Protección de datos: ¿Privacidad o libre mercado?

VALENCIA. Toda tecnología es un dios con dos cabezas. Internet no es un terreno neutro, del mismo modo que las redes sociales no salen gratis. Darle al click a los like o descargar apps a placer tiene precio: nuestros datos personales. En la web unos se alojan para vender o comprar, y otros, también, para delinquir. La privacidad ya no se cobija sólo en un derecho, también se expande como un mercado que ha llegado para quedarse. ¿Cómo debe regularse la batalla entre privacidad y libertad de mercado? El debate legal está servido.

Fijar el campo de juego no es fácil. Frente a los obstáculos de los grandes tratantes de información en la red, la Unión Europea ha tardado cuatro años en alumbrar su nuevo reglamento para regular la protección de datos, el derecho que ha sido puesto en el ojo del huracán del Big Data, en un entorno donde reina la asimetría entre vendedores y compradores: no siempre los vendedores de datos —los ciudadanos— saben que lo son. ¿Es lógico tener más derechos si se compra una lavadora que si se registra en una red social? Para los que tienen hambre de normas, ese desequilibrio insostenible anda necesitado de reglas, aunque escueza a los innovadores.

Lea Plaza al completo en su dispositivo iOS o Android con nuestra app

Para entender el momento actual, hay que hacer historia. La privacidad vinculada al desarrollo de la informática ha tenido sus dos grandes escenarios a ambos lados del Atlántico desde los años 70. Europa es pionera en su modelo de derecho prestacional plasmado en el convenio internacional de 1981 del Consejo de Europa, con la idea básica de limitar el control del Estado. «En Europa, quien trata datos tiene obligaciones y hay entidades para que se cumpla, y también en casos como el español, con un gran aparato sancionador que crece con el nuevo reglamento», explica Ricard Martínez, reconocido experto en protección de datos y jefe del Servicio de Transparencia en la Diputación de Valencia.

En Estados Unidos, la barrera sobre el Estado cayó después del 11-S, y de ahí nació el caso Snowden: de repente, el control judicial se relajó y, sobre la base de la lucha antiterrorista, crecieron las posibilidades de acción para obtener información de los sujetos. Y en paralelo va la libertad de mercado, el opting out, basado en que es lícito para las empresas de marketing y broking tratar datos mientras no se haga daño y sea bueno para el negocio y la sociedad. «En EEUU ha  un mercado y un entorno de negociación un poco más flexible, pero ojo, Obama tiene un proyecto de ley, el Consumer Privacy Bill of Rights, para regular la protección de datos que va por su segunda versión», advierte Martínez. Por lo que Europa podría no quedarse tan sola.

¿Regulación vs. innovación?

Nunca antes la UE había regulado de forma tan directa un derecho fundamental. Velar la protección de los datos personales suena bien, ¿pero hasta qué punto debe elevarse el muro? «Hemos pecado de una protección excesiva irreal. En la práctica Europa ha sido más condescendiente que EEUU, aunque allí no hay un nivel de garantías homologable al nuestro, en ocasiones protegen de un modo más efectivo la privacidad permitiendo hacer cosas a las empresas, mientras aquí, a veces, hemos puesto palos en las ruedas de la innovación. No es una batalla perdida frente a los jinetes del Apocalipsis de internet, pero la visión idílica de la protección es una cortapisa», expone Lorenzo Cotino, profesor de Derecho Constitucional en la Universitat de València. 

Una cuestión clave del debate se encuentra en si Europa ha visto en la red más riesgos que oportunidades. La muestra, para Lorenzo Cotino, reside en el liderazgo de Estados Unidos en internet, amparado allí desde los años 90 en otro derecho fundamental que hasta 2010 Europa parecía haber olvidado: la libertad de expresión. «España tiene una ley súper rigurosa que en la práctica se incumple de modo masivo y, como el juego del escondite, al que le cae la sanción, le cae por todos los demás. Se saca pecho ante Alemania, con la diferencia de que allí se cumplen las normas pero aquí no. Esto ha servido para que muy pocas empresas de datos se radiquen en nuestro país», sostiene este profesor.

Martínez: «Los profesionales de la privacidad pueden ser un sector imprescindible para la economía de internet en España» 

«Decir que en Europa hay más miedos que visión de futuro es maniqueo. Venimos de un entorno cultural producto de un siglo XX con totalitarismos, y se sabe que la libertad peligra cuando alguien como el Estado maneja mucha información sin control. Pero ahora hay gente que maneja más información que el Estado. De no cumplir ciertas garantías, alguien presentaría mañana la primera quimera del hombre-león o el hombre-perro o cualquiera podría poner una gasolinera en el patio de su casa. Las condiciones imposibles frenan el avance científico y tecnológico, pero es irrenunciable fijar unas reglas de juego razonables. Prefiero una ley que diga que me deben informar, pero no con más de 24 folios que nadie leerá», señala Martínez.

