Imagine

No, no se trata de la canción de John Lennon, aunque pudiera parecerlo. Es parte de la contestación que me dio este verano una empresa a través de un sistema de “tickets” de atención al cliente cuando le pregunté que de dónde habían sacado mi dirección de correo electrónico. Después de recibir publicidad sobre un asunto en el que jamás he tenido ni el más mínimo interés, y de una empresa desconocida, entré en su página web y me encontré con que disponían de un formulario donde dirigirte a ellos. Lo rellené preguntando por el origen y recibí la siguiente contestación:

STecnico

Sería aplicable aquello de que es preferible estar callado y parecer tonto que hablar y despejar la incógnita. En tres líneas se cubren de gloria. Resulta que el origen del dato es que “un anterior empleado lo había dejado en un ordenador…”. Por arte de magia, mi dirección de correo estaría paseando por allí, y algún empleado la invitó a entrar en ese ordenador, y se quedó allí a vivir. Claro, en esa situación, ya había que tratarla como si fuera de la casa.

Lo mejor de todo es la excusa… “imagine usted”. Saber de dónde vienen los datos que tenemos, y su origen, es que puede llegar a ser una tarea muy pesada. Imagínese tener que dar explicaciones, por Dios. El caso es que lo imagino, y además, es que es así. Tienen que tienen dar explicaciones con el origen de todos y cada uno de los datos de los que dispone la empresa, por supuesto.

¿Cuántas cosas afloran en tan solo tres líneas? Primero, que la atención al usuario o cliente es penosa. No es admisible una contestación de este tipo. Segundo, que a la empresa le importa más bien poquito esto de gestionar la información, cumplir con la normativa, y que los empleados no han sido formados ni en atención al cliente, ni en el asuntillo de los datos. El problema es que esto es casi generalizado. Muchas pequeñas empresas han caído en las redes de los estafadores del “coste cero” o en las garras de cualquier Chiquilicuatre que dice trabajar con protección de datos, y el resultado son cosas como esta. Piensan que basta con declarar dos o tres ficheros al Registro y hacer un documento de seguridad “copypasteado”. Pero no es así.

Ahora sí que aprovecho la canción de Lennon: querido empresario, sí, sí que tienes que dar explicaciones sobre el origen de mis datos. Es fácil si lo intentas…

El peligro de la “cosecha propia”

He recibido una solicitud certificada donde una persona envía un escrito firmado, acompañando fotocopia de su DNI. A primera vista nada fuera de lo normal. Parecía la típica solicitud de ejercicio de algún derecho “eleopediano”. Pero… ¡ay, amigo Félix, como dice la canción! ¡tú que pensabas que sólo iba a ser eso!

La cartita en cuestión incluye una declaración en las que el firmante indica que no quiere que se realicen diversos tratamientos de sus datos. Por apartados, muy bien estructurada, con explicaciones extensas: cesión de datos, análisis de perfiles, encuestas… No a todo. No a todos los tratamientos de datos posibles que se estuvieran desarrollando. Hasta ahí, curioso por el formato, pero nada más.

Sin embargo, el último párrafo de esa “declaración” dice lo siguiente. Literal, lo prometo:

Estas preferencias estarán vigentes mientras no las revoque expresamente por escrito, no siendo válida la revocación por la mera aceptación de un formulario o contrato en el que estén incluidas las cláusulas de aceptación de tratamiento de datos.

¿Mande…?

Como “Dios Google” lo sabe casi todo, porque prácticamente todo lo escrito está ya colgado en Internet, no he tenido más que poner un parrafito entre comillas para ver que se trata de este mismo escrito, que la empresa ONO utiliza para sus clientes en determinados casos de asistencia técnica. Le han quitado unos párrafos, y el firmante ha “perpetrado” de su propia cosecha el parrafito de marras.

Para que luego me queje de los del “coste cero”, o de los aficionados a redactar “políticas de privacidad” en España.

No existen las políticas de privacidad… ¡qué disgusto!

PapelH¿Cuántas veces hemos oído utilizar el término “política de privacidad”? Que si una web tiene o no tiene política de privacidad, que si hay que indicar en la política de privacidad tal o cual cosa… Pues tengo una mala noticia: en la legislación española NO existen las políticas de privacidad tal y como se han venido entendiendo desde hace un tiempo en el gremio.

Suelen aparecer esas políticas después de llegar a ellas desde un enlace que en muchas ocasiones está escondido a pie de página de inicio. Cuando las tienes delante, te das cuenta de que se trata de un conjunto de largos párrafos de información inútil e innecesaria, la mayoría simple copia de artículos de la Ley y Reglamento. Cuantas más cosas se pongan, mejor. Cada vez que leo alguno de estos engendros, pienso que es una justificación de minuta frente al cliente, porque ¿cómo se le explica que con colocar pequeños avisos en los formularios oportunos, y poco más, ya sirve? Así hay más letras juntas, y da la sensación de horas de trabajo de gabinete. Los hay que venden servicios al peso de las letras.

