Todo lo que necesitas saber sobre los datos pe­r­so­na­les

El debatido Re­gla­me­n­to General de Pro­te­c­ción de Datos (en adelante RGPD) se aplica a todas las empresas que operan en la Unión Europea con in­de­pe­n­de­n­cia de dónde tengan su sede. Su contenido se centra en los datos pe­r­so­na­les co­n­si­de­ra­dos por el le­gi­s­la­dor y por los co­n­su­mi­do­res es­pe­cia­l­me­n­te dignos de pro­te­c­ción. No obstante, no todo el mundo está de acuerdo con esta pro­te­c­ción: numerosos re­pre­se­n­ta­n­tes del sector económico co­n­si­de­ran que estas normas más estrictas re­pre­se­n­tan una amenaza para su co­m­pe­ti­ti­vi­dad, basada en gran medida en el big data. Pero ¿qué se entiende realmente por datos pe­r­so­na­les? ¿Qué derechos pueden invocar los in­te­re­sa­dos cuando su in­fo­r­ma­ción privada se recopila, almacena y procesa con fines co­me­r­cia­les?

En lo que respecta a la cuestión en torno a los datos pe­r­so­na­les, impera un amplio consenso entre los juristas europeos. Se entiende que son datos pe­r­so­na­les todos los datos y las in­fo­r­ma­cio­nes que permitan conocer la identidad de una persona física viva, ide­n­ti­fi­ca­da o ide­n­ti­fi­ca­ble, es decir, de una persona “de carne y hueso”. Por lo tanto, esta de­fi­ni­ción excluye a las personas jurídicas y a las so­cie­da­des limitadas o anónimas, salvo en aquellos casos en los que los socios y los di­re­c­to­res generales sean la misma persona. Suele di­fe­re­n­ciar­se entre los datos pe­r­so­na­les que se asocian ine­quí­vo­ca­me­n­te con una persona y los datos relativos a las personas (person-related data) que pueden ide­n­ti­fi­car a una persona solo en compañía de otros datos re­le­va­n­tes (datos seu­do­ni­mi­za­dos). Los datos pe­r­so­na­les que hayan sido ano­ni­mi­za­dos, im­pi­die­n­do que la persona sea ide­n­ti­fi­ca­ble, no serán co­n­si­de­ra­dos datos pe­r­so­na­les en sí. Para que los datos se co­n­si­de­ren ve­r­da­de­ra­me­n­te anónimos, la ano­ni­mi­za­ción debe ser irre­ve­r­si­ble.

Todos estos datos pe­r­so­na­les entran dentro de la pro­te­c­ción de datos. Antes de la apro­ba­ción del actual re­gla­me­n­to, la principal ley aplicable en España era la Ley Orgánica de Pro­te­c­ción de Datos (LOPD), pero desde el 25 de mayo de 2018 es el Re­gla­me­n­to General de Pro­te­c­ción de Datos o RGPD el que se aplica en todos los estados de la Unión Europea como ley de pro­te­c­ción de datos oficial y, por lo tanto, superior a la le­gi­s­la­ción nacional. Los cambios solo hacen re­fe­re­n­cia a pequeños detalles. Los pri­n­ci­pios ya exi­s­te­n­tes se mantienen, pero el nuevo re­gla­me­n­to los reformula y los amplia cla­ra­me­n­te, por ejemplo, con obli­ga­cio­nes de in­fo­r­ma­ción más estrictas en caso de robo de datos o nuevas di­re­c­tri­ces para la pro­te­c­ción de datos en te­c­no­lo­gías in­no­va­do­ras aún por de­sa­rro­llar (palabra clave privacy by design).

Aunque el re­gla­me­n­to será de apli­ca­ción directa para todas aquellas personas que trabajen con datos pe­r­so­na­les de otros in­di­vi­duos que residan en alguno de los estados miembros de la Unión, la norma contempla la po­si­bi­li­dad de que lo es­ti­pu­la­do en ella sea ampliado o re­s­tri­n­gi­do in­te­r­na­me­n­te por cada país. Esto supone que en España la actual LOPD de 1999 será derogada y se aplicará la nueva Ley Orgánica de Pro­te­c­ción de Datos que ac­tua­l­me­n­te se encuentra en la fase de consultas previa a su apro­ba­ción. Además, el re­gla­me­n­to incluye ahora una de­fi­ni­ción general del término que, hasta ahora, había sido in­te­r­pre­ta­do de forma distinta en toda Europa:

