Racionalizando la doctrina Scania: el argumento de la prohibición

Sh*t happens

 

El problema con los abogados aficionados a defender interpretaciones innovadoras (entre los que me cuento) es la tentación el riesgo constante de acabar fumándonos nuestros propios porros.

 

La manía de pasar con cierta facilidad del paso 1: “esto es extraño, pero me cuadra: vamo a vé cómo funciona en la práctica” al paso 2: “sujétame el cubata”.

 

Y como todo riesgo… hay que gestionarlo.

 

Porque si no, acabas volando a la arboleda.

 

Sujétame el cubata belga

 

Hay un extendido y problemático “Sujétame el cubata” de origen belga en este tema: se afirma la aplicación indiscriminada del criterio de la “prohibición legal”, para extender el concepto de dato seudónimo hasta el infinito y más allá.

 

Este compañero belga interpreta la sentencia Breyer, por ejemplo, del siguiente modo:

 

Una dirección IP en Alemania es un dato seudónimo (personal para una teleco, que tiene los datos del abonado que lo utiliza, personal para las administraciones que pueden exigir conforme a la ley que la teleco revele a la identidad del abonado –como pasa en los casos de pirateo de la señal de los partidos de fútbol) pero es no personal para el resto, porque la ley prohíbe a la teleco entregar esa pieza de información a otros “terceros” como por ejemplo, empresas de publicidad online.

 

Es decir: en la medida en que el responsable no puede legalmente entregar a terceros la información necesaria para que reidentifiquen el data set seudonimizado, ya no hay más nada que hablar: el dataset no es personal para ellos. Y así nos libramos de todas las gravosas obligaciones del RGPD.

 

Pero esta interpretación es tan absurda como las consecuencias a las que conduce.

 

Proteger a los ciudadanos frente a su reidentificación ilegal (casi siempre oculta, encubierta) en tratamientos de big data es uno de los principales objetivos de la normativa de protección de datos personales -y este objetivo es más importante cuanto mayor el número de interesados, y/o la intensidad del tratamiento.

 

Ejemplo: las subastas de publicidad personalizada online.

 

Sí, podemos interpretar la jurisprudencia del TJUE así: “la ilegalidad de reidentificar excluye la identificabilidad”, ergo el dataset no es personal y entonces no aplica el RGPD.

 

Pero eso es tanto como afirmar que los interesados SÍ estarían protegidos frente a la reidentificación legal de sus datos, pero NO frente a la reidentificación ilegal.

Sin embargo, en el Mundo Real©

 

Y lo cierto es que, precisamente en el mundo de la publicidad digital, hay toda una categoría de empresas especializadas en cruzar bases de datos para reidentificar (o al menos para “individualizar” (single out) a la persona detrás de cada cookie, para personalizar mejor la publicidad por la que pagan sus clientes.

 

Por el amor de Dios, hasta se autodenominan “proveedores de identidad”.

 

Me pregunto si los profesionales que defienden esa interpretación dejarían su billetera tirada en mitad de la Gare du Nord de Bruselas, fiándolo todo a la prohibición legal general de apropiarse indebidamente de ella?

 

Pues eso.

 

El TJUE en Breyer preparó, cual madre (o padre) hacendosos. un bocadillo.

 

En el interior está la valoración de la prohibición de identificar, y lo proporcionado o no de los medios necesarios para hacerlo. Pero luego está el pan, por encima (“que sea razonable o no que el tercero pueda reidentificar”) y por debajo (“que el riesgo de que lo haga sea insignificante”)

 

Y el bocadillo se come entero, niños. No sólo lo rico de en medio que te gusta.

 

Es el responsable el que tiene que evaluar, bajo su responsabilidad que “el riesgo de reidentificación tiene que ser insignificante”. Y ese riesgo tiene que ser evaluado y mitigado por el responsable, no obviado al grito de “si es ilegal hacerlo, ya no es mi problema, WEEEEEEEEEE”.

 

Por supuesto, hay bastantes más melones que abrir y depurar en este tema, pero con un poco de buena voluntad, lo conseguiremos entre todos.

 

 

TJUE vs TJUE

 

¿De dónde saco este argumento? Del TJUE. Es la misma lógica que sirvió para acabar con otro timo del tocomocho que pululaba en el 2018.

 

Los viejos rockeros de la LOPD-99 defendían (alguno aún lo hace) que si concurría una excepción del art. 9.2 RGPD, ya no había que preocuparse de cumplir y documentar el cumplimiento adicional de una base legal del art. 6.

 

El TJUE razonaba de forma imbatible: si eso fuera cierto, los datos de categoría especial -los que han sido dotados de mayor garantía de protección: una prohibición legal de tratamiento- quedarían comparativamente menos protegidos que los datos ordinarios.

 

Así que va a ser que no.

 

Muy buena semana.

 

Jorge García Herrero

Abogado y Delegado de protección de datos