I. INTRODUCCIÓN
El 17 de octubre de 2018, se publicaba en el Boletín Oficial de las Cortes el texto del Proyecto de Ley Orgánica de Protección de Datos (LA LEY 16062/2018) tras su aprobación por el Congreso. Con tan solo unos días de diferencia, el 23 de octubre, pasaba por el Senado sin ninguna enmienda (1) , de forma que incluso los más escépticos se convencieron de que, por fin, el 2019 empezaría la tan esperada nueva ley de protección de datos.
No ha sido necesario esperar a que termine el año. El 7 de diciembre de 2018 ha entrado en vigor la Ley Orgánica 3/2018, de 5 de diciembre (LA LEY 19303/2018) (2) , que deroga formalmente la normativa nacional previa al Reglamento (UE) 679/2016, de 27 de abril de 2016 (LA LEY 6637/2016), relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales («RGPD» o «Reglamento General de Protección de Datos (LA LEY 6637/2016)»), y desarrolla o complemente determinados aspectos de éste.
Entre los principales cambios que ha sufrido esta norma (en adelante, «Ley 3/2018») durante su tramitación parlamentaria se encuentra la adición de un último título (Título X (LA LEY 19303/2018)), y de la coletilla «y de garantía de los derechos digitales» a su nombre.
Desde luego, se trata de un título que nace con una vocación más política que práctica aunque, como se explica más adelante, podría tener importantes consecuencias, que se perciben desde el siguiente párrafo añadido también a su paso por el Congreso al Preámbulo de la ley:
«Los constituyentes de 1978 ya intuyeron el enorme impacto que los avances tecnológicos provocarían en nuestra sociedad, y en particular, en el disfrute de los derechos fundamentales. Una deseable futura reforma de la Constitución debería incluir entre sus prioridades la actualización de la Constitución a la era digital y, específicamente, elevar a rango constitucional una nueva generación de derechos digitales. Pero, en tanto no se acometa este reto, el legislador debe abordar el reconocimiento de un sistema de garantía de los derechos digitales que, inequívocamente, encuentra su anclaje en el mandato impuesto por el apartado cuarto del artículo 18 de la Constitución Española (LA LEY 2500/1978) y que, en algunos casos, ya han sido perfilados por la jurisprudencia ordinaria, constitucional y europea.»
El Título X («Garantía de los derechos digitales») comprende 18 artículos, del 79 al 97. En ellos, se mezcla la mera enunciación de los derechos al estilo de una carta o declaración de libertades con obligaciones para determinados colectivos de cierta relevancia práctica.
Como se indica en el párrafo arriba citado, todos los derechos reconocidos en el Título X, por muy inverosímil que resulten cuando pasemos al análisis detallado de los mismos, derivan del artículo 18.4 de nuestra Constitución (LA LEY 2500/1978), que sin embargo se considera «deseable» modificar para incluirlos (entendemos que expresamente) (3) .
Para el estudio detallado del Título X distribuiremos sus artículos en cuatro bloques atendiendo a su contenido:
- • Acceso y uso de Internet
- • Derechos de menores de edad
- • Ampliación de los derechos del afectado
- • Derechos de los trabajadores
II. DERECHOS RELATIVOS AL ACCESO Y USO DE INTERNET
Los cuatro primeros artículos (artículos 79 a 82) y el último precepto (artículo 97 (LA LEY 19303/2018)) del Título X de la Ley Orgánica 3/2018 recogen una serie de derechos, formulados de manera muy amplia, tendentes a facilitar el acceso y uso de acceso a Internet en condiciones de igualdad.
El artículo 79 (LA LEY 19303/2018) («Los derechos en la Era digital») incluye una previsión relativa a la aplicación en Internet de los derechos recogidos en la Constitución y en los Convenios y Tratados Internacionales de los que España sea parte, obligando a los prestadores de servicios de la sociedad de la información y a los proveedores de servicios de Internet a su cumplimiento. Entendemos que este precepto habrá de interpretarse de acuerdo a la Ley 34/2002, de 11 de julio (LA LEY 1100/2002), de Servicios de la Sociedad de la Información y del Comercio Electrónico («LSSI»), en especial, atendiendo a su ámbito de aplicación para determinar el alcance y los sujetos obligados por el artículo que comentamos en este párrafo. Resaltamos que lo fundamental de este artículo es el ámbito de aplicación del mismo, dado que resulta absurdo pretender que en Internet en su conjunto se puedan aplicar las normas nacionales españolas o los Tratados de los que España es parte, incluso por parte de páginas sin ninguna vinculación con nuestro país.
