la gran cantidad de datos que sobre los usuarios recogen estos servicios y por las
posibilidades de utilizarlos para elaborar perfiles de los usuarios combinando e
interrelacionando los datos personales obtenidos por varías vías. Los motores de búsqueda son
servicios que facilitan al usuario las posibilidades de encontrar información de todo tipo en
Internet. Entre ellos, existen algunos cuya finalidad es la de construir perfiles sobre personas
utilizando los datos personales que encuentran en la red.
Los motores de búsqueda pueden vincular las diferentes consultas que procedan de la
misma dirección IP e incorporando una cookie de identificación única para cada usuario
mejorará su identificación en cada sesión. Además, se sirven, como ya se ha mencionado, de
dispositivos como las cookies de red y, cada vez con mayor frecuencia de las denominadas
cookies flash. Las cookies permanentes se utilizan normalmente para mejorar la calidad del
servicio, pues permiten almacenar las preferencias del usuario y archivar sus prácticas. Las
cookies flash se emplean como copia de seguridad de las cookies normales o para almacenar
información detallada sobre las búsquedas.
Como se ha recogido hasta aquí, los riesgos para los derechos de las personas son cada
vez más complejos y se han incrementado exponencialmente con el desarrollo de Internet. Por
ello, es imprescindible encontrar la forma de que las más diversas actividades lícitas en la red
puedan seguir desarrollándose sin imponer limitaciones innecesarias o desproporcionadas al
intercambio de información o en las comunicaciones, siempre que esas actividades no supongan
un menoscabo no consentido de la vida privada de las personas o la violación de sus derechos y
libertades fundamentales. Para garantizar nuestra vida privada, nuestra libertad o nuestro
derecho a nos ser discriminados, por ejemplo, el derecho a la protección de datos personales se
estructura en dos elementos que nos permitirán ejercer un control efectivo sobre nuestros datos
personales. Un primer elemento negativo, constituido por una serie de límites o cautelas a las
que debe someterse el procesamiento de datos personales, que eviten los riesgos que se derivan
de esta actividad. El contenido negativo del derecho a la protección de datos personales impone
a los poderes públicos la prohibición de que los individuos se conviertan en fuentes de
información sin las debidas garantías; y también, el deber de prevenir los riesgos derivados del
acceso o divulgación indebidos de dicha información27. Es decir, los poderes públicos y de
acuerdo con el enunciado literal del artículo 18.4 de la Constitución, están obligados a
establecer las medidas, garantías y límites necesarios para contrarrestar los peligros y riesgos
que el tratamiento de datos personales entraña, garantizando la idoneidad de la información y su
seguridad. A estos límites que están recogidos en la vigente Ley Orgánica 15/1999, de 13 de
borrachos y que en la mayoría de los casos habían sido etiquetados sin su consentimiento por sus
conocidos. La noticia completa puede verse en:
http://www.telegraph.co.uk/technology/facebook/8958714/Britons-drunk-in-three-quarters-of-Facebookphotos.html.
26
Resolución sobre protección de la privacidad en los servicios de redes sociales de la 30 Conferencia
Internacional de Autoridades de Protección de datos y privacidad.
27
STC 292/2000, de 30 de noviembre.
6
diciembre, de protección de datos de carácter personal, se les ha denominado tradicionalmente
principios de calidad de los datos y son los siguientes:
1.- Principio de pertinencia. Significa que los datos personales deben estar relacionados
con el fin perseguido por lo que deberán de ser adecuados, pertinentes y no excesivos en
relación con las finalidades para las que e hayan registrado.
2.- Principio de finalidad. Está íntimamente conectado con el anterior y supone que
sólo se podrán recoger y tratar automáticamente los datos personales que sean adecuados a las
finalidades concretas, explícitas, lícitas y legítimas para las que se hayan obtenido y, también,
que los datos personales no podrán usarse para finalidades distintas o incompatibles con aquella
que justificó su recogida.
3.- Principio de veracidad y de exactitud. Exige que los datos sean exactos y estén
actualizados de forma que respondan con veracidad a la situación del afectado.
4.- Principio de lealtad. Los datos personales deberán recogerse sin engaños o
falsedades por parte de quien los solicita.
5.- Principio de seguridad de los datos. Deberán adoptarse las medidas necesarias para
garantizar la seguridad de los datos personales evitando su alteración, pérdida, tratamiento o
acceso no autorizados.
