XXXI Conferencia Internacional de Protección de Datos y Privacidad.
Resolución de Madrid
Presentación
Es para mí un placer presentar la Propuesta Conjunta para la Redacción de Estándares Internacionales para la protección de la Privacidad, en relación con el Tratamiento de Datos de carácter personal, acogida favorablemente por la 31 Conferencia Internacional de Autoridades de Protección de Datos y Privacidad celebrada el 5 de noviembre de 2009 en Madrid.
La labor conjunta de los garantes de la privacidad de casi cincuenta países, bajo coordinación de la Agencia Española de Protección de Datos, ha desembocado en un texto que trata de plasmar los múltiples enfoques que admite la protección de este derecho, integrando legislaciones de los cinco continentes. Su carácter consensuado aporta dos valores añadidos esencialmente novedosos: de un lado, enfatiza la vocación universal de los principios y garantías que configuran este derecho; del otro, reafirma la factibilidad de avanzar hacia un documento internacionalmente vinculante, que contribuya a una mayor protección de los derechos y libertades individuales en un mundo globalizado, y por ello, caracterizado por las transferencias internacionales de información.
Desde este momento, las autoridades de supervisión y control de la privacidad asumimos la exigente tarea de difusión y promoción desde nuestro firme compromiso de garantizar a nuestros ciudadanos una mejor protección de la privacidad y de los datos de carácter personal.
ARTEMI RALLO LOMBARTE
DIRECTOR DE LA AGENCIA
ESPAÑOLA DE PROTECCIÓN DE DATOS
Propuesta Conjunta para la Redacción de Estándares Internacionales para la Protección de la Privacidad en relación con el tratamiento de Datos de Carácter Personal
Parte I: Disposiciones Generales
1. Objeto
El objeto del presente Documento es:
a. Definir un conjunto de principios y derechos que garanticen la efectiva y uniforme protección de la privacidad a nivel internacional, en relación con el tratamiento de datos de carácter personal; y
b. Facilitar los flujos internacionales de datos de carácter personal, necesarios en un mundo globalizado.
2. Definiciones
En el contexto del presente Documento, se entenderá por:
a. “Dato de carácter personal”: cualquier información concerniente a una persona física identificada o que pueda ser identificada a través de medios que puedan ser razonablemente utilizados.
b. “Tratamiento”: cualquier operación o conjunto de operaciones, sean o no automatizadas, que se aplique a datos de carácter personal, en especial su recogida, conservación, utilización, revelación o supresión.
c. “Interesado”: persona física cuyos datos de carácter personal sean objeto de tratamiento.
d. “Persona responsable”: persona física o jurídica, de naturaleza pública o privada que, sola o
en compañía de otros, decida sobre el tratamiento.
e. “Prestador de servicios de tratamiento”: persona física o jurídica, distinta de la persona responsable, que lleve a cabo un tratamiento de datos de carácter personal por cuenta de dicha persona responsable.
3 . Medidas adicionales
1. Los Estados podrán completar el nivel de protección definido en el presente Documento con otras medidas adicionales que garanticen una mejor protección de la privacidad en relación con el tratamiento de datos de carácter personal.
2. Las disposiciones del presente Documento constituirán base apropiada para permitir las transferencias internacionales de datos de carácter personal, cuando éstas se realicen según lo indicado en el apartado 15 del presente Documento.
4. Ámbito de aplicación
1. El presente Documento está dirigido a su aplicación a todo tratamiento de datos de carácter personal, total o parcialmente automatizado, o realizado de forma estructurada en caso contrario, llevado a cabo tanto por el sector público como por el privado.
2. La legislación nacional aplicable podrá establecer que las disposiciones del presente Documento no sean de aplicación al tratamiento de datos de carácter personal realizado por una persona física en el ejercicio de actividades relacionadas exclusivamente con su vida privada y familiar.
5. Excepciones
Los Estados podrán limitar el alcance de las disposiciones recogidas en los apartados 7 a 10 y 16 a 18 del presente Documento cuando sea necesario, en una sociedad democrática, para preservar la seguridad nacional, la seguridad pública, la protección de la salud pública, o la protección de los derechos y las libertades de los demás. Tales limitaciones deberán estar expresamente previstas por el derecho interno, de tal modo que se establezcan sus límites y se prevean las garantías adecuadas para preservar los derechos de los interesados.
Parte II: Principios básicos
6. Principio de lealtad y legalidad
1. Los tratamientos de datos de carácter personal se deberán realizar de manera leal, respetando
la legislación nacional aplicable y los derechos y libertades de las personas, de conformidad con lo previsto en el presente Documento y con los fines y principios de la Declaración Universal de Derechos Humanos y del Pacto Internacional de Derechos Civiles y Políticos.
2. En particular, se considerarán desleales aquellos tratamientos de datos de carácter personal
que den lugar a una discriminación injusta o arbitraria contra los interesados.
7. Principio de lealtad y legalidad
1. El tratamiento de datos de carácter personal deberá limitarse al cumplimiento de las finalidades determinadas, explícitas y legítimas de la persona responsable.
2. La persona responsable se abstendrá de llevar a cabo tratamientos no compatibles con las finalidades para las que hubiese recabado los datos de carácter personal, a menos que cuente con el consentimiento inequívoco del interesado.
8. Principio de proporcionalidad
1. El tratamiento de datos de carácter personal deberá circunscribirse a aquellos que resulten adecuados, relevantes y no excesivos en relación con las finalidades previstas en el apartado anterior.
2. En particular, la persona responsable deberá realizar esfuerzos razonables para limitar los datos de carácter personal tratados al mínimo necesario.
9. Principio de calidad
1. La persona responsable deberá asegurar en todo momento que los datos de carácter personal sean exactos, así como que se mantengan tan completos y actualizados como sea necesario para el cumplimiento de las finalidades para las que sean tratados.
2. La persona responsable deberá limitar el periodo de conservación de los datos de carácter personal tratados al mínimo necesario. De este modo, cuando los datos de carácter personal hayan dejado de ser necesarios para el cumplimiento de las finalidades que legitimaron su tratamiento deberán ser cancelados o convertidos en anónimos.
10. Principio de Transparencia
1. Toda persona responsable deberá contar con políticas transparentes en lo que a los tratamientos de datos de carácter personal que realice se refiere.
