«Nadie será objeto de injerencias arbitrarias en su vida privada, su familia, su domicilio o su correspondencia, ni de ataques a su honra o a su reputación. Toda persona tiene derecho a la protección de la ley contra tales injerencias o ataques».
(Artículo 12 de la Declaración Universal de Derechos Humanos de las Naciones Unidas)
En la Declaración de los Derechos Humanos de 1943 ya se hacía referencia a la privacidad. Sin embargo, en los últimos años ha cobrado una importancia mucho mayor, en el contexto de Internet. El panorama digital actual ha ejercido una presión sobre la definición de privacidad que no podían prever las generaciones anteriores. La definición de este término varía según si nos referimos al mundo físico o al digital. Antes de la revolución digital, se pensaba que el mayor riesgo para la privacidad procedía de los Gobiernos, que eran los que tenían más posibilidades de recopilar y almacenar grandes cantidades de datos sobre los ciudadanos. Pero, con el auge de los servicios digitales y en línea, de los que dependemos a diario, las empresas que gestionan esos servicios recopilan enormes cantidades de datos sobre nosotros.
Se observó que las regulaciones anteriores, que afectaban sobre todo a organizaciones, empresas e instituciones gubernamentales, como bancos y compañías de seguros, no eran adecuadas para el nuevo mundo digital. La evidente necesidad de mejorar la regulación ha contribuido a que se creara una normativa como el RGPD en la Unión Europea.
Aunque la mayoría de los países del mundo han mejorado sus reglamentos, es conveniente ser conscientes de que la mayor parte no se están cumpliendo. China, por ejemplo, ha añadido leyes de privacidad que a menudo son ignoradas por las propias autoridades. Incluso cuando los Gobiernos cumplen con la legislación, no es raro que esta incluya excepciones para algunos organismos, por motivos de seguridad nacional.
Los países de la UE han dado un paso muy importante en la protección de la privacidad de sus ciudadanos. A continuación, vamos a ver más detalles sobre el RGPD y compararlo con la normativa equivalente de Estados Unidos.
RGPD
El RGPD (Reglamento General de Protección de Datos) de la Unión Europea se ha establecido para proteger los derechos de privacidad de los ciudadanos de la UE. El principal objetivo del RGPD es proporcionar un marco para las empresas que almacenan o controlan datos sobre cualquier ciudadano de la UE. En última instancia, el reglamento servirá para consolidar los derechos de privacidad de las personas, al definir cómo deben tratarse los datos privados y cómo se castigarán las infracciones de esta normativa.
El RGPD es una reacción ante la proliferación de servicios que almacenan y gestionan datos personales en línea. La regulación de la privacidad siempre ha estado fragmentada y sigue estándolo en la mayor parte del mundo. Ahora, con el RGPD, la UE cuenta con el marco de regulación de la privacidad digital más completo y protector del mundo.
Los derechos que establece amparan a todos los ciudadanos de la UE, aunque el servicio que utilicen no esté situado en la UE, siempre que se ofrezca algún servicio dentro de la UE o a ciudadanos de la UE.
El RGPD define ocho derechos a los que pueden acogerse los usuarios. Son los siguientes:
Derecho a la información: tienes derecho a saber qué tipo de datos se almacenan y cómo se utilizan.
Derecho de acceso: tienes derecho a ver la información que ha almacenado el servicio sobre ti.
Derecho de rectificación: tienes derecho a corregir los datos que almacenan los servicios sobre ti.
Derecho de supresión: tienes derecho a exigir que el servicio elimine los datos que almacena sobre ti.
Derecho de limitación del tratamiento: tienes derecho a solicitar que se dejen de tratar tus datos en determinados casos.
Derecho de portabilidad de los datos: tienes derecho a recibir los datos personales que posee el servicio para fines personales o a enviarlos a otro servicio.
Derecho de oposición: tienes derecho a oponerte al tratamiento de tus datos; por ejemplo, puedes oponerte al rastreo mediante cookies.
