El derecho a la autodeterminación informativa Pablo Lucas ......Manuel Atienza Francisco José...

Pablo Lucas Murillo dela Cueva

José Luis Piñar Mañas

El derecho a laautodeterminación informativa

Pabl

o Lu

cas M

urill

o de

la C

ueva

, Jos

é Lu

is P

iñar

Mañ

as E

l der

echo

a la

aut

odet

erm

inac

ión

info

rmat

iva

10FUNDACIÓN COLOQUIO JURÍDICO EUROPEO

MADRID

2

Presidente

Ernesto Garzón Valdés

Secretario

Antonio Pau

Secretario Adjunto

Ricardo García Manrique

Patronos

María José Añón

Manuel AtienzaFrancisco José Bastida

Paloma Biglino

Pedro Cruz Villalón

Jesús González PérezLiborio L. Hierro

Antonio Manuel Morales

Celestino Pardo

Juan José PretelCarmen Tomás y Valiente

Fernando Vallespín

Juan Antonio Xiol

GerenteMª Isabel de la Iglesia

3


5

FUNDACIÓN COLOQUIO JURÍDICO EUROPEO

MADRID


Pablo Lucas Murillo dela Cueva

José Luis Piñar Mañas

6

2009 FUNDACIÓN COLOQUIO JURÍDICO EUROPEO

Pablo Lucas Murillo de la Cueva, José Luis Piñar Mañas

I.S.B.N.: 978-84-613-3470-4

Depósito Legal: M-30430-2009

Imprime: J. SAN JOSÉ, S.A.

Manuel Tovar, 10

28034 Madrid

No está permitida la reproducción total o parcial de este libro,ni su tratamiento informático, ni la transmisión de ninguna formao por cualquier medio, ya sea electrónico, mecánico, por fotocopia,por registro u otros métodos, sin el permiso previo y por escrito de lostitulares del Copyright.

©©

7

ÍNDICE

La construcción del derecho a laautodeterminación informativa ylas garantías para su efectividad(Pablo Lucas Murillo de laCueva) ................................. 11

1. Aclaración previa ................... 11

2. El reconocimiento del derechofundamental a la protección dedatos de carácter personal ....... 13

3. Las principales característicasdel régimen jurídico de la pro-tección de datos en España ....... 26

4. Los retos pendientes ............... 58

5. Consideraciones finales ........... 70

6. Referencias bibliográficas ........ 77

Protección de datos: Origen, situa-ción actual y retos de futuro (JoséLuis Piñar) ........................... 81

I. De los orígenes a la considera-ción de la protección de datoscomo derecho fundamental ....... 81

8

1. The right to be let alone. SelfDetermination y derecho a laautodeterminación informativa.Protección de datos y mercadointerior en la Unión Europea..... 82

2. El derecho a la protección dedatos como nuevo derecho, autó-nomo e independiente del dere-cho a la intimidad .................. 93

3. El Derecho a la privacidad alcan-za también a los dispositivos in-formáticos que utilizamos......... 98

II. El contenido del derecho funda-mental a la protección de datosde carácter personal ............... 101

1. Principios configuradores delderecho a la protección de datos:una breve referencia ............... 101

2. En particular, el principio decontrol independiente .............. 104

3. Protección de datos y otrosderechos. En particular, protec-ción de datos y libertad de ex-presión ................................ 109

III. El derecho a la protección dedatos en España. Una evolu-ción legislativa ...................... 119

1. De la LORTAD a la LOPD ........... 119

9

2. La LOPD y alguna legislaciónsectorial con incidencia en elderecho a la protección de datos .... 122

3. La legislación autonómica sobreprotección de datos. El marconormativo de la distribucióncompetencial ......................... 128

4. El desarrollo reglamentario de laLOPD. En particular el Regla-mento aprobado mediante RealDecreto 1720/2007. Motivos quehacían necesaria su aprobación .. 136

IV. Retos actuales y futuros de laprotección de datos ................ 140

1. Protección de datos y nuevastecnologías ........................... 141

2. Protección de datos y seguridad... 148

3. Protección de datos y transpa-rencia ................................. 160

4. Garantía del derecho a la protec-ción de datos y globalización .... 173

11

SUMARIO: 1. Aclaración previa. 2. El reconoci-miento del derecho fundamental a la protección dedatos de carácter personal. 3. Las principales carac-terísticas del régimen jurídico de la protección dedatos en España. 4. Los retos pendientes. 5. Conside-raciones finales. 6. Referencias bibliográficas.

1. Aclaración previa

Me parece necesario advertir que he prefe-rido utilizar la expresión “derecho a la auto-determinación informativa” en el título de miintervención porque siempre me ha parecidomás expresiva que otras adoptadas por loslegisladores y por la doctrina para denominar-lo. En efecto, creo que esa fórmula, que tomode la Sentencia del Tribunal ConstitucionalFederal de Alemania de 15 de diciembre de1983 sobre la Ley del Censo, refleja el aspec-to más característico de un derecho nuevo queha ido cobrando cuerpo bajo distintas formasen los ordenamientos de los Estados democrá-ticos: el control que ofrece a las personas

LA CONSTRUCCIÓN DEL DERECHOA LA AUTODETERMINACIÓN

INFORMATIVA Y LAS GARANTÍASPARA SU EFECTIVIDAD

Pablo Lucas MURILLO

12

sobre el uso por terceros de informaciónsobre ellas mismas.

Por eso, he seguido utilizándola, aun sien-do consciente de que, ciertamente, el Derechopositivo no la recoge. En efecto, tanto elinterno, como el europeo hablan del derechoa la protección de datos de carácter personal.Desde luego, nada más lejos de mi intenciónque entablar una disputa sobre los nombrescuando está claro que cualquiera de los dosmencionados identifica esta figura y es igual-mente evidente que lo importante es el conte-nido que encierra.

A la exposición de sus elementos mássignificativos se dirigen estas páginas. Noobstante, dada su reciente incorporación a latabla de derechos fundamentales y la maneraen que se ha producido, me ha parecidoconveniente recordar, antes, algunos rasgosdel proceso que ha llevado al reconocimientode este derecho fundamental porque ayudan acomprender su verdadero alcance. Sólo en-tonces tendrá sentido repasar las característi-cas más señaladas de su régimen jurídico asícomo apuntar, después, las principales difi-cultades a las que se enfrenta.

A la luz de todo ello trataré de llegar aalgunas conclusiones.

13

2. El reconocimiento del derecho fundamen-tal a la protección de datos de carácterpersonal

2.1. El derecho a la protección de datos haencontrado su más solemne reconocimientoen el artículo 8 de la Carta de los DerechosFundamentales de la Unión Europea. Tam-bién en el Tratado por el que se establece unaConstitución para Europa, pues incorporócomo Parte II la Carta en su integridad, y,además lo erigió en principio de la vidademocrática en la Unión (artículo I-51). Y enel Tratado de Lisboa, que, como el anterior,asume la Carta de Niza. Ahora bien, no estáescrito en nuestro texto fundamental, ni en elConvenio Europeo para la Protección de losDerechos Humanos y Libertades Fundamen-tales.

En realidad, salvo en el caso de Portugal,ha entrado en el ordenamiento jurídico de lamano del legislador ordinario y de pronuncia-mientos judiciales y sólo recientemente harecibido el estatuto de derecho fundamental.En España ese rango se lo ha dado el TribunalConstitucional en su Sentencia 292/2000, de30 de noviembre, prácticamente al mismotiempo que se aprobaba la Carta de los Dere-chos Fundamentales de la Unión Europea yque el Tribunal Europeo de Derechos Huma-nos dictaba sus Sentencias más significativas

14

al respecto (casos Amann contra Suiza yRotaru contra Rumania), ambas de 2000.

Es un derecho nuevo, de los que se dice queintegran una de las últimas generaciones dederechos, la tercera o la cuarta, según losautores. Es decir, las formadas por aquellosque responden a los retos y dificultades de lasociedad de nuestros días. Principalmente, alos derivados del avance tecnológico, delimpacto sobre el medio y de las nuevas formasde desigualdad. Interesa, por tanto, destacaralgunos de los pasos más significativos delproceso que ha llevado a su reconocimiento.

2.2. En el origen de los derechos, mejordicho, en el de su reconocimiento es posibleestablecer una gradación de etapas o secuen-cias en las que juegan factores de distintanaturaleza. Ante todo, los de carácter mate-rial. Es decir, los que tienen que ver con unaaspiración o necesidad individual cuya satis-facción se convierte en una exigencia tanimperiosa que llega a erigirse en condiciónindeclinable de la convivencia a partir de unmomento dado en función de las relacionessociales. En segundo lugar, la justificaciónideológica de la pretensión de ver satisfechaesa necesidad básica y, en estrecha relacióncon élla, en tercer lugar, su reivindicaciónfrente al poder público a través de distintasformas de acción y expresión. Por último, su

15

declaración de manera más o menos solemnepero jurídicamente efectiva.

Esos pasos, perceptibles en la génesis delos derechos de cualquiera de las generacio-nes de las que se viene hablando, se apreciantambién en el caso del derecho a la protecciónde datos.

El elemento determinante de la necesidad ointerés esencial sobre el que se construye es elprogreso tecnológico, principalmente el deri-vado de los avances que resultan de la combi-nación de las virtualidades de la informática yde las telecomunicaciones. Aplicadas a lacaptación, relación, almacenamiento y comu-nicación de datos personales crean un escena-rio en el que es posible que terceros, públicoso privados, reúnan tal caudal de informaciónsobre las personas, cualquier clase de perso-nas, que, prácticamente, no queden aspectosde su vida al margen del conocimiento ajeno,a veces inmediato, incluyendo el de su locali-zación y movimientos en cada momento.

En ese contexto, las barreras de protecciónque podían brindar el tiempo y el espacio o elmismo volumen de datos disponible ya no sonoperativas, porque es posible recuperar entiempo real, desde cualquier lugar con accesoa redes de telecomunicaciones, la que serefiere a uno o varios individuos o grupos de

16

ellos, aunque se halle dispersa en archivosdiferentes y sin que sea obstáculo la dimen-sión que tengan. Además, a partir de los datosobtenidos, cabe extraer, relacionando unoscon otros, ulteriores perfiles personales utili-zables para los más diversos fines, lícitos oilícitos, tanto por los poderes públicos comopor agentes privados.

La potencialidad de la tecnología ha llega-do a tal punto que permite obtener resultadossocialmente provechosos. El problema es que,de igual modo, resulta idónea para causarperjuicios de entidad semejante a los benefi-cios. Por tanto, como en otros aspectos delprogreso, se trata de buscar el modo deaprovechar al máximo las ventajas y conjurar,a la vez, las desventajas. Pues bien, en estecontexto, la necesidad básica o interés vital apartir del cual surge la demanda de reconoci-miento de un derecho es, precisamente, la deponer en manos de los interesados instrumen-tos que les permitan recuperar, al menos enparte, el control sobre la información perso-nal que les concierne y que está o puede estaren manos de terceros.

Esa pretensión se justifica a partir de lamisma dignidad de la persona y guarda estre-cha relación con la libertad que le caracteriza.Libertad individual entendida en su más am-plio sentido, incluyendo la faceta de manifes-

17

tarse o conducirse de acuerdo con la propiaforma de ser. O sea, según las ideas, gustos ypreferencias de cada uno. La libertad conce-bida en este sentido como identidad tambiénestá en juego porque a los riesgos e inconve-nientes que depara el uso incontrolado deinformación personal ajena, se une la tenden-cia de quienes se saben observados y contro-lados a comportarse de la forma que creenmenos perjudicial para ellos.

2.3. A partir de estos presupuestos, laconstrucción del derecho que nos ocupa hasido fruto también de varios factores. No sonotros que los vinculados a una suerte dediálogo entre la doctrina, los legisladoresinternacional, comunitario y estatal y la ju-risprudencia en esos tres niveles. Susinteracciones nos han llevado a la actualconcepción de este derecho. Así, de las inicia-les elaboraciones teóricas que buscaban ex-tender los confines del derecho a la intimidada toda información personal, se pasó a identi-ficar un bien jurídico autónomo —denomina-do intimidad informativa, privacy, libertadinformática o autodeterminación informati-va— sólo en parte coincidente con aquélla, almenos en la noción que de la misma o de lavida privada ha prevalecido en los distintosordenamientos.

18

Bien jurídico consistente en asegurar a laspersonas el control de la información —de losdatos— que les es propia para ponerles alresguardo o, al menos, permitirles protegersede los perjuicios derivados del uso por terce-ros, públicos o privados, de ese material. Lasilimitadas posibilidades que ofrece la tecnolo-gía de captar, acopiar, asociar, recuperar entiempo real y conservar indefinidamente da-tos personales, así como de obtener ulteriorinformación personal mediante su tratamien-to, junto a la necesidad creciente de losmismos en todo tipo de relaciones, han hechoimprescindible garantizar a los individuosinstrumentos jurídicos que hagan posible esecontrol.

Adquiere, así, relevancia una nueva situa-ción jurídica o status que se ha venido enllamar de habeas data, cualificada activamen-te por los derechos o facultades que asegurantal dominio y, pasivamente, por los límitesopuestos a quienes desde los poderes públicoso desde la sociedad utilizan información decarácter personal. Derechos y deberes queoperan en el marco objetivo ofrecido por losprincipios de calidad de los datos.

2.4. En España, las primeras reflexionesdoctrinales, muy escasas, se producen deforma prácticamente simultánea a la elabora-ción de la Constitución. No obstante, si el

19

sentido del apartado cuarto de su artículo 18fue perfectamente comprendido por algunosconstituyentes y, en especial, por MiguelRoca Junyent —que propuso la redacciónfinalmente aprobada— creo que para la mayo-ría pesó más, a la hora de aprobarla, lainfluencia del texto portugués de 1976 y eldeseo de incorporar las últimas novedadesllegadas al constitucionalismo democráticoque el convencimiento de su necesidad portener una clara percepción de los peligroscuya amenaza pretende conjurar ese precep-to. O sea, se trata de una manifestación másdel carácter extremadamente derivado de nues-tro texto fundamental, rasgo en el que prontose situó, por cierto, su originalidad.

La entrada en vigor de la Constitución nocambió mucho las cosas. De ahí que, cuandolas Cortes Generales abordaron la regulaciónde la protección civil de los derechos alhonor, a la intimidad personal y familiar y ala propia imagen por la Ley Orgánica 1/1982,de 5 de mayo, lo único que dijeran al respecto,en una disposición transitoria, fue que mien-tras no se aprobase la ley a la que se referíaeste precepto, se aplicarían las reglas previs-tas para combatir las intromisiones ilegítimasen el ámbito de aquéllos derechos. Era unasolución claramente insuficiente porque losproblemas derivados del uso de la informáticano se manifiestan del mismo modo que las

20

intromisiones ilegítimas previstas en esa LeyOrgánica.

En el intervalo que media entre la Consti-tución y la primera regulación de la protec-ción de datos de carácter personal, ya en1992, siguió sin existir un auténtico debatesobre la cuestión. Sin embargo, en otrospaíses, se fueron produciendo avances impor-tantes. Bien a propósito de los problemasoriginados por la aplicación de las leyes exis-tentes en algunos de ellos desde principios delos años setenta del pasado siglo —en Länderde Alemania, en Suecia y Francia y en lapropia República Federal—, bien por su rei-vindicación donde no las había, se fue crean-do un caldo de cultivo que, superando lasfronteras, llevó al Consejo de Europa a plas-mar en su Convenio nº 108, de 28 de enero de1981, para la protección de las personas conrespecto al tratamiento automatizado dedatos de carácter personal, los principiossobre los que descansará el régimen jurídicodel derecho, después reconocido como funda-mental.

Su proyección a las legislaciones, naciona-les y comunitaria, y a la jurisprudencia serádeterminante para su extensión. No obstante,no fue suficiente para que cuajara en Españaa pesar de que, aunque todavía tímidamente,se hablaba de su necesidad, se intentaban

21

algunas iniciativas legislativas y algunas aso-ciaciones y entidades comprometidas con losderechos humanos empezaban a reivindicarlocon mayor fuerza. Y a pesar, igualmente, deque la fórmula abierta y transversal con que seredactó el artículo 18.4 de la Constituciónfacilitaba la recepción y desarrollo del Conve-nio nº 108. Sin embargo, transcurrieron losaños sin que se diera ese paso. Mientras tanto,el Tribunal Constitucional desconocía los pro-blemas relacionados con la protección dedatos de carácter personal y el Tribunal Su-premo negaba virtualidad al Convenio parasustentar derechos al considerarlo necesitadode desarrollo, ya que, a su entender, se limi-taba a afirmar principios que debían concretarlos legisladores nacionales, sus únicos desti-natarios.

Cuando, por fin, la Ley Orgánica 5/1992,de 29 de octubre, de regulación del trata-miento automatizado de datos de carácterpersonal (LORTAD), introdujo la regulaciónque, con pocas modificaciones, permanece envigor, se sirvió del contenido del Convenio yde las pautas del proyecto de Directiva euro-pea, entonces en gestación. Ahora bien, si losfundamentos de su regulación —y del derechoal que da cuerpo— se elevaban, en últimainstancia, a la dignidad humana y se vincula-ban a la personalidad individual, fueron mo-tivos más prosaicos los que impulsaron la

22

aprobación de este texto legal: la puesta enmarcha de los Acuerdos de Schengen.

La LORTAD fue sustituida por la Ley Orgá-nica 15/1999, de 13 de diciembre, de Protec-ción de Datos de Carácter Personal (LOPD),actualmente vigente, cuyo Reglamento ha sidorecientemente aprobado por el Real Decreto1720/2007, de 21 de diciembre.

Me parece interesante subrayar que laLORTAD encuadró la disciplina que establecíabajo la idea de “privacidad”. Su exposición demotivos concluía así:

“En este caso, al desarrol larlegislativamente el mandato constitucionalde limitar el uso de la informática, se estáestableciendo un nuevo y más consistentederecho a la privacidad de las personas(s.n.)”.

Y su artículo 1 decía:

“La presente Ley Orgánica, en desarrollode lo previsto en el apartado 4 del art. 18 dela Constitución, tiene por objeto limitar eluso de la informática y otras técnicas ymedios de tratamiento automatizado de losdatos de carácter personal para garantizar elhonor, la intimidad personal y familiar de laspersonas físicas y el pleno ejercicio de susderechos”.

23

De este modo, el legislador, mediante esebarbarismo y la reiteración del apartado cuar-to del artículo 18 de la Constitución, procura-ba mantener una cierta ambigüedad en tornoa la trascendencia del paso que estaba dando.Por su parte, la LOPD resolvió el problemaprescindiendo de exposición de motivos —apesar de que las vicisitudes que atravesó suelaboración y los escasos pero significativoscambios que introdujo en el texto hasta enton-ces vigente la hacían necesaria— y estable-ciendo en su artículo 1 que su objeto es elsiguiente:

“La presente Ley Orgánica tiene por ob-jeto garantizar y proteger, en lo que concier-ne al tratamiento de los datos personales, laslibertades públicas y los derechos fundamen-tales de las personas físicas, y especialmentede su honor e intimidad personal y familiar”.

Es importante el cambio de planteamientoque refleja este último precepto. No se sitúaen el marco de la limitación del uso de lainformática, ni siquiera en el del artículo 18.4de la Constitución, como sí hacía la LORTAD,pese a que la nueva Ley Orgánica recoge sucontenido en sus propios términos salvo esca-sas novedades aunque sean llamativas, comoya se ha dicho. La adaptación de la LORTAD ala Directiva 95/46/CE, razón que estuvo en elorigen de lo que iba a ser una reforma puntual

24

de aquélla, no obligaba a dar esos pasos.Desde luego, no mencionar el artículo 18.4 dela Constitución no impide establecer una co-nexión con él ya reconocida por el legisladorde forma rotunda en 1992. Y, si se pensabaque con el texto de 1999 se supera el marco dela limitación del uso de la informática parauna normativa que va más allá de tal objetivo,además de que se podía haber dicho sinninguna dificultad, sucede que ese propósitoes igualmente perseguible desde el mismoprecepto constitucional que se preocupa de lagarantía del pleno ejercicio de los derechos delos ciudadanos, de todos sus derechos. Al finy al cabo, no cuesta trabajo ver en ese últimoapartado del artículo 18 la voluntad de prote-gerlos de los peligros derivados de las tecno-logías de la información, ya estrechamentevinculadas, por otra parte, a las de las comu-nicaciones.

Un año después el Tribunal Constitucio-nal, con sus Sentencias 292 y 290, ambas de30 de noviembre, a las que se hace referenciamás adelante, lo demostraría.

A partir de ese momento, al margen de laaprobación de algunas disposiciones especia-les a las que luego se aludirá, el acontecimien-to más relevante que se ha producido a nivelnormativo ha sido la inclusión de este derechoentre los que algunos de los nuevos Estatutos

25

de Autonomía han recogido. Así, además dereferirse a él, a propósito de la distribucióncompetencial a la protección de datos, loproclaman, en el momento de escribir estaslíneas, los de Cataluña (artículo 31), Andalu-cía (artículo 32), Islas Baleares (artículo 28),Aragón (artículo 16.3) y Castilla y León(artículo 12 d)).

No es un hecho menor que se haya produ-cido esa incorporación, dada la significaciónde los estatutos de autonomía. Buena pruebade la trascendencia que tiene la inclusión en élde derechos sustantivos la ofrece el debatepolítico, académico y judicial que se ha pro-ducido al respecto, cuya entidad explica lascaracterísticas de las Sentencias del TribunalConstitucional 247 y 249/2007 y sobre el quese pronunciará, sin duda, nuevamente a pro-pósito del Estatuto de Autonomía de Catalu-ña. Ahora bien, para el derecho a la autodeter-minación informativa tal vez lo único signifi-cativo de su recepción estatutaria sea la con-firmación que supone de su carácter autóno-mo. En lo demás, no representa ningunanovedad.

26

3. Las principales características del régi-men jurídico de la protección de datos enEspaña

No me propongo adentrarme en una expo-sición minuciosa de su regulación. No es elmomento adecuado para hacerlo. Pero sí meparece importante identificar algunos de susrasgos más destacados que tienen que ver conla fuerza de los principios y la demanda deespecificación de las reglas generales deriva-da de la enorme variedad de supuestos en losque surge la necesidad de proteger los datospersonales.

3.1. Los elementos principales del sistemade protección de datos personales son los queya encontramos formulados como principiosen el Convenio nº 108 del Consejo de Europa.A su vez, las facultades que se confieren a laspersonas son las que se habían reconocido enla práctica norteamericana de protección frentea los informes de solvencia patrimonial desdelos años sesenta del siglo XX.

Este régimen presupone que la disposiciónpor terceros de datos personales solamente eslícita cuando han sido obtenidos con el con-sentimiento inequívoco de los afectados, de-bidamente informados, o con autorizaciónlegal explícita. Consentimiento y autoriza-ción que se circunscriben a la utilización de

27

esa información —exacta, puesta al día yproporcionada— para finalidades lícitas ydeterminadas. La autodeterminación se quie-re garantizar, además, mediante una serie dederechos regulados en la LOPD (información,acceso, rectificación, cancelación y oposi-ción). Buscan brindar a los afectados mediospara conocer qué información manejan sobreellos terceros, de donde procede y con quéfinalidad la tienen y usan y a quien la transmi-ten y para qué, así como a obtener su rectifi-cación cuando sean inexactos o su cancelaciónsi no deben ser objeto de tratamiento. Y paraoponerse a que sean tratados aquellos que seobtuvieron sin consentimiento o a que seutilicen en su perjuicio perfiles procedentesde tratamientos de esos datos.

Evidentemente, estos derechos y los prin-cipios de protección de datos, expresados porla LOPD, se erigen en límites impuestos por ellegislador al tratamiento de los datos porterceros y van acompañados de normas san-cionadoras, penales y administrativas, dirigi-das a asegurar su respeto. Los deberes quepesan sobre quienes pretendan tratar informa-ción personal, contrapartida de los derechos yde las exigencias de los principios, compor-tan, junto a su estricto respeto, la observanciade formas y procedimientos imprescindiblespara hacer efectivas las garantías del derechoa la autodeterminación informativa. Es lo que

28

sucede con los pasos a dar en la creación deficheros, con su inscripción o notificación,con la manera de almacenar los datos y lasmedidas de seguridad que han de establecersey aplicarse o con el deber de secreto dequienes tratan los datos personales.

Además, se han erigido unos entes públi-cos, dotados de una posición de independen-cia, con potestades de informe, inspección ysanción, entre otras, que velan por el respetode todo este conjunto normativo. Tales orga-nismos, en nuestro caso Agencias, cuentancon registros públicos en los que se inscribenlos ficheros y tratamientos de datos persona-les sometidos a su vigilancia.

Por lo demás, el vigente Reglamento (RealDecreto 1720/2007) se distingue no sólo por-que se ajusta directamente a la LOPD —elanterior se elaboró vigente la LORTAD— yaborda una ejecución global de sus disposi-ciones sino también porque lo hace mediantepreceptos dotados de una gran densidad nor-mativa, en buena medida expresivos de laexperiencia generada previamente y de latarea realizada por la Agencia Española deProtección de Datos. Densidad que, cuandomenos, justifica decir que efectúa un verdade-ro desarrollo de la Ley Orgánica, tal comoreconoce el preámbulo del Real Decreto quelo aprueba.

29

También se van franqueando los obstácu-los a la utilización de datos biométricos paradistintas finalidades legítimas. Así, ademásde la digitalización de las huellas dactilares yde la imagen del rostro, a efectos de laexpedición del documento nacional de identi-dad (artículo 9.1 de la Ley Orgánica 1/1992,de 21 de febrero, sobre Protección de laSeguridad Ciudadana, y artículos 5.3 y 11 delReal Decreto 1553/2005, de 23 de diciembre,por el que se regula la expedición del docu-mento nacional de identidad y sus certificadosde firma electrónica) y del pasaporte (artícu-los 10 de la citada Ley Orgánica 1/1992 y 10del Real Decreto 896/2003, de 11 de julio,por el que se regula la expedición del pasapor-te ordinario y se determinan sus característi-cas), se ha previsto legalmente el tratamientode datos genéticos por la policía para lainvestigación de los delitos y la identificaciónde víctimas o de personas desaparecidas(Ley Orgánica 10/2007, de 8 de octubre,reguladora de la base de datos policialsobre identificadores obtenidos a partir delADN).

Asimismo se ha reconocido judicialmenteque no es lesivo del derecho a la autodetermi-nación informativa, por ejemplo, la utiliza-ción a efectos de control laboral de un algorit-mo elaborado a partir de una imagen parcialde la mano [Sentencia de la Sala Tercera del

30

Tribunal Supremo de 2 de julio de 2007(casación 5017/2003)], en el bien entendidoque tal uso se hace conforme a las exigenciasde los principios de respeto a la finalidad y deseguridad de los datos.

En definitiva, el ordenamiento jurídicodedica a la protección de datos de carácterpersonal una disciplina general —en la que elReglamento tiene una gran importancia— cuyonúcleo está bien definido.

Por otra parte, diversos textos legales hanextendido explícitamente los principios deprotección de datos a ámbitos específicos.Así, lo hace el artículo 230.5 de la LeyOrgánica del Poder Judicial, tras su reformade 1994, y también las normas sobre firmadigital (Ley 59/2003, de 19 de diciembre),telecomunicaciones (Ley 32/2003, de 3 denoviembre) o sobre los servicios de la socie-dad de la información y el comercio electró-nico (Ley 34/2002, de 11 de julio, con sumodificación por la Ley 52/2007, de 28 dediciembre, de Impulso de la Sociedad de laInformación). Otro tanto ha hecho la Ley 11/2007, de 22 de junio, de acceso electrónico delos ciudadanos a los servicios públicos. Tam-bién se han establecido algunas reglas espe-ciales en las recientes Leyes orgánicas 4/2007y 2/2006, sobre Universidades o Educación,respectivamente y en la Ley 30/2007, de

31

Contratos del Sector Público. Lo mismo hizola anterior Ley 41/2002, sobre autonomía delpaciente.

