Cumplimiento de la protección de datos del sitio web

Paul Lambert, asesor especialista de eBSI, nos presenta algunos puntos clave para garantizar que la política de protección de datos de nuestro sitio web cumpla con la legislación.

Los exportadores de todo el mundo deben anticiparse a la futura legislación de protección de datos de sus países, ya que cada vez más gobiernos endurecen las medidas contra el uso indebido de los datos personales de los usuarios de Internet. 

En este artículo me centraré en la perspectiva y la legislación irlandesas, pero muchos de estos principios también serán relevantes para otros países, ya que la legislación irlandesa refleja lo que se considera una buena práctica en este campo.

En primer lugar, ¿qué es la protección de datos?
El régimen de protección de datos tiene como objetivo proteger los derechos de las personas cuando sus datos personales son recopilados y tratados por organizaciones. Todas las organizaciones, ya sea que controlen ellas mismas los datos personales o que traten datos en nombre de terceros, deben cumplir las obligaciones impuestas por la Ley de Protección de Datos de 1988, recientemente modificada y ampliada por la Ley de Protección de Datos (Modificación) de 2003 (en conjunto, la «DPA»).

Todas las organizaciones deben conocer y cumplir sus obligaciones y responsabilidades en virtud del nuevo régimen de protección de datos. Para subrayar este punto, el Comisario de Protección de Datos tiene previsto realizar auditorías de cumplimiento en diversos sectores comerciales. También ha comenzado recientemente a emprender acciones legales contra organizaciones que no cumplen la normativa y continuará haciéndolo.

Las directrices 
Las directrices distinguen entre las declaraciones de privacidad de los sitios web y las políticas de privacidad, y aclaran que una declaración de privacidad no es una política de privacidad. Una política de privacidad documenta el cumplimiento por parte de la organización de los Principios de Protección de Datos en toda la organización. Se aplica a todos los datos personales tratados por la organización, incluidos los datos de clientes, terceros y empleados. Una política de privacidad puede ser un documento muy complejo que a menudo requiere asesoramiento jurídico especializado.

Las organizaciones también deben cumplir los 8 Principios de Protección de Datos, a saber:
* Obtener y tratar los datos de forma justa;
* Conservarlos únicamente para uno o más fines especificados, explícitos y legítimos; 
* Utilizarlos y divulgarlos únicamente de formas compatibles con estos fines;
* Mantenerlos de forma segura;
* Mantenerlos exactos, completos y actualizados;
* Garantizar que sean adecuados, pertinentes y no excesivos;
* Conservarlos durante el tiempo no superior al necesario para los fines;
* Cumplir con las solicitudes de acceso de las personas.

Una política de privacidad es un documento interno de la organización. Por lo tanto, puede detallar procedimientos internos, asignar responsabilidades individuales/departamentales, etc.

Por otro lado, las declaraciones de privacidad son documentos orientados al público que declaran cómo la organización cumple con el régimen de protección de datos en lo que respecta a los datos tratados en su sitio web. Como tal, es un documento mucho más estrechamente enfocado.

Los sitios web necesitan declaraciones de privacidad
Esto es un requisito legal conforme tanto a la DPA como al Reglamento (CE) n.º 535/2003 de las Comunidades Europeas (Redes y Servicios de Comunicaciones Electrónicas) (Protección de Datos y Privacidad) 2003 (el «Reglamento»). La sección 2(l)(a) de la DPA exige que «los datos o, según sea el caso, la información que constituya los datos hayan sido obtenidos, y que los datos se traten de forma justa». Este principio de obtención justa generalmente requiere que la persona cuyos datos se tratan sea consciente, al menos, de lo siguiente:

* La identidad de la persona que trata los datos;
* El propósito o los propósitos para los que se tratan los datos;
* Cualquier tercero a quien se puedan divulgar los datos;
* La existencia de un derecho de acceso y un derecho de rectificación.

El artículo 5 impone ciertas obligaciones con respecto a la actividad en Internet:

«(1) Ninguna persona utilizará una red de comunicaciones electrónicas para almacenar información o acceder a información almacenada en el equipo terminal de un suscriptor o usuario, salvo que
(a) se proporcione al suscriptor o usuario interesado información clara y completa de conformidad con la DPA, que se exhiba de forma destacada y sea fácilmente accesible y que, sin limitación, incluya el propósito del tratamiento
(b) se ofrezca al suscriptor o usuario el derecho a rechazar dicho tratamiento por parte del responsable del tratamiento de datos.

(2) El apartado 1 no impide ningún almacenamiento técnico ni acceso a la información con el único propósito de llevar a cabo o facilitar la transmisión de una comunicación a través de una red de comunicaciones electrónicas o que sea estrictamente necesario para proporcionar un servicio de la sociedad de la información explícitamente solicitado por el suscriptor o usuario».

Este Reglamento se refiere al uso de cookies, balizas web, la recopilación de direcciones IP y otros asuntos técnicos.

