Articles Tagged with: privacidad
El Reglamento Europeo de Protección de Datos y las medidas de seguridad: ¿autorregulación, desregulación o abandono?

Sobre el nuevo Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, Reglamento Europeo de Protección de Datos para entendernos, se han vertido ya ríos de tinta, especialmente en las cuestiones más o menos novedosas relativas a la regulación del consentimiento, la privacidad por diseño y por defecto, los nuevos derechos, como la portabilidad de datos, o la figura del delegado de protección de datos.

Si bien es cierto que estas cuestiones tienen gran trascendencia (unas más que otras), se echa de menos literatura jurídica sobre un aspecto clave para el éxito o el fracaso en la garantía de los derechos de los titulares de los datos. Nos referimos a las normas relativas a la seguridad en el tratamiento de datos dentro de la UE.

En este apartado, el Reglamento, en su artículo 32, establece la obligación para el responsable y el encargado del tratamiento de “aplicar las  medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, teniendo en cuenta factores como el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como los riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas”. Esto no resulta especialmente problemático y en términos muy parecidos se expresa el actual artículo 9 de nuestra LOPD.

El problema surge en la forma en que se van a materializar en la práctica los mecanismos efectivos de garantía de la seguridad de los datos. Porque la LOPD, a través de su reglamento de desarrollo, establecía una panoplia de medidas de seguridad, en función de la clasificación de los datos, que marcaba la senda a seguir por empresas y organizaciones en la protección de los datos que tratan. En cambio, el Reglamento europeo apenas aporta unos pocos criterios que deben cumplir los responsables del tratamiento, algunos tan imprecisos como  “la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento”, y otros tan rigurosos como “el cifrado”, sin especificar qué datos deben cifrarse.

Con el fin de dar una cierta seguridad a los obligados, el Reglamento se remite a dos mecanismos específicos de prueba de la eficacia de las medidas de seguridad adoptadas: los códigos de conducta y las certificaciones.

Pues bien, respecto a los primeros, es decir a los códigos aprobados por asociaciones y organismos representativos de cada sector, no son nada nuevo,  pues ya estaban regulados por nuestra LOPD en su artículo 32. La prueba de su ineficacia es que, en los diecisiete años de vigencia de la Ley, se han aprobado apenas catorce códigos en algunos sectores aislados como el sanitario, cobros, seguros de automoción, y poco más.

Respecto a las certificaciones, los problemas que pueden plantearse son aún mayores dada la imprecisión de los criterios para determinar quién puede certificar y qué se puede certificar. Y aunque en el mundo de las certificaciones hay ejemplos de entidades rigurosas, hemos asistido en los últimos años a una pérdida de credibilidad del sector que nos hace dudar seriamente de su capacidad para garantizar la protección del derecho fundamental a la protección de los datos personales de los ciudadanos. Bien puede aplicarse al mismo la frase que precedía la entrada al infierno de Dante: “abandonad toda esperanza los que entráis aquí”.

Y más aún en cuanto que los ingresos de las certificadoras van a provenir precisamente de las empresas y entidades que tienen la obligación de cumplir las medidas de seguridad. En el conflicto entre el interés de las empresas y entidades por tratar los datos personales de los ciudadanos con el mayor beneficio propio y el menor coste de seguridad, y el de los ciudadanos en que sus datos se traten con el máximo respeto a sus derechos, el árbitro va a recibir sus emolumentos de las primeras.

Paradójicamente, el propio Reglamento, tras regular las certificaciones, dispone que serán de carácter voluntario y que “no limitarán la responsabilidad del responsable o encargado del tratamiento en cuanto al cumplimiento del presente Reglamento”. Ciertamente, para ese viaje no hacían falta alforjas.

En fin, que el Reglamento europeo parece haber optado en esta materia por una desregulación que no invita al optimismo. Recordemos, sin ir más lejos, las pésimas consecuencias de la  dejación por la Administración del mandato de la LOPD de gestionar el censo promocional y las listas de exclusión de publicidad (las famosas Listas Robinson), que dio lugar a que no hubiera forma efectiva de librarse de comunicaciones comerciales en nuestro domicilio.

