Legislación aplicable en materia de protección de datos sobre borrado seguro de información

Proteccion de datos

En primer lugar corresponde manifestar que la vigente Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD), instaura una serie de principios y garantías, respecto al derecho fundamental reconocido constitucionalmente a la protección de datos personales (artículo 18.4 de la Constitución Española). Dicha ley impone un mandato legal de seguridad (artículo 9 LOPD), a todas aquellas empresas o entidades que intervengan en el tratamiento de datos y les obliga a custodiar la información de modo que no pueda ser accedida por personas o terceros no autorizados debidamente. Hace referencia a la legislación aplicable en cuanto al tratamiento y revelación de datos personales de un tercero sin previa autorización de la persona afectada o interesada (por ejemplo, publicar fotografías de un cliente en la página web de la empresa o difundir datos personales de un empleado de la empresa sin previa autorización de éstos, entre otros muchos casos).

Es necesario asimismo resaltar la doctrina jurisprudencial contenida en la STC 292/2000, de 30 de noviembre, que fija con claridad, precisión y exactitud el derecho a la protección de datos de carácter personal contemplado en el artículo 18.4 de la Constitución como un derecho fundamental diferente y autónomo de los derechos al honor y a la intimidad personal amparados en el artículo 18.1 de la propia Carta Magna Española.

También, es importante tomar en consideración que las empresas y entidades ya sean de naturaleza pública o privada y con independencia de su tamaño o volumen de sus recursos humanos, son responsables del total de los datos informatizados almacenados en sus equipos informáticos. Cada vez es más frecuente, que los trabajadores almacenen enormes cantidades de información en los discos duros de sus equipos informáticos, que en la mayoría de los casos, contienen asimismo datos personales o de carácter privado que les atribuyen cualidades de naturaleza confidencial. La eliminación de forma no segura de la información puede acarrear una posterior recuperación no autorizada, originando enormes perjuicios comerciales, de imagen y, también como no responsabilidades de tipo legal.

El Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de Desarrollo de la Ley Orgánica de Protección de Datos de Carácter Personal (RDLOPD) se encarga de desarrollar de forma completa la LOPD.

En concreto en el artículo 92.4 (gestión de documentos y soportes informáticos) se estipula lo siguiente: “siempre que vaya a desecharse cualquier documento o soporte que contenga datos de carácter personal deberá procederse a su destrucción o borrado, mediante la adopción de medidas dirigidas a evitar el acceso a la información contenida en el mismo o su recuperación posterior”.

El artículo 44. 3. h) de la LOPD tipifica como infracción grave mantener los ficheros, locales, programas informáticos o equipos informáticos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen.

Este precepto es reproducción literal del antiguo artículo 43.3.h) de la Ley Orgánica 5/1992 y debe ponerse en relación tanto con el artículo 9 de la LOPD (que recoge la vital necesidad de que de modo reglamentario se fije el catálogo de medidas de seguridad) como con el título VIII del Reglamento de la LOPD, en el cual se recogen las disposiciones generales sobre Medidas de Seguridad, como el catálogo de medidas aplicables a ficheros y tratamientos en relación directa a cada uno de los distintos niveles de seguridad: básico, medio y alto.

Las sanciones o multas por el incumplimiento de obligaciones legales en materia de protección de datos sobre borrado seguro de información pueden variar entre 40.001 a 300.000 euros (infracción grave), siendo la Agencia Española de Protección de Datos la entidad pública encargada de su aplicación. Por las diversas razones expuestas anteriormente, es de gran importancia realizar un borrado seguro de datos, no solamente porque atente directamente contra la privacidad de las personas (interesados o afectados) y la seguridad interna de las empresas, sino que, además, constituye una medida de seguridad de obligatorio cumplimiento cuando hace referencia a datos de carácter personal, según lo estipulado en la LOPD y el RDLOPD.

Por último comentar que diversas sentencias de la Sala de lo Contencioso de la Audiencia Nacional han contemplado supuestos de aparición de documentación en distintos tipos de soportes de empresas en contenedores de basura, y se ha sancionado por la aplicación del artículo 44.3.h) de la LOPD sobre la base del siguiente argumento: “resulta evidente que si documentos de uso interno de la entidad recurrente conteniendo datos personales y a los que sólo ella podía tener acceso, fueron encontrados en la vía pública y en un contenedor al alcance de cualquier viandante, es porque no se prestó la diligencia necesaria en orden a la efectiva observancia de las medidas de seguridad que se pretenden haber tomado, con lo que la protección en orden a la seguridad de los datos no fue eficaz, vulnerándose el artículo 9 de la LOPD y en definitiva el bien jurídico protegido por la infracción apreciada que es la seguridad de los datos”.

Mencionar que los tres únicos métodos existentes de borrado seguro de información (documentos o soportes informáticos) son los siguientes: