Con la Constitución Española de 1978, se previó garantizar el derecho al honor, a la intimidad personal y familiar y a la propia imagen. Para desarrollar estas garantías, debía dictarse una Ley que limitase el uso de la informática para asegurar el honor y la intimidad personal y familiar de los ciudadanos, así como el pleno ejercicio de sus derechos.

Por José Enrique Azorín
  
 Con ese espíritu nació la Ley Orgánica 5/1992 de 29 de octubre, de Regulación del Tratamiento Automatizado de los Datos de Carácter Personal, actualmente derogada por la Ley Orgánica 15/99, de 13 de diciembre, de Protección de Datos de Carácter Personal, y el Reglamento de Medidas de Seguridad (Real Decreto 994/99 de 11 de junio), ambas normas destinadas a proteger la intimidad de las personas, en la medida en que las nuevas tecnolo-gías posibiliten el tratamiento de los datos personales en el ejercicio de la actividad mercantil.

La normativa que regula toda esta materia es sumamente exigente con las empresas, quienes deberán facilitar a las personas cuyos datos se recaben, por un lado, los medios para que éstas puedan prestar su libre consentimiento, con el fin de que se proceda al tratamiento automatizado de los mismos y, por otro lado, la posibilidad de ejercitar los derechos que les son propios siempre que lo deseen.
Uno de los principios básicos que defiende la vigente Ley 15/99 es el de la calidad de los datos, en base al cual, sólo se podrán recoger datos de carácter personal para su tratamiento, cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas. En ningún caso podrán usarse para finalidades incompatibles, debiendo ser exactos y estar actualizados. En caso de que los datos de carácter personal resultaren ser inexactos, o dejen de ser necesarios o pertinentes, deberían ser cancelados.

La Ley fomenta, mediante lo dispuesto en su artículo 16, el derecho de los "interesados" a solicitar y obtener gratuitamente información de sus datos de carácter personal, sometidos a tratamiento, sobre el origen de los mismos y las comunicaciones realizadas o que se prevén hacer de los mismos.

El derecho que tiene el interesado a disponer de sus propios datos personales, teniendo en todo momento derecho a acceder a los mismos, en base a las posibilidades reseñadas que ofrece la Ley 15/ 99, se conoce bajo el nombre de habeas data, en honor y consonancia con el conocido derecho de "habeas corpus".

El contenido esencial del derecho de habeas data permite al propietario de unos datos personales el control más amplio, inmediato y continuo de los mismos, para examinar las circunstancias y condiciones en que están siendo tratados, a través de los derechos de acceso, rectificación y cancelación, entre otros, contemplados en la Ley 15/ 99. 

Normalmente, los Datos Personales que las empresas van recabando en las relaciones comerciales más cotidianas, se van incorporando a unos ficheros automatizados cuya titularidad es de las mismas. No obstante, esa titularidad del fichero siempre colisiona con la que el propio interesado ostenta sobre sus datos, y en base a ello las empresas serán las responsables de cada uno de los ficheros que generen, debiendo adoptar todas las medidas técnicas y legales que la Ley prevé para garantizar la seguridad de los datos. Deberá evitarse, en todo momento, su pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos.

Lo dispuesto en la normativa existente en materia de protección de datos de carácter personal es de obligado cumplimiento para las empresas, suponiendo en caso de infracción la imposición de fuertes sanciones económicas por parte de la Agencia de Protección de Datos, que pueden ir desde los 600 hasta los 600.000 Euros.
El desarrollo y funcionamiento empresarial ofrece numerosos ejemplos prácticos de operaciones y formas de trabajo, que suponen una infracción de lo dispuesto en la normativa vigente sobre protección de datos personales.
 

Un buen ejemplo podría ser el encargo que hacen a un tercero la mayoría de las empresas, para que les confeccione las nóminas de sus empleados. En estos casos, el encargo de servicios supone el acceso a los datos del personal. Dicho acceso es necesario para la prestación del servicio contratado (en este caso, la elaboración de las nóminas), pero precisa de un contrato que establezca expresamente, entre otras cosas, que el encargado sólo tratará los datos conforme a las instrucciones del responsable del fichero (la empresa), un compromiso por parte del tercero de que no los aplicará ni utilizará con un fin distinto al convenido, y una estipulación de las medidas de seguridad (técnicas y jurídicas) que deberían adoptarse para garantizar la seguridad de los datos tratados.

Otros ejemplos comunes se dan en las distintas campañas de marketing o promoción que pueden emprender las empresas, destinadas a la captación de clientes potenciales (a través de un cuestionario o de una página web). El tratamiento de los datos recabados por esos métodos, y su inclusión en un fichero automatizado, puede suponer la infracción de la normativa sobre protección de datos personales: si no obtenemos el consentimiento inequívoco de los interesados para el tratamiento de sus datos, si los cedemos a empresas del grupo, si los utilizamos para alguna finalidad distinta a la propia de la campaña promocional, …y en definitiva, si no estamos a los principios de calidad de los datos o no atendemos a los derechos fundamentales que la Ley reconoce a los titulares de aquellos.

La propuesta de trabajo de BDO Audiberia Estudio Jurídico y Tributario, en relación a esta materia, desde nuestro departamento de Derecho Procesal / Nuevas Tecnologías, se desarrolla mediante diferentes etapas, que van desde el análisis de los ficheros automatizados de las empresas, hasta la plena implantación de todas las medidas de seguridad que sean necesarias para cada uno de los ficheros.

Los plazos legalmente establecidos para la adecuación de las empresas a las obligaciones en materia de protección de datos personales ya se han cumplido. En base a ello, ante la posibilidad de que las empresas sean objeto de sanciones por incumplimiento de la Ley, creemos necesario recordar la importancia de que los ficheros informáticos se adapten en breve a la normativa existente sobre protección de datos.

José Enrique Azorín Merseguer
Socio de BDO Audiberia