Dictamen 4/99, relativo a las «preguntas más frecuentes» que hará públicas el Ministerio de Comercio de los EE. UU. en relación con la propuesta de principios de puerto seguro, aprobado el 7 junio de 1999 por el Grupo de trabajo sobre la protección de las personas físicas en lo que respecta al tratamiento de datos personales (DG XV D 5139/99/final WP 21).
WP 21 Grupo de trabajo sobre la protección de las personas físicas en lo que respecta al tratamiento de datos personales
Dictamen 4/99, relativo a las preguntas más frecuentes que hará públicas el Ministerio de Comercio de los EE. UU. en relación con la propuesta de principios de puerto seguro
Aprobado el 7 junio de 1999
En el Dictamen 2/99(1) que aprobó el 3 de mayo de 1999 sobre los Principios internacionales de puerto seguro (en adelante los principios ) , el Grupo de trabajo no analizó las preguntas más frecuentes publicadas por el Ministerio de Comercio de los EE.UU. el 30 de abril de 1999 (en adelante las FAQ , del inglés Frequently Asked Questions). Antes de emitir una opinión sobre su contenido, el Grupo de trabajo solicitó que se aclarase el estatuto de las FAQ.
El 2 de junio de 1999, la DG XV remitió al Grupo de trabajo(2) copia de la carta dirigida a los miembros del comité creado en virtud del artículo 31 de la Directiva 95/46/CE, así como de los documentos que la acompañan y, en particular, una nueva versión confidencial de los principios de puerto seguro y una relación de FAQ, de las cuales se adjuntan seis en la lista(3).
Una vez estudiada la mencionada carta, el Grupo de trabajo entiende que la intención de los EE.UU. es publicar las FAQ a modo de guía oficial de los principios, circunstancia ésta que debería reflejarse en la versión final del punto 6 del artículo 25 de la Decisión.
El Grupo de trabajo concuerda en que esta solución sería deseable por dos razones: por un lado, permitiría aclarar, y en algunos casos culminar, los principios en lo relativo a determinadas categorías de tratamiento de los datos, lo que facilitaría la propia evaluación de los principios; por otro, la guía oficial serviría de ayuda a las instancias de recurso a la hora de interpretar y aplicar los principios a casos concretos.
No obstante, esta solución exige que antes de adoptar una decisión sobre la idoneidad de los principios se tomen en la debida consideración todas y cada una de las FAQ.
En opinión del Grupo de trabajo, tal consideración exhaustiva viene requerida por el punto 2 del artículo 25 de la Directiva, en virtud del cual: E l carácter adecuado del nivel de protección que ofrece un país tercero se evaluará atendiendo a todas las circunstancias que concurran en una transferencia o en una categoría de transferencias de datos.
El Grupo de trabajo constata que ya se ha elaborado una lista de FAQ que incluye quince preguntas. Constata asimismo que si se compara con las nueve FAQ divulgadas en abril y mayo, la lista comprende seis nuevas(4). Constata por último que si se comparan con la versión anterior, en las FAQ adjuntas a la carta de la DG XV se han introducido algunos cambios.
(1) Dictamen 2/99, adoptado el 3 de mayo de 1999, relativo a la idoneidad de los «Principios internacionales de puerto de seguro» que hizo públicos el Departamento estadounidense de Comercio el 19 de abril de 1999. Puede consultarse en:
http://www.europa.eu.int/comm/dg15/en/media/dataprot/index.htm
(2) Creado en virtud del artículo 29 de la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, DO L 281, 23 de noviembre de 1995, p. 31. Puede consultarse en: véase la nota 1.
(3) Véase el anexo 1: Lista de FAQ. Véase el anexo 2: Preguntas más frecuentes, nº 1 a 6, versión de 1 de junio de 1999.
(4) El texto de las seis nuevas FAQ no estaba disponible con fecha de 3 de junio.
