Alguien dirá que tengo un sentido del humor un tanto retorcido, pero me he reído leyendo el Informe 685/2008 del Gabinete Jurídico de la AEPD.
Resulta que algún ingenuo envía una consulta a la AEPD acerca de las dificultades que le plantea el cumplimiento del deber de información impuesto por el artículo 5 de la LOPD. La consultante indica que “tiene una base de datos que alberga información de alrededor de 47.000 clientes”, sin indicar el modo en que los datos fueron obtenidos y si fueron facilitados a la consultante por el interesado o los obtuvo de otras fuentes.
El Informe comienza por aclarar que tal deber "no es una cuestión novedosa en el presente momento" y explica las diferentes fases:
Y cuanto más se demore, peor.
Resulta que algún ingenuo envía una consulta a la AEPD acerca de las dificultades que le plantea el cumplimiento del deber de información impuesto por el artículo 5 de la LOPD. La consultante indica que “tiene una base de datos que alberga información de alrededor de 47.000 clientes”, sin indicar el modo en que los datos fueron obtenidos y si fueron facilitados a la consultante por el interesado o los obtuvo de otras fuentes.
El Informe comienza por aclarar que tal deber "no es una cuestión novedosa en el presente momento" y explica las diferentes fases:
- La antigua Ley Orgánica 5/1992, de 29 de octubre, cuyo artículo 5.1 imponía el citado deber de información en el momento de la recogida de los datos del interesado. La citada Ley entró en vigor a los tres meses de su publicación en el Boletín Oficial del Estado, es decir, el 31 de enero de 1993, y en todo caso daba un año de plazo para informar a los interesados cuyos datos hubiesen sido recogidos con anterioridad.
- El artículo 5.1 de la Ley Orgánica 15/1999, vigente desde 14 de enero de 2000 impone el deber de informar a los afectados.
Quiere ello decir que cuando los datos se recogen de los afectados el deber de información al afectado no es posterior al tratamiento de sus datos, sino previo, debiendo verificarse en el momento en que el dato es recogido, sin que sea admisible considerar que será posible informar posteriormente a la recogida del dato acerca del tratamiento del mismo.Con lo que concluye:
Teniendo en cuenta lo que se acaba de indicar y lo señalado expresamente por la consultante en el escrito dirigido a esta Agencia, la citada consultante debía haber cumplido con el deber de informar a los 47000 afectados de los que reconoce tratar datos de carácter sin haber cumplido con este deber hace, según los casos, nueve, quince o dieciséis años, por lo que no parece razonable que se invoque en el presente momento el elevado coste derivado del cumplimiento de una obligación tan largo tiempo pospuesto.En fin, que resulta complicado sostener la tesis de que un largo incumplimiento legal me coloca en una situación complicada para cumplir ahora.
Y cuanto más se demore, peor.