Entrevista número 1


"No tenemos un instrumento eficaz de protección de los datos personales en Internet"




La circular Nº1/97 del 13 de enero de 1997 de la Comisaría General de Seguridad Ciudadana, titulada "Captación de datos de interés para la seguridad ciudadana", pretendía que la policía en tareas de patrullaje callejero recabara información sobre los ciudadanos a partir de simples sospechas, aunque no constituyeran indicio de delito ni hubieran sido confirmadas. Incluso se proponía "reclutar" para esta tarea a los empleados de empresas privadas de seguridad (en España hay 1.600 con 64.000 empleados), detectives e investigadores comerciales (41.000) y guardas particulares de campo (23.000). Todos estos datos serían enviados al Grupo de Análisis y Tratamiento de la Información (GATI, el ordenador central de la policía). Entre los datos que se solicitaban se incluían, por ejemplo, "situaciones de malestar social motivadas por razones diversas: carencia de infraestructuras adecuadas, inseguridad, etc., que pueden aflorar en alteraciones de la convivencia ciudadana".

La circular fue retirada el 27 de enero ante la conmoción que provocó en la opinión pública y a instancias de la APD.

La entrevista se celebró dos semanas antes de que la Guardia Civil presentara su página en Internet el 12/3/97. Pero ya se había anunciado en la Página de Telemática de El Periódico de Catalunya el 8/12/96.


Internet, la gran plaza del ciberespacio, es también el gran caldero de datos personales de millones de internautas. En menos que canta un gallo, el debate y la legislación (allí donde existía) sobre la defensa de la intimidad y la privacidad personal han quedado en entredicho por la irrupción de sistemas de información distribuidos en red de alcance planetario. Por entre millones de ordenadores circula un cuantioso volumen de datos personales que se pueden almacenar y usar para fines diferentes de los pretendidos por el propietario que los cedió advertida o inadvertidamente. Cada día aparecen nuevos sistemas capaces de dibujar un perfil personal de los internautas a medidas que estos visitan lugares, intercambian mensajes electrónicos y efectuan operaciones de todo tipo: ocio, comercio, culturales, etc. ¿Hay leyes que amparen los derechos de los usuarios ante esta nueva situación? En los últimos años, la Unión Europea, el Consejo de Europa y varios países miembros habían regulado estos derechos ante el crecimiento de los archivos automatizados. Internet ha modificado el panorama y, junto con sus evidentes beneficios, ha abierto puertas cuya vigilancia (no digamos ya su clausura) parece una tarea imposible. en.red.ando ha querido verificar si esta impresión es cierta entrevistando al Director de la Agencia española de Protección de Datos (APD), Juan José Martín-Casallo, responsable de velar por la intimidad y privacidad de los ciudadanos ante el posible mal uso de sus datos personales contenidos en ficheros automatizados.





L.A.F.H.- "Hay que regular Internet" parece ser el grito de batalla de los Estados. ¿Cómo enjuicia esta petición desde la perspectiva de la APD?
J.J.M-C.- Internet es un fenómeno social y me parece legítimo que nos planteemos si es necesaria una regulación jurídica de este fenómeno social. Desde la APD entendemos que sí es necesaria, porque por Internet circula una multitud de datos personales que se recogen, se tratan, se ceden se piden para unas finalidades concretas y en algunos casos se usan para otras muy distintas distintas o para operaciones a las que no ha dado su consentimiento elciudadano afectado. La otra cuestión es no ya si es necesaria esta regulación, si no si en la práctica es posible una regulación jurídica de Internet desde el punto de vista de la protección de datos, porque la red caería desde luego dentro del ámbito de la LORTAD. Y aquí es donde comienzan las dificultades.

L.A.F.H.- Vayamos por partes.
J.J.M-C.- Primero, el número de personas y entidades que intervienen en la red, desde el que suministra las redes telefónicas, los servicios de acceso, los servicios de contenido, a los propios usuarios. Cada uno con funciones diferentes, lo cual conlleva que se diluyan las responsabilidades administrativas o penales en que puedan incurrirse. En segundo lugar, desgraciadamente no todos los países tienen una ley de protección de datos. Lo poseen con carácter general los países miembros de la UE, pero no Canadá, Hong Kong, Australia o EEUU. Y da la casualidad que con EEUU se mantiene el 70 0 el 80% del comercio mundial y me imagino que la ocupación en Internet es aproximadamente de ese volumen. O sea, que con la Iglesia hemos topado.