El Grupo de trabajo considera que es indispensable contar con un plazo de tiempo razonable para llevar a cabo una evaluación válida de las FAQ, tal como exige el artículo 25 de la Directiva. Dicho plazo debe permitir en concreto efectuar las consultas de ámbito nacional que sean necesarias, de cara al procedimiento establecido en el artículo 31 de la Directiva. Por consiguiente, el presente Dictamen tiene como única finalidad hacer una primera apreciación sobre el estatuto de las FAQ y sobre las FAQ divulgadas el 2 de junio de 1999, sin perjuicio de los comentarios que el Grupo de trabajo se propone hacer sobre la nueva versión de los principios y sobre las FAQ aún no divulgadas, ni de la evaluación global del planteamiento de puerto seguro , dado que habrán de analizarse otros elementos del expediente (por ejemplo, el proyecto de intercambio de cartas).
I. Estatuto de las FAQ
Conforme a lo anterior, el Grupo de trabajo es de opinión que:
1. Las FAQ que se relacionan en el Anexo deberían tener, una vez publicadas por el Ministerio de Comercio de EE.UU., carácter oficial siempre que sean coherentes con los principios y que se utilicen conjuntamente con ellos.
2. Antes de decidir si los principios ofrecen un nivel adecuado de protección, es necesario hacer una evaluación exhaustiva de todas las FAQ durante un plazo de tiempo razonable que abarque las consultas de ámbito nacional.
3. La Decisión que se tome respecto de los principios hará referencia a las FAQ.
4. La lista final de FAQ será exhaustiva. No podrán introducirse cambios de modo unilateral. Sin embargo, las FAQ habrán de incorporar la experiencia cada vez que se revise la aplicación práctica del acuerdo de puerto seguro y sea necesario adaptarlo o complementarlo.
II. Lista de FAQ
El Grupo de trabajo acepta gustoso la tesis de ampliar la lista de FAQ y considera que, debido a la falta de claridad de alguno de los principios, éstas deberían proporcionar una orientación oficial, clara e inequívoca a los responsables de los ficheros, así como las necesarias garantías a los afectados. El Grupo de trabajo desea ver cuanto antes los textos de los proyectos de FAQ que no se han dado aún a conocer. Concede especial importancia a los aspectos siguientes:
1. Investigación independiente de las quejas (FAQ nº 11). Habida cuenta de que no se han introducido mejoras en el principio de aplicación y en ausencia de garantías equivalentes, el Grupo de trabajo confirma que la credibilidad global del puerto seguro depende mucho de una respuesta satisfactoria a este elemento del principio de aplicación .
2. Cláusula de exclusión (FAQ nº 13). De conformidad con el principio de opción , sólo se ofrecería la cláusula de exclusión cuando el u so o divulgación sea incompatible con el objetivo inicial [información personal] con el que fue recogida o con cualquier otro objetivo o divulgación indicados en una notificación dirigida al particular . En su Dictamen 2/99, el Grupo de trabajo dio a conocer y justificó sus objeciones a un concepto de «opción» tan restringido y formuló algunas sugerencias para perfeccionarlo. La mejor manera de conseguirlo es perfeccionar el principio, teniendo en cuenta las sugerencias que se hacían en el Dictamen 2/99, lo que supondría introducir por lo menos una cláusula de exclusión incondicional en el caso de la venta directa.
III. Información delicada (FAQ nº 1)
El Grupo de trabajo reitera el punto de vista que expresó en el Dictamen 2/99, según el cual los principios sólo tienen que ver con la legalidad de los aspectos internacionales de las transferencias de datos (artículos 25 y 26 de la Directiva).
Recuerda que los responsables de los ficheros establecidos en los EE.UU. (con independencia de que estén afiliados a entidades estadounidenses que suscriban dichos principios) están sujetos a las disposiciones nacionales por las que se aplican los demás preceptos de la Directiva, en particular los relativos a la legalidad del tratamiento (artículos 6 y 7) y otros requisitos en materia de información delicada (artículo 8). Lo mismo se aplica a los datos personales recogidos directamente por entidades estadounidenses sobre particulares de la UE. El Grupo de trabajo señala que, para evitar confusiones, las FAQ deberían incluir los puntos mencionados.
En concreto, debe recordarse que los Estados miembros pueden disponer que el interesado no levante la prohibición de tratar información delicada dando su consentimiento (letra a del punto 2 del art. 8 de la Directiva); asimismo puede ser necesaria la notificación previa a la autoridad de control.
IV. Excepciones del periodismo (FAQ nº 2)
El Grupo de trabajo concede la mayor importancia a la libertad de prensa. Considera que la Directiva consigue un equilibrio idóneo al exigir a los Estados miembros que establezcan exenciones y excepciones (artículo 9). Sin embargo, estas se refieren sólo a las Secciones III, IV y VI, por lo que no se aplican a los demás preceptos de la Directiva, como en el caso de la seguridad del tratamiento (artículo 17). El Grupo de trabajo destaca que en su opinión esta FAQ se aplica exclusivamente al tratamiento con fines periodísticos cubiertos por la primera Enmienda; destaca además que el principio de seguridad, en lugar de chocar con la libertad de prensa, está concebido para defender los intereses de los periodistas (en particular, para proteger sus fuentes de información y su trabajo del acceso o la revelación no autorizados, de la pérdida o de la alteración accidental o ilegítima, especialmente cuando el tratamiento suponga la transmisión de datos por red). El Grupo de trabajo considera pues que no hay razón para menoscabar el principio de seguridad tal como se define en el puerto seguro.
V. Responsabilidad subsidiaria (FAQ nº 3)
El Grupo de trabajo no ve problemas en el texto, siempre que se interprete restrictivamente y se aplique sólo a la situación que se describe en la pregunta.
VI. Cazatalentos, etc. (FAQ nº 4)
En el Dictamen 2/99, el Grupo de trabajo afirmaba ya que no podía renunciarse al criterio establecido en las directrices de la OCDE de 1980, por cuanto constituye un requisito mínimo para aceptar un nivel adecuado de protección.
El Grupo de trabajo señala que esta FAQ introduce excepciones que no se mencionan en los propios principios. Haría falta explicar qué operaciones de tratamiento están cubiertas por cada una de las mencionadas excepciones y por qué son estas de carácter restringido. Además, deberían precisarse los principios (notificación, opción) a los que se aplican les excepciones previstas para defender los intereses legítimos de una entidad o el interés publico. Por último, la legitimidad de la actividad de los cazatalentos o los bancos de inversiones parece depender de otros factores que no se mencionan.
VII. La función de las autoridades de protección de datos (FAQ nº 5)
El Grupo de trabajo acepta gustoso la clarificación que aporta esta FAQ y desea proseguir un examen constructivo de la cuestión, en particular por lo que se refiere a la función que las autoridades nacionales de protección de datos podrían desempeñar en la instrucción de los recursos. No obstante, ciertas cuestiones exigen un análisis pormenorizado, en particular:
– las modalidades de ejercicio de la opción, los elementos que determinarán la identidad de la «autoridad de protección de datos competente» y si tal determinación seguirá sujeta al acuerdo de la autoridad correspondiente
– en el caso de ciertas autoridades, la compatibilidad de esta función con los derechos y obligaciones legales establecidos y delimitados por la legislación nacional
– la repercusión en los recursos. Si este examen confirma que las autoridades pueden desempeñar un papel constructivo, el Grupo de trabajo considera necesario:
– definir con más precisión, si es necesario, los casos en que su participación directa constituya una solución adecuada y practicable
– determinar claramente las medidas de seguimiento necesarias cuando una entidad estadounidense incumpla su compromiso de colaborar con la autoridad de protección de datos.
El Grupo de trabajo destaca en cualquier caso la importancia de velar por que se garanticen a todos los participantes en el puerto seguro, con independencia de los mecanismos escogidos, tanto los tres elementos del principio 7 (resolución de litigios y reparaciones, verificación y sanciones) como procedimientos accesibles y fáciles de seguir para los interesados.
VIII. Autocertificación (FAQ nº 6)
El Grupo de trabajo confirma su preocupación de que la autocertificación origine abusos. El Grupo de trabajo considera que, en caso de falseamiento de los criterios de admisión (es decir, cuando una entidad no cumpla los requisitos del principio 7), debe cuando menos excluirse de la lista al impostor . Lo mismo se aplica a aquellas entidades radicadas en los EE.UU. que habiendo suscrito los convenios de puerto seguro con el compromiso de colaborar con una Autoridad Europea de Protección de Datos, no cumplan plenamente dicho compromiso.
