Proporcionalidad y datos personales

Una de las vertientes que más me fascinan de trabajar con derechos fundamentales es la regla de la ponderación, que permite encontrar soluciones a aquellos casos en los que chocan varios principios constitucionales. Es, posiblemente, el ámbito donde los abogados logramos sentirnos más creativos, rompiendo los corsés a los que la rigidez de la norma nos tiene acostumbrados. Y también es, probablemente, una de las grandes olvidadas en el ejercicio diario de derechos tan tasados como la protección de datos personales.

La pasada semana tuve el honor de participar como ponente en el III Congreso Nacional de Privacidad, organizado con gran éxito por APEP, a quienes aprovecho para agradecer nuevamente su amable invitación. Nuestra labor era debatir sobre el desarrollo de la privacidad en España y, con el permiso de Paula Ortiz y de Lorenzo Cotino (que estuvieron fantásticos), aprovechamos para hablar de esta regla y de la importancia del principio de proporcionalidad en el tratamiento de datos.

Como es sabido, la doctrina de nuestro Tribunal Constitucional entiende la proporcionalidad desde tres puntos de vista: idoneidad (la medida es susceptible de alcanzar el objetivo propuesto), necesidad (no existe otra medida más moderada para la consecución del propósito con igual eficacia), y ponderación o equilibrio (de ella se derivan más beneficios que perjuicios para otros bienes o valores en conflicto). Esta aproximación debe ser, en mi opinión, el eje de todo análisis de legalidad a la hora de tratar datos de carácter personal; y así debía considerarlo el legislador al configurarla como el primero de los límites fijados en la Ley Orgánica de Protección de Datos:

«Los datos de carácter personal sólo se podrán recoger para su tratamiento, así como someterlos a dicho tratamiento, cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido.»

Llevada a la práctica, esta regla genera una repercusión tremenda sobre la utilización de información personal: para tratar datos no basta el consentimiento del usuario, ni tampoco una habilitación legal. Si nos excedemos, ese simple error puede hacer que nos enfrentemos a una sanción grave por parte de la Agencia Española de Protección de Datos, aunque nos hayamos preocupado de redactar una larga política de privacidad que, por supuesto (faltaría más), todos los visitantes de nuestro sitio web hayan leído, comprendido y aceptado.

En una época en la que consideramos el análisis de datos como el nuevo maná, la tensión entre este principio y el legítimo interés de las empresas por maximizar sus resultados es inmensa. Y nuestro trabajo consiste, en esencia, en ayudarles a buscar soluciones que den respuesta a sus necesidades.

En algunos casos (los menos), la propia norma nos allana el camino: artículos como el 2.2 y el 2.3 del Reglamento de la LOPD sirven de ejemplo, permitiendo tratar determinados datos de autónomos y trabajadores dentro de un ámbito estrictamente profesional. Pero en otros, no queda más remedio que esforzanos en encontrar el equilibrio. Y, para ello, no nos podemos quedar en la pregunta típica de: ¿qué datos tratas? Se hace vital ir más allá: ¿con qué medios? ¿Durante cuánto tiempo? ¿Para qué finalidades? ¿Generando qué consecuencias al usuario? ¿Ofreciéndole qué herramientas para que pueda controlar sus datos?

Partiendo de esta reflexión, llegar a la conclusión que les quería transmitir con este post (y que tratamos de exponer en el Congreso) se hace más sencillo: creo firmemente que la proporcionalidad debe analizarse no sólo desde el punto de vista cuantitativo (volumen de información tratado), sino también, y especialemnte, desde el cualitativo. Lo contrario nos llevaría a defenestrar tecnologías como el big data, y me resisto a pensar que la intención del legislador al regular los tratamientos de datos es poner trabas a los avances tecnológicos.

Llevar a cabo un análisis de proporcionalidad no es complicado; implementarlo, tampoco, pero puede ser costoso si se pretende realizarlo una vez que un proyecto está en fase de producción. Abordarlo en su etapa de desarrollo es mucho más recomendable, como recuerda la AEPD en su Guía para la evaluación de impacto sobre los datos personales, que les recomiendo. Y permite crecer mucho más tranquilo. ¡Ténganlo en cuenta!