El Informe 0613/2009 del Gabinete Jurídico de la Agencia Española de Protección de Datos (AEPD) aborda la aplicación de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, a un servicio de geolocalización ofrecido por una empresa consultante. Este informe se centra en la protección de datos personales y la proporcionalidad en el tratamiento de datos de localización.
### Consideraciones Previas
El informe comienza recordando que la Ley Orgánica 15/1999 protege los derechos de los ciudadanos en relación con el tratamiento automatizado de datos personales. Los datos de localización, definidos como cualquier información que indique la posición geográfica de un equipo terminal, se consideran datos personales y, por tanto, están sujetos a las disposiciones de la ley.
### Principio de Proporcionalidad
El artículo 4.1 de la Ley Orgánica 15/1999 establece que los datos personales solo pueden ser recogidos y tratados si son adecuados, pertinentes y no excesivos en relación con las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido. El Tribunal Constitucional ha subrayado que ningún derecho fundamental es absoluto y puede ceder ante intereses constitucionalmente relevantes, siempre que la restricción sea necesaria, proporcionada y respete el contenido esencial del derecho.
### Relación entre Responsable y Encargado del Tratamiento
El informe distingue entre el responsable del fichero, que decide sobre la finalidad, contenido y uso del tratamiento, y el encargado del tratamiento, que accede a los datos para prestar un servicio al responsable. La relación entre ambos debe estar regulada por un contrato que especifique las condiciones de acceso y uso de los datos, y que garantice la destrucción o devolución de los datos una vez cumplida la prestación contractual.
### Conservación y Seguridad de los Datos
El artículo 4.5 de la Ley Orgánica 15/1999 establece que los datos personales deben ser cancelados cuando dejen de ser necesarios para la finalidad para la que fueron recabados. El Grupo de Trabajo del artículo 29 de la UE recomienda que los datos de localización se conserven durante un período razonable, no superior a dos meses, a menos que se hagan anónimos para fines históricos.
En cuanto a las medidas de seguridad, el encargado del tratamiento debe adoptar las mismas medidas que el responsable del fichero, según lo establecido en el Reglamento de desarrollo de la Ley Orgánica 15/1999. Estas medidas se clasifican en tres niveles según la naturaleza de los datos a tratar.
### Legislación Aplicable en Otros Países
El informe también aborda la legislación aplicable cuando los servicios de geolocalización se prestan en otros países. Si la empresa cliente se encuentra en la Unión Europea, el tratamiento se regirá por la legislación del Estado Miembro donde se encuentre el establecimiento del responsable. Si el responsable está fuera de la UE, la Ley Orgánica 15/1999 será aplicable si se utilizan medios situados en territorio español, y el responsable deberá designar un representante en España.
### Conclusión
El informe subraya la importancia de la proporcionalidad y la seguridad en el tratamiento de datos de localización, así como la necesidad de cumplir con la legislación vigente tanto en España como en la Unión Europea. La empresa consultante debe asegurarse de que sus prácticas de geolocalización respeten los derechos fundamentales de los individuos y cumplan con las disposiciones legales aplicables.