I.- Consentimiento para el tratamiento
de datos de carácter personal de su cliente
Respecto a la primera cuestión, señalar
que el Graduado Social puede tratar los datos de su cliente
a través de dos vías. Una, con el consentimiento
del mismo y, otra, sin él, conforme a
lo dispuesto al art. 6.2 LOPD, ya que éste artículo
exime de la exigencia del mismo “ cuando se refiera a las
partes de un contrato o precontrato de una relación
negocial, laboral o administrativa y sean necesarios para
su mantenimiento o cumplimiento”. En puridad, no es que
no se exija en estos casos el consentimiento, sino que el
mismo va implícito en el hecho de establecer
el contrato, pues su celebración, ejecución
y/o cumplimiento o mantenimiento requiere inexorablemente
el tratamiento de los datos personales de quienes intervienen
en el mismo. Deberá también, en relación
al cliente, informarle en los términos del
art. 5 LOPD, es decir, de la existencia del fichero o tratamiento,
de la finalidad de la recogida de los datos y de quién
es y dónde está el responsable del fichero.
El citado artículo exige que se le informe de más
cuestiones, pero también es cierto que exime de ello
cuando del contenido de la información que se requiere
o de las circunstancias en que se recaban se deduce claramente
esa información(1)
En el supuesto de que los datos no hayan sido
recabados del propio afectado y se incorporen a un fichero
en los términos de la ley, la obligación del
Graduado Social consiste en informar a éste, en el
plazo de 3 meses desde su inclusión, de modo expreso,
preciso e inequívoco, de su inclusión en el
fichero, del contenido del tratamiento, de la procedencia
de los datos, así como de la existencia del fichero,
de la finalidad de la recogida de los datos, de los destinatarios
de la información, de la posibilidad de ejercer los
derechos de acceso, rectificación, cancelación
y oposición así como de la identidad y dirección
del responsable del fichero, salvo que ya hubiese sido informado
con anterioridad. Sin embargo, este supuesto, en la práctica
difícilmente va a producirse porque lo normal es que
sea el cliente quien facilite sus datos al Graduado Social
y no que éste tenga que obtenerlo de algún otro
lugar o persona distinta del propio cliente.
II.- Consentimiento para el tratamiento de los datos personales de la contraparte, testigos, etc. que intervienen en el proceso
Pero ¿qué ocurre con los datos de la contraparte o de las personas que eventualmente puedan verse inmersas en el procedimiento jurisdiccional social? ¿Qué obligaciones tiene el Graduado Social respecto a estas personas? ¿Ha de informarse a todos ellos de que se tienen y tratan sus datos de carácter personal?
Respecto a esta cuestión hay que señalar que no hay un regulación legal concreta en la LOPD pero sí contamos, en aras de arrojar luz sobre el asunto, con el informe de la AEPD “Tratamiento por Abogados y Procuradores de los datos de las partes de un proceso”, emitido por la misma en el año 2000 (2). Es cierto que el Graduado Social es un profesional distinto a los citados pero no lo es menos que en su actuación ante la jurisdicción social actúa y desarrolla su labor de modo análogo o idéntico a la actuación profesional de un Abogado ante dicho orden jurisdiccional. De ahí que considere que es perfectamente extrapolable y aplicable a este caso lo señalado por la AEPD para los Letrados y Procuradores en cuanto a su actuación profesional ante la jurisdicción social.
Este informe entiende que en la cuestión planteada se produce, como efectivamente sucede, una confrontación entre derechos fundamentales. De una parte, el derecho a la protección de datos (art. 18.4 CE) (3) y, de otra, el derecho a la tutela judicial efectiva y a la asistencia letrada (art. 24.2 CE).
