sábado, 17 de septiembre de 2011

LOPD for Dummies: Responsable del Fichero y Responsable del Tratamiento

Esta vez, el título no tiene ninguna errata. Han leído bien: "Responsable del Tratamiento", no "Encargado del Tratamiento". Recuerden que el artículo 3 de la LOPD, dedicado a deficiones, indica lo siguiente en su apartado d):

Responsable del fichero o tratamiento: persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.

A lo largo de su articulado, la ley utiliza indistintamente ambos términos ("Responsable del Fichero" y "Responsable del Tratamiento" como sinónimos). Sin embargo, desde hace ya bastantes años, la Agencia descubrió que la figura del responsable del tratamiento podría ser de utilidad para evitar que algunas empresas se fueran de rositas siendo las beneficiarias de las campañas de márketing.

La verdad, me sorprende comprobar que algunos profesionales de la privacidad desconozcan este aspecto tan básico, por eso he decidido tratarlo en un post de la sección más popular de este blog, "LOPD for Dummies".

Ya en tiempos de la LORTAD, se daba el caso de que algunas empresas intentaban obviar toda responsabilidad en el tratamiento de datos contratando campañas publicitarias con otra sociedad que utilizara sus propios ficheros, es decir, ficheros de elaboración propia o comprados a un tercero, que había inscrito a su nombre en el Registro General de Protección de Datos. La primera empresa, la beneficiaria de la publicidad, no tenía ninguna capacidad de decisión sobre las bases de datos utilizadas en la campaña, ni accedía en ningún momento a la misma. Su defensa era que no podía ser considerada Responsable del Fichero, que no tenía nada que ver con él: El Responsable del Fichero, a todos los efectos, era la empresa contratada, que podría seguir utilizándolo en campañas para otras entidades.

La AEPD, sin embargo, sancionaba a todos los intervinientes en la campaña, alegando que, aunque la beneficiaria de la publicidad no fuera Responsable del Fichero, sí lo era del tratamiento en el que se había producido infracción de la ley. Estas resoluciones de la Agencia se recurrieron, y no sólo la Audiencia Nacional, sino también el Tribunal Supremo, avalan esta interpretación de la ley. Lean como muestra lo que dice Sentencia del TS de 05 de junio de 2004, una de las pocas que la AEPD ha colgado en su web:

“Se desprende asimismo de los repetidos apartados del art. 3, como ya se ha manifestado, la diferenciación de dos responsables en función de que el poder de decisión vaya dirigido al fichero o al propio tratamiento de datos. Así, el responsable del fichero es quien decide la creación del fichero y su aplicación, y también su finalidad, contenido y uso, es decir, quien tiene capacidad de decisión sobre la totalidad de los datos registrados en dicho fichero. El responsable del tratamiento, sin embargo, es el sujeto al que cabe imputar las decisiones sobre las concretas actividades de un determinado tratamiento de datos, esto es, sobre una aplicación específica. Se trataría de todos aquellos supuestos en los que el poder de decisión debe diferenciarse de la realización material de la actividad que integra el tratamiento.”

En otras palabras, y más simple, que el al fin y al cabo, estamos en un post para "dummies": Se ha trasladado al ámbito de la protección de datos aquello de "Prohibido fijar carteles. Responsable: La empresa anunciadora".

Como podrán deducir si han llegado hasta aquí en su lectura, el art. 46 del RLOPD trae causa en esta interpretación de la ley. En él, se fijan criterios para la asignación de responsabilidades a empresas encomiendan a terceros la realización de campañas publicitarias utilizando bases de datos que el beneficiario de la publicidad no ve ni en pintura. Fíjense que en todo momento, se habla de "Responsable del Tratamiento".

Si otro día me acuerdo, les explicará como redactar adecuadamente un contrato de prestación de este tipo de servicios para no pillarse los dedos. Por el momento, hoy lo dejamos aquí. Buenos días.

No hay comentarios: