Samuel Parra

Como un cliente más, D. J.M.A. acudió al servicio técnico del fabricante de su ordenador para que lo examinaran y procedieran a reparar los elementos defectuosos que pudieran hallar.
La empresa terminó en determinar que el disco duro tenía algún defecto y lo sustituyeron por uno «nuevo».

Cuando el satisfecho cliente arrancó su ordenador con intención, supongo, de instalar un sistema operativo, se encontró no sólo que el disco duro no era nuevo, sino que además era o había sido de otra persona.
En su interior encontró diversa información de carácter personal como fotografías con familiares y amigos, y hasta el propio curriculum vitae del anterior propietario.

Estos hechos los puso en conocimiento de la Agencia Española de Protección de Datos para que procediera en consecuencia; no obstante, y en contra de lo que podríamos pensar a primera vista, el caso se archivó y no se sancionó. Pero, ¿No existe un deber de diligencia y seguridad mínimas para evitar estas situaciones? ¿Cómo es que la empresa no es responsable?. Las respuestas a estas incógnitas deberemos encontrarlas en la interpretación del artículo 2.2.a de la Ley Orgánica de Protección de Datos de Carácter Personal.

Adelantando el final de la historia, la Agencia Española de Protección de Datos entendió que los datos personales encontrados en el disco duro no eran susceptibles de protección a efectos de la Ley Orgánica de Protección de Datos; es decir, no se encuentran en su ámbito de aplicación.

Para comprender la resolución del caso es necesario conocer cuál es el ámbito de aplicación de la normativa en materia de protección de datos, en concreto, la Ley Orgánica 15/1999 de Protección de Datos de Carácter Personal (es necesario matizar que vamos a hablar del ámbito de aplicación de esta Ley Orgánica y no de su actual y aun no vigente desarrollo reglamentario Real Decreto 1720/2007).

En este sentido el artículo 2.1 de esta Ley Orgánica establece:

Artículo 2. Ámbito de aplicación
1. La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado.
Además, el artículo 3 define «dato personal»:
Artículo 3. Definiciones
A los efectos de la presente Ley Orgánica se entenderá por:
a) Datos de carácter personal: Cualquier información concerniente a personas físicas identificadas o identificables.

Por tanto, cabe concluir que sólo los datos de las personas físicas (personas humanas) tienen la protección de esta Ley, y no así los datos de las personas jurídicas, como la razón social o el teléfono de una empresa.
Pero entonces ¿por qué los datos del disco duro no se entendieron como susceptibles de protección?. La respuesta nos la dará el artículo 2.2.a:

Artículo 2. Ámbito de aplicación
2. El régimen de protección de los datos de carácter personal que se establece en la presente Ley Orgánica no será de aplicación:
a) A los ficheros mantenidos por personas físicas en el ejercicio de actividades exclusivamente personales o domésticas.

Esto parece que soluciona el caso: no entran dentro del ámbito de esta Ley los datos mantenidos por particulares en actividades personales, familiares o domésticas; esto tiene sentido, sería impensable aplicar esta ley, por ejemplo, a la agenda de teléfonos de nuestro móvil, a nuestra lista de contactos del Messenger o a nuestro diario personal.

Es por esto por lo que, en vista de que los datos personales encontrados en el disco duro hacían referencia a la esfera estrictamente personal de su anterior propietario (currículum vitae, fotos personales…) no tuvieron amparo en esta Ley Orgánica…

Todo encaja, o al menos en apariencia parece que encaja pero en mi opinión no lo veo tan claro.
Estamos de acuerdo en que el disco duro, mientras estuvo en posesión de su propietario constituía un fichero al margen de la LOPD pero también es cierto que en el momento en que ese disco duro pasa a manos de la empresa o del servicio técnico (seguramente para que lo repararan también), éstos adquieren una responsabilidad de mantener esos datos seguros y evitar que terceros no autorizados puedan acceder a esa información.
Porque ¿qué diferencia hay entre los hechos expuestos y que una empresa tire a la calle un currículum de un aspirante?. Naturalmente que el currículum, mientras estuvo en las manos del aspirante no estaba sujeto al ámbito de aplicación de la ley, pero en el momento en que traspasa esa esfera personal para entrar en un proceso de selección, ese currículum pasa a formar parte de un fichero de datos titularidad de la empresa, y ésta, está obligada a guardar la confidencialidad y seguridad oportuna sobre ese currículum.
De la misma forma, si acudiéramos a un establecimiento para que revelasen nuestras fotos personales y luego ellos las publicasen en Internet ¿podríamos defender que no hay responsabilidad de la tienda porque las fotos, al ser personales y domésticas, no entran dentro de esta Ley?.

En este caso yo habría aplicado una infracción del artículo 9:
Artículo 9. Seguridad de los datos
1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural.

Otra cosa es que en lo relativo a las fotografías del disco duro (dado que me imagino que en cada foto no estaría identificado con nombre y apellidos los retratados), el marco jurídico más apropiado habría sido la Ley Orgánica 1/1982, de 5 de mayo, de Protección Civil del Derecho al Honor, a la Intimidad Personal y Familiar y a la Propia Imagen. Pero eso es otra historia.

Descargar resolución desde aquí