Recomendación 99/1, sobre el tratamiento invisible y automático de datos personales en Internet efectuado por software y hardware, aprobada por el Grupo de Trabajo sobre la protección de las personas físicas en lo que respecta al tratamiento de datos personales, el 23 de febrero de 1999 (DG XV D 5093/98/final WP 17)
WP 17 Grupo de Trabajo sobre protección de las personas en lo que respecta al tratamiento de datos personales
Recomendación 1/99 sobre el tratamiento invisible y automático de datos personales en Internet efectuado por software y hardware
Aprobada por el Grupo de Trabajo el 23 de febrero de 1999
Recomendación 1/99 sobre el Tratamiento Invisible y Automático de Datos Personales en Internet Efectuado por Software y Hardware
EL GRUPO DE TRABAJO SOBRE PROTECCIÓN DE LAS PERSONAS EN LO QUE RESPECTA AL TRATAMIENTO DE DATOS PERSONALES
Creado en virtud de la Directiva 95/46/CE del Parlamento Europeo y del Consejo de 24 de octubre de 1995,
Vistos el artículo 29 y el apartado 3 del artículo 30 de la citada Directiva,
Visto su Reglamento Interno y, en particular, sus artículos 12 y 14,
HA ADOPTADO LA PRESENTE RECOMENDACIÓN:
1. El Grupo de Trabajo anima a la industria informática (software y hardware) a trabajar en productos Internet que respeten la vida privada y que faciliten los instrumentos necesarios para ajustarse a la normativa europea sobre protección de datos.
Una condición para el tratamiento legítimo de los datos personales es que se informe al interesado y se le tenga al corriente del tratamiento en cuestión. Por lo tanto, el Grupo de Trabajo se muestra especialmente preocupado por todos los tipos de operaciones de tratamiento informático que se llevan a cabo actualmente en Internet a través del software y del hardware sin el conocimiento del interesado y que, por consiguiente, son «invisibles» para el mismo.
Ejemplos típicos de este tipo de tratamiento invisible son el chattering en el nivel HTTP(1), los hipervínculos automáticos a terceros, el contenido activo (como Java, ActiveX u otras tecnologías que ejecutan scripts en el cliente) y el mecanismo cookies en su aplicación actual en los navegadores usuales.
2. Los productos (software y hardware) de Internet deberían proporcionar a los usuarios de Internet información sobre los datos que pretenden recopilar, almacenar o transmitir y el fin para el que son necesarios.
Los productos (software y hardware) de Internet deberían asimismo permitir al usuario de los datos un fácil acceso a cualquier dato recopilado que le concierna posteriormente.
(1) Esto significa que con la solicitud http se envía más información de la necesaria para contactar con el servidor.
Esto significa, por ejemplo, que:
– En el caso de un navegador, al establecer una conexión con un servidor web (al enviar una solicitud o al recibir una página Web) se informa al usuario de qué información se pretende transferir y con qué objetivo.
– En el caso de hipervínculos que envía un sitio web a un usuario por el medio que sea, el navegador del usuario debería indicárselos en su totalidad al usuario.
– En el caso de cookies, debería informarse al usuario cuando está previsto que el software de Internet reciba, almacene o envíe un cookie. El mensaje debería especificar, en un lenguaje normalmente comprensible, qué información se pretende almacenar en el cookie y con qué objetivo así como el periodo de validez del cookie.
3. La configuración de los productos informáticos (hardware y software) no debería, por defecto, permitir la recopilación, almacenado o envío de información persistente del cliente(2). Por ejemplo:
– El software navegador debería, por defecto, estar configurado de tal forma que sólo pudiera tratarse la mínima cantidad de información necesaria para establecer una conexión Internet. Los cookies deberían, por defecto, no ser enviados ni almacenados.
– Durante su instalación, una función del navegador concebida para almacenar y enviar datos sobre la identidad o el comportamiento comunicativo del usuario (perfil) no debería rellenarse automáticamente con datos previamente almacenados en el equipo informático del usuario.