Como ya se ha puesto de manifiesto, la regla general para tratar datos de carácter personal, es la existencia del consentimiento por parte del titular de los mismos, regla que sólo cede ante las excepciones establecidas en la ley (4). Y en estos supuestos es obvio que no se va a recabar el consentimiento del afectado pues bastaría que la contraparte no lo prestase para que el Letrado, Procurador o Graduado Social, en este caso, no pudiese tratarlos. Y no hay, tampoco, ninguna disposición con rango de ley que establezca de modo expreso la posibilidad de tratamiento de estos datos por parte de los profesionales de referencia. ¿Cómo solucionar el problema entonces?
Pues bien, partiendo de que el Tribunal Constitucional (5) tiene establecido que “ el derecho a la intimidad no es absoluto, como no lo es ninguno de los derechos fundamentales, pudiendo ceder ante intereses constitucionalmente relevantes, siempre que el recorte que aquél haya de experimentar se revele como necesario para lograr el fin legítimo previsto, proporcionado para alcanzarlo y, en todo caso, sea respetuoso con el contenido esencial del derecho", que carecemos de regulación legal específica que autorice dicho tratamiento pero que los derechos confrontados son ambos de rango constitucional, podemos llegar a la conclusión, y así lo hace la AEPD en el informe citado, que dicho tratamiento es posible y legítimo , viniendo el mismo legitimado por el art. 24.2 CE, desarrollado por las leyes reguladoras de cada uno de los órdenes jurisdiccionales, en los preceptos referidos a la representación y defensa de las partes. Entiende pues la AEPD, a mi entender con buen criterio, que debe prevalecer el derecho constitucional del art. 24.2 CE pues entender lo contrario, supondría perjudicar, cuando no vaciar de contenido, el derecho de defensa, el derecho a la asistencia letrada y la tutela judicial efectiva. De manera que la habilitación legal que exige el art. 6.1 LOPD, para relevar del necesario consentimiento para el tratamiento de datos, viene dado por el citado precepto constitucional.
Si se comunicase a los afectados la información que tiene un Letrado, Procurador o Graduado Social sobre ellos, procedente de su cliente y con relevancia en el proceso, es obvio que ello podría perjudicar el correcto ejercicio por el interesado de las facultades reconocidas en la ley para obtener la debida tutela judicial efectiva y su derecho de defensa, pues quedarían en conocimiento de la contraparte, de modo anticipado, pruebas, circunstancias, datos y hechos que deben ser puestas de manifiesto en el proceso mismo, en el momento procesal pertinente. Adelantarlos, en aras de la protección de datos de carácter personal, podría vaciar de contenido los citados derechos constitucionales de tutela judicial efectiva y/o defensa o, cuando menos, mermarlos sensiblemente. Las informaciones, datos, hechos y circunstancias que deban llevarse al proceso, deben ser aportados al mismo en el momento procesal oportuno, legalmente establecido en las diversas leyes procesales, pero no antes ni fuera del mismo.
Así queda resuelta la cuestión de la habilitación legal para el tratamiento de los datos personales de esas personas que de un modo u otro intervienen en el proceso.
IV.- Deber de información en la recogida y tratamiento de datos respecto a la contraparte, testigos, etc. que intervienen en el proceso
¿Qué ocurre con el deber de información? ¿Ha de informarse a todos ellos de que sus datos van a ser tratados, del nombre del fichero o tratamiento, de la identidad y dirección del responsable del fichero, de su finalidad y de los demás requisitos exigidos por el art. 5 LOPD?
Respecto a esto hay que hacer unas consideraciones previas. Lo dispuesto en el art. 5 LOPD en cuanto a lo que la ley llamada derecho de información en la recogida de datos y que, de hecho, tal derecho del ciudadano trae como consecuencia el establecimiento de obligaciones para el responsable del fichero o tratamiento –en este caso, el de informarle– está formulado en términos generales sin más excepción que las expresamente enumeradas en la ley y además se diferencian dos supuestos: el primero, que los datos se recaben directamente del titular de los mismos, que no es el caso y, el segundo, que se recaben de persona distinta al interesado. En este supuesto, que es en el que nos encontraríamos respecto a la contraparte o testigos, la ley exige que se informe a dichas personas, de forma expresa, precisa e inequívoca , por el responsable del fichero, dentro de los 3 meses siguientes al momento del registro de los datos, del contenido del tratamiento, de la procedencia de los datos, así como de la existencia de un fichero o tratamiento, de la finalidad de la recogida, de los destinatarios de la información, de la posibilidad de ejercer los derechos de acceso, rectificación, cancelación y oposición y de la identidad y dirección del responsable del fichero.