Los desafíos del tratamiento de datos personales en la red suscitan nuevas normas, y con ellas la pregunta del millón: ¿Quién hace cumplir la ley? Como nuevo guardián de la red, surge el profesional de la protección de datos, un sector no siempre tan bien recibido. «Algún regulador ha transmitido que el profesional de la privacidad no servía para nada. Hay que reivindicarlo para disciplinar al entorno, generando oportunidades de primer nivel a jóvenes titulados en propiedad intelectual o comercio electrónico, en lugar de condenarlos al paro, y puede ser un sector imprescindible para promover la economía de Internet en este país», defiende Martínez. 

Como reconocimiento a ese rol, una de las medidas del nuevo reglamento europeo establece la creación del delegado de protección de datos, el Data Protection Officer (DPO), una figura ya conocida en las grandes administraciones públicas como las universidades o Sanidad, y en las grandes empresas del Ibex-35. El perfil del delegado, define este experto, ayudará a quien trate datos con la triple función de la privacy by design: analizar los riesgos, ayudar a cumplir la norma adecuadamente y a atender a los usuarios en casos de cancelación, y oposición o rectificación, además de ser un órgano de relación con la Agencia Española de Protección de Datos (AEPD).

Cotino: «Hemos pecado de una protección excesiva e irreal. En la práctica, Europa ha sido más condescendiente que EEUU»

«Desde la perspectiva empresarial y gubernamental se ha visto al delegado como un coste y como el fiscalizador que diga cómo llevar una empresa. Lo segundo es falso: el buen experto en datos sólo acompaña. Se nos ha visto mal porque se nos llama sobre todo cuando la AEPD investiga a las empresas. Gran parte de las infracciones se deben a errores de diseño evitables con un buen asesoramiento.  Decir, como aquí, que el último año se pusieron entre 15 o 20 millones de euros en multas, no es una prueba de éxito, es un fracaso», asegura Martínez, quien ve en la figura del delegado a un mediador para garantizar la seguridad y la información de calidad. «Si sólo es obligatoria para unos pocos, y desaparece la obligación de registro, millones de pymes preferirán jugárselo todo a la ruleta: copian una cláusula informativa de cualquier sitio, el cliente piensa que cumple con la legislación, y si hay mala suerte y le denuncian, la fastidia», señala este experto.

Sin embargo, para Cotino, en ocasiones este sector profesional ha pecado de corporativismo. «Tener una normativa tan fuerte ha hecho que muchos profesionales sólo vean el mundo a través de la protección de datos, llegando a resultados ridículos por intereses puramente corporativos. En internet hay muchos más derechos que proteger que la protección de datos. En España, esta brigada de profesionales quizás haya desencaminado el tiro hacia lo importante de la materia, las grandes empresas y algunos vicios de la protección. A veces se ha quedado en algo tan superfluo como que nuestro correo electrónico contenga un palmo de texto que nadie lee para adecuarse a la norma, y se ha olvidado lo importante, por ejemplo, dejar visibles los destinatarios de cientos de personas en los correos», explica este profesor. 

Europa y su doble cara

El nuevo reglamento nace cargado con algo más de burocracia, advierte Martínez, pero desaparece la obligación de registrar el fichero, a la vez que se recogen nuevas obligaciones para «disciplinar al mercado». «Si alguien orienta su web a tratar datos en el mercado europeo, ya no puede decir que se rige por el Condado de Palo Alto de California. Mientras no haya un acuerdo de libre comercio, debe ajustarse a la norma europea», anota este experto que encuentra sentido en la presión de los lobbies.

«No hay sector que no dependa de ella o que no esté interesado. El lobby, como cooperación, es una herramienta muy potente para mejorar la calidad de la norma, pero con condiciones: que sea transparente quién ejerce de lobby y quién recibe la presión, que estén dispuestos a escuchar, y que todos seamos iguales. En Bruselas está más equilibrado, pero en España puede ser diferente». 

Lanzado el nuevo reglamento, todavía queda por entender mucha letra pequeña. Para eso, hay un margen de aplicación de dos años. «Nuestro estandarte era una directiva para internet de hace 20 años cuando no se sabía qué era, que ha servido para tener en 2015 la primera sentencia en reconocer el derecho al olvido. Hay normas muy avanzadas pero a veces se regula muy despacio y, cuando se hace efectivo, se llega tarde y mal. En EEUU, donde en teoría intervienen menos, desde el principio sujetan a las bestias que intentan devorar nuestros datos.

En Europa llegamos tarde, pero espero que no mal», apunta Cotino, quien se confiesa crítico con la formulación compleja del nuevo texto: «Por suerte o por desgracia, lo hemos dejado en manos de expertos y los Estados, pero incluso quienes nos dedicamos a esto, no siempre estamos seguros de qué hay en cada coma. Hay garantías que a primera vista pasan desapercibidas, pero tras ellas están los próximos 30 años de la industria y de la innovación en Europa». 

(Este artículo se publicó originalmente en el número de agosto de la revista Plaza)