Mediante la puesta en marcha de un breve estudio etnogr\u00e1fico hemos querido explicar las experiencias de ejercer el derecho de acceso a los datos personales en Espa\u00f1a. En primer lugar, ubicando la informaci\u00f3n requerida sobre las organizaciones y sus controladores de datos y, en segundo lugar, enviando solicitudes de acceso a estas organizaciones. La primera oleada del trabajo de campo se realiz\u00f3 unos a\u00f1os atr\u00e1s, cuando Eticas participaba en un proyecto de investigaci\u00f3n europeo m\u00e1s amplio. La segunda se realiz\u00f3 en 2018 por parte del equipo de Eticas Foundation y de colaboradores.<\/p>\n\n\n\n
Como parte de este proceso, intentamos ubicar los controladores de datos en 30 organizaciones y posteriormente enviamos 21 solicitudes de acceso a una amplia gama de controladores tanto en el sector p\u00fablico como del privado.<\/p>\n\n\n\n
Los detalles del controlador de datos se encontraban habitualmente en los sitios web oficiales de las organizaciones. Si no, a menudo era necesario ponerse en contacto con las organizaciones por tel\u00e9fono. Cuando hablamos con el personal por tel\u00e9fono hab\u00eda una falta de experiencia sobre la protecci\u00f3n de datos y los derechos de acceso. Estas conversaciones resultaron dif\u00edciles debido a la sospecha sistem\u00e1tica de los encuestados, que parec\u00edan esc\u00e9pticos de que quisi\u00e9ramos acceder a nuestros datos personales simplemente porque ten\u00edamos curiosidad.<\/p>\n\n\n\n
En el caso de los sistemas de CCTV, la se\u00f1alizaci\u00f3n obligatoria deber\u00eda haber comportado que podr\u00edamos ubicar el controlador de datos sin hablar con ning\u00fan miembro del personal en persona. Pero se encontraron irregularidades en la se\u00f1alizaci\u00f3n debido a una ubicaci\u00f3n deficiente e invisibilidad, ninguna se\u00f1alizaci\u00f3n, o se\u00f1alizaci\u00f3n sin detalles del controlador de datos. S\u00f3lo en 2 de 5 sitios se encontr\u00f3 una se\u00f1alizaci\u00f3n con buen cumplimiento de la ley espa\u00f1ola.<\/p>\n\n\n\n
Cuando hicimos este trabajo de campo en el a\u00f1o 2014, descubrimos que el grado general de cumplimiento legal y el desempe\u00f1o de buenas pr\u00e1cticas cuando los ciudadanos intentaban ejercer sus derechos de acceso en Espa\u00f1a eran bajos. Algunas organizaciones no respondieron a nuestras solicitudes en ning\u00fan momento y solo se consider\u00f3 que una minor\u00eda de los casos dio lugar a respuestas legalmente adecuadas despu\u00e9s de un proceso relativamente sencillo y directo.<\/p>\n\n\n\n
En este sentido, \u00bfc\u00f3mo ser\u00eda la situaci\u00f3n 4 a\u00f1os despu\u00e9s, y con la nueva regulaci\u00f3n europea sobre protecci\u00f3n de datos ya en vigor? Para responder a esa pregunta, decidimos volver a poner nuestros derechos de acceso en pr\u00e1ctica.<\/p>\n\n\n\n
En esta ocasi\u00f3n para realizar el trabajo de campo buscamos el contacto de 34 controladores de datos, de los que finalmente pudimos efectuar 31 peticiones de acceso a datos personales (91,18%), correspondientes tanto a empresas y organismos del sector p\u00fablico como del sector privado. Las 3 peticiones de acceso que no pudimos llegar a llevar a cabo fueron, en dos casos, porque que no fue posible localizar los datos de contacto para realizarla, y en otro caso, el formulario conten\u00eda un error y no dejaba introducir el c\u00f3digo postal correspondiente, y por tanto no dejaba enviar la petici\u00f3n.<\/p>\n\n\n\n
El nivel de cumplimiento fue bastante desigual. De las 31 peticiones de acceso que pudimos hacer, solamente 12 fueron respuestas de manera \u00f3ptima y directa (38,71%), es decir, respuestas que ofrec\u00edan una informaci\u00f3n correcta dentro del plazo establecido. Por otro lado, 6 respuestas recibidas solicitaban algo m\u00e1s de informaci\u00f3n de parte de la persona interesada (19,35%) para que la petici\u00f3n se pudiera seguir procesando: 2 ped\u00edan enviar una copia del documento de identidad; 1 efectu\u00f3 incluso una llamada telef\u00f3nica a la interesada pregunt\u00e1ndole de qu\u00e9 datos quer\u00eda recibir informaci\u00f3n (y por qu\u00e9 motivos); y en 2 casos ped\u00edan las dos cosas, es decir, enviar un documento de identidad y especificar a qu\u00e9 informaci\u00f3n se deseaba acceder.<\/p>\n\n\n\n