L.A.F.H.- Usted se refiere, en este caso, a la extraterritorialidad de la ley.
J.J.M-C.- Efectivamente. Yo no puedo sancionar a un ciudadano americano que esté en la red. O sea, lo que en teoría puede caer dentro del ámbito de la LORTAD o de la directiva Europea. Es muy difícil ponerle ese cascabel al gato.

L.A.F.H.- Y entonces qué se hace.
J.J.M-C.- Bueno, la dificultad no impide que haya esfuerzos para resolver el problema, aunque sea parcialmente. Pero son más bien gestos de buena voluntad por parte de grupos de trabajo, de comisiones o de decisiones tomadas por algún comisario de datos, no decisiones jurídicas.

L.A.F.H.- Póngame algún ejemplo.
J.J.M-C.- Pues en Finlandia y en Suecia se han dado instrucciones que limita la información que pueden ofrecer las administraciones públicas, sobre todo los municipios, en Internet. Se excluyen, naturalmente, la que tenga datos confidenciales.

L.A.F.H.- Estos son parches, pero ¿y las soluciones?
J.J.M-C.- Yo creo que, en primer lugar, habría que promover un código tipo de sectores similares que operan en Internet para que ellos mismos se comprometan a no utilizar los datos para finalidades distintas, comunicar a los usuarios que sus datos se van a guardar, informatizar y quizás ceder a terceros para que valoren si merece la pena darlos o no, crear algo parecido a las etiquetas de calidad para indicar que determinado servicio se obliga a respetar la privacidad de las personas. Y, por supuesto, reforzar las medidas de seguridad para que nadie utilice el nombre o la identidad de otro.

L.A.F.H.- Pero estas medidas dejan librada gran parte de la cuestión a la buena voluntad de sectores que, habitualmente, en este campo, no se caracterizan por ejercerla.
J.J.M-C.- Es cierto. Por eso, los juristas cada vez están más convencidos de que es necesario un convenio internacional que regule Internet en materia de protección de datos. Pero si el derecho siempre ofrece soluciones tardías a hechos concretos, esta sería la más tardía de todas. Un convenio de este tipo debería ser aceptado por todos los países, cosa que no veo posible por ahora. En EEUU todo se reduce a planteamientos puramente comerciales, si el convenio encorseta estos planteamientos será muy difícil sacarlo adelante. Pero el convenio resolvería sobre el problema de territorialidad. La cuestión es ¿quién lo promueve? y, sobre todo ¿estaría dispuesto a aceptarlo EEUU? La directiva europea estipula que las transferencias internacionales de datos sólo se pueden ofrecer a países que ofrezcan el mismo nivel de protección.

L.A.F.H.- Cosa que Internet ha volado por los aires.
J.J.M-C.- Exacto. Ya me dirá usted quien le pone ese cascabel al gato de Internet. Tenemos varios grupos de trabajo europeos que están preocupados, promovidos por diferentes agencias europeas de protección de datos. Pero nos quedamos siempre en el puro voluntarismo. El hecho incuestionable es que no tenemos un instrumento eficaz de protección de los datos personales en estos momentos.

L.A.F.H.- Entonces, ¿qué hace la APD?
J.J.M-C.- Ahora estoy tratando de elaborar unas normas indicativas para la administración para que en sus páginas de Internet eludan u omitan el tratamiento de datos personales confidenciales. Pero son sólo recomendaciones. Mi autoridad sancionadora a administraciones públicas y privadas en muchos de estos aspectos se me queda diluida por la propia configuración de Internet que supone un planteamiento jurídico muy difícil. Por nuestra parte, mantenemos unas páginas en la red y queremos conectar todos los servidores de las Agencias europeas de datos para poner toda la jurisprudencia e informar a los ciudadanos y que estos nos puedan hacer llegar sus problemas a través de correo-e. En abril celebraremos una conferencia en la que vamos a proponer que todas las agencias trabajen juntas a través de Internet.

