Criterios para la evaluación del interés legítimo a raíz de las nuevas Directrices 1/2024 del EDPB y el pronunciamiento del TJUE sobre el interés comercial

Artículo escrito por Nelia Álvarez para el Diario La Ley en el que analiza los criterios para la evaluación del interés legítimo como base jurídica de legitimación del tratamiento a raíz de las Directrices del EDPB sobre el interés legítimo publicadas el pasado mes de octubre y  la resolución del TJUE en el asunto C- 621/22.

Tras el Editorial, da comienzo el número 22 con una entrevista a uno de los personajes más relevantes de la historia de la cultura del dato, a una persona de referencia en el mundo de la privacidad en su sentido más amplio. Nos referimos a D. Jesús Rubí. Nuestro entrevistado, además de recordar los mejores y peores momentos en su paso por la AEPD, destaca que la proactividad del RGPD exige como presupuesto básico, la articulación de un sistema interno de gobernanza de los datos.

Nuestro Estudio Jurídico se analiza cómo el Reglamento de Inteligencia Artificial (LA LEY 16665/2024) surge como una respuesta a los desafíos del dataísmo, entendido como una filosofía que valora la capacidad del análisis masivo de datos para comprender y prever comportamientos humanos. Para nuestro autor, el RIA refleja un esfuerzo integral por asegurar que la IA beneficie a la sociedad sin comprometer los principios de justicia y equidad.

A continuación, abrimos el Foro de Privacidad con el estudio de la STS 1263/2024, por la que se anula la sanción impuesta por la AEPD a la Liga Nacional de Fútbol Profesional, donde el TS concluye que la AEPD no puede sancionar por el incumplimiento de medidas que, aunque razonables, no fueran previsible para los operadores, sin haberles dirigido un requerimiento previo, pero reconoce que el principio de transparencia puede requerir de mecanismos adicionales de garantía, que impliquen que se deba proporcionar información en momentos distintos al del consentimiento. Continuamos el Foro analizando la exigencia de la interoperabilidad digital, reconociendo que la misma depende de un marco legal sólido que permita la integración fluida de diversos estándares, sistemas y plataformas. Terminamos este bloque con los Informes de la AEPD más relevante de estos últimos meses.

En el bloque de Infracciones y procedimientos sancionadores, con los datos compilados hasta noviembre del 2024, se analiza la evolución de la manera de sancionar de la AEPD, incluyendo una tabla que resume los hechos infractores en 2024, clasificándolos por sectores, e indicando los preceptos del RGPD, LOPDGDD (LA LEY 19303/2018) o de la LSSI vulnerados y la cuantía de la sanción para cada caso, con expresa mención si ha habido terminación por pago en periodo voluntario. A continuación, se destacan en esta ocasión la multa por no atender debidamente un derecho de acceso; la producida por las deficiencias de seguridad en un grupo hospitalario; por la no eliminación de datos personales en el traslado de documentación; y por el envío de nóminas de trabajadores a un tercero.

En el apartado relacionado con el Sector Público, se da cuenta, en primer lugar, de la Ordenanza Tipo sobre Gobierno del Dato de la Federación Española de Municipios y Provincias (FEMP), así como las distintas iniciativas que han materializado varios Ayuntamientos en relación con el gobierno del dato. En segundo lugar, se analiza la evolución de los Sistemas VioGén al VioGén 2 y su conexión con la normativa de protección de datos personales.

Continuamos con nuestra sección de Ciberseguridad, explicando la Guía de Ciberseguridad para la Abogacía aprobada por el ICAM. Nuestro colaborador destaca el hecho de que las medidas de seguridad deben ir asociadas a una gestión de riesgos en función de los riesgos para los derechos y libertades fundamentales de los interesados.

A continuación, en el Espacio Europeo, comenzamos comentando las Directrices 1/2024 del CEPD poniéndolo en conexión con la STJUE en el asunto C-621/22, de 4 de octubre de 2024 sobre el criterio del interés legítimo. Tanto el CEPD como el TJUE inciden en los elementos que deben tenerse en cuenta para evaluar la licitud, necesidad y proporcionalidad del interés perseguido por contraposición a los derechos y libertades de los interesados. Nuestros corresponsales europeos analizan en Alemania, la Sentencia de 18 de noviembre de 2024 del Tribunal Federal de Justicia de Alemania (BGH), que aborda el escándalo de los datos de Facebook a partir de 2021 y es la primera que utiliza el nuevo procedimiento de decisión principal, que permite una jurisdicción uniforme para miles de demandas. Desde el Reino Unido, se ofrece una primera parte del análisis de los sistemas de reconocimiento biométrico en el ámbito laboral.

Cruzando el charco, nuestra corresponsal de Estados Unidos nos da noticia de la aprobación el 28 de septiembre de 2024 de un proyecto de ley mediante el cual se modifica la Ley integral de privacidad de California para incluir a los datos neuronales como datos personales sensibles y acordarles el nivel de protección más elevado que se reconoce a dichos datos en el Estado.

Completando las novedades europeas y estadounidenses, en el Espacio Iberoamericano nuestros corresponsales analizan: desde Argentina nos informan cómo la Autoridad de protección de datos personales de Argentina emitió recientemente la “Guía para entidades públicas y privadas en materia de Transparencia y Protección de Datos Personales para una Inteligencia Artificial responsable”, como parte de su programa para garantizar un uso responsable de la IA. En Colombia nos informan que la Superintendencia de Industria y Comercio, como Autoridad Nacional de Protección de Datos del país, ha recurrido a la corresponsabilidad para emitir órdenes administrativas e instruir a sus vigilados mediante circulares externas. Y, finalmente, en Uruguay analizan la recientemente aprobada Ley No. 20.327 sobre prevención y represión de la Ciberdelincuencia.

Concluimos con la Actualidad Profesional con la colaboración de ISMS Forum, donde la autora del artículo analiza el Dictamen 22/2024 del CEPD, el cual supone una interpretación armoniosa de determinados aspectos del artículo 28 del RGPD (LA LEY 6637/2016).