El marco jurídico de la Unión Europea sobre protección de datos y garantías ciudadanas ante la Administración pública electrónica

eUROPEAN UNION LEGAL FRAMEWORK ON DATA PROTECTION AND CITIZENS’ GUARANTEES TOWARDS ELECTRONIC PUBLIC ADMINISTRATION

Enrique Manuel Puerta Domínguez

CEU Cardenal Spínola

empuerta@ceuandalucia.es 0000-0003-1816-5703

El marco jurídico de la Unión Europea sobre protección de datos y garantías ciudadanas…

I. NOCIONES PRELIMINARES; ADMINISTRACIÓN ELECTRÓNICA Y PROTECCION DE DATOS EN CLAVE RELACIONAL JURÍDICO-PÚBLICA

La Administración electrónica (también conocida quizás con matices más amplios y ambiciosos como e-Gobernanza) cubre un amplio campo de aplicaciones, entre las cuales, y sin ánimo de ser exhaustivos, podemos referir algunos ejemplos. El primero comprendería las relaciones de los usuarios con las entidades públicas fuera de sus dependencias presenciales al uso. Otro vendría deparado por la contribución de las Administraciones a la animación del debate público, y la consiguiente participación ciudadana, especialmente mediante la difusión de datos públicos esenciales mediante foros públicos, consultas en línea, y más ampliamente, los nuevos mecanismos de consulta a los ciudadanos. Por añadidura vendría al menos un tercer grupo de aspectos esenciales, identificado con las relaciones entre empresas privadas y corporaciones de naturaleza públicas.

Lo cierto es que tan pronto como la Administración electrónica proporcionó a los usuarios servicios tangibles, y que éstos a su vez han percibido como ventajas reales, otra cuestión, la de igualdad de acceso a los beneficios de la e- Gobernanza, emerge cada vez más agudamente. Tales circunstancias son las identificadas con la consabida brecha digital, por la cual la Administración electrónica parece quedar reservada únicamente a personas u hogares tecnológicamente equipados y conectados a internet. Caso de no disponerse de tales medios o habilidades otras soluciones han venido descartándose, tales como el acceso generalizado desde terminales interactivos en edificios administrativos o puntos de acceso público, bien desde cualquier mostrador o con la ayuda de un mediador. Dichas exclusiones son suplidas por la denodada entrega de ciertos servicios asistenciales, especialmente Trabajadores Sociales y Voluntarios, así como con arreglo al recurso intergeneracional deparado por los más jóvenes hacia los más mayores o menos tecnificados. Por lo tanto, un primer problema que debe resolver el de la e-Gobernanza es el de su eventual carácter discriminatorio o excluyente. Pero no es el único. Una vez garantizada la igualdad de acceso, quedaban otros muchos retos, que fueron desvelándose conforme avanzaba la implantación de la e-Gobernanza en el continente europeo.

Efectivamente, desde el comienzo del presente siglo todos los países de la Unión fueron poniendo en marcha programas más o menos ambiciosos. Ya en la lejana fecha de junio de 2000, los Jefes de Estado y de Gobierno adoptaron en el Consejo Europeo de Santa María da Feira el denominado “Plan de Acción e-Europa 2002”. Dicha iniciativa dedicaba un capítulo a la Administración electrónica, en virtud del cual se asignaba a las diversas corporaciones públicas de los Estados miembros diversos conjuntos de objetivos a alcanzar, junto con un calendario. Desde entonces, los Directores Generales encargados de la Función Pública de los Estados miembros de la Unión Europea se han venido reuniendo con regularidad para abordar este tipo de cuestiones. En etapas posteriores se procedió principalmente a examinar temas de interés común; aquí se han tocado cuestiones como la identificación electrónica o firma electrónica, las relaciones concernientes a la protección de datos de los europeos con respecto a autoridades de países terceros, etc.) Igualmente se procedió a calibrar los logros alcanzados en clave de mejorar las prácticas de la e-Gobernanza. Aun hoy se considera necesario ir mucho más allá del mero intercambio de puntos de vista para pasar a mecanismos de consulta real entre las Administraciones europeas, lo que pasa por su intercambiabilidad. Pero no es menos cierto que nos enfrentamos con todo este proceso al riesgo tangible derivado del hecho de que la tecnificación aliente tentaciones experimentadas por esos mismos poderes públicos encuadrados en tal e-Gobernanza global, y que podrían abocar a un manejo irresponsable o manipulador de los datos de los ciudadanos. E igualmente se produce el problema inverso, determinado por la enorme dificultad que para unas Administraciones estatales de base territorial supone dar respuesta a una cuestión como la del tratamiento de datos en un medio como internet, que es sustancialmente transnacional. Sobre estas inquietudes expresadas por los justiciables europeos, y las inexcusables garantías jurídicas que aquéllas suscitan, es como significativamente emerge cierta jurisprudencia del Tribunal de Justicia de la UE tocante a salvaguarda de datos personales en el entorno telemático, concretamente en lo concerniente a su trato por las Administraciones nacionales, y también de la UE, versa la presente aportación. Esta inquietud, que reflejamos y ponemos al día en la presente aportación, ya vino expresada por ciertos autores desde los primeros avances de las entonces nuevas tecnologías telemáticas, muy con concreto por las preocupantes resultas que de aquéllas se derivaban para la privacidad de datos. En concreto, se trataría de Problemas derivados de la misma naturaleza de la red, como la aplicación de una ley nacional a un fenómeno esencialmente transfronterizo o incluso la dificultad de conocer la verdadera identidad de los intermediarios, debido a la abstracción de los intercambios, posibilidades de alias y otros signos virtuales susceptibles de ocupar la verdadera personalidad de quién está al otro lado de una terminal (Andrieu; 2000, p. 155).

