Los dilemas de los datos personales(2 de 3)

Artículo publicado en Milenio

Las primeras leyes de protección de datos personales nacieron en Europa en la década de los 70s. Estas quedaron rebasadas por los avances tecnológicos y el crecimiento exponencial de la recopilación y tratamiento de datos. En 2016, la Unión Europea adoptó el Reglamento General de Protección de Datos (RGPD), regulación líder en la materia. Todos los países de la región cuentan con una autoridad nacional especializada e independiente.

En Estados Unidos, el enfoque regulatorio ha sido sectorial y fragmentado: existen regulaciones específicas para ciertos ámbitos, como los servicios financieros, la salud o el consumo. La Federal Trade Commission es la principal autoridad federal en este ámbito. Apenas en años recientes, algunos estados —como California o Virginia— han comenzado a aprobar leyes más amplias y modernas.

Las diferencias entre ambos modelos son profundas. En Europa, la protección de datos se reconoce como un derecho fundamental. En Estados Unidos no existe un derecho explícito equiparable, aunque la privacidad ha sido reconocida de manera parcial por la Suprema Corte. En años recientes, algunos tribunales han comenzado a resolver casos relacionados con la recolección masiva de datos y la vigilancia electrónica.

En ambos sistemas, el tratamiento de datos personales se basa en el consentimiento previo e informado de la persona. Es decir, cada individuo debe decidir libremente si autoriza o no que sus datos sean tratados, esto es, recopilados, almacenados, utilizados o compartidos, entre otras acciones. El RGPE, por ejemplo, considera que el consentimiento debe darse mediante “un acto afirmativo claro que refleje una manifestación libre, específica, informada e inequívoca del interesado”, lo cual puede incluir marcar una casilla en un sitio  web.

Creo que no deja de ser ingenuo suponer que ese consentimiento es libre. En la práctica, muchos servicios en línea condicionan su uso a la aceptación de términos que pocas personas leen o entienden. Si el usuario no acepta, simplemente no accede al servicio. Este modelo, en apariencia voluntario, en realidad impone una elección.

Por eso, creo que es necesario replantear el enfoque regulatorio. Para garantizar una protección efectiva, no basta con exigir un consentimiento que, en el fondo, es forzado. Se requiere un modelo que imponga límites reales a la recolección y uso de los datos personales, especialmente por la relación asimétrica que existe.

En México, la legislación en esta materia llegó tarde y mal. Una reforma de 2009 al artículo 16 constitucional reconoció la protección de datos personales como un derecho. Pero el nuevo marco institucional, aprobado por el Congreso en marzo de este año, tiene problemas que comprometen seriamente su protección. Sobre esto reflexionaremos en nuestra próxima entrega.