Diferencia entre revisiones de «Redes sociales»

Revisión de 19:50 22 ene 2016

Informe 0184/2013

Resuelve las dudas respecto a la Ley Orgáinca 17/1999 de protección de datos de carácter personal respecto a la creación de una red social en la que existirán 3 tipos de perfiles:

• Personas fícias.
• Profesionales o autónomos.
• Empresas (que podrán dar de alta a empleados).

I

1. En primer lugar, la persona o personas que proporcionan dicho servicio de red social tedrán la condición de responsable como figura en el artículo 3 d), es decir, como la "persona física o juridica, de naturaleza pública o privada, u órgano administrativo, que decida sobrel a finalidad, contenido y uso del tratamiento."

En este sentido, el Grupo de trabajo del artículo 29 en su Dictamen 5/2009 relativo a las redes sociales en línea, determina que los proovedores de servicios de redes sociales "son responsables del tratamiento de datos en virtud ala Directiva de protección de datos. Proporcionan los medios que permiten tratar los datos a los usuario, así como todos los servicios «básicos» vinsulados a la gestión de usuario." Por ejemplo el registro y la supresión de cuentas.

Por lo que será la persona que proporciona el servicio de la red soial, como responsable del fichero, el que estará sujeto a toas las obligaciones y deberes impuestos por la Ley Orgánica 15/1999

2. Los datos personales de terceros que sean tratados por una persona física dentro de la red social pueden quedar excluidos de la aplicación de la ley de protección de datos.

Sólo se consideran actividades personales las que se puedan enmarcar dentro de la vida privada o familiar de los usuarios de dicha red social, es decir, aquellos datos que afecten a la esfera más íntima de la persona, a sus relaciones familiares y de amistar y que la finalidad del tratamiento de estos datos sea la de surtir efectos en estos ámbitos.

Si dará lugar a la aplicación de la Ley Orgánica 15/1999 si la publicación supera el ámbito de la vida privada o familiar del tercero y no existen limitaciones de acceso al perfil del mismo, y a que constituye una cesión de datos.

3. Cuando la persona física utilice la red social acutando en nombre de una empresa o de una asociación o como plataforma con fines comerciales, políticos o sociales, asume las obligaciones de un responsable de datos que está relevando datos personales al servicio de redes sociales y a terceros.

Está será la posición de los profesionales o autónomos que utilicen la red social no como particulares, sino para sus propios fines.

II

Los responsables de la red social que antes se han mencionado llevarán a cabo el tratamiento de los datos personales de terceros de "cualquier operación o procedimiento técnico, automatizado o no, que permita la recogida, grabación, conservación, elaboración, modificación, consulta, utilización, cancelación, bloqueo o supresión, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias."

En cuanto al tratamiento de datos de carácter personal, "requeríra el consentimiento inequívoco del afectado, salvo que la ley disponga de otra cosa."

1. El que debe ser dar consentimiento para el tratamiento de los datos personales será el interesado, de forma que se encuentre con la "manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen".

Consentimiento libre se refiere a aquel que ha sido obtenido sin la intervención de vicio alguno del consentimiento en los términos regulados por el Código Civil.

Consentimiento específico viene referido a una determinada operación de tratamiento y para una finalidad determinada, explícita y legítima del tratamiento.

Para el consentimiento inequívoco se exige la realización de una acción u omisión que implique la existencia del consentimiento.

En cuanto a la información, supone que el afectado conoce con anterioridad al tratamiento la existencia de este y las finalidades que tiene. por lo que los interesados a los que les soliciten datos personales deberán ser informatos de:

• La existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de los mismos y de los destinatarios de la información.
• El carácter obligatorio o facultativo de su respuesta a las preguntas que se les planteen.
• Las consecuencias de la obtención de los datos o de la negativa de suministrarlos.
• La posibilidad de ejercitar a los derechos de acceso, rectificación, cancelación y oposición.
• la identidad y la dirección del responsables del tratamiento o de su representante.

Los proveedores también deberán informas si:

• Se utilizan los datos con fines de comercialización directa.
• Se distribuirán datos a categorías específicas de terceros.
• Cómo se crearán los perfiles y cuáles serán sus fuentes de datos.
• Se utilizarán datos sensibles.

En cuanto la prueba de la obtención del consentimiento, será el responsable del tratamiento quien deberá acreditar de su existencia por cualquier medio de prueba admisible en derecho.

En cuanto a los datos que hagan referencia al origen racial, a la salud y a la vida sexual, el consentimiento deberá ser expreso. Si ademas los datos revelas ideología, la afiliación sindical, la religión y las creencias, el consentimiento deberá ser también por escrito.

En cuanto a la recogida de datos online, deberá existir una política de privacidad fácilmente accesible por el usuario, que además de servir como acreditación del cumplimiento del deber de información, sirva como prueba de que el programa impide introducir los datos sin antes haber aceptado dicha política de privacidad. Así, el encargado del tratamiento no podrá modificar sus términos sin obtener un nuevo consentimiento informado.

Además, los datos de carácter personal sólo se podrán recoger para su tratamiento, cuando sean adecuados, pertinentes y no excesivos con el ámbito y las finalidades para las que se hayan obtenido, que deberán constar en la política de privacidad y ser determinadas, explícitas y legítimas.

2. Cuando el tratamiento de datos personales por parte de profesionales, particulares, autónomos o empresarios exceda del ámbito personal o doméstico se exigirá el consentimiento de los interesados.

La consulta de datos de carácter personal no especifica entre particulares y empresas, por lo que la red social debe articular algún mecanismo para facilitar a responsables distintos del proveedor el cumplimiento de sus obligaciones en materia de protección de datos.

El carácter de inequívoco implica implica la existencia del consentimiento, por lo que no sabe el tratamiento de datos de terceros que no lo hayan prestado, ya que dicha circunstancia no implica el consentimiento de sus titulares para el tratamiento de los datos personales contenidos en su perfil aunque se encuentre abierto.

El tratamiento de los datos se encuentra limitado por el principio de proporcionalidad recogido en el artículo 4.1 de la Ley 15/1999, de modo que la utilización de la información contenida en el perfil de los que hayan prestado el consentimiento se ciñe a los datos estrictamente necesarios para lograr la finalidad para la que se ha prestado el consentimiento.

Si se pretendiera además recolectar datos adicionales contenidos en el perfil, se deberá informar al interesado de la finalidad del tratamiento de esos datos y obtener su consentimiento.

En cuanto a los empleados de empresas o profesionales y autónomos, podrán dar de alta a sus empleados, sin tener en cuenta los datos personales que puedan tratarse ni el tratamiento que se pueda llevar a cabo, ya que esto constituye una cesión de datos de carácter personal.

Aunque, hay que examinar si la comunicación de datos de carácter personal del trabajador forma parte del contrato de trabajo y si se ajusta a los principios de protección de datos, sobre todo al de proporcionalidad. Un ejemplo de cesión legítima: un trabajador contratado para ser la imagen de la empresa.