Si, por el contrario, los datos no pueden asignarse a una persona es­pe­cí­fi­ca porque están co­m­ple­ta­me­n­te ano­ni­mi­za­dos, no es necesario respetar ninguna norma de pro­te­c­ción de datos. El problema se plantea con los de­no­mi­na­dos datos di­so­cia­dos o seu­do­ni­mi­za­dos que, con los co­no­ci­mie­n­tos ne­ce­sa­rios, podrían uti­li­zar­se para de­te­r­mi­nar la identidad de una persona. Por lo tanto, en caso de duda, es co­n­ve­nie­n­te aplicar el principio de pre­cau­ción: en ocasiones es difícil di­s­ti­n­guir qué son datos pe­r­so­na­les y qué no, por eso debe optarse por ga­ra­n­ti­zar la pro­te­c­ción de la in­fo­r­ma­ción po­te­n­cia­l­me­n­te sensible. Por ejemplo, las au­to­ri­da­des en­ca­r­ga­das de la pro­te­c­ción de los datos co­n­si­de­ran que incluso las di­re­c­cio­nes IP dinámicas pe­r­te­ne­cen a la esfera de los datos pe­r­so­na­les, ya que pueden atri­bui­r­se a un usuario de Internet a través de la in­ter­ac­ción de pro­vee­do­res de acceso y de servicios.

Además de los ejemplos de datos pe­r­so­na­les me­n­cio­na­dos an­te­rio­r­me­n­te, la ley de pro­te­c­ción de datos recoge un grupo de datos definidos como es­pe­cia­les relativos a personas físicas. Se trata, en pa­r­ti­cu­lar, de estos:

• datos de origen étnico o cultural
• opiniones políticas, re­li­gio­sas y fi­lo­só­fi­cas
• datos relativos a la salud
• orie­n­ta­ción sexual
• afi­lia­ción sindical
• Además, de co­n­fo­r­mi­dad con lo es­ta­ble­ci­do en el artículo 9 del RGPD, también se incluye in­fo­r­ma­ción genética (análisis de ADN, por ejemplo) y datos bio­mé­tri­cos (fo­to­gra­fías y huellas da­c­ti­la­res).

Debido a que se trata de in­fo­r­ma­ción es­pe­cia­l­me­n­te sensible, las normas relativas a pro­te­ge­r­la son mucho más estrictas. Por lo tanto, el pro­ce­sa­mie­n­to de estos datos sensibles está en principio prohibido, con arreglo a lo es­ta­ble­ci­do en el apartado primero del artículo 9 del RGPD. Esta prohi­bi­ción solo se exime en dos casos es­pe­cí­fi­cos: que la persona a la que se refieren dichos datos haya dado su co­n­se­n­ti­mie­n­to expreso (no basta con una de­cla­ra­ción de co­n­se­n­ti­mie­n­to para el tra­ta­mie­n­to de datos pe­r­so­na­les generales) o exista un interés público legítimo en dicha in­fo­r­ma­ción, por ejemplo, en el contexto de un proceso penal. Si bien el no­m­bra­mie­n­to de los delegados de pro­te­c­ción de datos suele ser una cuestión a co­n­si­de­rar por parte del gerente de la empresa, es obli­ga­to­rio en el caso de que se usen datos pe­r­so­na­les es­pe­cia­les.

Todo el mundo debería saber que todas las grandes empresas de Internet, como Google y Facebook, recopilan datos pe­r­so­na­les de los usuarios a gran escala. En la mayoría de los casos, los utilizan para colocar pu­bli­ci­dad in­di­vi­dua­li­za­da y, de esta forma, generar be­ne­fi­cios eco­nó­mi­cos. Pero el Big Data no es un mero factor co­m­pe­ti­ti­vo, sino el factor co­n­si­de­ra­do más im­po­r­ta­n­te por parte de la mayoría de las empresas presentes en el mercado. Según un informe publicado por Accenture, el 67 % de los eje­cu­ti­vos de grandes empresas en 19 países di­fe­re­n­tes considera que el big data re­pre­se­n­ta uno de los aspectos más im­po­r­ta­n­tes de la tra­n­s­fo­r­ma­ción digital. Los datos se utilizan pri­n­ci­pa­l­me­n­te para la op­ti­mi­za­ción de las es­tru­c­tu­ras de ventas y la in­di­vi­dua­li­za­ción de los me­ca­ni­s­mos de marketing.

