Bueno empecemos con España:
Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal su artículo 33
Veamos las definiciones competentes
a) Datos de carácter personal: cualquier información concerniente a personas físicas identificadas o identificables.
b) Fichero: todo conjunto organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso.
c) Tratamiento de datos: operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.
Cita: 1. No podrán realizarse transferencias temporales ni definitivas de datos de carácter personal que hayan sido objeto de tratamiento o hayan sido recogidos para someterlos a dicho tratamiento con destino a países que no proporcionen un nivel de protección equiparable al que presta la presente Ley, salvo que, además de haberse observado lo dispuesto en ésta, se obtenga autorización previa del Director de la Agencia de Protección de Datos, que sólo podrá otorgarla si se obtienen garantías adecuadas.
2. El carácter adecuado del nivel de protección que ofrece el país de destino se evaluará por la Agencia de Protección de Datos atendiendo a todas las circunstancias que concurran en la transferencia o categoría de transferencia de datos. En particular, se tomará en consideración la naturaleza de los datos, la finalidad y la duración del tratamiento o de los tratamientos previstos, el país de origen y el país de destino final, las normas de derecho, generales o sectoriales, vigentes en el país tercero de que se trate, el contenido de los informes de la Comisión de la Unión Europea, así como las normas profesionales y las medidas de seguridad en vigor en dichos países.
Ahora bién, la propia ley marca Excepciones, pero todas implican que quien reciba la información justifique dicha solicitud. Esto es, si Microsoft recibe información personal de España y no demuestra una autorización para obtenerla incluida en las excepciones, Microsoft ha violado esta ley.
La excepción i me llama la atención:
Cita: i) Cuando la transferencia sea precisa para el reconocimiento, ejercicio o defensa de un derecho en un proceso judicial.
Eso es, los artículos son nulos si ya existe un proceso judicial, pero son válidos si aún no existe tal, en el caso que nos ocupa, no puede haber un proceso judicial contra alguien que no se conoce, porque el proceso judicial debe iniciar después de que el soplón haya enviado la información, entonces estos artículos son válidos.
Los artículos anteriores me parecieron de los mas claros, ahora pasemos a los enreversados:
Definición e)
e) Afectado o interesado: persona física titular de los datos que sean objeto del tratamiento a que se refiere el apartado c) del presente artículo.
h) Consentimiento del interesado: toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen.
i) Cesión o comunicación de datos: toda revelación de datos realizada a una persona distinta del interesado.
j) Fuentes accesibles al público: aquellos ficheros cuya consulta puede ser realizada, por cualquier persona, no impedida por una norma limitativa o sin más exigencia que, en su caso, el abono de una contraprestación.
Cita: Artículo 11. Comunicación de datos.
1. Los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado.
Ahora bién, se contemplan casos en los que el consentimiento no es requerido:
Cita:
a) Cuando la cesión está autorizada en una ley.
b) Cuando se trate de datos recogidos de fuentes accesibles al público.
c) Cuando el tratamiento responda a la libre y legítima aceptación de una relación jurídica cuyo desarrollo, cumplimiento y control implique necesariamente la conexión de dicho tratamiento con ficheros de terceros.
En este caso la comunicación sólo será legítima en cuanto se limite a la finalidad que la justifique.
d) Cuando la comunicación que deba efectuarse tenga por destinatario al Defensor del Pueblo, el Ministerio Fiscal o los Jueces o Tribunales o el Tribunal de Cuentas, en el ejercicio de las funciones que tiene atribuidas.
Tampoco será preciso el consentimiento cuando la comunicación tenga como destinatario a instituciones autonómicas con funciones análogas al Defensor del Pueblo o al Tribunal de Cuentas.
e) Cuando la cesión se produzca entre Administraciones públicas y tenga por objeto el tratamiento posterior de los datos con fines históricos, estadísticos o científicos.
f) Cuando la cesión de datos de carácter personal relativos a la salud sea necesaria para solucionar una urgencia que requiera acceder a un fichero o para realizar los estudios epidemiológicos en los términos establecidos en la legislación sobre sanidad estatal o autonómica.
El punto c) me llama poderósamente la atención, señala que no es necesario el consetimiento del interesado para enviar datos a un tercero si éstos son recogidos de fuentes accesibles al público.
Como vemos en su definición, un soplón no cae en la categoría de "fuente accesble al público", así que esta excepción no aplica para anular el consentmiento en el caso que nos ocupa.
Por otro lado, el punto 3 es de especial claridad.
Cita: 3. Será nulo el consentimiento para la comunicación de los datos de carácter personal a un tercero, cuando la información que se facilite al interesado no le permita conocer la finalidad a que destinarán los datos cuya comunicación se autoriza o el tipo de actividad de aquel a quien se pretenden comunicar.
En nuestro caso, si el soplón no le informa al intresado que le fué con el chisme a Microsoft, el consentimiento -de existir- es automáticamente nulo, ¿Será que el soplón le informe al interesado que le mandó sus datos a Microsoft?
Ahora bién, el ámbito de aplicación nos podría hacer pensar que la información porporcionada por el soplón no cae dentro de la jurisdicción de esta ley:
Cita: Artículo 2. Ámbito de aplicación.
1. La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico, que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado.
Sin embargo, inmediatamente debajo del artículo 2 se señala:
Cita: Se regirá por la presente Ley Orgánica todo tratamiento de datos de carácter personal:
Por otro lado se señala:
Cita: 2. El régimen de protección de los datos de carácter personal que se establece en la presente Ley Orgánica no será de aplicación:
a) A los ficheros mantenidos por personas físicas en el ejercicio de actividades exclusivamente personales o domésticas.
Este punto nos señala que el soplón puede hacer con su informacón lo que quiera en el ámbito personal, sin embargo, el soplón esta obligado a avisar de esta información personal sensible a la Agencia de Protección de Datos ANTES que a Microsoft.
Cita: No obstante, en estos supuestos el responsable del fichero comunicará previamente la existencia del mismo, sus características generales y su finalidad a la Agencia de Protección de Datos.
Como vemos, la ley contempla el envío del información personal a terceros, pero cumpliendo con una estricta normativa e incluso en el ámbito personal dicha información debe ser notificada primero a la agencia ANTES que al tercero en cuestión. En caso de haber infomado de los datos personales a Microsft antes que a la Agencia, el soplón habrá violado esta ley.
Actualmente estoy analizando la normativa al respecto de diferente países, en otras intervenciones les pasaré los resultados.
Saludos.