Sin embargo, respecto al derecho de información,
la Agencia Española de Protección de Datos,
en el mismo informe ya citado, entiende que debe prevalecer,
como en el caso anterior, el derecho fundamental consagrado
en el art. 24.2 CE, y, por tanto, no ha de informárseles,
dado que hacerlo podría perjudicar el adecuado ejercicio
por el interesado de las facultades vinculadas con su derecho
a obtener la tutela judicial efectiva de los Jueces y Tribunales
y el derecho de defensa. Por tanto, no sería exigible
que se proceda a informar a la contraparte, testigos, etc.
de lo establecido en el art. 5 LOPD.
IV.- Principios que han de aplicarse en la recogida y tratamiento de datos de carácter personal (6)
IV.I.- Principio de calidad de datos
Como se comentó en artículos anteriores, la LOPD no sólo formula definiciones y reconoce derechos a las personas en este ámbito (7), sino que también somete la recogida y tratamiento de datos de carácter personal a una serie de requisitos o condiciones, que formula como principios y que han de presidir toda recogida o tratamiento de datos de carácter personal.
El primero de ellos es el denominado “principio de calidad de datos” (8). Este principio supone que los datos han de ser tratados conforme a una serie de pautas o garantías establecidas en la ley. La primera exigencia que formula el mismo es que los datos sólo podrán ser recogidos y/o tratados cuando sean adecuados , pertinentes y no excesivos en relación con el ámbito y finalidades determinadas, explícitas y legítimas para las que se hayan obtenido (9).
De manera que para recoger y tratar datos de carácter personal, se precisa una finalidad determinada que justifica la recogida o el tratamiento, que ésta sea explícita y además que sea legítima . No se puede, pues, recoger o tratar datos sin más, sin una finalidad concreta y específica, que es precisamente la que justificaría o legitimaría la recogida o el tratamiento. Y por supuesto, no se pueden recabar y/o tratar datos con una finalidad ilegítima.
Pero este principio exige mas cosas. Exige, como hemos visto, que los datos sean adecuados en relación a esa finalidad. De manera que al recoger o tratar datos hay que velar por la existencia de esa adecuación. Y han de ser también pertinentes y no excesivos , de manera que podremos recoger y tratar aquellos datos que cumplan con esta exigencia y no deberemos recoger o tratar aquéllos que por su propia naturaleza no vengan al caso o resulten excesivos. Pongamos un ejemplo. Si una Comunidad de Propietarios genera un fichero para el cobro de los recibos de la comunidad necesitará el nombre y apellidos del propietario, la dirección, el piso, el NIF y el coeficiente y, eventualmente, si se va a pasar el recibo por el banco, la entidad bancaria y el número de cuenta corriente, pero no precisará para ello en absoluto, y en este sentido serían datos excesivos carente de amparo legal, recabar también si en el inmueble viven 2 ó 4 personas, si convive con ellos la abuela o no, etc. etc. Porque estos últimos datos serian totalmente inadecuados para la finalidad perseguida –cobrar el recibo de la comunidad-–y desde luego, a todas luces excesivos. De manera que el tratamiento de estos datos excesivos sería ilegal en cuanto contraviene el principio de calidad de datos.
