ESCUCHAR
La Cámara de Diputados de la Nación aprobó por amplia mayoría la ratificación de la República Argentina de su adhesión al Convenio 108+, versión actualizada del Convenio 108 para la Protección de las Personas con respecto al tratamiento automatizado de datos personales.
Este convenio, por su amplitud, profundidad y complejidad, no puede ser debidamente analizado en esta columna, por lo que se destacarán algunos aspectos muy específicos, siendo el principal conocer su objetivo principal que es colocar a las personas en una posición tal que conozcan, entiendan y controlen el tratamiento de sus datos personales por parte de terceros, reforzando el derecho a la autonomía personal y a controlar los datos personales propios, que se derivan en particular de los derechos a la privacidad y a la dignidad humana, a los efectos de no considerar a las personas meros objetos.
Para que los datos que se traten encuadren en este convenio, es necesario que se correspondan con una persona “identificable”, es decir, aquella que puede ser identificada directa o indirectamente. “Identificable” refiere no sólo a la identidad civil o legal del individuo como tal sino también a lo que puede “individualizar” o diferenciar a una persona de otros (y, por ende, permitir tratarla de manera diferente). Esta “individualización” se puede realizar, por ejemplo, refiriéndose a la persona específicamente o a un equipo o conjunto de equipos (computadora, teléfono celular, cámara fotográfica, equipos de videojuegos, etcétera) mediante un número de identificación, seudónimo, datos biométricos o genéticos, datos de ubicación, dirección IP u otro elemento identificador. El uso de seudónimos o de un identificador digital/identidad digital no lleva al anonimato de los datos, dado que el titular en todo caso puede ser identificable o individualizado. Por lo tanto, los datos seudónimos deberán considerarse datos personales y se encuentran dentro del alcance de las disposiciones del convenio. La calidad de las técnicas de creación de seudónimos utilizadas deberá tomarse en cuenta al determinarse si las garantías tomadas para mitigar el riesgo de los titulares de datos han sido apropiadas.
Una persona no se considerará “identificable” cuando su identificación requiera tiempo, esfuerzo y recursos excesivos. Tal sería el caso, por ejemplo, cuando identificar a un titular de datos requiriera de operaciones excesivamente complejas, duraderas y costosas. El alcance de la expresión “tiempo, esfuerzo y recursos excesivos” deberá analizarse en cada caso. Por ejemplo, podría considerarse el propósito del tratamiento tomando en cuenta criterios objetivos como costos, beneficios de dicha identificación, tipo de responsable del tratamiento, tecnología usada, etcétera. Asimismo, el desarrollo tecnológico y otros desarrollos podrían cambiar el significado de “tiempo, esfuerzo y recursos excesivos”.
Un ámbito que se dispone ajeno a la norma es el exclusivamente personal o doméstico, ya que se busca evitar la imposición de obligaciones no razonables al tratamiento de datos llevado a cabo por individuos en su esfera privada para actividades relacionadas con el ejercicio de su vida privada. Las actividades personales o domésticas están vinculadas cercana y objetivamente con la vida privada de un individuo y no afectan gravemente la esfera personal de otros. Dichas actividades no poseen aspectos profesionales o comerciales y se relacionan exclusivamente con actividades personales o domésticas, tales como almacenar fotos familiares o privadas en una computadora, crear una lista con los datos de contacto de amigos y familiares, correspondencia, etcétera. Compartir los datos dentro de la esfera privada abarca particularmente compartirlos en una familia, un círculo de amigos restringido o un círculo limitado en tamaño y basado en una relación personal o una relación particular de confianza.
Si las actividades son “exclusivamente personales o domésticas” dependerá de las circunstancias. Por ejemplo, cuando los datos personales se encuentran disponibles para un gran número de personas o para personas claramente externas a la esfera privada, tal como un sitio web público en internet, no se aplicará la exclusión. Asimismo, la operación de un sistema de cámara, que como resultado almacena una filmación de personas en un aparato de filmación continua tal como un disco duro, instalado por un individuo en su hogar con el propósito de proteger propiedad, salud y vida de los dueños del hogar, pero que cubre, así sea parcialmente, un espacio público y es, en consecuencia, dirigido fuera del lugar privado de la persona que trata los datos de tal forma, no podrá ser considerada una actividad que es exclusivamente “personal o doméstica”.
Como toda norma, su eficacia y validez dependerán del ejercicio decidido y constante de las personas que pretende proteger, por lo que, si cada titular de dato poco hace por su cuidado, la protección buscada por el legislador quedará en un interesante desarrollo normativo.
* Abogado, especialista en derecho informático