Hecho en Bruselas, a 7 de junio de 1999
Por el Grupo de trabajo
El Presidente
P.J. HUSTINX
ANEXO 1: LISTA de FAQ, versión de 1 de junio de 1999
LISTA DE LAS FAQ RELACIONADAS CON LOS PRINCIPIOS ESTADOUNIDENSES DE PUERTO SEGURO
1) INFORMACIÓN DELICADA
2) EXCEPCIONES DEL PERIODISMO
3) RESPONSABILIDAD SUBSIDIARIA
4) CAZATALENTOS
5) LA FUNCIÓN DE LAS AUTORIDADES DE PROTECCIÓN DE DATOS
6) AUTOCERTIFICACIÓN
7) VERIFICACIÓN
8) ACCESO
9) DATOS SOBRE RECURSOS HUMANOS
10) CONTRATOS DEL ARTÍCULO 17
11) INVESTIGACIÓN INDEPENDIENTE DE LA QUEJAS
12) GESTIÓN DEL RIESGO
13) CLÁUSULA DE EXCLUSIÓN
14) RESERVAS DE BILLETES DE AVIÓN
15) MEDICAMENTOS
ANEXO 2: TEXTO de las FAQ nº 1 a 6, versión de 1 de junio de 1999
Preguntas más frecuentes (FAQ)
FAQ nº 1 – Información delicada – 31 de mayo de 1999
P: ¿Debe una entidad ofrecer siempre de modo explícito la opción de participar cuando se trate de información sensible?
R: No, puesto que no es necesario optar cuando el tratamiento:
(1) se realiza en función de intereses vitales de la persona afectada o de otra persona;
(2) es necesario para preparar un recurso o acción en justicia;
(3) se requiere para hacer un diagnóstico médico;
(4) se lleva a cabo en el marco de las legítimas actividades de una fundación, asociación o cualquier otro organismo sin fines lucrativos que persiga un objetivo político, filosófico, religioso o sindical, a condición de que el tratamiento se refiera exclusivamente a los miembros del organismo o a las personas que tienen contactos habituales con él relacionados con sus fines, y a condición de que los datos no se revelen a terceros sin el consentimiento de los interesados;
(5) es necesario para que la entidad cumpla sus obligaciones en materia de derecho laboral; o
(6) se refiere a información hecha pública de modo manifiesto por el particular o es necesario para ejercitar un recurso o acción en justicia.
FAQ nº 2 – Excepciones del periodismo – 31 de mayo de 1999
P: Habida cuenta del amparo que la Constitución de los EE.UU. ofrece a la libertad de prensa, así como de las excepciones que contempla la Directiva en materia de periodismo, ¿se aplican los principios de puerto seguro a la información de carácter personal recogida, guardada o difundida con fines periodísticos?
R: Cuando el derecho a la libertad de prensa consagrado en la Primera Enmienda de la Constitución de los EE.UU. entra en conflicto con los intereses de la protección de la vida privada, la Primera Enmienda debe garantizar el equilibrio de tales intereses en lo tocante a las actividades de particulares o entidades estadounidenses. La información que se recoge con fines de publicación, transmisión u otras formas de comunicación pública de material periodístico, aunque no se utilice, así como la información que se recabe de material de archivo publicado anteriormente, no está sujeta a los requisitos de los principios de puerto seguro.
FAQ nº 3 – Responsabilidad subsidiaria – 31 de mayo de 1999
P: Los proveedores de servicios Internet, los operadores de telecomunicaciones u otras entidades, ¿son responsables desde el punto de vista de los principios de puerto seguro cuando, en nombre de otra entidad, se limitan a transmitir, encaminar, intercambiar o almacenar temporalmente información contraviniendo dichos principios?
R: No. Tal como la propia Directiva, el puerto seguro no genera una responsabilidad subsidiaria. Si una entidad actúa como transmisor y no es determinante ni de la finalidad ni de los medios de tratamiento de los datos personales, no será responsable.
FAQ nº 4 – Cazatalentos, bancos de inversiones y sociedades de auditoría – 31 de abril de 1999
P: Algunas actividades empresariales requieren inevitablemente el tratamiento de datos personales sin conocimiento del interesado, por ejemplo, las actividades de cazatalentos, bancos de inversiones y sociedades de auditoría. ¿Autorizan este proceder los principios de puerto seguro?