Ahora bien, las especialidades son pocas ymuy concretas y las remisiones a la LOPD nosuponen más que explicitar algo que por símismo ya resulta del propio imperio de laConstitución y de la LOPD. Esto significa que,en realidad, el régimen jurídico del derecho ala autodeterminación informativa es exclusi-vamente el que resulta de esa Ley Orgánica yde la interpretación que viene recibiendo. Y laaplicación de normas de carácter general a losproblemas que plantean los tratamientos dedatos de carácter personal en ámbitos singu-lares muy definidos no siempre es fácil. Esoha hecho que se reclamen reglas especialespara sectores concretos de particular impor-tancia. Por ejemplo, el de los datos relativosa la salud, en parte regulado por la Ley 41/2002, o el de los que son objeto de tratamientopor los órganos judiciales o en el marco de lasrelaciones laborales que tienen lugar en laempresa.

3.2. Según se ha visto, el Tribunal Consti-tucional no se manifestó sobre este derechohasta relativamente tarde. Y, cuando lo hizo,no todas sus primeras sentencias siguieron lamisma línea en lo que se refiere a la identifi-cación del derecho cuyo amparo estaba dis-

32

pensando. Así, la STC 254/1993, que abre laserie, es consciente de que, tras el artículo18.4 de la Constitución subyace algo que noes exactamente igual al derecho a la intimi-dad, pero mantiene la misma línea de relativaambigüedad que caracteriza la exposición demotivos de la LORTAD y su opción por eltérmino “privacidad” en un intento de eludirla toma de postura en el debate sobre el bienjurídico subyacente.

En la posterior STC 143/1994 deshará esaindefinición y razonará desde el punto de vistadel derecho a la intimidad para pronunciarsesobre el régimen del Número de Identifica-ción Fiscal. No obstante, en las SSTC 11, 33,35, 45, 60, 77, 94, 104, 105, 106, 123, 124,125, 126, 158, 198, 223 de 1998 y en lasSSTC 30, 44, 45 y 202 de 1999, preparará elcamino que conduce a las de 30 de noviembrede ese año.

Como dice la Sentencia 202/1999, el pre-visto por el artículo 18.4 de la Constitución

“Se trata, por tanto, de un instituto degarantía de otros derechos, fundamentalmenteel honor y la intimidad, pero también de uninstituto que es, en sí mismo, un derecho olibertad fundamental, el derecho a la libertadfrente a las potenciales agresiones a la digni-dad y a la libertad de la persona provenientesde un uso ilegítimo del tratamiento mecaniza-

33

do de datos (SSTC 254/1993, fundamentojurídico 6º y 11/1998, fundamento jurídico4º)”.

Y añade:

“la garantía de la intimidad adopta hoy unentendimiento positivo que se traduce en underecho de control sobre los datos relativos ala propia persona; la llamada «libertad infor-mática» es así el derecho a controlar el uso delos mismos datos insertos en un programainformático (habeas data) y comprende, en-tre otros aspectos, la oposición del ciudadanoa que determinados datos personales seanutilizados para fines distintos de aquel legíti-mo que justificó su obtención (SSTC 254/1993, fundamento jurídico 7º; 11/1998, fun-damento jurídico 4º; 11/1998, fundamentojurídico 4º y 94/1998, fundamento jurídico4º). 3”.

A partir de aquí, la STC 292/2000, despejaya las ambigüedades y establece rotundamen-te que lo que ya había considerado anterior-mente “un instituto de garantía de los dere-chos a la intimidad y al honor y del plenodisfrute de los restantes derechos de los ciu-dadanos” constituye, también, “un derecho olibertad fundamental”. Es, prosigue la sen-tencia, “lo que se ha dado en llamar «libertadinformática», la cual, precisa, posee “unadimensión positiva que excede el ámbito pro-pio del derecho fundamental a la intimidad

34

(...) y (...) se traduce en un derecho de controlsobre los datos relativos a la propia perso-na”.

Seguidamente, habla ya del derecho funda-mental a la protección de datos y se preocupade diferenciarlo del derecho a la intimidad,señalando que, si bien comparte con él “elobjetivo de ofrecer una eficaz protecciónconstitucional de la vida privada personal yfamiliar”, se distingue del mismo porque“atribuye a su titular un haz de facultades queconsiste en su mayor parte en el poder jurídicode imponer a terceros la realización u omisiónde determinados comportamientos cuya con-creta regulación debe establecer la Ley”. Nocualquier Ley, sino aquella que “conforme alart. 18.4 CE debe limitar el uso de la informá-tica, bien desarrollando el derecho fundamen-tal a la protección de datos (art. 81.1 CE), bienregulando su ejercicio (art. 53.1 CE)”. Añadeque la peculiaridad de este derecho fundamen-tal respecto del derecho a la intimidad radicaen la distinta función que cumplen, diferenciaque se proyecta sobre su objeto y contenidorespectivos.

Nos dice el Tribunal Constitucional que lafunción del derecho a la intimidad es la deprotegernos frente a cualquier invasión delámbito de la vida personal y familiar quedeseamos excluir del conocimiento ajeno y de

35

las intromisiones de terceros en contra denuestra voluntad, mientras que el derecho a laprotección de datos persigue garantizarnosun poder de control sobre nuestros datospersonales, sobre su uso y destino, a fin deimpedir su tráfico ilícito y lesivo para nuestradignidad y derechos.

Y que, si el derecho a la intimidad permiteexcluir ciertos datos personales del conoci-miento ajeno, “es decir, el poder de resguar-dar su vida privada de una publicidad noquerida”, por su parte, el derecho a la protec-ción de datos “garantiza a los individuos unpoder de disposición sobre esos datos”. De élderiva la prohibición de que los poderes pú-blicos se conviertan en fuentes de esa infor-mación sin las debidas garantías, así como eldeber de prevenir los riesgos que puedanderivarse del acceso o divulgación indebidasa la misma. Ahora bien, advierte que “esepoder de disposición sobre los propios datospersonales nada vale si el afectado desconocequé datos son los que se poseen por terceros,quiénes los poseen, y con qué fin”.

Por tanto, va concluyendo la sentencia, lasingularidad del derecho a la protección dedatos viene, de una parte, de la mayor ampli-tud de su objeto en comparación con el delderecho a la intimidad, ya que “extiende sugarantía no sólo a la intimidad en su dimen-

36

sión constitucionalmente protegida por el art.18.1 CE, sino a lo que en ocasiones esteTribunal ha definido en términos más amplioscomo esfera de los bienes de la personalidadque pertenecen al ámbito de la vida privada,inextricablemente unidos al respeto de la dig-nidad personal (...), como el derecho al ho-nor, (...) e igualmente, en expresión bienamplia del propio art. 18.4 CE, al plenoejercicio de los derechos de la persona”. Deesta manera, el derecho fundamental a laprotección de datos “amplía la garantía cons-titucional a aquellos de esos datos que seanrelevantes o tengan incidencia en el ejerciciode cualesquiera derechos de la persona, seano no derechos constitucionales y sean o norelativos al honor, la ideología, la intimidadpersonal y familiar o cualquier otro bienconstitucionalmente amparado”.

La sentencia precisa esta peculiaridad ma-terial del derecho examinado aclarando que elobjeto por él protegido no se reduce a losdatos íntimos de la persona, sino a cualquiertipo de dato personal, sea o no íntimo, cuyoconocimiento o empleo por terceros puedaafectar a sus derechos, sean o no fundamen-tales. De ahí que alcance también a “aquellosdatos personales públicos” ya que, por elhecho de serlo, “por ser accesibles al conoci-miento de cualquiera, no escapan al poder dedisposición del afectado”. Su derecho a la

37

protección de datos lo impide. En realidad,cubre “todos aquellos que identifiquen o per-mitan la identificación de la persona, pudien-do servir para la confección de su perfilideológico, racial, sexual, económico o decualquier otra índole, o que sirvan para cual-quier otra utilidad que en determinadas cir-cunstancias constituya una amenaza para elindividuo”.

Hay otro rasgo que, para el Tribunal Cons-titucional, singulariza a este nuevo derechofundamental frente al derecho a la intimidadpersonal y familiar del art. 18.1 CE. Enefecto, a diferencia de este último, “queconfiere a la persona el poder jurídico deimponer a terceros el deber de abstenerse detoda intromisión en la esfera íntima de lapersona y la prohibición de hacer uso de lo asíconocido, el derecho a la protección de datosatribuye a su titular un haz de facultadesconsistente en diversos poderes jurídicos cuyoejercicio impone a terceros deberes jurídicos,que no se contienen en el derecho fundamen-tal a la intimidad, y que sirven a la capitalfunción que desempeña este derecho funda-mental: garantizar a la persona un poder decontrol sobre sus datos personales, lo que sóloes posible y efectivo imponiendo a terceroslos mencionados deberes de hacer”.

38

Se trata del derecho del afectado a que sesolicite su previo consentimiento para reco-ger y usar sus datos personales, del derechoa saber y ser informado sobre el destino y usode esos datos y de los derechos a acceder,rectificar y cancelar dichos datos. Es decir,de los instrumentos que hacen posible supoder de disposición sobre sus datos persona-les.

Ese poder de disposición y de control sobrelos datos personales se concreta jurídicamen-te en la facultad de consentir la recogida, laobtención y el acceso a los datos personales,su posterior almacenamiento y tratamiento,así como su uso o usos posibles, por untercero, sea el Estado o un particular y “re-quiere como complementos indispensables,por un lado, la facultad de saber en todomomento quién dispone de esos datos perso-nales y a qué uso los está sometiendo, y, porotro lado, el poder oponerse a esa posesión yusos”. Completan los elementos característi-cos de la definición constitucional de estederecho fundamental la facultad del afectadode ser informado de quién posee sus datospersonales y con qué fin, a la que correspondeel deber del responsable de informarle de quédatos posee sobre su persona y de qué destinohan tenido, lo que alcanza también a posiblescesionarios. Todo ello además de rectificar ocancelar los que proceda.

39

Reconoce el Tribunal Constitucional queestas conclusiones sobre el significado y elcontenido el derecho a la protección de datospersonales se ven confirmadas por los instru-mentos internacionales que se refieren a estederecho fundamental a los que ha tenido queacudir en cumplimiento del artículo 10.2 de laConstitución. Se trata de la Resolución 45/95de la Asamblea General de las Naciones Uni-das que recoge la versión revisada de losPrincipios Rectores aplicables a los FicherosComputadorizados de Datos Personales. Na-turalmente, del Convenio para la Protecciónde las Personas respecto al Tratamiento Auto-matizado de Datos de Carácter Personal he-cho en Estrasburgo el 28 de enero de 1981 yde la Directiva 95/46, sobre Protección de lasPersonas Físicas en lo que respecta al Trata-miento de Datos Personales y la Libre Circu-lación de estos datos. En fin, la Carta deDerechos Fundamentales de la Unión Euro-pea completa esta relación. Subraya la Sen-tencia que todos estos textos coinciden en elestablecimiento de un régimen jurídico parala protección de datos personales basado en lapredisposición de un haz de garantías para losafectados, semejante al que ha descrito, quehace posible su respeto.

Sobre los límites de este derecho funda-mental recuerda que el artículo 105 b) de laConstitución encarga a la ley regular el acceso

40

a los archivos y registros administrativos“salvo en lo que afecte a la seguridad ydefensa del Estado, la averiguación de losdelitos y la intimidad de las personas” y que,en numerosas ocasiones, el Tribunal Consti-tucional ha dicho que la persecución y castigodel delito constituye, asimismo, un bien dignode protección constitucional, a través del cualse defienden otros como la paz social y laseguridad ciudadana, los cuales encuentranreconocimiento en los artículos. 10.1 y 104.1de la Constitución. Lo mismo sucede con ladistribución equitativa del sostenimiento delgasto público y las actividades de control enmateria tributaria (artículo 31) como bienes yfinalidades constitucionales legítimas capa-ces de restringir los derechos del artículo 18.1y 4 del texto fundamental.

Precisamente, advierte la Sentencia, elConvenio europeo de 1981 también ha tenidoen cuenta estas exigencias en su artículo 9. Aligual que el Tribunal Europeo de DerechosHumanos. Este último, al hablar de la garan-tía de la intimidad individual y familiar, apli-cable al tráfico de datos de carácter personal,reconoció que puede tener límites como laseguridad del Estado (caso Leander, 1987), ola persecución de infracciones penales (casosZ, 1997, y Funke, 1993). Y ha exigido quetales limitaciones estén previstas legalmente ysean las indispensables en una sociedad de-

41

mocrática. Esto significa que la ley que lasestablezca sea accesible al individuo concer-nido por ella, que resulten previsibles lasconsecuencias que para él pueda tener suaplicación y que respondan a una necesidadsocial imperiosa, además de ser adecuados yproporcionados para el logro de su propósito(caso X e Y, 1985; caso Leander; caso Gaskin,1989; caso Funke; caso Z).

El resumen anterior muestra que el Tribu-nal Constitucional ha querido trazar un com-pleto dibujo de este derecho fundamental. Nosólo indica su singularidad sobre los otros quereconoce el artículo 18.1 sino que lo diferen-cia expresamente del derecho a la intimidad y,pese al silencio de la LOPD, sitúa su sede enel apartado cuarto de ese precepto, sinextraer ninguna consecuencia relevante detal actitud del legislador. Además, expone sucontenido y límites y reconoce la virtualidadinterpretativa que para precisarlos ofrecen lostextos internacionales y comunitarios, inclui-da la Carta de los Derechos Fundamentales dela Unión Europea.

Desde esas premisas, resuelve el recursode inconstitucionalidad del Defensor del Pue-blo y declara inconstitucionales la comunica-ción de datos entre ficheros de las Adminis-traciones Públicas cuando carezca de consen-timiento del afectado o de previsión legal

42

(artículo 21 LOPD) y, también, las limitacio-nes del artículo 24.2 al ejercicio de los dere-chos de acceso, rectificación y cancelación enlos ficheros de titularidad pública, así como laprevisión del primer apartado de ese mismoartículo que excluía el deber de informar alafectado en la recogida de datos para esosmismos ficheros cuando “impida o dificultegravemente el cumplimiento de las funcionesde control y verificación de las Administra-ciones públicas» y cuando afecte a la perse-cución de infracciones administrativas.

Por su parte, la STC 290/2000, de lamisma fecha que la anterior, confirmó laconstitucionalidad de la opción realizada porla LORTAD y mantenida por la LOPD de atribuirla competencia exclusiva sobre los ficheros detitularidad privada a la Agencia Española deProtección de Datos.

Después de estos pronunciamientos, elTribunal Constitucional no ha vuelto a dictarotros significativos en la materia a excepcióndel que luego se mencionará sobre la publica-ción de sus Sentencias y resoluciones.

Visto retrospectivamente, no puede evitar-se la impresión de que el supremo intérpretede la Constitución empezó a moverse en ladirección que le condujo a las Sentencias de30 de noviembre de 2000 a medida que lo

43

hacían el legislador, la Unión Europea y elTribunal Europeo de Derechos Humanos. Enefecto, es llamativo que la primera Sentenciasobre el derecho a la protección de datos —laSTC 254/1993— no se dicte sino pocos mesesdespués de la entrada en vigor de la LORTAD yque la 11/1998 y las que componen la serieque ésta encabeza surjan cuando se discute latransposición de la Directiva 46/95/CEE. Enfin, las de 30 de noviembre de 2000, no sólocuentan ya con el referente de destacadasdecisiones del Tribunal de Estrasburgo, sinoque aparecen casi a la par que la Carta de losDerechos Fundamentales de la Unión Euro-pea. En cambio, en su día, en 1981, el Con-venio nº 108 del Consejo de Europa pasóprácticamente inadvertido.

Estas circunstancias son las que me hanllevado a subrayar la importancia del diálogoe interacción a los que aludía antes. Al final,ha sido la confluencia de factores de distintanaturaleza (legislativa, judicial, política) yámbito (estatal, comunitario, internacional)la que explica la decisión de nuestro TribunalConstitucional de reconocer un nuevo de-recho fundamental a la protección de datosde carácter personal como categoría autó-noma y distinta del derecho a la intimidad,sirviéndose, ahora sí, para ello de aportacio-nes doctrinales anteriores que venían propug-nando ese paso.

44

3.3. No es extraño que la experiencia ini-cial se haya caracterizado por una gran igno-rancia de las exigencias que comporta elreconocimiento de este derecho. Ignoranciaque no es contradictoria con la relevancia queposee, sino que refleja lo insidioso de lasamenazas que quiere conjurar: no se percibendirectamente pues están ocultas a los ojos dequienes las padecen. Eso es lo que sucedecuando no se obtiene un crédito, un alquiler oun trabajo a causa de informes sobre la perso-na del interesado de los que éste no tienenoticia y de los que, por tanto, no puededefenderse.

En esta fase, las Agencias de Protección deDatos han tenido, primero, que constituirse yasentarse allí donde se han creado. Luego,han debido concentrar gran parte de sus es-fuerzos en una suerte de pedagogía dirigida alos ciudadanos y a las instituciones, a vecesmás ajenas que aquellos a la existencia de unrégimen jurídico de protección de datos. Noson sólo anécdotas que un Alcalde de Madridse preguntara si la Agencia de Protección deDatos era una agencia de viajes, ni el retrasocon el que el Consejo General del PoderJudicial notificó al Registro General de Pro-tección de Datos sus ficheros o la existencia almargen de las previsiones legales de ficherosde diversa naturaleza en distintos órganosjurisdiccionales. O que aparezcan en papele-

45

ras o contenedores de basura historias clínicaso informes sobre entrevistas de trabajo, porno hablar de los innumerables registros dedatos personales en poder de las empresascuya existencia no ha sido notificada y care-cen de todo control.

Es verdad, sin embargo, que la AgenciaEspañola, creada en 1994, y la de la Comuni-dad de Madrid, constituida en 1997 (Ley 13/1995, de 21 de abril, modificada por la Ley 8/2001, de 13 de julio, de Protección de Datosen la Comunidad de Madrid, y Decreto 67/2003, de 22 de mayo), están realizando unimportante esfuerzo para cumplir las funcio-nes que les han encomendado los legislado-res. Así, despliegan tareas informativas, in-cluso, educativas, junto a sus cometidos con-sultivo, inspector y sancionador. Las Agen-cias catalana (Ley 5/2002, de 19 de abril, yDecreto 48/2003, de 20 de febrero) y vasca(Ley 2/2004, de 25 de febrero y Decretos 308y 309/2005, de 18 de octubre) son más recien-tes y no han tenido tiempo de realizar unalabor prolongada aunque desde el primermomento han emprendido su actuación con lamisma intensidad que las anteriores. Sin em-bargo, el trabajo que tienen por delante esinmenso.

46

3.4. Por su parte, los Tribunales de Justi-cia confirman, en general, la actuación deestas instituciones especializadas que consti-tuyen una primera línea de defensa para losafectados, e interpretan las normas de laforma más favorable a la efectividad delderecho fundamental.

3.4.1. En efecto, sus decisiones se ven ensu mayor parte confirmadas judicialmente.Sean las Salas de los Tribunales Superiores deJusticia, sea la Audiencia Nacional o el Tribu-nal Supremo, en líneas generales, ratificanla legalidad de la actuación de esas institucio-nes y llevan a cabo una interpretación de laLOPD y demás normas de aplicación a laprotección de datos de carácter personal di-rectamente dirigida a restringir el alcance delas previsiones restrictivas de derechos delafectado, a ampliar sus facultades de autode-terminación informativa y a potenciar lasreglas objetivas sobre calidad de los datos decarácter personal. Labor a la que contribuyenen sus esferas de actuación el Tribunal Cons-titucional y los Tribunales de Justicia de lasComunidades Europeas y el de Estrasburgo.

Ha de tenerse en cuenta, igualmente, quejunto a las normas e instituciones especial-mente establecidas para asegurar el respeto deeste derecho fundamental, el conjunto de losmecanismos del Estado de Derecho juega en

47

su favor. Especialmente, cuando de actuacio-nes administrativas se trata, ya que debenobservar las reglas sobre el procedimiento yrespetar los límites que vinculan la actuaciónde los poderes públicos. Reglas y límites quehacen valer los tribunales.

Así, además de recordar la Sentencia delTribunal Constitucional 292/2000, cabe seña-lar la Sentencia de la Sala Tercera del Tribu-nal Supremo de 28 de marzo de 2007 (recurso76/2005), que declaró la nulidad de los artícu-los 323.1 y 2 y 324 del Reglamento delRegistro Mercantil (Real Decreto 685/2005)sobre publicidad vía Internet de resolucionesjudiciales sobre deudores concursados porfalta de dictamen del Consejo de Estado sobrela redacción finalmente aprobada. O, en elDerecho Comunitario, la Sentencia del Tribu-nal de Justicia de las Comunidades Europeasde 30 de mayo de 2006, que anuló el Acuerdoentre la Comunidad Europea y los EstadosUnidos de América sobre el tratamiento y latransferencia de los datos de los expedientesde los pasajeros por las compañías aéreas alDepartamento de Seguridad Nacional porqueel artículo 95 del Tratado constitutivo de laComunidad Europea no habilitaba a la Comi-sión para convenir ese Acuerdo.

Ya en el campo específico de la protecciónde datos de carácter personal, el Tribunal de

48

Justicia ha dictado Sentencias relevantes, comola de 6 de noviembre de 2003 (caso Linqvist)o, más recientemente, la de 29 de enero de2008 (caso Promusicae/Telefónica de Espa-ña). Ambas tienen en común proyectar sututela en el ámbito de Internet, si bien enrelación con problemas diferentes. En efecto,la primera considera tratamiento de datospersonales la referencia a ellos en una páginaweb. La segunda, en cambio, establece que ladefensa de los derechos de propiedad intelec-tual en los intercambios de archivos P2P noconlleva la obligación de los operadores de lasredes de desvelar la identidad de quienes losrealizan.

Por su parte, el Tribunal Europeo de Dere-chos Humanos, en su Sentencia de 3 de abrilde 2007 (caso Copland contra el Reino Unido)ha precisado que la navegación por Internet ylos archivos temporales que se guardan de loslugares visitados están protegidos por el artí-culo 8 del Convenio Europeo.

Volviendo al Tribunal Supremo, es impor-tante subrayar que su Sala Tercera cir-cunscribió el concepto de interesado que fran-quea el acceso a las resoluciones judiciales aquienes fueran parte o tuvieran un interésconcreto en el litigio [Sentencia de 3 de marzode 1995 (recurso 1218/1991], abriendo elcamino a que se eliminen, de las que se

49

publican en las bases de datos, las referenciasque permiten identificar a las personasafectadas (artículo 266.1 de la Ley Orgánicadel Poder Judicial). Camino éste que, sinembargo, no ha seguido el Tribunal Constitu-cional respecto de sus propias resoluciones(STC 114/2006).

Asimismo, ha negado el acceso a ficherosjudiciales de litigantes que pretendían hacersecon la información personal de la parte con-traria que constaba en ellos y correspondía aotros procesos [STS de 18 de septiembre de2006 (recurso 274/2002]. Y, en general, hadelimitado el derecho de acceso a los archivosy registros públicos, previsto en el artículo105 b) de la Constitución y regulado en elartículo 37 de la Ley 30/1992, de 26 denoviembre, de Régimen Jurídico de las Admi-nistraciones Públicas y del ProcedimientoAdministrativo Común, en lo que ahora im-porta, además de en atención al derecho a laintimidad, en razón de la existencia de uninterés legítimo y del respeto al principio deproporcionalidad [STS de 19 de mayo de 2003(casación 3193/1999)].

También ha negado virtualidad al artículo39.3 de la Ley 7/1996, de Ordenación delComercio Minorista, para hacer accesibleslos datos del censo electoral, cuya prohibi-ción de tratamiento mantiene en tanto la Ley

50

Orgánica del Régimen Electoral General nodisponga otra cosa [STS de 7 de marzo de 2006(casación 1728/2002), que recoge otras ante-riores a partir de la STS de 18 de octubre de2000].

Asimismo, en extremos estrechamente re-lacionados con el tratamiento de datos porsujetos privados, la jurisprudencia está sien-do especialmente rigurosa.

Es lo que sucede en cuanto a la exigenciadel consentimiento, que no permite entender-lo concedido por la falta de manifestación delafectado en sentido contrario tras la comuni-cación de un sujeto privado de que se proponetratar sus datos de no recibir comunicación encontra [STS de 18 de marzo de 2005 (casación7707/2000)]; y a propósito de la finalidaddeterminada, que excluye la validez de lasformuladas en términos genéricos [STS de 11de abril de 2005 (casación 4209/2001)]. Ocuando limita a sus estrictos términos legalesel concepto de fuente accesible al público [STS

de 20 de febrero de 2007 (casación 732/2003)] y exige que los responsables de losficheros y tratamientos velen por la calidad delos datos, depurando los inexactos y no pues-tos al día [STS de 18 de julio de 2006 (casación322/2005)].

51

Lo mismo puede decirse de pronuncia-mientos sobre el tratamiento por particularesde datos sensibles sin pedir el necesario con-sentimiento, como los relativos a la afiliaciónpolítica [STS de 25 de enero de 2006 (casación7396/2001)] o a las creencias [STS de 17 deabril de 2007 (casación 3755/2003)].

En cuanto a la utilización de datosbiométricos, ya se ha dicho que la Sentenciade la Sala Tercera del Tribunal Supremo de 2de julio de 2007 (casación 5017/2003) noconsideró lesivo de derecho fundamental a laprotección de datos un sistema de controllaboral basado en la digitalización de unaimagen de la mano en los términos de finali-dad y seguridad allí contemplados. Tampocoapreció exceso en el recurso a este procedi-miento a la vista de los argumentos planteadosen el proceso.

Y, en el orden social, la Sentencia de 26 deseptiembre de 2007 (unificación de doctrina966/2006), siguiendo la doctrina del TribunalEuropeo de Derechos Humanos (caso Coplandcontra el Reino Unido) y, a propósito de lainformación derivada del seguimiento del usopersonal de Internet por los trabajadores des-de los ordenadores de la empresa, consideróque ésta no podía efectuarlo sin previa adver-tencia sobre las condiciones de utilización y

52

control de los mismos, en la línea de loestablecido por el Garante italiano de la Privacyen su Instrucción de 1 de mayo de 2007 sobreLavoro: le linee guida del Garante per postaelettronica e internet.

La Audiencia Nacional y los TribunalesSuperiores de Justicia están dictando Senten-cias de indudable importancia para la másplena eficacia de este derecho fundamental.Interpretación que supera algunos de los ex-tremos conflictivos del texto legal. Esos pro-nunciamientos se apoyan en los principios dela protección de datos del artículo 4 paradespejar dudas o evitar contradicciones. Vea-mos.

1) Por ejemplo, en lo relativo a la utiliza-ción de los datos para finalidades no incom-patibles con la que justificó su recogida. LaLOPD modificó en este punto la LORTAD demanera que si aquella prohibía su uso parafines distintos de los que motivaron la capta-ción de los datos personales, ahora el alcancede esa prohibición es mucho más reducido:llega solamente a las finalidades incompati-bles con la original. Pues bien, la AudienciaNacional ha dictado varias Sentencias [de 11de febrero de 2004 (recurso 119/2002) y de 8de febrero de 2002 (recurso 1067/2000)] enlas que sostiene que la nueva redacción, reco-gida en el artículo 4.2 de la LOPD no puede

53

tener un sentido distinto de la que ese mismoprecepto de la LORTAD imponía.