Derecho a evitar la toma de decisiones automatizada: tienes derecho a que no se te incluya en la elaboración de perfiles o el procesamiento automatizados.
Todos estos derechos tienen excepciones y otras estipulaciones, pero básicamente te permiten decidir si el servicio puede almacenar datos sobre ti y, si se lo autorizas, te permiten controlar cómo se utilizan esos datos y solicitar que se eliminen.
El RGPD define dos categorías de datos: la información de identificación personal y los datos personales sensibles. Como hemos visto en el capítulo anterior, los datos de identificación personal son datos que pueden vincularse a ti personalmente, como las direcciones. Los datos personales sensibles son aquellos que pueden revelar tu información biométrica, genética, sanitaria, sexual, religiosa, filosófica, política, racial o étnica. Si el servicio almacena y utiliza datos personales sensibles, deberá cumplir medidas más estrictas de consentimiento y de protección de los datos contra el uso no autorizado.
El RGPD ha sido objeto de mucha controversia y una gran presión por modificar la normativa, pero es probable que la parte más esencial de su contenido no sufra grandes variaciones. También se ha debatido mucho sobre las sanciones establecidas por infringir el RGPD, que actualmente pueden ascender a 20 millones de euros, o al 4 % de los ingresos globales anuales de la empresa, lo que sea mayor.
Legislación de privacidad en Estados Unidos
Estados Unidos no tiene una regulación unificada como la del RGPD de la UE, aunque es posible que esto cambie en el futuro. Actualmente, se basa en diferentes normativas federales y estatales. Tampoco se descarta que Estados Unidos implemente una regulación similar al RGPD, aunque varias organizaciones, como Privacy for America —un grupo de presión que representa a diferentes entidades de este sector—, tratan de que se satisfagan las necesidades de estas empresas. Algunos reclaman que se cree una agencia de protección de datos, que podría asegurarse de que se cumpla la legislación en materia de privacidad. En cualquier caso, pese a las diferencias con Europa, en Estados Unidos también existen leyes de privacidad. La mayoría de los problemas que se dan en este ámbito tienen que ver con la gran diversidad de normas y leyes, unas federales y otras estatales.
Probablemente, el mayor obstáculo para que se establezca una legislación similar a la del RGPD es la diferencia entre Estados Unidos y la Unión Europea. Allí se da especial importancia a los derechos de cada estado, y se considera que la regulación federal vulnera su derecho al autogobierno. Probablemente, Estados Unidos también llegará a algún tipo de solución, pero es posible que difiera mucho de la normativa europea.
Algunos estados han adoptado una perspectiva mucho más estricta de la privacidad de sus ciudadanos que lo que establece la legislación federal. Por ejemplo, la CCPA (Ley de Privacidad de los Consumidores de California) recoge básicamente los mismos derechos que el RGPD. También ampara a todos los californianos a escala global, algo muy importante, ya que California es la quinta economía del mundo.
Marco del Escudo de la privacidad UE-EE. UU.
La UE y Estados Unidos se han puesto de acuerdo para facilitar la transferencia de datos entre ambas partes, protegiendo la privacidad de una manera que sea aceptable para los dos territorios. Las empresas estadounidenses que deseen transferir datos entre Estados Unidos y la Unión Europea tienen que autocertificarse para demostrar que cumplen con el marco del Escudo de la privacidad (Privacy Shield, en inglés).
El Escudo de la privacidad no es una normativa, sino un acuerdo. Esto implica que, si una empresa estadounidense incumple el RGPD, no se le puede aplicar la normativa europea a menos que infrinja las órdenes de la FTC (Comisión Federal de Comercio) de Estados Unidos. El Escudo de la privacidad tampoco abarca todos los derechos de privacidad del RGPD. Cabe señalar que el predecesor del Escudo de la privacidad, los principios de puerto seguro para la protección de la vida privada, fue declarado no válido por los tribunales de la UE y el Escudo de la privacidad podría correr la misma suerte en el futuro.