De entre todos ellos, el principio de finalidad es sin duda, a mi juicio, el más
importante, aunque el incumplimiento de cualquiera de estas exigencias haría ilícito el
tratamiento de los datos y potencialmente lesivo para los derechos de las personas. No debemos
olvidar que esta garantía fundamental cumple la misión de proteger a las personas frente a usos
contrarios a la dignidad, la libertad o frente a los usos discriminatorios de los datos personales o
del resultado del tratamiento al que hayan sido sometidos. El principio de finalidad garantiza al
titular de los datos estos extremos, al hacer posible que éstos sólo sean utilizados para las
finalidades lícitas, específicas y legítimas para las que él haya prestado su consentimiento
inequívoco. Es decir, el principio de finalidad garantiza a los ciudadanos la posibilidad de
controlar el uso de sus datos personales, ofreciéndole una respuesta precisa y concreta a la
cuestión de para qué van a ser utilizados, impidiendo además usos diferentes o incompatibles
con el consentido.
Pero, también, en la actualidad es de vital importancia cumplir con las exigencias derivadas
del principio de seguridad. Garantizar la seguridad de los datos personales es imprescindible
para poder brindar una protección efectiva a los derechos de los afectados y este es un objetivo
cada vez más complejo al haberse incrementado, enormemente, los riesgos que amenazan a la
información almacenada y procesada, pues son cada vez mayores los medios para «atravesar»
las barreras de seguridad de un fichero. Baste como ejemplo citar algunos de los casos más
notorios que se han producido sólo a lo largo de 2011 y que han tenido repercusión en los
medios de comunicación: «Un fallo de Adobe permitía espiar a los usuarios por sus
webcams»28; «Fuga de datos en la empresa que rastrea las descargas en Francia. Un error
informático hace accesibles las direcciones IP detectadas en BitTorrent»29; «Los terminales
Android son vulnerables ante posibles ataques de suplantación»30; «Robados los datos bancarios
de miles de clientes de Citigroup. Los piratas informáticos pueden haber accedido a sus
nombres, correos electrónicos y números de cuenta»31; «Sony investiga el robo de datos de 77
28
ABC, 21 de octubre de 2011.
El País, 16 de mayo de 2011.
30
El Mundo, 18 de mayo de 2011.
31
El País, 9 de junio de 2011.
29
7
millones de cuentas de PlayStation»32 o «Un nuevo asalto a Sony compromete datos de un
millón de internautas»33.
Resulta ineludible que las medidas de seguridad sean mejoradas continuamente,
adaptándolas y actualizándolas al desarrollo tecnológico en cada momento. El concepto de
seguridad debe abarcar tanto la confidencialidad de la información, como la disponibilidad e
integridad de la misma.
Por otra parte, el derecho a controlar los datos que nos conciernen se concretan, como
dice el Tribunal Constitucional español, en la atribución a las personas de un haz de facultades
consistentes en diversos poderes jurídicos cuyo ejercicio impone a terceros deberes jurídicos34,
que se conocen como habeas data35. Se trata de un conjunto de instrumentos que garantiza a las
personas la posibilidad de ejercer un control efectivo sobre el uso y destino de sus datos,
permitiéndole saber quién, dónde, cuándo y para qué ha obtenido y registrado informaciones
que les afecten. Sin estos derechos subjetivos, los principios anteriores quedarían vacíos de
contenido y el titular de los datos desamparado ante su tratamiento.
El poder de disposición sobre los propios datos se lleva a cabo a través de un conjunto
de facultades que formarían el contenido del denominado habeas data y que consistirán, en su
mayor parte, en el poder jurídico de imponer a terceros la realización u omisión de
determinados comportamientos36. Al igual que los principios de calidad de los datos, los
derechos o facultades de las personas afectadas se encuentran regulados en la Ley de protección
de datos personales y, entre ellos, por su importancia, podemos destacar los siguientes:
1.- El derecho del titular de los datos a que se le informe de los bancos de datos
existentes, de su titularidad y finalidad, así como de los derechos que le asisten. El derecho a la
información garantiza que las personas, de las que se soliciten datos personales, sean
informadas de manera previa a la recogida de los mismos, de modo expreso, preciso e
inequívoco acerca de las cuestiones anteriores. Quien recaba esta información personal deberá
informar al afectado, previa, expresa, precisa e inequívocamente, de las consecuencias de su
consentimiento para que, de esta forma, pueda decidir con pleno conocimiento del alcance y
consecuencias de su decisión. Si no se garantiza suficientemente, el individuo no podrá ejercer
el resto de los derechos que forman parte del contenido esencial del derecho a la protección de
datos personales, pues el poder de disposición sobre los propios datos “nada vale si el afectado
desconoce qué datos son los que se poseen por terceros, quiénes los poseen, y con qué fin.”37
2.- El derecho de las personas a que se solicite su consentimiento inequívoco para la
recogida, tratamiento y cesión de sus datos personales. Este derecho está estrechamente
relacionado con el anterior, ya que es condición indispensable para que el interesado pueda
prestar el consentimiento para el tratamiento de sus datos, el cumplimiento previo del contenido
del derecho de información. Antes de prestar su consentimiento ha de conocer las consecuencias
que se derivarán del mismo, así como las características y la naturaleza del fichero. Por ello, y
para garantizar en el ámbito de Internet el derecho a controlar nuestros datos personales, se ha
modificado recientemente el artículo 22 de la Ley 34/2002, de 11 de julio, de servicios de la
sociedad de la información y de comercio electrónico38, en relación con los requisitos para la
32
La Vanguardia, 27 de abril de 2011.