Razonó la Audiencia Nacional que en cas-tellano la palabra incompatible entraña repug-nancia entre dos cosas o términos y que si sepretendiera limitar esta cláusula solamente alos supuestos en que se diera esa contradic-ción, eso equivaldría a dejarla sin efectoporque en muy pocos supuestos existiría unacontradicción de tal naturaleza. Por eso, llegóa la conclusión de que por fines incompatibleshabía que entender fines distintos, ya que,además, esa solución era la que mejor seajustaba a los principios de la ley y a larelevancia que atribuye al consentimiento que,interpretando el artículo.6.2, entiende nece-sario cuando se pretenda usar esos datos parafinalidades diferentes de las iniciales.

Línea esta en la que también se encuentranSentencias de Tribunales Superiores de Justi-cia, como la de la Sala de lo Contencioso-Administrativo de la Comunidad Valenciana1901/2002, de 27 de noviembre. O la del deMadrid 90/2003, de 29 de enero.

2) O que el principio de calidad de losdatos obliga a quien los trata a velar por suveracidad, exactitud y actualidad, lo que,entre otras cosas, hace ilegítimo el manteni-miento en ficheros de solvencia patrimonial

54

del saldo cero porque no refleja la situaciónreal del afectado, que no tiene ningún saldodeudor [Sentencias de 12 de agosto de 2004(recurso 599/2002) y, antes, Sentencias de 15de mayo, de 6 de junio y de 3 de marzo, todasellas de 2002 (dictadas en los recursos 656 y711 de 2001 y en el recurso 388/2002, respec-tivamente)].

3) Ha dicho, igualmente la Audiencia Na-cional que la cancelación de la inscripción enuno de estos ficheros de solvencia patrimonialno depende —ni puede depender— del mo-mento en que se contabiliza el pago de ladeuda. Así, el mantenimiento de la condiciónde moroso con posterioridad a la satisfacciónde la obligación supone incumplir el deberque la LOPD impone a quien trata datos perso-nales de que sean veraces, exactos y de queestén actualizados [Sentencia de 18 de febrerode 2004 (recurso 209/2002)].

4) O convierte en culpable de infracciónal responsable del fichero que mantiene datoserróneos y los cede a terceros [Sentencias de16 de junio, 24 de abril, 3 de marzo y 21 deenero, todas ellas de 2004 (recursos 865, 445,346, de 2002 y 1937/2001)].

5) Igualmente, ha dicho que en las cesio-nes de datos es el cedente el que debe lograr

55

el consentimiento del afectado cuando seapreceptivo. No obstante, precisa que esto noexime de responsabilidad al cesionario por elincumplimiento de su deber de desplegar unaactividad razonable y diligente encaminada acomprobar que aquél lo obtuvo [Sentencias de30 de junio de 2004 (recurso 619/2002) y de15 de septiembre de 2001 (recurso 1120/1999)].

6) Otro de los extremos que ha merecidosu atención es el que se refiere a la informa-ción en el momento de la recogida de losdatos, respecto de la que ha dicho que ha deser completa, clara e inequívoca sobre losdestinatarios de esos datos y de la finalidadperseguida. La falta de alguno de estos requi-sitos determina la responsabilidad de quien lohubiere omitido [Sentencia de 21 de abril de2004 (recurso 480/2002)].

7) La carencia de las medidas de seguri-dad necesarias llevó a la anulación de laOrden del Ministerio de Sanidad y Consumode 18 de diciembre de 2000 que creaba unfichero de datos, gestionado por ese departa-mento, relativos al Sistema de Informaciónsobre Nuevas Infecciones (SINIVIH). La Au-diencia Nacional, en Sentencia de 24 de mar-zo de 2004 (recurso 226/2001), falló en esesentido tras comprobar que era posible laidentificación de los afectados con un alto

56

grado de evidencia y que también podíanproducirse confusiones.

8) Respecto de los ficheros no automati-zados dijo que sus responsables debían cum-plir los deberes que la LOPD impone a quienestratan información personal y afectan a losderechos fundamentales de las personas sinque el plazo de doce años que concedía paraque se adaptaran a ella significase que estu-vieran exentos de ellos. En concreto, la Au-diencia Nacional entendió que la cesión aterceros de datos personales que constaban enuno de estos ficheros sin obtener el consenti-miento del afectado era una infracción puni-ble, pues suponía la inobservancia del deberde guardar secreto sobre los datos sensibles[Sentencia de 19 de mayo de 2004 (recurso754/2002)].

3.4.2. Claro que, al igual que sucede conel Tribunal Constitucional y su antes mencio-nada Sentencia 114/2006, hay pronunciamien-tos recientes que parecen encajar mal en esalínea.

Por ejemplo, el de la Sentencia 236/2008,de 9 de mayo, de la Sala Segunda del TribunalSupremo, para la cual quien utiliza “un pro-grama P2P, en nuestro caso EMULE, asumeque muchos de los datos se convierten enpúblicos para los usuarios de Internet, cir-

57

cunstancia que conocen o deben conocer losinternautas, y tales datos conocidos por lapolicía, datos públicos en Internet, no sehallaban protegidos por el art. 18-1º ni por el18-3 C.E.”. Posición ésta que suscita dudasdesde la perspectiva que ofrece, por ejemplo,la Sentencia del Tribunal Europeo de Dere-chos Humanos dictada en el caso Coplandcontra el Reino Unido, que considera contra-rio al derecho al respeto de la vida privada lacaptación y almacenamiento de informaciónpersonal sin conocimiento del afectado de suscorreos electrónicos y del uso que hace deInternet.

O la que ha dictado la Sala Tercera el 19 deseptiembre de 2008 (casación 6031/2007)que, en contra del criterio de la AgenciaEspañola de Protección de Datos y de laAudiencia Nacional, mantiene que los librosde bautismos parroquiales no son ficheros dedatos personales y que no están sujetos a laLOPD. Sentencia a la que acompaña un votoparticular discrepante que sostiene que debióplantearse la cuestión prejudicial ante el Tri-bunal de Justicia de las Comunidades Euro-peas sobre el alcance de las previsiones de laDirectiva 95/46 sobre los conceptos de fiche-ro de datos de carácter personal y de trata-miento al objeto de establecer si comprendena los libros de bautismos parroquiales.

58

Seguramente, las circunstancias concretascontempladas en cada uno de los litigios en losque se han producido estos pronunciamientosofrecen argumentos que explican la posiciónexpresada en las sentencias. En cualquiercaso, lo cierto es que no guardan sintonía conuna cada vez más larga serie de fallos judicia-les que, en distintos niveles —internaciona-les, europeos, internos— y contextos juris-diccionales, hacen valer el derecho funda-mental a la protección de datos de carácterpersonal, sea frente a la actuación de lospoderes públicos, sea en las relaciones entreparticulares.

4. Los retos pendientes

4.1. Ahora bien, a propósito de su efecti-vidad nos encontramos con que, sin habersalido todavía de la etapa de desconocimientodel derecho a la autodeterminación informati-va, nos estamos adentrando en otra en la quesu contenido se ve en parte comprimido en unproceso que parece avanzar con cierta fuerzaa impulsos de los cada vez más grandesintereses que se mueven en torno a la utiliza-ción de datos personales. Así, al peligroprocedente del poder, se añade el que surgedel valor económico de esta información.

En los debates parlamentarios que llevarona la aprobación de la LOPD se advierten los

59

ecos de las presiones de los grupos de interésen las normas sobre el consentimiento, elcenso promocional o los ficheros de las asegu-radoras. Y algo parecido puede decirse de lasllamadas listas de exclusión de envíos publi-citarios (artículos 31 de la LOPD y 49 delReglamento) o de la presunción del consenti-miento tácito para tratar datos en todos loscasos en que la Ley Orgánica no exija que seaexpreso.

En efecto, me parece llamativo que elartículo 15 del Reglamento lo de por prestadosiempre que, tras haberle comunicado el res-ponsable del tratamiento que va a tratar susdatos personales, con la información queexigen los artículos 5 de la LOPD y 12.2 delReglamento, el afectado no manifieste sunegativa dentro de los treinta días siguientesa la recepción de la comunicación en cuestión.Teniendo en cuenta que la Ley Orgánicarequiere que el consentimiento sea inequívo-co (artículo 6.1) me parece difícilmente com-patible con ella la solución reglamentaria.

Esta evidente flexibilización puede res-ponder a la idea de que mantener con caráctergeneral una posición estricta o rigurosa sobrela forma de prestar el consentimiento en loscasos en que la LOPD no requiere explícita-mente que sea expreso no es eficaz debido altodavía amplio desconocimiento que existe en

60

torno a este derecho y a la dificultad de hacerefectivo su cumplimiento en la práctica. Con-sideración a la que acompañaría la de que sonmás eficaces, a la hora de salvaguardar estederecho en las condiciones actuales, las ini-ciativas encaminadas a asegurar la calidad delos datos y, particularmente, el respeto a lafinalidad y al principio de proporcionalidad.

De ser así, hay que reconocer que se tratade un planteamiento respetable aunque, insis-to, difícilmente compatible con la regulaciónlegal a la que está sometido el reglamento y encontraste con los criterios que ha ido sentandola jurisprudencia en torno al consentimiento alos que se ha hecho referencia. Criterios que,no debe olvidarse, se apoyan en el carácterinequívoco que la Ley Orgánica ha queridoatribuirle para que sea válido. Por lo demás,al margen del juicio que se mantenga sobre sulegalidad, parece claro que esta opción regla-mentaria, más que un desarrollo que potencielas posibilidades ofrecidas por la LOPD apun-ta, so pretexto de un realismo pragmático, asu interpretación menos ambiciosa, actitudque contrasta con principios como el de favorlibertatis que vienen presidiendo la de losderechos fundamentales.

4.2. En otro plano, la difusión de disposi-tivos que captan la imagen en espacios públi-cos, en establecimientos comerciales, en cen-

61

tros de trabajo, zonas comunes de comunida-des de propietarios y en otros lugares seme-jantes, hace posible que quienes controlanesos mecanismos tengan cada vez más infor-mación sobre más personas con lo que, poten-cialmente, se abren nuevos frentes de peligrode difícil control. Se añaden a los instrumen-tos que están en poder de cualquier persona ypermiten hacerse con la imagen y la voz deotros con suma facilidad.

La llamada videovigilancia se está genera-lizando en todos los ámbitos dándose la cir-cunstancia de que su rápida implantación seestá llevando a cabo en la mayor parte de loscasos sin observar las normas de la LOPD que,sin duda, son aplicables, ya que la imagen, aligual que el sonido, es un dato personalsometido a su imperio desde el momento enque identifica o permite identificar a aquél aquien pertenece. Y esto ocurre con un mediotécnico de enorme capacidad agresiva no sólopara la información personal sino tambiénpara la intimidad e, incluso, la propia libertadindividual.

Sucede, además, que este acelerado proce-so de instalación de dispositivos idóneos parahacerse con la imagen se está haciendo sin quese haya establecido una regulación precisaque adapte a sus peculiaridades las normasgenerales sobre protección de los derechos

62

del artículo 18 de la Constitución. En efecto,aparte de la Ley Orgánica 4/1997, de 4 deagosto, por la que se regula la utilización devideocámaras por las Fuerzas y Cuerpos deSeguridad en lugares públicos, que solamentese ocupa de las cámaras situadas en el exteriorpara usos policiales, únicamente una Instruc-ción de la Agencia Española de Protección deDatos, la 1/2006, de 8 de noviembre, sobre eltratamiento de datos personales con fines devigilancia a través de sistemas de cámaras ovideocámaras, ha sentado hasta el momentoalgunos criterios al respecto.

Son interesantes las consideraciones quehace en su preámbulo. Así, dice que, confor-me al principio de proporcionalidad, siempreque resulte posible, deben preferirse otrosmedios menos agresivos para las personas afin de prevenir interferencias injustificadasen los derechos y libertades fundamentales.De ahí que sostenga que el uso de cámaras ovideocámaras no deba ser el medio inicialpara llevar a cabo funciones de vigilancia.Asimismo, desde un punto de vista objetivo,subraya que la utilización de estos sistemasdebe ser proporcional al fin perseguido, queen todo caso deberá ser legítimo. E indica queel respeto a ese principio exige evitar abusoscomo, por ejemplo, sucedería con la instala-ción de sistemas de vigilancia en espacioscomunes o en aseos del lugar de trabajo o de

63

dispositivos que permitan una observaciónpermanente y omnipresente ya que hace vul-nerable a la persona.

Parece claro que estos son criterios razona-bles que han de respetarse siempre que sepretenda la utilización de estos medios técni-cos en espacios interiores como los que se hanmencionado antes. No obstante, en lo relativoa la preferencia de otros medios no parecerealista pensar, ante la tendencia cada vez másextendida a la instalación de sistemas devideovigilancia en todo tipo de establecimien-tos, que se vaya a respetar. La apelación a laseguridad es difícil de objetar y no pareceexagerado considerar que la preocupaciónpor incrementarla conducirá a un crecienterecurso a estos instrumentos técnicos, porotra parte, cada vez más baratos, sencillos ymanejables e idóneos para lograr con menospersonal una más amplia supervisión y con-trol.

Esto, ciertamente nos afectará a todos perotendrá una incidencia especial en quienestrabajan en esos establecimientos, ya queestarán permanentemente expuestos a las cá-maras o aparatos semejantes. Aquí sí es dondedeberá hacerse plenamente efectiva la exigen-cia de proporcionalidad en la que insiste laAgencia Española de Protección de Datos ydonde se deberá velar por el cumplimiento de

64

todas las garantías de información y salva-guardia de los derechos de los afectados pre-vistas en la LOPD.

Para ello, me parece que sería convenientesentar normas específicas a través de fuentesapropiadas.

4.3. Naturalmente, Internet y, en general,las tecnologías de la información y las teleco-municaciones no sólo potencian la dimensiónmercantil de los datos personales, sino quehan provocado nuevas preocupaciones rela-cionadas, unas con la dimensión universal delas redes, que dificulta la aplicación de nor-mas circunscritas a ámbitos territoriales limi-tados. Otras con los mecanismos que permi-ten seguir la navegación a través de ellas. Enfin, están las vinculadas a la seguridad públi-ca ante la utilización de estos instrumentoscon fines delictivos, como, por ejemplo, lasque han dado lugar a la Ley 25/2007, de 18 deoctubre, de conservación de datos relativos acomunicaciones electrónicas y redes públicasde comunicaciones, la cual trae causa, a suvez, de la Directiva 2006/24/CE, en cuyaelaboración influyeron notablemente los aten-tados de Londres de julio de 2005.

En este horizonte hay que tener en cuentaque la Ley 11/2007, de acceso electrónico delos ciudadanos a los servicios públicos, prevé

65

que, a partir del 31 de diciembre de 2009,podremos ejercer nuestro derecho a relacio-narnos electrónicamente con la Administra-ción (disposición final tercera). Obviamente,la generalización de esa forma de comunica-ción facilitará el acopio por los poderes públi-cos de mucha más información personal y sutratamiento. Ese proceso se unirá a los que yaestán en marcha en la esfera privada en loscampos del comercio electrónico y, en gene-ral, de los servicios de lo que ha venido enllamarse sociedad de la información, en losque los datos personales que se manejan al-canzan cantidades ingentes.

El desarrollo de estos fenómenos compor-tará cambios cualitativos sin duda, en gene-ral, beneficiosos pero también traerá nuevasfuentes de problemas para la garantía delderecho a la autodeterminación informativa,precisamente por el enorme caudal de infor-mación personal que circulará, que está circu-lando ya, en esas relaciones públicas y priva-das y la creciente tensión que originan apropósito de ella las demandas de seguridadpública y de beneficio privado.

De este modo, el derecho a la autodetermi-nación informativa y otros derechos funda-mentales se ven enfrentados a retos de grancalado. Desde luego, la protección de losdatos de carácter personal se hace más difícil.

66

No ya porque haya leyes que, sea por razonesde seguridad, sea por exigencias del mercado,la restrinjan, sino porque las magnitudes aque ascienden los tratamientos de informa-ción personal relativizan extraordinariamentelas posibilidades reales de control.

El escenario, mejor dicho, los escenariosque surgen de estas circunstancias no son losmás favorables para el derecho que nos ocu-pa. Parecería, incluso, que, antes de habertenido la posibilidad de desplegar sus efectosdefensivos, estuviera siendo objeto de unaprogresiva reducción de la mano de los inte-reses económicos, por un lado, y de lasnecesidades de la lucha contra la criminalidadorganizada, particularmente, contra el terro-rismo, del otro. Precisamente, ambas pers-pectivas hacen acto de presencia en las rela-ciones de la Unión Europea con los EstadosUnidos a propósito de las transferencias dedatos personales a ese país, dotado de unmenor régimen de protección que el europeopero que, sin embargo, ha logrado hacer valersus pretensiones tanto en materia de seguri-dad como, en general, de circulación de lainformación personal. Razones de poder po-lítico y económico lo explican.

4.4. Las dificultades, por grandes que sean,no deben impedir la aplicación de las normasjurídicas que garantizan un derecho funda-

67

mental. Al fin y al cabo, vincula a todos lospoderes públicos y, además de su vertientesubjetiva, tiene una dimensión objetiva entanto se integra en el orden de principios yvalores sobre el que se asienta la convivencia.El derecho a la autodeterminación informati-va, como los demás derechos fundamentales,posee esta doble condición. Tal vez sea lafallida Constitución Europea, me refiero alTratado por el que se establece una Constitu-ción para Europa, la que mejor lo ha expresa-do cuando, antes de reconocer el derecho a laprotección de datos de carácter personal (ar-tículo II-68), lo proclamaba dentro del TítuloVI, “De la vida democrática en la Unión”(artículo 1-51), como uno de los elementosque la conforman.

Por tanto, se trata de sacar las consecuen-cias debidas de esa posición. Consecuenciasque llevan a promover la acción de todos lospoderes públicos para que, cada uno en suámbito de actuación, no sólo ajusten su proce-der a las exigencias de este derecho, sino que,además, promuevan positivamente su respetoe, incluso, remuevan los obstáculos que difi-cultan su efectividad.

Está claro que decirlo es más fácil quehacerlo. No obstante, la tecnología tambiénfavorece el ejercicio de la vigilancia y elcontrol sobre los tratamientos de información

68

personal. En términos positivos porque per-mite extender la vigilancia y, negativamente,porque —prohibiendo a los fabricantes y dis-tribuidores la instalación en los aparatos quesirven para acceder y moverse en las redes, dedispositivos que lo hacen posible— se puedeimpedir o, cuando menos dificultar notable-mente seguir la pista a quienes los utilizan.

Al mismo tiempo, en la sociedad mediáticade nuestros días las decisiones sancionadorasde las autoridades de control —de las Agen-cias de Protección de Datos— e, incluso, lasmeramente inspectoras, y las decisiones judi-ciales que las confirman, pueden alcanzar uneco amplísimo que potencie sus efectos pre-ventivos y contribuya a crear una cultura dedefensa de la autodeterminación informati-va.

Por lo demás, sea en el ámbito del Consejode Europa y de las convenciones que hapromovido sobre derechos fundamentales ysobre la protección de datos de carácter per-sonal, sea en el ámbito de la Unión Europea,tenemos instrumentos para aproximar las le-gislaciones y la jurisprudencia surgida de suinterpretación de manera que, al menosregionalmente, se construya un espacio am-plio de respeto de este derecho. Y, desdeluego, el carácter informador de los princi-pios y valores ha de orientar la actuación de

69

los poderes públicos que tienen confiada ladirección política de los Estados en el sentidode hacer tratados y convenios internacionalesque extiendan progresivamente a escala uni-versal los beneficios de este derecho funda-mental así como en el de propiciar su respetotanto en la práctica de las Administracionesque dirigen o en los proyectos normativos queelaboran.

La posibilidad de lograr progresos ra-zonables se ve confirmada a la vista de laactuación de las Agencias españolas y de losorganismos de control que desempeñan tareassemejantes en otros países y en el ámbito de laUnión Europea. Es la suya una labor, enbuena medida, callada pero que, poco a poco,va avanzando en la creación de conciencia enlos afectados y de responsabilidad en quienestratan información personal. Cuantos másmedios se pongan a su disposición y a medidaque se complete la red territorial todavíaapenas iniciada entre nosotros mayor será elrendimiento que lograrán.

Pueden resultar, igualmente, efectos salu-dables para la protección de los datos decarácter personal, de las normas y prácticassobre la competencia.

La experiencia demuestra que, más a me-nudo de lo que parece, principios y normas

70

ideados con otros propósitos revierten enbeneficio de los afectados por el uso porterceros de sus datos personales. Ya ha suce-dido con los derechos de los trabajadores, conlos de los consumidores y usuarios y con ladefensa del medio ambiente y ocurre, tam-bién, con el mercado y las reglas encaminadasa garantizar su buen funcionamiento: puedenproducir el efecto indirecto de contribuir a laefectividad de este derecho fundamental.

Claro está que en este punto es importanteno olvidar que la lógica del mercado no es lamisma que la de los derechos fundamentalesy que, en ocasiones, estos, por motivos ajenosa la funcionalidad económica, pueden exigirrestricciones al desenvolvimiento de las rela-ciones mercantiles. Me parece importantetenerlo presente ante la preocupación crecien-te por facilitar la circulación de datos perso-nales, objetivo, no lo olvidemos, de la Direc-tiva europea.

5. Consideraciones finales

5.1. El proceso que lleva al reconocimien-to del derecho a la autodeterminación infor-mativa recuerda al que arranca de los plantea-mientos de Samuel Warren y Louis Brandeispara enunciar el derecho a la intimidad. Lalectura de las páginas de su trabajo “The rightto privacy” revela que buscaron en el fondo

71

del common law los medios para combatir lasagresiones a la vida privada procedentes de laprensa en las condiciones propias de la socie-dad de fines del siglo XIX. Y es de los viejosprincipios de ese ordenamiento de donde ex-traen las reglas que definen ese derecho a quenos dejen en paz que preconizaron: the rightto be let alone. Tal construcción doctrinalacabará fructificando en la jurisprudencia nor-teamericana y pasará a la legislación federal yestatal a la vez que ha acabado alcanzandoestado en los sistemas democráticos.

La búsqueda de protección frente al usoincontrolado de información personal ha se-guido unos pasos parecidos. En general, se hahecho a partir de reflexiones académicas so-bre los medios jurídicos que permitirían ase-gurarla. En España, con la ayuda que ofrecela perspectiva abierta por el artículo 10.2 dela Constitución, ha sido posible construirloa partir de las previsiones de su artículo18.4.

El reconocimiento del derecho a la autode-terminación informativa es el caso más clarode afirmación por el Tribunal Constitucionalde una nueva figura o variedad de derechofundamental. No se trata de la expresión delcontenido implícito de otro derecho, ni delresultado de la combinación de dos o más yadeclarados, sino de su identificación en el

72

seno de la Constitución y de su construccióncon los materiales a los que ésta se abre.

5.2. Este derecho se ha convertido en unacategoría transversal. Su carácter instrumen-tal ha hecho que, a la postre, se cumpla elartículo 18.4 en la medida en que se preocupapor garantizar a los ciudadanos el pleno ejer-cicio de sus derechos, de todos sus derechosy no sólo de los previstos en su apartadoprimero. En efecto, la protección de los datospersonales está redundando en la salvaguar-dia del derecho al honor, a la intimidadpersonal y familiar y a la propia imagen.También de la libertad ideológica y del secre-to de las comunicaciones, así como del dere-cho a la salud o al trabajo o al desarrollo de lacarrera administrativa. Basta repasar las re-soluciones de las Agencias o las sentenciasdictadas por los tribunales en asuntos relacio-nados con la protección de datos para compro-barlo.

5.3. Por lo demás, en la pugna entre laspretensiones de tratamiento de informaciónpersonal y de su protección, sin perjuicio dela predisposición de ulteriores regulacionesen nuevos sectores cuando sean necesarias, nidel desarrollo de las ya establecidas, losprincipios han de jugar un papel decisivo.La versatilidad de las amenazas hace quesean especialmente útiles para afrontarlas

73

por su carácter abierto. Hay que volver lavista, pues, especialmente, al principio definalidad, estrechamente vinculado alconsentimiento y a la habilitación legal, y alas exigencias relacionadas con la calidad delos datos: veracidad, exactitud, proporciona-lidad, actualidad, seguridad.

5.4. Es razonable pensar que una máscompleta regulación del derecho de acceso alos archivos y registros públicos al que serefiere el artículo 105 b) de la Constitución,que supere la que actualmente rige, en tantoprecise con más claridad los límites de eseacceso, beneficiará la protección de datos decarácter personal. No obstante, creo que losefectos positivos que esa eventual modifica-ción legislativa pueda comportar para el dere-cho a la autodeterminación informativa seránlimitados porque los principales problemas sesitúan en otros frentes.

5.5. Desde luego, el fomento de códigostipo y de buenas prácticas es muy importante.Ahora bien, esa relevancia no debe llevar apensar que en la iniciativa privada se encuen-tra la solución a los principales problemas dela protección de datos personales. Como enotros derechos, la información, educación yformación facilitan su respeto, pero la expe-riencia pone de relieve que sin una autoridaddispuesta a aplicar con eficacia las normas y

74

a sancionar con rigor a quienes las ignoran laefectividad del derecho al que sirven quedaesencialmente comprometida.

5.6. No obstante, esto no supone descono-cer que solamente se lograrán resultados ver-daderamente eficaces si, a partir de un marcojurídico claro y de una actuación firme ydecidida de las autoridades públicas encarga-das de velar por su observancia, se estableceuna suerte de cooperación con los sujetosprivados que están presentes tanto en la crea-ción y gestión de redes de comunicacionescomo en la producción de terminales y soft-ware.

En este sentido se mueven propuestas comola de Yves Poullet y Jean Marc Dinant, quehan hablado al respecto de co-regulación.Una idea que enlaza con la que, desde otrospresupuestos, se ha propugnado, por ejem-plo, por Colin Bennet, hablando de lagobernanza de la privacy o de la autode-terminación informativa entendiendo por talel resultado de la acción de los poderes públi-cos y de los propios ciudadanos a través de susorganizaciones y asociaciones y de otras enti-dades comprometidas con la defensa de losderechos humanos o con los de los consumi-dores y usuarios.

75

5.7. La realidad tiende a imponer sus dic-tados. Frente a ello, es preciso redoblar losesfuerzos a todos los niveles para, con losmedios que el ordenamiento jurídico ha pues-to a nuestra disposición, luchar por el Dere-cho. De nuevo, la lucha por el Derecho, y porlos derechos, se nos presenta como la formanatural de vivirlos, ya que, precisamente, sureconocimiento presupone su negación y re-acciona contra ella. El que descansa en elartículo 18.4 de la Constitución no es unaexcepción.

77

REFERENCIAS BIBLIOGRÁFICAS

Colin Bennet, The Privacy Advocates, MIT

Press, 2008.

Colin Bennet, The Governance of Privacy,escrito con Charles Raab. MIT Press, 2006.

Isabel Cecilia del Castillo Vázquez, Protec-ción de datos: cuestiones constitucionalesy administrativas. El derecho a saber y laobligación de callar. Thomson/Civitas,Madrid, 2007.

Manuel Fernández Salmerón, La protecciónde datos personales en las Administracio-nes Públicas. Thomson/Civitas, Madrid,2003.

Emilio Guichot, Datos personales y Adminis-tración Pública. Thomson/Civitas, Ma-drid, 2005.

Carlos Lesmes Serrano (coordinador). La Leyde Protección de Datos. Análisis y comen-

78

tario de su jurisprudencia. Lex Nova,Valladolid, 2008.

