0. Introducción: Brazil (o qué es y para qué sirve el derecho de protección de datos)

Casi todas las cosas que has hecho hoy han sido registradas y almacenadas de algún modo. Si paseas por el centro de cualquier ciudada, tu imagen será grabada por cámaras de seguridad. Si empleas el teléfono móvil, tu operadora guardará –entre otros datos– el número al que llamas, la duración de la llamada e incluso, si tu móvil soporta la localización por satélite, el lugar desde el que la has hecho. Algo parecido ocurre si has visitado una página web, has encargado una pizza a domicilio o has ido al dentista. Pasarán más días, meses y años, y la cantidad de información sobre ti que ha quedado en manos de otras personas, lejos de tu control, será enorme. Pero claro, si quisieras mantener bajo tu control directo toda tu información personal tendrías que echarte al monte: no podrías votar, alquilar una película en el video-club, pagar la compra con tarjeta de crédito, apuntarte al paro, comprarte un coche o una casa y, por supuesto, tampoco podrías seguir esta asignatura. Siempre que realizas estas actividades, estás comunicando ‘tus datos personales’. Y no quiero decir que comuniques sólo tus datos estables o fijos, que casi nunca cambian (nombre, DNI, IP, ADN...), sino que todo lo que haces a lo largo de tu vida constituye ‘información’ que puede ser registrada. Hay quien se preocupa por ello. Y no poco.

Mucha gente piensa que el derecho de protección de datos trata de evitar que alguien sepa cosas sobre uno, pero no es así exactamente. El derecho de protección de datos no sólo trata de evitar que otras personas puedan saber cosas (de hecho, esa no es su función principal), sino sobre todo de regular quién, cómo y bajo qué condiciones puede procesar (recopilar, reelaborar y usar) aquella información que puede vincularse contigo, así como conceder a los ciudadanos ciertas facultades de control sobre sus datos. Una persona es siempre el único dueño o titular de sus datos personales, y es lógico que, si la sociedad moderna nos obliga a comunicar nuestros datos constantemente, esta misma sociedad articule algunas condiciones o garantías para evitar que el uso indebido de nuestros datos pueda afectarnos negativamente.

Habrás oído a menudo que la coalición de las nuevas tecnologías con los mecanismos de identificación y vigilancia puede configurar una sociedad en la que quien tenga la posibilidad legal o fáctica de acceder a los datos personales puede conocer lo esencial de lo que cada persona hace o deja de hacer. Bien, esto es casi una perogrullada. Pero ¿para qué se utiliza esta información, este conocimiento de lo que hacen las personas? Piensa que el conocimiento es poder, y el poder ya no se ejerce por la amenaza de la fuerza física, sino de un modo más sutil: mediante la apariencia de normalidad que ofrece el control de información (cuanto más conozco de ti más poder tengo sobre ti, y mejor aún si tú no lo sabes).

La razón última de la existencia del derecho de protección de datos es que nadie (ni el Estado ni la empresas privadas) debería poder tomar decisiones sobre ti, o que te afecten significativamente, a partir de tus datos personales. Desde luego, esta razón tiene que conciliarse con otras y, como veremos, a veces no está tan claro a quién beneficia o perjudica la legislación de protección de datos. A las decisiones que afectan a una persona y que se toman a partir de sus datos personales contenidos en una base de datos las llamamos decisiones individuales automatizadas. Estas decisiones son el mayor problema ‘práctico’ de la protección de datos personales (hay muchos otros problemas teóricos, éticos y políticos involucrados, pero no nos ocuparemos de ellos). Por si no has visto películas como Brazil o Minority Report, te pondré un ejemplo.

