«El año que Europa adquirió la mayoría de edad sobre datos personales,  artículo de Alonso Hurtado,  socio de IT de ECIJA,  y Daniel López, asociado senior de Information Technology en ECIJA.

Cada 28 de enero se celebramos el Día de la Protección de Datos, una celebración que, además de en Europa, se lleva a cabo en otros países no pertenecientes a dicha región. En 2006 el Comité de Ministros del Consejo de Europa establecía la fecha conmemorando el aniversario de la firma del Convenio 108 del Consejo de Europa para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal (28 de enero de 1981), Convenio que nacía con la finalidad de proteger a las personas contra el uso incorrecto de sus datos personales, garantizando los derechos al honor, a la intimidad y a su privacidad.

Una celebración que alcanza su décima edición y que tiene la finalidad de impulsar el conocimiento de los derechos y obligaciones en materia de protección de datos por parte de las personas y las entidades que tratan sus datos, difundiendo la cultura de la protección de la privacidad y los datos personales de los usuarios entre los diferentes agentes implicados.

La décima edición de la conmemoración viene rodeada de importantes acontecimientos en el ámbito de la Protección de Datos, en un año en que Europa última los detalles para asumir su mayoría de edad en el tratamiento de los datos personales. En el horizonte más próximo la negociación y esperemos adopción de nuevos instrumentos que sustituyan el extinto Safe Harbor para facilitar las transferencias internacionales de datos a los Estados Unidos, o la aprobación definitiva del tan ansiado Reglamento Europeo de Protección de Datos, hacen el 2016 un año en el que la protección de datos personales jugará un importante papel.

En este sentido, para entender la magnitud del 2016 en el ámbito de la privacidad debemos remontarnos a los últimos acontecimientos vividos el pasado año. En el último trimestre del año conocíamos la Sentencia del Tribunal de Justicia de la Unión Europea relativa al asunto C-362/14, por la que se invalidaba el denominado Safe Harbor en relación con las transferencias internacionales de datos entre Europa y determinadas entidades de Estados Unidos. Una Sentencia que ha traído de cabeza a las Agencias Nacionales de Protección de Datos, el propio Grupo de Trabajo del Artículo 29 (que solicitaba mantener temporalmente el sistema anterior hasta que se procediera a acordar un nuevo sistema que aporte las garantías exigidas por la Directiva 95/46) y los propios Responsables de Ficheros que se encuentran con una situación sobrevenida en la que a pesar de existir soluciones jurídicas, se introduce una mayor complejidad al día a día en el tratamiento de datos transfronterizo. Todos aquellos que trabajan con sistemas cloud alojados en en Estados Unidos o provistos por compañías norte americanas y/o europeas, participadas por éstas, o con  prestadores de servicios como Google, Amazon, Zendesk o Salesforce entre otros, deben regularizar ante la Agencia Española de Protección de Datos, antes del día 29 de enero, los flujos internacionales de datos derivados de dichos tratamientos.

Un establecimiento de garantías en el ámbito de las transferencias internacionales de datos, que ha puesto de manifiesto que los sistemas actuales deben ser revisados con cierta periodicidad, en aras a garantizar una correcta protección de los derechos de las personas sobre sus datos personales.

Casi en tiempo de descuento, en Europa, el Consejo, el Parlamento y la Comisión llegaban a un acuerdo, que sería refrendado por la Comisión de Libertades Civiles, Justicia y Asuntos de Interior, para dar luz verde a la aprobación, del tan esperado Reglamento General de Protección de Datos.

Sobre la mesa cuestiones como el reforzamiento del consentimiento y el deber de información, la introducción del principio de accountability y la obligación de realizar análisis de riesgos, la mayor protección de los menores de edad, la consolidación del derecho al olvido o la regulación de nuevos derechos como el derecho a la portabilidad de los datos, la simplificación de determinados trámites administrativos, sin duda alguna hacen del 2016 un año en el que las novedades en materia de privacidad y protección de datos estarán a la orden del día.

Una norma que avanza en la evaluación del riesgo en el tratamiento de datos personales, la obligación de notificar determinadas violaciones de datos personales, que introduce la obligación de designar un Data Protection Officer en las administraciones públicas y, en determinados casos y determinadas empresas y organizaciones privadas.

Una norma que reconoce la mayoría de edad de los responsables de ficheros en Europa, dando paso a un sistema basado en el establecimiento de garantías y medidas por parte de las propias entidades. El texto final deberá ser formalmente adoptado por el Parlamento Europeo y el Consejo a lo largo del presente año.

Un cambio en la forma de entender el tratamiento de los datos personales, sobre pilares férreos como el consentimiento y la información, que aporte seguridad jurídica a personas y empresas, y que sin duda posibilitará el crecimiento económico, en sectores en los que los datos personales se han convertido en un valor clave.

Un año crucial en la conciliación entre la innovación tecnológica y el necesario avance del derecho. Si Facebook adelantaba que había comenzado a probar un sistema capaz de reconocer a las personas en las fotos, incluso si no están mirando a la cámara, se hace patente la necesidad de redefinir conceptos tradicionales como aquello que puede ser considerado dato personal, tal y como ocurriera en otras épocas con la inclusión de los datos biométricos

Los acontecimientos vividos y noticias como las vulneraciones de datos (caso Ashley Madison entre otros), ponen de manifiesto, no sólo la necesidad de avanzar en el establecimiento de medidas que garanticen la confidencialidad, integridad y seguridad de los datos.

En el plano institucional nuestra Agencia de Protección de Datos ha fijado un ambicioso plan de acción que, seguro, conllevará el acercamiento de este derecho fundamental a las personas cuyos datos son tratados, a las empresas y responsables de ficheros, y a los profesionales que cada día ejercen en esta rama de derecho tan necesaria, y en ocasiones desconocida.

La celebración del Día de la Protección de Datos en Iberoamérica viene cargada de retos en el horizonte, la tramitación diferentes proyectos y anteproyectos de ley (Anteproyecto de Ley de Protección de las Personas en el Tratamiento de sus Datos Personales en Chile, la Propuesta de Ley General de Protección de Datos Personales en posesión de sujetos obligados en México o el Anteproyecto de Ley de Protección de Datos Personales y Acción Hábeas Data de Honduras, entre otros). Aspectos a los que deben unirse los esfuerzos llevados a cabo por la Organización de Estados Americanos y la Red Iberoamericana de Protección de Datos, entre otros.

Los nuevos modelos de negocio, tales como la economía colaborativa o la innovación tecnológica que jugarán un papel de especial importancia durante este año. Tecnologías wearables, earables,  eyeables, o incluso implantable wearables, con gran capacidad para la recolección de datos, de consumo, tráfico o preferencias de los usuarios; junto con el auge del Internet of Things (IoT), o el análisis masivo de datos (Big Data), ponen de manifiesto la necesidad de avanzar en las Evaluaciones de Impacto en la Protección de los Datos Personales previas y la aplicación de los principios de privacidad desde el diseño y por defecto (privacy by design y privacy by default).

Y es que, los próximos meses marcarán, sin duda, un antes y un después en la regulación en materia de protección de datos, en el establecimiento de garantías y en la protección efectiva de un derecho fundamental, cuya conciliación con el crecimiento empresarial y el avance tecnológico ha de ser una realidad.

Si desea acceder al artículo en versión digital, clik aquí.

Si desea acceder al artículo en versión PDF, click aquí.