2. La persona responsable deberá facilitar a los interesados, al menos, información acerca de su identidad, de la finalidad para la que pretende realizar el tratamiento, de los destinatarios a los que prevé ceder los datos de carácter personal y del modo en que los interesados podrán ejercer los derechos previstos en el presente Documento, así como cualquier otra información necesaria para garantizar el tratamiento leal de dichos datos de carácter personal.
3. Cuando los datos de carácter personal hayan sido obtenidos directamente del interesado, la información deberá ser facilitada en el momento de la recogida, salvo que se hubiera facilitado con anterioridad a la persona responsable.
4. Cuando los datos de carácter personal no hayan sido obtenidos directamente del interesado, la información deberá ser facilitada en un plazo prudencial de tiempo, si bien podrá sustituirse por medidas alternativas cuando su cumplimiento resulte imposible o exija un esfuerzo desproporcionado a la persona responsable.
5. Cualquier información que se proporcione al interesado deberá facilitarse de forma inteligible, empleando para ello un lenguaje claro y sencillo, y ello en especial en aquellos tratamientos dirigidos específicamente a menores de edad.
6. Cuando los datos de carácter personal sean recogidos en línea a través de redes de comunicaciones electrónicas, las obligaciones establecidas en el presente apartado podrán satisfacerse mediante la publicación de políticas de privacidad fácilmente accesibles e identificables, que incluyan todos los extremos anteriormente previstos.
11. Principio de Responsabilidad
La persona responsable deberá:
a. adoptar las medidas necesarias para cumplir con los principios y obligaciones establecidos en el presente Documento y en la legislación nacional aplicable, y
b. dotarse de aquellos mecanismos necesarios para evidenciar dicho cumplimiento, tanto ante los interesados como ante las autoridades de supervisión en el ejercicio de sus competencias, conforme a lo establecido en el apartado 23.
Parte III: Legitimación para el tratamiento
12. Principio general de legitimación
1. Como regla general, los datos de carácter personal sólo podrán ser tratados cuando concurra
alguno de los siguientes supuestos:
a. Previa obtención del consentimiento libre, inequívoco e informado del interesado.
b. Cuando un interés legítimo de la persona responsable justifique el tratamiento, siempre y cuando no prevalezcan los intereses legítimos, derechos o libertades de los interesados;
c. Cuando el tratamiento sea preciso para el mantenimiento o cumplimiento de una relación jurídica entre la persona responsable y el interesado;
d. Cuando el tratamiento sea necesario para el cumplimiento de una obligación impuesta sobre la persona responsable por la legislación nacional aplicable, o sea llevado a cabo por una Administración Pública que así lo precise para el legítimo ejercicio de sus competencias;
e. Cuando concurran situaciones excepcionales que pongan en peligro la vida, la salud o la seguridad del interesado o de otra persona.
2. La persona responsable deberá habilitar procedimientos sencillos, ágiles y eficaces que permitan a los interesados revocar su consentimiento en cualquier momento, y que no impliquen demoras o costes indebidos, ni ingreso alguno para la persona responsable.
13 . Datos sensibles
1. Serán considerados sensibles aquellos datos de carácter personal:
a. Que afecten a la esfera más íntima del interesado; o
b. Cuya utilización indebida pueda:
i. Dar origen a una discriminación ilegal o arbitraria, o
ii Conllevar un riesgo grave para el interesado.
2. En particular, serán considerados sensibles aquellos datos de carácter personal que puedan revelar aspectos como el origen racial o étnico, las opiniones políticas o las convicciones religiosas o filosóficas; así como los datos relativos a la salud o a la sexualidad. La legislación nacional aplicable podrá establecer otras categorías de datos sensibles en caso de que concurran las circunstancias a las que se refiere el párrafo anterior.
3. La legislación nacional aplicable deberá establecer las garantías necesarias para preservar los derechos de los interesados, que deberán fijar condiciones adicionales para el tratamiento de datos de carácter personal considerados sensibles.
14 . Prestación de servicios de tratamiento
La persona responsable podrá realizar tratamientos de datos de carácter personal a través de uno
o varios prestadores de servicios de tratamiento, debiendo para ello:
a. Velar por que cada prestador de servicios de tratamiento garantice, al menos, el nivel de protección previsto en el presente Documento y en la legislación nacional aplicable; y
b. Articular la relación jurídica a través de un contrato u otro instrumento jurídico que permita acreditar su existencia, alcance y contenido, y que establezca el compromiso del prestador de servicios de tratamiento de cumplir con estas garantías y de asegurar que los datos de carácter personal sean tratados siguiendo las instrucciones de la persona responsable.
15. Transferencias Internacionales
1. Como regla general, podrán realizarse transferencias internacionales de datos de carácter personal cuando el Estado al que se transfieran dichos datos ofrezca, cuando menos, el nivel de protección previsto en el presente Documento.
2. Será posible realizar transferencias internacionales de datos de carácter personal a Estados que no ofrezcan el nivel de protección previsto en el presente Documento, cuando quien pretenda transferir dichos datos garantice que el destinatario ofrecerá dicho nivel de protección; dicha garantía podrá derivarse, por ejemplo, de cláusulas contractuales apropiadas. En particular, cuando la transferencia se lleve a cabo en el seno de organizaciones o de grupos multinacionales, dicha garantía podrán consistir en la existencia de normas internas de privacidad cuya observancia resulte vinculante.
3. Asimismo, cuando sea necesario en el marco de una relación contractual en beneficio del interesado, o para proteger un interés vital del interesado o de otra persona, o para el cumplimiento de una obligación legal para la salvaguarda de un importante interés público, la legislación nacional aplicable a quien pretenda transferir datos de carácter personal podrá permitir la transferencia internacional de datos de carácter personal a Estados que no ofrezcan el nivel de protección previsto en el presente Documento.
4. La legislación nacional aplicable podrá atribuir a las autoridades de supervisión previstas en el apartado 23 la facultad de autorizar, con carácter previo a su realización, todas o algunas de las transferencias internacionales de datos de carácter personal originadas en su jurisdicción. En todo caso, quien pretenda realizar una transferencia internacional de datos de carácter personal deberá poder acreditar que la transferencia cumple las garantías establecidas en el presente Documento, y en particular cuando así le fuera requerido por las autoridades de supervisión en cumplimiento de las facultades previstas en el apartado 23.2.
