RGPD e información: ¿más es menos?
Si se hiciera una encuesta a pie de calle sobre a qué sugieren las expresiones “Privacidad” o “Protección de datos”, probablemente los interrogados harían referencia a “esas cláusulas tan largas que he visto en algunos contratos”, “un papel que me dieron a firmar en tal o cual sitio”, “eso que te ponen en las webs cuando rellenas un formulario”, “eso que decían que iban a hacer con mis datos en no sé qué app”….
Es cierto, esta afirmación no tiene una base estadística ni parte de ninguna investigación, pero creo que estaremos de acuerdo en que no voy desencaminado si digo que para el común de los mortales una de las principales, si no la principal, expresión tangible de la Privacidad y la Protección de datos son las innumerables cláusulas y políticas sobre la materia que (afortunadamente) pueblan contratos, documentos, webs, apps…
Ahora bien, la puesta en práctica del Principio de Información, pilar primigenio y permanente de la Protección de datos, siempre ha adolecido y aun adolece de una sensación más o menos habitual de que la comprensibilidad de dichas cláusulas y políticas a veces no es la que debiera.
En muchas ocasiones, se perciben las cláusulas y políticas de Protección de datos y Privacidad como un texto que oculta más de lo que dice, que utilizan el lenguaje (jurídico o no) como barrera, que carecen de empatía y no toman en consideración las diferentes audiencias a que se dirigen, cuya enorme extensión está más dirigida a evitar su lectura que a promover su fácil comprensión, etc.
Frente a esa sensación de la que hablaba debíamos esperar una reacción, y si hablamos de Privacidad y Protección de datos, deberíamos esperar que el Reglamento General de Protección de Datos (quien no sepa de su larga y tortuosa gestación, su publicación, su entrada en vigor y su futura aplicabilidad…, igual está leyendo el post equivocado), sea la luz, la guía y la claridad para todo y para todos (si alguien aprecia una sutil ironía…, no me he expresado bien porque no pretendía ser sutil…).
En este sentido, el bálsamo de Fierabrás, perdón, el Reglamento General de Protección de Datos, dice en su Considerando 39 de forma tan elocuente, como contundente que: “Para las personas físicas debe quedar totalmente claro que se están recogiendo, utilizando, consultando o tratando de otra manera datos personales que les conciernen, así como la medida en que dichos datos son o serán tratados. El principio de transparencia exige que toda información y comunicación relativa al tratamiento de dichos datos sea fácilmente accesible y fácil de entender, y que se utilice un lenguaje sencillo y claro.”
En esta misma línea se expresa el Considerando 60, cuando dice que “Los principios de tratamiento leal y transparente exigen que se informe al interesado de la existencia de la operación de tratamiento y sus fines. El responsable del tratamiento debe facilitar al interesado cuanta información complementaria sea necesaria para garantizar un tratamiento leal y transparente, habida cuenta de las circunstancias y del contexto específicos en que se traten los datos personales.”
La traducción en regulación aplicable (en 2018, claro), de estos considerandos se contiene principalmente en los artículos 12, 13 y 14 del Reglamento. Y es ahí donde está el reto o quizá la paradoja. Una lectura de tales preceptos, sin entrar en interpretaciones sino con la mera literalidad, hace presumir que la regulación propuesta quiere alcanzar los objetivos de transparencia, inteligibilidad y fácil acceso, con cláusulas y políticas de privacidad y protección de datos realmente detallistas, profusas, precisas…., y por tanto presumiblemente largas.
¿Se quiere dar a entender que cuanto más se expliquen las cosas y cuanta más información se dé, mejor informado va a estar el titular de los datos? Si el problema es que los interesados no se leen las cláusulas y políticas por lo largas que son, si el problema es que los interesados no tienen la información de base para conocer de qué se les está hablando, ¿puede ser la solución “lanzarles” algo más grande? La aproximación de más es mejor tiene un riesgo cierto de que más sea menos y por tanto, el fin último del principio de información no se alcance.
Frente a unos requisitos sin duda detallistas (y sin entrar en la falta de empatía con el lector a la hora de elegir el lenguaje de cláusulas y políticas), propone el artículo 12 el uso de iconos: “7.La información que deberá facilitarse a los interesados en virtud de los artículos 13 y 14 podrá transmitirse en combinación con iconos normalizados que permitan proporcionar de forma fácilmente visible, inteligible y claramente legible una adecuada visión de conjunto del tratamiento previsto. Los iconos que se presenten en formato electrónico serán legibles mecánicamente. 8.La Comisión estará facultada para adoptar actos delegados de conformidad con el artículo 92 a fin de especificar la información que se ha de presentar a través de iconos y los procedimientos para proporcionar iconos normalizados.”
Desde luego que apoyo al 100%, y me quedo corto, la opción de los iconos, las realidades del mundo digital en que todos nos movemos apuntan a esta opción como una de las de mayor éxito. Pero son varios los aspectos que deben preocuparnos sobre la aproximación al tema de los iconos que hacen el Reglamento, al menos.
- Han de usarse “en combinación”, con las cláusulas y políticas, ¿antes? ¿durante? ¿después? Y sobre todo, ¿para que poner iconos autoexplicativos si tenemos que acompañarlos de aquello a que se refieren?
- Si están en formato electrónico deberán ser legibles mecánicamente. Perfecto, pero como hay que usarlos “en combinación”, con las cláusulas y políticas, ¿todo debe ser susceptible de ser legible mecánicamente?
- Y la principal cuestión…, nada sabremos con certeza sin un acto delegado que diga “me gustan X iconos presentados de la manera Y”. ¿Se está imposibilitando que el mercado, los usuarios, los interesados…, elijan la opción que más les gusta de las que se les propongan? ¿Se está poniendo trabas a la autorregulación en un tema crítico?
Quedan muchas cosas sobre las que debatir y que interpretar en el Reglamento General de Protección de Datos. Pero creo que sin duda la relativa al Principio de información, a la transparencia de dicha información, debe ser tratada con especial anticipación e intensidad, porque afecta a aquellos elementos que conectan de manera directa a la Privacidad y Protección de datos con aquellos a quienes protege, aquellos cuyos datos son tratados y que deben ser informados de los tratamientos a través de la correspondientes cláusulas y políticas…, y sus iconos.
Francisco Javier Carbayo
Abogado
Socio de DELOYERS
javier@deloyers.com
deloyers.com
@fjcarbayo
es.linkedin.com/in/franciscojaviercarbayo/