Artículo BIT
Privacidad en el entorno digital. Regulación: situación actual y análisis a futuro. Recomendaciones del COIT
nes Unidas que establece que “Nadie será objeto de injerencias arbitrarias en su vida privada, su familia, su domicilio o su correspondencia, ni de ataques a su honra o a su reputación. Toda persona tiene derecho a la protección de la ley contra tales injerencias o ataques.” Más cercano en el tiempo y centrándose en entornos automatizados o electrónicos, encontramos las “Directrices para la regulación de los archivos de datos personales informatizados”, adoptadas mediante resolución 45/95 de la Asamblea General en 1990. En ella se establecen los principios relativos a las garantíasmínimas que deben prever las legislaciones nacionales, entre ellos, como primero y fundamental, el de legalidad y lealtad, que establece que la información relativa a las personas no debe ser recogida o procesada por métodos desleales o ilegales. Los compromisos de los diferentes países de con la protección de datos y la privacidad se ven refrendados en la DeclaraciónMinisterial Relativa a la Protección de la Intimidad en la Redes Globales de la OCDE en Ottawa en 1998. Finalmente en la Declaración Universal sobre el Genoma Humano y los Derechos Humanos de la UNESCO en 1999, se establece “el derecho a la protección de la vida privada, que impone la protección del carácter confidencial de los datos personales” Legislación aplicable de carácter europeo. Los principios fundamentales establecidos en las declaraciones y compromisos descritos en la sección anterior deben ser plasmados en normativas específicas que son desarrolladas, inicialmente por organismos de carácter supra-nacional, en nuestro caso la Unión Europea (UE), y después por los gobiernos nacionales. La UE ha desarrollado una importante actividad normativa en este campo en todos sus niveles, tanto en forma de Directivas, como Reglamentos y Decisiones. En este artículo únicamente mostramos las más relevantes, por su importancia o por su aplicación a España. Normativa básica de carácter internacional En general, se puede considerar que el derecho a la privacidad se encuentra internacionalmente reconocido, y que se deben establecer los mecanismos adecuados para su garantía. Por ello diversos organismos internacionales han establecido las premisas o fundamentos desde los que se han ido desarrollando las diversas legislaciones. Se puede considerar que el germen de la protección de la privacidad se encuentra en el Artículo 12 de la Declaración Universal de los Derechos Humanos de 1948, de las Nacio- Monográfico Privacidad en el entorno digital La protección de los datos que afecten a aspectos específicos de la privacidad de las personas, ya se encuentren estos en formato electrónico o en cualquier otro medio, ha sido y es un asunto de alta actualidad y motivo de un amplio desarrollo normativo y reglamentario que puede producir una cierta desorientación. Este artículo tiene por tanto un triple objetivo, el primero es proporcionar una visión global, pero resumida y sistemática, de las principales leyes, normas, directrices y recomendaciones aplicables tanto a nivel internacional, como europeo y español. El segundo proporcionar unas indicaciones sobre las perspectivas futuras en la regulación a nivel europeo y la propuesta realizada desde el Grupo de Políticas Públicas y Regulación del COIT, plasmada en el informe “Protección de datos y privacidad en el sector TIC” que recientemente hemos presentado. Regulación: situación actual y análisis a futuro. Recomendaciones del COIT José Antonio Portilla Director Adjunto de Estudios de Telecomunicación, Escuela Politécnica Superior y Miembro del Grupo de Políticas Públicas y Regulación del COIT @JA_Portilla Juan Santaella Vallejo Ingeniero de Telecomunicación y Miembro del Grupo de Políticas Públicas y Regulación del COIT @juan_santaella Monográfico Privacidad en el entorno digital Se podría decir que se el camino se inicia en el año 1995 con la Directiva 95/46/CE del Parlamento Europeo (PE) y del Consejo Europe (CE) de 24 de octubre de ese año. En ella se establecen las directrices que los estados miembros deben realizar para garantizar la protección de las libertades y de los derechos fundamentales de las personas, y, en particular, del derecho de la intimidad en lo que respecta al tratamiento de los datos personales y también garantizar la libre circulación de los datos personales entre los estados miembros. Esta Directiva se instrumentaliza mediante el Reglamento (CE) Nº 45/2001 del PE/CE y las normas de aplicación del mismo se establecen en la Decisión DOCE 2004/644/CE del 13 de Septiembre de 2004. También es muy relevante la Directiva 002/58/CE del PE/CE de 12 de Julio de 2002 y su modificación en la Directiva 2009/136/CE que establece normas esenciales para la protección de la intimidad de los usuarios, que están orientadas a mejorar la confianza de los mismos en las comunicaciones y transacciones electrónicas. En estas directivas se tratan aspectos como la prohibición del SPAM, el manejo de las Cookies, el borrado/anonimizar datos por parte de las compañías para usos distintos a los propios de la actividades o la confidencialidad de las comunicaciones. Un