Parte IV: Derechos del interesado
16. Derecho de Acceso
1. El interesado tendrá derecho a recabar de la persona responsable, cuando así lo solicite, información relativa a los concretos datos de carácter personal objeto de tratamiento, así como al origen de dichos datos, a las finalidades de los correspondientes tratamientos y a los destinatarios o las categorías de destinatarios a quienes se comuniquen o pretendan comunicar dichos datos.
2. Cualquier información que se proporcione al interesado deberá facilitarse de forma inteligible, empleando para ello un lenguaje claro y sencillo.
3. La legislación nacional aplicable podrá limitar el ejercicio reiterado de estos derechos, que obligaría a la persona responsable a responder múltiples solicitudes en intervalos cortos de tiempo, excepto en aquellos casos en los que el interesado haga constar en su solicitud un interés legítimo.
17. Derecho de Rectificación y cancelación
1. El interesado tendrá derecho a solicitar a la persona responsable la rectificación o cancelación de los datos de carácter personal que pudieran resultar incompletos, inexactos, innecesarios o excesivos.
2. Cuando proceda, la persona responsable rectificará o cancelará los datos de carácter personal conforme a lo solicitado. Deberá, además, notificar este extremo a los terceros a quienes se hayan comunicado los datos de carácter personal, siempre que los mismos fueran conocidos.
3. La cancelación no procederá cuando los datos de carácter personal deban ser conservados para el cumplimiento de una obligación impuesta sobre la persona responsable por la legislación
nacional aplicable o, en su caso, por las relaciones contractuales entre la persona responsable y el interesado.
18 . Derecho de oposición
1. El interesado podrá oponerse al tratamiento de sus datos de carácter personal cuando concurra una razón legítima derivada de su concreta situación personal.
2. No procederá el ejercicio de este derecho de oposición en aquellos casos en los que el tratamiento sea necesario para el cumplimiento de una obligación impuesta sobre la persona responsable por la legislación nacional aplicable.
3. Cualquier interesado podrá oponerse, igualmente, a aquellas decisiones que conlleven efectos jurídicos basadas únicamente en un tratamiento automatizado de datos de carácter personal, excepto cuando la decisión hubiese sido expresamente solicitada por el interesado o sea precisa para el establecimiento, mantenimiento o cumplimiento de una relación jurídica entre la persona responsable y el propio interesado. En este último caso, el interesado debe tener la posibilidad de hacer valer su punto de vista, a fin de defender su derecho o interés.
18. Ejercicio de estos derechos
1. Los derechos previstos en los apartados 16 a 18 del presente Documento podrán ser ejercidos:
a. Directamente por el interesado, que deberá acreditar adecuadamente su identidad ante la persona responsable.
b. Por medio de representante, que deberá acreditar adecuadamente tal condición ante la persona
responsable.
2. La persona responsable deberá implementar procedimientos que permitan a los interesados ejercer los derechos previstos en los apartados 16 a 18 del presente documento de forma sencilla, ágil y eficaz, y que no conlleven demoras o costes indebidos, ni ingreso alguno para la persona responsable.
3. Cuando la persona responsable aprecie que, de acuerdo con la legislación nacional aplicable, no procede el ejercicio de los derechos previstos en la presente Parte, informará cumplidamente al interesado de los motivos que concurran en su apreciación.
Parte V: Seguridad
20. Derecho de oposición
1. Tanto la persona responsable como los prestadores de servicios de tratamiento deberán proteger los datos de carácter personal que sometan a tratamiento mediante aquellas medidas técnicas y organizativas que resulten idóneas en cada momento para garantizar su integridad, confidencialidad y disponibilidad. Tales medidas dependerán del riesgo existente, de sus posibles consecuencias para los interesados, del carácter especialmente sensible de los datos de carácter personal, del estado de la técnica y del contexto en el que se efectúe el tratamiento, así como de las obligaciones establecidas en la legislación nacional aplicable.
2. Los interesados deberán ser informados por parte de quienes intervengan en cualquier fase del tratamiento de cualquier infracción de seguridad que pudiese afectar de forma significativa a sus derechos patrimoniales o extrapatrimoniales, así como de las medidas adoptadas para su resolución.
Esta información deberá ser facilitada con antelación suficiente, para permitir la reacción de los interesados en defensa de sus derechos.
21. Deber de confidencialidad
La persona responsable y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal deberán respetar la confidencialidad de los mismos, obligación que subsistirá aun después de finalizar sus relaciones con el interesado o, en su caso, con la persona responsable.
Parte VI: Cumplimiento y Supervisión
22. Medidas proactivas
Los Estados incentivarán, a través de su derecho interno, el establecimiento por quienes intervengan en cualquier fase del tratamiento de medidas que promuevan el mejor cumplimiento de la legislación que resulte aplicable en materia de protección de datos. Entre dichas medidas podrán encontrarse, entre otras:
a. El establecimiento de procedimientos destinados a prevenir y detectar infracciones, que podrán basarse en modelos estandarizados de gobierno y/o gestión de la seguridad de la información.
b. La designación, de uno o varios oficiales de privacidad o de protección de datos, con cualificación, recursos y competencias suficientes para ejercer adecuadamente sus funciones de
supervisión.
c. La realización periódica de programas de concienciación, educación y formación entre los miembros de la organización destinados al mejor conocimiento de la legislación que resulte aplicable en materia de protección de la privacidad en relación con el tratamiento de datos de carácter personal, así como de los procedimientos establecidos por la organización a tal efecto.
d. La realización periódica de auditorías transparentes por parte de sujetos cualificados y preferentemente independientes, que verifiquen el cumplimiento de la legislación que resulte aplicable en materia de protección de la privacidad en relación con el tratamiento de datos de carácter personal, así como de los procedimientos establecidos por la organización a tal efecto.
e. La adaptación de aquellos sistemas y/o tecnologías de información destinados al tratamiento de datos de carácter personal a la legislación que resulte aplicable en materia de protección de la privacidad en relación con el tratamiento de datos de carácter personal, en particular al decidir acerca de sus especificaciones técnicas y en su desarrollo e implementación.
