LA INUTILIDAD DE LA LEY DE PROTECCIÓN DE DATOS
LA INUTILIDD DE LA LEY DE PROTECCIÓN DE DATOS
Laura Serramià Balaguer
Antes de entrar en la materia objeto del presente estudio, es importante tener presente de forma clara algunos conceptos fundamentales para entender la normativa sobre protección de datos, a saber, la definición del tratamiento de los datos y la de responsable del tratamiento.
En primer lugar, la definición de tratamiento de datos personales se contiene en el artículo 5.1.t) del RLOPD, donde se dice que son operaciones y procedimientos técnicos de carácter automatizado o no automatizado que permiten la recogida, la grabación, la conservación, la elaboración, la modificación, el bloqueo y cancelación, la supresión, las cesiones o comunicaciones de datos, las consultas, la utilización, las interconexiones y las transferencias. Es decir, el concepto de tratamiento de los datos comprende prácticamente todo: obsérvese que, incluso, se entiende que hay tratamiento de datos por la simple posesión, conservación o visualización de esos datos, aunque no exista dolo o intención de usarlos lícita o ilícitamente.
A partir de aquí, en segundo lugar y en relación a la definición de responsable del tratamiento, deben distinguirse a la vez dos conceptos:
I. Responsable del fichero, el cual, según establece el artículo 5.1.q) del RLOPD, es la persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que sólo o conjuntamente con otros decide sobre la finalidad, contenido y uso del tratamiento, aunque no lo realice materialmente. La frase “aunque no lo realizase materialmente”, permite distinguir dos tipos de responsables: un responsable del fichero, cuando no realice materialmente el tratamiento, y un responsable del tratamiento, cuando lo realice.
Según ha puesto de manifiesto el Tribunal Supremo en varias de sus sentencias, mientras el “responsable del fichero” es quien decide acerca de la creación del fichero, su aplicación, su finalidad, contenido y uso, el “responsable del tratamiento” es quien adopta decisiones sobre las concretas actividades de un determinado tratamiento de datos. Así, por ejemplo, en los supuestos de campañas publicitarias, si quien encarga la campaña decide los criterios de segmentación de la muestra será el responsable del tratamiento, aunque los datos se encuentren siempre en poder de la entidad a la que se encarga la campaña, que será la responsable del fichero.
Finalmente, el RLOPD añade que pueden ser responsables del fichero o del tratamiento los entes sin personalidad jurídica que actúen en el tráfico como sujetos diferenciados, como, por ejemplo, comunidades de propietarios.
Y respecto al concepto de titular del fichero, debemos concluir que es sinónimo de responsable del fichero. La Agencia Española de Protección de Datos estableció, en una de sus Resoluciones, que a efectos de la declaración de los ficheros a la Agencia, titular y responsable del fichero son lo mismo. No obstante, conviene aclarar que esta figura aparece expresamente regulada en el artículo 10 de la LOPD al tratar el deber de secreto, el cual abordaremos más adelante.
II. Encargado del tratamiento, considerando el mismo, según los artículo 3.g) de la LOPD y 5.1.i) del RLOPD, a toda persona física o jurídica, pública o privada, u órgano administrativo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento (o del responsable del fichero), como consecuencia de la existencia de una relación jurídica que le vincula con éste y delimita el ámbito de su actuación para la prestación de un servicio. También, pueden ser encargados del tratamiento los entes sin personalidad jurídica que actúen en el tráfico como sujetos diferenciados.
En consecuencia, el encargado del tratamiento será la entidad que contrata la prestación del servicio con el responsable del fichero. Nunca podrá serlo, pues, el personal que preste sus servicios en aquéllas. Es decir, serán consideradas como encargadas del tratamiento tanto la empresa de informática como la asesoría laboral que presta un servicio a otras entidades, y no los asesores o los informáticos que trabajan allí.
Una vez ilustrados sobre ambos conceptos, estamos en disposición de entrar en el estudio de la protección de datos personales.
El derecho fundamental a la protección de datos personales deriva directamente de la Constitución -estando reconocido en su artículo 18.4- y atribuye a los ciudadanos un poder de disposición sobre sus datos, de modo que, en base a su consentimiento, puedan disponer de los mismos. En este sentido, la Ley Orgánica 15/1999 regula este derecho fundamental y dispone que será la Agencia Española de Protección de Datos la encargada de tutelar y garantizar el mismo, además de -en último término-los tribunales, lógicamente.