¿Quiere ello decir que sólo se pueden recabar unos pocos datos? La respuesta a esta cuestión es negativa. Se podrán recabar pocos o muchos, dependiendo de que sean o no adecuados, pertinentes y no excesivos en relación a la finalidad para la que se recaban. En realidad, esta exigencia lo que viene es a poner coto a una costumbre bastante extendida en los años 80 en el mundo de la informática, según la cual, ya que se hacía el esfuerzo de crear y alimentar un fichero, una base de datos, se recababan muchos más datos de los precisos en ese momento, por si acaso, o con vistas a un futuro en que los mismos podrían necesitarse, ya que así se hacía el esfuerzo una sola vez pero se podía explotar en el futuro para otros usos o finalidades no concurrentes en ese momento. Piensen ustedes en la cantidad de datos que se recaban para elaborar una historia clínica o una historia social. Son muchos y, sin embargo, en la medida que cumplan con la triple exigencia citada, su recogida y tratamiento es legítima en términos legales. Por ello, la limitación no es numérica sino que viene dada por el cumplimiento o no de esas tres circunstancias: adecuación, pertinencia y no excesividad en relación a finalidad determinada, explícita y legítima.
Este principio establece también que no es posible recabar y/o tratar datos de carácter personal con una finalidad indeterminada y/o ilegítima.
La siguiente exigencia de este principio es que los datos así obtenidos o tratados no pueden usarse para finalidades incompatibles con aquellas para que los datos se hubieran recogido. El término incompatibles que recoge el precepto (10) ha planteado muchos problemas dado que es un término poco claro y se presta a multitud de interpretaciones. De hecho, la LORTAD, al regular este principio, lo hacía utilizando el término “distintas”, lo que no dejaba lugar a dudas.
La introducción de este término, que tanta confusión ha generado, se debe, al parecer, a una traducción poco precisa del art. 6 de la Directiva 46/95, de 24 de octubre, si bien ya va siendo aclarado por los tribunales qué ha de entenderse por incompatible a los efectos de la ley. Así la Audiencia Nacional (11) ha establecido, realizando una interpretación sistemática de la Directiva y la ley, que ha de entenderse por tal cualquier uso distinto al que legitimó su recogida o tratamiento.
Otra exigencia del principio de calidad es que los datos han de ser exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado, lo cual exige, por parte del responsable del fichero o tratamiento, un especial celo para que los datos cumplan siempre con dichos requisitos. Si los datos resultaren ser inexactos o incompletos, dice la ley, serán cancelados o sustituidos de oficio por los datos rectificados o completados, sin perjuicio del derecho de rectificación que reconoce la ley a toda persona y que más adelante analizaremos.
Otra exigencia de este principio es que los datos han de ser cancelados cuando hayan dejado de ser necesarios o pertinentes para la finalidad para la cual se registraron o recabaron. A salvo, claro está, que haya una disposición legal que exija su mantenimiento durante unos determinados plazos bien por disponerlo una norma sectorial (12), bien por estar sujeto a plazos de reclamaciones o acciones de responsabilidad administrativa o jurisdiccional. Pero una vez pasado este tiempo, los datos han de ser cancelados. En realidad aquí habría que diferenciar la cancelación del bloqueo, acciones que son muy diferentes pues la primera supone el borrado o destrucción de los datos y, la segunda, la imposibilidad de ser usados por el sistema pero se conservan materialmente. Lo que procedería sería el bloqueo, durante esos plazos obligatorios de conservación y, una vez transcurridos, la cancelación o destrucción de los mismos. Recurriendo a una imagen no informática, tradicional, el dato o fichero bloqueado sería la carpeta o expediente que se baja al archivo, que aunque no se usa en el quehacer diario, de ahí que esté archivada, sí se conserva, mientras que la cancelación sería la destrucción material del la carpeta o expediente.
La ley establece también que no se conservarán de forma que se permita la identificación del interesado durante un período superior al necesario para los fines en base a los cuales hubieran sido registrados o recabados.