f. La puesta en práctica de estudios de impacto sobre la privacidad previos a la implementación de nuevos sistemas y/o tecnologías de información destinados al tratamiento de datos de carácter personal, así como a la puesta en práctica de nuevas modalidades de tratamiento de datos de carácter personal o a la realización de modificaciones sustanciales en tratamientos ya existentes.
g. La adhesión a acuerdos de autorregulación cuya observancia resulte vinculante, que contengan elementos que permitan medir sus niveles de eficacia en cuanto al cumplimiento y grado de protección de los datos de carácter personal, y establezcan medidas efectivas en caso de incumplimiento.
h. La implementación de planes de contingencias que establezca unas pautas de actuación en caso de que se verifique un incumplimiento de la legislación que resulte aplicable en materia de protección de la privacidad en relación con el tratamiento de datos de carácter personal, y que incluya al menos la obligación de determinar la causa y alcance de la vulneración que se haya producido, de describir sus efectos negativos y de adoptar las medidas necesarias para evitar que se reproduzca en el futuro.
23. Supervisión
1. En cada Estado existirán una o más o autoridades de supervisión que, de acuerdo con su derecho interno, serán responsables de supervisar la observancia de los principios establecidos en el presente Documento.
2. Dichas autoridades de supervisión deberán ser imparciales e independientes, y contarán con la cualificación técnica, las competencias suficientes y los recursos adecuados para conocer de las reclamaciones que le sean dirigidas por los interesados, y para realizar las investigaciones e intervenciones que resulten necesarias para garantizar el cumplimiento de la legislación nacional aplicable en materia de protección de la privacidad en relación con el tratamiento de datos de carácter personal.
3. En todo caso, y sin perjuicio de los recursos administrativos ante las citadas autoridades de supervisión, incluyendo el control jurisdiccional de sus decisiones, el interesado podrá acudir directamente a la vía jurisdiccional para hacer valer sus derechos conforme a las previsiones establecidas en la legislación nacional aplicable.
24. Cooperación y coordinación
1. Las autoridades de supervisión previstas en el apartado anterior procurarán cooperar entre sí en aras a una más uniforme protección de la privacidad en relación con el tratamiento de datos de carácter personal, tanto a nivel nacional como internacional. A los efectos de facilitar esta cooperación, los Estados deberán estar en disposición en todo momento de identificar las autoridades de supervisión competentes en su territorio.
2. Dichas autoridades realizarán, particularmente, los mayores esfuerzos para:
a. Compartir estudios, técnicas de investigación, estrategias comunicativas y de regulación y demás información que resulte de utilidad para el más eficaz ejercicio de sus funciones, en especial tras recibir una petición de apoyo por parte de otra autoridad de supervisión en el marco de una investigación o intervención;
b. Realizar investigaciones o intervenciones coordinadas, tanto a nivel nacional como internacional, en asuntos en los que concurra el interés de dos o más autoridades de supervisión;
c. Participar en asociaciones, grupos de trabajo y foros conjuntos, así como en seminarios, talleres o cursos que contribuyan a adoptar posturas comunes o a mejorar la cualificación técnica del personal que preste sus servicios a dichas autoridades de supervisión;
d. Mantener los niveles apropiados de confidencialidad con respecto a la información intercambiada en el curso de esta cooperación.
3. Los Estados impulsarán la creación de convenios de colaboración entre autoridades de supervisión, tanto regionales como nacionales o internacionales, que contribuyan a una más eficaz observancia del presente apartado.
25. Responsabilidad
1. La persona responsable será responsable de aquellos daños y/o perjuicios, tanto morales como materiales, que hubiesen causado a los interesados como consecuencia de un tratamiento de datos de carácter personal que hubiese vulnerado la legislación aplicable en materia protección de datos, a menos que pueda demostrar que el daño no le puede ser atribuido. Ello sin perjuicio de cualquier acción que la persona responsable pueda ejercer contra los prestadores de servicios de tratamiento que intervengan en cualquier fase del tratamiento.
2. Los Estados promoverán las medidas adecuadas para facilitar el acceso de los interesados a los correspondientes procesos, judiciales o administrativos, que les permitan obtener la reparación de los daños y/o perjuicios anteriormente mencionados.
3. La responsabilidad prevista en los párrafos anteriores existirá sin perjuicio de las sanciones penales, civiles o administrativas previstas, en su caso, por violación de la legislación nacional aplicable en materia de protección de la privacidad en relación con el tratamiento de datos de carácter personal.
4. La adopción de medidas proactivas como las previstas en el apartado 22 del presente Documento será tenida en cuenta al fijar la responsabilidad y las sanciones previstas en el presente apartado.
Resolución sobre Estándares Internacionales de Privacidad
PROPONENTES:
Agencia Española de Protección de Datos
Comisario Federal de Protección de Datos y la transparencia (Suiza)
Supervisor Europeo de Protección de Datos
Comisión Nacional de la Informática y de las Libertades (Francia)
Comisario de Protección de Datos de Irlanda
Oficina del Comisario de Privacidad de Canadá
Oficina para la Protección de los Datos Personales (República Checa)
Comisario Federal para la Protección de Datos (Alemania)
Garante para la Protección de Datos Personales (Italia)
Autoridad Holandesa de Protección de Datos
Comisario de Privacidad de Nueva Zelanda
Oficina del Comisario de Información (Reino Unido)
COPROPONENTES:
Agencia de Protección de Datos de Andorra
Agencia Catalana de Protección de Datos
Agencia de Protección de Datos de la Comunidad de Madrid
Agencia Vasca de Protección de Datos
Oficina del Supervisor de Protección de Datos la Isla de Man
Inspección de Protección de Datos de Estonia
Inspección Estatal de Protección de Datos (Lituania)
Comisario para la Protección de Datos de Berlín (Alemania)
Comisario de Protección de Datos de Schleswig-Holstein (Alemania)
Director Nacional de Protección de Datos Personales (Argentina)
Comisario de Protección de Datos (Malta)
Comisión de la Informática y las Libertades (Burkina-Faso)
Comisario de Protección de Datos Personales (Chipre)
Defensor de la Protección de Datos (Finlandia)
Comisario de Información (Eslovenia
Autoridad Griega de Protección de Datos
Resolución de Madrid
Presentación
Es para mí un placer presentar la Propuesta Conjunta para la Redacción de Estándares Internacionales para la protección de la Privacidad, en relación con el Tratamiento de Datos de carácter personal, acogida favorablemente por la 31 Conferencia Internacional de Autoridades de Protección de Datos y Privacidad celebrada el 5 de noviembre de 2009 en Madrid.
