Datos de carácter personal: sin protección

El Real Decreto 1720/2007, de 21 de diciembre por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, publicado “de acuerdo con el Consejo de Estado”, prevé en su artículo 14.2 que el responsable de una base de datos pueda dirigirse al titular de los datos para recabar su consentimiento para por ejemplo, caso muy frecuente, cedérselos con fines comerciales a un tercero, entiéndase venderlos. A tales efectos “deberá concederle [al titular de los datos] un plazo de treinta días para manifestar su negativa al tratamiento, advirtiéndole de que en caso de no pronunciarse a tal efecto se entenderá que consiente el tratamiento de sus datos de carácter personal”.

Ahora supongamos que nuestras escrupulosas grandes empresas, siempre tan consideradas con el consumidor y respetuosas con la ley, deciden observar el Reglamento y al ciudadano le llegan veinte comunicaciones de este tipo en una semana. ¿Qué hace? ¿Dedica el sábado por la tarde entero a contestar estas comunicaciones o…? Por tanto, ¿estamos reconociendo el derecho de unos sujetos privados a exigir que otros deban hacer ciertas cosas, gratuitamente y en plazo, sólo porque los primeros querrían obtener un beneficio? Y si uno se niega, ¿se resigna estoicamente a recibir toda suerte de ofertas comerciales no solicitadas… o a que cualquiera pueda saber detalles de su vida?

Estamos ante un principio muy sencillito que se estudia en tercero de carrera al hilo del artículo 1262 del Código civil, y que viene a decir que deben darse oferta y aceptación. Esto supone que a las ofertas hay que contestar para darlas por aceptadas, sea de manera expresa o tácita, mediante actos de los que se deduzca inequívocamente la aceptación. Por tanto las cláusulas del tipo “y si no me dice usted nada, es que acepta” simplemente no son válidas. Sin embargo ni nuestro ínclito reglamentador, ni el Consejo de Estado (Dictamen 1909/2007), ni la pléyade de organizaciones (cuarenta y una remitieron escritos), organismos y órganos que han intervenido en la elaboración de norma tan técnicamente exquisita parecen haber advertido el error.

Como lo que abunda no daña, el párrafo segundo del artículo 14.2 dispone que “En particular, cuando se trate de responsables que presten al afectado un servicio que genere información periódica o reiterada, o facturación periódica, la comunicación podrá llevarse a cabo de forma conjunta a esta información o a la facturación del servicio prestado, siempre que se realice de forma claramente visible”, de modo que las facturas que uno se mira de reojo y da por buenas si el importe cobrado es más o menos normal, resulta que ahora hay que leérselas con cuidado y hasta el final… eso, cuando llegan y a tiempo.

El 14.3 por su parte es pura vacuidad, pues afirma que “3. En todo caso, será necesario que el responsable del tratamiento pueda conocer si la comunicación ha sido objeto de devolución por cualquier causa, en cuyo caso no podrá proceder al tratamiento de los datos referidos a ese interesado.” ¡Ojo! No dice que tenga que poder probar que envió una comunicación. Partiendo de esto y si el interesado no dijo nada sino que guardó silencio, ¿cómo se sabe si es porque consintió en la cesión de datos o si es que simplemente la comunicación no le llegó nunca, por ejemplo… porque jamás se envió? Así pues, al ciudadano lo más que le llegará será publicidad no solicitada de terceros cesionarios de los datos: sin embargo difícilmente sabrá nunca quién los cedió.

Complemento indispensable el artículo 14.4 prevé: “Deberá facilitarse al interesado un medio sencillo y gratuito para manifestar su negativa al tratamiento de los datos. En particular, se considerará ajustado (sic) al presente reglamento los procedimientos en el que tal negativa pueda efectuarse, entre otros, mediante un envío prefranqueado al responsable del tratamiento, la llamada a un número telefónico gratuito o a los servicios de atención al público que el mismo hubiera establecido.” Esto en la práctica se traduce en “llamar al 902”, que no es gratis y donde uno se queda un ratito en espera para así ir cubriéndole al vendedor de datos el coste de haber enviado una carta jamás pedida.

Finalmente y para no perder el compás, el artículo 14.5 dispone que “Cuando se solicite el consentimiento del interesado a través del procedimiento establecido en este artículo, no será posible solicitarlo nuevamente respecto de los mismos tratamientos y para las mismas finalidades en el plazo de un año a contar de la fecha de la anterior solicitud”, de lo cual se concluye, en sentido contrario, que uno puede recibir murga anual para la misma cosa, aunque si es para un tratamiento distinto y/o una finalidad distinta, al ciudadano pueden molestarte cuantas veces quieran.

El resultado de esta delicia reglamentaria es que la venta de datos sin consentimiento de su titular es libre en España en la práctica, pues las grandes proclamas de la ley resultan bastante irrelevantes si no hay medio de saber si se enviaron comunicaciones a todos los afectados o no. Es de sobra sabido que la Agencia Española de Protección de datos jamás ha contado —ni va a contar— con los medios necesarios para dar cumplimiento a las buenas intenciones de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de datos de carácter personal. Sus esfuerzos han ido siempre más que razonablemente dirigidos a concienciar a responsables de ficheros y de tratamiento, del indudable valor constitucionalmente protegido de la intimidad personal. Sin embargo de nada sirven los recursos dedicados cuando el Reglamento que desarrolla la Ley Orgánica facilita tanto el hacer de ella papel mojado. Esto simplemente se suma a la entelequia de los derechos de oposición, acceso, rectificación y cancelación —no digamos ya de indemnización en caso de daños— que proclaman los grandilocuentes artículos 15, 16 y 19 de la Ley Orgánica.

Porque la realidad es que el español medio está condenado a llamar a muchos 902, donde uno acaba trabando profunda amistad con algún argentino. Además, cada cierto tiempo se ve obligado a poner cartas certificadas y Burofaxes, gran negocio para Correos. Pues de nuevo, no se respeta la elemental regla general de que si vale un medio para darse de alta en un contrato de adhesión el mismo medio debe valer para darse de baja.

¿Y qué tal si en el momento de dar sus datos, se pidiese a su titular manifestar —por ejemplo, marcando una casilla— que consiente en su cesión a terceros? Quizá es que casi nadie marcaba la casilla y por ello se decidió elaborar un Reglamento que posibilitase la venta libre de datos personales, ignorando que el derecho a la intimidad personal y familiar es un derecho constitucional y un derecho humano básico.