Consecuentemente, un especial interés suscita conocer (en el ámbito de las relaciones de los ciudadanos, y en cuanto a usuarios que somos de las tecnologías con respecto a las Administraciones) dónde exactamente han de centrarse las principales preocupaciones en materia de privacidad, protección de datos personales y gestión de la identidad. Se volvió necesario garantizar, en particular para los datos o aspectos más sensibles o más confidenciales, que solo la persona interesada pudiese manejarlos y realizar sus trámites en una relación protegida con respecto a las Administraciones públicas, y que éstas por su parte, respondiesen con un tratamiento que respetase idéntico nivel de confidencialidad. A estos efectos se entendió necesario codificar y asegurar los modos de acceso, así como repensar los sistemas de identificación y autenticación. Se tomó una cierta conciencia consistente en equilibrar la facilidad de uso, la ergonomía de los métodos de identificación y los niveles de seguridad. La introducción de la Administración electrónica debería en todo caso permitir a los ciudadanos guardar el control sobre sus datos personales. En este sentido, podría posibilitarse un ejercicio en línea, e incluso en tiempo real, de los derechos de acceso y rectificación de los datos que la Administración tiene sobre los ciudadanos.

La marcha hacia la e-Gobernanza y sus consecuencias se han podido observar comparativamente en todos los países de la OCDE. Las Tecnologías de la Información y Comunicación (TIC), también denominadas Nuevas Tecnologías (NN TT), han aportado mucho a la vida cotidiana, incluidas las relaciones jurídico públicas; pero también han creado no poca alarma social en cuanto a sus potencialidades negativas en caso de un empleo no idóneo. Cierto es que los puestos administrativos están cubiertos por seres humanos corrientes, y en cuanto tales, no son ni infalibles ni inmunes a toda circunstancia que ponga a prueba su virtud y probidad. Cuenta el viejo proverbio que no existe mejor prédica que el ejemplo; en consecuencia, y por lo que atañe a una cuestión tan controvertida como la protección de los datos personales a través del medio telemático, deberán ser pues las Administraciones públicas las que, en su manejo, deberán ostentar los índices de mayor transparencia y salvaguarda con respecto a los ciudadanos. La preocupación por la privacidad, correlativamente a la proliferación de datos que circulan de forma mucho más fluida, también se está trasladando de las entidades públicas a las empresas.

Un primer hito significativo fue deparado por la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos reflejó en su momento esta nueva percepción de los riesgos. En aquellas fechas, algunos autores (Guadamuz; 2000, p. 3), propusieron inclusive el término Habeas Data rememorando el tradicional Habeas Corpus en lo tocante a la necesidad de mantener la privacidad de su titular en las relaciones informáticas, preocupándose muy especialmente en recalcar que el sistema europeo de protección de datos imponía una carga al resto del mundo al imponer restricciones a la transferencia de datos a países que no cuentan con ningún tipo de protección de la privacidad.

La tendencia en la UE se vio consolidada por la aprobación del actual Reglamento 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (y que denominaremos a partir de ahora RPD). La literatura científica sobre este instrumento es inmensa, destacando tal vez por sus mayores preocupaciones en el terreno de su impacto en el entorno internet y de cara a las Administraciones públicas, especialmente en lo que atañe a su proceso de elaboración, y al modo en que el Legislador europeo muestra con cierto orgullo la experiencia de aprendizaje recibida a lo largo de las casi dos décadas que median entre ambos instrumentos (Brunet; 2016, p. 567).

Desde el prisma de la técnica legislativa se confirma una vez más el proceso de paulatina sustitución en la construcción jurídica europea del instrumento de la Directiva, característico del S. XX, por el del Reglamento en el presente S. XXI. A lo largo del presente estudio podremos calibrar hasta qué punto dichas normativas, como apuesta europea en la materia (y en contraposición a la filosofía de otras partes del mundo, concretamente EE UU, por no hablar de la policía informática exhaustiva existente en la R. P. De China), tienen mucho que aportar en las relaciones entre la Administración electrónica y los ciudadanos, existiendo ya al respecto una no muy abundante, pero sí significativa aportación jurisprudencial a cargo del Tribunal con sede en Luxemburgo.

La gran cuestión inicial versa en concreto hacia qué clase de Administración electrónica se está tendiendo como meta deseable. La idea generalmente compartida es que acabasen siendo realizables únicamente en línea, como así ha sido finalmente, todos los trámites administrativos para personas físicas, asociaciones y empresas, así como el pago de impuestos y seguridad social, entre otros. El objetivo habría sido el de garantizar gradualmente que cada usuario se beneficiase de las TIC en las transacciones con los servicios públicos, y consiguientemente pudiese, (superadas todas las discriminaciones propias de la brecha digital), acceder de forma sencilla y rápida a toda la información y ayuda personalizada sobre servicios públicos y trámites administrativos. Ello incluiría muy especialmente el seguimiento de sus archivos, la definición de calendarios provisionales personalizados, la recepción de recordatorios por correo electrónico el acceso a todos sus trámites anteriores, así como almacenar en línea (a plena discreción y con total seguridad), los resultados desmaterializados resultantes de estos. También podrían los ciudadanos ejercer en línea su derecho de acceso a sus datos personales de los que disponga toda entidad pública, para en su caso, estar al corriente de toda modificación que se produzca con arreglo a toda información que le concierna, y que se halle en poder, o resulte intercambiada entre las diversas Administraciones cuando interactúen con relación a unos mismos ciudadanos.

La e-Gobernanza, en aplicación de todos los deseos o metas acabados de expresar, se construiría a partir de una serie de mecanismos técnicos que, no sólo habrían de dar la talla en términos de mera operatividad técnica, sino además ser capaces de propiciar unas garantías básicas, como serían las de una identidad fehaciente de los ciudadanos o administrados, así como la de un acceso generalizado sin discriminaciones y en salvaguarda de la intimidad representada en sus datos personales. Serían pues unos requisitos técnicos, debidamente fiscalizados (sin exceso ni defecto) respecto de la normativa europea de protección de datos, en lo que atañe al vínculo entre la Administración electrónica y los e-gobernados.

II. CUESTIONES ESPECIALMENTE DEBATIDAS EN MATERIA DE ADMINISTRACIÓN ELECTRÓNICA Y PROTECCIÓN DE DATOS

Toda esta realidad trata de dar respuestas a una serie de inquietantes cuestiones de base, que están en el centro de la implantación y consolidación de la Administración electrónica y sus límites respecto a la salvaguarda de los datos personales del usuario o administrado. Una cosa es desear aspectos como eficacia y prontitud en los servicios, y otra bien distinta asumir hasta qué limites o riesgos son asumibles en todo este proceso. Corresponde pues al Legislador establecer una normativa que asegure el equilibrio. Y en ese debate a la hora de legislar aparecen toda una serie de cuestiones, las cuales son objeto de vivos debates, y que, como veremos, determinan unas pautas diferentes en cuanto a su tratamiento y respuesta según nos ubiquemos a una u otra orilla del Atlántico.