La labor conjunta de los garantes de la privacidad de casi cincuenta países, bajo coordinación de la Agencia Española de Protección de Datos, ha desembocado en un texto que trata de plasmar los múltiples enfoques que admite la protección de este derecho, integrando legislaciones de los cinco continentes. Su carácter consensuado aporta dos valores añadidos esencialmente novedosos: de un lado, enfatiza la vocación universal de los principios y garantías que configuran este derecho; del otro, reafirma la factibilidad de avanzar hacia un documento internacionalmente vinculante, que contribuya a una mayor protección de los derechos y libertades individuales en un mundo globalizado, y por ello, caracterizado por las transferencias internacionales de información.
Desde este momento, las autoridades de supervisión y control de la privacidad asumimos la exigente tarea de difusión y promoción desde nuestro firme compromiso de garantizar a nuestros ciudadanos una mejor protección de la privacidad y de los datos de carácter personal.
ARTEMI RALLO LOMBARTE
DIRECTOR DE LA AGENCIA
ESPAÑOLA DE PROTECCIÓN DE DATOS
Propuesta Conjunta para la Redacción de Estándares Internacionales para la Protección de la Privacidad en relación con el tratamiento de Datos de Carácter Personal
Parte I: Disposiciones Generales
1. Objeto
El objeto del presente Documento es:
a. Definir un conjunto de principios y derechos que garanticen la efectiva y uniforme protección de la privacidad a nivel internacional, en relación con el tratamiento de datos de carácter personal; y
b. Facilitar los flujos internacionales de datos de carácter personal, necesarios en un mundo globalizado.
2. Definiciones
En el contexto del presente Documento, se entenderá por:
a. “Dato de carácter personal”: cualquier información concerniente a una persona física identificada o que pueda ser identificada a través de medios que puedan ser razonablemente utilizados.
b. “Tratamiento”: cualquier operación o conjunto de operaciones, sean o no automatizadas, que se aplique a datos de carácter personal, en especial su recogida, conservación, utilización, revelación o supresión.
c. “Interesado”: persona física cuyos datos de carácter personal sean objeto de tratamiento.
d. “Persona responsable”: persona física o jurídica, de naturaleza pública o privada que, sola o
en compañía de otros, decida sobre el tratamiento.
e. “Prestador de servicios de tratamiento”: persona física o jurídica, distinta de la persona responsable, que lleve a cabo un tratamiento de datos de carácter personal por cuenta de dicha persona responsable.
3 . Medidas adicionales
1. Los Estados podrán completar el nivel de protección definido en el presente Documento con otras medidas adicionales que garanticen una mejor protección de la privacidad en relación con el tratamiento de datos de carácter personal.
2. Las disposiciones del presente Documento constituirán base apropiada para permitir las transferencias internacionales de datos de carácter personal, cuando éstas se realicen según lo indicado en el apartado 15 del presente Documento.
4. Ámbito de aplicación
1. El presente Documento está dirigido a su aplicación a todo tratamiento de datos de carácter personal, total o parcialmente automatizado, o realizado de forma estructurada en caso contrario, llevado a cabo tanto por el sector público como por el privado.
2. La legislación nacional aplicable podrá establecer que las disposiciones del presente Documento no sean de aplicación al tratamiento de datos de carácter personal realizado por una persona física en el ejercicio de actividades relacionadas exclusivamente con su vida privada y familiar.
5. Excepciones
Los Estados podrán limitar el alcance de las disposiciones recogidas en los apartados 7 a 10 y 16 a 18 del presente Documento cuando sea necesario, en una sociedad democrática, para preservar la seguridad nacional, la seguridad pública, la protección de la salud pública, o la protección de los derechos y las libertades de los demás. Tales limitaciones deberán estar expresamente previstas por el derecho interno, de tal modo que se establezcan sus límites y se prevean las garantías adecuadas para preservar los derechos de los interesados.
Parte II: Principios básicos
6. Principio de lealtad y legalidad
1. Los tratamientos de datos de carácter personal se deberán realizar de manera leal, respetando
la legislación nacional aplicable y los derechos y libertades de las personas, de conformidad con lo previsto en el presente Documento y con los fines y principios de la Declaración Universal de Derechos Humanos y del Pacto Internacional de Derechos Civiles y Políticos.
2. En particular, se considerarán desleales aquellos tratamientos de datos de carácter personal
que den lugar a una discriminación injusta o arbitraria contra los interesados.
7. Principio de lealtad y legalidad
1. El tratamiento de datos de carácter personal deberá limitarse al cumplimiento de las finalidades determinadas, explícitas y legítimas de la persona responsable.
2. La persona responsable se abstendrá de llevar a cabo tratamientos no compatibles con las finalidades para las que hubiese recabado los datos de carácter personal, a menos que cuente con el consentimiento inequívoco del interesado.
8. Principio de proporcionalidad
1. El tratamiento de datos de carácter personal deberá circunscribirse a aquellos que resulten adecuados, relevantes y no excesivos en relación con las finalidades previstas en el apartado anterior.
2. En particular, la persona responsable deberá realizar esfuerzos razonables para limitar los datos de carácter personal tratados al mínimo necesario.
9. Principio de calidad
1. La persona responsable deberá asegurar en todo momento que los datos de carácter personal sean exactos, así como que se mantengan tan completos y actualizados como sea necesario para el cumplimiento de las finalidades para las que sean tratados.
2. La persona responsable deberá limitar el periodo de conservación de los datos de carácter personal tratados al mínimo necesario. De este modo, cuando los datos de carácter personal hayan dejado de ser necesarios para el cumplimiento de las finalidades que legitimaron su tratamiento deberán ser cancelados o convertidos en anónimos.
10. Principio de Transparencia
1. Toda persona responsable deberá contar con políticas transparentes en lo que a los tratamientos de datos de carácter personal que realice se refiere.