R: Si. Tal como la propia Directiva, el puerto seguro no genera una obligación incondicional de obtener el consentimiento del interesado, informar a los particulares sobre el tratamiento de sus datos o darles acceso a sus propios datos. Caben excepciones, por ejemplo, por razones de interés público o si el tratamiento es necesario en función de los intereses legítimos que persigan aquellas entidades o terceros a quienes se divulgan los datos, salvo cuando el derecho de la persona a la vida privada prevalezca sobre tales intereses. Las actividades de cazatalentos, bancos de inversiones y sociedades de auditoría son intereses legítimos.
FAQ nº 5 – La función de las autoridades de protección de datos (5)
P: ¿Qué forma adoptarán y cómo se aplicarán los compromisos de colaboración de las empresas con las autoridades de protección de datos?
R: Las entidades estadounidenses que reciban datos personales procedentes de la UE deberán comprometerse a utilizar mecanismos eficaces para dar cumplimiento a los principios de puerto seguro. En concreto, dichos mecanismos establecerán
(1) vías de recurso para los particulares a que se refieran los datos,
(2) procedimientos de seguimiento para comprobar la sinceridad de las afirmaciones y declaraciones de las entidades sobre el respeto de la vida privada, y
(3) la obligación de éstas de subsanar los problemas que surjan por el incumplimiento de los principios así como de asumir sus consecuencias. El principio de aplicación permite que las entidades se comprometan a colaborar con las autoridades de protección de datos ( APD ) de la Unión Europea como uno de los medios para cumplir dicho principio de puerto seguro. Las entidades que escojan esta opción tendrán que seguir el procedimiento de notificación y los trámites que se especifican a continuación.
(5) Texto distribuido a los participantes durante la última reunión del comité del artículo 31, celebrada el 21 de mayo. Este texto se convertirá en FAQ si la autoridades nacionales de protección de datos acuerdan desempeñar la función descrita.
PROCEDIMIENTO DE NOTIFICACIÓN
Una entidad puede comprometerse a colaborar con las APD declarando en la notificación de puerto seguro dirigida al Ministerio de Comercio que:
(1) opta por cumplir las letras (a) y (c) del principio de aplicación del puerto seguro comprometiéndose a colaborar con la APD competente
(2) colaborará con la APD competente en la investigación y resolución de las quejas que se formulen con arreglo al puerto seguro
(3) en consonancia con las decisiones que se tomen con arreglo al punto 6 del artículo 25 y al [Proyecto de documento sobre los procedimientos comunitarios], cumplirá las decisiones de la APD cuando ésta determine que la entidad debe tomar más medidas para cumplir los principios de puerto seguro, incluidos el pago de indemnizaciones o compensaciones en beneficio de los afectados por el incumplimiento de los principios y la aceptación de las consecuencias que se deriven de ello.
FUNCIONAMIENTO
Si, en el ámbito del puerto seguro, la entidad estadounidense ha optado por colaborar con las APD, los consumidores o asalariados europeos u otras personas afectadas pueden someterle un problema o elevarle una queja. En caso de que no se resuelva pueden acudir a la APD competente. Esta dirigirá a la entidad americana importadora todas las preguntas sobre la queja que sea menester. Si las quejas u otras sospechas concretas originan una investigación de la APD más detenida, la entidad estadounidense se compromete a colaborar de conformidad con la notificación de puerto seguro dirigida al Ministerio de Comercio.
Esto supone, por ejemplo, que la entidad estadounidense habrá de responder a las preguntas que se le hagan o, de lo contrario, ponerse a disposición de la APD, suministrar a petición de ésta información o datos archivados, informar sobre las medidas de seguridad o facilitarle acceso directo o a distancia a los bancos de datos y demás sistemas que contengan información. La entidad estadounidense habrá de facilitar la información que soliciten las APD europeas, que no necesitarán desplazarse a los EE.UU. para investigar las quejas.
