La publicación de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LA LEY 19303/2018) (LOPDGDD (LA LEY 19303/2018)) en el día del cuadragésimo aniversario de la Constitución Española de 1978 (LA LEY 2500/1978) debe sin duda movernos a la reflexión. Y nuestro análisis debe atender a dos aspectos esenciales en esta regulación. Ha sido un acierto estratégico, ético y si me apuran estético, escoger este día para publicar la norma. El impacto del mundo digital en los derechos fundamentales es crucial para el futuro de nuestras libertades. Pero, por otra parte, es fundamental no entender la norma como un obstáculo sino como una bitácora que guíe el desarrollo de la tecnología y la economía digital en nuestro país.
El derecho fundamental a la protección de datos ha crecido a lo largo de los años convirtiéndose en algo más que aquél apéndice de la privacidad nacido en los años setenta para limitar los poderes de Estados que, como Alemania, Reino Unido, Francia o Estados Unidos-, se informatizaban a pasos agigantados. En aquella época, -la del proyecto SAFARI, la Ley del Censo alemana o las sospechas de todo tipo sobre el seguimiento de lectores universitarios en EE.UU.-, nuestro constituyente trasladó esa prevención orweliana al artículo 18.4 de la Constitución (LA LEY 2500/1978). Y así, aunque se barajaron propuestas más cercanas a la objetivación del derecho según el modelo de la Constitución de Portugal y el Consejo de Europa, se decidió que la ley “debía limitar” los usos de la informática para garantizar los derechos.
Esta lectura preventiva y vigilante mantiene hoy toda su vigencia. Pero no debe ser la única posible. Es evidente que existen serios riesgos a los que hacer frente. El uso masivo de cámaras, la biometría y la geolocalización, o la combinación de la analítica de datos con el conocimiento acumulado por la neurociencia sobre el impacto de las emociones en los procesos de decisión, mantienen en el horizonte el fantasma de un sociedad vigilada. Debemos estar alerta ante la posible falsificación de preferencias de los usuarios de redes y aplicaciones móviles influyendo en sus decisiones. No podemos cejar en una constante atención a nuestra seguridad, o a la integridad de los menores.
Sin embargo, la LOPDGDD (LA LEY 19303/2018) se integra junto con el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 (LA LEY 6637/2016) relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (RGPD) en un marco normativo que debe ser leído también desde otra perspectiva.
Ambas normas deben ser entendidas como un conjunto de reglas operativas que deben insertarse en el ADN de nuestras organizaciones. Desde una aproximación general a la materia es necesario hacer una lectura que integre la normativa en nuestros procesos. “Hay que seguir los datos”. En este sentido, el principio de protección de datos desde el diseño y por defecto del RGPD define el camino que hay que seguir. En la Unión Europea existe un marco y se acabó el tiempo de romper cosas. Ahora debemos considerar e insertar la privacidad desde la gestación de la idea hasta el cierre del negocio. Y ello, aunque costoso, es intrínsecamente bueno. Nos ayudará a definir los flujos de la información, y con ello contribuirá a la gobernanza de la tecnología, y también del negocio. Insertará en nuestra actividad la seguridad, y la garantía de la calidad de la información. Implicará un acompañamiento al cliente, al administrado al usuario, al amigo de la organización, en una dinámica relacional y proactiva basada en la confianza.
La LOPDGDD (LA LEY 19303/2018) contribuye a cerrar el círculo desde varias perspectivas y por distintas razones. En primer lugar, a pesar del carácter general y directamente aplicable de los reglamentos de la Unión, es imposible no dejar un cierto margen de apreciación a los Estados. Así, desde el rango normativo de algunas disposiciones a la necesaria adaptación a las particularidades del régimen sancionador interno, exigen una normativa nacional. Por otra parte, no debe olvidarse que las normas de protección de datos personales afectan a los sistemas de derechos fundamentales, que siguen siendo una competencia nacional por muy integrada y coordinada que esté la materia, y requieren de adaptación en ámbitos tan significativos como la salud, la religión, la libertad de expresión y la libertad ideológica, o las relaciones laborales. La lectura de la LOPDGDD (LA LEY 19303/2018) ofrece en este sentido las herramientas que necesitamos para una completa aplicación del marco regulador. Una primera lectura permite identificar ciertos aspectos estratégicos.
Aspectos estratégicos de la LOPDGDD (LA LEY 19303/2018)
En primer lugar, se especifican las condiciones de diseño de algunos aspectos nucleares del RGPD. Hay que prestar mucha atención a la llamada transparencia por capas, a la modulación del consentimiento y a la operatividad de las excepciones de ciertas bases de legitimación legal para el tratamiento como por ejemplo las relativas a la administración electrónica, los datos personales de empresarios individuales y personas de contacto o la investigación biomédica. Asimismo, los desarrolladores deberían prestar una particular atención a los modelos de ejercicio de los derechos por medios electrónicos, objetivo en el que sin duda fracasó la Ley de Impulso de la Sociedad de la Información.
En el ámbito sectorial, al que sin duda dedicaremos en el futuro miles de páginas, debe prestarse atención a tratamientos sin duda significativos por su impacto en los derechos fundamentales. Deben destacarse al menos dos de ellos. En primer lugar, los sistemas de denuncias internas. Su particularidad reside, no tanto en el régimen jurídico de sobra conocido por los informes de la Agencia Española de Protección de Datos, sino en su extensión a las Administraciones Públicas. En esto, la LOPDGDD (LA LEY 19303/2018) se une a distintas estrategias adoptadas contra la corrupción en los últimos años. Pero la implementación de tales procesos, será complicado.