S\u00f3lo en 1 caso recibimos una respuesta que era una comunicaci\u00f3n de ampliaci\u00f3n del plazo legalmente establecido de 30 d\u00edas a 2 meses para dar una respuesta, argumentando que se trataba de una petici\u00f3n compleja de responder dada la gran cantidad de datos que gestionaban. Si 12 fueron respuestas directamente, y 7 fueron respuestas pero sin ofrecer en un primer momento los datos personales solicitados, las peticiones enviadas de las que no obtuvimos ninguna respuesta fueron un total de 9, lo que es casi un 30% (29,03%). Adem\u00e1s, a\u00f1adidos a estos, en 1 caso recibimos respuesta fuera del plazo que establece la ley.<\/p>\n\n\n\n
Por sectores, el sector privado en general responde mejor que el sector p\u00fablico. Consideramos 34 controladores de datos, de los cuales 21 eran actores privados y 13 actores p\u00fablicos. De las respuestas m\u00e1s satisfactorias, s\u00f3lo un 16,67% corresponde a entidades del sector p\u00fablico, y el resto (83,3%) son empresas privadas. Por el contrario, de los casos de los que no recibimos respuesta, un 55,6% de corresponde a entidades del sector p\u00fablico, y el 44,4% a entidades privadas.<\/p>\n\n\n\n
En cuanto a la opci\u00f3n que recoge la nueva legislaci\u00f3n europea relativa a proporcionar una v\u00eda electr\u00f3nica mediante la cual ejercer el derecho de acceso (RGPD, considerando 59), en la LOPDGDD no se considera una obligaci\u00f3n sino una opci\u00f3n m\u00e1s entre otras. As\u00ed, de las organizaciones incorporadas en el estudio, 20 lo ofrecen (un 64,52% de entidades), pero 12 no, es decir, un 38,71%. Y por sectores, las que no son mayoritariamente del sector p\u00fablico, un 66,67%, frente a un 33,33% de empresas del sector privado. En cuanto a las que s\u00ed cumplen con esta opci\u00f3n contemplada por la ley, 15 son empresas privadas y 5 p\u00fablicas, con un 75% y un 25% respectivamente.\n\nDe los casos vale la pena resaltar cuando recibimos una llamada al m\u00f3vil donde nos hac\u00edan preguntas sobre los motivos de por qu\u00e9 se quer\u00eda llevar a cabo este derecho; en otro caso, nos ped\u00edan de ir personalmente para identificarse. O tambi\u00e9n, el caso en que recibimos un correo electr\u00f3nico que pr\u00e1cticamente no se pod\u00eda leer, texto sin formato, con c\u00f3digo html visible y utilizando una jerga legal.<\/p>\n\n\n\n
Hemos mejorado algo, s\u00ed: en acceder a los datos de contacto donde poder ejercer los derechos de acceso, pasando de un 74% de \u00e9xito en 2014 a un 91,18% en 2018. Y tambi\u00e9n hemos mejorado en poder acceder a estos datos de contacto mediante consulta online (sin tener que visitar el organismo personalmente ni tener que llamar por tel\u00e9fono), pero todav\u00eda vemos un nivel bastante bajo de ofrecimiento del derecho de acceso por medios electr\u00f3nicos, ya que casi un 40% no lo proporcionan (38,71%). <\/p>\n\n\n\n
Y todav\u00eda quedan pr\u00e1cticas poco afines a la protecci\u00f3n de datos como la que relatamos de la llamada telef\u00f3nica, aunque en este caso debido a que la interacci\u00f3n personal es menor hemos encontrado solamente uno.\nFinalmente, el sector p\u00fablico sigue estando por detr\u00e1s del sector privado en buenas pr\u00e1cticas, pero va mejorando, pues ostentaba el 90% de las malas pr\u00e1cticas en 2014, y el 2018 representa un 55,6% de las entidades que no ofrecen ninguna respuesta. Tambi\u00e9n siguen yendo por detr\u00e1s, como ve\u00edamos en los porcentajes, ofreciendo una v\u00eda electr\u00f3nica para ejercer el derecho de acceso, respecto a entes privados.<\/p>\n\n\n\n