Imagina que vas a negociar una hipoteca a un banco. Lo primero que hará el empleado del banco será comprobar tu historial financiero accediendo a una base de datos sobre solvencia patrimonial y crédito, que a veces incluye también un fichero de morosos (los juristas lo llamamos fichero de incumplimiento de las obligaciones dinerarias). Esto seguramente ya lo sabías. Ahora bien, ¿sabes por qué están tus datos en ese fichero, o quién y con qué legitimidad los ha introducido? Probablemente tampoco sepas que cuando el empleado del banco consulta tus datos en ese fichero, al lado de tu nombre le aparece el número de veces y que ha sido comprobado tu historial crediticio (y qué bancos lo han hecho). Esto quiere decir que no te las puedes dar de listo, porque ya saben cuándo y con qué otros bancos has intentado negociar tu hipoteca. Después de repasar tu ‘expediente’, el banco le pondrá una ‘nota’. La mayoría de las veces no será el empleado quien lo haga, sino un programa de puntuación para el crédito (credit scoring). Es decir, el propio ordenador te dirá si te conceden el préstamo o no. Siempre que esta decisión se toma exclusivamente a partir del resultado del programa, te han sometido a una decisión individual automatizada. Vamos, que una máquina acaba de decidir que no te puedes comprar una casa. De por sí, esto ya es un poco insultante, pero ¿y si el fichero de morosos contenía datos inexactos? ¿y si después de pagar todas tus deudas nadie canceló tus datos?

Esto era sólo un ejemplo (bastante real). Pero te propongo algunos otros especialmente preocupantes. Un día intentarás conectarte a un buscador de Internet, pero no podrás hacerlo porque sus dueños lo han programado para que omita las conexiones que provienen de aquellos navegantes que, como tú, no visitan los banners publicitarios que financian el buscador. ¿Y cómo saben que no prestas atención a los anuncios o que no compras nada? Sencillamente, han acumulado y cruzado tus datos de tráfico y navegación. Bueno, dirás, esto no es tan grave. Pero un día no te darán un trabajo porque de tus datos personales se deriva que eres de izquierdas; que eres testigo de Jehová, o de origen árabe; que fumas; que eres homosexual o porque estas en una lista negra (blacklist) de trabajadores polémicos... En fin, te puedes consolar pensando que algunos de tus conciudadanos lo tienen aún peor. Los datos personales y sobre la conducta de los reclusos están también almacenados en un fichero informático. Y en la práctica (aunque por suerte el Reglamento penitenciario dice que deben tenerse en cuenta otros criterios) los permisos de salida de los presos podrían terminar decidiéndolos un ordenador si los encargados de la vigilancia penitenciaria no cumplieran escrupulosamente con la legislación. Y sucesivamente así, como decía el poema de Benedetti, tú mismo puedes imaginarte un sinnúmero de escenarios similares. Todos ellos me recuerdan demasiado a Brazil o Minority Report, aunque mucho antes que Gillian y Spielberg ya nos habían avisado Orwell (1984), Bradbury (Fahrenheit 451), Zamiatin (Nosotros) o Huxley (Un mundo feliz).

A pesar de su nombre, nuestra legislación de protección de datos protege, por lo tanto, a las personas (y sólo indirectamente a ‘los datos’). Desde luego, el concepto de dato personal es uno de los más importantes. El artículo 3 de la Ley Orgánica de Protección de Datos define un dato personal como cualquier información concerniente a una persona física identificada o identificable. La amplitud del concepto básico de la protección de datos se debe justamente a que, con las técnicas de proceso y cotejo de información, no existe ningún dato irrelevante, por inocuo que sea su contenido informativo intrínseco. Informaciones existentes acerca de una persona en lugares distantes y que pueden resultar, por sí mismas, irrelevantes, pueden ofrecer, sin embargo, reunidas en un momento y en un lugar, un perfil completo de la misma y sin que ella siquiera pueda sospecharlo. Es decir, datos personales pueden ser tu fotografía, imágenes de tu casa, un conjunto de letras o de números, los sonidos de tu voz, tus datos de conexión y facturación telefónica, tus huellas, tu números de teléfono, tu información genética o física, tus historia clínica, tus gustos culinarios y, desde luego, tu dirección de correo electrónico y el número IP de tu conexión ADSL o de tu móvil. Para que algo entre en la categoría jurídica de dato personal, basta con que sea ‘alguna’ información que pueda relacionarse contigo.