2.1. El debate sobre la propiedad por parte de los administrados de los datos que les conciernen y que son manejados por las Administraciones

Mientras que la legalidad en materia de protección de datos otorga a las personas unos derechos de acceso, comunicación, rectificación y oposición a sus datos, que a decir verdad en gran parte siguen aún siendo relativamente teóricos, la realidad de la sociedad de la información contempla la recogida y venta de datos con fines comerciales, hasta el punto de que el principal derecho a los datos a veces parecen ser un derecho de propiedad. De prevalecer tal análisis, los cauces de la actividad administrativa online y su régimen de control podrían sufrir determinados efectos de parálisis o confusión. De hecho, esto justificaría un enfoque contractual del control de los individuos sobre sus datos, y pondría en entredicho el control ejercido sobre el tratamiento administrativo, que es protector pero también restrictivo para los usuarios y para las corporaciones públicas. Es por esto que debemos preguntarnos cómo se deben analizar jurídicamente los derechos de los usuarios sobre sus datos.

Es tentador a primera vista considerar a las personas como titulares de un derecho real de propiedad sobre sus datos. Efectivamente, aparece enormemente extendida la convicción según la cual, con arreglo a los modelos económicos implantados desde la web en el entorno de los negocios privados, las personas ceden o “venden” sus datos personales, en particular a cambio de servicios gratuitos. Y es cierto que si se debe reconocer un derecho de propiedad sobre los datos personales, este derecho de propiedad debe conferirse más bien a la persona a la que conciernen los datos que al titular de la base de datos. Esta es una excepción al principio de que la información pertenece a la persona que la recopila o formula. En efecto, los datos personales que las Administraciones pueden tener sobre los usuarios (nombre, fecha de nacimiento, domicilio, situación familiar, incluso base imponible o contenido de los antecedentes penales) son datos objetivos, que las corporaciones públicas se limitan a registrar sin añadir una apreciación subjetiva que justificaría una apropiación por su parte. Si existe un derecho de propiedad sobre los datos personales, por lo tanto, solo puede ser el de la persona interesada.

En cualquier estado de causa, argumentos serios llevan a rechazar esta idea de un derecho de propiedad sobre los datos personales. Los datos personales en su contexto telemático, que se basan en una base objetiva, no pueden ser modificados a voluntad por el interesado, salvo, por supuesto, que la modificación de los datos corresponda a una modificación en la situación objetiva correspondiente (domicilio, nombre, etc.). Para un derecho real de dominio ha de existir necesariamente un elemento de libre disposición de la propiedad. No obstante, en la etapa de su formulación, estos datos no son más obra del interesado que de la Administración. Así las cosas, semejante formulación depende de la Ley, o bien se adjunta automáticamente a los actos del sujeto (adquisiciones de bienes inmuebles, estado de cuentas bancarias, etc.). Además, la idea de un derecho de propiedad no es en la que sirve de base a la legislación sobre tratamiento de datos y libertades, la cual aparece mucho más centrada en una perspectiva de protección de las libertades. Este enfoque estaría mucho más cerca de un enfoque estadounidense que europeo, en donde no acaba de cerrarse el sempiterno debate, según el cual, los datos personales pueden asimilarse a un derecho de propiedad susceptible de compraventa. En Europa sin embargo los datos se identifican con derechos humanos, los cuales nunca pueden ser objeto de transacciones. Probablemente la óptica europea tampoco llegue a servir para prohibir aquellas prácticas consistentes en remunerar el tiempo que las personas dedican a comunicar la información que interesa a los administradores de bases de datos. Pero esto prohíbe que la comunicación de datos sea considerada como la transferencia de un derecho de propiedad sobre ellos. Consecuentemente la transferencia a la Administración de datos personales no es puramente discrecional y no puede analizarse desde una perspectiva contractual. Puede imponerse como requisito de la comunidad para hacer posible la vida en común, en una lógica similar a la que está en la base de la tributación.

Con todo, el análisis más riguroso parece conducir, por tanto, a analizar los datos personales no en términos de derechos patrimoniales sino en términos de atributos de personalidad. Debe pues estimarse que, si bien el titular de los datos no es el autor de la información, en el sentido de formato, es el legítimo poseedor de sus elementos. Su vínculo con el individuo es demasiado estrecho para que no sea de otro modo. Cuando el sujeto de los datos es un sujeto de derecho, la información es un atributo de personalidad. Este carácter de atributo de personalidad implica que la comunicación de la información debe derivar o del consentimiento del interesado o de obligaciones legislativas o reglamentarias. Y más allá del debate doctrinario, todo el reto que atañe a la protección de los datos personales de los ciudadanos respecto a la e-Gobernanza consiste entonces en garantizar las condiciones suficientes para que las personas controlen estos datos, reconociendo su derecho real a determinar el uso que debe hacerse de los datos personales en posesión de las Administraciones. Es la puesta en práctica de la teoría de la autodeterminación informacional, por la cual el tribunal constitucional federal alemán proclamó el derecho del individuo a decidir sobre la comunicación y uso de la información relativa a su persona.

2.2. El debate acerca de los límites a los que debe sujetarse el principio de control de los datos personales en la implementación de la e-Gobernanza

El principio de control de los datos personales no puede ser absoluto, y toda pretensión encaminada hacia tal concepción ha de desestimarse como alejada de la realidad. En todo caso la potestad de supervisión habría de ejercerse, por lo que concierne a tan compleja zona de apreciación, en aquellos casos o situaciones en los que la decisión de comunicar o no determinados datos personales, de autorizar su transmisión de una Administración a otra puede dejarse ventajosamente a la iniciativa personal. En semejante zona de laxitud, correspondería a cada persona decidir libremente, según las ventajas que espera o los riesgos que teme, comunicar o no sus datos, lo que incluye asimismo la opción de autorizar o no a la Administración que posee los datos que le conciernen para que los transmita a otra corporación pública, o inclusive a terceros ajenos al marco jurídico público. El principio de control de los datos personales no puede impedir la consecución de fines de interés público o que tengan carácter obligatorio: determinados procedimientos, formularios o recogidas de información por parte del Estado tienen carácter obligatorio. Y de otro tanto, la difusión incondicionada de datos estaría también limitada por las reglas genéricas que estarían de aplicar las oficinas generales supervisoras en la materia de protección de datos designadas por los Estados miembros, destinadas a proteger a las personas, en particular a las más vulnerables, contra la excesiva intromisión de los entes públicos respecto de los ciudadanos.

