1) La protección de datos adquiere cada vez una mayor importancia

¡No me extraña que las empresas estén dando importancia al tema de la protección de datos! Sólo hace falta mirar en las páginas de empleo para ver la demanda de especialistas en la materia (como ejemplo 1, 2, 3, 4, etc.). La realidad es que a los grandes despachos no les falta trabajo en los departamentos dedicados a la protección de datos. Lo que ocurre, en mi opinión, es que tras la lectura de Resoluciones dictadas por la AEPD en los últimos años, no sólo se hace necesario extremar las precauciones sino que, si el mencionado organismo inicia procedimiento sancionador contra una determinada empresa, ya puede el Dto. Legal echarse a temblar. Recordemos que nuestra actual normativa sobre protección de datos impone las sanciones más altas de toda la Unión Europea.

2) El Reglamento ha aumentado las dudas en el sector

Lejos de clarificar determinadas materias, el Reglamento de la LOPD que entrará en vigor el próximo 19 de abril, éste sábado, no ha hecho más que incrementar la inseguridad de los que nos dedicamos al asesoramiento en la materia y las empresas que lo tienen que cumplir. Seguramente, si acudís a la 1ª Sesión abierta que organiza la AEPD el próximo 22 de abril (yo asistiré) os encontraréis en el turno de preguntas una cantidad de dudas sorprendente.

3) La interpretación de la AEPD y su régimen sancionador

Todos sabemos que la AEPD se autofinancia únicamente con las multas que impone al ejercer la potestad sancionadora que tiene encomendada y que éstas pueden alcanzar los 600.000€. En el año 2006, según su informe anual, los ingresos ascendieron a la nada despreciable cuantía de 24.4 millones de euros.

Algo que nunca he llegado a comprender es que no se tome en consideración la facturación de las empresas infractoras a la hora de imponer las multas. A un particular se le puede sancionar con 30.001€ por intercambiar tarjetas en el SIMO (aunque después la Audiencia Nacional le haya quitado la razón a la AEPD) y a una multinacional se le impondría una multa con idéntica cuantía en el caso de actuar de forma similar.

Dicho esto, me gustaría tratar el tema del poco interés que parece poner la Agencia al redactar las Resoluciones, cuidando muy poco la técnica jurídica. Como ejemplo, la última Resolución que he leído y que analizaré en un post posterior sobre la sanción que ha recaído a las entidades Antevenio, S.A. y Bankinter, S.A (PDF de la Resolución R/00284/2008). A continuación dos “pequeños” matices tras una rápida lectura de la misma.

1. A pesar de intentar de ocultar la identidad del portal a través del cual se recaban los datos, haciendo alusión al mismo como “la página web …Y…“, el copy & paste le hace desvelar, en la página 16 de la Resolución, que se trata de www.trucoteca.com.

2. Sin embargo, hay un aspecto de esta Resolución en particular que me parece especialmente grave. En la página 33 de la mencionada Resolución se lee lo siguiente:

“En el presente supuesto, no cabe apreciar que Bankinter prestara la diligencia debida a fin de evitar el tratamiento de datos sin consentimiento del afectado. Cuando está en juego la protección de derechos fundamentales, como lo es el derecho a la protección de datos, no basta con plasmar en el contrato una serie de garantías sin realizar una mínima comprobación tendente a constatar que las mismas se cumplen”

Y cinco páginas más adelante, en la misma Resolución, la AEPD afirma que:

“En cuanto a Bankinter, es necesario considerar que dicha entidad desplegó la diligencia que estuvo a su alcance, al exigir en los contratos celebrados las garantías previstas en la LOPD, por lo que procede, de igual modo, aplicar lo dispuesto en el citado artículo 45.5 de la LOPD”.

¿A qué estamos jugando? O bien la AEPD aprecia que Bankinter no prestó la diligencia debida o, por el contrario, aprecia que sí la desplegó. En fin, esta contradicción demuestra poca diligencia por parte de la Agencia…