Los artículos 80 (LA LEY 19303/2018) y 81 (LA LEY 19303/2018) proclaman, respectivamente, la neutralidad de Internet y el acceso universal a ésta. Es posible (y deseable) que como consecuencia de lo último se desarrollen normas que regulen bonos sociales de acceso a Internet para colectivos vulnerables, como ya existen en relación a algunos suministros básicos, y que se acometan proyectos para garantizar que desde zonas rurales se acceda correctamente a Internet (en mejores condiciones que hasta la fecha). En este sentido, el artículo 97, que cierra el título, complementa lo establecido en los artículos anteriores, trasladando al Gobierno la obligación de elaborar un «Plan de Acceso a Internet», en colaboración con las comunidades autónomas.
El artículo 82 no deja claro cuales son los derechos de los usuarios de los cuales serán informados por los proveedores de servicios de Internet
El artículo 82 (LA LEY 19303/2018) determina, como refuerzo al reconocimiento del secreto de las comunicaciones ya existente y a la nueva regulación sobre violaciones de seguridad prevista en el RGPD, que los «usuarios tienen derecho a la seguridad de las comunicaciones que transmitan y reciban a través de Internet». No se entiende en absoluto la siguiente frase del artículo: «Los proveedores de servicios de Internet informarán a los usuarios de sus derechos». No resulta claro cuáles son estos derechos (¿Todos los recogidos a este título X? ¿El derecho a la seguridad específicamente? ¿Otros derechos que le reconozca la normativa vigente?). Queda por delante una tarea imaginativa a las asesorías jurídicas de las empresas del sector para dar cumplimiento a lo establecido en este artículo.
III. DERECHOS DE LOS MENORES DE EDAD
Los artículos 83 (LA LEY 19303/2018), 84 (LA LEY 19303/2018) y 92 (LA LEY 19303/2018) se refieren específicamente a derechos de los menores de edad.
El artículo 83, bajo la rúbrica «Derecho a la educación digital», trae consigo la reforma de planes de estudios y la formación del profesorado para incluir materias relativas a lo que el artículo denomina «competencias digitales» que, de acuerdo a la disposición adicional vigésima primera, deberá ser llevada a cabo por las Administraciones educativas competentes en el plazo de un año desde la entrada en vigor de la Ley 3/2018 (4) .
Por su parte, los artículos 84 y 92 (que curiosamente llevan el mismo título: «Protección de los menores en Internet»), no aportan novedades al ordenamiento jurídico al estar ya previsto su contenido en otras normas. Recogen obligaciones relacionadas con el uso de redes sociales y la publicación de datos de menores en Internet. Por una parte, los padres, tutores, curadores o representantes, han de velar por el buen uso que hagan los menores de Internet. Por otra, los centros educativos y cualquier persona física o jurídica que desarrolle actividades en las que participen menores, tendrán la obligación de proteger al menor frente a la publicación de sus datos a través de los servicios de la sociedad de la información (previsión esta que resulta totalmente prescindible, a la vista del RGPD y de los 78 artículos primeros la Ley Orgánica 3/2018).
El Gobierno remitirá al Congreso un proyecto de ley dirigido específicamente a garantizar los derechos de los menores en Internet
En este sentido, la disposición adicional decimonovena señala que, en el plazo de un año desde la entrada en vigor de la Ley Orgánica 3/2018, el Gobierno remitirá al Congreso de los Diputados un proyecto de ley dirigido específicamente a garantizar los derechos de los menores en Internet. Esperamos que se aproveche esta oportunidad para clarificar aspectos prácticos relevantes relacionados con la protección de los menores en la red y no para repetir obviedades (por ejemplo, se podría regular la forma en la que se deberá recoger el consentimiento de los padres o tutores de los menores en Internet).