Falta de una declaración de privacidad
En Irlanda, la infracción de la DPA, como no disponer de una declaración de privacidad en un sitio web, puede dar lugar a una investigación y a acciones de ejecución por parte del Comisario de Protección de Datos. El Comisario puede emitir una notificación de ejecución que exija una declaración de privacidad o el cese del tratamiento de datos. La persecución judicial también puede dar lugar a una multa de hasta 100.000 € y/o a una orden de eliminación de datos. La sección 7 de la DPA también otorga a las personas un derecho de acción civil si sufren daños por la forma en que se tratan sus datos.

Cuándo se requiere una declaración de privacidad
Se requiere una declaración de privacidad cuando un sitio web realiza alguna de las siguientes acciones, a saber:
* Recopila datos personales (visitantes que completan formularios web, formularios de comentarios, etc.);
* Utiliza cookies o balizas web;
* Recopila datos personales de forma encubierta (direcciones IP, direcciones de correo electrónico).

Qué información deben contener las declaraciones de privacidad
La información debe ser específica sobre el tratamiento de datos personales en el sitio web. Dicha información debe ser lo suficientemente detallada para que sea útil al visitante del sitio web a la hora de decidir si continúa. Las declaraciones como «todos los datos recopilados en este sitio se tratarán en cumplimiento con la DPA» ya no son suficientes (por sí solas), según el Comisario de Protección de Datos. Deben ser modificadas/reemplazadas por una explicación de cómo, en términos prácticos, el sitio web cumple con sus obligaciones.

La información debe incluir lo siguiente:

* Identidad
Los detalles de la organización deben ser claramente identificables. El nombre de una organización por sí solo es insuficiente. La identificación debe incluir datos de contacto completos y útiles. Los detalles útiles incluirían una dirección de correo electrónico y una dirección postal que un visitante pueda utilizar si desea tratar cualquier asunto relacionado con el tratamiento de datos personales en el sitio web.

* Propósito
Puede haber muchos propósitos manifiestos para los que los visitantes deben esperar razonablemente que se utilicen sus datos. Estos pueden incluir datos necesarios en el contexto de una transacción. Sin embargo, es posible que los datos se traten para propósitos no obvios, como la elaboración de perfiles o el marketing futuro. Todos estos propósitos deben mencionarse claramente en la declaración de privacidad. Los datos proporcionados bajo ese entendimiento se obtienen de forma justa. Si un propósito no es obvio y no se menciona, entonces será difícil para la organización tratar los datos legalmente para ese propósito.

Si una organización planea divulgar datos personales a un tercero (que no sea una persona que actúe como agente de la organización), esto es una divulgación y debe mencionarse en la declaración de privacidad. Una excepción general a esta regla es cuando la divulgación es requerida por la Ley.

* Derecho de acceso
En virtud de la sección 4 de la DPA, una persona tiene derecho a recibir una copia de sus datos personales. Si una organización conserva datos personales, la organización debe hacer referencia a este Derecho de Acceso en la declaración de privacidad. La organización debe incluir una referencia a los procedimientos que deben seguirse. En virtud de la DPA, una solicitud de acceso de un interesado debe ser por escrito, las organizaciones pueden cobrar una tarifa que no exceda de 6,35 € y deben responder en un plazo de 40 días naturales. Las organizaciones deben identificar a quién debe dirigirse dicha solicitud.

* Derecho de rectificación o supresión
En virtud de la sección 6 de la DPA, una persona tiene derecho a que sus datos personales sean corregidos, si son inexactos, o eliminados, si no tiene una razón legítima para conservar los datos. Las organizaciones no pueden cobrar por cumplir con dicha solicitud y deben cumplir en un plazo de 40 días naturales desde la recepción de dicha solicitud. La declaración de privacidad de una organización debe hacer referencia a esto, si conserva datos personales, así como detallar los procedimientos que una persona debe seguir al realizar dicha solicitud.

* Alcance de los datos tratados

Si se utilizan datos diferentes para propósitos diferentes, esto debe mencionarse claramente en la declaración de privacidad, en lugar de que una persona asuma que todos los datos se utilizarán para todos los propósitos. Esto es aún más importante en relación con el tratamiento encubierto de datos, como la recopilación de direcciones IP, el uso de cookies o balizas web.

* Derecho a rechazar las cookies
Si no es necesario utilizar cookies en el contexto de una transacción, el usuario debe ser informado de ello y se le debe dar la oportunidad de rechazar que se coloquen cookies en sus computadoras. También se le puede explicar al usuario el uso de las cookies.

Otra información recomendada

Arriba se detalla la información que debe incluirse en una declaración de privacidad. Sin embargo, si una organización pretende que su declaración de privacidad sea una descripción exhaustiva de su tratamiento de datos en línea, también puede incluir la siguiente información:

* Seguridad
Si bien se requiere que una organización tenga medidas de seguridad adecuadas para evitar el acceso no autorizado, la alteración o la destrucción de los datos personales en su posesión, cualquier referencia detallada a tales medidas en una declaración de privacidad disponible públicamente sería imprudente. Más bien, debe limitarse a declarar que toma en serio las responsabilidades de seguridad, empleando las medidas físicas y técnicas más apropiadas, incluyendo la capacitación y concienciación del personal, y que revisa estas medidas regularmente.

