SIC

– ¿Considera necesario dictar Instrucciones?

– He preferido dejar un tiempo a que funcione la nueva Ley, pero en breve comenzaremos a producir algunas Instrucciones sobre aquellos aspectos que vayamos detectando que plantean dudas de interpretación. En concreto, la Agencia está pensando en dictar una Instrucción para clarificar todo lo relacionado con la transferencia internacional de datos.

– ¿Ha detectado irregularidades en el cumplimiento del Reglamento de seguridad en servicios a través de web? ¿Qué sucedió en el caso de Telefónica de España?

– A Internet le es aplicable tanto la Directiva ‘marco’ como la específica de protección de datos en materia de comunicaciones, por lo que hay que vigilar que en los servicios por la Red se cumplan las normas. En el caso de la empresa mencionada, hubo un fallo en las medidas de seguridad y se llevó a cabo el correspondiente expediente, siendo sancionada por la infracción de dichas medidas. Del mismo modo se están llevando a cabo otro tipo de expedientes en donde se han detectado fallos de seguridad a través de servicios por Internet: Terra o las empresas que han organizado los ficheros del programa Gran Hermano… A todas ellas se les ha abierto un expediente, ahora en tramitación.

– ¿Ha sido el de Telefónica de España el primer caso de sanción por vulneración de medidas de seguridad?

– Según recuerdo, sí. De todas formas, y bueno es decirlo, se pusieron en contacto con nosotros para explicar lo sucedido. De ahí que la infracción, aunque grave, se haya impuesto en su grado mínimo. Fue un fallo del sistema –que nunca debe producirse, ya que hablamos de datos de ciudadanos– y no existía intención de incumplir.

– ¿Pudiera ser el caso Terra abordable también por la vía penal?

– A raiz de su publicación en prensa y de la recepción en agosto de una denuncia de Tele 5, la Agencia inició las actuaciones inspectoras, complejas al tratarse de un gran volumen de datos. Al concluir, se ha determinado que con fecha 4 de octubre se inicie un procedimiento sancionador contra Telefónica Servicios Avanzados por la Red, empresa que explota la marca Terra, porque se han detectado en principio –ya que son sólo indicios, en tanto no se termine el procedimiento–, por una parte, que las contraseñas de los ciudadanos en el fichero que tenía esta empresa, estaban identificables, y a nuestro criterio esto no debe de ser así; y por otra, que se conservaba un volumen de datos completos de otros clientes que ya se habían dado de baja. Ahora, la empresa implicada tendrá que hacer sus alegaciones, proponer las pruebas, y luego se decidirá conforme a lo que resulte probado.
De otro lado, parece ser que pudo haber una fuga de datos producida antes de la entrada en vigor del Reglamento, cuyo investigación no nos compete. Podría tratarse de una sustracción ilegítima por un empleado o por un tercero. Creo que, efectivamente, se están llevando a cabo averiguaciones penales ante la posible existencia de un delito.

– ¿Se ha vulnerado la legislación por entidades involucradas en la convocatoria y selección de candidatos a programas con formatos como los de Gran Hermano?

– En estos programas –como en cualquier otro medio– cuando se recaban datos personales y se van introduciendo en un fichero, hay que informar al ciudadano para que sea consciente de ello, hay que indicarle la finalidad y no usar sus datos para objetivos distintos, y en ese contexto el ciudadano tiene que consentir. La vigente Ley es más clara y exigente que la LORTAD en el consentimiento, que ahora ha de ser explícito y específico para poder tratar los datos. En los supuestos que comenta, no se ha tenido en cuenta esto, y concretamente en el de Gran Hermano, donde han intervenido diversas empresas, se han ido enriqueciendo estos datos, incluso en algunos epígrafes incorporando datos sensibles. Si no se han cumplido los preceptos legales de referencia, se habrán cometido diversas infracciones. El asunto, como ya digo, está en investigación.

– ¿Son disuasorias las cuantías de las multas para las grandes corporaciones?

– No me atengo a este criterio. En materia de sanciones, la LOPD es la más severa en la UE. En la ley italiana, una de las más modernas y que mejor funcionan, la sanción máxima está en torno a las 450.000 pesetas; nosotros estamos sancionando en 100 millones máximo. Nunca se puede, por mucho que se suba la cuantía, establecer una sanción lo suficientemente disuasoria, porque siempre habrá alguien a quien pudiera ser «rentable» el infringir. Pero fíjese que en la sanción también está la reprobación, es decir, el que esa empresa no va a ser considerada segura por los ciudadanos.

– ¿Existe alguna tipología de irregularidades o dudas recurrentes en el cumplimiento pleno del Reglamento de seguridad?

– Como toda norma, en principio tiene algunas dificultades en su aplicación. No obstante, y con carácter general, está siendo tratada correctamente por las entidades. Reconozco que muchos de los dictámenes que últimamente hemos evacuado para responsables de ficheros o para profesionales, se han volcado en las medidas de seguridad.