Ya sabemos lo que es un dato personal, pero ¿quiénes son los personajes del drama de la protección de datos? Esencialmente me voy a referir a tres: el titular de los datos, a quien la ley llama interesado o afectado (ciudadano, cliente, paciente, trabajador...), es aquella persona a la que se refiere la información o el dato personal. El responsable del fichero es quien procesa datos personales del titular (administración, empresario, hospital, empleador...). El derecho de protección de datos sólo se aplica a aquellos que procesan datos personales en el ámbito profesional o institucional (no se aplica, por ejemplo, a quien crea para fines meramente particulares una base de datos en la que figura información sobre sus antiguos novios, o sobre los amigos que no le han devuelto libros o discos y por tanto son casi ex-amigos). A veces, el responsable del fichero no lo gestiona directamente, sino que encarga a otros para que lo hagan por su cuenta (por ejemplo, la gestoría que lleva las cuestiones laborales de una empresa, o la compañía de transportes que hace los repartos de una tienda virtual). A estas otras personas se las denomina encargados del tratamiento. Veremos en seguida el entramado de obligaciones y derechos que entrelazan a estos personajes, pero me gustaría hacer un breve comentario antes de seguir avanzando.

función de la protección de datos

decisión individual automatizada

pedir una hipoteca

más ejemplos

concepto de dato personal

interesado

responsable

encargado

1. Ambivalencia de la protección de datos en el comercio electrónico

Sobre una empresa electrónica gravitan múltiples obligaciones y requisitos legales, que afectan a aspectos tributarios, contables, laborales, o a la publicidad y a las relaciones con el consumidor... ¡Y ahora, para colmo, protección de datos! Estas lecciones tratan de explicarte con más detalle la importancia del derecho de protección de datos para el comercio electrónico. Es probable que, como futuro empresario, tengas ya una idea formada respecto del derecho de protección de datos. Por eso, ya desde ahora quiero advertirte contra dos prejuicios. En general, puede decirse que pululan dos ideas elementales, compatibles entre sí, acerca de la relación entre protección de datos y comercio electrónico. De una parte, suele considerarse que la legislación de protección de datos supone un obstáculo para el desarrollo tecnológico y comercial. De otra, se piensa que el derecho a la protección de datos es un simple derecho de los consumidores, y que por tanto pueden establecerse negociaciones sobre él. Creo que ambas ideas son muy conflictivas. Personalmente, hace algún tiempo que intento difundir las razones por las que deberíamos sustituir una concepción de la protección de datos como obstáculo comercial y como un simple asunto del consumidor, por una concepción de la protección de datos como ventaja competitiva en el mercado y como derecho fundamental del ciudadano. En otras palabras, me gustaría ofrecer una visión de la protección de datos como algo que puede ayudar a mejorar las expectativas de éxito del negocio electrónico y que, al mismo tiempo, constituye un elemento indispensable para que podamos vivir en la sociedad de la información sin que la tecnología afecte negativamente a nuestra dignidad como personas. Para que yo pueda explicarte esta visión, lo primero que debes conocer es una síntesis de cómo está estructurado el sistema de protección de datos en España (y en, general, en toda la Unión Europea).

2. El modelo europeo de protección de datos

Nos guste o no (que sí nos gusta), pertenecemos a una cultura que considera que la dignidad humana es superior a otros valores, también importantes, pero de rango inferior, como la eficiencia económica y la eficacia administrativa. En Europa y en España, para evitar que la imparable informatización de la sociedad afecte a nuestra dignidad, el derecho a la protección de datos se ha construido como un derecho fundamental de la persona. Esto es lo que dice el el artículo 8 de la Carta de Derechos Fundamentales de la Unión Europea:

Toda persona tiene derecho a la protección de los datos de carácter personal que la conciernan. Estos datos se tratarán de modo leal, para fines determinados y sobre la base del consentimiento de la persona afectada o en virtud de otro fundamento legítimo previsto por la ley. Toda persona tiene derecho a acceder a los datos recogidos que la conciernan y a su rectificación. El respeto de estas normas quedará sujeto al control de una autoridad independiente.

