- La AEPD advierte de que no se trata de un derecho absoluto
- No se puede 'salir de Internet' pero sí controlar nuestros datos
Se trata de uno de los retos que dejó el anterior director de la Agencia Española de Protección de Datos, Artemi Rallo. El llamado 'derecho al olvido' se entiende en España como una proyección de otros derechos que ya existen (como el de cancelación y el de oposición), y en ningún caso se trata de un derecho absoluto.
En una entrevista, el nuevo director de la AEPD, José Luis Rodríguez, desgrana qué es -y qué no es- el 'derecho al olvido', y cómo se puede ejercer de una forma efectiva.
¿Existe el 'derecho al olvido' digital? ¿Cómo podemos delimitarlo?
Cuando hablamos del 'derecho al olvido' hay que tener en cuenta que la expresión, que hemos tomado del ámbito anglosajón ('The right to be forgotten') es equívoca, en el sentido de que de alguna manera sugiere mucho más de lo que realmente se puede configurar como un derecho. No tiene nada que ver con un derecho a reescribir la historia, un derecho a refutar la memoria o un derecho de alterar las bases documentales, ya sean textos de boletines oficiales, ya sean hemerotecas.
Básicamente, ningún derecho tiene un carácter absoluto, ha de buscarse un equilibrio con otros derechos, principios o intereses con los que puede colisionar.
Eso es lo que no es, pero ¿qué es?
Vayamos progresivamente. El 'derecho al olvido', del que actualmente se discute su contenido, lo entendemos como una proyección del derecho que ya tenemos, porque forma parte del derecho fundamental a la protección de los datos, sobre el poder de disposición que tenemos sobre nuestros propios datos personales. O sea, el derecho de decidir qué usos pueden hacer tercero de ellos. Insisto, no es un derecho absoluto.
La Constitución reconoce a todos los ciudadanos el derecho a la protección de los datos personales. Ese derecho consiste en básicamente en un poder de disposición, en un derecho a decidir sobre los usos que se hacen de nuestros propios datos personales, de tal forma que sólo se podrán realizar aquellos usos para los que hemos dado el con sentimiento o aquéllos amparados por una ley, la LOPD o cualquiera otra. Es decir, si no hay un amparo legal, es necesario el consentimiento.
Este poder de disposición afecta, en primer lugar, a qué datos se pueden recabar, y después qué se puede hacer con ellos y durante cuánto tiempo.
Para garantizar su correcto ejercicio, el derecho a la protección de los datos en realidad se desglosa en cuatro:
- Derecho de acceso: Nos permite dirigirnos a quien consideremos que está tratando datos personales y solicitarle que nos proporcione información sobre los datos que maneja. Hay que tener en cuenta que no es un derecho a acceder a los documentos de forma física, salvo que así se reconozca por una legislación específica -tal es el caso del acceso al historial clínico-. Pero con carácter general no es un derecho de acceso a documentos, sino a conocer qué datos personales tiene ese tercero, sea un particular, una empresa, etc. y tal tercero tiene la obligación de informarnos.
- Derecho de rectificación: En el caso de que esos datos no sean correctos, tenemos derecho a pedir a quienes manejen esos datos a que los corrija y los ajuste a la verdad.
- Derecho de cancelación: En el caso en el que ya no exista ningún motivo que permita y legitime a un tercero el tratamiento de nuestros datos, tenemos el derecho de exigirle que cancele dichos datos, es decir, que los borre. Esto puede pasar cuando ya no exista ninguna razón para seguir manejándolos, o bien cuando quien los maneja sólo tenía nuestro consentimiento y revocamos este consentimiento; pero ojo, para retirar el consentimiento sobre el tratamiento de datos en un negocio o en relación contractual habría que poner fin a esa relación de negocios, y esto es importante destacarlo porque es un factor legitimador muy frecuente. Es decir, cuando uno tiene una cuenta con un operador de telefonía o un banco no puede pedir la cancelación de sus datos mientras siga siendo cliente.