Este mismo principio, que como se ve, es extenso y con múltiples exigencias, impone también la obligación de que los datos sean almacenados de modo y manera que permita el ejercicio del derecho de acceso, que trataremos en su momento. De modo que, esta exigencia, va referida no a qué datos pueden recabarse, a qué se puede y no se puede hacer con ellos, sino a establecer un determinado modo de almacenamiento en los sistemas (13) que no impida el acceso a los datos a un eventual ejerciente del derecho de acceso.
Por último este principio proscribe la recogida de datos por medios fraudulentos, desleales o ilícitos, circunstancias que lamentablemente se dan en la vida cotidiana mucho más de lo que seria deseable (14).
IV.II.- Derecho de información en la recogida de datos.
Este derecho, que se reconoce a todos los ciudadanos, ya fue expuesto en artículos anteriores, concretándose sobre qué debía informarse, por lo que aquí no me extenderé. Indicaré solamente algunas cuestiones.
La primera de ellas es que cuando los datos se recaben mediante algún formulario, cuestionario o impreso la información que ha de suministrarse al interesado, deberá figurar en los mismos, de modo legible. Obviamente esta previsión legal se refiere al supuesto en que los datos se recaban directamente del interesado y no sería posible realizarla en el supuesto en que se recaban de un tercero. De ahí que la ley, en éstos casos, lo que exige es que se informe al interesado en los tres meses siguientes al momento en que se registren los datos, salvo que ya se le hubiese informado con anterioridad.
La ley exonera de esta obligación cuando expresamente una ley lo prevea, cuando el tratamiento tenga fines históricos, estadísticos o científicos o cuando la información al interesado resulte imposible o exija esfuerzos desproporcionados a criterio de la AEPD (15) o del organismo autonómico equivalente, en consideración al número de interesados, la antigüedad de los datos y las posibles medidas compensatorias.
También exonera de la obligación de información en la recogida de datos cuando la información al interesado afecte a la Defensa Nacional, a la seguridad pública o la persecución de infracciones penales.
Y por último, se regula de modo diferente el supuesto en que los datos hayan sido recabados de fuentes accesibles al público y se destinen a publicidad o prospección comercial, en cuyo caso, lo que se exige es que en cada comunicación que se dirija al interesado se le informe del origen de los datos y de la identidad del responsable del tratamiento así como de los derechos que le asisten, es decir, de la posibilidad de ejercer sus derechos de acceso, rectificación, oposición y cancelación.
IV.III.- Consentimiento del afectado.
Respecto al consentimiento hemos hablado también en artículos anteriores. Aquí simplemente reflejar que la exigencia del consentimiento del titular de los datos es la regla general para que los mismos puedan ser recabados o tratados. Sin embargo, a pesar de este principio general, la ley enumera una serie de excepciones al mismo, excepciones que son las siguientes: 1) Que la ley disponga otra cosa (16); 2) Que se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias (17); 3) Cuando se refiera a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento (18); 4) Cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del art. 7.6 LOPD (19) o de otra persona, o para la prevención o diagnóstico médico, la prestación de asistencia sanitaria o tratamientos médicos o la gestión de servicios sanitarios siempre que se realice por profesional sanitario sujeto al secreto profesional o por otra persona sujeta a obligación equivalente de secreto; 6) Cuando se trate de profesionales de la sanidad respecto a los datos de salud podrán tratar estos datos respecto de las personas que a ellos acudan o hayan de ser tratados en los mismos, conforme a la legislación estatal o autonómica sobre sanidad; 7) Cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero al que se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado; 8) Cuando los datos se recojan o traten para fines policiales por las Fuerzas y Cuerpos de Seguridad del Estado en los supuestos y categorías de datos que resulten necesarios para la prevención de un peligro real para la seguridad pública o para la represión de infracciones penales.
Por tanto, fuera de estas excepciones, será preciso contar con el consentimiento del interesado o afectado para recabar y/o tratar sus datos de carácter personal.