Esto contrasta con un co­n­su­mi­dor cada vez más maduro y mejor informado que teme, con razón, co­n­ve­r­ti­r­se en una "persona to­ta­l­me­n­te tra­n­s­pa­re­n­te" mediante la creación de perfiles de usuario de­ta­lla­dos. Esta de­s­co­n­fia­n­za hacia las empresas (y también hacia las au­to­ri­da­des) se muestra en los re­su­l­ta­dos de un estudio recogido en un artículo del periódico Cinco Días. Según un estudio del ICEMD, la confianza en una compañía se considera el parámetro más im­po­r­ta­n­te para in­te­r­ca­m­biar in­fo­r­ma­ción personal.

Los casos re­cu­rre­n­tes de robo y abuso de datos a través de correos de phishing y el uso de troyanos alimentan, aún más, este temor porque, cuanto más sensible es la in­fo­r­ma­ción que circula sobre un individuo, mayor es el peligro asociado para su su­pe­r­vi­ve­n­cia fi­na­n­cie­ra y social.

Por lo tanto, la normativa de pro­te­c­ción de datos obliga a las empresas y las au­to­ri­da­des a ga­ra­n­ti­zar la pro­te­c­ción de la in­fo­r­ma­ción de sus usuarios y clientes. Esto implica el cu­m­pli­mie­n­to de los si­guie­n­tes pri­n­ci­pios y prácticas es­ta­ble­ci­dos en el RGPD:

• Legalidad del tra­ta­mie­n­to de datos: la recogida, el al­ma­ce­na­mie­n­to, la uti­li­za­ción y la tra­n­s­mi­sión de datos pe­r­so­na­les a terceros solo está permitida con el co­n­se­n­ti­mie­n­to expreso del in­te­re­sa­do.
• Tra­n­s­pa­re­n­cia: las empresas y au­to­ri­da­des públicas están sujetas a una completa rendición de cuentas, do­cu­me­n­ta­ción y pruebas. A petición del in­te­re­sa­do, deberá informar sobre todos los pro­ce­di­mie­n­tos de tra­ta­mie­n­to de sus datos pe­r­so­na­les.
• Uso limitado: el empleo de datos deberá estar re­s­tri­n­gi­do a objetivos es­pe­cí­fi­cos y no ser ar­bi­tra­rio.
• Mi­ni­mi­za­ción de datos: las or­ga­ni­za­cio­nes están obligadas a recopilar solo los datos que sean es­tri­c­ta­me­n­te ne­ce­sa­rios para el cu­m­pli­mie­n­to de sus objetivos y a ga­ra­n­ti­zar que el volumen de in­fo­r­ma­ción al­ma­ce­na­da esté, siempre y en todo caso, lo más mi­ni­mi­za­da posible.
• Co­rre­c­ción del pro­ce­sa­mie­n­to de datos: los datos al­ma­ce­na­dos deben ser siempre correctos y estar ac­tua­li­za­dos en caso de que sea necesario.
• Li­mi­ta­ción del al­ma­ce­na­mie­n­to: existe una obli­ga­ción de eliminar datos con re­gu­la­ri­dad y desde el momento en que ya no sean ne­ce­sa­rios para los objetivos de una or­ga­ni­za­ción, si se han al­ma­ce­na­do ile­ga­l­me­n­te o si ha expirado un período pre­de­te­r­mi­na­do para conceder dichos datos.
• In­te­gri­dad y co­n­fi­de­n­cia­li­dad: las empresas y las au­to­ri­da­des deben tomar amplias medidas para la pro­te­c­ción interna de datos pe­r­so­na­les. Además del uso de programas de en­cri­p­ta­ción y software de seguridad, esto también incluye la formación detallada de los empleados en­ca­r­ga­dos del pro­ce­sa­mie­n­to de datos.

Con arreglo a lo es­ta­ble­ci­do en el artículo 83, apartado 5 del RGPD, la violación de estos pri­n­ci­pios puede dar lugar a una multa de hasta 20 millones de euros o hasta el 4 % del volumen de negocios anual global. Esta norma, no obstante, ofrece un incentivo fi­na­n­cie­ro para empujar al cu­m­pli­mie­n­to de sus di­re­c­tri­ces, pero sigue sin poder ga­ra­n­ti­zar la seguridad absoluta de los datos pe­r­so­na­les. Por esta razón, en última instancia co­rre­s­po­n­de a los co­n­su­mi­do­res proteger su pri­va­ci­dad por ini­cia­ti­va propia. Por lo tanto, la economía de datos es también un principio eficaz a la hora de navegar por Internet. Además, se re­co­mie­n­da borrar o, al menos fa­l­si­fi­car, los datos pe­r­so­na­les (postales y bancarios) in­tro­du­ci­dos después de completar una compra en línea. Por último, pero no por ello menos im­po­r­ta­n­te, también tiene sentido estudiar con de­te­ni­mie­n­to los derechos que te asisten con respecto a las empresas y las au­to­ri­da­des.

