(F&B, 128, abr. 2008) Se aumenta la seguridad jurídica en la interpretación de la normativa, al haberse incorporado resoluciones de la Agencia Española de Protección de Datos y criterios jurisprudenciales, lo que facilitará su aplicación.

El 19 de abril entra en vigor el Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el nuevo Reglamento de Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal. Este Reglamento pretende dotar de coherencia al desarrollo reglamentario de la Ley y desarrollar sus aspectos más novedosos o conflictivos, todo ello encuadrado en el marco general de garantizar y proteger las libertades públicas y derechos fundamentales de las personas físicas, especialmente su honor e intimidad personal, frente a los riesgos que implican el acopio y tratamiento, automatizado y no automatizado, de datos de carácter personal.
Aplicación y exclusiones
En primer lugar, el Reglamento se encarga de recordar que resulta de aplicación a los datos de carácter personal —cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de otro tipo concerniente a personas físicas identificadas o identificables— registrados en soporte físico, que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de dichos datos por los sectores público y privado.

Al delimitar su ámbito de aplicación excluye específicamente los datos referidos a personas jurídicas, así como los ficheros que se limiten a incorporar los datos de las personas físicas que presten sus servicios en aquéllas, consistentes únicamente en su nombre, apellidos, funciones o puestos desempeñados, dirección postal, correo electrónico, teléfono y fax profesionales, es decir, quedan excluidos los datos básicos recogidos por la empresa de sus empleados y los ficheros de datos de contacto profesionales, como por ejemplo, la libreta de direcciones de las aplicaciones de correo electrónico en las que registramos los datos de las personas con las que contactamos en nuestra actividad laboral o profesional.

Igualmente, el Reglamento excluye los datos relativos a los empresarios individuales cuando dichos datos hagan referencia a su calidad de comerciantes o industriales, es decir, si un empresario utiliza su nombre y apellidos como firma comercial en esos casos prima la actividad comercial sobre la normativa de protección de datos.
También se excluyen de protección los datos correspondientes a personas fallecidas, sin perjuicio de que sus familiares o personas a él vinculadas puedan ejercitar el derecho de cancelación ante los responsables de los ficheros acreditando fehacientemente el fallecimiento.

Finalmente el régimen de protección de datos tampoco será aplicable a los ficheros y tratamientos realizados por personas físicas en el ejercicio de actividades personales o domésticas que se inscriben en el marco de la vida privada o familiar de los particulares, los sometidos a normativa sobre protección de materias clasificadas y los establecidos para la investigación del terrorismo y delincuencia organizada.

Consentimiento para el tratamiento
El responsable del tratamiento de los datos deberá obtener el consentimiento del interesado. En la solicitud para recabar el consentimiento se deberá indicar el tratamiento o serie de tratamientos concretos, delimitando la finalidad para la que se recogen los datos. Asimismo, será necesario el consentimiento para la cesión de los datos personales a terceros, debiéndose informar al afectado de la finalidad y tipo de actividad desarrollada por el cesionario. En todo caso la carga de la prueba de la existencia del consentimiento del afectado recae sobre el responsable del fichero.

Salvo cuando la Ley exija necesariamente la obtención del consentimiento expreso, el responsable del fichero podrá solicitar el consentimiento solicitando los datos al afectado informándole de la existencia del fichero, la finalidad del mismo, los destinatarios de la información, la identidad y dirección del responsable del tratamiento, el carácter obligatorio o facultativo de su respuesta a las preguntas formuladas, las consecuencias de la obtención de los datos o de la negativa a suministrarlos y la posibilidad de ejercer los derechos de acceso, rectificación, cancelación y oposición. En estos casos bastará con conceder al interesado un plazo de treinta días para que pueda manifestar su negativa al tratamiento de sus datos de carácter personal, transcurrido el cual sin oposición, se entenderá que el afectado consiente el tratamiento de los datos. Debe facilitarse al interesado un medio sencillo y gratuito para manifestar su negativa, como p. ej. el envío prefranqueado o la llamada a un número telefónico gratuito.

Actividades publicitarias y prospección comercial
Para las actividades de recopilación de direcciones, reparto de documentos, publicidad, venta a distancia, prospección comercial y otras análogas realizadas con el objeto de comercializar productos o servicios propios o de terceros, sólo se podrán utilizar nombres y direcciones u otros datos de carácter personal cuando hayan sido facilitados por los propios interesados u obtenidos con su consentimiento para finalidades determinadas, explícitas y legítimas relacionadas con la actividad de publicidad o prospección comercial, o bien se hayan obtenido de fuentes accesibles al público y el interesado no haya manifestado su negativa u oposición.

Legalmente se establece que los datos de carácter personal únicamente podrán ser objeto de tratamiento o cesión si el interesado hubiera prestado previamente su consentimiento para ello, si bien no será necesario su consentimiento cuando el responsable del fichero tenga autorización por Ley o cuando los datos objeto de tratamiento figuren en fuentes accesibles al público. Se entiende que son fuentes accesibles al público aquellos ficheros cuya consulta puede ser realizada, por cualquier persona, no impedida por una norma limitativa o sin más exigencias que, en su caso, el abono de una contraprestación. El Reglamento delimita cuáles son esas fuentes accesibles al público: el censo promocional facilitado por el INE con vigencia de un año con los datos del censo electoral; las guías de servicios de comunicaciones electrónicas (guías telefónicas); los listados profesionales de colegios o asociaciones profesionales; los diarios y boletines oficiales y los medios de comunicación social.