Asimismo, la Unión Europea también ha regulado en este sentido, estableciendo una armonización entre los requisitos del derecho de protección en los distintos estados miembros. La jurisprudencia europea y española así lo ha puesto de manifiesto en numerosas ocasiones, destacándose, a modo ejemplificativo, las Resoluciones Administrativas de la Agencia Española de Protección de Datos de 18-06-2008 y de 23-04-2012; y las SSAN (Sección 1ª) de la Sala de lo Contencioso-Administrativo de 23-11-2005 y de 29/11/2013 (Recursos Núm. 109/2004 y 455/2011 respectivamente).
El tema candente hoy día es la infracción de la normativa en materia de protección de datos debida al tratamiento de datos personales de terceros (esto es, nombres, cargos, hechos, documentos nacionales de identidad e imágenes) sin el consentimiento de estos terceros afectados. En un contexto de transvase continuo de información y de globalización, el derecho a la protección de datos -artículo 18.4- se contrapone con los derechos a la libertad de expresión y a la libertad de información del artículo 20 de la Constitución.
Al respecto, y en primer lugar, debe tenerse en cuenta que uno de los pilares básicos de la normativa reguladora del tratamiento automatizado de datos es el principio del consentimiento o autodeterminación, principio cuya garantía estriba en que, para que la recogida de datos sea lícita, el afectado debe prestar su consentimiento consciente e informado. Sin embargo, dicho esencial principio de “consentimiento” en el tratamiento y cesión de datos personales tiene una serie de excepciones que se hallan taxativamente reguladas en el artículo 11.2 de la Ley Orgánica de Protección de Datos (en adelante, LOPD), a cuyo tenor: “el consentimiento exigido en el apartado anterior no será preciso: a) Cuando la cesión esté autorizada por una Ley”.
Si bien en un primer momento algunas resoluciones habían buscado la existencia de una disposición legal que autorizara expresamente el tratamiento de los datos, pronto se convino en que el artículo 20 de la Constitución, al regular las libertades de expresión e información, era norma hábil para levantar la prohibición, por ser de aplicación directa y no tener un mero carácter programático… como no puede tenerlo ninguno de los derechos fundamentales, por otra parte. Más adelante volveremos sobre este punto.
En este sentido, la información sólo puede desvelarse cuando así lo autoriza una norma con rango de Ley (y no cabe duda que la Constitución cumple sobradamente este requisito), y la fuente de dicha información debe ser accesible al público. Con estos requisitos, se excluye la necesidad de consentimiento del afectado, que puede ver sus datos difundidos o utilizados de la noche a la mañana sin derecho a réplica, de conformidad con el apartado 2º del artículo 11 de la LOPD. Siendo así el precepto, la interpretación ha cambiado.
Así, tras la Sentencia del Tribunal de Luxemburgo, el Tribunal de Justicia de la Unión Europea, de 24 de noviembre de 2011 (asunto C-468/10 y C-469/10), no es exigible que los datos procedan de fuente accesible al público como presupuesto inexcusable para aplicar dicha excepción.
Es por ello que la nueva interpretación que han de recibir tanto el artículo 6 de la LOPD como la letra f) del artículo 7 de la Directiva 95/46/CE, reside en la exigencia de dos requisitos acumulativos para que un tratamiento de datos personales sea lícito sin contar con el consentimiento del afectado, a saber: por una parte, que ese tratamiento de datos personales sea necesario para la satisfacción del interés legítimo perseguido por el responsable del tratamiento o por el tercero o terceros a los que se comuniquen los datos; y, por otra parte, que no prevalezcan los derechos y libertades fundamentales del interesado.
– En cuanto a la primera exigencia: que ese tratamiento de datos personales sea necesario para la satisfacción del interés legítimo perseguido por el responsable del tratamiento.
Reiterada doctrina jurisprudencial, entre la que se destaca la SAN (Sección 1ª) de la Sala de lo Contencioso-Administrativo de fecha 11-04-2012 (Recurso Núm. 410/2010), ha interpretado la previsión contenida en el artículo 6 LOPD, a cuyo tenor “el tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa”, y ha manifestado que, pese a la carencia de regulación específica, la expresión “salvo que la Ley disponga otra cosa” permite entender que no es necesario el consentimiento del afectado cuando el artículo 20 de la Constitución permite el tratamiento. En definitiva, la posibilidad de tratar los datos de una persona sin contar con su consentimiento puede entenderse legítima si la utilización de estos datos sirve para la satisfacción del interés legítimo perseguido por el responsable del tratamiento, esto es, interés que tiene aquél que expresa opiniones e ideas, o informa sobre hechos (libertad esta última la de información que, dicho sea de paso, es predicable de todos los ciudadanos y no sólo de los periodistas, aunque acaso éstos tengan una protección reforzada).