- Derecho de oposición: Es un poco más difícil de explicar. Consiste en que aún cuando existe un fundamento o una base legitimadora para el tratamiento de esos datos, o para seguir conservándolos por parte del tercero, podemos oponernos a determinados tratamientos. Por ejemplo, podemos oponernos a que se publiquen para determinados fines, o que se usen para fines publicitarios (en el caso de los datos en una relación negocial). En este caso no se cancelan, se permite que sigan en poder del tercero, pero se puede pedir que se impidan determinados usos. En este caso tenemos que invocar unos motivos, no sirve sin más decir que uno se opone.
Estos derechos son llamados "personalísimos" dado que sólo los puede ejercer su titular. En este caso, el dueño de los datos debe ejercerlos en primer lugar directamente ante quien tiene en su poder estos datos, y éstos tienen la obligación de contestar. La Agencia de Protección de Datos tutela a los titulares una vez que éstos han tratado de ejercer sus derechos frente a quienes retienen sus datos y no han visto satisfechas sus demandas.
Delimitados estos derechos, volvamos al 'derecho al olvido'...
Pues el 'derecho al olvido' realmente no incorpora nada nuevo sobre el contenido de estos derechos que ya estaban reconocidos en España -otra cosa son las dificultades que surgen a la hora de aplicarlos-, sino que puede ser entendido, y así lo entendemos nosotros en la AEPD, como una proyección del derecho de cancelación y el derecho de oposición, dependiendo de cada caso. En Europa hemos sido pioneros en interpretar estas garantías, y las nuevas propuestas de la Comisión van en este sentido.
¿Qué alcance tiene?
El 'derecho al olvido' no es un derecho absoluto, insisto. Tiene un alcance diferente en función de sobre qué se aplica. Es mayor sobre los datos que nosotros hemos entregado a un tercero; es el caso por ejemplo de la información personal que hemos proporcionado en un blog o, el caso más significativo, esa información que ponemos en una red social. Esos datos los hemos publicado nosotros mismos, así que el alcance del 'derecho al olvido' es mayor porque tenemos pleno poder sobre esos datos, y podemos pedir el borrado pleno, la cancelación de los mismos. Se entiende como cancelación en el sentido de que no se puedan hacer tratamientos posteriores de esos datos, lo que incluye el almacenamiento, por eso hablamos de 'borrado'.
En otros supuestos, además del derecho a la protección de datos pueden entrar en juego otros principios, intereses legítimos o incluso derechos. Entonces es necesario hacer una ponderación, buscar un resultado que concilien esos derechos, intereses o libertades, tales como el principio de publicidad o los derechos de libertad de expresión e información. No se puede dar primacía absoluta a uno de los derechos en colisión frente a un sacrificio total del otro, sino que hay que ponderar. Por ejemplo, en España la libertad de información tiene un plus por ser parte de la base de las demás libertades democráticas, por lo que a la hora de valorar una colisión con la protección de datos hay que tener en cuenta esta especial protección. Pero insisto: nunca se debe llegar a una solución que implique el sacrifico de uno de los derechos que colisionan.
¿Cómo está tratando la AEPD la inevitable colisión entre el 'olvido' y el derecho a la información o la -obligada- publicidad en boletines como el BOE de algunos de estos datos, por ejemplo?
Pues hay que buscar una fórmula que permita conciliar ambos derechos, y nosotros creemos que viene a través de lo que se conoce como los 'protocolos de exclusión', es decir, la aplicación de instrumentos técnicos que están reconocidos por todos los buscadores para evitar la indexación en ese buscador. Aquí no hablamos de datos en una red social o en un blog, sobre los que se puede pedir generalmente la cancelación total de los datos personales, su retirada. No se puede exigir el borrado anb solito por que concurren derechos como el de información o el principio de publicidad. Hay que buscar el equilibrio.