El segundo espacio sectorial relevante, es el referido a la videovigilancia. En esta materia, los delegados de protección de datos, y los asesores expertos, deben ser conscientes de que cabrá hilar muy fino. La norma, aunque resuelve los problemas de la doctrina preexistente sobre el deber de bloqueo de las imágenes, no es tan clarificadora como parece y deja flecos sin cerrar. El primero de ellos, la necesaria integración con las categorías de la Ley 5/2014, de 4 de abril (LA LEY 5140/2014), de Seguridad Privada y sus disposiciones de desarrollo. Por otra parte, la excepción doméstica se inserta de un modo un tanto alegre sin aclarar que en las viviendas particulares trabajan personas cuyos derechos hay que garantizar conforme al Título X. Por otra parte, es necesario recordar que el artículo 22 LOPDGDD (LA LEY 19303/2018) no puede desconectarse en absoluto de la regulación de los derechos digitales de los trabajadores. Y que, muy lejos de adoptar la doctrina del Tribunal Constitucional en el caso Bershka (STC 39/2016 (LA LEY 11275/2016)), el artículo 89 LOPDGDD (LA LEY 19303/2018) se alinea más más bien con la doctrina en el caso de la Universidad de Sevilla (STC 29/2013 (LA LEY 11227/2013)), con la excepción de la comisión flagrante de un acto ilícito, criterio altamente indeterminado que va a dar mucho juego.
En este breve, apresurado e incompleto repaso, por la nueva Ley Orgánica, es necesario destacar el impacto en el sistema del nuevo régimen sancionador. Y en particular, el rol que desempeñan la figura del delegado de protección de datos, y los códigos de conducta que incorporen procesos de mediación. Pero hay que alertar a nuestros lectores frente a los cantos de sirena que se vienen escuchando. En primer lugar, debemos subrayar que el marco sancionador en protección de datos se orienta a la garantía de un derecho fundamental. Es una cuestión de orden público sobre la que en muchos casos no existirá la posibilidad de transacción. Los derechos de la personalidad son intransmisibles, indisponibles, irrenunciables, imprescriptibles, inexpropiables e inembargables. No existe duda de que puedan mitigar la responsabilidad, pero de ahí a excluirla existe una gran distancia.
Por otra parte, no puede comenzarse la casa por el tejado: primero hay que cumplir. Y cuando se dispone de un modelo de cumplimiento que integra armónicamente los procesos de mediación, ya sea strictu sensu ya sea mediante intervención del delegado de protección de datos, podremos ofrecer un procedimiento confiable. Por otra parte, de esos procedimientos deberemos extraer lecciones aprendidas, y a veces dolorosas, que nos ayuden a mejorar. Por esto, la capacitación de los mediadores debería ser altísima y su diligencia extrema.
Por último, deben destacarse dos ámbitos cruciales para nuestra sociedad. En primer lugar, la LOPDGDD (LA LEY 19303/2018) dedica un extraordinario esfuerzo a poner en valor la protección de los menores. Y lo hace desde, distintos puntos de vista. La mejora es significativa, y puede afirmarse sin duda que por primera vez se ha intentado un abordaje integral de la protección de los menores en la sociedad de la información. Precisamente por ello, es conveniente huir de lecturas simplistas centradas en la capacidad de obrar del menor.
El debate en esta materia ha pivotado en torno a la edad del menor. Se generalizaba el criterio de consentimiento del artículo 8 RGPD a todos los sectores, cuando este se refiere únicamente a las condiciones aplicables al consentimiento del niño en relación con los servicios de la sociedad de la información. De igual modo, parece obviarse que el propio RGPD señala que su norma «no afectará a las disposiciones generales del Derecho contractual de los Estados miembros, como las normas relativas a la validez, formación o efectos de los contratos en relación con un niño». Por otra parte, sería muy conveniente tener en cuenta las Guidelines sobre consentimiento del Grupo de Trabajo del Artículo 29, muy sensibles con aquellos supuestos en los que se den relaciones asimétricas. La LOPDGDD (LA LEY 19303/2018), en sede de derechos digitales, apuesta por una protección integral del menor, por la garantía de su interés superior en la línea de la Ley Orgánica 1/1996, de 15 de enero, de Protección Jurídica del Menor (LA LEY 167/1996), no deberíamos olvidarlo.
Por último, en el ámbito de la investigación biomédica, la nueva Ley permitirá sin duda poner la investigación en salud en España a la vanguardia de la Unión. Sin embargo, en el ámbito de las oportunidades perdidas, conviene subrayar que hoy la investigación “con datos” es una práctica generalizada que, con pocos añadidos, hubiera podido ser abordada de modo conjunto e integral.
Decíamos al inicio, que la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LA LEY 19303/2018) (LOPDGG) se publica en el día del cuadragésimo aniversario de la Constitución Española. Y esto debe recordarnos un aspecto nuclear. La protección de datos personales es un derecho instrumental y relacional. La información personal se relaciona con nuestra vida entera como pacientes, como padres y madres, como votantes, como trabajadores… No es una norma más. Y aquellos que disfrutamos de la impagable oportunidad de investigar, asesorar o aplicar esta fascinante creación jurídica humana no debemos olvidar una lección esencial: no protegemos datos, protegemos personas.