Así pues, como decimos, la jurisprudencia del Tribunal Constitucional viene distinguiendo entre el derecho que garantiza la libertad de expresión, cuyo objeto son los pensamientos, ideas y opiniones (concepto amplio que incluye las apreciaciones y los juicios de valor) y, por otra parte, el derecho a comunicar información, que se refiere a la difusión de aquellos hechos que merecen ser considerados noticiables. Así pues, mientras los hechos son susceptibles de prueba, las opiniones o juicios de valor, por su misma naturaleza, no se prestan a una demostración de exactitud, y ello hace que al que ejercita la libertad de expresión no le sea exigible la prueba de la verdad o diligencia en su averiguación, que condiciona, en cambio, la legitimidad del derecho de información por expreso mandato constitucional, que ha añadido al término “información”, en el texto del artículo 20.1 d) de la Constitución , el adjetivo “veraz”. No obstante, no siempre es fácil separar la expresión de pensamientos, ideas y opiniones de la simple narración de unos hechos.
En suma, pues, desde el año 2011, cabe la posibilidad de que existan tratamientos de datos personales que no figuren en una de las que nuestra legislación interna denomina “fuentes accesibles al público” (artículo 3.j) LOPD y artículo 7 de su Reglamento) pero que, sin embargo, no requieran el consentimiento de los titulares de los datos porque dicho tratamiento sea necesario para satisfacer un interés legítimo del responsable de los datos, o del cesionario, siempre que no prevalezcan los derechos y libertades del interesado.
En conclusión: no se permite ni la injuria ni la calumnia ni la difamación… algo que ya sucedía sin necesidad de la promulgación de la LOPD.
– Por lo que respeta a la segunda exigencia: que no prevalezcan los derechos y libertades fundamentales del interesado.
Debe tenerse en cuenta que el derecho a la protección de datos tiene un objeto más amplio que el del derecho a la intimidad, es decir, el objeto de protección del derecho fundamental a la protección de datos no se reduce sólo a los datos íntimos de la persona, sino a cualquier tipo de dato personal, sea o no íntimo, cuyo conocimiento o empleo por terceros pueda afectar a sus derechos, sean o no fundamentales -como aquéllos que identifiquen o permitan la identificación de la persona, pudiendo servir para la confección de su perfil ideológico, racial, sexual, económico o de cualquier otra índole, o que sirvan para cualquier otra utilidad que en determinadas circunstancias constituya una amenaza para el individuo- porque su objeto no es sólo la intimidad individual -que para ello está la protección que el artículo 18.1 de la Constitución otorga- sino los datos de carácter personal. Por consiguiente, también alcanza a aquellos datos personales públicos, que por el hecho de serlo, de ser accesibles al conocimiento de cualquiera, no escapan al poder de disposición del afectado.
De todo lo dicho resulta que el contenido del derecho fundamental a la protección de datos consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Por lo tanto, será necesario proceder a una ponderación entre los derechos y fines que amparan al titular de estos derechos y el derecho a la protección de datos de los afectados. Ahora bien, recordemos que abundante doctrina advierte que, al tiempo de realizar esta ponderación, no debe olvidarse que tanto la libertad de expresión, como también ocurre con la de información, adquieren especial relevancia cuando “se ejerciten en conexión con asuntos que son de interés general, por las materias a que se refieren y por las personas que en ellos intervienen, alcanzando entonces su máximo nivel de eficacia justificadora frente al derecho al honor, el cual se debilita, como límite externo de las libertades de expresión e información, en cuanto sus titulares son personas públicas, ejercen funciones públicas o resultan implicadas en asuntos de relevancia pública”.
Y también se ha señalado por dicha doctrina que cuando se ejercita la libertad de expresión reconocida en el artículo 20.1 a) de la Constitución, los límites permisibles de la crítica son más amplios si ésta se refiere a personas que, por dedicarse a actividades públicas, están expuestas a un más riguroso control de sus actividades y manifestaciones que si se tratase de simples particulares sin proyección pública alguna, pues, en un sistema inspirado en los valores democráticos, la sujeción a esa crítica es inseparable de todo cargo de relevancia pública.