IV.IV.- Datos especialmente protegidos
La LOPD establece, con carácter general, un régimen común para todos los datos de carácter personal pero también un régimen especial para una tipología de datos que denomina “especialmente protegidos” y sobre los cuales establece prohibiciones, restricciones al tratamiento y garantías adicionales, además de medidas de seguridad de nivel alto (20).
Son datos especialmente protegidos los datos que revelen la ideología, afiliación sindical, religión o creencias y sólo pueden ser objeto de tratamiento si media consentimiento expreso y por escrito del interesado. Lógicamente los partidos políticos, sindicatos, iglesias, confesiones o comunidades religiosas y asociaciones o fundaciones y otras entidades sin ánimo de lucro, cuya finalidad sea política, filosófica, religiosa o sindical, podrán tratar estos datos con dicho consentimiento pero sólo de sus propios afiliados o asociados (21) y precisarán, en cualquier caso, el consentimiento del interesado para las cesiones de dichos datos.
El hecho de que la afiliación sindical sea un dato especialmente protegido crea especiales dificultades a quienes, como el Graduado Social, elaboran nóminas ya que conforme a la legislación sectorial (22) existe la posibilidad de que un trabajador indique a su empleador que le descuente de la nómina la cuota sindical y la ingrese directamente al sindicato. Pues bien, este dato, sin más, implica tener que aplicar al fichero “nóminas” medidas de seguridad de nivel alto (23), lo cual complica muchísimo la actividad y, sobre todo, supone un coste adicional en software y/o hardware (24) .
También son datos especialmente protegidos los datos personales que hagan referencia al origen racial, a la salud y a la vida sexual y sólo podrán ser recabados, tratados y cedidos cuando, por razones de interés general, así lo disponga una ley o el afectado consienta expresamente.
El hecho de que los datos de salud tengan esta consideración nos lleva al mismo problema anteriormente expuesto respecto a la afiliación sindical pues también precisan el establecimiento de medidas de seguridad de nivel alto. Dicha circunstancia se va a producir cotidianamente, y de hecho se produce, en la labor profesional del Graduado Social, pues los mismos boletines de cotización (y su versión digital) van a contener habitualmente datos de salud (IT, IP, etc.) (25) precisos para poder confeccionar correctamente los boletines y pagar las correspondientes cuotas a la Tesorería General de la Seguridad Social o pueden contener datos de trabajadores con minusvalías.
En cuanto a las cesiones que de estos datos haya que hacer a la Tesorería General de la Seguridad Social, Oficina de Empleo, etc. quedan amparadas por la legislación sectorial que expresamente ordena comunicar tales o cuales datos al organismo competente para la tramitación de cotizaciones, bajas, subsidios, prestaciones, etc. pero eso sí, siempre habrán de estar amparadas en una norma con rango de ley (26) o estar amparadas por el art. 6.2.c) LOPD (27).
La LOPD prohíbe expresamente la creación de ficheros con la finalidad exclusiva de almacenar datos de carácter personal que revelen la ideología, afiliación sindical, religión, creencias, origen racial o étnico, o vida sexual. Prohíbe también el tratamiento de datos relativos a la comisión de infracciones penales o administrativas a los particulares, pudiendo realizar esta tarea únicamente las Administraciones públicas competentes.
Restan aún por exponer y comentar cuatro
principios de protección de datos más y plantear
la cuestión del tratamiento de datos de salud en aplicación
de la Ley de Prevención de Riesgos Laborales y la entrega
de datos de los trabajadores a los Sindicatos y representantes
de los trabajadores, pero la limitación espacial impuesta
a estos artículos impide exponer y comentarlo en esta
ocasión, tal y como sería mi deseo, en aras
de la integridad y coherencia expositiva. Estos son el principio
de seguridad de datos , el deber de secreto ,
las comunicaciones de datos y el acceso a datos
por cuenta de terceros, cuestiones que espero exponerles
en próximo artículo.
|