ejemplo claro de la aplicación de esta normativa son los mensajes sobre “Cookies”, y su aceptación, que se han implementado recientemente en casi todas las webs. Para finalizar este breve repaso a la normativa queremos hacer referencia a la Directiva 2006/24/CE que define las obligaciones de los proveedores de servicios de comunicaciones electrónicas en relación con la conservación de determinados datos generados o tratados por los mismos, para garantizar que los datos estén disponibles con fines de investigación, detección y enjuiciamiento de delitos graves. Estos datos estarían relacionados con el tráfico y localización de las personas así como para su identificación y registro. Pues bien, esta directiva que surge como reacción ante los atentados del 11M de Madrid en 2004 y de 7J en Londres en 2005, ha sido invalidada el 8 de abril de 2014 por el Tribunal de Justicia de la Unión Europea (TSJUE) por considerar que supone una injerencia en la vida privada de las personas y en su derecho fundamental a la protección de datos, ambos a dos recogidos en la Carta Europea de Derechos Fundamentales. Como se puede observar al ser un ámbito de trabajo cambiante, por lo rápido de las tecnologías subyacentes y muy sensible, debido al carácter de lo tratado, se encuentra abierto a posibles interpretaciones contrapuestas que provocan giros, a veces de 180º en la normativa. Legislación de carácter nacional El elemento base de la legislación española es la Constitución de 1978, la cual establece en el artículo 18, “el secreto de las comunicaciones” y que “La ley limitará el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos y el pleno ejercicio de sus derechos.” La protección de la privacidad en el campo de las tecnologías de la información y comunicaciones es un asunto multifacético que ha requerido tanto legislación específica como ser tratado o matizado en legislaciones generales o de otro ámbito. Se puede establecer que la que establece el marco normativo básico es la Ley Orgánica 15/1999 de Protección de Datos de carácter personal (LOPD), que deroga la Ley 5/1992 y el reglamento que lo desarrolla en el Real Decreto 1720/2007, el cual deroga el correspondiente reglamento del RD 994/1999. El reglamento establece además los niveles de calidad de los datos, dependiendo de su sensibilidad así como las medidas que hay que establecer para protegerlos. También es importante subrayar que la nueva Ley General de Telecomunicaciones establece en su artículo 48 el derecho a la protección de datos personales y la privacidad en relación con las comunicaciones no solicitadas y los datos Es necesario que la regulación garantice los derechos fundamentales del usuario pero simultáneamente permita el desarrollo y la innovación en las nuevas aplicaciones y servicios y la creación de nuevos modelos de negocio asociados, que reviertan en el crecimiento económico.” Privacidad en el entorno digital de tráfico y de localización y con las guías de abonados, es decir, establece límites a ciertas actuaciones, en línea con lo establecido en la Directiva 2009/136/CE. La indicada anteriormente es la legislación española más afín, sin embargo la intimidad y privacidad también se aborda en otras leyes como la 56/2007 de Medidas de Impulso de la Sociedad de la Información. Finalmente y para remarcar que toda la regulación está conectada, entendemos que, debido a la sentencia del TSJUE del 8 de Abril, la ley 25/2007 de conservación de datos relativos a las comunicaciones electrónicas y a las redes públicas de comunicaciones deberá ser modificada al igual que lo será la Directiva europea. El áspero texto anterior, en el que intentamos proporcionar un resumen de la principal legislación aplicable, queremos que sirva para proporcionar una base desde la cual entender los cambios futuros en la legislación, a los diversos niveles, y cuales, desde la perspectiva del COIT son los aspectos donde se debe ahondar. La Propuesta de Reglamento Europeo en Protección de Datos y la Visión del COIT Las actuales leyes europeas de protección de datos datan de 1995, antes incluso de que Internet tuviera un uso masivo. Además pueden existir discrepancias en su aplicación entre los distintos estados miembros de la Unión. Ante esta situación, y a propuesta de la Comisión Europea, el Parlamento y el Consejo Europeo se han inclinado a favor de realizar una revisión de la normativa de protección de datos con el objeto expreso de retornar a la población el control de sus datos personales y de la información relativa a su privacidad. El paquete de reformas propuesto consiste en dos borradores legislativos: u Una Directiva con respecto al procesamiento de datos para prevenir, investigar, detectar perseguir ofensas criminales o hacer cumplir penas criminales, protegiendo los datos de los ciudadanos y u Un Reglamento General que cubre el grueso del procesado de datos en la UE. Este último incorpora, entre otras muchas, propuestas de sanción hasta de 100 millones de euros (Artículo 79); el derecho al borrado (cubriendo el “derecho al olvido en Internet”); facilitar la portabilidad de datos para fomentar la competencia (Artículo 18) Aunque el borrador del reglamento se encontraba prácticamente terminado, las objeciones