Autor: Isabel León
El presente artículo de opinión tiene por objetivo abordar el consentimiento como piedra angular del derecho a la protección de datos personales, desde una de sus más controvertidas aristas: la condición de previo. Esta compleja tarea advierte estar atestada de conjeturas, y por ello, pretende ser, sobre todo, una invitación a la reflexión teórica y práctica.
Se propone el siguiente caso:
La empresa X, dedicada a la producción de artículos de hogar, realiza el sorteo de una canasta de productos y los participantes, entre ellos el cliente A, en su proceso de inscripción, consienten libremente que, además de utilizar sus datos personales para notificaciones del sorteo, desean recibir en su correo electrónico información sobre los nuevos productos de la marca, pues se encuentran completamente fidelizados a ella. La empresa X, envía información sobre nuevos productos al correo electrónico del cliente A y con ello efectúa un tratamiento legítimo de datos personales en cuanto basa su proceder en el consentimiento del titular.
Se propone un segundo panorama:
El proceso de inscripción del cliente A, no incluye la solicitud de consentimiento para recibir en su correo información sobre nuevos productos de la marca. La empresa X, a través de la utilización de los datos personales que tiene del cliente A, envía información sobre nuevos productos a su correo electrónico y después de unas semanas solicita el consentimiento del cliente A para enviarle información sobre nuevos productos y este lo consciente.
La pregunta central en este panorama es:
¿el uso de los datos personales del cliente A para el envío de información previo a la recogida del consentimiento es legítimo?
Partiendo de la lógica que considera al tratamiento previo de forma aislada al consentimiento ofrecido de forma posterior, el tratamiento es ilegítimo, porque se dio uso a los datos en finalidades no consentidas en principio por parte del cliente A.
Ahora bien, en base a la legislación ecuatoriana, la Ley Orgánica de Protección de Datos Personales concibe al consentimiento como una de las causas de tratamiento legítimo y lícito de datos personales y más adelante señala que este será válido cuando la manifestación de voluntad sea: libre, específica, informada e inequívoca; pero la norma, no obliga a que este consentimiento sea previo al tratamiento de datos personales y en consecuencia, el consentimiento del cliente A, pese a ser posterior, valida el uso de sus datos para el envío de información de nuevos productos, legitimando, lo que en principio, fue ilegítimo. Y entonces nos preguntamos: ¿cuál es el rol de la protección de datos personales en este espectro? ¿Qué condiciones debería tener el consentimiento para que valide acciones retroactivamente?
Reflexión:
Introducir el derecho a la protección de datos personales en el país no fue tarea fácil, principalmente, por la desvalorización que sufría ante las constantes comparaciones con la garantía constitucional de hábeas data. Ahora queda por sentado que cubren horizontes completamente distintos y que es la esencia preventiva del derecho a la Protección de Datos Personales, la que hace que el hábeas data, garantía naturalmente reactiva, no concurra sobre el mismo objeto y, en consecuencia, no pueda competir con su importancia.
Bajo el criterio de prevención, se puede acordar que el espíritu de este derecho es la autodeterminación informativa y la forma más efectiva de materializarla es a través de dos elementos básicos: consentimiento e información; el consentimiento como principio y la información como derecho.
Con la consideración de estos elementos, resulta adecuado regresar al caso
La autodeterminación informativa, explicada como la capacidad que tiene el titular para decidir sobre sus datos, no actúa a favor del cliente A en el momento en que, sin su consentimiento, la empresa X envía a su correo electrónico información sobre nuevos productos. En su lugar, la autodeterminación informativa actúa en el momento en que el consentimiento del cliente A es recabado. El problema que se desprende de dicha acción es que ese consentimiento legitima un tratamiento que no fue legítimo en principio; entonces: ¿podría sostenerse que la falta de necesidad de consentimiento previo es la motivación de la empresa X para dar uso a los datos del cliente A de forma ilegítima bajo la expectativa de recabar su consentimiento en la posteridad?
Si se piensa de forma práctica, un responsable también puede efectuar un tratamiento de datos personales de forma ilegítima y después legitimarla con la recepción del consentimiento, ¿por qué? Porque al no ser necesario que el consentimiento se efectúe de forma previa, se abre esta posibilidad.
Si el responsable no logra obtener el consentimiento, deberá, eventualmente, detener el tratamiento; en ese caso, el tratamiento pasado adquirirá de forma definitiva la condición de ilegítimo, y, en consecuencia, sus actuaciones se respaldarán en el régimen de multas que la ley propone para sancionar estos comportamientos, pero la pregunta más importante aquí es: ¿En esta cadena, el derecho sigue gozando de la condición de preventivo o pasó a ser reactivo y con ello perder la esencia fundamental de autodeterminación informativa de la que gozaba el titular?
Último panorama:
si la autoridad de control decide, por ejemplo, inspeccionar a la empresa X, precisamente antes de que la empresa solicite al cliente A su consentimiento para enviar información de nuevos productos y detecta que se está efectuando dicho tratamiento de forma ilegítima, ¿la empresa X podría justificar su accionar es que tenía planificado solicitar en el transcurso de esa semana el consentimiento del cliente A, puesto que, al no requerir que tal consentimiento sea previo, podría efectuarlo de esa manera?
Podemos concluir que, en sencillos pasos, el espíritu natural preventivo del derecho a la protección de datos personales, ante la falta de consentimiento previo, se vio aplacado por la expectativa, el libelo y algo de suerte.
Niubox es una firma de servicios legales, consultoría en asuntos públicos y regulatorios e innovación legal. Conoce nuestros servicios en Perú y Ecuador: tecnología y negocios digitales, innovación legal y legaltech, protección de datos personales y ciberseguridad, asuntos públicos y regulatorios, transformación digital, telecomunicaciones y competencia, consumidor y propiedad intelectual.