Pablo Lucas Murillo de la Cueva, El derechoa la autodeterminación informativa.Tecnos; Madrid, 1990.

Pablo Lucas Murillo de la Cueva, Informáticay protección de datos. Centro de EstudiosConstitucionales, Madrid, 1993.

Pablo Lucas Murillo de la Cueva, «Las vici-situdes del Derecho de la protección dedatos personales», en Revista Vasca deAdministración Pública, nº 58-II/2000,págs. 211 y sigs.

Pablo Lucas Murillo de la Cueva, “La Cons-titución y el derecho a la autodetermina-ción informativa”, en Cuadernos de Dere-cho Público, nº 19-20/2003, págs. 27 ysigs.

Ricard Martínez Martínez, Una aproxima-ción crítica a la autodeterminación infor-mativa. Thomson/Civitas, Madrid, 2004.

Jesús Alberto Messía de la Cerda Ballesteros,La cesión o comunicación de datos decarácter personal. Thomson/Civitas, Ma-drid, 2003.

79

Antonio Enrique Pérez Luño, La tercera ge-neración de derechos humanos. Aranzadi,Pamplona, 2006.

Yves Poullet, Jean Marie Dinant y MaríaVerónica Pérez-Asinari, Rapport surl’application des principes de protectiondes donnees aux reseaux mondiaux detelecommunications. L’autodéterminationinformationnelle à l’ère de l’Internet.Eléments de réflexion sur la Convention n°108 destinés au travail futur du Comitéconsultatif.

Rodrigo Tascón López, El tratamiento por laempresa de los datos personales de lostrabajadores. Análisis del estado de lacuestión. Thomson/Civitas, Madrid, 2005.

Antonio Troncoso Reigada, “Introduction andpresentation” en An aproach to dataprotection in Europe. APDCM/Thomson-Civitas, Madrid, 2007, págs. 9-58.

III. Congreso Internet, Derecho y Política(IDP). Nuevas perspectivas. IDP. Revistade Internet, Derecho y Política, nº 5/2007. Universitat Oberta de Catalunya.Monográfico coordinado por Agustí Cerri-llo, Jordi García y Mónica Vilasau, concontribuciones de Miquel Peguera Poch,Pablo Lucas Murillo de la Cueva, Yves

80

Poullet, Ricard Martínez, Martínez, Anto-nio López, Maite Casado Cadalso, ElisendaBru Cuadrada e Isabel García Noguera.

81

PROTECCIÓN DE DATOS:

ORIGEN, SITUACIÓN ACTUAL YRETOS DE FUTURO

José Luis PIÑAR

Sumario: I.- De los orígenes a la consideración de laprotección de datos como derecho fundamental. 1.- Theright to be let alone. Self Determination y derecho a laautodeterminación informativa. Protección de datos y mer-cado interior en la Unión Europea. 2.- El derecho a laprotección de datos como nuevo derecho, autónomo eindependiente del derecho a la intimidad. 3.- El Derecho ala privacidad alcanza también a los dispositivos informáticosque utilizamos. II.- El contenido del derecho fundamental ala protección de datos de carácter personal. 1.- Principiosconfiguradores del derecho a la protección de datos: unabreve referencia. 2.- En particular, el principio de controlindependiente. 3.- Protección de datos y otros derechos. Enparticular, protección de datos y libertad de expresión. III.-El derecho a la protección de datos en España. Una evolu-ción legislativa. 1.- De la LORTAD a la LOPD. 2.- La LOPD yalguna legislación sectorial con incidencia en el derecho a laprotección de datos. 3.- La legislación autonómica sobreprotección de datos. El marco normativo de la distribucióncompetencial. 4.- El desarrollo reglamentario de la LOPD.En particular el Reglamento aprobado mediante Real Decre-to 1720/2007. Motivos que hacían necesaria su aprobaciónIV.- Retos actuales y futuros de la protección de datos. 1.-Protección de datos y nuevas tecnologías. 2.- Protección dedatos y seguridad. 3.- Protección de datos y transparencia.4.- Garantía del derecho a la protección de datos yglobalización.

82

I. De los orígenes a la consideración de laprotección de datos como derecho fundamen-tal

1.- The right to be let alone. Self Determinationy derecho a la autodeterminación informati-va. Protección de datos y mercado interior enla Unión Europea.

Como ya he tenido ocasión de señalar enotras ocasiones1, el derecho a la protección dedatos surge como tal, seguramente, en ladécada de los sesenta del pasado siglo. Noobstante, no es posible olvidar las espectacu-lares construcciones doctrinales anteriores,entre las que destaca sin duda alguna ThomasCooley que en 1888 habló ya de «the right tobe let alone»2 y el tantas veces citado (que no

1 A ello me he referido ya en «ECJ Case-Law on theRight to Protection of Personal Data», BNA International.World Data Protection Report. Parte 1 y Parte 2, eneroy febrero de 2006, respectivamente. También en «Elderecho a la protección de datos de carácter personal enla jurisprudencia del Tribunal de Justicia de las Comuni-dades Europeas», en Cuadernos de Derecho Público, nº19-20, monográfico sobre Protección de Datos, págs. 45y ss.; ¿Existe la Privacidad?, Ediciones CEU, Madrid,2008. Alguna de las reflexiones que expongo a continua-ción están asimismo tomadas de mi artículo «La miradaeuropea», en la Revista Nexos, México, Vol XXIX, núm.353, mayo 2007, págs. 29 y ss.

2 A Treatise on the Law of Torts or the Wrongswhich arise independent of contract, Callaghan 2ª ed.,Chicago, 1888, p. 29.

83

siempre leído) artículo de Warren y Brandeis«The Right to Privacy», publicado en laHarvard Law Review3. «Los cambios políti-cos, sociales y económicos –expusieron en-tonces– traen consigo el reconocimiento denuevos derechos, y el common law, en sueterna juventud, acierta a satisfacer las nue-vas demandas de la sociedad». El derecho a lavida ha pasado a significar derecho a disfrutarde la vida, que incluye el derecho a que tedejen estar solo. El derecho debe preservar-nos frente a las invasiones de los «sagradoslímites de nuestra vida privada y doméstica».El derecho a la privacidad supone, pues, elderecho a poder estar solo, con el alcance quecada uno desee, incluso completamente solo,sin sufrir ingerencias no deseadas y sin inter-ferir en el derecho de los demás4. Tal concep-to, aunque todavía digno de ser tenido muy encuenta, ha sido desde luego superado5. En

3 Harvard Law Review, Vol. IV, 15 de diciembre de1890, núm. 5. Ha sido reeditado por la Oficina delGarante per la Protezione dei dati personal, Ediciónbilingüe, anglo-italiana, Roma-Verona, 2005.

4 Ver Amitai Etzioni, The limits of Privacy, BasicBooks, New York, 1999, pág. 190.

5 Véase Stefano Rodota, La vita e le regole. Tradiritto e non diritto, Feltrinelli, Milán, 2006, pág. 100.William Prosser es incluso muy crítico con el artículo deWarren y Brandeis: «Privacy (A legal Análisis)»,California Law Review, nº 48, 1960, pág. 338. El trabajode Prosser puede asimismo consultarse en Schoeman,Philosophical Dimensions of Privacy: an Anthology,

84

este sentido, las aportaciones de Westin sonsin duda de capital importancia6. A él se debeprecisamente la definición de privacidad entérminos de autodeterminación, de «selfdetermination»7, concepto éste que más tardefue expresamente asumido por el TribunalConstitucional Federal Alemán en su conoci-da sentencia de 15 de diciembre de 1983 sobreel Censo, y que también ha sido utilizado pornuestro Tribunal Constitucional8, como másadelante veremos.

Pero lo cierto es que hasta la segunda mitadde los años sesenta del pasado siglo no seponen las bases del derecho a la protección dedatos tal como hoy lo entendemos. En efecto,

Cambridge University Press, 1984 (reedición de 2007),págs. 104 y ss. A todo ello me he referido en ¿Existe laPrivacidad?, op. cit., pág. 7.

6 Alan F. Westin, Privacy and Freedom, Atheneum,New York, 1967. Hay edición de 1970.

7 Como ha recordado Jan Holvast, «History ofprivacy», en Karl De Leeuw y Jan Bergstra (eds.), TheHistory of Information Security. A ComprehensiveHandbook, Elsevier, Amsterdam, 2007, págs. 737 y ss.

8 Sobre el concepto, vid., por todos, Pablo LucasMurillo de la Cueva, El derecho a la autodeterminacióninformativa, Tecnos, Madrid, 1990 y, más recientemen-te, «La Constitución y el derecho a la autodeterminacióninformativa», en Cuadernos de Derecho Público, nº 19-20 (2003), monográfico sobre Protección de Datos, págs.27 y ss. También Ricard Martínez, Una aproximacióncrítica a la autodeterminación informativa, Civitas,Madrid, 2004.

85

en 1967 se constituyó en el seno del Consejode Europa una Comisión Consultiva paraestudiar las tecnologías de la información y supotencial agresividad hacia los Derechos delas personas, especialmente en relación consu Derecho a no sufrir ingerencias en la vidaprivada (Derecho éste que se había ya recogi-do en la Declaración Universal de DerechosHumanos9 o el Pacto Internacional de Dere-chos Civiles y Políticos de 196610), y de ellasurgió la Resolución 509 de la Asamblea delConsejo Europa sobre «los Derechos huma-nos y los nuevos logros científicos y técni-cos», que se considera el origen del movi-miento legislativo que desde entonces reco-rrerá Europa en materia de protección dedatos.

Es lugar común citar la conocida Ley delLand de Hesse, en Alemania, pionera en la

9 El artículo 12 dispone: «Nadie será objeto deinjerencias arbitrarias en su vida privada, su familia, sudomicilio o su correspondencia, ni de ataques a su honrao a su reputación. Toda persona tiene Derecho a laprotección de la ley contra tales injerencias o ataques».

10 En términos prácticamente iguales, el art. 17 delPacto dispone:

«1. Nadie será objeto de injerencias arbitrarias oilegales en su vida privada, su familia, su domicilio o sucorrespondencia, ni de ataques ilegales a su honra yreputación.

2. Toda persona tiene Derecho a la protección de laley contra esas injerencias o esos ataques».

86

materia, así como la propia Ley Federal ale-mana de 1977. Pero no debe olvidarse que yaen 1973 el Departamento de Salud, Educacióny Bienestar de Estados Unidos elaboró unInforme sobre las bases de datos telemáticasdel Gobierno11 y propuso un Código de bue-nas prácticas que recogería los principios quehabrían de regir el uso de información porparte del Gobierno (Fair Information Practiceso Fair Information Principles): no deben exis-tir bases de datos secretas, se ha de reconocerel derecho de acceso y rectificación de losdatos personales, ha de respetarse el principiode finalidad, debe respetarse el principio decalidad y han de adoptarse medidas de segu-ridad. Un año más tarde, y en base a talInforme, se aprueba la Privacy Act de EstadosUnidos, y van poniéndose las bases de losprincipios esenciales configuradores del nú-cleo esencial del derecho a la privacidad.Como se ha señalado, de los privacy principlesse pasa a las privacy laws12. Veremos que talesprincipios fueron en parte el embrión de los

11 U.S. Department of Health , Education & Welfare,Records, Computeres and the Rights of Citizens: Reportof the Secretary’s Advisory Committee on AutomatedPersonal Data System. Vid. Solove, Rotenberg ySchwartz, Information Privacy Law, págs. 35-36 y 577-578.

12 Bennett y Raab, The Governance of Privacy.Policy Instruments in Global Perspective, The MitPress, Cambridge-Londres, 2006, pág. 121.

87

que más tarde se recogerían en textos interna-cionales y en normas europeas y nacionales.Volviendo a Europa, en 1978 se aprueba laLey francesa de Informática, Ficheros y Li-bertades, sustancialmente modificada, al ob-jeto de adaptarla a la Directiva 95/46/CEE,por la Ley nº 2004-801, de 6 de agosto de2004, relativa a la protección de las personasfísicas en relación con el tratamiento de datosde carácter personal. El 8 de mayo de 1979 elParlamento Europeo aprueba una Resoluciónsobre «La tutela de los Derechos del individuofrente al creciente progreso técnico en elsector de la informática». En junio de 1978 seaprobaron en Dinamarca dos leyes, una sobreregistros privados y otra sobre registros pú-blicos. En 1978 se aprueba en Austria la Leyde Protección de Datos, que consagra elDerecho fundamental de todo ciudadano aexigir la confidencialidad del tratamiento ycomunicación de los datos que le conciernan,y en marzo de 1979 se aprueba en Luxembur-go la Ley sobre utilización de datos en trata-mientos informáticos.

En los años ochenta, desde el Consejo deEuropa se dará un respaldo definitivo a laprotección de la intimidad frente a la informá-tica mediante el Convenio nº 108 para laProtección de las Personas con respecto altratamiento automatizado de los datos de ca-rácter personal (1.981), en el que se estable-

88

cen los principios y Derechos que cualquierlegislación estatal debe recoger a la hora deproteger los datos de carácter personal.

En fin, también la OCDE publica dos impor-tantes Recomendaciones en esta materia: laRecomendación sobre «Circulación interna-cional de datos personales para la protecciónde la intimidad» y la Recomendación relativaa la «Seguridad de los sistemas de informa-ción».

La perspectiva de entonces es clara: sepretende resolver la tensión existente entre eluso cada vez más generalizado de la informá-tica y el riesgo que el mismo puede suponerpara la vida privada. Informática versus inti-midad: éste es el gran dilema. Esta es tambiénla lógica de la Constitución española de 1978en su artículo 18.4.

Unos años más tarde, el 15 de diciembre1983, el Tribunal Constitucional Alemán dic-ta su capital Sentencia sobre el Censo en elque, como ya he apuntado más atrás, sereflejan las aportaciones que desde la doctrina(principalmente norteamericana y en particu-lar de la mano de Westin) se habían producidoen orden a destacar el papel capital que tieneel control sobre la propia información en laconfiguración del derecho a la privacidad y ala protección de datos. El Tribunal Constitu-

89

cional Alemán completó los derechos consti-tucionales de la personalidad a pesar de lainexistencia en la Ley Fundamental de 1.949de un derecho específico. Sobre la base delderecho a la dignidad humana y al libredesarrollo de la personalidad el Tribunal ga-rantizó la continuidad de las libertades bási-cas, consagradas con anterioridad, con laformulación de un nuevo derecho, el derechoa la autodeterminación informativa13. En laclave de bóveda del ordenamiento de la LeyFundamental, dice el Tribunal, se encuentrala dignidad de la persona, que actúa con libreautodeterminación como miembro de una so-ciedad libre. El derecho general de la perso-nalidad abarca la facultad del individuo, deri-vada de la autodeterminación, de decidir bá-sicamente por sí mismo cuándo y dentro dequé límites procede revelar situaciones refe-rentes a la propia vida, protegiéndole contrala recogida, el almacenamiento, la utilizacióny la transmisión ilimitada de los datos concer-nientes a la persona. Se garantiza así la facul-tad del individuo de decidir básicamente porsí sólo sobre la difusión y utilización de susdatos personales. El tratamiento automatiza-do de datos ha incrementado en una medida

13 Sobre ello, como ya he señalado más atrás, esesencial la lectura de Pablo Lucas Murillo de la Cueva,El derecho a la autodeterminación informativa, Tecnos,Madrid, op. cit.

90

hasta ahora desconocida las posibilidades deincidir sobre la conducta del individuo. El queno pueda percibir con seguridad suficientequé informaciones relativas a su persona sonconocidas en determinados sectores de suentorno social y no pueda saber en conse-cuencia qué se sabe de él, puede coartarsubstancialmente su libertad de planificar odecidir. Por ejemplo, quien sepa de antemanoque su participación en una reunión o inicia-tiva ciudadana va a ser registrada por lasautoridades y que podrán derivarse riesgospara él por este motivo renunciarápresumiblemente a lo que supone un ejerciciode sus derechos fundamentales. De modo queun dato carente en sí mismo de interés puedecobrar un nuevo valor de referencia y, en estamedida, concluye el Tribunal, ya no existe,desde la perspectiva del tratamiento automa-tizado de datos, ninguno «sin interés».

A partir de esta sentencia, que incorpora alos principios esenciales del derecho a laprivacidad el del consentimiento, tal derechoy el derecho a la protección de datos ya nofueron lo mismo en Europa. Aunque todavíafaltaba mucho por andar.

En la década de los noventa se incorpora unelemento fundamental al debate. La construc-ción europea, que requiere ineludiblemente laconstitución del mercado interior, exige que

91

se garantice la libre circulación de los datospersonales, dado el valor económico que losmismos tienen en las transacciones comercia-les, sobre todo en el marco de una economíacada vez más globalizada y transfronteriza.En este escenario se mueve la Directiva 95/46/CE del Parlamento Europeo y del Consejode 24 de octubre de 1995 relativa a la protec-ción de las personas físicas en lo que respectaal tratamiento de datos personales y a la librecirculación de estos datos. Los tres primerosconsiderandos de la Directiva son de unaimportancia capital y centran perfectamenteel sentido de la norma14.

14 «(1) Considerando que los objetivos de la Comu-nidad definidos en el Tratado, tal y como quedó modifi-cado por el Tratado de la Unión Europea, consisten enlograr una unión cada vez más estrecha entre los puebloseuropeos, establecer relaciones más estrechas entre losEstados miembros de la Comunidad, asegurar, medianteuna acción común, el progreso económico y social,eliminando las barreras que dividen Europa, fomentar lacontinua mejora de las condiciones de vida de sus pue-blos, preservar y consolidar la paz y la libertad ypromover la democracia, basándose en los Derechosfundamentales reconocidos en las constituciones Y leyesde los Estados miembros y en el Convenio Europeo parala Protección de los Derechos Humanos y de las Liberta-des Fundamentales;

(2) Considerando que los sistemas de tratamiento dedatos están al servicio del hombre; que deben, cualquieraque sea la nacionalidad o la residencia de las personasfísicas, respetar las libertades y Derechos fundamentalesde las personas físicas y, en particular, la intimidad, y

92

Al par de conceptos intimidad-informáti-ca, se añade ahora uno más: el valor económi-co de los datos personales en relación con elrespeto a los Derechos y en particular alDerecho a la intimidad. La construcción euro-pea pasa por la creación del mercado interioren el respeto a los Derechos fundamentales, yen este marco la libre circulación de los datoscon respeto al Derecho a la intimidad seconsidera de primera importancia. A ese finresponde la Directiva 95/46/CEE, de la quederiva la legislación de los países europeos enmateria de protección de datos, y en particu-lar, en España, la Ley Orgánica 15/1999, de13 de diciembre15.

contribuir al progreso económico y social, al desarrollode los intercambios, así como al bienestar de los indivi-duos;

(3) Considerando que el establecimiento Y funciona-miento del mercado interior, dentro del cual está garan-tizada, con arreglo al artículo 7 A del Tratado, la librecirculación de mercancías, personas, servicios y capita-les, hacen necesaria no sólo la libre circulación de datospersonales de un Estado miembro a otro, sino también laprotección de los Derechos fundamentales de las perso-nas»

15 La protección de datos es tomada en considera-ción, además de en la citada Directiva 95/46, en otrastales como la Directiva 2002/58/CE del ParlamentoEuropeo y del Consejo, de 12 de julio de 2002, relativaal tratamiento de los datos personales y a la protección dela intimidad en el sector de las comunicaciones electró-nicas, también conocida como «Directiva sobre laprivacidad y las comunicaciones electrónicas», que ha

93

2.- El derecho a la protección de datos comonuevo derecho, autónomo e independiente delderecho a la intimidad.

En el año 2000 la situación experimenta ungiro copernicano tanto en Europa como enEspaña. Se abre una nueva etapa, en la quenos encontramos, que se basa en la considera-ción de la protección de datos de carácterpersonal como un verdadero Derecho funda-mental autónomo e independiente del Dere-cho a la intimidad. Tan radical innovaciónderiva fundamentalmente de la Carta de losDerechos Fundamentales de la Unión Euro-pea, proclamada en la Cumbre de Niza de 7 dediciembre de 2000, que de forma lacónica,pero tajante dispone, en su artículo 8, dentrodel Capítulo relativo a las Libertades, que«Toda persona tiene Derecho a la protecciónde los datos de carácter personal que laconciernan». Ninguna referencia a la intimi-dad o privacidad; ninguna a la informática. Síuna previsión expresa, de suma importancia,

sustituido a la Directiva 97/66/CE, relativa al tratamien-to de los datos personales y protección de la intimidad enel sector de las telecomunicaciones. Además de lasnormas sobre protección de datos existen otras dosDirectivas que complementan a las anteriores en el campodel comercio electrónico, a saber, la Directiva 2000/31/CE, de comercio electrónico, y la 1999/93/CE, sobrefirma electrónica, aunque en ningún caso sustituyen aaquellas en lo relativo a la protección de datos personales.

94

al hecho de que «El respeto de estas normas[sobre protección de datos] quedará sujeto alcontrol de una autoridad independiente».Además, en el artículo 7º, de forma separada,se recoge el derecho a la vida privada yfamiliar. Hay, pues, una clara diferenciaciónentre ambos derechos, el derecho a laprivacidad y el derecho a la protección dedatos, que merecen, en consecuencia, dospreceptos distintos. Por su parte, el TribunalEuropeo de Derechos Humanos dicta las im-portantes Sentencias Amann contra Suiza, de16 de febrero de 2000, y Rotaru contraRumanía, de 4 de mayo del mismo año. Enambas el Tribunal aboga por una interpreta-ción amplia del derecho a la vida privadareconocido en el artículo 8º del ConvenioEuropeo de Derechos Humanos, y consideraque tal derecho comprende también el dere-cho a establecer y desarrollar relaciones conotros seres humanos, al tiempo que hace unareferencia al Convenio 108 y al concepto dedato personal16.

En España, ese cambio hacia la considera-ción del Derecho a la protección de datoscomo un verdadero Derecho autónomo e inde-pendiente viene de la mano de dosimportantísimas sentencias del Tribunal Cons-

16 § 65 de la primera y § 43 de la segunda.

95

titucional: las números 290 y 292 de 2000,ambas de 30 de noviembre. La segunda, queconsolida una evolución jurisprudencial cons-titucional que ha ido configurando el Derechoa la protección de datos, desde el reconoci-miento del Derecho a la intimidad y privacidad,pasando por el llamado Derecho a la autode-terminación informática o informativa17, es laque definitivamente ha reconocido que elDerecho fundamental a la protección de datospersonales deriva directamente de la Consti-tución y debe considerarse como un Derechoautónomo e independiente. El Fundamento

17 Merece la pena recordar ahora las Sentenciasconstitucionales 110/84, 254/93, 143/94, 94/98, 11/98,144/99 y 202/99. En particular, la STC 254/1993 señalaque la Constitución de 1978 ha incorporado el «Derechoa la libertad frente a las potenciales agresiones a ladignidad y a la libertad de la persona proveniente de unuso ilegítimo del tratamiento automatizado de datos».Añade que no es posible aceptar que «el Derecho funda-mental a la intimidad agota su contenido en facultadespuramente negativas, de exclusión. Las facultades preci-sas para conocer la existencia, los fines y los responsablesde los ficheros automatizados... son absolutamente nece-sarias para que los intereses protegidos por el artículo 18de la Constitución, y que dan vida al Derecho fundamen-tal a la intimidad, resulten real y efectivamente protegi-dos». La bibliografía sobre la jurisprudencia constitucio-nal en materia de protección de datos es ya abundante.Puede verse por todos Antonio Troncoso Reigada, «Laprotección de datos personales. Una reflexión crítica dela jurisprudencia constitucional», en Cuadernos de Dere-cho Público, nº 19-20, monográfico sobre Protección deDatos, págs. 231 y ss.

96

Jurídico Séptimo es sin duda esencial, y pesea que es de sobra conocido merece la penatranscribirlo una vez más:

«7. … el contenido del Derecho fundamen-tal a la protección de datos consiste en unpoder de disposición y de control sobre losdatos personales que faculta a la personapara decidir cuáles de esos datos proporcio-nar a un tercero, sea el Estado o un particu-lar, o cuáles puede este tercero recabar, y quetambién permite al individuo saber quiénposee esos datos personales y para qué, pu-diendo oponerse a esa posesión o uso. Estospoderes de disposición y control sobre losdatos personales, que constituyen parte delcontenido del Derecho fundamental a la pro-tección de datos se concretan jurídicamenteen la facultad de consentir la recogida, laobtención y el acceso a los datos personales,su posterior almacenamiento y tratamiento,así como su uso o usos posibles, por untercero, sea el Estado o un particular.

Y ese Derecho a consentir el conocimientoy el tratamiento, informático o no, de losdatos personales, requiere como complemen-tos indispensables, por un lado, la facultad desaber en todo momento quién dispone de esosdatos personales y a qué uso los está some-tiendo, y, por otro lado, el poder oponerse aesa posesión y usos.

97

En fin, son elementos característicos de ladefinición constitucional del Derecho funda-mental a la protección de datos personales losDerechos del afectado a consentir sobre larecogida y uso de sus datos personales y asaber de los mismos.

Y resultan indispensables para hacer efec-tivo ese contenido el reconocimiento del De-recho a ser informado de quién posee susdatos personales y con qué fin, y el Derechoa poder oponerse a esa posesión y uso requi-riendo a quien corresponda que ponga fin a laposesión y empleo de los datos. Es decir,exigiendo del titular del fichero que le infor-me de qué datos posee sobre su persona,accediendo a sus oportunos registros y asien-tos, y qué destino han tenido, lo que alcanzatambién a posibles cesionarios; y, en su caso,requerirle para que los rectifique o loscancele».

Reconoce, pues, la existencia del Derechoa la protección de datos como Derecho autó-nomo e independiente del Derecho a la intimi-dad; determina su contenido esencial; lo rela-ciona no sólo con el artículo 18.4 de laConstitución, sino también con el 10.2. Ade-más, en el Fundamento Jurídico 8º cita deforma expresa diversos instrumentos interna-cionales y en particular, pese a no estartodavía en vigor (apenas había sido adopta-

98

da), la Carta Europea de Derechos Funda-mentales.

3.- El Derecho a la privacidad alcanza tam-bién a los dispositivos informáticos que utili-zamos.

Se consolida así el concepto de Derecho ala protección de datos, frente a la noción deDerecho a la autodeterminación informativa,cuya construcción tanto debe al TribunalConstitucional alemán a través de su conocidaSentencia de 15 de diciembre de 1983 sobre laLey del Censo, a la que antes me he referido.Pero el derecho está en constante evolución.Y una vez más debemos al Tribunal alemán laaportación de una construcción tan importan-te como novedosa en la definición del alcancede la protección de datos en relación con lasnuevas tecnologías. Me refiero a su Sentenciade 27 de febrero de 200818. La sentencia esfruto del recurso interpuesto contra la refor-ma de la ley de los servicios de inteligencia

18 A esta Sentencia me he referido en ¿Existe laPrivacidad?, op. cit., págs. 35-36. También, reciente-mente, Rodota, «Innovación, nuevas tecnologías partici-pación política y protección de datos. Un equilibrio paramejorar la democracia», Conferencia impartida en losCursos de Verano del la Universidad del País Vasco, enel marco del Seminario El acceso a la informaciónparlamentaria, impartida el 28 de julio de 2008. Heutilizado el texto original que amablemente me ha facili-tado el autor.