Desde luego el control sobre datos personales ha de ser un ámbito necesario, pero que debe enriquecerse y detallarse. Debemos considerar que, para salvaguardar la privacidad, todo sistema regulado de protección de datos debe obedecer a un doble enfoque: por un lado, un marco de “arriba hacia abajo”, con esquemas de autorización proporcionada por los organismos supervisores específicos, destinados a la creación de archivos administrativos, y por otro lado, que se posibiliten derechos reconocidos a los usuarios para un control “de abajo hacia arriba”, con el fin de verificar la licitud del tratamiento y la veracidad de los datos (derechos de acceso, comunicación, rectificación y oposición). En la práctica, es el primer enfoque el que mayoritariamente ha prevalecido. En efecto, el tratamiento de datos se examina rigurosamente en la fase de su creación, pero, y esto es quizás una muestra de confianza en este control, el ejercicio directo de sus derechos por parte de los usuarios se ha mantenido en gran medida teórico. Ello ha determinado pues que los derechos de acceso, comunicación y rectificación se hayan extendido como una potestad irrenunciable del ciudadano en cuanto a administrado telemático. Con el desarrollo de la Administración en línea, ha resultado posible enriquecer estos derechos de los ciudadanos, de modo que permitan un control real de los datos por parte de las personas. Dicho control ha venido significando para los usuarios un acceso real en línea a los sistemas que contienen datos sobre ellos, no solo para verificar su exactitud, sino también para obtener su comunicación en forma digital. Por ejemplo, tal como la cuestión está configurada actualmente, si el acceso y la comunicación por ejemplo de los expedientes de los titulados universitarios tiene como único fin comprobar su exactitud, un derecho de comunicación permitiría a este titulado obtener una copia digital de su título para adjuntar a su currículum. o registrarse en línea para una competencia administrativa. Es pues la operatividad creativa del ciudadano frente a las e-Administradores una fuente inagotable tanto de nuevos retos como de innovaciones relacionales entre unos y otros.

En consecuencia, se trata sólo de una transposición a la sociedad de la información de la práctica de comunicar documentos justificativos. Por lo tanto, si el objetivo ya es perceptible, quedan por definir los métodos de su implementación. Se trata de que este derecho de disposición de los datos, que por su naturaleza implica un consentimiento del interesado ejercido por éste, que aleja ya de toda idea de coacción o de procedencia de consentimiento extorsionado propiciado desde los poderes públicos. Si se trata de una autorización otorgada a una Administración para que otra comunique información, semejante aquiescencia debe ser precisamente delimitada, revocable y ejercida bajo el control de organismos independientes en materia de protección de datos. Aun quedando muchas dudas irresueltas, resulta no obstante concebible que puedan surgir nuevos equilibrios que permitan un control real de las personas sobre sus datos los cuales, lejos de atenuar los controles existentes, pueden ser un cauce susceptible para que les sean reconocidos nuevos derechos.

Tampoco la e-Gobernanza debe pretender, ni puede tener como resultado, permitir a la Administración aumentar el nivel de control y vigilancia de los ciudadanos. El desarrollo de una potestad pública electrónica plena no debería tener por objeto recabar nuevas informaciones sobre los usuarios de manera continuada. El reto consiste, por el contrario, en dar acceso a los usuarios a los datos que les conciernen y que actualmente existen en los sistemas de información de las Administraciones. Todos estos servicios en ningún aumentar así el conocimiento que aquéllas tienen sobre el usuario. Por otro lado, tampoco es menos cierto que aumentan el conocimiento que el propio usuario tiene de lo que le preocupa respecto de la actividad que sobre él ejercen los poderes públicos, mejorando así su autonomía y su capacidad de acción.

Llegados a este punto cabe interrogarnos acerca de si podría hacerse plenamente operativo el principio según el cual todo acceso o modificación de datos personales relativos a un usuario en bases de datos públicas debe dar lugar a una notificación. La reforma de los sistemas de información permite hacer efectivo el derecho a la información. Los ciudadanos deben tener plena visibilidad de la gestión de la información que les concierne por parte de la Administración. De este modo, el ciudadano debería estar en condición de responder a cierta clase de preguntas cuando le asaltan ciertas dudas acerca del tratamiento de su intimidad y datos en el curso de la e-Gobernanza: ¿Quién consultó qué cosa? ¿Cuándo se hizo, y cuáles fueron los motivos para tal consulta? ¿Quién duplicó qué informaciones, cuándo y con qué propósito? ¿Quién modificó la información, en qué fecha, por qué razones y cuáles son las consecuencias dentro de la Administración competente y dentro de las Administraciones usuarias? La Administración tendría a renglón seguido la obligación de informar al ciudadano de estas modificaciones. Cabría plantearse que esta obligación de notificación reviste perfiles diferenciados según el grado de sensibilidad de los datos en cuestión, o incluso según el “ciclo de vida útil” de los datos. A decir verdad, ciertos datos se modifican con frecuencia mientras que otros están inactivos en los sistemas. de información. Es posible prever la obligación de notificar cada modificación. Esta notificación también puede ser mensual o anual. Entonces tomaría el carácter de una “evaluación informativa”. Esta notificación permitiría ejercer el derecho de rectificación, si el usuario encuentra que la modificación ha inducido a error.

