Nueva Ley de conservación de datos

http://queerslo.com/amp/chic-wedding-at-glorious-arroyo-grande-gardens/ Tal y como podemos leer en el blog de Javier Prenafeta, tenemos que añadir una nueva Ley  a nuestra lista de normas a tener en cuenta cuando hablamos de la protección de Datos, la Ley 25/2007, de 18 de octubre, de conservación de datos relativos a las comunicaciones electrónicas y a las redes públicas de comunicaciones.

La aparición de una Ley en el ámbito de la protección de datos, y más en un caso como éste en que vemos la relación con el mundo de las nuevas tecnologías, es una buena noticia, siempre y cuando la regulación que establezca sea razonable y acorde a las finalidades que se buscan. El legislador debe pensar muy bien cómo llevar a buen término sus intenciones, de tal forma que no nos encontremos con una norma sin sentido y con multitud de principios cuestionables.

Antes de tomar una decisión, es importante acudir a la redacción de la Ley para ver qué establece como objeto de la Ley, dado que de dicho objeto se pueden extraer conclusiones que nos pueden resultar interesantes.

Esta Ley tiene por objeto la regulación de la obligación de los operadores de conservar los datos generados o tratados en el marco de la prestación de servicios de comunicaciones electrónicas o de redes públicas de comunicación, así como el deber de cesión de dichos datos a los agentes facultados siempre que les sean requeridos a través de la correspondiente autorización judicial con fines de detección, investigación y enjuiciamiento de delitos graves contemplados en el Código Penal o en las leyes penales especiales.

Será la Ley capaz de conseguir lo que se propone? La redacción del articulado de la Ley se adapta a la búsqueda de este objetivo?

En primer lugar podemos observar que se nos indica que los datos se conservan con la intención de ser utilizados en detección, investigación y enjuiciamiento de delitos can you buy isotretinoin online uk graves. Al referirnos a graves ya podemos pensar que no podremos utilizar los datos para cualquier capricho, sino que dicho uso se verá restringido (en razón a la naturela de los datos y los derechos que se protegen) a casos que cumplan la condición de ser delitos graves. En caso de desconocer dicho concepto, lo podemos encontrar delimitado en el artículo 13 del Código Penal, donde se nos dice

Son delitos graves las infracciones que la Ley castiga con pena grave.

Esto puede resultar lógico incluso para personas no versadas en Derecho, en tanto que asociamos un delito grave con una pena grave. Ahora bien, seguimos encontrándonos con un concepto un tanto abstracto, en tanto que podemos llegar a desconocer las condiciones exactas para establecer que una pena es grave. En ese caso, tal vez resulte aconsejable acudir al Art. 33 CP con tal de delimitar un poco más el concepto de pena grave propiamente dicho.

Son penas graves:

1. La prisión superior a cinco años.

2. La inhabilitación absoluta.

3. Las inhabilitaciones especiales por tiempo superior a cinco años.

4. La suspensión de empleo o cargo público por tiempo superior a cinco años.

5. La privación del derecho a conducir vehículos a motor y ciclomotores por tiempo superior a ocho años.

6. La privación del derecho a la tenencia y porte de armas por tiempo superior a ocho años.

7. La privación del derecho a residir en determinados lugares o acudir a ellos, por tiempo superior a cinco años.

8. La prohibición de aproximarse a la víctima o a aquellos de sus familiares u otras personas que determine el juez o tribunal, por tiempo superior a cinco años.

9. La prohibición de comunicarse con la víctima o con aquellos de sus familiares u otras personas que determine el juez o tribunal, por tiempo superior a cinco años.

Una vez hecha esta delimitación, podemos ver que los datos no serán usados en ámbitos tan generalizados como se ha gritado desde algunos colectivos en su momento, que ponían el grito en el cielo. Por poner un ejemplo, y dado que el uso de redes P2P es atípico, los datos objeto de esta Ley no pueden ser usados en un eventual proceso civil (aunque puede pasar que se reclame un proceso penal y al mismo tiempo la información, por pedir que no quede).

No solo esto, sino que podemos encontrar como el Art. 6.1 establece una serie de condiciones para la cesión de los datos obtenidos de acuerdo con esta Ley.

Los datos conservados de conformidad con lo dispuesto en esta Ley sólo podrán ser cedidos de acuerdo con lo dispuesto en ella para los fines que se determinan y previa autorización judicial.

Esta redacción resulta hasta cierto punto lógica. Dado que vemos moderado un derecho de las personas debemos encontrar una justificación para hacerlo. No lo haremos sencillamente porque cualquier derecho subjetivo puede ser limitado sin control por los poderes públicos, sino en atención a la importancia del delito que se está investigando, y a la importancia que los datos puede tener para llegar al resultado buscado.

Ahora bien, podemos encontrar curioso teniendo en cuenta el hecho de que si la cesión únicamente se realizará en los casos de investigación de delitos graves (con los requisitos anteriormente mencionados) la AGPD no podrá acceder a los mismos para la investigación de alguna infracción.

Continuando con la Ley, podemos encontrar un aspecto bastante controvertido al observar el tiempo de conservación de los datos establecido en la nueva Ley

La obligación de conservación de datos impuesta cesa a los doce meses computados desde la fecha en que se haya producido la comunicación

Así, la norma general en la obligación de conservación de datos serà de 12 meses, existiendo supuestos en que dicho plazo puede ser aumentado a dos años o reducido a 6 meses. No obstante, en el segundo apartado se nos indica que este precepto debe respetar la establecido en el Art. 16 LOPD relativo a la cancelación

La cancelación dará lugar al bloqueo de los datos, conservándose únicamente a disposición de las Administraciones públicas, Jueces y Tribunales, para la atención de las posibles responsabilidades nacidas del tratamiento, durante el plazo de prescripción de éstas. Cumplido el citado plazo deber&a
acute; procederse a la supresión. 