99

del Estado de Renania del Norte Westfalia, envirtud de la cual se permitía expresamente quetales servicios pudiesen utilizar de formasecreta spywares troyanos para espiar losordenadores de cualquier sospechoso: pene-tran en los ordenadores y captan todo tipo deinformación, que luego puede ser analizada.El Tribunal declara inconstitucional la refor-ma y configura, por primera vez, lo que se haconsiderado ya como un nuevo derecho fun-damental a la protección de la confidencialidade integridad de los sistemas tecnológicos deinformación. El Tribunal de Karlsruhe da asíun paso más en el reconocimiento, primero,del derecho a la autodeterminación informati-va (en 1983 como ya sabemos) y más tarde delderecho a la protección absoluta de la zonanuclear del comportamiento privado. El Tri-bunal llega al siguiente razonamiento: «De larelevancia del uso de los sistemas tecnológi-cos de información para expresar la persona-lidad y de los peligros que para la personali-dad representa tal uso, deriva una necesidadde protección que es significativa para losderechos fundamentales. El individuo depen-de de que el Estado respete las expectativasjustificables de confidencialidad e integridadde tales sistemas de cara a la irrestricta expre-sión de su personalidad»19. Los sistemas deinformación protegidos por este nuevo dere-

19 Epígrafe 181 de la Sentencia.

100

cho son todos aquellos (ordenadores persona-les, PDAs, teléfonos móviles…) que solos ointerconectados con otros pueden contenerdatos personales del afectado de modo que elacceso al sistema permite hacerse una ideasobre aspectos relevantes del comportamien-to vital de una persona o incluso obtener unaimagen representativa de su personalidad20.Este derecho a la integridad y confidencialidadde los sistemas tecnológicos de información,que tendría la consideración de verdaderoderecho constitucional, sólo puede ser res-tringido en casos muy limitados. Sólo encasos de evidencia de un peligro concreto parala vida, la integridad física o la libertad de laspersonas, así como para los fundamentos delEstado, los poderes públicos pueden haceruso de técnicas de registro online. Técnicasque, en consecuencia, no pueden ser utiliza-das en las investigaciones relacionadas condelitos «normales» ni en la actividad genéricade los servicios de inteligencia. Y que encualquier caso requieren la adopción de medi-das para proteger el núcleo central de la vidaprivada («core area of private conduct oflife»), que incluye la información relativa alas relaciones y los sentimientos personales.Por ello, el Tribunal señala que en caso de quede forma accidental se recabasen datos referi-dos a esa área vital, deben ser suprimidos de

20 Epígrafe 203.

101

inmediato sin que puedan ser utilizados enningún caso.

Es decir, el derecho a la privacidad alcanzatambién a los dispositivos informáticos queutilizamos y que forman parte ya de nuestrapropia vida, que contienen información quenos identifica y que puede dar una imagen denuestra personalidad. Lo que supone para talderecho, para la protección de datos, undesarrollo espectacular.

II. El contenido del derecho fundamental a laprotección de datos de carácter personal

1.- Principios configuradores del derecho a laprotección de datos: una breve referencia.

La cuestión estriba entonces en determinarcuál es el contenido esencial de tal derecho;los principios y características que lo defineny que no pueden ser desconocidos so pena dedesconocer y en consecuencia violentar elpropio derecho.

En otras ocasiones he señalado que talesprincipios pueden reconducirse a los siguien-tes: consentimiento, información, finalidad,calidad de los datos, con especial referencia ala proporcionalidad, seguridad. Principiostodos ellos recogidos en la Ley Orgánica deProtección de Datos, artículos 4 y ss., a los

102

que puede añadirse el de utilización leal de losdatos y el de minimización en el uso de losdatos (éste, por cierto, reconducible, tam-bién, en mi opinión, al de proporcionalidad).Principios que para ser efectivos requieren elreconocimiento, garantía y tutela de los dere-chos de acceso, rectificación, cancelación yoposición (regulados, en nuestro caso, en losartículos 15 y ss. de la LOPD).

Debe señalarse que los anteriores princi-pios alcanzan pleno significado desde el reco-nocimiento de que el derecho fundamental a laprotección de datos se fundamenta en el poderde disposición de los datos personales por sutitular, y en que tales datos son sometidos atratamiento. Lo que se traduce en que pordefinición quien trata datos personales tratadatos ajenos, no propios, que debe utilizarcon estricto respeto a los derechos del intere-sado. Esta construcción nos reconduce alrespeto a la dignidad de la persona, basefundamental de la protección de datos. Yexplica perfectamente los principios que an-tes he mencionado.

En efecto, si los datos sometidos a trata-miento son datos ajenos y su utilización ha dehacerse en el marco del respeto a la dignidadde la persona y a su poder de disposición sobrelos datos, es lógico que cuando se recabendatos deba informarse al interesado (arts. 10

103

y 11 de la Directiva 95/46/CE; art. 5º de laLOPD y arts. 18 y 19 del Reglamento dedesarrollo de la Ley Orgánica, aprobado porReal Decreto 1720/2007, de 21 de diciem-bre21). Que el tratamiento deba estar ampara-do en un título que habilite su utilización,siendo esencial el consentimiento del titularde los datos (art. 7 de la Directiva y art. 8 dela Carta Europea de Derechos Fundamenta-les; arts. 6, 7 y 11 de la LOPD; arts. 12 a 17del Reglamento). Que los datos sólo puedanutilizarse para la o las finalidades legítimaspara las que fueron recabados (art. 6.1.a de laDirectiva; art. 4 de la LOPD; arts. 8º y 9º delReglamento). Que ha de respetarse el princi-pio de proporcionalidad y mínima ingerenciaen su tratamiento, así como uso leal y lícito delos datos (art. 6 de la Directiva; y, de nuevo,art. 4 de la LOPD y arts. 8º y 9º del Reglamen-to). Y que deben tratarse con seguridad (arts.16 y 17 de la Directiva; art. 9 de la LOPD; arts.79 y ss. del Reglamento). Todo ello, además,como he señalado, garantizado a su vez por el

21 Sobre el Reglamento vid., entre otras obras, Zabia(Director), Protección de Datos. Comentarios al Regla-mento, Lex Nova, Valladolid, 2008. Piñar Mañas yCanales Gil, Legislación de Protección de Datos, Iustel,Madrid, 2008. Incluye, elaborado por el primero, un«Estudio introductoria. El derecho fundamental a laprotección de datos personales. Contenido esencial yretos actuales. En torno al nuevo Reglamento de Protec-ción de Datos» (págs. 17 a 94).

104

reconocimiento a los titulares de los datos delos derechos de acceso, rectificación, cance-lación y oposición (arts. 12 y sigs. de laDirectiva; arts. 15 y ss. de la LOPD; arts. 23y ss. del Reglamento), imprescindibles paragarantizar ese derecho de disposición de losdatos que está en la base misma del sistema.

2.- En particular, el principio de controlindependiente.

Además, la Carta Europea de DerechosHumanos, siguiendo ya la tónica de textosanteriores, da un paso capital a favor de otrode los principios que ya son inherentes a laprotección de datos: el principio que podríadenominarse de control independiente. Enefecto, al disponer que «El respeto de estasnormas [de protección de datos] quedarásujeto al control de una autoridad indepen-diente» está exigiendo la existencia de talautoridad como requisito para considerar queel derecho a la protección de datos está sufi-cientemente garantizado. De modo que sepresume que, faltando esa autoridad, no esposible en ningún caso considerar aceptable elmarco jurídico regulador del derecho. Preci-samente uno de los puntos esenciales de lasdecisiones de adecuación que hasta ahora haaprobado la Comisión Europea en relacióncon la protección ofrecida por terceros países

105

es la de la existencia de una autoridad inde-pendiente de control.

La previsión de la Carta Europea no es enabsoluto nueva, aunque sí lo es el hecho derecogerla en documento de tanta trascenden-cia. La Resolución 45/95 de la AsambleaGeneral de Naciones Unidas, de 14 de diciem-bre de 1990, por la que se establecen lasDirectrices de protección de datos, dispone ensu punto 8 que «el derecho de cada paísdesignará a la autoridad que, de acuerdo consu sistema jurídico interno, vaya a ser respon-sable de supervisar la observancia de losprincipios [de protección de datos]. Esta au-toridad ofrecerá garantías de imparcialidad,independencia frente a las personas o agen-cias responsables de procesar y establecer losdatos, y competencia técnica». Por su parte,el Protocolo Adicional al Convenio 108 delConsejo de Europa, relativo a las autoridadesde Supervisión y a las Transferencias interna-cionales de datos, de 8 de noviembre de 2001,señala en su preámbulo que «las autoridadesde supervisión, ejerciendo sus funciones concompleta independencia, son elemento de laefectiva protección de los derechos de laspersonas en relación con el tratamiento dedatos personales». En esta línea, el artículo1.3 dispone que «las autoridades de supervi-sión ejercerán sus funciones con completaindependencia», y el punto 4 del mismo artí-

106

culo añade que «las decisiones de las autorida-des de supervisión que den lugar a reclama-ciones, pueden ser recurridas judicialmente».Y, por supuesto, la Directiva 95/46/CE, cuyoartículo 28.1 dispone claramente que «losEstados miembros dispondrán que una o másautoridades públicas se encarguen de vigilarla aplicación en su territorio de las disposicio-nes adoptadas por ellos en aplicación de lapresente Directiva. Estas autoridades ejerce-rán las funciones que le son atribuidas contotal independencia».

En definitiva, pues, el principio de tuteladel derecho a través de una autoridad indepen-diente se ha constituido ya como verdaderoprincipio del derecho a la protección de datos.

Y el Tribunal Constitucional ya se hapronunciado, con tanta claridad como contun-dencia, sobre la posición que en el sistema degarantías del derecho fundamental a la protec-ción de datos ocupa la Agencia Española deProtección de Datos. Ha sido en la ya citadaSentencia 290/2000, de 30 de noviembre, enla que resalta la importancia que en el sistemade la protección de datos tiene la autoridadindependiente de control. Señala el TribunalConstitucional español que «En lo que respec-ta... a la Agencia de Protección de Datos...,ha de comenzarse señalando que en las regu-laciones legales adoptadas antes de la entra-

107

da en vigor de nuestra Constitución por va-rios Estados europeos con la finalidad deproteger los datos personales frente a lospeligros de la informática (Ley sueca de 11 demayo de 1973, Ley de la República Federal deAlemania, de 22 de enero de 1977, Ley fran-cesa de 6 de enero de 1978, Ley noruega de 8de junio de 1978), también está presente unelemento institucional. Pues dichas regula-ciones, pese a las diversas denominaciones ydependencias orgánicas que establecen, tie-nen en común el haber creado institucionesespecializadas de Derecho público, a las quese atribuyen diversas funciones de controlsobre los ficheros de datos personales suscep-tibles de tratamiento automatizado, tanto detitularidad pública como privada». Y señalaque en el modelo español la Agencia se con-figura como «un Ente de Derecho Público,con personalidad jurídica propia y plenacapacidad pública y privada, que actúa conplena independencia de las AdministracionesPúblicas en el ejercicio de sus funciones».Asimismo el Tribunal justifica la atribuciónde funciones y potestades a la Agencia deProtección de Datos «para asegurar, median-te su ejercicio, que serán respetados tanto loslímites al uso de la informática como lasalvaguardia del derecho fundamental a laprotección de datos personales en relacióncon todos los ficheros, ya sea de titularidadpública o privada».

108

Y advierte que «la creación de dicho entede Derecho público y las funciones atribuidasal mismo permiten garantizar, ...el ejerciciopor los ciudadanos del haz de facultades queintegra el contenido del derecho fundamen-tal». De modo que la Agencia de Protecciónde Datos «garantiza el ejercicio por los ciuda-danos del derecho fundamental a la protec-ción de dichos datos». Y dado «que la garan-tía de estos derechos, así como la relativa a laigualdad de todos los españoles en su disfrutees el objetivo que guía la actuación de laAgencia de Protección de Datos, es claro quelas funciones y potestades de este órgano hande ejercerse cualquiera que sea el lugar delterritorio nacional donde se encuentren losficheros automatizados conteniendo datos decarácter personal y sean quienes sean losresponsables de tales ficheros».

Es claro, pues, que la existencia de unaautoridad independiente de control forma par-te del sistema del derecho fundamental a laprotección de datos personales. Entre noso-tros el principio de control independiente sematerializa a través de la Agencia Española deProtección de Datos (artículos 35 y ss. de laLOPD) y de las Agencias Autonómicas deProtección de Datos22.

22 Hasta ahora se han constituido las Agencias deMadrid (Ley 8/2001, de 13 de julio, de Protección de

109

3.- Protección de datos y otros derechos. Enparticular, protección de datos y libertad deexpresión.

Que se reconozca un derecho autónomo ala protección de datos, sujeto a un sistemaespecialmente riguroso de tutela y supervi-sión para garantizar su efectividad, es espe-cialmente importante no sólo para el derechoen sí, sino para el ejercicio y desarrollo deotros derechos.

La protección de datos, siendo como es underecho fundamental, es asimismo requisitopara que otras libertades sean respetadas.Impide (debería impedir) que la informacióndisponible sobre las personas23 pueda serutilizada en contra de sus derechos y liberta-des. El mal uso de los datos personales puedetraer como consecuencia la restricción ilegí-tima de derechos tales como el de libertad decirculación, libertad religiosa, libertad desindicación, acceso a funciones públicas, o elderecho al trabajo. Son muchos los supuestos

Datos de Carácter Personal en la Comunidad de Madrid),Cataluña (Ley 5/2001, de 19 de abril, de la AgenciaCatalana de Protección de Datos) y País Vasco (Ley 2/2004, de 25 de febrero, de Ficheros de Datos de CarácterPersonal de Titularidad Pública y de creación de laAgencia Vasca de Protección de Datos).

23 El derecho a la protección de datos se reconoce atodas las personas físicas.

110

reales que se han producido en este sentido.Lo grave, además, es que la violación delderecho a la protección de datos puede pasarinicialmente (o constantemente) desapercibi-da para su titular, de modo que no puedeidentificar el motivo por el que se producenconsecuencias negativas en la esfera de susderechos (pensemos en una persona a la que sedespide como consecuencia de la informaciónobtenida sobre ella derivada de sus datospersonales de creencias religiosas o afiliaciónsindical, o que no es contratada por unaempresa como consecuencia del uso ilegítimode sus datos genéticos, que permiten a laempresa acceder a su información personal. Ola violación de la intimidad derivada del usode cámaras de videovigilancia o de dispositi-vos de radiofrecuencia). Las nuevas tecnolo-gías hacen posible situaciones de invasiónde los derechos de libertad difícilmenteimaginables hasta la fecha. Por ello deberesaltarse con intensidad la importancia queha de otorgarse a la protección de datos decarácter personal como derecho que favoreceel ejercicio efectivo de la libertad.

Por otra parte, sin embargo, la protecciónde datos puede considerarse como un obstácu-lo para el ejercicio de ciertos derechos. Así seha señalado, por ejemplo, en relación con elderecho a la libertad de expresión o de infor-mación. Se ha llegado a considerar que la

111

protección de datos puede dificultar el ejerci-cio efectivo de estos derechos. Sin embargono es en absoluto así. El reto está en encontrarel justo equilibrio entre ambos derechos, talcomo se desprende, por ejemplo, del artículo9 de la Directiva 95/46/CE. A la relaciónentre libertad de expresión y protección dedatos, se ha referido la conocida Sentencia delTJCE de 6 de noviembre de 2003, Linqvist,Asunto C-101/01. Pero con mayor detalle havuelto a ocuparse de ello el Tribunal deJusticia en su Sentencia de 16 de diciembre de2008, Satakunnan, asunto C-73/07. Para apre-ciar la importancia del asunto resuelto, con-viene exponer algunos de los hechos quedieron lugar al conflicto: Desde hace muchosaños una determinada empresa recoge enFinlandia datos públicos de la administraciónfiscal finlandesa para publicar cada año ex-tractos de dichos datos en las ediciones regio-nales del periódico Veropörssi. Los datoscontenidos en dichas publicaciones compren-den el nombre y apellido de alrededor de1.200.000 personas físicas cuyos ingresossuperan determinados umbrales y con unmargen de aproximación de 100 euros, losdatos relativos a las rentas derivadas de susrendimientos del trabajo y del capital, asícomo indicaciones relativas a la imposiciónde su patrimonio. La información se clasificapor municipio y por tipo de renta y se haceconstar por orden alfabético. Del periódico

112

pueden eliminarse los datos personales a ins-tancia del interesado y sin coste alguno. Aun-que dicho periódico contiene también artícu-los, resúmenes y anuncios, su finalidad esen-cial es publicar información personal de ca-rácter fiscal. La empresa en cuestión transmi-tió a Satamedia, de cuyo capital social sontitulares las mismas personas, varios CD-ROM

con los datos personales publicados en elperiódico para su publicación por un sistemade mensajes de texto (SMS). A estos efectos,las dos sociedades firmaron un acuerdo conuna operadora de telefonía móvil que, porcuenta de Satamedia, estableció un serviciode mensajes de texto que permite a los usua-rios de teléfonos móviles recibir en su teléfo-no, por el pago de unos 2 euros, los datospublicados en el Veropörssi. A instancia delinteresado, los datos personales se eliminande dicho servicio24. Ante tales hechos, seplantearon diversas cuestiones prejudicialesde entre las que nos interesa la siguiente:¿Debe interpretarse la Directiva 95/46/CE enel sentido de que puede considerarse que lasdiversas actividades mencionadas anterior-mente constituyen un «tratamiento de datospersonales realizado con fines exclusivamen-te periodísticos», en el sentido del artículo 9de la Directiva, si se tiene en cuenta que losdatos que se han recogido, y que se refieren a

24 Epígrafes 25 a 29 de la Sentencia.

113

más de 1.000.000 de contribuyentes, proce-den de documentos que son públicos en virtudde la normativa nacional sobre acceso a lainformación?.

El Tribunal parte de la base de que, segúnreiterada jurisprudencia, la interpretación delas disposiciones de una directiva debe reali-zarse a la luz del objetivo perseguido por éstay del sistema que establece (cita, en estesentido, la sentencia de 11 de septiembre de2008, Caffaro, C-265/07, Rec. p. I-0000,apartado 14). El objeto de la Directiva 95/46/CE es «que los Estados miembros, al tiempoque permiten la libre circulación de datospersonales, garanticen no obstante la protec-ción de las libertades y de los derechos funda-mentales de las personas físicas, y, en parti-cular, del derecho a la intimidad, en lo querespecta al tratamiento de dichos datos». Sinembargo, dicho objetivo no puede alcanzarsesin tener en cuenta que los referidos derechosfundamentales han de conciliarse, en unacierta medida, con el derecho fundamental ala libertad de expresión, contemplada en elartículo 9 de la Directiva, que tiene por objetoconciliar dos derechos fundamentales: poruna parte, la protección de la intimidad y, porotra, la libertad de expresión. Para conciliaresos dos «derechos fundamentales» en el sen-tido de la Directiva, los Estados miembroshan de prever determinadas excepciones o

114

restricciones a la protección de datos y, por lotanto, al Derecho fundamental a la intimidad.Tales excepciones deben establecerse exclu-sivamente con fines periodísticos o de expre-sión artística o literaria, que están comprendi-dos dentro del derecho fundamental de lalibertad de expresión artística o literaria, sóloen la medida en que resulten necesarias paraconciliar el derecho a la intimidad con lasnormas que rigen la libertad de expresión.Para tener en cuenta la importancia que tienela libertad de expresión en toda sociedaddemocrática –continúa el Tribunal–, procede,por una parte, interpretar ampliamente losconceptos relacionados con ella, entre ellos elde periodismo. Por otra parte, y para obteneruna ponderación equilibrada de los dos dere-chos fundamentales, la protección del dere-cho fundamental a la intimidad exige que lasexcepciones y restricciones a la protección delos datos previstas en la Directiva se establez-can dentro de los límites de lo que resulteestrictamente necesario. Lo que, como señalael Tribunal, exige tener en cuenta los elemen-tos siguientes. En primer lugar, las exencio-nes y excepciones previstas en el artículo 9 dela Directiva se aplican no sólo a las empresasde medios de comunicación, sino también atoda persona que ejerza una actividad perio-dística. En segundo lugar, el hecho de que sepubliquen datos personales con ánimo delucro no excluye a priori que pueda conside-

115

rarse una actividad «exclusivamente con finesperiodísticos». En tercer lugar ha de tenerseen cuenta la evolución y la multiplicación delos medios de comunicación y de difusión deinformación. El soporte en el que se transmi-ten los datos, clásico como el papel o lasondas de radio, o electrónico como Internet,no es determinante para apreciar si se trata deuna actividad «con fines exclusivamente pe-riodísticos». De todo cuanto antecede resultaque actividades como las controvertidas, rela-tivas a datos procedentes de documentos pú-blicos según la legislación nacional, puedencalificarse de «actividades periodísticas» si sufinalidad es divulgar al público información,opiniones o ideas, por cualquier medio detransmisión. No están reservadas a las empre-sas de medios de comunicación y puedenejercerse con ánimo de lucro. Por consiguien-te, el artículo 9 de la Directiva debeinterpretarse en el sentido de que las activida-des analizadas, relativas a datos procedentesde documentos públicos según la legislaciónnacional, han de considerarse actividades detratamiento de datos personales efectuadas«exclusivamente con fines periodísticos» en elsentido de dicha disposición, si tales activida-des se ejercen exclusivamente con la finalidadde divulgar al público información, opiniones

116

o ideas, siendo esta apreciación competenciadel órgano jurisdiccional remitente25.

Es evidente, pues, que, como el resto delos derechos (salvo, en mi opinión, el derechoa la vida y la propia dignidad de la persona),la protección de datos es un derecho noabsoluto, o sujeto a límites. La Sentencia delTribunal Constitucional 70/2009, de 23 demarzo, se refiere a ello, aunque en relación nocon el derecho a la protección de datos sinocon el derecho a la intimidad que reconoce elartículo 18.1 de la Constitución. Con unasconsideraciones que, sin embargo, son per-fectamente trasladables al primero. El Tribu-nal parte de la estrecha vinculación del dere-cho a la intimidad con la dignidad de lapersona (art. 10.1 de la Constitución) y señala(FJ 2º) que «el derecho a la intimidad conte-nido en el art. 18.1 CE no sólo preserva alindividuo de la obtención ilegítima de datosde su esfera íntima por parte de terceros, sinotambién de la revelación, divulgación o publi-cidad no consentida de esos datos, y del uso oexplotación de los mismos sin autorización desu titular. Lo que el art. 18.1 CE garantiza es,por tanto, el secreto sobre la propia esfera devida personal y, por tanto, veda a los terceros,particulares o poderes públicos, decidir sobrelos contornos de la vida privada (STC 83/

25 §§ 51 a 62 de la Sentencia.

117

2002, de 22 de abril, FJ 5)». Tal derecho sinembargo no es absoluto: Como señala elTribunal en el FJ 4º, «los derechos fundamen-tales no son ni ilimitados ni absolutos (portodas STC 198/2004, de 15 de noviembre, FJ8), por lo que pueden ser sometidos a restric-ciones. Llevando esta afirmación al derecho ala intimidad, y como ya afirmamos en la STC196/2004, de 15 de noviembre, aunque laConstitución, en su artículo 18.1, no prevéexpresamente la posibilidad de un sacrificiolegítimo de tal derecho (a diferencia, porejemplo, de lo que ocurre con los derechos ala inviolabilidad del domicilio o al secreto delas comunicaciones proclamados en los arts.18.2 y 3 CE), ello no significa que sea underecho absoluto (FJ 2). Y es que el derechofundamental a la intimidad personal puedeceder ante otros derechos y bienes constitu-cionalmente relevantes, siempre que la limi-tación que haya de experimentar esté fundadaen una previsión legal que tenga justificaciónconstitucional, se revele necesaria para lograrel fin legítimo previsto y sea proporcionadapara alcanzarlo, y sea además respetuosa conel contenido esencial del derecho (por todas,SSTC 57/1994, de 28 de febrero, FJ 6; 143/1994, de 9 de mayo, FJ 6, y 25/2005, de 14de febrero, FJ 6).

El Tribunal Europeo de Derechos Huma-nos –recuerda el Tribunal Constitucional– ha

118

tenido en cuenta estas exigencias, recono-ciendo que si bien la garantía de la intimidadindividual y familiar del art. 8 CEDH puedetener límites como la seguridad del Estado(STEDH de 26 de marzo de 1987, caso Leander),o la persecución de infracciones penales(mutatis mutandis casos Funke, de 25 defebrero de 1993, y Z. contra Finlandia, de 25de febrero de 1997), tales limitaciones han deestar previstas legalmente y ser las indispen-sables en una sociedad democrática, lo queimplica que la ley que establezca esos límitessea accesible al individuo concernido porella, que resulten previsibles las consecuen-cias que para él pueda tener su aplicación, yque los límites respondan a una necesidadsocial imperiosa y sean adecuados y pro-porcionados para el logro de su propósito(SSTEDH caso X. e Y., de 26 de marzo de1985; caso Leander, de 26 de marzo de 1987;caso Gaskin, de 7 de julio de 1989; mutatismutandis, caso Funke, de 25 de febrero de1993; caso Z., de 25 de febrero de 1997).También el Tribunal de Justicia de las UniónEuropea, en la Sentencia de 5 de octubre de1994 (asunto X. contra Comisión, C-404/92P), referida a la protección de la intimidad yal tratamiento de datos relativos a la salud,afirma que «los derechos fundamentales pue-den ser sometidos a restricciones, siempre ycuando éstas respondan efectivamente a obje-tivos de interés general y no constituyan, en lo

119

que respecta al fin perseguido, una interven-ción desmesurada e intolerable que afecte a lapropia esencia de los derechos garantizados».

Como digo, la Sentencia se refiere al dere-cho a la intimidad, pero sus conclusiones sonperfectamente trasladables a la protección dedatos. Incluso el Tribunal hace referenciaexpresa al Convenio 108 del Consejo deEuropa y a la Directiva 95/46/CE (FJ 2,último párrafo) al objeto de resaltar la necesi-dad de otorgar una especial protección a losdatos de salud y señalar que «el derecho a laintimidad queda así relevantemente afectadocuando, sin consentimiento del paciente, seaccede a datos relativos a su salud o a infor-mes relativos a la misma».

III. El derecho a la protección de datos enEspaña. Una evolución legislativa26.

1.- De la LORTAD a la LOPD.

Muy bien puede decirse que el marcojurídico de la protección de datos en Españanace específicamente con la Ley Orgánica 5/

26 Las consideraciones del presente apartado lastomo en lo esencial de mi trabajo «Estudio Introductoria.El derecho fundamental a la protección de datos persona-les...», en Piñar y Canales, Legislación de Protección deDatos, op. cit., págs. 31 y ss.

120

1992, de 29 de octubre, de Regulación deltratamiento automatizado de datos de carácterpersonal (LORTAD) que supuso un hito en elreconocimiento del derecho a la protección dedatos y sentó las bases del que es sin duda unode los modelos europeos más garantistas yrespetuosos con los derechos de las personas.La ley venía a desarrollar el artículo 18.4 dela Constitución, que como hemos visto es elpunto de conexión constitucional del derechoa la protección de datos y que si bien se refiereesencialmente al reconocimiento de tal dere-cho en el ámbito de los tratamientos automa-tizados, en el ámbito de la informática, tam-bién es, junto con el artículo 10 de la Consti-tución, el origen de la más amplia concepcióndel derecho, extensible asimismo a los trata-mientos no automatizados.

La LORTAD –cuya aprobación se precipitóante la incorporación de España al espacioShenguen y debido a las garantías que debíanestablecerse en el tratamiento de datos que elmismo traería consigo–, se adoptó cuando yaestaban en marcha los trabajos que daríanlugar a la Directiva 95/46/CE, pero en cual-quier caso es previa a la norma comunitaria.No obstante, pudo ya recoger gran parte de loque más tarde sería el texto de la Directiva,pero con algunas diferencias dignas de teneren cuenta. Así, sólo era aplicable a los trata-mientos automatizados de datos (en línea, por

121

lo demás, con el artículo 18.4 de la Constitu-ción, que como sabemos habla del uso de «lainformática») y no recogía el derecho deoposición, además de dejar fuera de su ámbitoficheros y tratamientos que luego serían in-corporados a la LOPD (por ejemplo, el Regis-tro de la Propiedad).