III. SUCINTA APROXIMACION A LOS SISTEMAS LEGALES COMPARADOS; CONTRASTE ENTRE ESTADOS UNIDOS
Y LA UNIÓN EUROPEA

En los entornos tecnológicamente más avanzados y libres, como son Estados Unidos y la Unión Europea, las claves se plantean en términos del grado de complementariedad que debe existir entre la ley y la tecnología en la protección de la privacidad en el medio telemático. Se hace omisión de aquellos países carentes de un régimen libertades homologable, en los que (como sucede actualmente en la R. P. China), la privacidad ciudadana prácticamente no existe, siendo precisamente la tecnología el medio característicamente más empleado por el poder político para fiscalizar hasta límites intolerables áreas que deben quedar reservadas a la intimidad y libertades de los ciudadanos. Casi desde los inicios de las TIC muy pronto surgió la idea de que aquéllas, lejos de ser una vía de intromisión de los poderes hacia los ciudadanos (como también lo ha sido) podrían por el contrario ser la mejor defensa frente a la curiosidad de las fuerzas de orden público y demás poderes del Estado, así como de cara a los más poderosos agentes económicos. Fue por supuesto en los Estados Unidos, donde en ausencia de un marco verdaderamente protector, tomó forma esta perspectiva de protección a través de la tecnología. Esta acepción combina dos características sobresalientes de la civilización estadounidense cuales son la fe tanto en la tecnología como en la responsabilidad individual (todo el mundo tiene un derecho de autoprotección). En esta búsqueda de tecnologías de protección de la privacidad, sin duda resultaba necesario distinguir entre aquellas cuyo uso depende directamente del usuario (criptografía), aquellas otras que son implementadas por proveedores de servicios especializados (como son aquellos que ofrecen garantizar un sano anonimato que salvaguarde la intimidad de los usuarios de cara al mundo telemático), y finalmente aquellas que formarían parte de la arquitectura de redes y sistemas. Se buscaron así nuevos principios como los relacionados con consentimiento hacia la disposición de datos personales, pero basados no en la legislación, sino en tecnologías accesibles y manejables por los usuarios. Tal es el ejemplo del conocido como estándar P3P, que permite a los usuarios de internet reconocer automáticamente la política de protección de datos del sitio cuando se conectan a un sitio. De la protección “individual” o “de mercado” (encomendada a los proveedores de servicios), se habría pasado, con el citado P3P, a una forma de protección colectiva. Por lo tanto, al otro lado del Atlántico ha venido existiendo un interés creciente en la idea de que los principios de privacidad deben incorporarse a la arquitectura de los sistemas técnicos como un código de conducta cuyos modos de empleo han de estar en todo caso en los ciudadanos. Para los juristas estadounidenses que teorizan alrededor de este enfoque consistente en incorporar el derecho a la tecnología (la tecnología hace que el derecho sea exigible), corresponde al debate público y, en última instancia, a la autoridad política, establecer objetivos; será pues la labor de los ingenieros de programación y de las empresas para traducir estos objetivos en la operación de las redes.

El modo americano se tradujo en su momento en una fuerte tentación de optar por la concepción americana de protección individual (protegerse a sí mismo) frente a la concepción europea de protección por el Derecho legislado y más estandarizado en lo que competía a la protección de datos en el medio telemático, inclusive en las relaciones entre las Administraciones y los ciudadanos. Por ejemplo, durante el debate en Alemania sobre la transposición de la Directiva de protección de datos de 1995, con internet cada vez más adentrado en la vida de los ciudadanos, la llamada escuela de la “modernización ofensiva” (a la que pertenecían los comisionados federales y estatales de protección de datos) pretendía propiciar una reforma sustancial de la legislación alemana, con vistas a mejorar la protección previstas actualmente en su legislación. Esta misma escuela reivindicó la libertad de la criptografía, alegando que cada vez será más responsabilidad de los ciudadanos protegerse mediante el uso de software de criptografía. Sin embargo, estas pulsiones parecen en Europa, al menos por el momento, ampliamente conjuradas o en declive. En concreto en lo que afecta a la UE, como super-Administración pública que ejerce sus competencias decisorias en el territorio de sus Estados miembros (de cara por supuesto a todas sus instancias administrativas y gubernativas, e inclusive con pretensiones de extender sus prerrogativas por lo que afecta al exterior, cuando son intereses de ciudadanos europeos los que resultan afectados) quedaba asumido que se debería contar con una normativa suficiente para tan trascendental misión, y hacerla cumplir de cara a las autoridades nacionales y, como no, respecto a sí misma. Ello ha sido el elemento originario de toda esa preocupación posterior, la cual habría constituido (en teoría) una prioridad irrenunciable para las autoridades tanto de la propia UE como de sus Estados miembros, matices estos que se preocupa en recalcar cierta doctrina especializada ya citada, no sin cierto escepticismo en cuanto a la coherencia entre intenciones iniciales y resultados efectivamente alcanzados (Brunet; 2019, p. 117).

IV. LÍNEAS RECTORAS DE LA NORMATIVA DE LA UNIÓN EUROPEA EN MATERIA DE PROTECCIÓN DE DATOS Y SU APLICACIÓN A LA ADMINISTRACIÓN ELECTRÓNICA

El estilo finalmente triunfador entre nosotros fue obviamente, el de origen netamente europeo, es decir, de confiar la tutela a procedimientos legales y con supervisión judicial en vez de que los administrados fueran ellos los que se autodefendiesen con instrumentos tecnológicos adecuados. Pero ello no quiere decir que el entramado legislativo en su aplicación a las relaciones con los e-administrados, estuviese carente de problemas concretos muy acuciantes, fruto precisamente de este prurito garantista. Cierto es que, desde el plano normativo desarrollado por las instituciones europeas, las cuestiones de la protección de datos revistieron, siempre en este estilo à l’européenne, un especial interés, a caballo de dos disposiciones trascendentales, que si bien no exclusivas del ámbito telemático, han deparado respecto de dicho entorno un trascendental impacto. Tales fueron inicialmente la Directiva de 1995 de Protección de Datos, la cual resultaría reemplazada por el vigente RPD. A tenor de lo acabado de afirmar, conviene partir del elemento central de la norma europea actual, esto es, del concepto de dato personal. De conformidad con el art. 4.1 del RPD, se define dato personal como cualquier información relativa a una persona física identificada o identificable (esto es, cada interesado); el citado instrumento especifica además que la persona física que puede ser identificada, directa o indirectamente, con especial referencia a un identificador como el nombre, un número, se considera identificable la identificación, los datos de ubicación, un identificador en línea o uno o más elementos característicos de su identidad física, fisiológica, genética, psíquica, económica, cultural o social. Cabe señalar que esta lista es meramente un ejemplo y no es exhaustiva. Además, se presta especial atención a los datos obtenidos mediante identificación tecnológica incluyendo la localización a través de la I.P. A ello hay que sumar el particular cuidado en relación con los datos genéticos, biométricos y de salud. Estos datos junto con los datos fiscales, judiciales o cualesquiera otro de índole pública generados en desde las diversas Administraciones se incluyen íntegramente en los datos personales particulares.