* Exactos, completos y actualizados
Esta es en gran medida una política reactiva, ya que los problemas a menudo solo se descubren al tratar con el interesado. Sin embargo, una organización puede hacer referencia a la necesidad de conservar únicamente datos exactos, completos y actualizados, sugiriendo los medios por los cuales los interesados pueden actualizar sus datos o las acciones que la organización puede tomar para garantizar la exactitud, como contactar a los clientes por correo electrónico.

* Adecuados, pertinentes, no excesivos
Las organizaciones están obligadas a no conservar más datos de los necesarios para el propósito para el cual los recopilan. Cualquier dato que exceda este requisito no debe solicitarse o, si se proporciona voluntariamente, debe eliminarse. En una declaración de privacidad, las organizaciones pueden hacer referencia a una política para revisar todos los datos suministrados/obtenidos y eliminar aquellos que no sean necesarios, o que ya no lo sean.

* Retención
Los datos no deben conservarse por más tiempo del necesario para los propósitos para los que fueron obtenidos. La declaración de privacidad podría hacer referencia a una política para eliminar los detalles de la tarjeta de crédito una vez que se haya finalizado una transacción, a menos que la organización obtenga el consentimiento de los clientes para conservar los detalles para facilitar futuras transacciones. Si una organización conserva diferentes tipos de datos por diferentes períodos de tiempo, esto también puede mencionarse en la declaración de privacidad.

* Mecanismo de resolución de quejas
El Comisario de Protección de Datos recomienda algún medio para tratar las quejas recibidas de los usuarios del sitio web sobre el tratamiento de datos.

Ubicación de la declaración de privacidad

Una declaración de privacidad debe colocarse en una posición obvia y no estar contenida en otro documento. Como mínimo, una declaración de privacidad debe colocarse en la mitad superior de la página de entrada de un sitio web. Como algunos navegadores web solo mostrarán parte de una página, el requisito de la parte superior de la página significa que un visitante no necesita desplazarse hacia abajo para buscar la declaración de privacidad.

Colocar una declaración únicamente en una página de inicio puede no ser suficiente, ya que los enlaces desde otros sitios web o a través de motores de búsqueda pueden llevar a un visitante al sitio a través de una página que no sea la página de inicio. Una solución es colocar un enlace a la declaración de privacidad en cada página. Alternativamente, se podría colocar un enlace en cualquier página en la que se recopilen datos, aunque si el sitio web utiliza cookies, esto podría significar efectivamente todas las páginas.

Declaración de privacidad y «Términos y condiciones»

Una declaración de privacidad es un requisito legal y es distinta de los términos y condiciones, los avisos de derechos de autor o de exención de responsabilidad. Debe estar sola y ser claramente identificable. Para que una declaración de privacidad sea valiosa, debe ser fácilmente accesible para el usuario, rápidamente leída y fácilmente entendida. Si está enterrada dentro de un documento extenso que cubre una variedad de asuntos legales, será difícil para la organización demostrar que ha cumplido con sus obligaciones en virtud de la DPA y el Reglamento.

Revisión de la declaración de privacidad

Solo debería ser necesario realizar una revisión si hay algún cambio en los procesos en línea. Sin embargo, debe haber algún mecanismo para notificar al personal adecuado para iniciar una revisión si:

* Hay un cambio en el tratamiento de datos en el sitio web;
* Hay una reestructuración planificada/real de la web;
* Hay un nuevo acuerdo de alojamiento web;
* Hay sugerencias/recibidas de los usuarios del sitio.

En cualquier caso, la declaración de privacidad debe revisarse en el contexto de un procedimiento de auditoría interna, que también debe revisar la Política de Privacidad de la organización, al menos anualmente.

Otros asuntos

Cualquier persona que utilice un tercero como Procesador de Datos para alojar un sitio web debe ser consciente de una serie de asuntos. Todos los Procesadores de Datos que tratan datos personales están obligados a tener una entrada actualizada en el registro mantenido por el Comisario de Protección de Datos. Tratar datos sin tener dicha entrada es una infracción.

Si el servicio de alojamiento web aloja su sitio en un servidor fuera del EEE, están obligados a cumplir al menos una de las condiciones establecidas en la sección 11 de la DPA. La organización es responsable en última instancia si la empresa de alojamiento web trata los datos de forma ilegal. La sección 2C de la DPA obliga a las organizaciones a tener un contrato por escrito (o equivalente) con el Procesador de Datos especificando:

* Qué puede hacer el Procesador de Datos con los datos en su nombre;
* Qué medidas de seguridad debe tener implementadas el Procesador de Datos.

Las organizaciones también deben tomar medidas razonables para garantizar que el Procesador de Datos cumpla con estas instrucciones.

Paul Lambert

paul.lambert@merrionlegal.com 
MERRION LEGAL
Abogados y abogados de marcas comunitarias
Clifton House
Lower Fitzwilliam Street
Dublín 2
Irlanda
T: + 353-1-6690523
E: info@merrionlegal.com