Multado un ISP español por alojar datos en Estados Unidos

La Agencia española de Protección de Datos (APD) ha impuesto una sanción millonaria a la empresa Inlander que, por encargo del Ayuntamiento de La Seu d'Urgell (Lleida), gestiona el servicio de correo electrónico gratuito de los vecinos de la localidad leridana. La resolución de la APD consta de dos multas: una por alojar el servidor que contiene los datos en Estados Unidos y otra por incumplir la medidas de seguridad que la ley impone en la protección de la privacidad de los españoles.

Inlander ha recurrido la sanción, el consistorio ha reclamado la repatriación de los datos a España; un trámite que la empresa dice estar llevando a cabo.

Los hechos se remontan al 4 de septiembre de 2000. El pleno del Ayuntamiento de La Seu d'Urgell acordó ofrecer el servicio de correo electrónico gratuito para promocionar la sociedad de la información entre sus vecinos. Se lo encargó a la empresa Inlander, con sede en Barcelona, a través de su agente comercial en la localidad leridana.

El departamento de informática del Ayuntamiento de La Seu generó con el padrón municipal un fichero informático ya filtrado donde aparecían cuatro cuentas de correo electrónico y sus correspondientes código de usuario y contraseña por cada vecino. Después, se lo entregaron a Inlander, que lo trasladó al servidor alojado en la empresa NTT Verio de Virginia (Estados Unidos), sin pedir autorización previa al director de la APD, tal como marca la ley. Estados Unidos no se considera un puerto seguro porque su legislación sobre privacidad y protección de datos es menos restrictiva que la europea.

El Ayuntamiento tampoco había pedido el consentimiento de sus ciudadanos para manejar a priori los datos del padrón municipal. 'El objetivo era que cada persona eligiera la dirección de e-mail que más le convenía', argumentan en el Ayuntamiento. 'La cuenta sólo se activaba cuando el ciudadano la validaba por Internet; es decir cuando daban su aprobación explícita', explica el director general de Inlander, André Vanyi-Robin.

Los vecinos de La Seu recibieron por carta la oferta del servicio en abril de 2001. Uno de ellos fue Josep Celery. El ciudadano consideró que 'el Ayuntamiento había cedido mis datos a una empresa sin mi aprobación y lo notifiqué a la APD'. Seis meses después, en septiembre de 2001, la APD inició la inspección a Inlander, una empresa española con 48 empleados que da servicios de Internet y desarrolla software.

Los inspectores detectaron los dos fallos: les notificaron que les consideraban infractores y que la sanción podría llegar hasta los 300.000 euros por alojar el servidor en Estados Unidos, además de los 60.000 euros por incumplir las medidas de privacidad.

'Inlander ha colaborado en la investigación. Y la prueba de ello es que la resolución final de junio de 2002 reduce la sanción de 360.000 a 60.601 euros; 60.00 euros por la transferencia de datos y 601 por la privacidad. Además, los trámites tecnológicos y burocráticos se fueron cumplimentando durante el año que duró la investigación', dice Robin-Vanyi.

Aún así, reconoce que la dirección anterior de la empresa 'erró al no notificar la transferencia de datos a la APD'. Ahora la empresa los está trasladando a un servidor español.

Sobre la decisión de alquilar servicios de alojamiento en el extranjero, el director de Inlander dice que 'es una práctica habitual entre ISP: permite ofrecer mejores precios a los clientes. Estamos hablando de un servicio gratuito impulsado por un ayuntamiento gracias al cual 45.000 personas cuentan con correo propio'.