Protección de datos personales

En España, está la la Ley Orgánica 7/2021, de 26 de mayo[2], de protección de datos personales tratados para fines de prevención, detección, investigación y enjuiciamiento de infracciones penales y de ejecución de sanciones penales. Esta ley, complementa lo ya regulado en la Ley Orgánica 3/2018 de Protección de Datos de Carácter Personal y Garantía de Derechos Digitales. Pero el ámbito de aplicación de la Ley Orgánica 7/2021 es mucho más reducido, ya que solo debe ser aplicada por las entidades públicas competentes: las Fuerzas y Cuerpos de Seguridad, las autoridades judiciales del orden jurisdiccional penal y el Ministerio Fiscal, las Administraciones Penitenciarias, la Dirección Adjunta de Vigilancia Aduanera, el Servicio Ejecutivo de la Comisión de Prevención del Blanqueo de Capitales e Infracciones Monetarias y la Comisión de Vigilancia de Actividades de financiación del Terrorismo, todo ello sin perjuicio de los tratamientos llevados a cabo por órganos jurisdiccionales.

La Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD),[3] fue promulgada en 2018 y además regula como novedad los derechos digitales en España. El Tribunal Constitucional señaló en su Sentencia 94/1998, de 4 de mayo, que nos encontramos ante un derecho fundamental a la protección de datos por el que se garantiza a la persona el control sobre sus datos, cualesquiera datos personales, y sobre su uso y destino, para evitar el tráfico ilícito de los mismos o lesivo para la dignidad y los derechos de los afectados; de esta forma, el derecho a la protección de datos se configura como una facultad del ciudadano para oponerse a que determinados datos personales sean usados para fines distintos a aquel que justificó su obtención. Por su parte, en la Sentencia 292/2000, de 30 de noviembre, lo considera como un derecho autónomo e independiente que consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso.

En México, la Ley Federal de Protección de Datos Personales en Posesión de Particulares (LFPDPPP)[4] explica que un dato personal es cualquier información concerniente a una persona identificada o identificable. El Pleno del Instituto Federal de Acceso a la Información Pública emitió los lineamientos generales para la clasificar y desclasificar la información de las dependencias y entidades de la administración pública federal.[5]

El art. 32.° de esos lineamientos estipula que será confidencial la información que contenga datos personales de una persona física identificada o identificable relativos a: I. Origen étnico o racial; II. Características físicas; III. Características morales; IV. Características emocionales; V. Vida afectiva; VI. Vida familiar; VII. Domicilio particular; VIII. Número telefónico particular; IX. Patrimonio; X. Ideología; XI. Opinión política; XII. Creencia o convicción religiosa; XIII. Creencia o convicción filosófica; XIV. Estado de salud física; XV. Estado de salud mental; XVI. Preferencia sexual; XVII. Otras análogas que afecten su intimidad, como la información genética.

Los datos personales son confidenciales aun cuando no hayan sido obtenidos de su titular. También se consideran confidenciales los datos de una persona fallecida. Los únicos que podrán tener acceso y derecho a corregirlos son el cónyuge y los familiares en línea recta ascendente o descendente sin limitación de grado, y en línea transversal hasta el segundo grado. Solo en caso de que no existiera ningún familiar de los mencionados, los parientes en línea transversa hasta cuarto grado tendrán derecho a solicitar la corrección de datos.[6]

El Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI) ha puesto a disposición de los ciudadanos y particulares un sistema informático en línea llamado IFAI-PRODATOS, el cual permite la solicitud de protección de los derechos de acceso, rectificación, cancelación y oposición al tratamiento de datos personales (Derechos ARCO), así como la presentación de denuncias por mal uso de los datos e incumplimiento de la ley y su reglamento.[7]

El 13 de agosto de 2015, el INAI emitió un comunicado en donde informó que el Pleno del Instituto Federal de Acceso a la Información y Protección de Datos resolvió no interponer acción de inconstitucionalidad en contra de la Ley de Telecomunicaciones y Radiodifusión.[8]

El IFAI cambió de nombre tras la entrada en vigor de la Ley de Transparencia, en 2015, cuando pasó a llamarse INAI.[9] La reforma constitucional de febrero de 2014 marcó un cambio trascendental en la protección de los datos personales a nivel nacional, puesto que estableció el compromiso para la creación de una Ley General de Protección de Datos Personales, con lo cual se pretende crear un marco normativo que permita establecer estándares mínimos de regulación y protección de los datos personales, tanto por particulares como por dependencias y entidades de la administración pública federal y local.