Cuando los datos procedan de fuentes accesibles al público y se destinen a la actividad de publicidad o prospección comercial, deberá informarse al interesado en cada comunicación que se le dirija del origen de los datos, de la entidad de la que han sido obtenidos, de la identidad del responsable del tratamiento y de los derechos que le asisten, con indicación de ante quién podrán ejercitarse.

Ficheros de solvencia patrimonial y crédito
Quienes se dediquen a la prestación de servicios de solvencia patrimonial y crédito sólo podrán tratar datos de carácter personal obtenidos de los registros y las fuentes accesibles al público (p. ej. boletines oficiales donde se publiquen declaraciones de concurso) o procedentes de informaciones facilitadas por el interesado o con su consentimiento. No obstante, también se permite el tratamiento de datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. Esta es la particularidad especial que tienen los denominados ficheros de morosos, en los que la recogida e inclusión de datos en los mismos puede realizarse por el propio acreedor o por quien actúe por cuenta o interés, pudiendo efectuarse incluso sin el consentimiento del afectado, pues legalmente sólo se establece la obligación de una comunicación posterior en el plazo de los treinta días siguientes a su inclusión en el fichero. Los datos recogidos en este tipo de ficheros —tipo RAI o ASNEF— sólo se conservarán con la finalidad exclusiva de facilitar información crediticia del afectado.

El nuevo Reglamento, en similar sentido a la Instrucción 1/1995, de 1 de marzo, de la Agencia Española de Protección de Datos, relativa a estos servicios de información sobre solvencia patrimonial y crédito, pero concretando un poco más, establece que sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos:

> Que exista una deuda cierta, vencida, exigible, que haya resultado impagada y respecto de la cual no se haya entablado reclamación judicial, arbitral o administrativa, o tratándose de servicios financieros, no se haya presentado reclamación ante los Comisionados para la Defensa del Cliente de servicios financieros.
> Que no hayan transcurrido seis años desde la fecha en que hubo de procederse al pago de la deuda o del vencimiento de la obligación o del plazo concreto si aquélla fuera de vencimiento periódico.
> Que exista requerimiento previo de pago a quien corresponda el cumplimiento de la obligación.

En los ficheros de solvencia patrimonial y crédito no podrán incluirse datos sobre los que exista un principio de prueba que de forma indiciaria contradiga alguno de los requisitos anteriores, y en tal circunstancia se deberá cancelar cautelarmente el dato personal desfavorable incluido en el fichero.

La posibilidad de que los datos sean incluidos en un fichero de solvencia y morosidad debe ser anticipada al interesado en el momento de la celebración del contrato y, en todo caso, cuando se le efectúe el requerimiento de pago, a cuyo efecto se le informará que en caso de incumplimiento de la obligación, los datos relativos al impago podrán incorporarse a este tipo de ficheros.

Cuando efectivamente se proceda a la inclusión de datos, el responsable del fichero contará con un plazo de treinta días para notificar al interesado la referencia de los datos incluidos, informando también de sus derechos de acceso, rectificación, cancelación y oposición. La notificación se hará individualizadamente por cada deuda concreta y determinada, con independencia de que exista un único o varios acreedores sobre la misma. Se efectuará a través de un medio fiable y auditable de tal modo que el responsable del fichero pueda tener constancia de su entrega al deudor afectado. En caso de que la notificación sea devuelta por causas objetivas, es decir, no simplemente porque el destinatario haya rehusado su recibo, el responsable del fichero comprobará con la entidad acreedora la corrección de la dirección de notificación. En tanto el responsable del fichero no tenga prueba suficiente de que la notificación de la inclusión ha llegado al interesado o, en su caso, de que la dirección a efectos de comunicaciones con él es la correcta, deberá abstenerse de realizar ningún tratamiento de los datos.

Respecto de la conservación de los datos, el Reglamento mantiene la necesidad de que sólo sean objeto de tratamiento datos veraces en relación con la situación de la deuda en cada momento concreto, reiterando la obligación de cancelación inmediata de todo dato desfavorable cuando se proceda al pago o cumplimiento de la deuda. En todo caso, los datos deberán ser cancelados transcurridos seis años desde el vencimiento de la obligación.

También se ocupa el Reglamento de regular el acceso de terceros al contenido de estos ficheros, que sólo podrán ser consultados cuando sea necesario para enjuiciar la solvencia económica del afectado, concretándose que se entenderá que concurre tal circunstancia:

> cuando el afectado mantenga con el tercero algún tipo de relación contractual que aún no se encuentre vencida.
> cuando el afectado pretenda celebrar con el tercero un contrato que implique el pago aplazado del precio.
> cuando el afectado pretenda contratar con el tercero la prestación de un servicio de facturación periódica.

Ficheros no automatizados
El Reglamento desarrolla la obligación de los responsables de los tratamientos o los ficheros y de los encargados del tratamiento de implantar las medidas de seguridad necesarias según el tipo de datos, esto es, aplicación generalizada de medidas de nivel básico y, en su caso, de nivel medio o alto.

Una novedad importante del Reglamento es que extiende su ámbito de aplicación a los ficheros y tratamientos no automatizados, estableciendo también las medidas de seguridad aplicables en estos casos: custodia de los papeles, documentos y soportes; sistema de archivo que permita el ejercicio de los derechos de acceso, rectificación, oposición y cancelación; mecanismos de seguridad en armarios y archivadores para evitar el acceso de personal no autorizado, etc.