Datos ¿públicos? y RGPD

En la actualidad, el acceso a los datos personales a través de internet y redes sociales plantea importantes desafíos legales. Los medios de comunicación digitales o las plataformas de colaboración en línea, entre otras, han transformado radicalmente la forma en que cualquier persona puede obtener datos personales con un simple clic, lo que nos lleva a preguntarnos ¿puede la información así obtenida ser utilizada sin límites?

Normativa anterior sobre el uso de datos personales

La LOPD de 1999 reconocía la existencia de fuentes accesibles al público. Estas fuentes eran aquellos ficheros o registros cuya consulta podía realizar cualquier persona, siempre que no existiera una norma que lo impidiera o simplemente mediante el pago de una contraprestación.

El Reglamento de desarrollo de la LOPD (RD 1720/2007) especificaba en su artículo 7 una lista en la que se recogían dichas fuentes, haciendo referencia en particular al censo promocional (fichero que recogía datos personales básicos que podían ser utilizados con fines de marketing directo o envío de publicidad), los repertorios telefónicos, las listas de personas pertenecientes a grupos de profesionales, los diarios y boletines oficiales y los medios de comunicación social. Los datos contenidos en todas estas fuentes podían ser utilizados sin consentimiento del interesado. Bastaba con informar de donde habían sido extraídos y asegurarse de que se trataba de datos actualizados.

 La llegada del RGPD y el cambio normativo

Con la entrada en vigor del RGPD, y posteriormente la LOPDGDD, en el año 2018, la situación dio un giro importante. La actual normativa no contempla el concepto de fuentes de acceso público. En consecuencia, el hecho de que se publiquen datos en medios oficiales o públicos no puede implicar la pérdida de control por parte del interesado de sus propios datos, debiendo tener en cuenta que esas publicaciones tienen una finalidad, por lo que no cabe la captación y el uso posterior para finalidades incompatibles con la original.

Por tanto, en cualquier caso, se necesita una base de legitimación del artículo 6 RGPD, no excluyéndose esta obligación por el hecho de que los datos procedan de internet u otras fuentes similares.

Siguiendo esta línea, la sentencia 593/2022, del TS refuerza esta visión en relación con los datos publicados en RRSS. La sentencia deja varias notas para tener en cuenta:

1-Los usuarios de RRSS siguen siendo titulares de sus derechos fundamentales como el derecho a la protección de datos y a la propia imagen, incluso en plataformas públicas.

2-Si no hay autorización inequívoca por parte del titular de los datos, la captación, reproducción o publicación de estos, solamente podrá justificarse si media interés público.

3-El consentimiento otorgado para la captación de las imágenes no significa que se haya consentido su publicación o difusión. Tampoco significa que el hecho de dar permiso a una persona extienda ese derecho a otras.

Conoce como la protección de datos en la cadena de suministro  afecta a tu responsabilidad

Sentencia del Tribunal Constitucional sobre el uso político de los datos personales

Un caso paradigmático, es la declaración de inconstitucionalidad del apartado primero del artículo 58 bis de la LOREG. En dicho apartado se recogía que “la recopilación de datos personales relativos a las opiniones políticas de las personas que llevan a cabo los partidos políticos en el marco de sus actividades electorales se encontrará amparada en el interés público únicamente cuando se ofrezcan garantías adecuadas. Los partidos políticos, coaliciones y agrupaciones electorales podrán utilizar datos obtenidos en páginas web y otras fuentes de acceso público para realización de actividades políticas durante el período electoral”.

El Tribunal Constitucional anuló esta disposición al considerar que la Ley Orgánica 3/2018 no ha establecido, por sí misma, como le impone el artículo 53.1 CE, las garantías adecuadas por lo que respecta específicamente a la recopilación de datos personales relativos a las opiniones políticas por los partidos políticos en el marco de sus actividades electorales, constituyendo una injerencia en el derecho fundamental a la protección de datos de carácter personal, al no existir, sin dichas garantías, base de legitimación que ampare el tratamiento.

Claves legales para el tratamiento de datos personales

Aunque los datos personales puedan encontrarse fácilmente en internet, su tratamiento sigue estando sujeto a las exigencias legales del RGPD. No basta con que la información sea accesible públicamente, es imprescindible contar con una base de legitimación adecuada.

Si se opta por la legitimación basada en intereses legítimos será conveniente ser cautelosos, realizando una ponderación restrictiva para determinar ar si es posible, o no, llevar a cabo el tratamiento.

Te puede interesar: Claves para el cumplimiento y la Seguridad de Datos