La LORTAD –cuya Exposición de Motivosmerece ser leída por los planteamientosnovedosos que la misma contiene y aunquesólo sea para compensar la desconcertanteausencia de Exposición en la LOPD–, fueobjeto de desarrollo reglamentario. Se dicta-ron los Reales Decretos 428/1993, de 26 demarzo, por el que se aprobó el Estatuto de laAgencia de Protección de Datos, 1332/1994,de 20 de junio de desarrollo parcial de laLORTAD y 994/1999, de 11 de junio, por el quese aprueba el Reglamento de medidas deseguridad27. Asimismo, la Agencia dictó lasInstrucciones 128 y 2/199529, 130 y 2/199631 y1/199832.

27 Mediante Real Decreto 195/2000, de 11 de febre-ro se estableció el plazo para implantar las medidas deseguridad de los ficheros automatizados previstas por elReglamento de medidas de seguridad.

28 Instrucción 1/1995, de 1 de marzo, relativa aprestación de servicios de información sobre solvenciapatrimonial y crédito.

29 Instrucción 2/1995, de 4 mayo, de medidas quegarantizan la intimidad de los datos personales recabados

122

2.- La LOPD y alguna legislación sectorial conincidencia en el derecho a la protección dedatos.

Tras la adopción de la Directiva 95/46/CE,del Parlamento y el Consejo, de 24 de octu-bre, relativa a la protección de las personasfísicas en lo que respecta al tratamiento dedatos personales y a la libre circulación deestos datos, era necesario aprobar un nuevotexto legal al objeto de transponer su conteni-do al ordenamiento interno. Su artículo 32.1daba a los Estados miembros un plazo de tresaños desde la adopción de la misma para queadoptasen las disposiciones legales, regla-mentarias y administrativas necesarias paradar cumplimiento a lo establecido en ella,plazo que se extendía hasta doce años enrelación con «el tratamiento de datos que ya seencuentren incluidos en ficheros manuales enla fecha de entrada en vigor de las disposicio-

como consecuencia de la contratación de un seguro devida de forma conjunta con la concesión de un préstamohipotecario o personal

30 Instrucción 1/1996, de 1 marzo, de ficheros auto-matizados establecidos con la finalidad de controlar elacceso a edificios

31 Instrucción 2/1996, de 1 marzo, de ficheros auto-matizados establecidos con la finalidad de controlar elacceso a los casinos y salas de bingo

32 Instrucción 1/1998, de 19 de enero, relativa alejercicio de los derechos de acceso, rectificación ycancelación.

123

nes nacionales adoptadas en aplicación de lapresente Directiva». Este es precisamente elmotivo por el que en la Disposición Adicionalprimera de la LOPD se establece un plazo de 12años, a contar desde el 24 de octubre de 1995,para la adecuación a la Ley de los ficheros ytratamientos no automatizados33.

Los primeros borradores y el Proyecto denueva Ley habían surgido como reforma par-cial de la LORTAD al objeto de adaptar su textoa la Directiva, y así se explicaba en la breveExposición de Motivos que incluía el proyec-to inicial34. Sin embargo, durante el trámite de

33 Plazo que ya finalizó el pasado octubre de 2007.34 «La presente Ley tiene por objeto la adaptación del

Derecho español a la Directiva 95/46/CE, del Parlamen-to Europeo y del Consejo, de 24 de octubre de 1995,relativa a la protección de las personas físicas en lo querespecta al tratamiento de datos personales y a la librecirculación de estos datos. Y para ello se procede aintroducir en la normativa española reguladora de lamateria, contenida en la Ley Orgánica 5/1992, de 29 deoctubre, las modificaciones que vienen reclamadas por elcontenido de la referida Directiva, a fin de que elconjunto normativo resultante se adapte y acomode a lasexigencias de homogeneidad dispositiva establecidas porla Unión Europea.

En el momento de promulgarse la Ley Orgánica 5/1992, de 29 de octubre, que ahora es objeto de modifica-ción, estaba en trámites de discusión y elaboración laDirectiva que se transpone, por lo que los contenidosnormativos de lo que en aquel tiempo era una merapropuesta se tuvieron en cuenta por el legislador español

124

discusión parlamentaria y en el marco de unproceso legislativo cuando menos atípico, setransformó en una nueva y diferente Ley(hecho éste, entre otros, que explica –pero nojustifica– la ausencia de Exposición de Moti-vos de la LOPD) que incorporaba algunas, nomuchas pero importantes, novedades. Nove-dades de sobra conocidas y en las que ahora nopodemos entrar.

para dar respuesta a la problemática derivada de laprotección de la intimidad en el tratamiento de datospersonales. Ello significa que la mencionada Ley Orgá-nica 5/1992, se ajusta en la gran mayoría de sus previsio-nes a las disposiciones contenidas en la Directiva 95/46/CE, siendo necesario únicamente introducir en aquéllalas precisas reformas que den como resultado la totaladecuación entre dicha Ley y la Directiva comunitaria.

Ahora bien, las modificaciones legislativas que parala necesaria adecuación a la Directiva se introducen en laLey vigente, no por aparentemente exiguas carecen deuna singular relevancia, pues en definitiva afectan aaspectos tan importantes como los siguientes: Se amplíael ámbito de aplicación de la Ley, si bien se mantienendeterminados supuestos en que no es de aplicación elrégimen de protección de datos establecido en la misma;se incrementa la protección de los afectados, tanto en loque respecta a su necesaria información en la obtenciónde los datos como en la constante presencia de suconsentimiento en el tratamiento y cesión de sus datospersonales; se incorpora el derecho del afectado deoponerse al tratamiento de sus datos en determinadossupuestos; se prevén nuevos supuestos de excepción enlas transferencias internacionales de datos, y se aplican alos ficheros convencionales o no automatizados las dispo-siciones de la Ley reguladora del tratamiento de datos»:Boletín Oficial de las Cortes Generales. Congreso de losDiputados. Serie A, nº 135-1, de 31 de agosto de 1998.

125

Poco después de aprobarse la LOPD elTribunal Constitucional dictó sus importantesSentencias 290 y 292/2000, a las que ya me hereferido. Sentencias que vienen a consolidarel derecho a la protección de datos comoderecho autónomo e independiente del dere-cho a la intimidad.

La disposición final primera de la LOPD

contiene una cláusula de habilitación para sudesarrollo reglamentario a cuyo fin disponeque «el Gobierno aprobará, o modificará, lasdisposiciones reglamentarias necesarias parala aplicación y desarrollo de la presente Ley».Pero, por un lado, no establece plazo algunoal efecto35, y por otro, la disposición transito-ria segunda de la misma Ley establece que«hasta tanto se lleven a efectos las previsionesde la disposición final primera de esta Ley,continuarán en vigor, con su propio rango, lasnormas reglamentarias existentes y, en espe-cial, los Reales Decretos 428/1993, de 26 demarzo; 1332/1994, de 20 de junio, y 994/1999, de 11 de junio, en cuanto no se opongana la presente Ley».

35 Aunque, como sabemos, el establecimiento de unplazo no condiciona en principio la legalidad de la normareglamentaria de desarrollo aprobada tras su vencimien-to, lo cierto es que representa de alguna manera unasuerte de compromiso para el Gobierno. Compromisoque, como digo, no se fijó en la LOPD.

126

El juego de ambas disposiciones y la desi-dia de los sucesivos Gobiernos ha hecho quehayamos tenido que esperar más de nueveaños para ver por fin publicado el Reglamentode desarrollo de la LOPD, que por ciertoderoga de forma expresa tanto el Real Decreto1332/1994, como el 994/1999 (no así el Esta-tuto de la Agencia, que sigue en vigor).Durante este tiempo hemos debido convivircon un marco normativo disperso y fragmen-tado, cuya vigencia, además, no siempre eraclara. Tal era el caso, por ejemplo, del Regla-mento de Medidas de Seguridad, aplicablepara algunos36 (en lo que fuese de aplicación)a los tratamientos no automatizados, mientrasque otros37 mantenían con firmeza que sólo seaplicaba a los ficheros y tratamientos automa-tizados, lo que llevaba necesariamente a laconclusión, más que discutible, de que losprimeros, los llamados manuales, estabanexentos de implementar medida de seguridadalguna.

Por otra parte, tras la LOPD (y también, enalgún caso, desde antes de su aprobación) sehan ido aprobando diversas leyes sectorialesque tienen una muy importante incidencia en

36 Esta era la opinión de la Agencia Española deProtección de Datos.

37 Por ejemplo, la Agencia de Protección de Datos dela Comunidad de Madrid.

127

el ámbito de la protección de datos (y en elejercicio de las competencias por parte de laAEPD). De entre ellas merecen especial refe-rencia la Ley 32/2003, de 3 de noviembre,General de Telecomunicaciones38, la Ley 34/2002, de 11 julio, de Servicios de la Sociedadde la Información y la Ley 59/2003, de 19 dediciembre, de Firma Electrónica. Leyes queatribuyen nuevas competencias a la Agencia yque también estaban necesitadas de desarrolloreglamentario, siquiera sea para regular elprocedimiento aplicable en el ejercicio de lapotestad sancionadora que a la misma seatribuye.

Asimismo deben ser tenidas en cuenta otrasmuchas leyes, que afectan, directa o indirec-tamente a la protección de datos. Tal es elcaso, por citar sólo algunas, de la Ley 19/1993, de 28 de diciembre, sobre determinadasmedidas de prevención del blanqueo de capi-tales; la Ley Orgánica 4/1997, de 4 de agosto,por la que se regula la utilización devideocámaras por las fuerzas y cuerpos deseguridad en lugares públicos; la Ley 41/2002, de 14 de noviembre, reguladora de laautonomía del paciente y de derechos y obli-

38 Que viene a trasponer la importante Directiva2002/58/CE, del Parlamento Europeo y del Consejo, de12 de julio de 2002, relativa al tratamiento de los datospersonales y a la protección de la intimidad en el sectorde las comunicaciones electrónicas.

128

gaciones en materia de información y docu-mentación clínica; la Ley 11/2007, de 22 dejunio, de acceso electrónico de los ciudadanosa los servicios públicos; la Ley 30/2007, decontratos del sector público; la Ley 25/2007,de 18 de octubre, de conservación de datosrelativos a las comunicaciones electrónicas ya las redes públicas de comunicaciones, laLey 56/2007, de 28 de diciembre, de Medidasde Impulso de la Sociedad de la Información,o la Ley Orgánica 10/2007, de 8 de octubre,reguladora de la base de datos policial sobreidentificadores obtenidos a partir del ADN.Leyes a las que, como digo, pueden añadirsemuchas más, así como múltiples normas re-glamentarias.

3.- La legislación autonómica sobre protec-ción de datos. El marco normativo de ladistribución competencial.

En cuanto a las Comunidades Autóno-mas39, las previsiones de la LOPD han sidopuestas en práctica hasta el momento por tresComunidades Autónomas: Madrid, Cataluñay País Vasco40: Ley 8/2001, de 13 de julio, deprotección de datos de carácter personal en la

39 A ello me he referido ya en «Protección de datospersonales y entidades locales», en R. Parada y J.A.Fuentetaja (dirs.), Reforma y retos de la AdministraciónLocal, Pons, Madrid, págs. 227 y ss.

129

Comunidad de Madrid, Ley 5/2002, de 19 deabril, de la Agencia Catalana de Protección deDatos, y Ley 2/2004, de 25 de febrero, deficheros de datos de carácter personal detitularidad pública y de creación de la AgenciaVasca de Protección de Datos. Y lo cierto esque ninguna de las tres leyes coincide plena-mente con ninguna de las otras dos al definirsu ámbito de aplicación.

La ley madrileña es la más respetuosa conla LOPD. Su artículo 2 se ciñe en lo esencial alo dispuesto por el artículo 41 de la LOPD.Establece que la Agencia de Protección deDatos de la Comunidad de Madrid ejerce susfunciones sobre los ficheros de datos de ca-rácter personal creados o gestionados por lasInstituciones de la Comunidad de Madrid, ypor los Organos, Organismos, Entidades deDerecho público y demás entes públicos inte-grantes de su Administración pública, excep-tuándose las sociedades mercantiles, así comosobre los ficheros de los Entes que integran laAdministración Local del ámbito territorialde la Comunidad de Madrid, de conformidadcon lo previsto en el artículo 41 de la LeyOrgánica 15/1999.

40 Por el orden en que han aprobado sus correspon-dientes leyes reguladoras de las Agencias Autonómicasrespectivas.

130

La Ley catalana es mucho más ambiciosa.El artículo 3º atribuye a la Agencia Catalanade Protección de Datos competencias sobrelos tratamientos de datos personales llevadosa cabo por la Generalidad de Cataluña, por losentes que integran la Administración Local ypor las Universidades en el ámbito territorialde Cataluña, por los organismos y las entida-des autónomas que dependen de la Adminis-tración de la Generalidad o los entes locales ypor los consorcios de los cuales forman parte,de conformidad con lo que establecen la LOPD

y las disposiciones que la desarrollen. Perotambién ejerce sus competencias con relacióna los ficheros creados por las administracio-nes, los organismos y las entidades a que noshemos referido cuando sean gestionados porentidades públicas o privadas en la prestaciónde servicios públicos, sean o no concesionariasde estos, o por asociaciones o fundaciones, opor las sociedades civiles o mercantiles en lascuales la Generalidad o los entes localestengan la participación mayoritaria del capi-tal, cuando llevan a cabo actividades porcuenta de una administración pública.

Como es fácil comprobar el citado artículo3º se extralimita claramente en relación conlo previsto por el artículo 41 de la LOPD, conuna redacción, además, enormemente ambi-gua. Debe tenerse en cuenta, en cualquiercaso, que el nuevo Estatuto de Autonomía de

131

Cataluña de 200641 incluye importantes previ-siones en materia de protección de datos. Porun lado, el artículo 31 dispone que «Todas laspersonas tienen derecho a la protección de losdatos personales contenidos en los ficherosque son competencia de la Generalitat y elderecho a acceder a los mismos, a su exameny a obtener su corrección. Una autoridadindependiente, designada por el Parlamento,debe velar por el respeto de estos derechos enlos términos que establecen las leyes»42. Porotro, el capital artículo 156 atribuye a laGeneralidad «la competencia ejecutiva enmateria de protección de datos de carácterpersonal que, respetando las garantías de losderechos fundamentales en esta materia, in-cluye en todo caso:

41 En relación con la regulación de los derechos enel nuevo Estatuto, vid. V. Farreres, P. Biglino y M.Carrillo, Derechos, deberes y principios en el nuevoEstatuto de Autonomía de Cataluña», Centro de EstudiosPolíticos y Constitucionales, Madrid, 2006.

42 El texto, por cierto, es claramente limitador delderecho, pues, por ejemplo, no hace referencia al dere-cho de cancelación o de oposición. Es importante, sinembargo, destacar que se ha incluido una referenciaexpresa a la existencia de una autoridad independiente, loque refuerza el principio de control independiente al quemás atrás me refería.

132

a) La inscripción y el control de los fiche-ros o los tratamientos de datos de carácterpersonal creados o gestionados por las insti-tuciones públicas de Cataluña, la Administra-ción de la Generalitat, las administracioneslocales de Cataluña, las entidades autónomasy las demás entidades de derecho público oprivado que dependen de las administracio-nes autonómica o locales o que prestan servi-cios o realizan actividades por cuenta propiaa través de cualquier forma de gestión directao indirecta, y las universidades que integranel sistema universitario catalán.

b) La inscripción y el control de los fiche-ros o los tratamientos de datos de carácterpersonal privados creados o gestionados porpersonas físicas o jurídicas para el ejerciciode las funciones públicas con relación a ma-terias que son competencia de la Generalitato de los entes locales de Cataluña si eltratamiento se efectúa en Cataluña.

c) La inscripción y el control de los fiche-ros y los tratamientos de datos que creen ogestionen las corporaciones de derecho pú-blico que ejerzan sus funciones exclusivamen-te en el ámbito territorial de Cataluña.

d) La constitución de una autoridad inde-pendiente, designada por el Parlamento, quevele por la garantía del derecho a la protec-

133

ción de datos personales en el ámbito de lascompetencias de la Generalitat».

De la lectura del precepto, y sin poderentrar ahora en mayores detalles, podemosdeducir algunas conclusiones iniciales: Antetodo, que el Estatuto amplía considerable-mente las competencias de la Generalidad enla materia. Especial mención merece el apar-tado b) que parecería haber roto el esquemageneral de distribución de competencias entreel Estado y las Comunidades Autónomas envirtud del cual al primero le corresponde lacompetencia exclusiva en relación con losficheros privados. Al atribuir ahora el Estatu-to a la Generalidad la competencia ejecutivaen los términos que acabamos de ver, parece,como digo, que el esquema se ha roto. Perodebe tenerse muy en cuenta que sigue mante-niéndose una directa relación de tales ficherosprivados con el ejercicio de funciones públi-cas que correspondan a la Generalidad o a losentes locales de Cataluña. Además, el trata-miento debe efectuarse en Cataluña. En esteestricto ámbito debe entenderse la competen-cia ahora asumida. Por otra parte, la mismano es exclusiva, sino ejecutiva, lo que setraduce, según el artículo 112 del Estatuto enque «la potestad reglamentaria, que compren-de la aprobación de disposiciones para laejecución de la normativa del Estado, asícomo la función ejecutiva, que en todo caso

134

incluye la potestad de organización de supropia administración y, en general, todasaquellas funciones y actividades que el orde-namiento atribuye a la Administración públi-ca». Es decir, será necesario aprobar unanorma específica que determine el alcance dela competencia. No basta, pues, con el Esta-tuto, sino que es necesaria, como digo, unanormativa de concreción competencial. Entanto no se dicte, seguirá siendo de aplicaciónla Ley 5/2002, de 19 de abril.

En fin, la Ley vasca 2/2004, de 25 defebrero dispone en su artículo 2.1 que lamisma será aplicable «a los ficheros de datosde carácter personal creados o gestionados,para el ejercicio de potestades de derechopúblico» por diversas entidades de derechopúblico que el legislador ha preferido enume-rar. En principio no parecería que se plantea-se problema alguno, pero el artículo 23 intro-duce un elemento de confusión al establecerque las infracciones serán sancionadas conmultas económicas en función de la naturale-za de aquéllas (leves, graves o muy graves).Tal previsión no puede entenderse en el sen-tido de que las Entidades públicas pueden sersancionadas con multas económicas. El artí-culo 24 deja claro que en caso de infraccióncometida en relación con los ficheros a que serefiere el artículo 2.1 será de aplicación elrégimen previsto por aquél, que no ha tomado

135

en consideración la posibilidad de imponersanciones económicas. Debe entenderse quelas multas económicas han sido estipuladaspara el caso de que la Agencia Vasca puedainiciar expediente sancionador contra un en-cargado del tratamiento que, siendo privado,actúe por cuenta del responsable público.

La legislación autonómica comentada hasido objeto del correspondiente desarrolloreglamentario43. Pero aún así también estabanecesitada de la aprobación del Reglamento,de desarrollo de la LOPD, pues algunas de susprevisiones tienen carácter básico y se aplican

43 En Madrid, Decreto 40/2004, de 18 de marzo, porel que se aprueba el Estatuto de la Agencia de Protecciónde Datos de la Comunidad de Madrid; Decreto 67/2003,de 22 de mayo, por el que se aprueba el Reglamento dedesarrollo de la Agencia de Protección de Datos de laComunidad de Madrid de tutela de derechos y de controlde ficheros de datos de carácter personal; y Decreto 99/2002, de 13 de junio, de regulación del procedimiento deelaboración de disposiciones de carácter general de crea-ción, modificación y supresión de ficheros que contienendatos de carácter personal, así como su inscripción en elRegistro de Ficheros de Datos Personales. En Cataluña,Decreto 48/2003, de 20 de febrero, por el que se apruebael Estatuto de la Agencia Catalana de Protección deDatos. En el País Vasco, Decreto 308/2005, de 18 deoctubre, por el que se desarrolla la Ley 2/2004, de 25 defebrero, de ficheros de datos de carácter personal detitularidad pública y de creación de la Agencia Vasca deProtección de Datos y Decreto 309/2005, de 18 de octu-bre, por el que se aprueba el Estatuto de la Agencia Vascade Protección de Datos.

136

en consecuencia a las Comunidades Autóno-mas. En efecto, la disposición final primeradel Real Decreto 1720/2007 enumera los pre-ceptos del reglamento que se dictan al amparode lo dispuesto en el artículo 149.1.1.ª de laConstitución, que atribuye al Estado la com-petencia exclusiva para la regulación de lascondiciones básicas que garanticen la igual-dad de todos los españoles en el ejercicio delos derechos y en el cumplimiento de losdeberes constitucionales, y que en consecuen-cia son aplicables en todo el territorio nacio-nal44, vinculando, por tanto a las Comunida-des Autónomas y, en particular a las Agenciasautonómicas de protección de datos.

4.- El desarrollo reglamentario de la LOPD Enparticular el Reglamento aprobado medianteReal Decreto 1720/2007. Motivos que hacíannecesaria su aprobación45.

Tras la LOPD la Agencia Española de Pro-tección de Datos aprobó tres Instrucciones: la1/2000, de 1 de diciembre, relativa a lasnormas por las que se rigen los movimientosinternacionales de datos46; la 1/2004, de 22 dediciembre, sobre publicación de las resolu-

44 El Título I, con excepción del apartado c) delartículo 4, los Títulos II, III, VII y VIII, así como losartículos 52, 53.3, 53.4, 54, 55.1, 55.3, 56, 57, 58 y 63.3

45 Vid supra, nota 26.

137

ciones de la Agencia, y la 1/2006, de 8noviembre, sobre el tratamiento de datos per-sonales con fines de vigilancia a través desistemas de cámaras o videocámaras. Debeseñalarse que la segunda de las citadas teníasu origen, fundamentalmente, en la reformaque se operó en el artículo 37 de la LOPD al quese añadió un nuevo apartado, el 2, medianteLey 62/2003, de 30 de diciembre. Tanto lareforma legal como la Instrucción tenían comoobjetivo esencial incrementar la transparen-cia en la actuación de la Agencia, respondien-do así a las indicaciones que más o menosinformalmente se venían efectuando desde laComisión Europea y permitiendo el más am-plio conocimiento de la doctrina de la Agenciapor parte de todos.

Varios Reales Decretos y varias Instruc-ciones, en uno y otro caso anteriores y poste-riores a la LOPD, configuraban por tanto elmarco jurídico reglamentario de la LOPD.Pero ninguna de tales normas cumplía, niformal ni materialmente, la habilitación-man-dato incluida en la disposición final primerade la Ley Orgánica 15/1999.La situaciónnormativa a nivel reglamentario en el Estadorequería, pues, una urgente adaptación a laLOPD.

46 Sobre dicha Instrucción téngase en cuenta la STSde 25 de septiembre de 2006, por la que se anula elapartado 2 de la norma tercera de la misma.

138

Dada esa necesidad, la Agencia Españolade Protección de Datos inició ya en los prime-ros meses de 2003 los estudios y trabajospreparatorios necesarios para la elaboracióndel Reglamento. Fue en la Agencia donde, deacuerdo con el Ministerio de Justicia, sedieron los primeros pasos en la redacción delos primeros textos. Una comisión integradapor representantes de una y otro redactó elprimer borrador, que se remitió al Ministerioel 30 de diciembre de 2005, y que constituyesin duda el punto a partir del que más tarde seha trabajado. Lo importante era contar con unborrador inicial abierto a la discusión y eldebate y que sirviese como punto de partidapara lo que más tarde sería el texto final. Sepuso entonces en marcha una serie de activi-dades para dar a conocer los primeros borra-dores. Y se redactaron tres versiones más: lasde 28 de noviembre de 2006, 30 de marzo de2007, y 12 de julio de 2007. El Proyecto fueobjeto de Dictamen del Consejo de Estado(Dictamen de 15 de noviembre de 2007,Referencia 1909/2007), en el que se dejaconstancia del gran número de entidades,públicas y privadas, e instituciones que hanparticipado en su elaboración, a través funda-mentalmente de la presentación de alegacio-nes u observaciones47.

47 Llama la atención el hecho de que el Dictamen delConsejo de Estado no haga referencia al borrador de 30

139

Dotar al sistema de mayor seguridad jurí-dica (así como dar cumplimiento a la antescitada Disposición Final de la LOPD) era sinduda el más importante de los motivos queentonces se tuvieron en cuanta para acometertan necesaria empresa. Pero también habíaotros muchos de alcance no menor. Sin pre-tensión de ser exhaustivo, cabe señalar: a) laconveniencia de adaptar el incompleto y frag-mentario marco reglamentario existente (dedesarrollo de la vieja Ley de 1992, que no dela LOPD, como antes decía) a las previsionesde la Ley de 1999. Por ejemplo, como sabe-mos, la aplicación de la segunda a los trata-mientos no automatizados, que no eran regu-lados por la LORTAD; b) La recepción de ladoctrina que sobre protección de datos habíanido elaborando tanto los Tribunales (TribunalConstitucional, Tribunal Supremo, Audien-cia Nacional y Tribunales Superiores de Jus-ticia) como la propia Agencia Española deProtección de Datos. Doctrina de enormeinterés que ha consolidado ya criteriosinterpretativos de la LOPD y que ahora serecogen de forma expresa en el nuevo Regla-mento. Tal es el caso de la posibilidad desubcontratar los servicios por parte de los

de diciembre de 2005 (sí lo hace a los otros tres), lo quepodría derivarse del hecho de que el mismo no fueseincluido en el expediente remitido al citado órganoconsultivo.

140

encargados del tratamiento, el reconocimien-to y ejercicio del derecho de oposición o loscriterios para acreditar la obtención del con-sentimiento de los interesados, entre otrostemas; c) La necesidad de aclarar diversascuestiones relativas a la adecuación de lalegislación española al derecho comunitario,y en particular a la Directiva 95/46/CE sobreprotección de datos. Incluso se han incorpora-do algunos conceptos o aclaraciones acuñadospor el propio Tribunal de Justicia de la UniónEuropea. La breve Exposición de Motivosdel Reglamento afirma que «se aprueba esteReglamento partiendo de la necesidad de do-tar de coherencia a la regulación reglamenta-ria en todo lo relacionado con la transposiciónde la Directiva y de desarrollar los aspectosnovedosos de la Ley Orgánica 15/1999, juntocon aquellos en los que la experiencia haaconsejado un cierto de grado de precisiónque dote de seguridad jurídica al sistema».

IV. Retos actuales y futuros de la protecciónde datos

Pero aún siendo de capital importancia elanálisis y esclarecimiento del marco normati-vo de la protección de datos, parece que esimprescindible llevar a cabo un estudio aproxi-mativo de los grandes retos que hoy tieneplanteados el derecho fundamental a la pro-tección de datos, que pueden llegar a afectar

141

de modo considerable su propia esencia, cuan-do no limitar su contenido esencial.

En mi opinión son al menos cinco los retosque debe afrontar la protección de datos.Primero, el de las nuevas tecnologías; segun-do, el de la seguridad ciudadana; tercero, larelación con la transparencia y el acceso a lainformación; cuarto, las necesidades y exi-gencias del mercado; y por último, la necesi-dad de revisar gran parte de los planteamien-tos de la protección de datos en un mundoglobalizado en el que la circulación y flujo dedatos son absolutamente ajenos a las fronterasfísicas convencionales. A continuación anali-zo algunos de ellos.

