Miguel Recio Gayo
Profesor asociado en la Facultad de Derecho de la Universidad CEU San Pablo de Madrid
Internet: ¿tecnología versus derecho a la protección de datos personales?
Internet es un ejemplo de cómo la tecnología ofrece oportunidades y beneficios tanto a la sociedad y a la persona como a la economía. Desde la posibilidad de acceder a información, productos o servicios digitales hasta nuevos modelos de negocio y de que un emprendedor pueda dirigirse a cualquier mercado a nivel global, son ya una realidad.
Ahora bien, cabría plantearse si hacer uso de Internet implica perder el derecho a la protección de datos personales o, en algunas jurisdicciones alrededor del mundo, a la privacidad. La respuesta a esta cuestión es que no, excepto en casos en los que quien trata los datos personales infringe la normativa, regulación o principios que, en su caso, sean aplicables en materia de protección de datos personales. Como afirmó el Grupo de Trabajo del Artículo 29 (1999) de la Unión Europea a finales del siglo pasado “Internet no es un vacío jurídico”, lo que significa que la protección de datos personales o la privacidad son un requisito que es necesario respetar, al mismo tiempo, que se convierten en condiciones para fomentar la confianza de quienes utilizan este medio y/o los servicios digitales prestados a través de este.
El progreso de la sociedad y economía digitales requiere del libre flujo de los datos personales en Internet
Internet ofrece una clara oportunidad para una sociedad y economía digitales que avanzan basadas también en el uso legítimo y adecuado de los datos personales. Poder tratar datos personales significa que se puedan desarrollar servicios digitales y contenidos de los que se beneficien la sociedad y las personas de manera individual. Al respecto, el libre flujo de datos personales, sin que esto signifique un flujo sin garantías adecuadas por lo que se refiere al derecho a la protección de datos personales o a la privacidad, es esencial. Aunque dónde y quién trate los datos personales pueden ser cuestiones relevantes, cómo se traten los datos personales es la clave.
Una protección adecuada en los términos indicados es importante para lograr objetivos tales como la transformación digital; fomentar el desarrollo del comercio electrónico, con lo que implica también para emprendedores y startups, así como para que tanto las personas como la sociedad en su conjunto puedan beneficiarse de la innovación tecnológica.
Los requisitos injustificados de localización de los datos personales dan lugar, entre otros, a riesgos de costos de cumplimiento para quienes tratan datos personales; y obstáculos para los consumidores para acceder a servicios digitales que sean competitivos, ya que se reduce la oferta que podrían tener disponible, así como asfixiar la innovación tecnológica. Además, los requisitos injustificados que pueden dar lugar al proteccionismo más que a la protección de datos personales son un claro riesgo para la fragmentación de Internet. Así ocurre, como indica el Foro Económico Mundial (2016), en el caso de los requisitos de localización de datos.
Al mismo tiempo, el libre flujo de los datos no personales es esencial para el desarrollo del Internet de las Cosas (en inglés, Internet of Things, IoT), el aprendizaje automático (en inglés, Machine Learning, ML) y la Inteligencia Artificial. Por lo tanto, para que la sociedad y la economía digitales puedan obtener todos los beneficios que puede ofrecerles la innovación tecnológica, así como la cooperación internacional, entre otros, son necesarias medidas dirigidas a garantizar el libre flujo de los datos a través de mecanismos que consideren cómo se tratan los datos, no dónde están o quién los trata, siempre que se den garantías adecuadas.
Riesgos derivados de la aplicación extraterritorial de las leyes
La aplicación extraterritorial de las leyes de protección de datos puede dar lugar a diversos riesgos, tales como los costos de cumplimiento para emprendedores o la aplicación de estándares que son ajenos al país. En este sentido, mientras que el objetivo de asegurar un nivel de protección de datos equivalente al del país de origen es lícito, la aplicación extraterritorial de las leyes de protección de datos personales puede dar lugar a la imposición de un estándar que condicione, entre otros, la prestación de servicios digitales.
Además, la aplicación extraterritorial de la aplicación de las leyes de protección de datos personales sin límites, como indica Azzi (2018), podría ser contraria al derecho internacional. Establecer criterios claros de aplicación de las leyes de protección de datos, tales como dirigir servicios a un país o territorio o el control del comportamiento cuando este tenga lugar en un determinado territorio, es fundamental para ofrecer certidumbre jurídica.