2. La persona responsable deberá facilitar a los interesados, al menos, información acerca de su identidad, de la finalidad para la que pretende realizar el tratamiento, de los destinatarios a los que prevé ceder los datos de carácter personal y del modo en que los interesados podrán ejercer los derechos previstos en el presente Documento, así como cualquier otra información necesaria para garantizar el tratamiento leal de dichos datos de carácter personal.
3. Cuando los datos de carácter personal hayan sido obtenidos directamente del interesado, la información deberá ser facilitada en el momento de la recogida, salvo que se hubiera facilitado con anterioridad a la persona responsable.
4. Cuando los datos de carácter personal no hayan sido obtenidos directamente del interesado, la información deberá ser facilitada en un plazo prudencial de tiempo, si bien podrá sustituirse por medidas alternativas cuando su cumplimiento resulte imposible o exija un esfuerzo desproporcionado a la persona responsable.
5. Cualquier información que se proporcione al interesado deberá facilitarse de forma inteligible, empleando para ello un lenguaje claro y sencillo, y ello en especial en aquellos tratamientos dirigidos específicamente a menores de edad.
6. Cuando los datos de carácter personal sean recogidos en línea a través de redes de comunicaciones electrónicas, las obligaciones establecidas en el presente apartado podrán satisfacerse mediante la publicación de políticas de privacidad fácilmente accesibles e identificables, que incluyan todos los extremos anteriormente previstos.
11. Principio de Responsabilidad
La persona responsable deberá:
a. adoptar las medidas necesarias para cumplir con los principios y obligaciones establecidos en el presente Documento y en la legislación nacional aplicable, y
b. dotarse de aquellos mecanismos necesarios para evidenciar dicho cumplimiento, tanto ante los interesados como ante las autoridades de supervisión en el ejercicio de sus competencias, conforme a lo establecido en el apartado 23.
Parte III: Legitimación para el tratamiento
12. Principio general de legitimación
1. Como regla general, los datos de carácter personal sólo podrán ser tratados cuando concurra
alguno de los siguientes supuestos:
a. Previa obtención del consentimiento libre, inequívoco e informado del interesado.
b. Cuando un interés legítimo de la persona responsable justifique el tratamiento, siempre y cuando no prevalezcan los intereses legítimos, derechos o libertades de los interesados;
c. Cuando el tratamiento sea preciso para el mantenimiento o cumplimiento de una relación jurídica entre la persona responsable y el interesado;
d. Cuando el tratamiento sea necesario para el cumplimiento de una obligación impuesta sobre la persona responsable por la legislación nacional aplicable, o sea llevado a cabo por una Administración Pública que así lo precise para el legítimo ejercicio de sus competencias;
e. Cuando concurran situaciones excepcionales que pongan en peligro la vida, la salud o la seguridad del interesado o de otra persona.
2. La persona responsable deberá habilitar procedimientos sencillos, ágiles y eficaces que permitan a los interesados revocar su consentimiento en cualquier momento, y que no impliquen demoras o costes indebidos, ni ingreso alguno para la persona responsable.
13 . Datos sensibles
1. Serán considerados sensibles aquellos datos de carácter personal:
a. Que afecten a la esfera más íntima del interesado; o
b. Cuya utilización indebida pueda:
i. Dar origen a una discriminación ilegal o arbitraria, o
ii Conllevar un riesgo grave para el interesado.
2. En particular, serán considerados sensibles aquellos datos de carácter personal que puedan revelar aspectos como el origen racial o étnico, las opiniones políticas o las convicciones religiosas o filosóficas; así como los datos relativos a la salud o a la sexualidad. La legislación nacional aplicable podrá establecer otras categorías de datos sensibles en caso de que concurran las circunstancias a las que se refiere el párrafo anterior.
3. La legislación nacional aplicable deberá establecer las garantías necesarias para preservar los derechos de los interesados, que deberán fijar condiciones adicionales para el tratamiento de datos de carácter personal considerados sensibles.
14 . Prestación de servicios de tratamiento
La persona responsable podrá realizar tratamientos de datos de carácter personal a través de uno
o varios prestadores de servicios de tratamiento, debiendo para ello:
a. Velar por que cada prestador de servicios de tratamiento garantice, al menos, el nivel de protección previsto en el presente Documento y en la legislación nacional aplicable; y
b. Articular la relación jurídica a través de un contrato u otro instrumento jurídico que permita acreditar su existencia, alcance y contenido, y que establezca el compromiso del prestador de servicios de tratamiento de cumplir con estas garantías y de asegurar que los datos de carácter personal sean tratados siguiendo las instrucciones de la persona responsable.
15. Transferencias Internacionales
1. Como regla general, podrán realizarse transferencias internacionales de datos de carácter personal cuando el Estado al que se transfieran dichos datos ofrezca, cuando menos, el nivel de protección previsto en el presente Documento.
2. Será posible realizar transferencias internacionales de datos de carácter personal a Estados que no ofrezcan el nivel de protección previsto en el presente Documento, cuando quien pretenda transferir dichos datos garantice que el destinatario ofrecerá dicho nivel de protección; dicha garantía podrá derivarse, por ejemplo, de cláusulas contractuales apropiadas. En particular, cuando la transferencia se lleve a cabo en el seno de organizaciones o de grupos multinacionales, dicha garantía podrán consistir en la existencia de normas internas de privacidad cuya observancia resulte vinculante.
3. Asimismo, cuando sea necesario en el marco de una relación contractual en beneficio del interesado, o para proteger un interés vital del interesado o de otra persona, o para el cumplimiento de una obligación legal para la salvaguarda de un importante interés público, la legislación nacional aplicable a quien pretenda transferir datos de carácter personal podrá permitir la transferencia internacional de datos de carácter personal a Estados que no ofrezcan el nivel de protección previsto en el presente Documento.
4. La legislación nacional aplicable podrá atribuir a las autoridades de supervisión previstas en el apartado 23 la facultad de autorizar, con carácter previo a su realización, todas o algunas de las transferencias internacionales de datos de carácter personal originadas en su jurisdicción. En todo caso, quien pretenda realizar una transferencia internacional de datos de carácter personal deberá poder acreditar que la transferencia cumple las garantías establecidas en el presente Documento, y en particular cuando así le fuera requerido por las autoridades de supervisión en cumplimiento de las facultades previstas en el apartado 23.2.