El País, 3 de junio de 2011.
34
STC 292/2000, de 30 de noviembre, fundamento jurídico sexto.
35
SSTC 254/1993, de 20 de julio; 11/1998, de 13 de enero; 94/1998, de 4 de mayo y 202/1999, de 8 de
noviembre.
36
STC 292/2000, de 30 de noviembre.
37
STC 292/2000, de 30 de noviembre.
38
Mediant Real Decreto-ley 13/2012, de 30 de marzo, por el que se transponen directivas en materia de
mercados interiores de electricidad y gas y en materia de comunicaciones electrónicas, y por el que se
33
8
instalación de cookies y programas similares en nuestro terminal por parte de los proveedores
de servicios en la sociedad de la información. Así el apartado segundo del artículo 22 dispone
que
“Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y
recuperación de datos en equipos terminales de los destinatarios, a condición de que los
mismos hayan dado su consentimiento después de que se les haya facilitado información
clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los
datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de
Protección de Datos de Carácter Personal”.
3.- El derecho a una protección especial de los denominados datos sensibles, es decir,
aquellos que hacen referencia a la ideología, religión o creencias, afiliación sindical, vida
sexual, origen racial, salud incluyendo los datos genéticos, o los relativos a la comisión de
infracciones penales o administrativas. Son informaciones que se refieren a cuestiones
íntimamente ligadas al núcleo de la personalidad y de la dignidad humana. Por ello, las posibles
agresiones a la libertad, a la intimidad, las posibilidades de ser discriminado o cualquier otra
contra el ejercicio de los derechos fundamentales de las personas, se van a ver agravadas. Su
particular naturaleza, así como por lo particularmente graves que pueden ser las consecuencias
de su utilización fraudulenta para las personas a las que se refieren, ha propiciado que en todas
las regulaciones, tanto nacionales como internacionales, se encuentren reforzadas las medidas
adoptadas para protegerlos.
4.- El derecho de acceso de los afectados a las informaciones que les conciernen, así
como a las facultades de corrección y cancelación de los datos personales. Estos derechos
constituyen el instrumento idóneo para que el ciudadano pueda controlar la información que
sobre él tienen registrada entidades públicas y privadas. Pues permiten al interesado saber quién
y para qué tiene sus datos, corregir los incorrectos y cancelar aquellos que nunca debieron ser
registrados o que ya han cumplido su finalidad.
5.- El derecho al olvido, cuya realización se consigue a través de la cancelación de los
datos personales, ya sea de oficio, ya sea a instancia del interesado, pasado un determinado
período de tiempo. Por una parte es un instrumento necesario para el efectivo cumplimiento del
principio de finalidad, que exige que los datos recogidos y registrados sólo puedan usarse de
acuerdo con una finalidad concreta e implica la cancelación de los que ya no sean necesarios
para la realización de la misma. Por otra, supone este derecho que ciertas informaciones, pasado
un cierto período de tiempo, deben ser eliminadas. Tiene por objeto contrarrestar uno de los
riesgos más característicos del procesamiento informático de la información personal: la
posibilidad de recuperar en un instante cualquier dato por insignificante que éste parezca, aún
habiendo transcurrido decenas de años, lo que significa la desaparición de la garantía que
suponía para la privacidad de las personas la fragilidad de la memoria humana.
adoptan medidas para la corrección de las desviaciones por desajustes entre los costes e ingresos de los
sectores eléctrico y gasista. Esta norma incorpora a nuestro Derecho las previsiones de la Directiva
2009/136/CE del Parlamento Europeo y del Consejo, de 25 de noviembre de 2009, por la que se
modifican la Directiva 2002/22/CE relativa al servicio universal y los derechos de los usuarios en relación
con las redes y los servicios de comunicaciones electrónicas, la Directiva 2002/58/CE relativa al
tratamiento de los datos personales y a la protección de la intimidad en el sector de las comunicaciones
electrónicas y el Reglamento (CE) nº 2006/2004 sobre la cooperación en materia de protección de los
consumidores.
9