El tratamiento de datos en la esfera personal no está afecto a la LOPD

El uso de datos personales no queda afecto a las restricciones de Ley Orgánica de Protección de Datos (LOPD) cuando la finalidad de su tratamiento sea estrictamente personal, es decir, no persiga objetivos comerciales. Es interesante, a este respecto, repasar el contenido de la Sentencia de la Audiencia Nacional de 15 de junio de 2006, que estimó el recurso interpuesto por la Comisión para la celebración de las Bodas de Plata de una promoción de la Academia Militar de Zaragoza contra la sanción que la Agencia Española de Protección de Datos (AEPD) le había impuesto.
Los hechos fueron los siguientes: una Comisión formada por miembros de una determinada promoción de militares organizó distintos eventos para celebrar los 25 años de la jura de bandera. Para ello, reunieron los datos personales de contacto que tenían de sus compañeros de promoción, a través de sus propias agendas personales.
Una vez puestos en común todos los datos, los facilitaron a una agencia de viajes para que ésta gestionase la convocatoria de todos los militares de la promoción a los actos de la celebración. La agencia hizo dicha convocatoria y, después, destruyó el fichero de datos, no utilizándolo para ninguna otra finalidad que la prevista. La AEPD entendió que la cesión de datos a la agencia no había contado con el requisito de consentimiento exigido por la LOPD y, por ello, impuso una sanción a los miembros de la Comisión.
La Audiencia Nacional entendió que dicha sanción no resultaba procedente por cuanto “la finalidad del tratamiento de datos no excede del ámbito que acabamos de expresar pues tiene por objeto mantener los lazos de amistad y compañerismo creados durante el período formativo mediante la celebración de un acto puntual de confraternización de todos los miembros de una determinada promoción”. Por este motivo, al entender que no había una finalidad profesional, sino únicamente personal, entendió la Audiencia que el tratamiento de datos no quedaba afecto a la regulación de la LOPD y no cabía por tanto sanción.

Descárguese este artículo, en formato pdf, con nuestra Newsletter de enero de 2012: http://www.forolegal-abogados.com/newsletters/newsletter-enero-2012.pdf

El colegio no puede publicar fotos de alumnos si los padres no lo consienten

La Agencia Española de Protección de Datos (APED) ha apercibido (en una resolución que advierte de una infracción leve pero no impone sanción) a un colegio de Bilbao por el tratamiento inconsentido de fotografías de sus alumnos (menores de edad) en la página web del centro.
Los hechos constitutivos de la infracción fueron los siguientes: el colegio solicitó de los padres de sus alumnos autorización para incorporar fotografías de éstos a su página web y a otros soportes (por ejemplo, un CD en el que aparecían todos los estudiantes). Los padres denunciantes no prestaron ese consentimiento, a pesar de lo cual sus hijos aparecieron en el CD con la cara difuminada (“oculta por una mancha naranja”) y aparecieron posteriormente, también, en la web. La AEPD considera que existe infracción en ambos casos, incluso en aquél en que la cara del menor no era identificable, porque sí aparecía por ejemplo su nombre. En este sentido, recuerda que el “concepto de dato personal no puede ser más amplio”, por lo que la mera presencia de algún dato (aunque no todos) es suficiente para la identificación y, por tanto, supone un tratamiento de datos. Asimismo, la mera toma de la fotografía –aunque después no sea objeto de publicación– también supone un tratamiento de datos, por lo que resultan aplicables las prevenciones y exigencias de la Ley de Protección de Datos Personales (LOPD).
En el caso de la publicación de las fotografías en la web, se produce un tratamiento que expresamente era contrario a la voluntad de la madre del menor, por lo que concluye la AEPD que el colegio “no disponía del consentimiento de la representante legal de los menores afectados para el tratamiento de datos realizado, consistente en la utilización de sus imágenes en la citada Web.”A pesar del tratamiento inconsentido, la AEPD no ha impuesto ninguna sanción al colegio porque éste disponía de mecanismos preventivos, como las solicitudes de consentimiento paterno o la herramienta para difuminar la cara de los menores.

Descárguese este artículo, en formato pdf, con nuestra Newsletter de noviembre de 2011: http://www.forolegal-abogados.com/newsletters/newslette-noviembre-2011.pdf

La AEPD podría sancionar a Google por captar datos de titulares de Wi-fi

La Agencia Española de Protección de Datos (AEPD) ha iniciado un procedimiento sancionador contra dos sociedades del grupo Google por haber captado, almacenado y transferido al extranjero datos personales de titulares de redes Wi-fi.
La captación de datos habría tenido lugar mientras trabajadores de Google estaban recogiendo imágenes para el programa Street View, que permite visualizar calles de distintas ciudades españolas. Entre los datos obtenidos, se contarían la identidad, cuentas de correo electrónico, contraseñas e información de diversa índole de los titulares de esas redes Wi-fi, lo cual ha supuesto una intromisión en la protección de esos datos de carácter personal.
Debe tenerse en cuenta, asimismo, que algunos de los datos captados (como las contraseñas) permitirían a su vez el acceso a datos especialmente protegidos.
Además, todos esos datos se transfirieron posteriormente a la filial del grupo, en Estados Unidos, lo cual supone una transferencia internacional no autorizada, que es otra práctica sancionable de conformidad con la Ley de Protección de Datos de Carácter Personal (LOPD).
Las sanciones a las que podría tener que hacer frente Google ascienden, en su conjunto, a más de dos millones de euros en su horquilla más alta.
Paralelamente, la AEPD ha puesto estos hechos en conocimiento del Juzgado de Instrucción Nº 45 de Madrid, para que determine si existe además alguna responsabilidad penal por parte de Google.

Se crea la Autoritat de Protecció de Dades en Catalunya

La Autoritat de Protecció de Dades de Catalunya (APDC) sustituirá a la actual agencia autonómica, tal y como aprobó el Parlament de Catalunya el pasado 22 de septiembre.
Este nuevo organismo tendrá nuevas competencias, especialmente en lo relativo a la tramitación de quejas y denuncias, así como potestad sancionadora contra aquellas conductas contrarias a la Ley de Protección de Datos de Carácter Personal.
Por otro lado, debe destacarse que el director de la nueva APDC tendrá que ser designado por el Parlament con una mayoría de tres quintas partes, lo cual supone un cambio importante respecto al modelo actual, ya que era la Generalitat quien lo designaba.