Parte IV: Derechos del interesado
16. Derecho de Acceso
1. El interesado tendrá derecho a recabar de la persona responsable, cuando así lo solicite, información relativa a los concretos datos de carácter personal objeto de tratamiento, así como al origen de dichos datos, a las finalidades de los correspondientes tratamientos y a los destinatarios o las categorías de destinatarios a quienes se comuniquen o pretendan comunicar dichos datos.
2. Cualquier información que se proporcione al interesado deberá facilitarse de forma inteligible, empleando para ello un lenguaje claro y sencillo.
3. La legislación nacional aplicable podrá limitar el ejercicio reiterado de estos derechos, que obligaría a la persona responsable a responder múltiples solicitudes en intervalos cortos de tiempo, excepto en aquellos casos en los que el interesado haga constar en su solicitud un interés legítimo.
17. Derecho de Rectificación y cancelación
1. El interesado tendrá derecho a solicitar a la persona responsable la rectificación o cancelación de los datos de carácter personal que pudieran resultar incompletos, inexactos, innecesarios o excesivos.
2. Cuando proceda, la persona responsable rectificará o cancelará los datos de carácter personal conforme a lo solicitado. Deberá, además, notificar este extremo a los terceros a quienes se hayan comunicado los datos de carácter personal, siempre que los mismos fueran conocidos.
3. La cancelación no procederá cuando los datos de carácter personal deban ser conservados para el cumplimiento de una obligación impuesta sobre la persona responsable por la legislación
nacional aplicable o, en su caso, por las relaciones contractuales entre la persona responsable y el interesado.
18 . Derecho de oposición
1. El interesado podrá oponerse al tratamiento de sus datos de carácter personal cuando concurra una razón legítima derivada de su concreta situación personal.
2. No procederá el ejercicio de este derecho de oposición en aquellos casos en los que el tratamiento sea necesario para el cumplimiento de una obligación impuesta sobre la persona responsable por la legislación nacional aplicable.
3. Cualquier interesado podrá oponerse, igualmente, a aquellas decisiones que conlleven efectos jurídicos basadas únicamente en un tratamiento automatizado de datos de carácter personal, excepto cuando la decisión hubiese sido expresamente solicitada por el interesado o sea precisa para el establecimiento, mantenimiento o cumplimiento de una relación jurídica entre la persona responsable y el propio interesado. En este último caso, el interesado debe tener la posibilidad de hacer valer su punto de vista, a fin de defender su derecho o interés.
18. Ejercicio de estos derechos
1. Los derechos previstos en los apartados 16 a 18 del presente Documento podrán ser ejercidos:
a. Directamente por el interesado, que deberá acreditar adecuadamente su identidad ante la persona responsable.
b. Por medio de representante, que deberá acreditar adecuadamente tal condición ante la persona
responsable.
2. La persona responsable deberá implementar procedimientos que permitan a los interesados ejercer los derechos previstos en los apartados 16 a 18 del presente documento de forma sencilla, ágil y eficaz, y que no conlleven demoras o costes indebidos, ni ingreso alguno para la persona responsable.
3. Cuando la persona responsable aprecie que, de acuerdo con la legislación nacional aplicable, no procede el ejercicio de los derechos previstos en la presente Parte, informará cumplidamente al interesado de los motivos que concurran en su apreciación.
Parte V: Seguridad
20. Derecho de oposición
1. Tanto la persona responsable como los prestadores de servicios de tratamiento deberán proteger los datos de carácter personal que sometan a tratamiento mediante aquellas medidas técnicas y organizativas que resulten idóneas en cada momento para garantizar su integridad, confidencialidad y disponibilidad. Tales medidas dependerán del riesgo existente, de sus posibles consecuencias para los interesados, del carácter especialmente sensible de los datos de carácter personal, del estado de la técnica y del contexto en el que se efectúe el tratamiento, así como de las obligaciones establecidas en la legislación nacional aplicable.
2. Los interesados deberán ser informados por parte de quienes intervengan en cualquier fase del tratamiento de cualquier infracción de seguridad que pudiese afectar de forma significativa a sus derechos patrimoniales o extrapatrimoniales, así como de las medidas adoptadas para su resolución.
Esta información deberá ser facilitada con antelación suficiente, para permitir la reacción de los interesados en defensa de sus derechos.
21. Deber de confidencialidad
La persona responsable y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal deberán respetar la confidencialidad de los mismos, obligación que subsistirá aun después de finalizar sus relaciones con el interesado o, en su caso, con la persona responsable.
Parte VI: Cumplimiento y Supervisión
22. Medidas proactivas
Los Estados incentivarán, a través de su derecho interno, el establecimiento por quienes intervengan en cualquier fase del tratamiento de medidas que promuevan el mejor cumplimiento de la legislación que resulte aplicable en materia de protección de datos. Entre dichas medidas podrán encontrarse, entre otras:
a. El establecimiento de procedimientos destinados a prevenir y detectar infracciones, que podrán basarse en modelos estandarizados de gobierno y/o gestión de la seguridad de la información.
b. La designación, de uno o varios oficiales de privacidad o de protección de datos, con cualificación, recursos y competencias suficientes para ejercer adecuadamente sus funciones de
supervisión.
c. La realización periódica de programas de concienciación, educación y formación entre los miembros de la organización destinados al mejor conocimiento de la legislación que resulte aplicable en materia de protección de la privacidad en relación con el tratamiento de datos de carácter personal, así como de los procedimientos establecidos por la organización a tal efecto.
d. La realización periódica de auditorías transparentes por parte de sujetos cualificados y preferentemente independientes, que verifiquen el cumplimiento de la legislación que resulte aplicable en materia de protección de la privacidad en relación con el tratamiento de datos de carácter personal, así como de los procedimientos establecidos por la organización a tal efecto.
e. La adaptación de aquellos sistemas y/o tecnologías de información destinados al tratamiento de datos de carácter personal a la legislación que resulte aplicable en materia de protección de la privacidad en relación con el tratamiento de datos de carácter personal, en particular al decidir acerca de sus especificaciones técnicas y en su desarrollo e implementación.