En Uruguay, la Ley de Protección de Datos Personales (núm. 18.331)[10] fue promulgada en 2008. Es una avanzada legislación que indica que «el derecho a la protección de datos personales es inherente a la persona humana» y, por lo tanto, se encuentra comprendido en el art. 72 de la Constitución de la República Oriental del Uruguay. Una de las particularidades de la ley uruguaya fue la incorporación de las personas jurídicas como pasibles de protección de sus datos que los tornen identificables, sean estas personas públicas o privadas.

En su art. 37 consagra la acción de habeas data por la cual toda persona puede iniciar una causa judicial para conocer todo aquel dato que se refiera a su persona que conste en una base de datos. En caso de error, falsedad, discriminación, desactualización, se puede exigir su rectificación, inclusión o supresión.

La Unidad Reguladora y de Control de Datos Personales (URCDP) fue creada por el art. 31 de la misma ley como un órgano desconcentrado de la Agencia para el Desarrollo del Gobierno de Gestión Electrónica y la Sociedad de la Información y del Conocimiento (AGESIC), la cual custodia el cumplimiento de la ley y la protección de los datos personales. Con la creación de la URCDP, toda base de datos que contenga información identificable de las personas, ya sean físicas o jurídicas, deberá registrarse en esta unidad. En ella, además de las inscripciones se realizan consultas y los trámites administrativos de denuncias. La URCDP cuenta con formularios para estos servicios en su página web.[11]

Dos decretos también regulan y complementan la ley de protección de datos personales. El decreto núm. 414/009,[12] de 2009, reglamenta directamente la ley y la acción de Habeas Data. Se declara la protección de los datos de cualquier registro sea este automatizado o no, bajo cualquier soporte y modalidad de uso. Su ámbito territorial de aplicación es el territorio uruguayo y esta aplica cuando el responsable de la base de datos ejerce su actividad o utiliza el tratamiento de datos situados en el Uruguay. Para la obtención de los datos personales se deberá contar siempre con el consentimiento expreso de la persona en cuestión mediante la utilización de un «medio sencillo, claro y gratuito» donde se autorice el uso de la información para los fines específicos por los cuales se le solicitaron dichos datos. También el decreto núm. 664/008,[13] de 2008, crea el Registro de Bases de Datos Personales a cargo de la URCDP.

Uruguay fue el primer Estado no europeo en adherir al Convenio 108 del Consejo de Europa, en 2013, por la ley núm. 19.030.[14] El objetivo de este convenio, editado en 1981, es garantizar a las personas físicas el respeto a sus derechos y libertades fundamentales en relación con el tratamiento automatizado de sus datos.[15] También consagra que los flujos de información de datos transfronterizos podrán realizarse con Estados u organizaciones que no hayan ratificado la convención siempre que se garantice un nivel de protección adecuado a la transferencia. El convenio fue actualizado en 2018 y pasó a ser conocido como 108+.[16] El nuevo texto fue ratificado por Uruguay en 2021.[17]

La ley uruguaya se destaca de la normativa del convenio 108 ya que este último regulaba los tratamientos automatizados de las personas físicas, mientras que la ley núm. 18.331 y sus respectivos decretos abarcan cualquier registro, sea automatizado o no, bajo cualquier soporte y modalidad de uso tanto trate sobre datos de personas físicas como jurídicas. Uruguay fue el país anfitrión de la 34.ª Conferencia Internacional de Autoridades de Protección de Datos Personales y Privacidad,[18] que se realizó en Punta del Este, el 23 y 24 de octubre de 2012.