1.- Protección de datos y nuevas tecnologías.

Como ya he señalado en otras ocasiones48,nunca antes como hoy había sido posible,utilizando las tecnologías que están ya alalcance de casi cualquiera, invadir laprivacidad de las personas hasta los límites alos que se está llegando. Pensemos que hoy es

48 Recientemente en «Consideraciones introduc-toriassobre el derecho fundamental a la protección de datos decarácter personal», Boletín del Ilustre Colegio de Aboga-dos de Madrid, monográfico sobre La Protección deDatos (I), núm. 36, 3ª época, abril 2007, págs. 13 y ss.Asimismo en ¿Existe la Privacidad?, op. cit., págs. 13 yss.

142

posible conocer los contenidos de los correoselectrónicos, de las llamadas efectuadas orecibidas mediante teléfonos móviles; quepueden tratarse para múltiples finalidades losdatos genéticos; que el uso de datos biométricosestá casi a la orden del día; que las nuevastecnologías pueden afectar grave e intensa-mente a los derechos fundamentales e inclusopueden condicionar el contenido de las nor-mas jurídicas49; que mediante dispositivos deradiofrecuencia50 es posible no sólo controlarlas ventas en un centro comercial sinotambién localizar personas; que la capaci-dad de los ordenadores personales y susfuncionalidades se incrementan constantemen-te al tiempo que se reduce el coste de talesinnovaciones –como expresa la llamada «Ley

49 Sobre ello vid. N. IRTI y E. Severino Dialogo suDiritto e Tecnica, Editori Laterza, Roma-Bari, 2001; S.Rodota Tecnologie e diritti, Il Mulino, Bari, 1995;Tecnopolitica. La democrazia e le nuove tecnologie dellacomunicazione, Editori Laterza, Roma-Bari, 1997. Haytraducción al español: Tecnopolítica. La democracia ylas nuevas tecnologías de la información, Losada, Bue-nos Aires, 2000; J.L. Piñar Mañas, «Revolución tecno-lógica, Derecho Administrativo y Administración Públi-ca. Notas provisionales para una Reflexión», en VariosAutores, La Autorización administrativa. La Administra-ción Electrónica. La Enseñanza del Derecho Administra-tivo, Publicaciones de la Asociación Española de Profe-sores de Derecho Administrativo, Thomson Aranzadi,Cizur Menor, 2007.

50 Los llamados RFID, «identificadores porradiofrecuencia»

143

de MOORE»51– implicando riesgos potencia-les para la privacidad y para la protección dedatos personales52; que la sociedad corre elriesgo de verse sometida a una videovigilanciaconstante53. Los sistemas de reconocimiento

51 El coste económico de los avances tecnológicos yde nuevos dispositivos es cada vez menor, lo que facilitaaún más su uso e implantación. Gordon MOORE expusosu visión del futuro de las tecnologías en un breveartículo, de apenas cuatro páginas, publicado en 1965, entérminos que más adelante se conocerían (y así se cono-cen hoy) como la «Ley de Moore». Avanzó entonces que«The complexity for minimum component costs hasincreased at a rate of roughly a factor of two per year...Certainly over the short term this rate can be expected tocontinue, if not to increase. Over the longer term, the rateof increase is a bit more uncertain, although there is noreason to believe it will not remain nearly constant for atleast 10 years»: «Cramming more components ontointegrated circuits», Electronics, Volumen 38, Número8, 19 de Abril de 1965.

52 Vid. Castells, Manuel, La era de la información.Vol. 1, La sociedad red, Alianza Editorial, Madrid, 3ªed., 2005, pág. 70.

53 El incremento de las cámaras de vigilancia en lascalles es ya tan alarmante como algo desgraciadamentenormal. Plantea problemas de gran importancia sobre laprivacidad y la protección de datos. Vid. el Dictamen dela Comisión de Venecia sobre la videovigilancia enlugares públicos por parte de las autoridades públicas yla protección de los derechos humanos, en Revista Espa-ñola de Protección de Datos, nº 3 (julio-diciembre2007), págs. 427 y ss. La Agencia Española de Protec-ción de Datos ha dictado la Instrucción 1/2006, de 8 denoviembre, sobre el tratamiento de datos personales confines de vigilancia a través de sistemas de cámaras o devideocámaras, a la que me he referido ya más atrás en el

144

facial, face recognition technologies54, me-diante cámaras de videovigilancia permiten elreconocimiento facial de las personas. Hoy através de los teléfonos móviles es posiblelocalizar prácticamente a cualquier usuario, ylo malo es que puede hacerse sin conocimien-to del interesado y por tanto sin su consenti-miento. El desarrollo de lo que se ha venidoen llamar ubiquitous computing55 puede llegar

texto. La Conferencia Internacional de Autoridades deProtección de Datos celebrada en Londres durante losdías 1 a 3 de noviembre de 2006 tuvo por tema precisa-mente la necesidad de adecuar la videovigilancia a lasexigencias del derecho fundamental a la protección dedatos.

54 Ver por ejemplo K.W. Bowyer, «Face recognitiontechnology: security versus privacy», Technology andSociety Magazine, IEEE, Primavera de 2004, Volumen23, páginas 9 y ss. Jay Stanley y Barry Steinhardt. «Face-Recognition Technology Threatens Individual Privacy.»Opposing Viewpoints: Civil Liberties. Ed. Tamara L.Roleff. San Diego: Greenhaven Press, 2004. Ver http://www.enotes.com/civil-liberties-article/41394. Ver unejemplo de tal sistema en Holtzman, Privacy lost. HowTechnology is endangering your Privacy, Jossey-Bass,San Francisco, 2006, pág. 6.

55 El término se utilizó por primera vez en torno a1988 por Mark Weiser. Ver su trabajo The Computer forthe 21st Century, http://www.ubiq.com/hypertext/weiser/SciAmDraft3.html. Ver Reijo Aarnio, «Data Protectionand New Technologies: «Ubiquitous Computing»», enVarios Autores, Proccedings of the First EuropeanCongress on Data Protection. Madrid, 29-31 March2006, Fundación BBVA, Madrid, 2008, págs. 107 y ss.Asimismo Marc Langheinrich, «Privacy by Design-Principles of Privacy-Aware Ubiquitous Systems», 2001,

145

a permitir un seguimiento omnipresente de laspersonas mediante la interconexión de muydiferentes aparatos y sistemas, lo que a su vezpermitirá obtener una información completade aquéllas sin que tengan conciencia de ello.La nanotecnología permite ya elaborar dispo-sitivos capaces de captar y elaborar informa-ción hasta extremos insospechados y de unmodo totalmente desapercibido; tal es el casode los llamados roboflies, o de los nanobots56.

Los ejemplos podrían multiplicarse casihasta el infinito, y muy bien podría decirseque cualquier situación o circunstancia imagi-nable es ya posible. Pese a resultar un lugarcomún citarlo en estos casos, es necesariorememorar de nuevo la famosa denunciaorwelliana del Gran Hermano que todo losabe y todo lo escruta, sin posibilidad deeludir su insaciable afán de vigilante omni-presente. Vuelve incluso a recuperarse la ideadel Panópticon de Jeremy Bentham, esa cár-cel cuyo diseño permite al carcelero vigilar atodos los reclusos sin que estos sepan siquieraque están siendo observados, lo que haría deellos dóciles sujetos, al saberse constante-mente vigilados. Idea que más adelante teori-

en http://www.vs.inf.ethz.ch/res/papers/privacy-principles.pdf

56 Clippinger, A Crowd of one. The Future of Indivi-dual Identity, Public Affaires, New York, 2007, págs. 28y 32.

146

zó Michael Foucault57 como forma de vigilan-cia constante y control social58. Se habla de la«vigilancia total»59. Algo que las nuevas tec-nologías pueden hacer realidad60. Como JeffreyRosen ha señalado, estamos sometidos a una«mirada no deseada», que puede destruir nues-tra privacidad61.

No son simples «horror stories» sobre elcarácter intrusivo de las nuevas tecnologías,sobre el uso y abuso de datos personales62.Son situaciones reales que deben hacernosreflexionar sobre cómo es nuestra vida en el

57 Vigilar y castigar, Ed. Siglo XXI, México, 1976.A ello se ha referido también Daniel J. Solove, TheDigital Person. Technology and Privacy in the InformationAge, New York University Press, 2004, págs. 30-31.

58 Vid. Bennett y Raab, The Governance of Privacy.Policy Instruments in Global Perspective, op. cit., págs.16 y ss.

59 Reg Whitaker, The End of Privacy: how TotalSurveillance is Becoming a Reality, New Press, NewYork, 1999. Cit. por Bennett y Raab, op. ult. cit, pág.338. Existe traducción al español de la obra de Whitaker:El fin de la privacidad. Como la vigilancia total se estáconvirtiendo en realidad, Paidos, 1999.

60 Vid. David. H. Holtzman, Privacy lost. HowTechnology is endangering your Privacy, Jossey-Bass,San Francisco, 2006, págs. 265 y ss.

61 J. Rosen, The Unwanted Gaze. The Destruction ofPrivacy in America, Vintage Books, New York, 2000.

62 Vid. R. Smith, War Stories: Accounts of PersonsVictimized by Invasions of Privacy, Privacy Journal,1993. Cit. por Bennett y Rabb, Governance of Privacy....,op. cit., pág. 7.

147

entorno de las nuevas tecnologías: cómo esnuestra vida, nuestra libertad y nuestra felici-dad tras la explosión digital, según han estu-diado Abelson, Ledden y Lewis63. Se hahablado de la muerte de la privacidad en elSiglo XXI64. Jon L. Mills se refiere a laprivacidad como «el derecho perdido»65 yMauro Paissan llega más lejos: «la privacidadestá muerta»66. El primero advierte de losinnumerables riesgos que para la privacidadderivan de las «More-Intrusive Tecnologies»67,con múltiples ejemplos, que sin embargopodrían multiplicarse.

Y lo preocupante no es ya que tales innova-ciones tecnológicas invadan nuestraprivacidad, sino que lo hacen pasando des-apercibidas. No somos conscientes de lo queello supone. Hablar ahora de las redes socia-les sería fácil y apropiado. Se trata de un

63 Blown to Bits. Your Life, Liberty and Happinesafter the Digital Explosion, Addison-Wesley, 2008. Setrata de un muy interesante libro con reveladoras re-flexiones acerca del futuro que pueden depararnos lasnuevas tecnologías.

64 Simson Garfinkel, Database Nation: the Death ofPrivacy in 21st Century, O’Reilly Media, Sebastopol,California, 2001.

65 J L. Mills, Privacy. The Lost Right, OxfordUniversity Press, New York, 2008.

66 La Privacy è morta, viva la Privacy, Ed. Pontealle Grazie, Roma, 2009.

67 Op. cit., pág. 29.

148

fenómeno que implica una pérdida inimagina-ble de privacidad. Que se alimenta además deun peligro extraordinariamente grave en rela-ción con la situación que vengo exponiendo:el de considerar que todas esas medidasamenazantes para la privacidad del ser huma-no son no solo adecuadas, sino necesarias enla nueva sociedad del conocimiento, y que portanto debemos aceptarlas no sólo resignadasino convencidamente. Medidas que poco apoco van incorporándose a nuestra vida coti-diana y que aceptamos como algo inevitable eincluso positivo. Se incorporan a nuestromoderno y normal modo de vida como unintegrante más que ya ni se cuestiona.

2.- Protección de datos y seguridad68.

Sin duda una de las tensiones que más se hapuesto de relieve al hablar de la protección dedatos es la que deriva de su relación con laseguridad ciudadana. Los terribles atentadosdel 11-S, así como los de Londres y Madrid,han modificado los standares de seguridad ylas exigencias que de ello derivan, con riesgoen no pocas ocasiones para el ejercicio de

68 Reitero ahora algunas reflexiones que ya he ade-lantado en Seguridad, Transparencia y Protección deDatos. El futuro de un necesario e incierto equilibrio,Fundación Alternativas, Madrid, 2009.

149

otros derechos, como es, señaladamente, laprotección de datos de carácter personal.

La aprobación tras el 11-S de la Patriot Acten Estados Unidos ha venido seguida de laadopción de medidas restrictivas que incidenconsiderablemente en la protección de datos.Los llamados casos PNR69 o Swift70 son ex-presión de ello. La tensión que se ha produci-do entre Europa y Estados Unidos (con dosperspectivas diferentes en cuanto a la virtua-lidad de los derechos y la aplicación extrate-rritorial de las normas) es en definitiva expre-sión de la tensión entre seguridad y libertad.Pero también esa tensión se ha producido enel seno de Europa. La Directiva sobre reten-ción de datos de telecomunicaciones71 es pruebade ello. Por otra parte, cada vez se generalizamás la instalación de cámaras y videocámarasde modo que puede afirmarse que se corre el

69 Cesión de datos de pasajeros a las autoridadesaduaneras de Estados Unidos.

70 Posibilidad que tiene el Departamento del Tesorode Estados Unidos de acceder a datos relativos a transfe-rencias financieras que se operen a través del sistemaSwift.

71 Directiva 2006/24/CE, del Parlamento Europeo ydel Consejo de 15 de marzo de 2006, sobre la conserva-ción de datos generados o tratados en relación con laprestación de servicios de comunicaciones electrónicasde acceso público o de redes públicas de comunicacionesy por la que se modifica la Directiva 2002/58/CE.

150

riesgo de estar sometidos a una vigilanciaomnipresente.

En este escenario se plantea con especialintensidad la tensión entre protección de da-tos/intimidad y seguridad. Tensión que, unavez más, debe buscar el justo equilibrio valo-rando en todo caso el estricto respeto a losderechos fundamentales.

El derecho a la seguridad está reconocidoen el art. 17.1 de la Constitución y ha sidoreconocido por el Tribunal Europeo de Dere-chos Humanos72. Según el artículo 29 delTratado de la Unión Europea «el objetivo dela Unión será ofrecer a los ciudadanos un altogrado de seguridad dentro de un espacio delibertad, seguridad y justicia». El artículo 6 dela Carta Europea de los Derechos Fundamen-tales reconoce que «toda persona tiene dere-cho a la libertad y a la seguridad». LosEstados tienen obligación de adoptar medidasdirigidas a proteger a los ciudadanos frente ala inseguridad73. Pero tales medidas han de serrespetuosas con los derechos fundamentales,

72 Sobre ello vid. Comisionado para los DerechosHumanos del Consejo de Europa, Protecting the Right toPrivacy in the Fight Against Terrorism, CommDH/IssuePaper 3, Strasburgo, 4-12-08, p. 12.

73 Op. loc. Ult. cit. Vid Guidelines on human rightsand the fight against terrorism, Adoptadas por el Comitéde Ministros del Consejo de Europa, el 11-7-02, pág. 7.

151

y en particular con el de protección de datos.La STC 292/2000 ha resaltado que tales limi-taciones han de estar previstas legalmente ydeben ser las indispensables en una sociedaddemocrática, lo que implica que la ley queestablezca esos límites sea accesible al indivi-duo concernido por ella, que resulten previsi-bles las consecuencias que para él pueda tenersu aplicación, y que los límites respondan auna necesidad social imperiosa y sean adecua-dos y proporcionados para el logro de supropósito (como ha vuelto a señalar en suSentencia 70/2009, como vimos más atrás).Según el Tribunal:

«9. En cuanto a los límites de este dere-cho fundamental… este Tribunal ha dicho quela persecución y castigo del delito constituye,asimismo, un bien digno de protección cons-titucional, a través del cual se defienden otroscomo la paz social y la seguridad ciudada-na...

El Convenio europeo de 1981 también hatenido en cuenta estas exigencias en su art. 9.Al igual que el Tribunal Europeo de DerechosHumanos, quien refiriéndose a la garantía dela intimidad individual y familiar del art. 8CEDH, aplicable también al tráfico de datosde carácter personal, reconociendo que pu-diera tener límites como la seguridad delEstado (STEDH caso Leander, de 26 de mar-

152

zo de 1987, §§ 47 y sigs.), o la persecución deinfracciones penales (mutatis mutandis,SSTEDH, casos Z, de 25 de febrero de 1997,y Funke, de 25 de febrero de 1993), ha exigidoque tales limitaciones estén previstas legal-mente y sean las indispensables en una socie-dad democrática, lo que implica que la leyque establezca esos límites sea accesible alindividuo concernido por ella, que resultenprevisibles las consecuencias que para élpueda tener su aplicación, y que los límitesrespondan a una necesidad social imperiosa ysean adecuados y proporcionados para ellogro de su propósito (Sentencias del Tribu-nal Europeo de Derechos Humanos, caso X eY, de 26 de marzo de 1985; caso/Iander, de 26de marzo de 1987; caso/Iskin, de 7 de julio de1989; /Iatis mutandis, caso/Inke, de 25 defebrero de 1993; caso, de 25 de febrero de1997)».

La propia LOPD establece en su artículo2.2.c) que la misma no se aplica «a losficheros establecidos para la investigación delterrorismo y formas graves de delincuenciaorganizada» (en el mismo sentido, art. 4.c)del Reglamento de desarrollo de la LOPD). Porsu parte, la Directiva 95/46/CE establece ensu artículo 3.2 que la misma no se aplica altratamiento de datos «efectuado en el ejerciciode actividades no comprendidas en el ámbitode aplicación del Derecho comunitario, como

153

las previstas por las disposiciones de lostítulos V y VI del Tratado de la Unión Euro-pea y, en cualquier caso, al tratamiento dedatos que tenga por objeto la seguridad públi-ca, la defensa, la seguridad del Estado (inclui-do el bienestar económico del Estado cuandodicho tratamiento esté relacionado con laseguridad del Estado) y las actividades delEstado en materia penal»74. La Directiva,pues, no se aplica ni en el ámbito del SegundoPilar (Política Exterior y de Seguridad Co-mún), ni en el del Tercer Pilar (Cooperaciónpolicial y judicial en materia penal).

En lo que a la seguridad pública se refiere,el hecho de que la Directiva no se aplique enel ámbito del Tercer Pilar tiene especial rele-vancia. De hecho, gran parte de los debatesacerca de la aplicación o no de las disposicio-nes sobre protección de datos en la UniónEuropea giran en torno a la necesidad o no derespetar los principios de tal derecho en laadopción de medidas dirigidas a garantizar laseguridad y combatir el terrorismo y la delin-cuencia organizada. La Sentencia del Tribu-

74 El Considerando (43) de la Directiva dispone que«los Estados miembros podrán imponer restricciones alos derechos de acceso e información y a determinadasobligaciones del responsable del tratamiento, en la medi-da en que sean estrictamente necesarias para, por ejem-plo, salvaguardar la seguridad del Estado, la defensa, laseguridad pública».

154

nal de Justicia de las Comunidades Europeasde 30 de mayo de 2006, Parlamento Europeocontra Consejo, asuntos acumulados C-317/04 y C-318/04, deja claro que la Directiva 95/46/CE no es norma jurídica que pueda servirde parámetro para enjuiciar la validez dediversos actos relacionados con el envío dedatos de pasajeros a Estados Unidos, pues,por tratarse de iniciativas que se enmarcan enla lucha contra el terrorismo, quedan fuera desu ámbito de aplicación.

Precisamente por ello ha sido necesarioaprobar la Decisión Marco 2008/977/JAI, delConsejo, de 27 de noviembre de 2008, relati-va a la protección de datos personales en elmarco de la cooperación policial y judicial enmateria penal75, por la que se pretende «garan-tizar un alto nivel de protección de los dere-chos y libertades fundamentales de las perso-nas físicas y en particular de su derecho a laintimidad en lo que respecta al tratamiento dedatos personales en el marco de la coopera-ción policial y judicial» (art. 1º). Ahora bien,dado que el ámbito de la Decisión es lacooperación policial y judicial, sólo se aplica

75 DOUE L. 350/60, de 30 de diciembre de 2008. Suentrada en vigor se prevé a los 20 días de su publicación(art. 30), mientras que los Estados miembros debenadoptar las medidas necesarias para dar cumplimiento alo dispuesto en la Directiva antes del 27 de noviembre de2010 (art. 29).

155

al intercambio de datos entre los Estadosmiembros, no al tratamiento exclusivamentenacional.

La Decisión trae causa, sobre todo, delPrograma de la Haya sobre la consolidaciónde la libertad, la seguridad y la justicia en laUnión Europea, adoptado por el ConsejoEuropeo el 4 de noviembre de 200476 y ha deentenderse también en relación con el Tra-tado de Prüm, de 27 de mayo de 2005,relativo a la profundización de la coopera-ción transfronteriza, en particular en materiade lucha contra el terrorismo, la delincuenciatransfronteriza y la migración ilegal77. Entodos los casos se pone de relieve la importan-cia que en el intercambio de datos tiene elprincipio de disponibilidad, establecido en elPrograma de La Haya. De modo que los datosno sólo podrán ser transmitidos entre losEstados miembros, sino que deben hacersedisponibles, sin obstáculos, para las autorida-des competentes de los distintos Estados78.

76 DOUE C-53, de 3 de marzo de 2005.77 Instrumento de ratificación publicado en el BOE

de 25 de diciembre de 2006. Entró en vigor en España el1 de noviembre de 2006.

78 Sobre dicho Tratado y la protección de datos, vid.Cristina Dietrich Plaza, «El Tratado de Prüm en el marcode la regulación de la protección de datos personales enla Unión Europea», en Revista de Derecho ConstitucionalEuropeo, nº 7, Enero-Junio de 2007, págs. 31 a 64.

156

La Declaración adoptada por las Autorida-des de Protección de Datos en la Conferenciade Primavera celebrada en Chipre los días10 y 11 de mayo de 2007, que incluye unaCommon position of the European DataProtection Authorities on the use of the conceptof availability in law enforcement, fija lascondiciones que deben ser en todo caso respe-tadas a la hora de intercambiar información enbase al principio de disponibilidad. Talescondiciones son:

- Cualquier medida que afecte al trata-miento de datos en el ámbito de lacooperación policial y judicial deberáadoptarse por ley.

- Todas las medidas han de ser necesariasy proporcionadas.

- Deben adoptarse medidas concretas enfunción del tipo de dato que vaya a sersometido a tratamiento, en particular,adecuadas medidas de seguridad.

- El acceso por los poderes públicos adatos personales debe estar limitado acasos concretos y sometidos a estrictasmedidas de seguridad. Las autoridadesdestinatarias de los datos deben estarperfectamente delimitadas.

- Deben establecerse mecanismos quegaranticen el control y supervisión del

157

tratamiento de los datos. Los jueces ylas Autoridades de Control de Protec-ción de Datos deben poder actuar demodo efectivo.

Por otro lado, es necesario que las medidasque se adopten respeten en todo caso losprincipios que configuran el contenido esen-cial del derecho a la protección de datos. Deentre tales principios algunos alcanzan unespecial significado: los principios de infor-mación, de finalidad y de calidad del dato,especialmente en lo que se refiere a la propor-cionalidad.

En efecto, en ningún caso debe ponerse encuestión el contenido mismo del derecho, esdecir, ese poder de disposición sobre lospropios datos personales. Lo que exige quecualquier medida que se adopte para salva-guardar la seguridad y que implique el trata-miento de datos personales (videovigilancia,recogida de datos de pasajeros…) ha de iracompañada del deber de información sobredicho tratamiento (sin perjuicio de las posi-bles excepciones que tal deber pueda tener).Pero sobre todo es esencial que la finalidadpara la que el tratamiento de datos esté previs-to sea una finalidad precisa y legítima, y quelos datos recabados sean utilizados exclusiva-mente para esa finalidad y no para otra dife-rente. Así como que los datos obtenidos sean

158

sólo los adecuados, pertinentes y no excesi-vos para dicha finalidad.

Las anteriores cautelas son, por ejemplo,las que tuvo especialmente en cuenta el llama-do Grupo Europeo de Autoridades de Protec-ción de Datos (o Grupo del Artículo 2979) alanalizar las iniciativas estadounidenses refe-rentes a la recopilación de datos de pasajeros,conocida como PNR80. Iniciativas que ahorase pretenden aplicar en el seno de los países dela Unión Europea y que también ha merecidola crítica del Grupo de Trabajo. En el «Dicta-men conjunto sobre la propuesta de Decisiónmarco del Consejo relativa al uso del registrode nombres de los pasajeros («PassengerName Record» - PNR) a efectos de la aplica-ción de la ley, presentado por la Comisión el

79 Article 29 Working Party, como usualmente seconoce en el ámbito de las instituciones europeas y engeneral en el escenario internacional de la protección dedatos. Denominación que tiene su origen en el hecho deque dicho Grupo ha sido instituido por el artículo 29 dela Directiva 95/46/CE.

80 Véanse los Documentos 4-03 (WP 78), 2-04 (WP87), 8-04 (WP 97), 7-06 (WP 124), 2-07 (WP 132 y 151)y 5-07 (WP 138). Todos los Documentos del WP29pueden consultarse en http://ec.europa.eu/justice_home/fsj/privacy/workinggroup/ El Tribunal de Justicia de laUnión Europea ha tenido ocasión de referirse al tema ensu Sentencia de 30 de mayo de 2006, Asuntos C-317/04y C-318/04, que ya he citado más atrás en el texto, perono ha entrado en el fondo del asunto, pues sólo se hacentrado en cuestiones formales.

159

6 de noviembre de 2007", adoptado por el WP29 y el Grupo de Trabajo sobre Policía yJusticia en diciembre de 2007 (Ref. WP-145)se afirma expresamente que «Las autoridadescomunitarias responsables de la protección dedatos consideran que la forma en que lapropuesta está actualmente redactada no sóloes desproporcionada sino que también puedeviolar principios fundamentales de normasreconocidas en materia de protección de datosrecogidas en el artículo 8 del Convenio Euro-peo sobre Derechos Humanos y del Convenio108 del Consejo de Europa». Y critica lapropuesta por considerar que no justifica unanecesidad apremiante de recogida de dato; esexcesiva la cantidad de datos personales quedeben transferir las compañías aéreas; la fil-tración de datos sensibles debería ser hechapor la persona responsable del tratamiento delos datos; el período de conservación de losdatos es desproporcionado; el régimen deprotección de los datos es totalmente insatis-factorio: en ninguna parte se especifican losderechos de los interesados ni las obligacio-nes de los responsables del tratamiento de losdatos; el gran margen de discreción concedi-do a los Estados miembros podría dar lugar ainterpretaciones diversas de la Decisión mar-co, y el régimen de protección de datos de lastransferencias que se realizarán a tercerospaíses es poco claro. Concluyendo que laadopción de un régimen de PNR por parte de

160

la UE no tiene por qué dar lugar al controlgeneral de todos los viajeros.

Las anteriores son consideraciones quecreo sirven para clarificar los términos de larelación entre protección de datos y seguri-dad. No se trata de renunciar ni a la una ni ala otra, sino de buscar el justo equilibrio entreambos derechos, lo cual no siempre es fácil.

3.- Protección de datos y transparencia81.

Que la transparencia es un elemento esen-cial de cualquier Estado democrático es yaalgo fuera de toda duda. Se trata de una de lasmás insistentemente reivindicadas exigenciasde la democracia. Según decía el Juez delTribunal Supremo de Estados Unidos, LuisB. Brandeis, «Sunlight is said to be the best ofdisinfectants»82, «la luz del sol es el mejor

81 Algunas de las reflexiones y consideraciones si-guientes las he adelantado ya Piñar y Mañas «Revolucióntecnológica, Derecho Administrativo y AdministraciónPública. Notas provisionales para una reflexión», enVVAA, La autorización Administrativa. La Administra-ción Electrónica. La enseñanza del Derecho Administra-tivo hoy, op. cit. págs. 66 y ss., y en Seguridad,Transpaencia y Protección de Datos…, op. cit.

