«El futuro de la protección de datos a la luz de la nueva propuesta de Reglamento«, artículo de Judit Garrido  y Miguel Retana, abogados del Área de Information Technology de ECIJA.

Hoy, 28 de enero, se celebra el Día Internacional de la Protección de Datos. Esta jornada tiene por propósito promover el conocimiento de los ciudadanos con respecto a sus derechos y responsabilidades en materia de protección de datos y privacidad, así como conmemorar la firma del Convenio 108, primer gran instrumento internacional jurídicamente vinculante en el ámbito de la protección de datos, que cumple ya 35 años.

Esta celebración nos da un motivo para evaluar, acaso someramente, las perspectivas de un sector que está en boga, y que ha dado lugar en el último año a varios hitos que condicionarán, con toda probabilidad, nuevas formas de entender el valor y la utilidad de nuestra información personal. El caso “Shrems vs Facebook” (STJUE Asunto C362/14) que trajo la invalidación del Acuerdo de Puerto Seguro (Safe Harbor) en relación con las transferencias internacionales entre Europa y Estados Unidos, así como el acuerdo adoptado el pasado 15 de Diciembre con respecto a la aprobación del Reglamento Europeo de Protección de Datos, la cristalización de nuevas tecnologías y modelos de negocio y, también, por qué no, determinados escándalos que pusieron en evidencia la vulnerabilidad real y el impacto que puede tener en nuestras vidas una fuga de información, deben movernos a reflexión sobre el futuro de cuestiones que, a día de hoy, se encuentran en construcción.

Por ello, consideramos fundamental definir, entre otros, aspectos tales como los que se irán tratando a lo largo del presente artículo. Así pues, empezando por el ámbito de los Menores, uno de los más delicados y agudos que podemos encontrar en la esfera de la Protección de Datos vemos que tanto en el presente Reglamento como en la nueva Propuesta de Reglamento, que se ha realizado modificando el primero se tiene en cuenta este aspecto. Así pues, el artículo 8.1 de la Propuesta rebaja el límite un año a la necesidad de recabar el consentimiento de los padres o tutores legales del menor a la edad de 13 años. Ahora bien, concretando un aspecto; dicho límite solo aplicara en el caso de “oferta de bienes y servicios dirigidos a los menores”, apartando de éste todo lo relativo a la era de la sociedad de la información. Otra novedad reside en el principio de transparencia equiparado al derecho de información vigente. El Considerando 46 de la Propuesta de Reglamento recoge este principio al relacionarlo con el principio de calidad de los datos que obliga a obtener únicamente los datos necesarios para la finalidad para la que se recogen y teniendo en cuenta el estado de la tecnología en el momento de recabar los Datos.

Asimismo, si bien en un principio era la Comisión la responsable de establecer un conjunto de mecanismos para obtener el consentimiento, con la última modificación del texto legal se nombra a la figura del Consejo Europeo de Protección de Datos para llevar a cabo el establecimiento de dichos mecanismos con carácter de meras recomendaciones. No obstante, el hecho de tener este carácter no las exime de poder contener “ingredientes” infractores. En tal caso el responsable que las haya establecido podrá ser sancionado por el principio de confianza legítima hacia éste.

Otro aspecto relevante a tener en cuenta es el de las sanciones. Con respecto a éstas, con la nueva Propuesta de Reglamento, se pretende unificar los criterios comunitarios para la imposición de sanciones, así como aumentar su cuantía, destacando la importación de la protección de un derecho fundamental. Se amplía el alcance de las sanciones contra los responsables y encargados del tratamiento que no cumplan con la normativa, facultando a las Autoridades Nacionales de Protección de Datos a imponer sanciones administrativas de hasta 20 millones de euros o el 4% de su volumen de negocios total anual.

Además, se reconoce el derecho de los interesados a presentar una reclamación a la Autoridad de Control nacional, así como su derecho al amparo de tutela judicial efectiva por parte de los órganos jurisdiccionales de cualquier Estado Miembro.

Entrando ahora en la figura del DPO (“Data Protection Officer”) o Delegado de Protección de Datos, se aprecia como ha quedado reducido su papel de manera considerable con la nueva Propuesta de Reglamento. La figura del Delegado de Protección de Datos que empezaba a dar dolor de cabeza a las entidades se ha convertido en un mero instrumento voluntario, para el responsable y el encargado del tratamiento, con excepciones, con el fin de velar por el cumplimiento legal y técnico de éstas. En un inicio, en la Propuesta de Reglamento, la figura del Delegado de Protección de Datos era obligatoria para las Administraciones Públicas, que trataran datos que requiriesen un seguimiento periódico, y en aquellas empresas que tuviesen más de 250 trabajadores. Sin embargo, tras varias modificaciones y acuerdos se ha llegado a la conclusión de la voluntariedad de esta figura, tanto en el sector público como en el privado.

Con el nuevo contenido de la Propuesta, las entidades podrán limitar las funciones y responsabilidades de los Delegados de Protección de Datos que disponen los artículos 36 y 37 de la misma. Así pues sus funciones se limitarán a informar y asesorar al responsable y encargado de los Datos, así como a los trabajadores en materia de tratamiento de Datos y supervisar el cumplimiento de las políticas de las entidades en dicha materia. Aconsejará sobre el impacto de privacidad una vez evaluado éste. Y tratará de cooperar con la autoridad de control ya sea a petición de ésta o por su propia iniciativa.

Un cuarto aspecto susceptible de análisis es la nueva configuración del Derecho al Olvido. Dicho derecho viene recogido en el artículo 17 del futuro Reglamento, y se configura por vez primera como un derecho autónomo a los denominados derechos ARCO (acceso, rectificación, cancelación y oposición).