Entiendo que el bloqueo realizado cuando se ejerce el derecho a la cancelación se realiza con el objetivo de ofrecer una garantía a la hora de probar el estado de los datos en el momento de su cancelación en una eventual reclamación. Ahora bien, y teniendo en cuenta el carácter de orgánico de este precepto (al no estar incluido dentro de la Disposición Final Segunda de la LOPD) podemos ver que el tiempo de conservación de los datos será diferente al que se nos ha indicado en primera instancia (pese a que al haber resultado cancelados no son objeto de tratamiento). Pero de qué plazo estamos hablando en realidad?

Dado que se nos indica que los datos son conservados durante el plazo de prescripción de las posibles responsabilidades, podemos acudir al Art. 131.1 CP, donde encontramos una enumeración de plazos de prescripción de delitos

• A los 20 años, cuando la pena máxima señalada al delito sea prisión de 15 o más años.

• A los 15, cuando la pena máxima señalada por la ley sea inhabilitación por más de 10 años, o prisión por más de 10 y menos de 15 años.

• A los 10, cuando la pena máxima señalada por la ley sea prisión o inhabilitación por más de cinco años y que no exceda de 10.

• A los cinco, cuando la pena máxima señalada por la ley sea prisión o inhabilitación por más de tres años y que no exceda de cinco.

El problema surge al observar tal disparidad de plazos, además de la longitud de los mismos. Si tenemos en cuenta que la conservación de los datos responde a una garantía de derechos, podríamos interpretar que resultará de aplicación el plazo de prescripción más elevado (20 años), al desconocer respecto a un determinado dato de los que estamos analizando en este supuesto la verdadera importancia que puede tener (desconocemos qué acción fundamentará un eventual proceso). Si realmente este es el caso, por qué se ha realizado una redacción que puede plantear dudas? Si el dato es completamente eliminado interpretando que el plazo máximo a que están obligados es de por ejemplo 5 años, y finalmente son solicitados en relación a un delito muy grave que aún no ha prescrito, realmente podemos realizar una sanción? La respuesta a esta pregunta es importante, en tanto que para autoprotegerse la respuesta normal sería la de los 20 años antes mencionada, pero me da la sensación de que se ha creado una cierta situación de inseguridad jurídica, en tanto que si realmente se quisiese mantener por 20 años, se podría haber indicado directamente.

Una vez vistos estos hechos, y si llegamos a la conclusión de que los datos rondarán por el fichero durante tanto tiempo, y más si tenemos en cuenta la rápida evolución del número de personas que utilizan los servicios que se almacenarán, podemos concluir rápidamente que el coste para las operadoras del mantenimiento de este servicio será enorme. Pensemos en el número de accesos recurrentes a los ficheros y el gran número de datos que se almacenarán en poco tiempo. La implementación de un sistema así, sobretodo para el operador dominante, requerirá de un análisis de la aplicación acertado, y por desgracia en ocasiones el resultado no es el deseado.

En ámbitos bastante más pequeños en términos de usuarios, el intentar analizar los servicios de Internet usados y el almacenamiento en archivos ha provocado una pérdida de la calidad del servicio en la conexión bastante reseñable. En su momento pude comprobar in situ como primero se intentó dar más importancia a un control pleno sobre las comunicaciones, para acabar pasando a un control "de echar un vistazo" con tal de no saturar los equipos.

Por otro lado, resulta también desconcertante los contenidos en sí que se van a almacenar, y la forma de obtenerlos. Así, y respecto a los datos para identificar una comunicación

Con respecto al correo electrónico por Internet y a la telefonía por Internet: el servicio de Internet utilizado.

Lo que entiendo a través de esta frase es que cuentan con un método 100% seguro para identificar envíos por correo electrónico y llamadas realizadas a través de Internet sin importar el servicio utilizado. Si ni tan siquiera hay un único protocolo utilizado (más allá de las normas del H323), y cada día aparecen nuevos términos relacionados como el ZRTP, dicha tarea no resulta tan sencilla. Si bien todos estos protocolos mantienen una serie de datos en alguna de las capas que pueden ser objeto de identificación, debemos pensar también en los supuestos de tunneling que, teniendo en cuenta que el control que se realizará sobre las comunicaciones, no será tan estricto puede llevarnos a casos en que resulte complicado identificar cuando nos encontramos ante un verdadero envio de correo electrónico a través de Internet, o de una llamada por VoIP.

La identificación de protocolos no es una labor segura, tema que ya mencioné en su momento ante la Sentencia que obligaba a cierto ISP extranjero a tomar medidas reales y efectivas para prohibir el P2P (en dicho proceso apareció un perito que dijo que las medidas eran efectivas totalmente en bloquear el uso de programas de pares, otro tema sería además el bloqueo del propio sistema P2P cuando no es la naturaleza descentralizada ilegal por naturaleza).

Respecto al correo, qué sucederá si redactamos y enviamos el correo de forma remota a través de una maquina situada en otro país? Realmente se podrá saber que utilizando dicha conexión segura se está enviando un correo a [email protected]? O acaso se monitorizaran todas las conexiones seguras por si acaso?

Esta Ley entra con buenas intenciones, y creo que en algunos aspectos puede ser favorable. No obstante, me da la sensación de que algunos apartados han sido redactados de forma confusa y que, para una persona cualquiera que quiera leer el texto, le resultará complicado el entenderlo (lo cual no me extraña para nada). Siendo una Ley que toca algo tan sensible como es la conservación de datos relativos a las llamadas de las personas, no se podría haber realizado una redacción más clara y simple?