82 Other Peoples’s Money, 1932. Puede consultarseen http://library.louisville.edu/law/brandeis/opm-ch5.html. La frase completa es: «Publicity is justlycommended as a remedy for social and industrial diseases.Sunlight is said to be the best of disinfectants; electric

161

desinfectante». Cada vez con más insistenciase habla del derecho a conocer, del right toknow83.

Daniel J. Solove se ha preguntado: «Howcan the tension between transparency andprivacy be reconciled? Must acces to publicrecords be sacrificed at the altar of privacy?Or must privacy evaporate in order forgovernment to be desinfected by sunlight?»84.

Resulta en efecto imprescindible aclarar larelación existente entre transparencia y pro-tección de datos85, sobre todo teniendo encuenta que la transparencia es capital para eldesarrollo de una sociedad abierta y democrá-tica, y que el respeto a la protección de datosno debe considerarse un obstáculo al derechode acceso a la información, pero sin olvidar

light the most efficient policeman. And publicity hasalready played an important part in the struggle againstthe Money Trust».

83 Véase por ejemplo Thomas S. Blanton, «TheWorld’s Right to Know», en Foreign Policy, julio-agosto2002, págs. 50 y ss.; Herbert N. Foerstel, Freedom ofInformation and the Right to Know, Greenwood Press,Westport, CT, 1999.

84 The Digital Person. Technology and Privacy inthe Information Age, New York University Press, 2004,pág. 150.

85 A ello se ha referido el Tribunal de Justicia en suSentencia de 20 de mayo de 2003, Rundfunk y otros,Asuntos C-465/00, C-138/01 y C-139/01, sobre la quemás adelante volveré.

162

que una de las excepciones que puedeninvocarse al ejercer el derecho de acceso es laderivada del derecho a la protección de datoso de la existencia de información o documen-tos que afecten a la intimidad de las perso-nas86, así como de información que afecte a laseguridad ciudadana. Westin ha señalado conacierto que «The modern totalitarian staterelies on secrecy for the regime, but highsurveillance and disclosure for all othergroups… the democratic society relies onpublicity as a control over government, andon privacy as a shield for group and individuallife.»87

España es uno de los pocos países de laUnión Europea que carece todavía de una leyde transparencia o de acceso a la informa-ción88. El mandato contenido en el artículo

86 Así, por ejemplo, en el Reglamento (CE) Nº1049/2001, de 30 de mayo de 2001, relativo al acceso delpublico a los documentos del Parlamento Europeo, delConsejo y de la Comisión.

87 Privacy and Freedom, Atheneum, New York,1967, pp. 23-25.

88 Pese a la previsión del artículo 105 de la Consti-tución. Como es sabido, el acceso a archivos y documen-tos se regula fundamentalmente en el artículo 37 de la Leyde Régimen Jurídico de las Administraciones Públicas ydel Procedimiento Administrativo Común. Recientemen-te se han aprobado la Ley 27/2006, de 18 de julio, por laque se regulan los derechos de acceso a la información,de participación pública y de acceso a la justicia enmateria de medio ambiente (incorpora las Directivas

163

105 b) de la Constitución está todavía sindesarrollar. Pese a que el derecho a la trans-parencia se considera hoy un derecho funda-mental. En una declaración conjunta de laONU, la OECE y la OEA, de 6 de diciembre de2004, se afirma que «el derecho de acceso a lainformación en poder de las autoridades pú-blicas es un derecho humano fundamental quedebería aplicarse a nivel nacional a través delegislación global (por ejemplo, las Leyes deLibertad de Acceso a la Información) basadaen el principio de máxima divulgación, el cualestablece la presunción de que toda la infor-mación es accesible, sujeta solamente a unsistema restringido de excepciones».

Pues bien, dicho lo anterior, es evidenteque ni la transparencia ni la protección dedatos son derechos absolutos. Es imprescin-dible conseguir un equilibrio entre ambosderechos89.

2003/4/CE y 2003/35/CE) y la Ley 4/2007, de 3 de abril,de transparencia de las relaciones financieras entre lasAdministraciones públicas y las empresas públicas, y detransparencia financiera de determinadas empresas.

89 El IV Encuentro de Agencias Autonómicas deProtección de Datos, celebrado en Vitoria los días 23 y 24de octubre de 2007, tuvo como tema central Protección deDatos y acceso a la información. Un encuentro necesarioentre derechos concurrentes. La mayoría de las ponen-cias presentadas están disponibles en la Web de laAgencia Vasca de Protección de Datos: http://www.avpd.euskadi.net/s04-4319/es/

164

El Grupo de Trabajo del Artículo 29 de laDirectiva 95/46/CE, en su Dictamen 3/99,relativo a Información del sector público yprotección de datos personales, (WP 20)aprobado el 3 de mayo de 1999 señala que «ellegislador, cuando desea que un dato se vuel-va accesible al público no considera sin em-bargo que haya de convertirse en res nullius.Tal es la filosofía del conjunto de nuestraslegislaciones. El carácter público de un datode carácter personal, resulte de una normativao de la voluntad de la propia persona a la quealude el dato, no priva ipso facto y parasiempre, a dicha persona de la protección quele garantiza la ley en virtud de los principiosfundamentales de defensa de la identidad hu-mana». Resulta necesario conciliar el respetodel derecho a la intimidad y a la protección delos datos personales de los ciudadanos con elderecho del público a acceder a la informa-ción del sector público, y en este sentido elGrupo concluye que es necesario tener encuenta los siguientes aspectos: a) valoracióncaso por caso de la cuestión de si un dato decarácter personal puede publicarse/hacerseaccesible o no, y en caso afirmativo en quécondiciones y en qué soporte (digitalización ono, difusión en internet o no, etc.); b) princi-pios de finalidad y legitimidad; c) informa-ción de la persona en cuestión; d) derecho deoposición de la persona en cuestión; utiliza-ción de las nuevas tecnologías para contribuir

165

al respeto del derecho a la intimidad90. Por suparte, el Supervisor Europeo de Protección deDatos, en su importante Documento Publicaccess to documents and data protection91

ha centrado con brillantez los términos deldebate.

También es importante la jurisprudenciaeuropea, ya abundante. Me centraré en laSentencia del Tribunal de Justicia de 20 demayo de 2003, Rundfunk y otros, Asuntos C-465/00, C-138/01 y C-139/01 y en la delTribunal de Primera Instancia de 8 de noviem-bre de 2007, Bavarian Lager contra Comi-sión, Asunto T-194/04. Ambas son capitalespara analizar la relación entre protección dedatos y acceso a la información en el derechocomunitario92.

La Sentencia Rundfunk93 señala que en eltratamiento de datos personales son de aplica-

90 Dictamen 3/99, cit., pág. 12.91 Un resumen del Documento puede consultarse en

Guichot «Acceso a la información en poder de la Admi-nistración y protección de datos personales», Revista deAdministración Pública, núm. 173, mayo-agosto 2007,págs. 423 y ss.

92 Sobre la Sentencia Rundfunk vid. Piñar Mañas,«El derecho a la protección de datos de carácter personalen la jurisprudencia del Tribunal de Justicia de lasComunidades Europeas», op. cit., págs. 61 y ss.

93 Que gira en torno a la posibilidad o no de hacerpúblicos, con los nombres de los afectados, ciertos

166

ción los principios relativos a la calidad de losdatos (artículo 6 de la Directiva 95/46/CE) ya la legitimación del tratamiento (artículo 7),así como, en particular, el principio de fina-lidad y proporcionalidad94. Además, la Direc-tiva debe interpretarse a la luz de los Dere-chos fundamentales que, como sabemos, for-man parte de los principios generales delDerecho comunitario. En particular el artícu-lo 8 del Convenio Europeo de Derechos Hu-manos «al tiempo que enuncia, en su apartado1, el principio de no injerencia de la autoridadpública en el ejercicio del Derecho a la vidaprivada, admite, en su apartado 2, que unainjerencia de este tipo es posible en tanto encuanto esté «prevista por la ley y constituyauna medida que, en una sociedad democráti-ca, sea necesaria para la seguridad nacional,la seguridad pública, el bienestar económicodel país, la defensa del orden y la prevencióndel delito, la protección de la salud o de lamoral, o la protección de los Derechos ylibertades de los demás»»95. Dicho esto, afir-ma que la comunicación a terceros (aunquesea a una autoridad pública) de los datosrelativos a las remuneraciones del personal

informes del equivalente al Tribunal de Cuentas, referi-dos, entre otros extremos, a las retribuciones de altoscargos de diversas entidades públicas.

94 Apartados 65 y 66.95 Apartado 71.

167

directivo de organismos públicos lesiona elDerecho al respeto de la vida privada de losinteresados, sea cual fuere la utilización pos-terior de los datos comunicados de este modo,y presenta el carácter de una injerencia en elsentido del artículo 8 del CEDH. Además, «lainjerencia se produce al margen de que losdatos comunicados tengan o no carácter sen-sible o que los interesados hayan sufrido o noeventuales inconvenientes en razón de talinjerencia96.

Sentado que la comunicación de datos a untercero supone una injerencia en la vida priva-da, el Tribunal analiza si en el caso concretotal injerencia está o no justificada. A tal finseñala que la finalidad de dar a conocer losdatos de las retribuciones es presionar a lasentidades públicas afectadas para que lasmantengan en unos límites razonables y ga-rantizar la utilización apropiada de los fondospúblicos por la Administración. Tal objetivo–dice el Tribunal– constituye un objetivolegítimo97, pero, ¿es necesaria tal injerencia?El Tribunal señala que, por un parte, «no sepuede negar que para controlar la buena uti-l ización de los fondos públicos, el

96 Apartado 74 de la Sentencia. El Tribunal trae acolación la Sentencia del TEDH Amann c. Suiza, de 16de febrero de 2000, § 70.

97 Apartado 81.

168

Rechnungshof (Tribunal de Cuentas) y lasdistintas asambleas parlamentarias necesitanconocer el importe de los gastos afectados alos recursos humanos en las distintas entida-des públicas. A ello se suma, en una sociedaddemocrática, el Derecho de los contribuyen-tes y de la opinión pública en general a serinformados de la utilización de los ingresospúblicos, especialmente en materia de gastosde personal. Tales datos, reunidos en el infor-me, pueden contribuir al debate público rela-tivo a una cuestión de interés general y sirven,por tanto, al interés público. Se plantea, noobstante, la cuestión de si la indicación delnombre de las personas afectadas junto conlos ingresos que perciben es proporcionada ala finalidad legítima perseguida y si los moti-vos invocados para justificar tal divulgaciónresultan pertinentes y suficientes98. Y el Tri-bunal llega a la siguiente conclusión: «Proce-de declarar que la injerencia derivada de laaplicación de una normativa nacional como lacontrovertida en los asuntos principales sola-mente puede justificarse, al amparo del artí-culo 8, apartado 2, del CEDH, en la medida enque la amplia divulgación no sólo del importede los ingresos anuales, cuando éstos superanun límite determinado, de las personas em-pleadas por entidades sujetas al control delRechnungshof, sino también de los nombres

98 Apartados 85 y 86.

169

de los beneficiarios de dichos ingresos, sea ala vez necesaria y apropiada para lograr elobjetivo de mantener los salarios dentro deunos límites razonables, extremo que ha deser examinado por los órganos jurisdicciona-les remitentes»99. A la misma conclusión llegael Tribunal al analizar la cuestión a la luz dela Directiva 95/46/CEE100.

Como vemos, y pese a que el Tribunal deJusticia no acierta a ofrecer una solución claraa la cuestión planteada, una vez más salen a laluz los principios esenciales del derecho a laprotección de datos, en particular los definalidad y proporcionalidad. Es en éstosdonde debe encontrarse el equilibrio entretransparencia y protección de datos.

La Sentencia Bavarian Lager de 2007 juz-ga si era pertinente facilitar a terceros intere-

99 Apartado 90.100 «Los artículos 6, apartado 1, letra c), y 7, letras c)

y e), de la Directiva 95/46 no se oponen a una normativanacional, como la controvertida en los asuntos principa-les, siempre que se demuestre que la amplia divulgaciónno sólo del importe de los ingresos anuales, cuando éstossuperan un límite determinado, de las personas emplea-das por las entidades sujetas al control del Rechnungshof,sino también de los nombres de los beneficiarios dedichos ingresos, es necesaria y apropiada para lograr elobjetivo de buena gestión de los recursos públicos perse-guido por el constituyente, extremo que ha de ser com-probado por los órganos jurisdiccionales remitentes»:Apartado 94 de la Sentencia.

170

sados los datos de las personas que intervinie-ron en una reunión de trabajo de la Comisión.El Tribunal parte de la base de que la lista delos participantes en la reunión que figuran enel acta de la misma contiene datos personales.Pero a partir de aquí lleva a cabo una serie deconsideraciones que desembocan en la deci-sión de que tales datos deben ser facilitadoscuando se lleva a cabo una solicitud de accesoa la información en base al Reglamento (CE)nº 1049/2001, del Parlamento y del Consejode 30 de mayo de 2001.

Según el Tribunal «debe constatarse que elmero hecho de que un documento contengadatos personales no significa necesariamenteque se ponga en peligro la intimidad o laintegridad de las personas de que se trata, apesar de que la actividad profesional no esté,en principio, excluida del concepto de «vidaprivada» en el sentido del artículo 8 delCEDH»101. En particular contener los nombresde los representantes de las entidades queparticiparon en la reunión no pone en peligrola intimidad de las personas, pues éstas actúanen representación de sus entidades y las opi-niones vertidas en la reunión no contienenopiniones individuales sino posturas imputa-bles a las entidades. Tales consideracionesson esenciales para la decisión del Tribunal:

101 Apartado 123 de la Sentencia.

171

el asunto controvertido entra en el ámbito deaplicación del Reglamento 1049/2001 querecoge como excepción al principio de aper-tura y derecho de acceso no la divulgación decualquier dato, sino de datos personales quepuedan suponer un perjuicio para la protec-ción de la intimidad y la integridad de laspersonas. Esto hace que el caso analizadodeba considerarse diferente al que fue objetode la Sentencia Rundfunk a la que acabo dereferirme, pues en ella lo relevante es quehubiese habido un tratamiento de datos perso-nales, con perjuicio o no de que afectasen a laintimidad de los interesados. Por ello el Tri-bunal de Primera Instancia concluye que «ladivulgación de los nombres en cuestión no dalugar a una injerencia en la intimidad de laspersonas que participaron en la reunión y nosupone un perjuicio para la protección de suintimidad y de la integridad de sus perso-nas»102, por lo que tales datos pueden y debenser facilitados a quien lo solicitó. Inclusoaunque los interesados se hubiesen opuesto aello si no demuestran que su intimidad eintegridad habrían sufrido un perjuicio con sudivulgación.

Vemos pues que en su relación con latransparencia el respeto a la protección dedatos personales no siempre ha de prevalecer.

102 Apartado 132.

172

El análisis caso a caso se impone. Sin embar-go es necesario resaltar una cuestión de rele-vante importancia: para conseguir ese equili-brio es imprescindible contar con un marconormativo que regule la protección de datos yque defina el alcance de la transparencia y elacceso a la información. Y hay que decir,como ya apunté más atrás, que la situación eneste punto deja mucho que desear en España.La ausencia de una ley de transparencia,además de facilitar la corrupción, impidecontar con un marco que defina la relaciónentre ambos derechos: protección de datos yacceso a la información. De esta manera, enmuchas ocasiones la falta de transparencia seampara en la falta de normativa adecuada y enconsecuencia en la falta de un título legalsuficiente que permita el tratamiento de datos(el acceso a la información implica un trata-miento de datos) sin consentimiento de losafectados. Hasta el punto de que se hallegado a decir con razón que la legislación deprotección de datos está instrumentalizándosepara negar por parte de no pocas Administra-ciones Públicas el acceso a la información103.

103 El Defensor del Pueblo Europeo ya llamó laatención hace tiempo sobre la amenaza que para latransparencia podía suponer un mal entendimiento de losfines y límites de la protección de datos. Así en su cartade noviembre de 2001 sobre Openness and data protection(http://www.europarl.europa.eu/ombudsman/letters/en/20011114-1.htm). Recientemente (Conferencia en los

173

En conclusión, pues, la aprobación de una leyde transparencia y acceso a la información enEspaña es una asignatura pendiente que ya noadmite demoras.

4.- Garantía del derecho a la protección dedatos y globalización.

Voy concluyendo. Ante la realidad de quelos ataques a la privacidad trascienden conmucho las fronteras físicas, es imprescindiblealcanzar un modelo global de protección dedatos104. A ello se han referido, por ejemplo,Colin J. Bennett y Charles D. Raab en su obraThe Governance of privacy. Policy Instrumentsin Global Perspective105. La XXVII Confe-rencia Internacional de Autoridades de Pro-tección de Datos de 2005 iba en esa dirección,

Cursos de Verano de la Universidad de Málaga, 18 dejulio de 2008), Carlos Lesmes, Presidente de la Sala delo Contencioso-administrativo de la Audiencia Nacional(competente para conocer de los recursos que se interpon-gan contra las resoluciones de la Agencia Española deProtección de Datos) ha señalado que «si todo lo envol-vemos en el secreto por la protección de datos estamosvulnerando otras libertades». Actualmente, ha señalado,«hay un cierto exceso en el tema de la protección dedatos», por lo que «hay que encontrar un equilibrio» entretal derecho y la transparencia.

104 Jon L. MILLS también lo ha señalado: «Intrusionsare becoming truly global, and remedies must be globalas well»: Privacy. The Los Right, op. cit., pág. 301.

105 The Massachusetts Institute of Technology Press,2006.

174

y en ella se aprobó una Declaración Finalsobre «The protection of personal data andprivacy in a globalised world: a universalright respecting diversities»106. En la XXVIIIConferencia (Londres, 2006) se adoptó la

106 La Conferencia se celebró en Montreux, Suiza,los días 13 a 15 de septiembre de 2005. En la DeclaraciónFinal se hace una referencia a los principios que deberíanregir a nivel global el derecho a la protección de datos:

16. «Recognising that the principles of data protectionderive from international legal binding and non bindinginstruments such as the OECD Guidelines governing theProtection of Privacy and Transborder Flows of PersonalData, the Council of Europe Convention for the Protectionof Individuals with regard to Automatic Processing ofPersonal Data, the United Nations Guidelines concerningComputerized Personal Data Files, the European UnionDirective on the Protection of Individuals with regard tothe Processing of Personal Data and on the Free Movementof Such Data and the Asia Pacific Economic CooperationPrivacy Framework,

17. Recalling that these principles are in particularthe following:

- Principle of lawful and fair data collection andprocessing,

- Principle of accuracy,- Principle of purpose-specification and -limitation,- Principle of proportionality,- Principle of transparency,- Principle of individual participation and in parti-

cular the guarantee of the right of access of the personconcerned,

- Principle of non-discrimination,- Principle of data security,- Principle of responsibility,- Principle of independent supervision and legal

sanction,

175

llamada London Ini t iat ive; la XXX(Estrasburgo, 2008) tuvo como temaProtecting Privacy in a Borderless World y lapróxima, la XXXI, que se celebrará en Ma-drid en este año 2009, analizará, entre otros,el tema «Hacia una regulación global de laprivacidad: propuestas y estrategias». LaDeclaración Final del VI Encuentro de la RedIberoamericana de Protección de Datos(Cartagena, Colombia, 2008) tiene por título«Un compromiso para alcanzar estándaresinternacionales de protección de datos yprivacidad».

Ya sólo las anteriores referencias son depor sí elocuentes acerca de la trascendencia dela perspectiva global. Así lo exige, comodecía más atrás, el hecho de que las nuevastecnologías, intrusivas para la privacidad, noconocen de fronteras. Pero así lo exige tam-bién la necesidad de contar con unos standareso principios generales de protección de datosque permitan el flujo transnacional de infor-mación con plenas garantías para tal derechofundamental.

Los esfuerzos por contar con instrumentoseficaces para luchar a nivel global contra lasamenazas que se ciernen sobre la privacidadno son pocos. De hecho, la mayoría de los

- Principle of adequate level of protection in case oftransborder flows of personal data».

176

pasos que en la evolución del derecho a laprotección de datos se han dado han venido dela mano de instrumentos internacionales107.Desde Naciones Unidas a la Unión Europea,el Consejo de Europa, la OCDE, la ComunidadIberoamericana o APEC. Los objetivos, eneste sentido, serían dos. Por un lado llegar ala posible aprobación de unos principios ostandares comunes, a nivel internacional, quepermitiesen fijar criterios comunes de protec-ción de la privacidad. Por otro, alcanzar anivel bilateral o multilateral compromisos decolaboración para luchar eficazmente contralas amenazas de la privacidad108.

En estos momentos hay dos modelos queaparentemente pugnan entre sí: el americanoy el europeo, pero que son mucho más cerca-nos de lo que podría parecer. En realidad senutren de principios muy semejantes, y com-parten orígenes también cercanos, que giranen torno a la idea de autodeterminación o self-determination respecto de la información per-sonal, como ya expuse más atrás. Sin duda, la

107 Ver James B. Rule y Graham Greenleaf (Eds.)Global Privacy Protection: The First Generation, EdwardElgar Publishing, Northampton, 2009.

108 Por ejemplo, el llamado London Action Plan, paraluchar contra el Spam, o el Memorandum of Undersatndingsuscrito entre la Federal Trade Commission y la AgenciaEspañola de Protección de Datos en 2005, con el mismoobjetivo.

177

Directiva 95/46/CE ejerce un papel de claroprotagonismo en el escenario de la privacidad,y la necesidad de obtener la declaración deadecuación en materia de protección de datosestá reforzando su posición. Pero el reto es deuna envergadura innegable: ¿qué principiosde protección de datos? ¿A través de quéinstrumentos? ¿Cómo pueden hacerse efecti-vos? ¿Es necesaria una autoridad internacio-nal de tutela y control de protección de datos?Desde luego las dudas son muchas, y lasrespuestas no fáciles. Así, por ejemplo, mien-tras en Estados Unidos se prefiere un modelobasado en la autorregulación, en los códigosde conducta, en las buenas prácticas, en Eu-ropa se ha optado claramente por laheterorregulación y por la consideración de laprotección de datos como un verdadero dere-cho fundamental. Mientras que en EstadosUnidos no se considera necesaria la existenciade una autoridad independiente de tutela de laprotección de datos (sin perjuicio de la exis-tencia de Agencias Independientes con com-petencias sectoriales que inciden de formadirecta en la protección de datos, como laFederal Trade Commission al proteger losderechos e intereses de los consumidores), enEuropa tal existencia se ha elevado a principioesencial del derecho, recogido incluso en elartículo 8º de la Carta Europea de DerechosFundamentales, como ya sabemos.

178

Mientras tanto, las transferencias interna-cionales de datos no sólo no pueden pararse,sino que cada vez son más intensas. Parafacilitarlas garantizando al mismo tiempo ple-nas garantías para la protección de datos, seponen sobre la mesa nuevas herramientas,como las llamadas Binding Corporate Rules,Reglas Corporativas Vinculantes, que permi-tirían el intercambio internacional de datos enel seno de grupos multinacionales sin necesi-dad de acudir a la vía del consentimiento delos afectados o de las relaciones contractualesmultilaterales. Tema éste que está en primeralínea y que ha merecido múltiples opinionesdel Grupo de Trabajo del Artículo 29109.Como el de las cláusulas contractuales tipo enlas transferencias internacionales de respon-sable a responsable, de responsable a encar-gado o de responsable o encargado a sub-encargado110.

En fin, parece llegada la hora de acometeresa reflexión ya inaplazable acerca de laprivacidad en un mundo globalizado. Europa

109 Los documentos pueden localizarse en http://ec.europa.eu/justice_home/fsj/privacy/workinggroup/

110 Ver, del Grupo de Trabajo, la «Opinion 3/2009 onthe Draft Commission Decision on standard contractualclauses for the transfer of personal data to processorsestablished in third countries, under Directive 95/46/EC(data controller to data processor)», de 5 de marzo de2009, WP 161.

179

está por un lado exportando, con notableéxito, su modelo de protección de datos. Perosiguen siendo mayoría los países no europeosque carecen de leyes de protección de datos yel principio de territorialidad de la aplicaciónde las leyes (que no del tratamiento de datos,que es, como he reiterado, ajeno al territorio)amenaza con debilitar notablemente el nivelde protección de la privacidad. Por eso seimpone un diálogo entre la regulación norma-tiva y la autorregulación, entre la protecciónde datos como derecho fundamental (algo a loque Europa no puede en ningún caso renun-ciar) y como criterio para el tratamiento dedatos y compromiso por parte de quienes losmanejan. Diálogo que ha de extenderse alque, como hemos ya señalado, ha de darseentre protección de datos y transparencia,protección de datos y seguridad, protecciónde datos y nuevas tecnologías. Es mucho loque nos jugamos.

PABLO LUCAS MURILLO DE LA CUE-VA. Es Magistrado del Tribunal Supremo ycatedrático de Derecho Constitucional. Hapublicado diversos trabajos sobre el derecho ala protección de datos personales desde sumonografía El derecho a la autodeterminacióninformativa (1990).

JOSÉ LUIS PIÑAR MAÑAS. Es Cate-drático de Derecho Administrativo de la Uni-versidad CEU-San Pablo de Madrid. AdjunctProfessor of Law de la Georgetown University(2005-2007). Premio San Raimundo dePeñafort, de la Real Academia de Jurispruden-cia y Legislación. Entre otros libros es autorde Las relaciones entre el Estado y las Regio-nes. La experiencia italiana (1986), ScientificResearch in Spain. Essays on Constitutional,Administrative and Financial Problems,(coeditor con Andrea Orsi Battaglini, 1992),Derecho de Fundaciones y voluntad del Fun-dador (junto con Alicia Real Pérez, 2000),¿Existe la Privacidad?, (2008), y, como Di-rector, El Tercer Sector en Iberoamérica.Fundaciones, Asociaciones y ONGs (2001),Protección del medio ambiente y desarrollosostenible (2002), Protección de Datos enIberoamérica (2005).

LIBROS PUBLICADOS

1. Robert Alexy: Derechos sociales yponderación

2. Luigi Ferrajoli, José Juan Moreso, yManuel Atienza: La teoría del derecho en elparadigma constitucional

3. Alfonso Ruiz Miguel y Rafael Nava-rro-Valls: Laicismo y Constitución

4. Pietro Costa y Benito Aláez Corral:Nacionalidad y ciudadanía

5. Víctor Ferreres y Juan Antonio Xiol:El carácter vinculante de la jurisprudencia

6. Michele Taruffo, Perfecto AndrésIbáñez y Alfonso Cadau Pérez: Consideracio-nes sobre la prueba judicial

7. Roberto Romboli y Marc Carrillo:Los consejos de garantía estatutaria

8. Pedro Salazar Ugarte, Josep AguilóRegla y Miguel Ángel Presno Linera:Garantismo espurio

9. Eugenio Bulygin, Manuel Atienza yJuan Carlos Bayón: Problemas lógicos en lateoría y práctica del Derecho

10. Pablo Lucas Murillo de la Cueva, JoséLuis Piñar Mañas: El derecho a la autodeter-minación informativa

Próximas publicaciones:

Stefan Huster, Antonio Pau y María J.Roca: Estado y cultura

Paolo Comanducci, Mª Ángeles Ahuma-da y Daniel González Lagier: Positivismojurídico y neoconstitucionalismo

Francisco J. Laporta, Juan Ruiz Maneroy Miguel Ángel Rodi l la: Certeza ypredecibilidad de las relaciones jurídicas

El derecho a la autodeterminación informativa Pablo Lucas ......Manuel Atienza Francisco José...

Documents

Transcript of El derecho a la autodeterminación informativa Pablo Lucas ......Manuel Atienza Francisco José...