Habrá que estar al desarrollo del Reglamento por las autoridades de los estados miembros, pero lo cierto es que el contenido del mismo, a priori, hace temer por la seguridad de nuestros datos y por la seguridad jurídica de quienes tienen la obligación de tratarlos con ajuste a derecho. Nubes de tormenta se ciernen sobre nuestra privacidad y sólo un desarrollo normativo riguroso y adecuado podrá disiparlas.

La Sociedad de la Información y su regulación: dos velocidades distintas.

Un vistazo al “top ten” de empresas mundiales en 2016 pone de relieve un hecho que todavía muchos no alcanzan a comprender: la Sociedad de la Información, se ha impuesto definitivamente. Si en 2006 el ranking estaba copado por las grandes empresas energéticas y corporaciones financieras, dejando apenas algún hueco para el sector tecnológico, hoy todas ellas han retrocedido posiciones, desapareciendo en su mayoría del ranking, que encabezan Apple, Alphabet (Google) y Microsoft. A quien, hace solo diez años, hubiera afirmado que el “libro de caras” creado por un estudiante de Harvard superaría en capitalización bursátil a Shell, General Electric o Citigroup, le hubieran tildado de loco.

Las implicaciones son enormes: asistimos al triunfo definitivo de conceptos como computación “en la nube”, comercio electrónico, “big data”, minería de datos, etc., y otros que acabarán popularizándose, como la intermediación en el tráfico web. Conceptos todos ellos con una repercusión directa en los derechos fundamentales de las personas y en las relaciones sociales y económicas.

Pues bien, mientras la realidad circula a velocidad de vértigo, la regulación trata de  alcanzarla al paso de una carreta de bueyes. Hace pocas semanas, escuchaba a un miembro de un organismo financiero público reconocer, en un acto de sinceridad, que no entendía los bitcoin. Lo que no es de extrañar, habida cuenta de la obsolescencia de nuestra regulación tecnológica. No olvidemos que la base de la misma es la LOPD, que va camino de cumplir 20 años y todavía contempla “dinosaurios” como someter las transferencias internacionales de datos a autorización administrativa previa. Sin olvidar las múltiples lagunas normativas existentes, que son el campo abonado para que los estafadores y demás delincuentes cibernéticos operen a sus anchas en el mundo digital.

El Reglamento Europeo de Protección de Datos, publicado en mayo pasado, pretende introducir un nuevo marco regulatorio que unifique y modernice la normativa europea sobre protección de datos, permitiendo a los ciudadanos mayor control de sus datos y a las empresas un mercado único digital. Para conseguirlo se ha dado una “vacatio legis” de dos años, largo me lo fiais,  comenzando a aplicarse a partir de mayo de 2018. Mientras, los estados deberán adaptar su normativa para hacer posible su aplicación.

Sin entrar en un juicio crítico del Reglamento, y reconociendo aspectos muy positivos del mismo, suscitan enormes dudas su aplicabilidad en aspectos como el consentimiento o las evaluaciones de impacto, además de la gran cantidad de cuestiones que deja en el aire y que tienen completamente despistados a los operadores jurídicos que, hasta el necesario desarrollo por la normativa de los distintos estados, no saben realmente cuál es el modelo de protección de datos que estará vigente a partir de 2018.

Quedan casi dos años para que sea de aplicación, pero comienza a ser motivo de preocupación la incertidumbre jurídica que rodea a un aspecto tan esencial como la información y la privacidad. La complejidad del mundo digital, derivada fundamentalmente del volumen del tráfico de datos y la interconexión global,  dificulta enormemente la tarea de abordar su regulación, pero eso no es óbice para que, al menos, nos lo propongamos. Para ello habría que preguntarse, entre otras muchas cuestiones, si se puede afrontar la empresa dotando a la Agencia Española de Protección de Datos de un presupuesto que no llega a los 15 millones de euros. Esperemos no tener que lamentarnos de abordar cuestiones tan importantes con tan magros recursos.