Esta nueva configuración trasciende en cierta forma el contenido del derecho de cancelación en el ámbito digital, tal y como se reconoce en nuestra normativa y en la Directiva Europea, subsanando así determinadas problemáticas, como por ejemplo, la necesidad de solicitar al titular de una página web la eliminación de una determinada información no adecuada y excesiva, y en un segundo paso solicitar su desindexación, integrando ambas fases en el mismo procedimiento.

Este derecho tiene una dimensión dual: desde el punto de vista del interesado o ciudadano, supone un reconocimiento a la pretensión de suprimir de inmediato la información afectada en el sitio web, así como de abstenerse a dar difusión a esta información siempre que el titular de los datos lo solicite. Este derecho sólo podrá ejercitarse por el ciudadano en aquellos casos en que el tratamiento no se ajuste a la normativa, cuando exista oposición del interesado para el tratamiento, o bien se retire el consentimiento para el tratamiento, o los datos no sean necesarios en relación a los fines para los que fueran recogidos, o haya expirado el plazo de conservación de los mismos.

Cabe la posibilidad que durante el transcurso del tratamiento de los datos la empresa, sitio web, red social o en definitiva que el Responsable del Tratamiento hubiera hecho públicos los datos, esté estará en la obligación de adoptar las medidas necesarias, ya no solo organizativas, sino que también se incluyen las técnicas, con el fin de informar a los terceros sobre la solicitud que el interesado ha realizado para que supriman sus datos.

Por otro lado, también resulta relevante destacar determinados aspectos en que este derecho incide en la esfera del Responsable del tratamiento, esto es, la empresa, sitio web o red social que trata los datos. El Responsable del tratamiento deberá optar entre limitar el tratamiento, o bien suprimir sin demora la información, ponderando caso por caso el alcance de este derecho con el derecho a la libertad de expresión, la salud pública, el deber de conservación de los datos para dar cumplimiento a una obligación legal y el interés público.

Finalmente el último punto que trataremos en el presente artículo es el nuevo papel  ciudadano y su autonomía respecto a las Autoridades Nacionales de Protección de Datos. Si en algo resulta relevante y volvemos aquí a hacer referencia a la nueva configuración del derecho al olvido, es que suma una mejora en el reconocimiento efectivo de nuevos instrumentos de control para el ciudadano con respecto a su información personal.

Además, tal y como mencionamos, la tendencia va dirigida a que el ciudadano pueda exigir al Responsable del Tratamiento la facilitación de una mayor accesibilidad a su información personal, a la facilitación  de información clara sobre el tratamiento que se lleva a cabo y una mayor definición del consentimiento.

Se ha intentado dar un giro a la redacción de la nueva Propuesta de Reglamento Europeo Protección de Datos en relación con el consentimiento de los titulares de los Datos. En la nueva Propuesta de Reglamento el responsable debe demostrar que el afectado ha dado su consentimiento inequívoco para el tratamiento de los datos. Con ello la nueva Propuesta, con relación al derecho de los usuarios a ser informados, distingue la información que debe facilitarse de manera obligatoria y la que, en función del contexto, puede obviarse. Como datos obligatorios, se añade la figura del Delegado de Protección de Datos, en caso de que lo hubiere y se mantiene la identidad y dirección del responsable, así como las finalidades para las que se recaba el consentimiento.

También resulta preciso hacer mención al nuevo derecho a la portabilidad de los datos, reconocido en el artículo 18 de la mencionada propuesta de reglamento. Este derecho incluye la facultad del titular para obtener una copia de sus datos personales en un formato electrónico estructurado y de uso habitual, así como la capacidad de transferir sus datos y otras informaciones de un sistema de tratamiento a otro.

Si a esto le sumamos el desarrollo de una mayor concienciación, así como la introducción de nociones como la privacidad desde el diseño (privacy by design) en el desarrollo de productos, aplicaciones y soluciones, o el establecimiento de la obligación para el Responsable del tratamiento  de realizar evaluaciones de impacto  de la normativa en el tratamiento de datos de carácter personal, así como de códigos de conducta, podemos considerar que el derecho de los ciudadanos se encontrará mucho más blindado, contando el titular de los datos con mejores garantías para su defensa y protección.

A modo de conclusión las expectativas son positivas. La existencia de un marco legal sólido y uniforme a nivel europeo puede permitir liberar el potencial Mercado Digital, fomentando la innovación, la creación de empleo y la generación de riqueza.

El auge de nuevos modelos de negocio y medios tecnológicos, tales como las tecnologías wearables, el auge del Internet of Things (IoT), la progresiva implantación de soluciones de cruzamiento masivo de datos o Big Data,  el tratamiento de datos biométricos, la geolocalización, las nuevas fronteras en el ámbito de la ciberseguridad, hasta el fingerprinting o la tecnología de reconocimiento facial en redes sociales, dan lugar a nuevos riesgos que pueden tener consecuencias con carácter simultáneo en distintas localizaciones, lo que da valor al desarrollo de este marco unificado a nivel europeo.

Por ello, y he aquí el compromiso que debe seguirse a futuro, todo avance debe traducirse en el propósito de empresas y organizaciones para la adopción de medidas adecuadas a los riesgos, la realización de evaluaciones de impacto, una mejor gestión de crisis e incidencias, así como de la implementación de mecanismos que garanticen la seguridad, confidencialidad e integridad de los datos personales, y toda aquella información asociada a los mismos.

El avance técnico debe correr parejo a la definición de nuevos mecanismos alternativos que redunden en el acceso y aseguramiento de la información, así como en la transparencia. Es por ello que, treinta y cinco años después de la ratificación del Convenio 108, podemos apreciar que aún queda mucho por recorrer.

Si desea acceder al artículo en versión digital, click aquí.

Si desea acceder al artículo en versión PDF, click aquí.