L.A.F.H.- Veamos problemas concretos. Cada vez resulta más fácil rastrear los movimientos de los usuarios a través de Internet, lo que supone un acopio rutinario de datos personales.
J.J.M-C.- Es como el caracol, que va dejando el rastro. Pero ya ocurre, por ejemplo, con las tarjetas de crédito. Se le puede sacar un perfil al usuario, si viaja, adónde, qué gasta, qué restaurante usa, o si va a bares de señoritas. Eso ya existe. Lo que ocurre en Internet es que ese peligro se multiplica y se hace más incontrolable por la propia configuración de la red.

L.A.F.H.- ¿Qué piensa usted de la encriptación de mensajes?
J.J.M-C.- Los países tienen posiciones diferentes. EEUU quiere que se depositen las claves para desencriptar los mensajes. Aquí nadie me ha preguntado, pero creo que se podría acordar que los mensajes se encriptaran y sólo se pudiera acceder a ellos mediante una orden judicial, de la misma manera que para abrir el correo normal o entrar en el domicilio de una persona. Pero si de aquí sale encriptado y llega a EEUU y allí lo descifran ilegalmente para nosotros, entonces prevalecerá su sistema legislativo.

L.A.F.H.- O sea, que no hay solución.
J.J.M-C.- Hasta ahora lo normal era que el dato se quedara en el país y lo excepcional que saliera al exterior. No voy a decir que a partir de ahora la situación se invierte, pero cuando menos se equilibra. Internet no es un fenómeno local, el usuario piensa en viajes lejanos a través de las redes. Y en cuanto se piense en viajes lejanos más allá de las propias fronteras aparece el problema legislativo.

L.A.F.H.- Una cuestión como ésta podría vaciar de contenido a las agencias de protección de datos.
J.J.M-C.- Depende de cómo enfoquemos nuestra labor. Yo creo que nuestro primer objetivo debe ser la concienciación del ciudadano en la propia defensa de su intimidad. Y la puedo hacer a pesar de Internet. Lo que sí me vacía de contenido es la potestad sancionadora que tengo encomendada. De todas maneras, el ciudadano es un ser libre y la defensa de su propia intimidad no la puede delegar en una agencia o en una ley. Yo creo que esto debería ser un proyecto educativo a partir de los 15 años para que sepa cuándo debe ceder sus datos personales. Hay gente que no es muy celosa en la defensa de su intimidad, rellena todo lo que le ponen por delante y cada día ingresa en miles de bases de datos. Es su planteamiento. Es su opción y no tenemos nada que decir al respecto.

L.A.F.H.- Pero hay otros que sí son celosos de su intimidad o, por lo menos, que no desea que le conviertan en el objetivo de las empresas por los datos que ésta posea sobre su persona. Y no dólo de las empresas.
J.J.M-C.- Yo lo único que le puedo decir al individuo es que piense antes de dar sus datos personales. No le digo que lo haga o que no lo haga, pero le aviso de lo que le puede ocurrir. Y piense que todo este asunto de los datos informatizados apenas está empezando. Pero no podemos vivir en un temor paralizante, porque si no nos quedaríamos atrás. Por eso me parece más fructífero advertir al ciudadano de las circunstancias en que puede verse si otras personas utilizan sus datos. En primer lugar, pues, buena información. En segundo lugar, alcanzar un compromiso moral con quien yo me relaciono a través de Internet para que no use los datos para finalidades distintas de lo acordado. Si la transacción se hace entre personas españolas, se sigue bajo el imperio de la ley. Aunque no perdemos de vista las dificultades.

L.A.F.H.- ¿A qué se refiere por un compromiso moral?
J.J.M-C.- Falta un reglamento de seguridad en España aplicable al que gestiona los ficheros. A lo mejor es un servicio que debe prestar la red. Si es una autopista de información, el conductor del vehículo no es el que debe poner los sistemas de protección. Este es un asunto que habría que estudiarlo con operadores, proveedores, suministradores de contenido, etc., y llegar con ellos a algún código tipo de comportamiento. En el caso de los proveedores, que se responsabilicen de la seguridad de los datos que gestionan. Y con los proveedores de información, un compromiso de que los datos que recaben no lo utilizarán con fines diferentes. El código tipo nos serviría en España. Pero si el dato viaja a otro país, yo ya no tengo ninguna autoridad.