Protección de datos personales: ¿un derecho (i)limitado?
El derecho a la protección de datos personales en el ámbito de Internet, al igual que los demás derechos, no es un derecho absoluto o ilimitado. Los derechos tienen límites propios, pudiendo considerarse, por ejemplo, en el caso de la protección de datos el hecho de que se prevean excepciones en determinadas situaciones, tales como la seguridad nacional o el tratamiento de datos en el ámbito exclusivamente personal o doméstico.
La proporcionalidad en la aplicación de la legislación en la materia es una de las claves, ya que, si el derecho fuera ilimitado, daría lugar a situaciones desproporcionadas o no previstas. En concreto, el derecho a la protección de datos implica, en lo esencial, que el tratamiento de los datos personales tiene que ser lícito. Y lo es cuando hay una condición de legitimación del tratamiento, siendo el consentimiento una, pero no la única; cuando se cumple con los principios aplicables y cuando se atiende al ejercicio de los derechos del interesado. Es decir, un tratamiento de datos personales que no cumpla con los principios o condiciones aplicables ya sea en virtud de la protección constitucional, legislativa o regulatoria, sería ilícito. En cualquier caso, es un derecho que está sujeto a límites, también en Internet.
La importancia de una armonización internacional en materia de protección de datos
Actualmente más de 130 países alrededor del mundo cuentan ya con legislación y/o regulación, general o sectorial, en materia de protección de datos personales. En ocasiones, la diversidad, regional y/o nacional, de legislaciones y/o regulaciones sobreprotección de datos da lugar a que quienes tratan datos personales, ya sean entidades del sector público u organizaciones del sector privado, se encuentren ante situaciones complicadas desde el punto de vista del cumplimiento legal y regulatorio. Requisitos normativos o regulatorios demasiado rígidos o prescriptivos, excesivos o, incluso, que podrían dar lugar a situaciones de proteccionismo, suponen un riesgo para quienes tratan datos personales.
Si pensamos, por ejemplo, en un emprendedor o una startup que quiere dirigir sus servicios digitales a otros países, puede encontrarse ante un complejo mosaico legal o regulatorio en materia de protección de datos que no podrá afrontar por los costos, no solamente económicos, que implica. Y la falta de armonización implica también un riesgo de fragmentación del mundo digital.
La armonización, que debe ser resultado de un consenso lo más amplio posible entre todas las partes, podría ayudar a prever cuáles son los requisitos de cumplimiento, impulsar el comercio electrónico y ayudar a emprendedores y startups a ser competitivos en la prestación de servicios que implican un tratamiento de datos personales. Además, tendría beneficios relevantes también para los interesados, al poder realizar transacciones con compañías de otros países que tratarán los datos personales en términos que son conocidos para éstos.
Conclusión
La protección de datos personales es, en muchos casos, un derecho fundamental o humano y, en cualquier caso, una condición que, junto a otras, tales como la ciberseguridad, son esenciales para generar confianza en el uso de Internet y en el acceso a servicios digitales o contenidos que están ahora a alcance de cualquier persona con independencia de dónde esté esta.
En definitiva, el panorama actual de la protección de datos en la virtualidad requiere dar respuesta a cuestiones relevantes con la finalidad de asegurar certidumbre jurídica para todas las partes involucradas, así como fomentar un marco adecuado para el desarrollo de la sociedad y economía digitales.
Bibliografía
Azzi, A. (2018) The Challenges Faced by the Extraterritorial Scope of the General Data Protection Regulation (disponible: https://www.jipitec.eu/issues/jipitec-9-2-2018/4723).
Foro Económico Mundial (2016) Internet Fragmentation: An Overview (disponible: http://www3.weforum.org/docs/WEF_FII_Internet_Fragmentation_An_Overview_2016.pdf).
Grupo de Trabajo del Artículo 29 (1999) Documento de trabajo: Tratamiento de datos personales en Internet, WP 16, aprobado por el Grupo de Trabajo el 23 de febrero de 1999 (disponible: https://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/1999/wp16_es.pdf).