4. Los productos Internet (hardware y software) deberían permitir al interesado decidir libremente en cuanto al tratamiento de sus datos personales ofreciéndole instrumentos de fácil manejo para filtrar (es decir rechazar o modificar) la recepción, el almacenamiento o el envío de la información persistente del cliente según unos criterios determinados (incluidos los perfiles, el dominio o la identidad del servidor Internet, el tipo y duración de la información recopilada, almacenada o enviada y así sucesivamente). El usuario debería disponer de instrucciones claras sobre el uso tanto del software como del hardware para la aplicación de esas opciones e instrumentos. Por ejemplo:
(2) Información persistente del cliente es un término técnico (no jurídico) que hace referencia a la información relacionada con el cliente (el PC del usuario) y que permanece más de una sesión en el equipo informático. Una sesión comienza cuando el cliente solicita una página en un sitio Web determinado y termina cuando decide apagar el programa de navegación o el ordenador, o cuando solicita una página de otro sitio Web. Los cookies son un ejemplo típico de información persistente del cliente, y lo mismo ocurre con las preferencias relativas a la vida privada.
– Eso significa que el software navegador debería proporcionar opciones para que el usuario pueda configurar el navegador, especificando el tipo de información que debería o no debería recopilar y transmitir.
– Eso significa en el caso de los cookies que el usuario debería contar siempre con la opción de aceptar o rechazar el envío o almacenamiento de un cookie en su totalidad. Asimismo el usuario debería disponer de opciones para determinar los elementos de información que se van a conservar o eliminar de un cookie, en función por ejemplo del periodo de validez del cookie o los sitios Web de envío y recepción.
5. Los productos (software y hardware) Internet debería permitir que los usuarios eliminen la información persistente del cliente de una manera simple y sin que el remitente se vea afectado. El usuario debería contar con instrucciones claras para poder realizar todas estas operaciones. Si no se puede eliminar la información, deberá existir una forma fiable de evitar su transferencia y lectura.
– Los cookies y demás información persistente del cliente deberían almacenarse de una forma normalizada y permitir un borrado selectivo en el ordenador del cliente.
ANTECEDENTES
Actualmente, es casi imposible utilizar Internet sin verse confrontado con una serie de hechos que invaden nuestra vida privada y que llevan a cabo todo tipo de operaciones de tratamiento de datos personales de manera invisible para el interesado. En otras palabras, el usuario de Internet no es consciente de que sus datos personales se han recopilado y, posteriormente, tratado y podrían usarse con intenciones que le son desconocidas. El interesado no conoce el tratamiento y no es libre para decidir sobre el particular.
En ejemplo de este tipo de técnica es el denominado cookie, que se puede definir como una ficha de información informatizada que se envía desde un servidor web al ordenador de un usuario con objeto de identificar en el futuro ese ordenador en sucesivas visitas al mismo sitio web.
Los navegadores son programas de software destinados, entre otras cosas, a visualizar gráficamente material disponible en Internet. Los navegadores comunican entre el ordenador del usuario (cliente) y el ordenador remoto donde está almacenada la información (servidor Web). Los navegadores suelen enviar al servidor Web más información de la estrictamente necesaria para establecer la comunicación. Los navegadores tradicionales envían automáticamente al servidor Web visitado el tipo y la lengua del navegador, el nombre de otros programas instalados en el PC y el sistema operativo del usuario, la página de referencia, cookies, etc. Dichos datos también se pueden transmitir sistemáticamente a terceros mediante el software del navegador, de manera invisible.
Estas técnicas permiten la creación de rastros de cliqueo sobre el usuario de Internet.
Los rastros de cliqueo consisten en información sobre el comportamiento, la identidad, el recorrido efectuado o las elecciones expresadas por la persona al visitar el sitio web y contienen los vínculos por los que ha pasado un usuario y que están registrados en el servidor web.
Las Directivas europeas 95/46/CE y 97/66/CE sobre protección de datos contienen disposiciones detalladas para la protección de las personas en lo que respecta al tratamiento de datos personales. Las dos directivas son pertinentes para las situaciones tratadas en esta recomendación ya que los datos personales que afectan a los usuarios de Internet se tratan en este contexto. Los cookies o los navegadores pueden contener o volver a tratar datos que permitan una identificación directa o indirecta del usuario individual de Internet.
La aplicación de las disposiciones sobre el tratamiento adecuado, las causas legítimas de tratamiento y el derecho del interesado a decidir sobre el tratamiento de sus propios datos han dado lugar a esta recomendación.
El Grupo de Trabajo está especialmente preocupado por los riesgos inherentes al tratamiento de los datos personales sobre personas que desconocen por completo tal tratamiento. Se insta a los conceptores de software y hardware, por tanto, a tomar en consideración y respetar los principios de estas directivas con objeto de incrementar la intimidad de los usuarios de Internet.
Bruselas, 23 de febrero de 1999
Por el Grupo de Trabajo
El Presidente
Peter HUSTINX