Un segundo concepto esencial es el de tratamiento de datos. El RPD define el concepto de tratamiento de cualquier operación o conjunto de operaciones, realizadas con o sin la ayuda de procesos automatizados y aplicadas a datos personales o conjuntos de datos personales, tales como la recolección, registro, organización, estructuración, almacenamiento, adaptación o modificación, extracción, consulta, uso, comunicación por transmisión, difusión o cualquier otra forma de puesta a disposición, comparación o interconexión, limitación, cancelación o destrucción. Fundamental es el concepto de elaboración de perfiles, que se define como cualquier forma de tratamiento automatizado de datos personales consistente en la utilización de dichos datos personales para evaluar determinados aspectos personales relativos a una persona física, en particular para analizar o predecir aspectos relativos al desempeño profesional, la situación económica, salud, preferencias personales, intereses, confiabilidad, comportamiento, ubicación o viaje de esa persona con entidad natural. A la luz de la definición anterior, una cadena de tiendas que adquiere información o realiza acciones para comprender mejor los intereses, preferencias, lugares frecuentados o posibilidades de gasto de una persona está realizando una actividad de elaboración de perfiles. A nadie le es extraño que las Administraciones son las primeras entidades que, con la excusa de mejor ajustar el buen gobierno y aplicar por ejemplo las mejores políticas presupuestarias, elaboran amplios y detallados perfiles estadísticos entre las diversas clases de administrados. Este aspecto es puesto de relieve de entrada en la Exposición de Motivos del RPD, la cual aborda la cuestión del interés público en lo concerniente al tratamiento de datos1[1]. A mayor abundamiento, tal especificidad también es evidente en el tratamiento de datos sensibles. El principio de prohibición de tratamiento de tales datos, establecido en el art. 9.1 del RPD, encuentra muchas excepciones en el 9.2. Ya en el ámbito de la cooperación policial y judicial, donde el consentimiento de la persona tiende a ceder completamente el paso al único control de legalidad y proporcionalidad por parte de la autoridad pública (Gambardella; 2017, p. 63). En conclusión, la creación de un derecho de protección de datos para el tratamiento de los datos necesarios para el ejercicio de las prerrogativas del poder público podrá por tanto, fomentar la aparición de características específicas y reglas ajustadas. Por lo tanto, hay mucho en juego porque según las normas jurídicas aplicables a los derechos concedidos a los particulares variarán. El riesgo de tal especificidad es entonces, al dejar de ser materia de derecho de la Unión y la conformidad que implica, excluir todo un régimen jurídico de protección de los derechos fundamentales (Gambardella; 2017, p. 65).

Por lo tanto, es una relación jurídico administrativa la que se construye con respecto al tratamiento de datos cuando hay por un lado poderes públicos y por otro administrados, matices que, como veremos posteriormente, la jurisprudencia comunitaria ha tenido la ocasión de precisar [2]. En dicho modo relacional de naturaleza pública el ciudadano figuraría como presunto titular de sus datos (aspecto que como veremos en su momento, no está ni tan claro ni tan asumido), mientras que cada Administración concernida quedaría como responsable del tratamiento de esos datos. Tal relación debería en principio basarse, de acuerdo con el RPD, con arreglo a un principio de consentimiento en el tratamiento, expresado por dicho ciudadano, dado que un aspecto crucial en el tratamiento de datos personales es, precisamente, el relativo al consentimiento para dicho tratamiento. Es por tanto necesario obtener el consentimiento de la persona para procesar sus datos. Si alguna entidad dispone de datos para los que no se ha prestado o solicitado previamente el consentimiento, será conveniente que contacte con el interesado y le pida dicha conformidad de forma expresa. En su art. 7.2 el RPD especifica a continuación que si el consentimiento del interesado se da en el marco de una declaración escrita que también se refiere a otras cuestiones, la solicitud de consentimiento se presenta de forma claramente diferenciable de los demás aspectos envueltos, de forma comprensible y de fácil acceso, utilizando un lenguaje sencillo y claro. Lo que sucede es que este aspecto suele cada vez más automatizarse por mecanismos de click wrapping, como el de aceptación de cookies del sitio, en los cuales se juega a menudo con el acto reflejo y no debidamente meditado por el usuario o administrado. Lo deseable tratándose de una relación jurídico-pública que ha de ser transparente sería que fuese imprescindible solicitar al usuario el consentimiento expreso para el tratamiento de datos en una pantalla específica del sitio web, posiblemente mediante la inserción de un botón independiente, sin confundirlo, ni insertarlo, con otros elementos diferentes. Si los datos han sido adquiridos previamente, solicitar de nuevo el consentimiento para el tratamiento. También será conveniente revisar la información facilitada al usuario sobre el uso de los datos ya que el responsable del tratamiento está obligado a indicar de forma clara y expresa para qué finalidades tratará los datos. En todo caso, y como contrapunto a lo acabado de afirmar, es también en la Exposición de Motivos del RPD donde hallamos menciones a ciertos casos o facetas particularmente sensibles con respecto de la actividad administrativa, en las cuales debe haber una óptica de salvaguardia del interés general frente al otro bien jurídicamente protegido de la intimidad, y por añadidura, del consentimiento prestado por parte de los sujetos particulares afectados[3].

El tratamiento de datos debe reportar una conciencia de responsabilidad para aquel que verifica el tratamiento, lo cual implica a su vez dos nociones, la del principio de responsabilidad en el tratamiento y la del titular de dicha responsabilidad, esto es, el responsable del tratamiento. La conformación del principio de responsabilidad constituye una de las novedades más importantes del RPD. Sobre la base de este principio, el controlador de datos, o la persona que adquiere los datos del usuario, implementa medidas técnicas y organizativas adecuadas para garantizar y poder demostrar que el procesamiento se lleva a cabo de conformidad con el instrumento normativo europeo que ahora nos ocupa (art. 24.1). También es la persona responsable de garantizar y comprobar el cumplimiento de los principios relativos al tratamiento de datos personales, establecidos en el art. 5.1 (por ejemplo, licitud, corrección y transparencia, imitación de finalidad, minimización de datos, etc.).