Esta categorización no es irrelevante: piensa que los derechos a la vida, la huelga, la libertad de expresión o la igualdad tienen tamben ese mismo rango. De ahí que la ley de protección de datos sea ‘orgánica’, y no ordinaria. En otros lugares del mundo (por ejemplo, en EE.UU. o en muchos países asiáticos), la protección de datos no tiene este rango fundamental y, por eso, lo que ellos llaman el derecho a la privacidad se subordina muchas veces a la libertad de transmitir información, a la libre empresa o a las facultades de vigilancia de la administración. Desde luego, que un derecho sea considerado fundamental no quiere decir que sea un derecho absoluto (no hay ningún derecho absoluto), pero tiene consecuencias muy importantes. Por ejemplo, cualquier ley sobre la materia debe respetar lo que los juristas llamamos el contenido esencial del derecho (así lo explica el Tribunal Constitucional); y, en caso de que surjan dudas en la interpretación de las normas que regulan la materia, se debe optar siempre por la interpretación menos restrictiva. Esto tiene su gracia, porque nuestra legislación, como veremos, deja abiertos muchos casos dudosos.

En mayor o menos grado, el derecho de protección de datos afecta a todos los ámbitos de la vida en que se manipule información personal, o sea, a prácticamente todos. Tiene pues un enfoque comprehensivo (porque el concepto de dato personal comprende cualquier información concerniente a la persona) y dinámico, porque regula cualquier operación de tratamiento de datos personales (recopilación, utilización, transmisión, revelación, conservación, cancelación). Las normas básicas de protección de datos están en la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal (en adelante, LOPD), que se aplica en principio a todos los tratamientos de datos personales (tanto en el sector público como en el privado). Además de esto, se han diseñado normas específicas de protección de datos que regulan determinados sectores (por ejemplo, los datos médicos y las telecomunicaciones).

Al igual que la Directiva europea en la que se inspira, la LOPD establece ciertos principios (o condiciones de licitud) que deben guiar el tratamiento de los datos, atribuye derechos concretos a los ciudadanos sobre sus datos personales, y regula los procedimientos para hacerlos valer (procedimientos de tutela) y las sanciones que pueden imponerse en caso de infracción. Cuidado: ¿sanciones?

Sí, sanciones. En el centro del sistema de protección de datos existe un órgano administrativo independiente, la Agencia de Protección de Datos (te recomiendo que visites su sitio web), encargada de velar por el cumplimiento de la legislación de protección de datos (y de imponer las sanciones). Una de las tareas destacadas de esta autoridad de control es la de mantener un registro público actualizado que permita acceder a los nombres de todos los responsables del tratamiento, y las características del mismo (por eso, todos los responsables del tratamiento han de notificar a las autoridades de control si están tratando datos personales). En esta lección volveremos sobre este tema en la parte 2, § 7. Durante sus casi diez años de vida, la Agencia de Protección de Datos (para abreviar, APD) ha impuesto sanciones por valor de mas de diez millones de euros. En 2003 se tramitaron casi 200 procedimientos sancionadores contra responsables de ficheros que supusieron sanciones por valor de más de un cuatro millones de euros. A lo mejor no te parece mucho dinero, pero el día en que la Agencia pueda pagar a 50 inspectores (ahora tiene 12), o se financie por un porcentaje de las sanciones impuestas (hoy todavía se financia con cargo a presupuestos del Estado), la caja será sin duda más cuantiosa.

Aunque nuestro sistema está basado en la regulación legal, existe también la posibilidad de que las instituciones públicas y, sobre todo, las privadas, se provean de normas propias (es decir, se autorregulen) sobre el tratamiento de los datos personales. Esta autorregulación social no es libre, sino que sólo puede servir para mejorar o especificar los contenidos generales de la ley a un sector concreto de actividad (a diferencia de lo que pasa en Estados Unidos, donde la autorregulación apenas tiene limitaciones). Por así decir, en nuestro sistema, la legislación define un marco de derecho obligatorio y mínimo dentro del cual, por ejemplo, una asociación de empresas dedicadas al comercio electrónico establece un conjunto de normas propias de protección de datos, esto es, crea un código de conducta o código tipo. Si quieres, puedes echar un vistazo al de la Asociación española de comercio electrónico: @ece (nota: se refiere a la LORTAD, que era la anterior ley de protección de datos).