Es un término importado e impostado. Ya que no está en las normas, vayamos al Diccionario de la RAE a ver si nos da una pista o nos ayuda. Entre las diversas acepciones encontramos que define política como las “orientaciones o directrices que rigen la actuación de una persona o entidad en un asunto determinado”. ¿Cuáles son las orientaciones y directrices que rigen la actuación del responsable, o de cualquier otro, que recoja y trate datos? Por esta definición parezca que la entidad puede optar o decidir qué hace o qué no, y de qué manera, nada más lejos de la realidad.  La Ley y el Reglamento, básicamente, son esas orientaciones y directrices. Nuestro ordenamiento es taxativo en este sentido, y permite poco margen de maniobra.

Si algo tiene nuestro cuerpo normativo sobre protección de datos, es que deja pocos puntos a merced de las decisiones de quien los trata. Nuestro sistema normativo es muy claro en qué información hay que aportar al titular de los datos, y cuándo hacerlo, porque de ello depende que tengamos el consentimiento necesario para tratar datos. Por eso la información al titular de los datos es esencial. La información que hay que dar viene marcada por varios artículos de la L.O.P.D.:

  • Artículo 5:información en la recogida de los datos
  • Artículo 11, punto 3:información mínima que hay que proporcionar sobre el cesionario si se tiene prevista o se realiza una cesión de datos
  • Artículo 27:información que hay de proporcionar el responsable de fichero cuando efectúa la primera cesión de datos
  • Artículo 30, punto 2:información al destinatario de comunicaciones comerciales cuyos datos han sido obtenidos de fuentes accesibles al público

Hemos de sumar a éstos los artículos dedicados por el Reglamento a la obtención del consentimiento, donde impone ciertos deberes formales que no hacen sino complementar al artículo 5 de la Ley. Y si abandonamos la L.O.P.D., puede añadirse la obligación de informar que impone la L.S.S.I.C.E., que no es más que una remisión a la anterior para el caso de que se recojan datos de carácter personal, y además, en el caso de instalación y uso de “cookies”, qué información previa ha de darse: información clara y completa, y los fines de los tratamientos de datos que se pretendan realizar. Y no hay más, el resto es pura literatura.

Ninguna de esas diversas manifestaciones del deber de información debiera catalogarse como políticas de privacidad. Para dar una muestra de cómo debe informarse en páginas web podemos leer las más que añejasRecomendaciones al Sector del Comercio Electrónico redactadas por la AEPD en el año 2000, como consecuencia de una inspección sectorial. En concreto, en su Recomendación Primera (página 10), referente a la información en la recogida de datos, dice lo siguiente:

En todas y cada una de las páginas web desde las que se recaben datosde carácter personal se incluirá claramente visible la información a la que hace referencia el artículo 5 de la LOPD, que el usuario deberá poder obtener con facilidad y de forma directa y permanente.

Podrá optarse por incorporar en todas esas páginas un texto o un botón adecuadamente etiquetado que, al ser seleccionado mediante un “click”, permita obtener la citada información. No obstante, se considera más adecuada una opción según la cual la lectura de dicha información se presente como ineludible (y no optativa) dentro del flujo de accionesque deba ejecutar el usuario para expresar la aceptación definitiva de la transmisión de sus datos a la entidad que los está recabando.

El subrayado y la negrita son míos. De verdad, qué recomendaciones aquéllas, de hace ya más de una década… Es que les pasa como a los vinos. Esto era Gran Reserva. Particularmente echo de menos en el haber de la AGPD documentos de esa claridad y utilidad, y no guías insulsas que se dedican a recopilar legislación, sus propias resoluciones y cuatro cositas más. Vino de mesa.

Es más fácil contagiarse de lo malo que imitar las virtudes ajenas. Sin embargo, hay razones para no seguir la moda de las susodichas políticas. La de más peso, que no existe obligación legal alguna, y que poco o nada aportan, salvo demostrar que el asesoramiento no es del todo correcto. La segunda, que además los titulares de los datos, en concreto los vascos, no las leen, comoayer contaban en Iurismática. Y finalmente y para colmo de males, si los usuarios las leyeran, el coste de oportunidad sería demasiado alto. Esto ya lo han demostrado en el país de las “políticas de privacidad”, e incluso comienza a haber iniciativas para acortarlas porque les empiezan a parecer inútiles.

Parece mentira que mientras ellos buscan cómo simplificar, nosotros, que tenemos algo simple, estamos intentando complicarlo.