¿Sería posible (lícitamente) un espionaje como el programa Prism en España?

El órgano encargado de llevar a cabo todas estas funciones es la NSA (National Security Agency). Menos pública que otras agencias como la CIA o el FBI, la agencia norteamericana NSA se dedica básicamente a la interceptación de comunicaciones entre no nacionales estadounidenses y su función principal es la de velar por la seguridad nacional. Sin embargo, la controversia que se ha suscitado estos días tiene como centro los sujetos que estaban siendo objetivo de las interceptaciones, esto es, ciudadanos estadounidenses.

Al parecer, tal y como se ha dado a conocer, la NSA ha obtenido datos de llamadas telefónicas y comunicaciones electrónicas también de ciudadanos estadounidenses y, aunque estos datos obtenidos no suelen contener referencias a la identidad del usuario ni al contenido de las comunicaciones, sí se han analizado aquellos datos que se van generando al realizar dichas comunicaciones, esto es, los metadatos.

Los metadatos son «datos sobre los datos» y por ello pueden definirse de forma muy básica como aquella información que se genera cuando usamos medios y tecnología s de la información para comunicarnos. Entre estos datos podemos encontrar la fecha y la localización de una llamada o la dirección de correo electrónico del emisor o del receptor de un mensaje.

Esta noticia ha generado reacciones por parte de grandes compañías de la comunicación electrónica. En líneas generales, algunas de estas compañías han negado públicamente conocer la mera existencia del programa Prism , así como haber ofrecido acceso directo a sus servidores a cualquier agencia estatal estadounidense. Otras de estas compañías se remiten a lo establecido en la normativa sobre protección de datos, en tanto que es necesaria una orden judicial para acceder a los ficheros que contienen información de una empresa.

Rafael García del Poyo es abogado y socio responsable del Departamento de Derecho de los Negocios Digitales (Digital Business) de Osborne Clarke en Madrid. Es árbitro sobre comercio electrónico en la Junta Nacional Arbitral de Consumo con Confianza Online, sobre conflictos en materia de nombres de dominio con Red.es y en el Comité de Mediación y Arbitraje para la Energía y la Ingeniería con la AEADE.

Tras este somero análisis de la polémica suscitada, cabe ahora analizar si esto sería posible –repito, lícitamente– en España o en Europa. La reacción del Supervisor Europeo de Protección de Datos a las potenciales consecuencias para los ciudadanos europeos del análisis realizado por la NSA no se ha hecho esperar. El pasado día 10 de junio de 2013 el Supervisor emitió una declaración en la que expresaba su preocupación ante los acontecimientos y aseguraba que se trataría el asunto en una futura cumbre entre autoridades estadounidenses y europeas.

En todo caso, un análisis de similares características realizado en la Unión Europea debería tomar su base en las legislaciones nacionales de cada Estado miembro, ya que en la Unión se ha legislado la materia a través de varias directivas que han sido transpuestas en los ordenamientos jurídicos nacionales. Así en España, en la Ley Orgánica 15/1999 de protección de datos, podemos encontrar referencias a ciertas excepciones en favor de las autoridades del Estado.

En su artículo 11, se exime del siempre requerido consentimiento del interesado a aquellas comunicaciones de datos que tengan por destinatario al Defensor del Pueblo, el Ministerio Fiscal o los Jueces o Tribunales o el Tribunal de Cuentas . La razón detrás de esta dispensa del primordial requisito del consentimiento es el potencial «interés público» que podría derivarse de conocer esos datos.

Por otro lado, la Directiva 2004/26/CE sobre la conservación de datos generados o tratados en relación con la prestación de servicios de comunicaciones electrónicas de acceso público o de redes públicas de comunicaciones y su norma de transposición en España, la Ley 25/2007 de conservación de datos relativos a las comunicaciones electrónicas y a las redes públicas de comunicaciones, establecen un sistema por el cual se obliga a los operadores que presten servicios de comunicación electrónica disponibles al público o que exploten redes públicas de comunicaciones a conservar los datos generados o tratados en el marco de la prestación de servicios y a cederlos a las autoridades facultadas que los requieran previa autorización judicial con fines de detección, investigación y enjuiciamiento de delitos graves.

En el artículo 3 de esta ley se puede comprobar que entre los datos de obligada conservación se encuentran los metadatos que surgen durante la prestación de servicios entre operador y usuario. El período de conservación de los datos se limita a 12 meses, con posibilidad ser ampliado a 2 años o limitado a 6 meses. Entre las autoridades facultadas a analizar esta información se encuentran las Fuerzas y Cuerpos de Seguridad del Estado, el personal aduanero, cuando ejerza funciones de policía judicial , y el personal del Centro Nacional de Inteligencia.