El juego de todos estos elementos (derecho fundamental, autoridad de control, legislación y autorregulación) permite que la información sobre las personas pueda ser registrada y utilizada de forma que las nuevas tecnologías no amenacen su dignidad. Es decir, no se trata de impedir el tratamiento de datos personales, sino de fijar legalmente ciertas condiciones para ese tratamiento. La principal de estas condiciones se refiere a la posibilidad misma de recabar datos personales sobre alguien. Los datos sobre una persona sólo pueden tratarse en dos casos: cuando ésta ha consentido en ello o cuando exista una autorización legal para tratar la información personal sin el consentimiento de su titular. Por ahora, dejaremos de lado el caso de la autorización legal y nos centraremos en el consentimiento.

5. Los derechos del ciudadano

Como he dicho, la función de la protección de datos es que todo ciudadano pueda saber quién dispone de sus datos personales, así como controlar su utilización. Para que esto sea posible nuestro sistema confiere a los ciudadanos ciertas facultades de control sobre sus datos, que se concretan en los siguientes derechos:

Derecho de acceso

Consiste en la facultad de recabar información de sus datos de carácter personal sometidos a tratamiento, el origen de los mismos y las cesiones o comunicaciones realizadas o que se prevean realizar. Este derecho tiene la función de que puedas conocer qué información sobre ti tiene una empresa o institución (mejor dicho, conocer toda la información que sobre ti tengan, incluidos los perfiles o reelaboraciones de la misma, y si no tienen ningún dato tuyo, han de contestarte también diciéndotelo).

¿Cómo ejercitar este derecho? Basta con que envíes una carta firmada (mejor si es certificada) al responsable del fichero, junto con una fotocopia del DNI y tus datos para que puedan contestarte. Si todo va bien, el responsable del fichero resolverá la petición de acceso en el plazo máximo de un mes a contar desde la recepción de la solicitud. El responsable del fichero deberá contestar la solicitud que se le dirija, con independencia de que figuren o no datos personales del afectado en sus ficheros. En el caso de que tu solicitud no reúna los requisitos necesarios (falta la fotocopia del DNI), el responsable del fichero te pedirá que subsanes el defecto. Si la contestación al derecho de acceso fuera estimatoria (tienen tus datos), el acceso se hará efectivo en el plazo de diez días (es decir, te informarán de qué datos tienen sobre ti). La información comprenderá los datos de base del afectado (los que rellenaste en el impreso) y los resultantes de cualquier elaboración o proceso de los mismos (un perfil, por ejemplo), así como el origen de los datos, las comunicaciones realizadas o que se prevean realizar y la especificación de los concretos usos y finalidades para los que se almacenaron los datos. En el caso de que los datos provengan de fuentes diversas, deberán especificarse las mismas e identificar la información que proviene de cada una de ellas.

¿Se puede alguien negar a este derecho? En el caso de los ficheros del sector privado sólo podrá denegarse el acceso cuando la solicitud sea llevada a cabo por persona distinta del afectado. En el caso de los ficheros de titularidad pública se podrá denegar en ciertos supuestos relacionados con la defensa del Estado, la seguridad pública, la protección de derechos y libertades de terceros, las necesidades de las investigaciones que se estén realizando por parte de los Cuerpos y Fuerzas de Seguridad o la hacienda pública (cuando se obstaculicen actuaciones administrativas para asegurar el cumplimiento de las obligaciones tributarias, o cuando el afectado esté siendo objeto de actuaciones inspectoras)

Derechos de rectificación y cancelación

Como hemos visto, el responsable del fichero tiene la obligación de mantener la exactitud de los datos. ¿Y si no lo hace? Para este caso, los derechos de rectificación y cancelación aseguran la facultad o capacidad del afectado por la que puede instar al responsable del fichero a cumplir con la obligación de mantener la exactitud de los datos, rectificando o cancelando los datos de carácter personal cuando resulten incompletos o inexactos, o bien sean inadecuados o excesivos, en su caso, o cuyo tratamiento no se ajuste a la Ley. Cuando los datos rectificados o cancelados hubieran sido cedidos previamente, el responsable del fichero deberá notificar la rectificación y cancelación efectuada al cesionario. No obstante, los datos de carácter personal deberán ser conservados durante los plazos previstos en las disposiciones aplicables o, en su caso, en las relaciones contractuales entre la persona o entidad responsable del tratamiento y el interesado.