En último lugar, mencionaremos que el artículo 94.3 (LA LEY 19303/2018) establece la posibilidad de ejercer el denominado «derecho al olvido» en relación a servicios de redes sociales y equivalentes respecto a cualquier información publicada en los mismos por el propio interesado o por un tercero durante la minoría de edad de aquél, sin ningún condicionante o restricción.
IV. AMPLIACIÓN DE LOS DERECHOS DE LOS AFECTADOS
El siguiente bloque de artículos que comentaremos incluye distintos preceptos que matizan o amplían los derechos reconocidos al afectado en materia de protección de datos y en otras normas conexas. Salvo los dos primeros, de gran importancia práctica para medios de comunicación y redes sociales, los preceptos incluidos en este bloque no aportan garantías que no estén ya recogidas en los demás artículos de la Ley 3/2018 y en el Reglamento General de Protección de Datos (LA LEY 6637/2016).
El artículo 85 (LA LEY 19303/2018) obliga a redes sociales y servicios equivalentes a adoptar protocolos adecuados para posibilitar el ejercicio del derecho de rectificación reconocido por la Ley Orgánica 2/1984, distinto del derecho del mismo nombre al que se refieren las normas de protección de datos.
De acuerdo al artículo primero de la Ley Orgánica 2/1984 (LA LEY 705/1984), «toda persona, natural o jurídica, tiene derecho a rectificar la información difundida, por cualquier medio de comunicación social, de hechos que le aludan, que considere inexactos y cuya divulgación pueda causarle perjuicio». Cuando se ejerce este derecho conforme a la ley que lo regula, el director del medio de comunicación social está obligado a «publicar o difundir íntegramente la rectificación, dentro de los tres días siguientes al de su recepción, con relevancia semejante a aquella en que se publicó o difundió la información que se rectifica, sin comentarios ni apostillas».
Pues bien, el artículo 85 establece que podrá ejercerseante usuarios (que pueden bien ser particulares; pensemos en usuario de Twitter o Instagram con miles de seguidores, que publican contenidos de forma habitual, y que no son necesariamente periodistas) que difundan informaciones «que atenten contra el derecho al honor, la intimidad personal y familiar en Internet y el derecho a comunicar o recibir información veraz». Los responsables de redes sociales deberán garantizar de alguna forma que el usuario que publica la noticia atienda la solicitud de rectificación, por lo que deducimos que las peticiones de rectificación se dirigirán probablemente ante dicho responsable. En este sentido, el mayor problema al que se enfrentarán estos no será de orden técnico, sino determinar si la rectificación procede o no (con las subsiguientes reclamaciones de la parte que no esté de acuerdo con la decisión adoptada).
Por otro lado, este mismo artículo 85 determina que cuando los medios digitales deban atender una solicitud de rectificación deberán incluir advertencias en sus archivos digitales al respecto indicando que «la noticia no refleja la situación actual del individuo».
El artículo 86 (LA LEY 19303/2018), por su parte, reconoce lo que la propia Ley Orgánica 3/2018 denomina «derecho a la actualización de informaciones». Este derecho consiste en la posibilidad de solicitar la inclusión de un aviso de actualización «suficientemente visible» junto a noticias originales que no reflejen la situación actual como resultado de circunstancias que hubieran tenido lugar después de su publicación. No está sometido a ningún plazo para su ejercicio (5) , ni presupone que la noticia publicada fuera errónea o incorrecta, por lo que podría comenzar a ejercerse desde este mismo momento frente a cualquier noticia publicada que no haya sido retirada de hemerotecas digitales como resultado del ejercicio del derecho de cancelación al amparo de la anterior normativa.
A tenor del párrafo segundo del precepto que comentamos, parece que se ha pensado, fundamentalmente, para el supuesto de actuaciones policiales o judiciales que se llevaron a cabo en un momento determinado, viéndose resuelto el asunto con posterioridad a favor del afectado. Un claro ejemplo en el que el ejercicio de este derecho sería posible es el de Francisco Camps, imputado por malversación y prevaricación, finalmente absuelto por el Tribunal Supremo de todo cargo, y al que el periódico El País dedicó infinidad de titulares durante los tres años que duró el proceso, que han dado lugar a la publicación de un libro de Arcadi Espada que lleva por subtítulo «cómo el populismo y la posverdad liquidan a los hombres».
