Protección de Datos amenaza a Cultura con multas de diez millones de euros por mal uso de información de usuarios de bibliotecas
El Ministerio ha externalizado la gestión de la base de datos y se han detectado fallos que incumplen los requisitos de privacidad
- Externalizar la política de privacidad sin regularla
- La información de la Política de Privacidad: Una "anomalía"
- Multa de hasta diez millones de euros
- Solo un apercibimiento
Una reclamación a la Agencia de Protección de Datos ha desencadenado en un varapalo al Ministerio de Cultura, dirigido por Miquel Iceta. La Institución ha advertido de sanción al Gobierno si no corrige la política de datos de su plataforma eBiblio, para acceder, en versión digital, a los contenidos disponibles de las todas las bibliotecas públicas.
Según ha detectado el organismo, hay distintos fallos en la elaboración de la política de privacidad que es obligatorio aceptar para poder registrarse en la plataforma y acceder a todos los documentos disponibles.
Externalizar la política de privacidad sin regularla
La primera infracción de Ministerio ha sido dejar en manos de una empresa toda la elaboración de la política de privacidad. Cultura ha alegado que no es responsable de cualquier anomalía en el uso de datos personales, pues ha sido una empresa tercera la que los ha gestionado y ha elaborado la política en dicho campo.
Sin embargo, lavarse las manos es uno de los errores que la administración no debería haber cometido, pues, como detalla la Protección de Datos. Desde informar de las "condiciones de uso" hasta regular el "el tratamiento de datos en un contrato u acto jurídico" que vincule a la empresa que ejecuta la política de privacidad y al propio Ministerio, es "responsabilidad" del ente público. Pero, según afirma Protección de Datos, "no consta" que Cultura "haya dispuesto la formalización de un contrato de
encargo del tratamiento o acto jurídico que regule el acceso a los datos personales de
los usuarios de “eBiblio” por parte de la empresa encargada".
La información de la Política de Privacidad: Una "anomalía"
Dado que el responsable de lo que se establezca en la política de datos es el Ministerio, también es culpable de la gestión que se haga de los mismos y de la información que se le pida al usuario. Así pues, Protección de Datos advierte al Ministerio de que la política que obliga a aceptar al usuario, por la que almacena los datos de cada cuenta para transferirlos a una base de datos común, no responde a la "transparencia" que estipula la ley. "No se informa adecuadamente" al usuario, afirma la Agencia en su escrito.
En este apartado se señalan múltiples fallos de privacidad y de información, que debería estar correctamente explicada y al alcance del usuario, pero no es así. "Sobre la conservación de los datos, se establecía un período de seis años sin justificar las razones de este plazo", continúa el texto de la Agencia.
"La información sobre los derechos del interesado es deficiente"; "la posibilidad de formular una reclamación ante la AEPD no se indicaba en la Política de Privacidad", son algunas de las afirmaciones sobre la poca información que se ha puesto a disposición del usuario antes de aceptar las conocidas como cookies y la política de uso y privacidad de la plataforma eBiblio.
Multa de hasta diez millones de euros
Aunque son muchas las infracciones del Ministerio en la política de uso de eBiblio, la sanción podría llegar a ser millonaria. Solo por no haber formalizado un contrato entre la empresa externa y el Ministerio, Cultura se expone a una multa que podría alcanzar los diez millones de euros.
Sin embargo, no queda ahí. Dadas las distintas infracciones, podrían amontonarse las sanciones hasta alcanzar una suma muy superior. Por otro de los incumplimientos, el de no explicar correctamente los derechos de los usuarios antes de aceptar la política de privacidad, la multa podría ascender a los veinte millones de euros, que se sumarían a los diez anteriores.
Solo un apercibimiento
Sin embargo, la Agencia rechaza sancionar Cultura y deja su sentencia en un "apercibimiento". El organismo obliga al Ministerio a corregir todos los fallos detectados y a elaborar una nueva política de privacidad que cubra con toda la legislación vigente. Entre ellos: "La correcta identificación de la entidad responsable (el Ministerio)"; "el detalle de los distintos tratamientos de datos que se realizan, las bases jurídicas respectivas que los legitiman y sus finalidades"; y "la información en materia de protección de datos personales insertada en la web eBiblio".