Para ejercitar estos derechos, deberás hacer lo mismo que al ejercitar tu derecho de acceso, con una salvedad obvia: en la solicitud deben constar los datos que hay que cancelar o rectificar y el fichero o ficheros en que se encuentran. La solicitud de rectificación deberá indicar el dato que es erróneo y la corrección que debe realizarse. En algún caso, deberás acompañar la documentación que justifica la rectificación solicitada (por ejemplo, si tu nombre está mal escrito, basta con indicar que lo miren en la fotocopia del DNI). En cuanto a la solicitud de cancelación, deberás indicar que revocas el consentimiento otorgado para el tratamiento de tus datos (vaya, que los borren). En general, para que puedas revocar este consentimiento, la ley exige que haya justa causa. Nadie sabe todavía lo que es ‘justa causa’, así que habría que examinar caso por caso. Hay dos excepciones a esto: la revocación de tu consentimiento es libre, o sea, que puedes exigir que se cancelen tus datos, cuando figuren en un fichero usado para la publicidad comercial (en seguida te explico mejor el derecho de oposición); y también puedes revocar siempre el consentimiento que diste para que tus datos fueran cedidos a terceras personas (si lo has dado alguna vez para este fin, te aconsejo que lo revoques).

¿Qué debe hacer el responsable del fichero? La rectificación y/o cancelación se harán efectivas por el responsable del fichero dentro de los diez días siguientes al de la recepción de la solicitud. El responsable del fichero deberá contestar la solicitud que se le dirija y utilizar para ello cualquier medio que permita acreditar el envío y la recepción. Si los datos rectificados o cancelados hubieran sido cedidos previamente, el responsable del fichero deberá notificar la rectificación o cancelación efectuada al cesionario. Si el titular considera que no procede acceder a lo solicitado se lo comunicará motivadamente en el plazo de diez días. La cancelación dará lugar al bloqueo de los datos, que se conservarán únicamente a disposición de las Administraciones Públicas, Jueces y Tribunales, para la atención de las posibles responsabilidades nacidas del tratamiento. Cumplido el citado plazo deberá procederse a la supresión. Si el responsable del fichero incumple algunas de estas obligaciones, el afectado podrá interponer la oportuna reclamación o denuncia ante la Agencia de Protección de Datos. No voy a repetir las excepciones (¿cuándo se pueden negar a rectificar o cancelar tus datos?), porque prácticamente son las mismas que las del derecho de acceso.

Derecho de oposición

En los casos en que no sea necesario el consentimiento del afectado para el tratamiento de los datos, por ejemplo, porque se obtienen de fuentes accesibles al público, puedes oponerte a su tratamiento. En tal supuesto, el responsable del fichero excluirá del tratamiento los datos que te conciernen. El mejor ejemplo de este derecho de oposición es el de las llamadas ‘listas Robinson’. Gracias a estas listas puedes oponerte a que tus datos personales sean recopilados de fuentes de acceso publico para remitirte publicidad. Puedes usar el servicio de listas Robinson de la FECEMD. Los interesados tendrán derecho a oponerse, previa petición y sin gastos, al tratamiento de los datos que les conciernan, en cuyo caso serán dados de baja del tratamiento y se cancelarán las informaciones que sobre ellos figuren en aquél, a su simple solicitud. Hay otras posibilidades de ejercitar este derecho: tal vez la más conocida sea decirle a Telefónica que no incluya tus datos en la guía. Si no lo has hecho ya, puedes hacerlo enviándoles esta solicitud (aunque pronto no hará falta)

Derecho de impugnación

¿Y las decisiones individuales automatizadas? ¿No habíamos quedado en que eran la peor pesadilla de la protección de datos? Para oponerte a esas decisiones la ley te otorga el llamado derecho de impugnación: puedes impugnar todos los actos administrativos o decisiones privadas que impliquen una valoración de su comportamiento y cuyo único fundamento sea un tratamiento de datos de carácter personal que ofrezca una definición de sus características o personalidad. Este derecho no lo ejercita casi nadie. No me extraña: como la ley dice que son impugnables las decisiones ‘cuyo único fundamento’ sean los datos contenidos en el sistema informático, para escapar a la impugnación basta con emplear (o decir que se emplea) alguna otra información o criterio.

