El informe jurídico de la AEPD (Agencia Española de Protección de Datos) con número 0261/2012 aborda la legitimidad del tratamiento de datos personales de usuarios «ilegales» que acceden a software sin haberlo adquirido previamente. La consulta plantea si es posible utilizar un software antipiratería sin el consentimiento del interesado, basándose en el interés legítimo, y si la inclusión de un aviso informativo en la página web de la compañía sería suficiente para cumplir con el deber de información y obtener el consentimiento. Además, se cuestiona si la transferencia internacional de datos a Estados Unidos quedaría amparada por el interés legítimo o si es necesaria una autorización previa.
El informe comienza analizando si los datos tratados (nombre de usuario y correo electrónico) son considerados datos personales según la Ley Orgánica 15/1999 de Protección de Datos de Carácter Personal (LOPD) y su normativa de desarrollo. La AEPD concluye que tanto el nombre de usuario como la dirección IP y el correo electrónico son datos personales, ya que permiten identificar a las personas físicas.
Para que el tratamiento de estos datos sea legítimo, la LOPD establece que se requiere el consentimiento inequívoco del afectado, salvo en los casos específicos que la ley permite. La empresa consultante plantea si el tratamiento de datos podría basarse en el interés legítimo del artículo 7.f) de la Directiva 95/46/CE, que permite el tratamiento de datos sin consentimiento cuando es necesario para satisfacer un interés legítimo del responsable del tratamiento, siempre que no prevalezcan los derechos y libertades fundamentales del interesado.
El informe analiza la jurisprudencia del Tribunal de Justicia de la Unión Europea y la Audiencia Nacional, que han establecido que el interés legítimo debe ser ponderado caso por caso, considerando las circunstancias concretas y el impacto en los derechos fundamentales del interesado. En este sentido, la protección de la propiedad intelectual debe equilibrarse con la protección de datos personales, y no siempre el interés legítimo prevalecerá sobre los derechos del afectado.
En cuanto a la obtención del consentimiento, la AEPD señala que debe ser libre, específico, informado e inequívoco. La mera inclusión de un aviso en la página web no sería suficiente para considerar que se ha obtenido el consentimiento del usuario. Es necesario implementar medios técnicos que aseguren que el usuario ha leído y comprendido la información proporcionada antes de acceder al software.
Finalmente, el informe concluye que la transferencia internacional de datos a Estados Unidos no quedaría amparada por el interés legítimo. Aunque no sería necesaria autorización previa si los datos se transfieren a países del Espacio Económico Europeo o a entidades estadounidenses adheridas a los «Principios de Puerto Seguro», en otros casos será necesario obtener la autorización previa del Director de la AEPD.
En resumen, el informe de la AEPD subraya la importancia de cumplir con las exigencias legales en materia de protección de datos, especialmente cuando se trata de datos personales sensibles y transferencias internacionales. La empresa consultante debe asegurarse de obtener el consentimiento de los usuarios de manera clara y explícita, y considerar las implicaciones legales de la transferencia de datos fuera de la Unión Europea.