¿Cuándo hay que borrar los datos personales?
Contenidos
La Ordenanza de Datos Personales (Privacidad) (la “PDPO”) se aprobó en 1995 y entró en vigor a partir de diciembre de 1996 (salvo algunas disposiciones). Es una de las leyes de protección de datos más antiguas de Asia. Tiene su origen en el informe de la Comisión de Reforma Legislativa de agosto de 1994, titulado “Reforma de la ley relativa a la protección de datos personales “1, en el que se recomendaba que Hong Kong introdujera una nueva ley de protección de la intimidad basada en las Directrices de la OCDE sobre protección de la intimidad de 19802, con el fin de garantizar un nivel adecuado de protección de los datos para mantener su condición de centro comercial internacional y cumplir las obligaciones derivadas de los tratados de derechos humanos. La PDPO fue objeto de importantes modificaciones en 2012, la más significativa de las cuales fue la introducción de disposiciones sobre comercialización directa y otras protecciones adicionales para hacer frente a los nuevos retos en materia de privacidad y responder a las preocupaciones del público. En 2021, la PDPO fue objeto de otra importante modificación. El objetivo de las modificaciones es combatir los actos de doxxing que atentan contra la privacidad de los datos personales, mediante la penalización de los actos de doxxing y la atribución al Comisario de Privacidad de Datos Personales de poderes legales para emitir notificaciones de cese que exijan el cese o la restricción de la divulgación de contenidos de doxxing. Las enmiendas también confieren al Comisario de Privacidad la facultad de llevar a cabo una investigación penal e iniciar un proceso judicial en los casos de doxxing, con el fin de reforzar la aplicación de la ley en los casos de doxxing.
Ejemplos de datos personales
Por “datos personales” se entiende cualquier información relativa a una persona física identificada o identificable (“sujeto de los datos”); una persona física identificable es aquella que puede ser identificada, directa o indirectamente, en particular por referencia a un identificador como un nombre, un número de identificación, datos de localización, un identificador en línea o a uno o más factores específicos de la identidad física, fisiológica, genética, mental, económica, cultural o social de esa persona física;
En otras palabras, es cualquier dato que pueda conducir a la identificación de una persona (viva) concreta. Puede ser un dato tan obviamente identificable como el nombre, pero también puede ser una combinación de datos “inocentes” como la edad, la altura/peso, la riqueza, el puesto de trabajo, la empresa, la ciudad, etc., ya que cuando se combinan pueden permitir la idenitifcación de una persona.
El GDPR define categorías especiales de datos personales (datos sensibles) que deben protegerse con medios adicionales y no deben recogerse sin consentimiento explícito, una buena razón o algunas otras excepciones. Esas categorías son:
Ejemplos de datos sensibles
La Publicación Especial 800-122 del Instituto Nacional de Estándares y Tecnología[5] define la información de identificación personal como “cualquier información sobre un individuo mantenida por una agencia, incluyendo (1) cualquier información que pueda ser utilizada para distinguir o rastrear la identidad de un individuo, como el nombre, el número de la seguridad social, la fecha y el lugar de nacimiento, el nombre de soltera de la madre o los registros biométricos; y (2) cualquier otra información que esté vinculada o sea vinculable a un individuo, como la información médica, educativa, financiera y de empleo”. Por ejemplo, la dirección IP de un usuario no se clasifica como IIP por sí sola, pero sí como IIP vinculada[6].
El GDPR define los datos personales como “cualquier información relacionada con una persona física identificada o identificable”[7][5] La dirección IP de un abonado a Internet puede clasificarse como datos personales[8].
El concepto de IPI se ha convertido en algo habitual, ya que la tecnología de la información e Internet han facilitado la recopilación de IPI, lo que ha dado lugar a un mercado rentable de recopilación y reventa de IPI. La IIP también puede ser explotada por los delincuentes para acechar o robar la identidad de una persona, o para ayudar en la planificación de actos delictivos. Como respuesta a estas amenazas, las políticas de privacidad de muchos sitios web abordan específicamente la recopilación de información de identificación personal,[9] y los legisladores, como el Parlamento Europeo, han promulgado una serie de leyes como el Reglamento General de Protección de Datos (GDPR) para limitar la distribución y la accesibilidad de la información de identificación personal[10].
¿Cuál de las siguientes informaciones se clasificaría como datos personales
Los datos personales son cualquier tipo de información que se refiera directa o indirectamente a una persona física viva, identificada o identificable (un “sujeto de datos”). Ejemplos típicos son el nombre de una persona, su número de identificación personal, su dirección de correo electrónico, su origen étnico, su estado de salud o sus opiniones políticas. Algunos datos personales son datos de categoría especial, ya que están clasificados como sensibles y, por tanto, necesitan una protección adicional.
Póngase en contacto con el responsable de la protección de datos si desea saber más sobre el tratamiento de datos personales en su IES. Puede leer más sobre los principios fundamentales en el sitio web de la Autoridad Sueca para la Protección de la Privacidad.
El consentimiento puede ser otra base legal para el tratamiento de datos personales. Sin embargo, las autoridades rara vez pueden basar su tratamiento en el consentimiento del interesado. La razón es que existe una desigualdad significativa entre el individuo registrado y la autoridad. La relación entre un sujeto de investigación individual y un director de investigación (normalmente una IES) también puede ser desequilibrada. Para que el consentimiento sea una base legal para el tratamiento, no puede haber una situación de dependencia entre el sujeto de la investigación y la IES. (Un sujeto de investigación es una persona que forma parte de un estudio de investigación. Las distintas disciplinas utilizan diferentes terminologías para referirse a los participantes en el estudio, por ejemplo, informantes, encuestados o entrevistados).