En Argentina, país pionero en la materia en América Latina, se creó la Dirección Nacional de Protección de Datos Personales (DNPDP) como órgano de control para la efectiva protección de los datos personales. La Ley de Protección de Datos Personales (núm. 25.326)[19] fue sancionada el 4 de octubre de 2000.[20] La Agencia de Acceso a la Información Pública fue creada como órgano de aplicación de la ley por el decreto 746/2017.[21]

Dice en su art. 1.° que la ley tiene el propósito de proteger los derechos personales asentados en archivos, registros, bancos de datos u otros medios técnicos de tratamiento de datos, ya sean públicos o privados, con el fin de dar informes, para asegurarse el derecho al honor y a la intimidad de las personas, como a su vez el acceso a la información que sobre estas se registre, de estar conforme con lo establecido en el art. 43 de la Constitución Nacional. Esta ley se aplicará, cuando resulte indicado, a los datos relativos a personas de existencia ideal. El mismo art. 1.° dice que en ningún caso se podrán afectar la base de datos ni las fuentes de información periodísticas.

En Colombia, la Ley Estatutaria de Protección de Datos Personales (LEPD), núm. 1581,[22] fue promulgada en 2012 y se hizo obligatoria para las empresas a partir del 18 de abril de 2013. Por otra parte, existe una ley especial, la ley núm. 1266,[23] de 2008, para datos personales financieros, a saber, datos que se recolectan y usan para cálculo de riesgo crediticio.

En Perú, la Ley de Protección de Datos Personales (LPDP), núm. 29733,[24] fue publicada en 2011 y tiene por objeto garantizar el derecho fundamental a la protección de datos personales previsto en el art. 2, numeral 6, de la Constitución Política del Perú, a través de su adecuado tratamiento, en un marco de respeto de los demás derechos fundamentales que en ella se reconocen. La ley fue reglamentada por el Decreto Supremo 003-2013.[25]

La totalidad de la ley y el reglamento han entrado en vigencia 30 días hábiles después de la publicación del reglamento, es decir el 8 de mayo de 2013. La ley define como datos personales «toda información sobre una persona natural que la identifica o la hace identificable a través de medios que pueden ser razonablemente utilizados». Asimismo, define como datos sensibles aquellos «constituidos por datos biométricos que por sí mismos pueden identificar al titular; datos referidos al origen racial y étnico; ingresos económicos, opiniones o convicciones políticas, religiosas, filosóficas o morales; afiliación sindical; e información relacionada con la salud y a la vida sexual».

El reglamento tiene por objeto desarrollar la ley a fin de garantizar el derecho fundamental a la protección de datos personales, regulando un adecuado tratamiento, tanto para las entidades públicas como para las instituciones pertenecientes al sector privado. Sus disposiciones constituyen normas de orden público y de cumplimiento obligatorio. Los principios rectores que la ley establece, son los siguientes: legalidad, consentimiento, finalidad, proporcionalidad, calidad, seguridad, disposición de recurso, nivel de protección adecuado. Los derechos del titular de datos personales son: información, acceso, actualización, inclusión, rectificación, supresión, impedir el suministro, oposición, tratamiento objetivo, tutela.

La LPDP establece que el Ministerio de Justicia y Derechos Humanos, a través de la Dirección General de Protección de Datos Personales, es la Autoridad Nacional de Protección de Datos Personales. La primera multa bajo la ley fue aplicada en octubre de 2014 en Perú.[26]

En Nicaragua, se aprobó en 2012 la ley de protección de los datos personales,[27] núm. 787, que sigue los lineamientos del modelo europeo de protección de datos. En el mismo año, la ley fue reglamentada con el decreto núm. 36-2012.[28] Más tarde, en 2014, la Constitución del país sufrió una reforma que modificó el art. 26 para aclarar que la protección de datos personales correspondía tanto a entidades públicas como privadas.[29] En 2018, fue aprobada la Ley de Justicia Constitucional, núm. 983,[30] que regula el recurso de habeas data.

En Panamá, se aprobó en 2019 la Ley 81 del 26 de marzo del 2019 de protección de los datos personales [31], y Reglamentación por medio del Decreto Ejecutivo 285 de 28 de mayo de 2021[32] que tiene como finalidad establecer los principios, derechos, obligaciones y procedimientos para la protección y tratamiento de datos concernientes a personas naturales ciudadanos y residentes en la República de Panamá.

Se define como dato personal cualquier información referente a personas naturales, que las identifica o las hace identificables, como lo son: nombre, cédula de identidad personal, correo electrónico, domicilio, entre otros.