Por ejemplo, si existe una información en un medio o en un boletín oficial que tiene hemeroteca accesible de forma digital, el responsable de ese sitio web, cuando alguien ejerce el 'derecho al olvido' (en este caso, un derecho a oponerse a que ese dato se siga publicando), puede aplicar alguna herramienta que mantenga el original pero impida que sea 'indexado' por buscadores. En este caso no habría derecho de cancelación, dado que el original se conserva, y podría ser accesible desde el propio buscador del sitio. Este último punto también está en discusión, pero a mi entender creo que se alcanza un equilibrio suficiente si no hay una difusión indiscriminada de dichos datos desde cualquier lugar y momento con sólo tener un ordenador y conexión a Internet.
En resumen, hay que buscar el equilibrio en preservar la fuente, el original, no afectar a las hemerotecas, pero sí poner fin a la difusión la difusión generalizada limitando el acceso.
Para que todo esto funcione realmente se tienen que comprometer tanto los 'webmasters' como los buscadores: tenemos que implicar a todos los afectados. Los buscadores son parte del problema, porque permiten que se pueda acceder fácilmente a cualquier información, y este hecho es lo que realmente ha provocado el problema. Pero los medios, por ejemplo, al digitalizar sus hemerotecas, han dejado accesible muchos datos e informaciones de hace años que ahora reaparecen 'indexados' por el buscador.
¿Se puede salir de Internet?
Bueno, es un eslogan muy atractivo que ha de ponerse en contexto. Hay datos e informaciones que están en Internet y que están amparados por mandatos normativos o por derechos tan importantes como la libertad de información. Para exigir que no se sigan publicando en Internet datos o informaciones personales publicados amparados en una previsión legal o en la libertad de expresión es necesario invocar que se produce una lesión en un derecho propio y buscar ese equilibrio al que hacía referencia antes. Así que si me pregunta si se puede evitar salir en ningún caso en Internet porque aparece en un medio de comunicación, le tengo que contestar que el 'derecho al olvido' no llega tan lejos.
Dicho esto, en los casos en los que los datos están en Internet sin ningún tipo de cobertura legal o basado en un consentimiento que ahora se revoca, entonces sí existe un derecho pleno a que esa información se cancele.
Por último, quisiera añadir que lo que no podemos es desconocer la propia naturaleza de Internet, que plantea varias dificultades prácticas a la hora de ejercer estos derechos e incluso de ejecución de decisiones de esta agencia o del organismo regulador que sea.
De hecho, ¿cómo podemos estar seguros de que nuestros datos efectivamente se borran cuando lo solicitamos a una red social, por ejemplo?
Si existe algún indicio de que se ha incumplido una obligación exigida y se ha acreditado al menos formalmente su cumplimiento, las autoridades sí tienen instrumentos de fiscalización y verificación. La propia agencia puede realizar inspecciones para verificar el efectivo cumplimiento. Pero ojo, esto no es la regla. Cuando se dicta una resolución se exige que se acredite su cumplimiento, y esta acreditación casi siempre es formal porque no disponemos de los medios para comprobar materialmente si se cumple lo ordenado. Esto sólo se haría cuando existe un indicio de incumplimiento.
En cualquier caso, hay que tener en cuenta que un incumplimiento o un engaño ante una resolución de la AEPD tiene consecuencias gravísimas, con sanciones muy altas. Esta fiscalización no puede ser solicitada por los ciudadanos, sino que las puede realizar la Agencia por orden de su director cuando concurran indicios razonables de incumplimientos. Obviamente, si hay denuncias podemos iniciar una investigación, pero no existe un derecho de los ciudadanos a exigir a la Agencia que investigue, eso no lo recoge la norma. En cualquier caso, dado el volumen de expedientes, sería imposible ir comprobando una por una cada cancelación solicitada.
No hay comentarios:
Publicar un comentario