Dando un salto en la norma, y pasando por artículos que comentaremos en el apartado siguiente, los artículos 93 (LA LEY 19303/2018) y 94 (LA LEY 19303/2018) están dedicados al derecho al olvido, por si no fuera suficiente con lo previsto en el RGPD y en el artículo 15 de la Ley Orgánica 3/2018 (LA LEY 19303/2018).
El artículo 93 comienza indicando que «toda persona tiene derecho a que los motores de búsqueda en Internet eliminen de las listas de resultados que se obtuvieran tras una búsqueda efectuada a partir de su nombre los enlaces publicados que contuvieran información relativa a esa persona cuando fuesen inadecuados, inexactos, no pertinentes, no actualizados o excesivos o hubieren devenido como tales por el transcurso del tiempo, teniendo en cuenta los fines para los que se recogieron o trataron, el tiempo transcurrido y la naturaleza e interés público de la información». Este derecho, se matiza, podrá ejercerse aun cuando la conservación de la información publicada fuera lícita en el sitio original al que dirige el enlace y no impedirá la localización de la misma a través de otros criterios de búsqueda. Es decir, por ejemplo, si en lugar de introducir en Google «Jeffrey Lionel Dahmer» incluimos «Carnicero de Milwaukee», podremos seguir teniendo acceso a la lista completa de enlaces sin ninguna restricción.
El artículo 94 contempla el supuesto específico de ejercicio del derecho al olvido en relación a redes sociales y servicios equivalentes, frente a contenidos publicados por uno mismo, incluso, o por terceros que no actúen en el contexto de actividades personales o domésticas.
Continuando con esta innecesaria ampliación de los derechos del interesado ya reconocidos por el RGPD, el artículo 95 (LA LEY 19303/2018) se ocupa de la «portabilidad en servicios de redes sociales y equivalentes».
Terminamos este bloque indicando que el artículo 96 (LA LEY 19303/2018) se ocupa del «derecho al testamento digital». Debemos recordar que el artículo 3 de la Ley Orgánica 3/2018 (LA LEY 19303/2018) ya establece que los familiares, parejas de hecho y herederos del fallecido podrán dirigirse al responsable del tratamiento para ejercer frente a éste los derechos de acceso a los datos del difunto, y si procede, la rectificación o supresión, siempre que el causante no lo hubiera prohibido y no exista limitación legal. El artículo 96 no incluye ninguna previsión relevante a este respecto.
V. DERECHOS DEL TRABAJADOR
Los artículo 87 (LA LEY 19303/2018) a 91 (LA LEY 19303/2018) se ocupan de derechos de los trabajadores, introduciendo novedades que, a pesar de su aparente simplicidad, pueden acarrear consecuencias prácticas importantes.
No era necesario reconocer un derecho a la intimidad de los trabajadores en el ámbito laboral, puesto que ya disfrutaban de este derecho antes de la aprobación de la Ley Orgánica 3/2018 (LA LEY 19303/2018). A pesar de ello, los artículos 87 (LA LEY 19303/2018), 89 (LA LEY 19303/2018)y 90 (LA LEY 19303/2018)se ocupan, respectivamente, de la intimidad en relación al uso de dispositivos digitales, la intimidad frente al uso de dispositivos de videovigilancia y grabación de sonidos, y la intimidad ante la utilización de sistemas de geolocalización (6) .
Se podrán utilizar sistemas de videovigilancia en el entorno laboral para ejercer las funciones de control establecidas en el Estatuto de los Trabajadores
Con carácter previo, conviene aclarar que ninguno de estos preceptos prohíbe el ejercicio de las medidas de control por parte del empresario, que le son reconocidas en el artículo 20 del Estatuto de los Trabajadores (LA LEY 16117/2015). Las novedades establecidas en ellos son las siguientes:
- a) Dispositivos digitales (entre los que entendemos incluidos el ordenador, tablet, e incluso, el smartphone de empresa):
- • Los empleadores deben establecer criterios de utilización que respeten estándares mínimos de protección de la intimidad de acuerdo a los usos sociales y a los derechos reconocidos constitucional y legalmente:
- — Se tendrá que explicar de forma precisa los usos autorizados.