Al mismo tiempo, debe tomarse en consideración que el derecho a comunicar y a emitir libremente información veraz no otorga a sus titulares un poder ilimitado sobre cualquier ámbito de la realidad, sino que, al venir reconocido como medio de formación de la opinión pública, solamente puede legitimar las intromisiones en otros derechos fundamentales que guarden congruencia con la finalidad expresada, careciendo de efecto legitimador cuando se ejercite de modo desmesurado y exorbitante. En consecuencia, la intromisión en los derechos fundamentales de terceros resultante del ejercicio de la libertad de información sólo será legítima en la medida en que la afectación de dichos derechos resulte justificada, es decir, adecuada, necesaria y proporcionada para la realización constitucional del derecho a la libertad de información.
Por lo tanto, debe ponderarse si la información proporcionada es veraz (o al menos no considerarse gratuita o notoriamente infundada), si está documentada y si tiene interés general y relevancia pública, por las materias a que se refieren y por las personas que en ellos intervienen.
En conclusión, reiterada doctrina del mismo Tribunal Constitucional considera correcta la prevalencia, aunque no absoluta, de los derechos a la libre información sobre el derecho al honor, debiendo ponderase que el asunto a que se refiere la invocada intromisión tenga relevancia pública e interés social, no exigiéndose, según ha matizado el Alto Tribunal, que los hechos o expresiones contenidos sean rigurosamente verdaderos, sino que únicamente impone un específico deber de diligencia en la comprobación razonable de la veracidad, en el sentido de que la información sea digna de protección aunque su total exactitud sea controvertible. En conclusión: no se requiere que los datos sean ciertos siempre que quien los difunda haya hecho una labor seria de comprobación.
En resumen: honor e intimidad serán fundamentalmente las piedras con las que va a topar la libre difusión de los datos… algo que -de nuevo- más o menos ya sucedía sin necesidad de la promulgación de la LOPD.
EL SECRETO PROFESIONAL.
En el mismo orden de cosas, cabe resaltarse el deber de secreto profesional, mencionado en el artículo 10 de la LOPD, a cuyo tenor se establece que “el responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero automatizado o, en su caso, con el responsable del mismo”. Aunque, ya lo avisamos, este deber perece cuando se contrapone a las libertades de expresión e información, convirtiéndose a veces en poco más que papel mojado: un parámetro ciertamente pobre el del secreto que debe guardar el responsable del tratamiento de los datos.
Desarrollando esta cuestión, y en el ámbito sindical, resulta muy ilustrativa la resolución administrativa de la Agencia Española de Protección de Datos, de 23 de abril del año 2012 (Recurso núm. E/00308/2012). En sus fundamentos de derecho se expone que la Audiencia Nacional, en cuanto a la concreción del derecho a la información sindical y recogiendo a su vez la doctrina del Tribunal Constitucional al respecto, manifiesta que “en este sentido, la doctrina del Tribunal Constitucional declara que incluye la actividad sindical mantener informados a los miembros del sindicato en la empresa en todas las cuestiones que incidan de forma “directa o indirectamente” o que puedan tener repercusión en las relaciones laborales”. Asimismo, reiterada jurisprudencia, entre la que se destaca el FJ.4º de la STC 94/1995, de 19 de junio; o el FJ.6º de la STC 168/1996, de 25 de noviembre; dispone en este sentido que “esa transmisión de noticias de interés sindical, ese flujo de información entre el Sindicato y sus afiliados, entre los delegados sindicales y los trabajadores, “es el fundamento de la participación, permite el ejercicio cabal de una acción sindical, propicia el desarrollo de la democracia y del pluralismo sindical y, en definitiva, constituye un elemento esencial del derecho fundamental a la libertad sindical”.
Ciertamente, aunque l derecho y el deber de información de los delegados sindicales -al igual que el de los representantes electivos o unitarios de los trabajadores y de los funcionarios públicos- no resulta ilimitado, sino que se encuentra condicionado por la imposición legal de un “deber de sigilo profesional” (de conformidad con el artículo 10.3.1 LOLS) y por el propio deber de secreto referenciado en el artículo 10 de la LOPD, los tribunales lo han levantado con facilidad. Y así, la Audiencia Nacional ha venido reconociendo el derecho de información de los trabajadores al respecto de aquellos sucesos que pudieran ser de su interés y que les afecten directa o indirectamente, y la capacidad que sobre el ejercicio de dicho derecho, poseen los sindicatos, vinculándolo a la propia actividad sindical.
