El nuevo Reglamento General de Protección de Datos
(GDPR en sus siglas en inglés, General Data Protection Regulation) supone un antes y un después en los derechos de los ciudadanos con respecto al gobierno de los datos personales y la privacidad de los ciudadanos.
GDPR entró en vigor en 2016 actualizando la Directiva de Protección de Datos de 1995, pero las Administraciones Públicas y empresas han contado con un plazo de dos años para adaptarse a la nueva legislación. El 25 de mayo de este año se acaba dicho plazo y GDPR pasará a ser de plena aplicación no solo en los estados miembro, sino también para cualquier organización que capte, almacene o tramite datos de carácter personal de ciudadanos de la U.E., independientemente de donde esté ubicada.
De acuerdo con GDPR, un dato personal es cualquier información que sirva para identificar a una persona natural. Esta definición tan abierta genera una serie de dudas. Con GDPR un email profesional, una dirección IP o la información captada por las cookies de una web son datos personales. Por no hablar de todos los datos captados por wearables o sensores ligados a Internet de las Cosas o Smart cities –siempre y cuando identifiquen a una persona-.
Algunos datos personales pueden incluir información de gran valor para la ciudadanía y las empresas reutilizadoras, pero su publicación abierta puede amenazar la privacidad. De acuerdo con GDPR, los ciudadanos europeos deben dar su consentimiento “claro y explícito” para el tratamiento de sus datos. Por tanto, no se puede publicar para su reutilización ningún dato personal sin el consentimiento del o los afectados. Es importante resaltar que esta situación ya estaba recogida en la Ley de Protección de Datos española – concretamente en el artículo 6.1-, por lo cual no supone un gran cambio.
Sin embargo, existen excepciones que permiten la publicación de datos personales:
-
Si existen motivos legítimos para publicarlos. Por ejemplo, en el caso de una resolución judicial.
-
Si los datos han sido anonimizados. La anonimización es un proceso de disociación a través del cual los datos se desvinculan de la persona a la que pertenecen, de forma que dejan de ser “datos personales”. Es decir, se eliminan los datos que pueden identificar a una persona o se sustituyen por variables genéricas, como distritos postales, rangos de edad, niveles de estudios, etc. Como hemos visto, GDPR solo afecta a los datos personales, por lo cual si un dato deja de ser personal ya no está sujeto a este Reglamento.
La anonimización es un buen recurso para mantener la utilidad de los datos abiertos, permitiendo distintos tratamientos (como análisis o estadísticas), pero también tiene sus riesgos. No hay que confundir anonimización con pseudoanonimización, donde se oculta la identidad, pero se deja un rastro que puede permitir identificar al ciudadano. La anonimización debe garantizar que no se puede reunificar la información sobre un individuo concreto por inferencia a partir de datos no personales en un conjunto de datos abierto.
En el contexto actual, la privacidad es una preocupación inevitable cuando hablamos de datos abiertos. Para garantizar el cumplimiento normativo es importante regular y monitorizar los flujos de datos, de modo que la privacidad y la libertad de información, y los intereses de los ciudadanos y los reutilizadores de datos puedan equilibrarse. De esta forma conseguiremos promover la economía ligada a la reutilización de datos, generando nuevos productos y servicios que aporten valor a la sociedad, y respetando al mismo tiempo los derechos de los ciudadanos.