- — Se deberán establecer garantías para preservar la intimidad del trabajador (por ejemplo, periodos de utilización para fines privados).
- • En su elaboración,deben de participar los representantes de los trabajadores.
La mayor parte de las empresas disponen de políticas de uso de herramientas informáticas. No obstante, algunas empresas no reconocen la posibilidad de uso privado de dichas herramientas de manera formal, y en la gran mayoría de supuestos, no han participado en su elaboración los representantes de los trabajadores, que como mucho, habrán sido informados de su existencia. Por otro lado, no siempre se cumplen los requisitos de precisión en la descripción de los mecanismos de control (aunque esto venía siendo ya una exigencia de la última jurisprudencia europea).
- b) Videovigilancia y grabación de sonidos (como complemento a lo dispuesto en el artículo 22 de la Ley Orgánica 3/2018 (LA LEY 19303/2018)):
- • Se admite la posibilidad de utilizar sistemas de videovigilancia en el entorno laboral con la finalidad específica de ejercer las funciones de control establecidas en el artículo 20.3 del Estatuto de los Trabajadores (LA LEY 16117/2015). No es necesaria ni una autorización del empleado ni de sus representantes, pero ambos deben ser informados de forma expresa, clara y concisa de la instalación de estos dispositivos. Como ya había determinado la jurisprudencia, este deber se dará por cumplido en casos de captación de actos ilícitos flagrantes, si existe al menos el cartel distintivo aprobado por la Agencia Española de Protección de Datos.
- • Se prohíbe la instalación de cámaras en lugares de descanso o esparcimiento, es decir, no sólo en vestuarios y aseos, sino en comedores y análogos.
- • La grabación de sonidos se encuentra más restringida ya que sólo se admite en caso de riesgos relevantes para «la seguridad de las instalaciones, bienes y personas» y siempre respetando el principio de proporcionalidad.
- c) Sistemas de geolocalización:
- • Se permite la utilización de este tipo de dispositivos para el ejercicio de las funciones de control por parte del empresario, siempre que los empleados y sus representantes sean informados claramente de su existencia y de la posibilidad de ejercer sus derechos de acceso, rectificación, limitación del tratamiento y supresión.
A diferencia de otros puntos comentados en este artículo, sí que resulta una novedad en todos los sentidos el derecho a la desconexión digital. El artículo 88 (LA LEY 19303/2018) señala que «los trabajadores y los empleados públicos tendrán derecho a la desconexión digital a fin de garantizar, fuera del tiempo de trabajo legal o convencionalmente establecido, el respeto de su tiempo de descanso, permisos y vacaciones, así como de su intimidad personal y familiar».
Los empleadores deberán, en cumplimiento del punto 3 de este artículo, redactar una política interna dirigida a los trabajadores (incluidos los directivos) en las que definan las modalidades de ejercicio de este derecho y propongan acciones de formación y sensibilización sobre uso razonable de las herramientas tecnológicas. Adelantándose a la publicación de la Ley 3/2018, algunas empresas españolas ya han hecho públicas sus políticas a este respecto.
Para concluir, el artículo 91 (LA LEY 19303/2018) determina que «los convenios colectivos podrán establecer garantías adicionales de los derechos y libertades relacionados con el tratamiento de los datos personales de los trabajadores y la salvaguarda de los derechos digitales en el ámbito laboral».
VI. CONCLUSIÓN
El interés en convertir a España en un país pionero en el reconocimiento de los derechos digitales (7) , ha tenido como consecuencia que una norma pensada para regular exclusivamente aspectos relacionados con protección de datos, alineando nuestro derecho interno con el RGPD para garantizar seguridad jurídica, acabe incluyendo un título heterogéneo de consecuencias prácticas que no parecen haberse valorado convenientemente.
Algunos artículos, como hemos visto, son innecesarios o repetitivos. Otros, demasiado vagos en la descripción de las obligaciones que imponen (aunque a falta de un régimen sancionador específico, tampoco es demasiado preocupante esta circunstancia). En resumen, e irónicamente, no es seguridad jurídica lo que aporta este Título X, que, además, es muy probable que haya sido el motivo por el que se ha retrasado la aprobación de una ley muy esperada por el sector de la privacidad.