Cuando las propias partes acuerden medidas para resolver la queja, como borrar a alguien de una lista de correo o corregir o suprimir datos, la entidad estadounidense, de conformidad con su compromiso de colaboración, estará obligada a cumplir el acuerdo respecto de los datos que se guarden en los EE.UU. Si no llegan a un acuerdo sobre el cumplimiento de los principios de puerto seguro, o sobre el pago de indemnizaciones o compensaciones por las empresas estadounidenses, la APD tendrá la última palabra. Una vez más, la entidad estadounidense quedará vinculada por el compromiso público de plegarse al resultado del proceso, sin perjuicio de las modalidades de revisión fijadas en el [Proyecto de documento sobre los procedimientos comunitarios].
JUSTIFICACIÓN
Para las entidades estadounidenses, la opción de colaborar con las APD constituye por diversas razones una interesante alternativa de cara a la aplicación de los principios. En primer lugar, recurrir a los arbitrajes privados no es en los EE.UU. el método ideal para resolver problemas derivados de relaciones de trabajo en Europa. Colaborar con la APD sería una alternativa mucho mejor para este tipo de quejas. En segundo lugar, esta opción permitiría a las entidades estadounidenses reunir las condiciones de puerto seguro más deprisa que si dependieran de mecanismos de autorregulación concebidos en los Estados Unidos. Cuando entre en vigor el sistema de puerto seguro, probablemente no existirán mecanismos de autorregulación para todas las categorías de transferencia de datos a los EE.UU. Aunque el sector privado está desarrollando programas en este sentido, ni éstos ni otros programas se terminarán ni se llevarán a cabo antes de que concluyan los debates sobre el puerto seguro. El compromiso de colaboración con las APD puede ayudara a cubrir esta laguna. Por último, esta opción permitiría que participaran más entidades estadounidenses en el puerto seguro. Algunas de ellas, porque su negocio sea relativamente singular o por otras razones, difícilmente encontrarían organismos de autorregulación que puedan tratar sus necesidades específicas. Por otra parte, podría no existir un organismo estadounidenses de carácter oficial o reglamentario que entienda de este tipo de quejas. El compromiso de colaboración con las APD permitiría a dichas entidades, no obstante, reunir los requisitos de puerto seguro.
FAQ nº 6 – Autocertificación – 31 de mayo de 1999 (6)
(6) Puesto que la FAQ sobre la autocertificación describe la información que las empresas han de proporcionar al Ministerio de Comercio para inscribirse en el Registro del puerto seguro , este texto tiene que dejar de ser una FAQ y adjuntarse a los propios principios de puerto seguro. La parte estadounidense está dispuesta a aceptar este punto si obtiene satisfacción en cuanto al estatuto de las FAQ.
P: ¿De qué modo una entidad autocertifica su adhesión a los principios de puerto seguro?
R: Para proceder a la autocertificación, las entidades proporcionarán al Ministerio de Comercio, o a su representante, una carta firmada por uno de los responsables de la empresa, que contendrá cuando menos la información siguiente: nombre de la entidad, señas postales y de correo electrónico, teléfono y fax descripción de sus actividades principales descripción de su política respecto de la protección de la vida privada, con indicación de:
– el lugar donde pueda consultarla el público
– la fecha de entrada en vigor de dicha política
– un contacto para la tramitación de las quejas, las solicitudes de acceso y cualquier otra cuestión relacionada con los principios de puerto seguro,
– los organismos oficiales concretos con jurisdicción para entender de cualquier queja contra la entidad por posibles prácticas desleales o deshonestas
– el nombre de los programas de protección de la vida privada a los que esté adscrita la entidad
– el método de verificación (por ejemplo, interna, por terceros)* y
– la instancia independiente de recurso que se ocupará de las quejas no resueltas.
El Ministerio (o su representante) llevará una lista de las entidades que autocertifican su adhesión a los principios de puerto seguro. Tanto la lista como las cartas de autocertificación remitidas por las entidades se harán públicas. Las entidades que autocertifican su adhesión a los principios de puerto seguro indicarán también este extremo en las declaraciones relativas a su política de protección de la vida privada.
Cualquier deficiencia en la información dada a conocer al Ministerio o al público en lo relativo a la mencionada adhesión podrá denunciarse ante la Comisión Federal de Comercio u otra instancia oficial competente.
*Véase la FAQ sobre verificación
Hecho en Bruselas, a 7 de junio de 1999
Por el Grupo de trabajo
El Presidente
P.J. HUSTINX