ES Diario Oficial de la Unión Europea C 67/13

Resumen ejecutivo del Dictamen del Supervisor Europeo de Protección de Datos sobre «Hacer frente a los desafíos que se plantean en relación con los macrodatos: llamamiento a la transparencia, el control por parte de los usuarios, la protección de datos desde el diseño y la rendición de cuentas»

(El texto completo del presente Dictamen está disponible en inglés, francés y alemán en el sitio web del SEPD www.edps.europa.eu)

(2016/C 67/05)

«El derecho a la privacidad representa, de hecho, el principio de toda libertad» (1).

Los macrodatos, si se gestionan de manera responsable, pueden aportar beneficios significativos y una mayor eficiencia para la sociedad y las personas no solo en temas relacionados con la salud, la investigación científica, el medio ambiente y otros ámbitos específicos. Pero existe una profunda inquietud en relación con las repercusiones reales y potenciales del tratamiento de grandes cantidades de datos sobre los derechos y las libertades de las personas, incluido el derecho a la intimidad. Los desafíos y los riesgos que plantean los macrodatos exigen, por tanto, una protección de datos más efectiva.

La tecnología no debería dictar nuestros valores y derechos, pero tampoco deberían percibirse como incompatibles la promoción de la innovación y la protección de los derechos fundamentales. Los nuevos modelos de empresa que explotan las nuevas capacidades para la recopilación masiva, la transmisión instantánea, la combinación y la reutilización de información personal para fines no previstos han sometido los principios de la protección de datos a nuevas presiones, lo cual exige una profunda reconsideración sobre el modo en que se aplican.

La legislación europea relativa a la protección de datos ha sido concebida para proteger nuestros valores y derechos fundamentales, incluido el derecho a la intimidad. La cuestión no es si debe aplicarse o no la legislación en materia de protección de datos a los macrodatos, sino cómo aplicarla de forma innovadora a nuevos ámbitos. Los principios de protección de datos actuales, incluida la transparencia, la proporcionalidad y la limitación a una finalidad específica, constituyen la base que necesitaremos para proteger de forma más dinámica nuestros derechos fundamentales en el mundo de los macrodatos. Pero estos principios existentes deberán ser complementados, no obstante, con otros «nuevos» que se han ido desarrollando a lo largo de los años, como la obligación de rendir cuentas y la privacidad desde el diseño y por defecto. Se espera que el paquete de reformas legislativas sobre la protección de datos en la UE refuerce y modernice el marco normativo (2).

La UE se propone apostar por el máximo crecimiento y competitividad mediante la explotación de los macrodatos. Pero el mercado único digital no podrá importar, sin sentido crítico, las tecnologías basadas en datos y los modelos de empresa que se han convertido en la tendencia económica predominante en otras zonas del mundo. En su lugar, es necesario que muestre su liderazgo en la elaboración de un tratamiento de datos personales responsable. Internet ha evolucionado de tal modo que la vigilancia (dar seguimiento al comportamiento de las personas) se considera el modelo de ingresos imprescindible de algunas de las empresas de más éxito. La elaboración de un nuevo marco exige una evaluación crítica y la búsqueda de otras opciones.

En cualquier caso, y con independencia de los modelos de empresa que se elijan, las organizaciones que tratan grandes volúmenes de información personal deberán cumplir lo dispuesto en la legislación en materia de protección de datos aplicable. El Supervisor Europeo de Protección de Datos (SEPD) considera que el desarrollo sostenible y responsable de los macrodatos deberá basarse en cuatro elementos esenciales:

— las organizaciones deberán ser más transparentes en relación con el modo en que tratan los datos personales,

— deberá permitirse a los usuarios un elevado nivel de control sobre el modo en que se utilizan sus datos,

— deberá integrarse una protección de datos con un diseño de fácil uso en los productos y servicios, y

— las organizaciones deberán ser más responsables de sus actos.

Por lo que respecta a la transparencia, deberá facilitarse a las personas información clara sobre los datos que se procesan, incluidos los datos que se observan o que puedan deducirse; se les deberá informar mejor sobre cómo y para qué finalidades se utiliza su información, incluida la lógica empleada en algoritmos para determinar los supuestos y las predicciones que se realizan sobre ellas.