El RGPD estipula tres derechos ese­n­cia­les que deben ser invocados por los in­te­re­sa­dos cuyos datos pe­r­so­na­les se recogen, almacenan y procesan:

En el Derecho europeo, los datos pe­r­so­na­les deben co­n­si­de­rar­se, en principio, propiedad de una persona. Este derecho a la au­to­de­te­r­mi­na­ción in­fo­r­ma­ti­va también aparece protegido en el artículo 18.4 de la Co­n­s­ti­tu­ción Española –norma suprema del or­de­na­mie­n­to jurídico español–, que señala que la ley limitará el uso de la in­fo­r­má­ti­ca para ga­ra­n­ti­zar el honor y la intimidad personal y familiar de los ciu­da­da­nos. En la práctica esto significa que la recogida, el al­ma­ce­na­mie­n­to, el tra­ta­mie­n­to y la tra­n­s­mi­sión de los datos pe­r­so­na­les solo se permiten con el co­n­se­n­ti­mie­n­to expreso y activo del in­te­re­sa­do. Por lo tanto, no basta con un re­co­no­ci­mie­n­to implícito de la práctica de pro­te­c­ción de datos de un servicio en línea. Tampoco se permite la práctica conocida como aco­pla­mie­n­to, en la que una empresa o una autoridad solo presta de­te­r­mi­na­dos servicios si cuenta con el co­n­se­n­ti­mie­n­to del usuario, limitando así su libertad de elección.

De co­n­fo­r­mi­dad con lo es­ta­ble­ci­do en el artículo 15 del RGPD, la persona in­te­re­sa­da tiene derecho a obtener de la empresa o el organismo público re­s­po­n­sa­ble del tra­ta­mie­n­to de sus datos la co­n­fi­r­ma­ción acerca de si se están tratando o no datos pe­r­so­na­les que le co­n­cie­r­nen y, en caso de que así sea, a acceder a dichos datos y a in­fo­r­ma­cio­nes relativas a estos. La Agencia Española de Pro­te­c­ción de datos recoge en su página web in­fo­r­ma­ción detallada sobre la normativa de pro­te­c­ción de datos que te permite que puedas ejercer tus derechos ante el re­s­po­n­sa­ble del tra­ta­mie­n­to de tus datos pe­r­so­na­les. Las si­guie­n­tes preguntas ex­plí­ci­tas son útiles para obtener una buena visión general del alcance y pro­ce­di­mie­n­to del al­ma­ce­na­mie­n­to de los datos:

• ¿Qué datos se al­ma­ce­na­rán sobre mí?
• ¿Dónde se almacenan estos datos?
• ¿Cómo se re­co­pi­la­ron estos datos?
• ¿Para qué se han al­ma­ce­na­do?
• ¿A quién se han tra­n­s­mi­ti­do mis datos?

Aunque las empresas y las au­to­ri­da­des están obligadas por ley a pro­po­r­cio­nar in­fo­r­ma­ción, hay que contar con que en algunos casos el usuario deberá en­fre­n­tar­se a una falta de voluntad por parte de la empresa para responder a este tipo de preguntas. Tienes que ser pe­r­si­s­te­n­te para conseguir lo que quieres: invoca tus derechos, establece un plazo estricto para que te pro­po­r­cio­nen la in­fo­r­ma­ción que buscas y, en última instancia, amenaza con consultar a la autoridad re­s­po­n­sa­ble de la pro­te­c­ción de datos; se­gu­ra­me­n­te así consigas que te hagan caso. No te deses­pe­res y no olvides que si no estás de acuerdo con la forma en que se recopilan tus datos, si la in­fo­r­ma­ción es in­co­rre­c­ta o está des­ac­tua­li­za­da o incluso en aquellos casos en los que si se ha al­ma­ce­na­do o tra­n­s­mi­ti­do ile­ga­l­me­n­te, puedes utilizar una última he­rra­mie­n­ta legal: el derecho a corregir, eliminar y bloquear los datos pe­r­so­na­les según lo es­ta­ble­ci­do en el artículo 15, apartado 1, letra e del RGPD.