Por su parte el art. 4.7 del RPD define al responsable o encargado del tratamiento como cualquier persona física o jurídica, autoridad pública, servicio u otro organismo que, individualmente o junto con otros, determine los fines y medios del tratamiento de datos personales; cuando los fines y medios de dicho tratamiento estén determinados por el Derecho de la Unión o de los Estados miembros, el responsable del tratamiento o los criterios específicos aplicables a su designación podrán ser establecidos por el Derecho de la Unión o de los Estados miembros. El RPD apoya al controlador de datos, al procesador de datos o a la persona física o jurídica, autoridad pública, servicio u otro organismo que procese datos personales en nombre del procesador de datos, así como también establece la posibilidad, siempre con el debido control, que se puedan estipular acuerdos puntuales y específicos en relación con el tratamiento de datos entre cada controlador de datos (la empresa o entidad pública titular del tratamiento) que pretenda externalizar el tratamiento de datos personales, y el encargado del tratamiento (el proveedor de servicios externalizados, ya sea un outsourcer tradicional o un proveedor de servicios en la nube). A mayor abundamiento, el art. 28.3, del RPD establece que el contrato vinculante para el responsable del tratamiento debe prever en particular: a)- la obligación de tratar los datos únicamente de acuerdo con las instrucciones a las que el responsable deba atenerse (y que deberán estar debidamente documentadas y recibidas por aquél), incluso en caso de transferencia de datos fuera de la Unión Europea; b)- la obligación de garantizar que las personas físicas autorizadas para realizar las actividades de tratamiento estén sujetas a obligaciones de confidencialidad, asumidas contractualmente o establecidas por la ley; c)- la obligación de tomar las medidas requeridas de conformidad con el art. 32 del RPD, es decir, las medidas técnicas y organizativas de protección de los datos que se consideren adecuadas para garantizar un nivel de seguridad adecuado al riesgo inherente al tratamiento[4].

Completa el cuadro de personaje implicados en el correcto tratamiento de los datos el Delegado de Protección de Datos o D.P.O., como agente especialmente designado por el responsable del tratamiento para desempeñar funciones específicas en clave de correcto empleo y gestión de los datos. El D.P. O. constituye una figura, parcialmente novedosa y propensa a deparar no poca confusión tras la adopción del RPD[5]. La empresa (y por analogía, el servicio público competente) deberá dotarle de estructuras, medios técnicos y económicos y equipos proporcionales a su cometido. Las funciones del D.P.O. están previstos en los artículos 37 y 39 del RPD y entre los más relevantes se encuentra el deber de informar y asesorar al Responsable del tratamiento y a sus empleados respecto de la legislación de la Unión y de los Estados individuales sobre la materia, verificar la implementación de la citada normativa, actuar como punto de contacto tanto hacia la Autoridad de Privacidad como hacia los usuarios, comunicar su opinión en relación con la evaluación de impacto en la protección de datos. Además, sin estar dentro de las funciones de regulación, puede tener encomendado el registro de las actividades de tratamiento.

V. ANALISIS SISTEMÁTICO DE LA JURISPRUDENCIA DEL TRIBUNAL DE JUSTICIA DE LA UE EN LA MATERIA

Lo interesante es que al respecto disponemos de expresiones en las dos clases de modalidades de cuestiones prejudiciales que existen en el contexto del Derecho europeo, tanto en su variante interpretativa, como con relación a su modalidad de apreciación de validez, y que afectan, según las fechas, tanto a la derogada Directiva de 1995 como al vigente RPD de 2016. Las jurisprudencias anteriores son por lo general aprovechables en el contexto actual, pese a la diferente naturaleza normativa que presentan una y otra expresión del Derecho derivado. A este respecto cierta doctrina reivindica el papel del Juez comunitario como verdadero garante constitucional de los derechos de los administrados frente a las entidades públicas en lo que atañe a la protección de datos con arreglo a la normativa de la UE (Peyrou; 2015, p. 213), elemento que se reivindica como una expresión de un nuevo concepto de seguridad jurídica ligada a las NN TT (Tambou; 2020, p. 43).

Las cuestiones prejudiciales interpretativas responden a una doble problemática, de tal modo:

1. Tenemos desde un extremo casos en los que los particulares que ven limitadas por las Administraciones públicas competentes sus solicitudes de que les sean facilitados sus propios datos personales de los que aquéllas son depositarias. La idea central de todos estos pronunciamientos es que las limitaciones interpuestas por las Administraciones son admisibles, siempre que medie la debida proporcionalidad, nunca con carácter absoluto (criterio a la postre éste jurídicamente indeterminado y que el TJUE dirige al Juez nacional de reenvío) estando presentes ejemplos que afectan tanto a la Directiva[6] como al Reglamento[7]. Destaca en este contexto el refuerzo de la idea, según la cual la I.P. constituye un dato personal de primer orden emn cuanto a los imperativos de su tratamiento informático mediatizado judicialmente (Péronne/ Daoud; 2017, P. 120).
2. Como contraste, hallamos algún ejemplo disperso deparado por algún particular que se opone a las imposiciones que les remiten las autoridades nacionales de facilitar datos personales de terceros, teniendo como elemento dirimente al RPD. Vuelve aquí a imperar un consejo de proporcionalidad dirigido al Juez nacional encargado de entender de la causa[8].

No menos interesantes son los ejemplos recaídos en la variante, mucho menos frecuente de la apreciación de validez, en donde determinadas disposiciones de la propia Unión Europea son puestas en entredicho, para después ser destinadas a ser inaplicadas como inválidas, tras su contraste con respecto de la normativa de protección de datos. Llaman en el contexto electrónico que afecta a las relaciones dos supuestos especialmente llamativos, que se suceden en contextos tanto internos[9] como externos a la propia UE, pero que afectan a ésta y que, por el devenir del tiempo conciernen tanto a la Directiva de 1995 como al actual RPD. Es aquí donde encuentran su ubicación los complejos avatares de las jurisprudencias Schrems I y II del TJUE, sobre la que tan abundantemente se ha escrito poniendo de relieve sus contradicciones y carencias a cargo de la doctrina tanto internacional (Castests-Renard; 2016, p. 88), como española (Uría Gavilán; 2016, p. 261)[10].