El control por parte de los usuarios permitirá que estos puedan detectar interpretaciones injustas y denunciar los errores. Ayudará a prevenir el uso secundario de los datos para fines que no cumplan el principio de confianza legítima: si se implanta un control por parte de los usuarios de nueva generación, estos podrán decidir de una manera más informada y dispondrán de mayores posibilidades para utilizar mejor sus datos personales.

Unos derechos de acceso, de portabilidad de datos y mecanismos de exclusión efectivos más avanzados sentarán las bases y serán una condición previa para que los usuarios tengan más control sobre sus datos. Además, contribuirán al desarrollo de nuevos modelos de negocio y a un uso más transparente y eficiente de los datos personales.

Con la introducción de la protección de datos en el diseño de los sistemas y procesos y la adaptación de la protección de datos de manera que permita una transparencia y un control por parte de los usuarios más auténticos, los responsables del tratamiento que deban rendir cuentas también podrán beneficiarse de las ventajas de los macrodatos al mismo tiempo que garantizan el respeto a la dignidad y las libertades de las personas.

Pero la protección de datos es solo una parte de la respuesta. Es necesario que la UE despliegue de forma más coherente las herramientas modernas disponibles, también en el ámbito de la protección de los consumidores, el antitrust, la investigación y el desarrollo, para velar por las garantías y la oferta en el mercado y que puedan prosperar servicios respetuosos con la privacidad.

Para responder a los desafíos que plantean los macrodatos, es necesario fomentar la innovación y proteger al mismo tiempo los derechos fundamentales. Son las empresas y otras organizaciones que invierten muchos esfuerzos para encontrar formas innovadoras de utilización de los datos personales las que deben utilizar esa misma capacidad innovadora a la hora de aplicar la legislación en materia de protección de datos.

Sobre la base de las contribuciones del mundo académico y muchos reguladores y partes interesadas, el SEPD desea estimular un nuevo debate abierto e informado fuera y dentro de la UE, en el que se implique mejor a la sociedad civil, los diseñadores, las empresas, el mundo académico, las autoridades públicas y los reguladores sobre cómo utilizar mejor el potencial creativo de la industria para aplicar la legislación y salvaguardar del mejor modo posible la privacidad y otros derechos fundamentales.

6. Próximos pasos: poner en práctica los principios

Para responder a los desafíos que plantean los macrodatos, es necesario permitir la innovación y proteger al mismo tiempo los derechos fundamentales. Para ello, los principios establecidos en la legislación europea en materia de protección de datos deberían preservarse y al mismo tiempo aplicarse de nuevas maneras.

6.1. Reglamento orientado al futuro

Las negociaciones relacionadas con la propuesta de Reglamento general de protección de datos están en la fase final. Hemos instado a los legisladores de la UE a que adopten un paquete de reformas en materia de protección de datos que refuerce y modernice el marco normativo para que sea efectivo en la era de los macrodatos, que refuerce la confianza de los usuarios en Internet y en el mercado único digital (3).

En el Dictamen 3/2015, acompañado de recomendaciones a la totalidad del texto de la propuesta de Reglamento, dejamos claro que los principios de protección de los datos actuales, entre los que se incluyen la necesidad, la proporcionalidad, la minimización de los datos, la limitación a una finalidad específica y la transparencia, deben seguir siendo principios clave. Estos principios establecen la base necesaria para proteger los derechos fundamentales en el mundo de los macrodatos (4).

Al mismo tiempo, estos principios deben reforzarse y aplicarse de una manera más efectiva, así como de una forma más moderna, flexible, creativa e innovadora. Asimismo, deberán complementarse con nuevos principios como la rendición de cuentas, la protección de datos y la privacidad desde el diseño y la privacidad por defecto.

El aumento de la transparencia, unos derechos de acceso y una portabilidad de datos más avanzados y unos mecanismos de exclusión efectivos sentarán las bases y serán una condición previa para que los usuarios puedan ejercer un mayor control sobre sus datos, además de contribuir a unos mercados más eficientes para los datos personales, que beneficien tanto a los consumidores como a las empresas.