Tutela de los derechos

Las actuaciones contrarias a la ley pueden ser objeto de reclamación o denuncia ante la Agencia de Protección de Datos. El llamado procedimiento de tutela de derechos (art. 18 LOPD) garantiza el ejercicio efectivo de los derechos de acceso, rectificación, cancelación y oposición. El procedimiento puede iniciarse presentando este escrito de denuncia. Además, recuerda que los responsables de los ficheros están sujetos al régimen sancionador establecido en la LOPD (art. 48). Existe una serie de comportamientos que se califican como infracciones leves, graves y muy graves. El procedimiento sancionador se inicia siempre de oficio mediante acuerdo del Director de la Agencia de Protección de datos, bien por denuncia de un afectado o por propia iniciativa. Si el ciudadano sufre algún perjuicio derivado del incumplimiento de la LOPD, tiene un derecho de indemnización que puede hacer valer ante los tribunales o la administración (art. 19 LOPD)

Atención: relaciona este apartado con la Parte II § 7

Derecho de acceso

¿Cómo se ejercita?

Excepciones

Derechos de rectificación y cancelación

Revocacion del consentimiento

Derecho de oposición

Listas Robinson

Exclusión de la guía telefónica

Derecho de impugnación

Tutela de los derechos

6. Los datos sensibles

No todos los datos personales son igual de importantes. Bajo la rúbrica ‘datos especialmente protegidos’ se refiere la LOPD a los datos usualmente llamados sensibles. Estos datos tienen un gran valor informativo específico (con independencia del contexto en el que se procesen), es decir, revelan información que consideramos importante, sobre todo porque su mala utilización puede acarrear efectos muy perjudiciales para la persona a la que se refiere.

Que un dato esté especialmente protegido tiene consecuencias, en general, en dos planos: el consentimiento y las medidas de seguridad. Y basta con que aparezca un solo dato especialmente protegido en un fichero para que éste deba tratarse con especial cuidado. Los datos especialmente protegidos se dividen, a su vez, en tres grupos.

Protección máxima

El artículo 16 de la Constitución garantiza el derecho fundamental a no declarar sobre la ideología, religión y creencias. En conexión con este artículo, la protección máxima se refleja en la necesidad de consentimiento expreso y por escrito para el tratamiento de datos que revelen ideología, afiliación sindical, religión y creencias. Se excepciona lógicamente el caso de los ficheros de partidos políticos, sindicatos o iglesias (art. 7.2 LOPD).

Protección especial (media)

Los datos que hagan referencia al origen racial, a la salud o a la vida sexual sólo podrán ser recabados, tratados o cedidos cuando lo disponga una ley (por razón de interés general) o el afectado consienta expresamente (art. 7.3 LOPD). Como te he dicho este consentimiento expreso puede ser oral. Al tratamiento de datos médicos y de salud, además de las normas de la LOPD, se le aplican determinadas reglas adicionales para agregarle un mayor grado de exigencia a la ley.

Como veremos más tarde (Parte 2, § 8) los ficheros que contengan este tipo de datos (de protección media y máxima) necesitan medidas de seguridad de nivel alto. No pienses que sólo en los hospitales o en las compañías de seguros tienen datos especialmente protegidos: si un día se te ocurre poner una sex-shop virtual, o una web con información médica, procesarás necesariamente datos sexuales o de salud.

Datos relativos a la comisión de infracciones penales o administrativas

Hay gente que ha estado en la cárcel, o que le han multado por poseer una pequeña dosis de cannabis. También las condenas de los jueces y las sanciones administrativas se almacenan. Pero sólo las administraciones públicas competentes pueden manejar esta información (art. 7.5. LOPD). Por eso no pueden publicarse en España listas de procesados por malos tratos, de policías acusados de torturas, de médicos negligentes, de pederastas...