Conclusiones

Con la normalización del fenómeno de la Administración electrónica a múltiple nivel, también conocida como e-Gobernanza, las corporaciones de Derecho público han hecho soportar a los usuarios una nueva forma de complejidad administrativa, como así nuevos deberes en cuanto al tratamiento de sus datos, tanto personales como de terceros. El requisito de privacidad está lejos de ser la causa única o central de la complejidad administrativa construida alrededor de una cierta cultura administrativa basada en la desconfianza, que trata a los usuarios como posibles estafadores, y lleva a exigirles montones de documentos y certificados para justificar su situación. El surgimiento de las TIC, debido a que facilitan considerablemente el intercambio de información que hasta ahora era difícil y costoso de organizar, propicia un caldo de cultivo de colisión entre la eficiencia en la gestión, la seguridad colectiva y el mantenimiento de la privacidad e intimidad del ciudadano mismo. Y si bien queda demostrado que no procede considerar a los ciudadanos como propietarios, en el sentido romanista del término, de sus datos telemáticos en lo que atañe al entorno telemático, tampoco deja de ser admisible que, en correlativa muestra de pedagogía o ejemplo, también las Administraciones públicas deben poner su parte para facilitar una imagen respetuosa y responsable con esos mismos datos, en su rol de tratantes de los datos de los Administrados.

Resulta notoria la tarea de determinar los roles que incumben a las diversas Administraciones públicas nacionales de los Estados miembros de la UE, y que con un plus de exigencia serían contemplables desde el actual RPD. En este ámbito, la presencia de una más que incipiente o inicial jurisprudencia por parte del TJUE (que como hemos podido apreciar, oscila desde la idea de equilibrio y proporcionalidad en las cuestiones prejudiciales interpretativas, hasta un alto grado de exigencia en aquellas otras cuestiones prejudiciales en apreciación de validez, que llegan al extremo de anular inclusive Decisiones de la UE), constituye una vez más un elemento consustancial y necesario a este trascendental entorno, que comparte todos los rasgos y elementos característicos del engranaje jurídico comunitario. Siempre con este trasfondo proteccionista de la normativa europea hacia el administrado, si se quiere podemos transigir con que un nuevo pacto, a renegociar, estaría basado en la confianza de la Administración en los usuarios. La llamada E-Gobernanza también podría, en base a su conocimiento de situaciones personales, informar a los usuarios de los derechos que pueden ejercer. Todos estos deseos deben ponerse a la luz de la compleja casuística analizada en los asuntos jurisprudenciales, contando con que el paradigma deparado por la legalidad ya no es de factura nacional, ni siquiera transponiendo en normas nacionales una Directiva como sucedía con la antigua norma de esta especie de 1995, sino que ahora contamos con un instrumento completo y obligatorio en todos sus elementos, el RPD.

BIBLIOGRAFÍA

ANDRIEU, E. (2000) Internet et la protection des données personnelles, Legicom 2000, núm. 21-22. Recuperado el 22 de diciembre de 2022 de https://www.cairn.info/revue-legicom-2000-1-page-155.htm

BRUNET E. (2016), Règlement général sur la protection des données à caractère personnel – Genèse de la réforme et présentation globale, Récueil Dalloz París. pp. 567 y sigs.

BRUNET, E. (2019), Les mécanismes de coopération des autorités de contrôle au sein de l’Union européenne et le Comité européen de la protection des données, Revue de Droit International d’Assas 2019, núm 2, pp. 117- 128. Recuperado el 22 de diciembre de 2022 de https://www.u-paris2. fr/sites/default/files/document/cv_publications/rdia_ndeg2_2019.pdf

CASTETS-RENARD, C. (2016) Invalidation du Safe Harbor par la CJUE: tempête sur la protection des données personnelles aux États-Unis, Recueil Dalloz. Paris, pp. 88 y sigs.

GAMBARDELLA, S. (2017) La protection des données sensibles à l’ère du numérique: regard sur le droit de l’Union Européenne, en KARLSSON-TALEB A., DE DAVID BEAUREGARD-BERTHIER O. Protection des données personnelles et sécurité nationale: quelles garanties juridiques dans l’utilisation du numérique, 1ère édition, Bruylant, Bruselas, pp. 56-134.

GUADAMUZ A. (2000), Habeas Data vs. the European Data Protection Directive, The Journal of Information, Law and Technology, Conventry, Reino Unido, Recuperado el 22 de diciembre de 2022 de https://warwick.ac.uk/fac/soc/law/elj/jilt/2000_2/guadamuz/

PÉRONNE G. y DAOUD, E. (2017) L’adresse IP est bien une donnée à caractère personnel, Recueil Dalloz Paris, pp. 120 y sigs.

PEYROU, S. (2015) La protection des données à caractère personnel: un droit désormais constitutionnalisé et garanti par la CJUE, en La protection des droits fondamentaux dans l’Union européenne, dir. R. Tinière et C. Vial, Bruylant, Bruselas.

TAMBOU, O. (2020) Manuel de droit européen de la protection des données à caractère personnel, Bruylant, Bruselas.

URIA GAVILAN, E. (2016) Derechos fundamentales versus vigilancia masiva Comentario a la sentencia del Tribunal de Justicia (Gran Sala) de 6 de octubre de 2015 en el asunto C-362/14 Schrems, Revista Electrónica de Estudios Internacionales (REEI), Madrid pp. 261-282, Recuperado el 22 de diciembre de 2022 de https://www.cepc.gob.es/sites/default/files/2021-12/37636elisauriagavilanrdce53.pdf

Documentos

La protection des données à caractère personnel dans l’Union européenne: le rôle des autorités nationales chargées de la protection des données Renforcement de l’architecture des droits fondamentaux au sein de l’UE, Edición de 2012. Recuperado el 22 de diciembre de 2022 de https://fra.europa.eu/sites/default/files/tk3109265frc_fr_web.pdf

Manual de legislación europea en materia de protección de datos, Edición de 2018. Recuperado el 22 de diciembre de 2022 de https://fra.europa.eu/sites/default/files/fra_uploads/fra-coe-edps-2018-handbook-data-protection_es.pdf.

---