Por último, también será un requisito clave para aplicar de un modo más efectivo la legislación en un entorno mundial ampliar el alcance de la legislación europea en materia de protección de datos a las organizaciones que se dirigen a las personas en la UE, así como equipar a las autoridades de protección de las competencias necesarias para aplicar medidas significativas, incluso sanciones efectivas, tal como establecerá la propuesta de Reglamento. El proceso de reforma juega un papel fundamental en este sentido.

Para garantizar que se aplican las normas de manera efectiva, las autoridades independientes de protección de datos deberán contar no solo con competencias jurídicas e instrumentos sólidos, sino también con los recursos necesarios que adapten su capacidad al aumento de las empresas basadas en datos.

6.2. Cómo el SEPD acelerará este debate

Una buena reglamentación, aunque esencial, resulta insuficiente. Las empresas y otras organizaciones que invierten muchos esfuerzos para encontrar formas innovadoras de utilización de los datos personales deberían emplear esa misma capacidad innovadora a la hora de aplicar los principios de protección de datos. Las autoridades de protección de datos, a su vez, deberían velar por un cumplimiento efectivo y premiarlo, así como evitar imponer una burocracia y unos trámites innecesarios.

El SEPD, tal como se anunció en la Estrategia del SEPD 2015-2019, pretende contribuir a promover estos esfuerzos.

Pretendemos establecer un grupo consultivo externo sobre ética compuesto de personalidades distinguidas e independientes, con una experiencia combinada en disciplinas múltiples que puedan «explorar las relaciones entre los derechos humanos, la tecnología, los mercados y los modelos de empresa a lo largo del siglo XXI», analizar en profundidad las repercusiones de los macrodatos, evaluar los cambios resultantes de nuestras sociedades y ayudar a identificar las cuestiones que deben someterse a un proceso político (5).

También desarrollaremos un modelo de políticas de información honestas para los órganos de la UE que ofrecen servicios en línea, lo cual puede contribuir a crear una mejor práctica para todos los responsables del tratamiento.

Por último, también facilitaremos debates, por ejemplo, con vistas a identificar, animar y promover buenas prácticas con el fin de aumentar la transparencia y el control por parte de los usuarios, además de explorar las oportunidades sobre los depósitos de datos personales y la portabilidad de datos. El SEPD tiene previsto organizar un seminario sobre la protección de macrodatos para los legisladores y las personas que tratan grandes volúmenes de información personal en las instituciones de la UE y expertos externos, así como identificar las áreas donde es necesaria una mayor orientación específica y facilitar la labor de la Red de Ingeniería de Privacidad de Internet (IPEN), como centro de conocimientos interdisciplinar para ingenieros y expertos en materia de privacidad.

Hecho en Bruselas, el 19 de noviembre de 2015. Giovanni BUTTARELLI Supervisor Europeo de Protección de Datos

(1) Public Utilities Commission contra Pollak, 343 U.S. 451, 467 (1952) (Magistrado William O. Douglas, voto particular).

(2) El 25 de enero de 2012, la Comisión Europea adoptó un paquete de reformas del marco europeo en materia de protección de datos. En el paquete se incluye i) una Comunicación [COM(2012) 9 final], ii) una propuesta de Reglamento general de protección de datos («propuesta de Reglamento») [COM(2012) 11 final], y iii) una propuesta de Directiva en materia de protección de datos en el ámbito penal [COM(2012) 10 final].

(3) Dictamen 3/2015 del SEPD.

(4) Debemos resistir la tentación de rebajar el actual nivel de protección con la intención de satisfacer una supuesta necesidad de un enfoque regulador más laxo cuando se trata de los macrodatos. La protección de los datos debe seguir aplicándose al tratamiento en su totalidad, y no solo al uso de los datos sino también a su recogida. Tampoco existe ninguna justificación para las excepciones generales respecto del tratamiento de los datos seudónimos o de los datos disponibles para el público. La definición de datos personales debe permanecer intacta, aunque se podrían hacer algunas aclaraciones en el propio texto del Reglamento. De hecho, debería abarcar todos los datos que permitan identificar o diferenciar a cualquier persona, o que puedan permitir identificarla o diferenciarla, ya sea por parte del responsable del tratamiento de datos o por cualquier otra parte.

(5) Dictamen 4/2015 del SEPD.