El Ministerio de Justicia (MoJ) no ha respondido adecuadamente a casi 7800 solicitudes de acceso de sujetos (SAR), lo que llevó a la Oficina del Comisionado de Información (ICO) a emitir un aviso de ejecución formal contra el departamento.
Se descubrió que el MoJ contravenía tanto el Reglamento general de protección de datos (GDPR) del Reino Unido como la Parte tres de la Ley de protección de datos de 2018 (DPA 18), que establece reglas específicas para el procesamiento de datos policiales por primera vez en historia británica.
La emisión del aviso de ejecución por parte del ICO el 18 de enero de 2022 es solo la segunda vez que se entrega uno a un organismo público por incumplimiento de las obligaciones establecidas en la Parte Tercera desde que entró en vigor en mayo de 2018. El primero fue entregado al Metropolitano Servicio de Policía (MPS) en junio de 2019 por fallas similares en la Parte Tres para eliminar su acumulación de SAR.
“Al 16 de agosto de 2021, había 7.753 ‘SAR atrasados’, que comprenden 25 solicitudes que no recibieron respuesta y 7.728 solicitudes que recibieron solo una respuesta parcial”, dice el aviso al Ministerio de Justicia.
También señaló que la cantidad de SAR vencidos había ido aumentando constantemente durante meses. Al 31 de marzo de 2021, el Ministerio de Justicia tenía 5956 SAR pendientes, 372 de los cuales databan de 2018. Una actualización posterior del Ministerio de Justicia del 18 de mayo de 2021 mostró que el número había aumentado a 6398, antes de superar los 7750 en agosto.
Según las normas de protección de datos del Reino Unido, el Ministerio de Justicia está legalmente obligado a responder a los ROS en el plazo de un mes.
“La cantidad sustancial de solicitudes de acceso de sujetos que siguen pendientes y que están fuera de tiempo para el cumplimiento es motivo de gran preocupación para el comisionado. Estas preocupaciones demuestran que el controlador actualmente no cumple con sus obligaciones con respecto a los derechos de información de los interesados para quienes procesa los datos”, dice el aviso.
“Las reuniones anteriores y la correspondencia entre el controlador y el comisionado han resultado en gran medida ineficaces para reducir la cantidad de solicitudes de acceso de sujetos pendientes”.
Agregó que entre el 1 de abril de 2020 y el 31 de junio de 2021, el Ministerio de Justicia recibió 34 quejas formales de los interesados sobre las respuestas SAR inadecuadas.
La investigación inicial de la ICO sobre la acumulación de SAR comenzó en enero de 2019, pero se detuvo con el inicio de la pandemia y solo se reanudó en octubre de 2020 cuando la ICO se puso en contacto con el Ministerio de Justicia para obtener una actualización.
No está claro cuántos SAR estaban vencidos en el momento en que se alertó inicialmente al ICO sobre el retraso a principios de 2019.
En respuesta a la solicitud del ICO de lo que constituye una respuesta parcial, el Ministerio de Justicia respondió que, debido a que se implementó un servicio SAR limitado en respuesta a las restricciones pandémicas, solo se disponía de cierta información.
“Se informó a los solicitantes de las razones por las cuales la información retenida en [redacted] fue todo lo que se pudo proporcionar cuando se reconoció su SAR. También se les recordó que tenían otras vías de acceso a su información a través de su [redacted] sin la necesidad de hacer un SAR, además de ser informados de que podrían presentar un SAR adicional después de que pase la pandemia”, dijo el Ministerio de Justicia.
Sin embargo, el ICO señaló que el proceso implementado para proporcionar SAR parciales se aplicó únicamente a las solicitudes de los “infractores”.
“El comisionado considera que es probable que se produzcan daños o angustia como resultado de que se niegue a los interesados cuyas solicitudes de acceso de sujetos están pendientes la oportunidad de comprender adecuadamente qué datos personales sobre ellos puede estar procesando el controlador; además, no pueden ejercer de manera efectiva los otros derechos otorgados por ley a un sujeto de datos con respecto a esos datos”, dice el aviso.
“Teniendo en cuenta el nivel significativo de la infracción, el comisionado considera que un aviso de ejecución sería un paso regulatorio proporcionado para que el controlador cumpla”.
Según el aviso, el Ministerio de Justicia debe completar los 7753 SAR pendientes a más tardar el 31 de diciembre de 2022, y también debe realizar cambios en sus “sistemas, procedimientos y políticas internos según sea necesario” para garantizar que los futuros SAR se aborden adecuadamente.
El ICO también ha aconsejado al Ministerio de Justicia que elabore un “plan de recuperación” con detalles sobre cómo pretende remediar la situación.
El incumplimiento de las obligaciones puede dar lugar a que la ICO entregue al Ministerio de Justicia una notificación de sanción, lo que significaría una multa de hasta 17,5 millones de libras, o el 4 % de la facturación mundial anual de la organización, lo que sea mayor.
Otros sectores de la justicia penal también han tenido problemas con los atrasos de SAR. En el caso del Servicio de Policía Metropolitana, resultó en que el ICO emitiera un aviso de ejecución contra la fuerza por su retraso de 662 SAR, 280 de los cuales estaban vencidos.
Sin embargo, a pesar de que el MPS no cumplió completamente con el aviso de cumplimiento después de muchos meses, y a pesar de que persistía el retraso, el ICO no emitió un aviso de sanción ni tomó ninguna medida regulatoria adicional.
Cuando se le preguntó por qué no hizo ningún anuncio público con respecto a sus decisiones de aplicación de MPS en ese momento, la ICO no respondió directamente a la pregunta, sino que afirmó: “seguimos trabajando en estrecha colaboración con MPS a medida que realiza mejoras adicionales en su servicio y estamos monitoreando cuidadosamente su desempeño continuo”.
En un informe publicado por el ICO el 10 de noviembre de 2020 sobre la Puntualidad de las respuestas a las solicitudes de acceso a la información por parte de las fuerzas policiales en Inglaterra, Gales e Irlanda del Norte, dijo que el regulador había tomado medidas formales contra el MPS “por no cumplir con sus obligaciones de protección de datos al no responder a los SAR a tiempo”, pero no mencionó que no prosiguió la acción cuando el MPS no cumplió con sus requisitos.
El mismo informe también destacó un problema mucho más amplio con el público que intenta acceder a los datos de los organismos encargados de hacer cumplir la ley (enumerados en el Anexo 7 de la DPA 18), y descubrió que una cuarta parte de todas las solicitudes de información (incluidas las solicitudes de libertad de información y acceso de sujetos) de la policía no se completaron a tiempo.
“Si bien las tasas de desempeño varían ampliamente entre las fuerzas policiales, está claro que algunas fuerzas no responden a una gran cantidad de solicitudes dentro de los plazos establecidos por ley. Es importante recordar que detrás de cada solicitud hay un individuo o grupo que busca hacer valer sus derechos legales y obtener información que es importante para ellos”, dijo. “En última instancia, es inaceptable que aproximadamente el 25% de todos los solicitantes no reciban una respuesta oportuna a sus solicitudes”.