L.A.F.H.- ¿Y si supiéramos que el proveedor que opera desde España intercambia datos con uno extranjero?
J.J.M-C.- Le podría hacer caer el peso de la ley. Pero al otro, si por ejemplo está en EEUU, donde no hay ley equiparable, no podría hacer nada.

L.A.F.H.- Veamos ahora el caso de la circular Nº 1/97 que intentó poner en práctica el Ministerio del Interior.
J.J.M-C.- Fue retriada por el Ministerio de Interior y se ha enviado otra que ha recibido los parabienes de la APD porque respeta el artículo 20 de la LORTAD. Ya no se solicitan informaciones relativas al cambio de conducta de los ciudadanos, conductas sospechosas, exhibiciones de dinero, etc. La policía puede recabar datos siempre que exista peligro concreto y no abstracto.

L.A.F.H.- Pero en el caso de esa circular, el policía tenía que hacer todo: obtener los datos, anotarlos en una planilla, llevarlos a la comisaría, preparar las fichas para pasarlos al GATI, o sea, todas las actividades típicas del mundo presencial...
J.J.M-C.- Sí, pero si cada día la policía hace 10.000 fichas que al cabo del año son cuatro millones de fichas, eso o se informatiza o no sirve para nada. La informatización se habría producido de todas maneras. Pero fíjese que hay una recomendación del Consejo de Europa, me parece que del año 87, que dice que incluso deberá evitarse el tratamiento manual de datos policiales con la finalidad de eludir la aplicación de la ley de protección de datos automatizados. Claro, porque si no sería fraude a la ley, se adoptaría una conducta para decir que no se está incumpliendo la ley. No, no, aunque me digáis que son datos manuales os tengo que recordar que no se pueden acumular con esa finalidad.

L.A.F.H.- Bueno, pero me quiero referir a otro supuesto. En estos días se está creando la comandancia virtual de la Guardia Civil...
J.J.M-C.- Eso no lo sabía.

L.A.F.H.- La GC ha anunciado que tendrá unas páginas normales de información al ciudadano y, además, creará un Grupo Operativo que trabajará con la Policía Judicial. Ellos podrán patrullar la red como lo hace la policía en la calle, con la diferencia de que los datos que se encuentren ya están informatizados. O sea, lo que decía aquella circular que pedía recoger datos sobre comportamientos sospechosos y que se extralimitaba en sus criterios, en este caso no hace falta pedirle permiso a nadie porque los datos ya están informatizados y la policía puede construirse la radiografía de su sospechoso mediante un patrullaje rutinario de Internet.
J.J.M-C.- Si fuera así, tendrían bastantes problemas con nuestra ley. La policía tiene derecho a investigar pero bajo la suposición concreta de que se puede cometer un delito o que se ha cometido. Pero la policía no puede manejar los datos que circulen por Internet para ver si "pesca" algo. Nuestra ley limita la recogida de datos personales, que debe hacerse con el consentimiento del individuo. La ley hace una salvedad lógica en el caso de una investigación por suposición de comisión de un delito. Pero no se puede generalizar esta conducta: "Como es posible que se pueda cometer un delito yo voy a investigar todas las conductas, sin el consentimiento del ciudadano". No, esto no se puede hacer. De lo contrario, nosotros tendríamos que intervenir.

L.A.F.H.- ¿Qué harían ustedes?
J.J.M-C.- Actuaríamos ya sea por denuncia de un ciudadano e incluso de oficio si llegamos a saber que se está haciendo algo de este tipo. Yo no tengo mala sintonía con el Ministerio del Interior, al contrario, creo que la tengo buena. Y sé que la cúpula del ministerio es muy respetuosa con la intimidad del ciudadano y lo ha demostrado retirando inmediatamente la circular y admitiendo que se excedía, lo cual me deja en principio bastante tranquilo.