f. La puesta en práctica de estudios de impacto sobre la privacidad previos a la implementación de nuevos sistemas y/o tecnologías de información destinados al tratamiento de datos de carácter personal, así como a la puesta en práctica de nuevas modalidades de tratamiento de datos de carácter personal o a la realización de modificaciones sustanciales en tratamientos ya existentes.
g. La adhesión a acuerdos de autorregulación cuya observancia resulte vinculante, que contengan elementos que permitan medir sus niveles de eficacia en cuanto al cumplimiento y grado de protección de los datos de carácter personal, y establezcan medidas efectivas en caso de incumplimiento.
h. La implementación de planes de contingencias que establezca unas pautas de actuación en caso de que se verifique un incumplimiento de la legislación que resulte aplicable en materia de protección de la privacidad en relación con el tratamiento de datos de carácter personal, y que incluya al menos la obligación de determinar la causa y alcance de la vulneración que se haya producido, de describir sus efectos negativos y de adoptar las medidas necesarias para evitar que se reproduzca en el futuro.
23. Supervisión
1. En cada Estado existirán una o más o autoridades de supervisión que, de acuerdo con su derecho interno, serán responsables de supervisar la observancia de los principios establecidos en el presente Documento.
2. Dichas autoridades de supervisión deberán ser imparciales e independientes, y contarán con la cualificación técnica, las competencias suficientes y los recursos adecuados para conocer de las reclamaciones que le sean dirigidas por los interesados, y para realizar las investigaciones e intervenciones que resulten necesarias para garantizar el cumplimiento de la legislación nacional aplicable en materia de protección de la privacidad en relación con el tratamiento de datos de carácter personal.
3. En todo caso, y sin perjuicio de los recursos administrativos ante las citadas autoridades de supervisión, incluyendo el control jurisdiccional de sus decisiones, el interesado podrá acudir directamente a la vía jurisdiccional para hacer valer sus derechos conforme a las previsiones establecidas en la legislación nacional aplicable.
24. Cooperación y coordinación
1. Las autoridades de supervisión previstas en el apartado anterior procurarán cooperar entre sí en aras a una más uniforme protección de la privacidad en relación con el tratamiento de datos de carácter personal, tanto a nivel nacional como internacional. A los efectos de facilitar esta cooperación, los Estados deberán estar en disposición en todo momento de identificar las autoridades de supervisión competentes en su territorio.
2. Dichas autoridades realizarán, particularmente, los mayores esfuerzos para:
a. Compartir estudios, técnicas de investigación, estrategias comunicativas y de regulación y demás información que resulte de utilidad para el más eficaz ejercicio de sus funciones, en especial tras recibir una petición de apoyo por parte de otra autoridad de supervisión en el marco de una investigación o intervención;
b. Realizar investigaciones o intervenciones coordinadas, tanto a nivel nacional como internacional, en asuntos en los que concurra el interés de dos o más autoridades de supervisión;
c. Participar en asociaciones, grupos de trabajo y foros conjuntos, así como en seminarios, talleres o cursos que contribuyan a adoptar posturas comunes o a mejorar la cualificación técnica del personal que preste sus servicios a dichas autoridades de supervisión;
d. Mantener los niveles apropiados de confidencialidad con respecto a la información intercambiada en el curso de esta cooperación.
3. Los Estados impulsarán la creación de convenios de colaboración entre autoridades de supervisión, tanto regionales como nacionales o internacionales, que contribuyan a una más eficaz observancia del presente apartado.
25. Responsabilidad
1. La persona responsable será responsable de aquellos daños y/o perjuicios, tanto morales como materiales, que hubiesen causado a los interesados como consecuencia de un tratamiento de datos de carácter personal que hubiese vulnerado la legislación aplicable en materia protección de datos, a menos que pueda demostrar que el daño no le puede ser atribuido. Ello sin perjuicio de cualquier acción que la persona responsable pueda ejercer contra los prestadores de servicios de tratamiento que intervengan en cualquier fase del tratamiento.
2. Los Estados promoverán las medidas adecuadas para facilitar el acceso de los interesados a los correspondientes procesos, judiciales o administrativos, que les permitan obtener la reparación de los daños y/o perjuicios anteriormente mencionados.
3. La responsabilidad prevista en los párrafos anteriores existirá sin perjuicio de las sanciones penales, civiles o administrativas previstas, en su caso, por violación de la legislación nacional aplicable en materia de protección de la privacidad en relación con el tratamiento de datos de carácter personal.
4. La adopción de medidas proactivas como las previstas en el apartado 22 del presente Documento será tenida en cuenta al fijar la responsabilidad y las sanciones previstas en el presente apartado.
Resolución sobre Estándares Internacionales de Privacidad
PROPONENTES:
Agencia Española de Protección de Datos
Comisario Federal de Protección de Datos y la transparencia (Suiza)
Supervisor Europeo de Protección de Datos
Comisión Nacional de la Informática y de las Libertades (Francia)
Comisario de Protección de Datos de Irlanda
Oficina del Comisario de Privacidad de Canadá
Oficina para la Protección de los Datos Personales (República Checa)
Comisario Federal para la Protección de Datos (Alemania)
Garante para la Protección de Datos Personales (Italia)
Autoridad Holandesa de Protección de Datos
Comisario de Privacidad de Nueva Zelanda
Oficina del Comisario de Información (Reino Unido)
COPROPONENTES:
Agencia de Protección de Datos de Andorra
Agencia Catalana de Protección de Datos
Agencia de Protección de Datos de la Comunidad de Madrid
Agencia Vasca de Protección de Datos
Oficina del Supervisor de Protección de Datos la Isla de Man
Inspección de Protección de Datos de Estonia
Inspección Estatal de Protección de Datos (Lituania)
Comisario para la Protección de Datos de Berlín (Alemania)
Comisario de Protección de Datos de Schleswig-Holstein (Alemania)
Director Nacional de Protección de Datos Personales (Argentina)
Comisario de Protección de Datos (Malta)
Comisión de la Informática y las Libertades (Burkina-Faso)
Comisario de Protección de Datos Personales (Chipre)
Defensor de la Protección de Datos (Finlandia)
Comisario de Información (Eslovenia
Autoridad Griega de Protección de Datos
No hay comentarios:
Publicar un comentario