de algunos estados miembros, como Reino Unido, que prefieren una mayor autorregulación por parte de las compañías, y las elecciones al Parlamento van a retrasar su aprobación como mínimo hasta mediados del 2015. En cualquier caso nos encontramos ante una grave disyuntiva puesto que, siendo prioritaria la salvaguarda de los derechos con respecto a la privacidad de los ciudadanos, desde el Grupo de Políticas Públicas y Regulación del COIT entendemos que un exceso de regulación, o una regulación demasiado estricta provocaría un efecto de estrangulamiento del desarrollo tecnológico y la actividad económica desarrollada en Europa que se ha generado en base a la denominada economía basada en datos. Esta nueva economía facilita la creación de servicios centrados en los usuarios, por ejemplo las tiendas que ofrecen productos adelantándose a las peticiones de los usuarios, como Amazon, nuevos modelos de negocio asociados a los datos como pueden ser las aplicaciones “apps” móviles e incluso beneficios sociales derivados del denominado “Big Data” como el Google Flu.1 Pero el reglamento debe ser eficaz para trasladar a la ciudadanía confianza y seguridad respecto a sus datos, es decir, proteger a los usuarios más vulnerables contra cualquier intrusión en su privacidad y evitar la creación de perfiles que se utilicen en contra de algunos usuarios. Para ello la regulación debe de tener en cuenta por un lado la complejidad del concepto de identidad privada, un concepto vago, y por lo tanto cambiante; también que estamos en una economía global y, por lo tanto, que para que la regulación sea efectiva debe ser “acordada” con los correspondientes ejes económicos aliados de Europa, es decir, para que tenga aplicación práctica debe de ser un punto a negociar en el nuevo acuerdo de libre comercio con USA. Por lo tanto nos encontramos en el típico y difícil caso donde la regulación debe mantener el complicado equilibrio entre seguridad/privacidad y libertad de empresa. Es necesario que la regulación garantice los derechos fundamentales del usuario pero simultáneamente permita el desarrollo y la innovación en las nuevas aplicaciones y servicios y la creación de nuevos modelos de negocio asociados, que reviertan en el crecimiento económico. Los viejos problemas y los nuevos problemas A lo largo de todo este artículo hemos intentado tanto dar una perspectiva general tanto de la regulación existente, como de varios de los problemas principales a los que tiene que dar solución, algunos tan antiguos como la determinación de lo que es un “dato personal”, hace ya casi 20 años. Sin embargo, aparte de los viejos problemas también aparecen problemas nuevos. El más reciente se deriva de la sentencia del Tribunal de Justicia de la Unión Europea (TJUE) en el caso contra Google, lo que se ha conocido como “derecho al olvido”. Resumiendo, y perdiendo por lo tanto ciertos matices, el tribunal ha dictaminado que existe un “derecho al olvido”, es decir, que los derechos de acceso, rectificación, modificación y cancelación de los datos implican, de facto, un derecho al olvido de la información en Internet. Dejando aparte consideraciones técnicas sobre cómo se puede implementar este “borrado” en la red de redes, se plantean nuevas disyuntivas. Por una parte está el ya mencionado derecho al olvido, pero, por otra parte se encuentra el derecho a la información, por ejemplo, en un caso de corrupción donde el condenado haya salido en los periódicos, una vez cumplida la condena, ¿se debe borrar esa información?, ¿y en el caso de que no fuese un delito y fuese solo una falta?, ¿y si hablamos de delitos que generan una mayor alarma social, como violaciones, pederastia, maltrato...?, el problema de nuevo radica en el establecimiento de fronteras entre diversos derechos. En definitiva nos encontramos con una temática en constante evolución debido a varios factores: el propio y variable concepto de privacidad, los derechos fundamentales de los ciudadanos, la evolución tecnológica y la nueva economía basada en datos. La regulación tiene la difícil tarea de navegar entre estas cuatro corrientes, que, no en pocas ocasiones tienen direcciones contrapuestas.3 Nota: 1 Google Flu: servicio web operado por Google que realiza estimaciones sobre las epidemias de gripe en más de 25 países sobre la base de las búsquedas realizadas por los usuarios del buscador. Monográfico Privacidad en el entorno digital COIT summarizes the primary regulations governing Data Protection and upcoming European rules along with the proposals made by the Public Policies and Regulation Workgroup in their recent report titled “Data Protection and Privacy in the ICT sector”. The UN basically states that everyone is entitled to “the right to protect their private lives which imposes the confidentiality of personal data”. Problems arise when European Courts dismiss legislation that allows law enforcement to store private data that may provide critical information relative to serious crimes such as terrorism. This Workgroup warns that excessive regulation may strangle technological development and growth generated by the so-called data-based economy. Current status and future of Data Protection Regulations - COIT Recommendations
30 oct 2015