LOS EXPEDIENTES JUDICIALES Y ADMINISTRATIVOS.
Y finalmente, es necesario centrar nuestra atención en la publicidad de las actuaciones judiciales (en un régimen muy similar al revestido por el procedimiento administrativo), la cual tiene un tratamiento particular, toda vez que para el acceso a los documentos contenidos en las mismas (no así para los actos celebrados en audiencia pública) se requiere la existencia de un interés legítimo. Así pues, el principio de publicidad de las sentencias que contempla nuestra LOPJ no resulta absoluto, sino que encuentra límites, ya sea por referirse a quienes ostentan la condición de interesados o ya sea por la prevalencia de otros derechos o bienes que gocen de protección constitucional, como ocurre con el derecho a la protección de datos. En este sentido, reiterada jurisprudencia, entre la que se destaca la STS de 3 de marzo de 1995 (Recurso Núm. 1218/1991), señala que “el derecho y correlativo deber de conocimiento y acceso al texto de las resoluciones judiciales se gradúa en función de tres diversos ámbitos:
– Una de máxima amplitud o de afectación generalizada, que comprende al público o los ciudadanos en general, sin cualificación específica y que corresponde a la publicidad de las actuaciones judiciales desarrolladas en todo clase de procesos, que permite a aquéllos acudir a la práctica de diligencias que han de tener lugar «en audiencia pública», salvo la declaración de reserva que motivadamente acuerde el órgano jurisdiccional.
– En el extremo opuesto, de máxima restricción del ámbito de conocimiento de las decisiones judiciales, se hallan los actos de notificación y comunicación de éstas, dirigidos sólo a quienes revisten la condición de parte procesal.
– Y ocupando una posición intermedia, se hallan las actuaciones procesales ya finalizadas, incluidas las sentencias, integradas en libros, archivos o registros judiciales, y respecto a las cuales, de una parte, el artículo 235 LOPJ determina que: «los interesados tendrán acceso a los libros, archivos y registros judiciales que no tengan carácter reservado, mediante las formas de exhibición, testimonio o certificación que establezca la Ley».
Sobre la cualidad de interesado, se puntualiza que “el interés legítimo sólo puede reconocerse en quien, persona física o jurídica, manifiesta y acredita, al menos prima facie, ante el órgano judicial, una conexión de carácter concreto y singular bien con el objeto mismo del proceso y, por ende, de la sentencia que lo finalizó en la instancia, bien con alguno de los actos procesales a través de los que aquél se ha desarrollado y que están documentados en autos, conexión que, por otra parte, se halla sujeta a dos condicionamientos:
a) Que no afecte a derechos fundamentales de las partes procesales o de quienes de algún modo hayan intervenido en el proceso, para salvaguardar esencialmente el derecho a la privacidad e intimidad personal y familiar; y b) que si la información es utilizada, como actividad mediadora, para satisfacer derechos o intereses de terceras personas, y en consecuencia adquiere, un aspecto de globalidad o generalidad por relación no a un concreto proceso, tal interés se mantenga en el propio ámbito del ordenamiento jurídico y de sus aplicadores, con carácter generalizado, pues otra cosa sería tanto como hacer partícipe o colaborador al órgano judicial en tareas o actividades que, por muy lícitas que sean, extravasan su función jurisdiccional”. Sería este último el caso de las bases de datos y repertorios de jurisprudencia para su estudio doctrinal o profesional.
Al respecto, también la jurisprudencia de la Audiencia Nacional se hace eco de la doctrina fijada por el Tribunal Supremo, y señala que “los datos contenidos en los libros y registros judiciales no se encuentran a disposición del público de forma enteramente libre e indiscriminada ya que el acceso a los mismos está regulado y en cierta medida restringido”.
De todo lo expuesto se deduce que la publicidad de las actuaciones judiciales no significa que los datos contenidos en un procedimiento judicial, en particular en su sentencia, puedan ser examinados y se encuentren a disposición del público en general de forma totalmente libre e indiscriminada, sino que dicha publicidad está restringida, salvo aquellas actuaciones que se celebren en audiencia pública, a los que ostenten la condición de “interesados”, a la que apela el artículo 234 LOPJ (y por interesado se concibe quien sea parte del proceso al que se refiera la información o los datos pretendidos o guarde con él una conexión o vinculación concreta).
Al igual como sucedía antes, nada ha cambiado en lo sustancial, y en la Ley de Enjuiciamiento Civil decimonónica ya se seguían los postulados que hoy se consideran modernos en toda Europa.