L.A.F.H.- La cuestión es: ¿cómo demuestra el ciudadano que este tipo de patrullaje está sucediendo?
J.J.M-C.- Mire, porque el dato esté informatizado usted no tiene una patente de corso para hacer lo que quiera. Ahora bien, no sé como se demuestra si ha habido acopio de datos personales en patrullajes rutinarios. Pero no olvidemos que cuando usted mete un dato en Internet usted consiente a que se lo coja todo el mundo, incluso la policía o la Guardia Civil.

L.A.F.H.- Sí, pero yo no quiero que la policía, con esos datos, configure ficheros que a posteriori hagan surgir perfiles para otros fines. Si yo emito mi opinión en la calle o en un auditorio no pasa nada. Pero si la emito en Internet, por el solo hecho de hacerlo en este medio les basta visitar la página --ya sea a la policía o a otros servicios-- y quedarse con el dato. Perdone que me ponga conspirativo, pero si mañana pasa algo, de la naturaleza que sea, y ellos se preguntan "Bien, quienes son los que sostienen tales cosas", lo que sea, como no tener problemas con la pornografía o favorecer determinadas opciones políticas, pues basta acudir a la base de datos para sacar conclusiones. No es la primera vez que se hace.
J.J.M-C.- Esa actuación de la policía no sería lícita. Pero volvemos a los problemas propios de Internet, en este caso demostrar que la policía está realizando una actividad no amaparada por la ley. No se me ocurre la solución en este momento. Sólo se me ocurre lo contrario: cuando usted sepa de manera fehaciente que la policía, o quien sea, está recogiendo sus datos, entonces sí que podemos actuar. El ciudadano siempre debe tener presente de que lo que coloca en Internet es susceptible de ser usado de esa manera. Otra cosa es que usted mande un mensaje cifrado y se lo descifren sin su permiso., eso sí es un claro delito. Otra cosa es que sus opiniones contuvieran datos especialmente protegidos, como las creencias, la religión, la ideología. Esos no los puede coger la policía ni siquiera para los fines de una investigación concreta.

L.A.F.H.- ¿Porqué somos tan inconscientes en España respecto a la protección de los datos personales?
J.J.M-C.- El ciudadano español es muy generoso en la recogida de datos para cualquier finalidad legítima y solidaria. Quizá sea un defecto que parte de una virtud. Es posible también que en la sociedad española no haya calado todavía los beneficios de la informática y, a la vez, los peligros que lleva aparejados. Hay un desconocimiento al respecto. Creo, por el número de denuncias, que esto está mejorando.

L.A.F.H.- ¿Qué hacen ustedes para mejorar esta percepción?
J.J.M-C.- Teníamos un proyecto muy bonito para crear una asignatura en los colegios sobre defensa de la intimidad y protección de datos personales para chavales de 15 años para arriba. Teníamos pensado formar al profesorado, etc. Pero hubo un recorte en el personal del Ministerio de Educación y ha nosotros nos recortaron nuestros ingresos. Lo hemos tenido que aplazar.

.A.F.H.- ¿Por qué cree que hay tan pocas entidades civiles que defiendan la intimidad del usuario ante los datos automatizados?
J.J.M-C.- Hombre, no hay muchas pero existen algunas asociaciones. Está la CLI y ha habido algunas otras iniciativas. Por otra parte, parece que se quieren crear agencias de protección de datos en las comunidades autonómicas. A mí me parce muy bien, contra más haya mejor. Pero no sé por qué no hay más actividad en este sector. Quizá se deba al desconocimiento del ciudadano, el cual no sabe que tiene el derecho a defender su propia intimidad.

L.A.F.H.- ¿Como ve usted su trabajo, uno de los pocos donde --a tenor de lo que usted mismo expone-- está todo garantizado para que las cosas vayan a peor?
J.J.M-C.- Yo no creo que las cosas se resolverán a base de sanciones. Las cosas se arreglarán a base de conocimiento y de educación de la sociedad sobre los problemas que deberá afrontar y de crear un sentimiento de solidaridad y de defensa de los derechos fundamentales correspondientes. Ante el dilema de medidas políticas o medidas policiales, creo que es y será mejor la medida preventiva. Pero, ojo, que nadie se llame a engaño: cuando debo sancionar, lo hago.