Repositorio Institucional de Documentos

Repositorio de la Universidad de Zaragoza – Zaguan http://zaguan.unizar.es Trabajo Fin de Grado La Protección de Datos en un mundo cada vez más interconectado y complejo. Un estudio de la Protección de Datos en Derecho Internacional Privado dentro de la UE Data Protection in an increasingly interconnected and complex world. A study of Data Protection in Private International Law within the EU Autor/es Guillermo Ortiz Pijuan Director/es Katia Fach Gómez Facultad de Derecho 2020 La Protección de Datos en un mundo cada vez más interconectado y complejo Guillermo Ortiz Pijuan 1 Índice 1.- Presentación ............................................................................................................................. 2 2.- Introducción a la Sociedad de la Información ......................................................................... 3 3.- Los conceptos de privacidad y protección de datos ................................................................ 5 3.1.- Introducción a los conceptos de privacidad y protección de datos................................... 5 2.2.- Filtración de datos o “data breach”................................................................................... 5 3.3.- Introducción a la regulación de la protección de datos .................................................... 6 3.3.- ¿Derecho internacional privado o público? ...................................................................... 9 3.4.- Distinción entre jurisdicción y conflicto de leyes .......................................................... 11 4.- Protección de datos en la Unión Europea .............................................................................. 12 4.1.- Mención a la regulación antes del Reglamento General de Protección de Datos .......... 12 4.2.- Introducción al Reglamento General de Protección de Datos ........................................ 13 4.3.- Conflictos de competencia bajo el Reglamento General de Protección de Datos. La coexistencia del artículo 79.2 del GDPR y el artículo 7.2 del Reglamento de Bruselas I bis 15 4.4.- Ley aplicable. Relación con los Reglamento de Roma I y II ......................................... 18 4.5.- Las transferencias internacionales de datos y las cross-border situations ..................... 21 5.- Conclusión ............................................................................................................................. 23 Bibliografía ................................................................................................................................. 24 La Protección de Datos en un mundo cada vez más interconectado y complejo Guillermo Ortiz Pijuan 2 1.- Presentación El presente texto consiste en un análisis de los conceptos de privacidad y protección de datos dentro del ámbito de la Unión Europea. La decisión del tema fue prácticamente instantánea ya que se trata de un ámbito del derecho que siempre me ha resultado muy atractivo. El poder poner en conexión mis estudios en Derecho con un campo que siempre me ha gustado, como es el de la informática e Internet, es una buena manera de poner punto y final a este Grado. Para la elaboración de este trabajo se ha consultado una extensa bibliografía, pero es cierto que ha facilitado en gran medida el hecho de haber tenido la oportunidad de cursar asignaturas como Derecho de la Privacidad y Protección de Datos o Informática Legal a través del Programa Erasmus en la Universidad de Laponia el pasado año. Haber tenido esta oportunidad me ha proporcionado una base teórica que ciertamente ha ayudado en el desarrollo del trabajo. A continuación se exponen y se ponen en relación los conceptos de privacidad y protección de datos dentro de la normativa comunitaria de la Unión Europea, dando respuesta a cuestiones relacionadas con problemas de jurisdicción y ley aplicable. El objetivo de este trabajo es identificar las principales problemáticas surgidas del tratamiento de datos personales entre Estados Miembros, y de darles una respuesta lo más concisa posible apoyándome en las decisiones que la jurisprudencia comunitaria y nacional ha ido dictando. La Protección de Datos en un mundo cada vez más interconectado y complejo Guillermo Ortiz Pijuan 3 2.- Introducción a la Sociedad de la Información Ya llevamos décadas a nuestra espalda con Internet formando parte de nuestra vida. No solo ha servido para llevar al extremo la difusión y expansión del conocimiento a nivel mundial, sino que también ha sido una pieza clave en la instauración de una nueva manera de entablar relaciones contractuales a nivel global. Lo que denominamos “sociedad de la información”, y que define toda esta situación global, ya no es ningún tipo de concepto nuevo e innovador, forma parte del presente y a mi juicio incluso, a un concepto desfasado y necesitado de actualización debido al rápido ritmo de evolución de nuestra sociedad en el ámbito tecnológico. El término “sociedad de la información” se comenzó a utilizar en los años 60, dándose a conocer por el autor japonés Yoneji Masuda 1 a través de una obra de 1968, y desarrollándose en la restante segunda mitad del siglo XX. Pese a no existir una definición universal aceptada internacionalmente, la mayoría de autores se ponen de acuerdo para determinar que ésta apareció entre los años 70, las transformaciones del Bloque Socialista del Este en los 90 y los principios de los años 2000. En 1973 el autor Daniel Bell 2 introdujo el concepto de “sociedad de la información”, con nociones muy básicas, y limitándose a teorizar que el eje principal de esta sociedad será el conocimiento teórico, pasando a ser los servicios basados en el conocimiento parte de estructura central de la nueva economía y de una nueva sociedad que se centra en la información. En los años 90 con el desarrollo de los ordenadores personales y el acceso a internet generalizado, este concepto de “sociedad de la información” vuelve a surgir con más fuerza 3 , siendo incluida en la agenda de las reuniones del G7 en 1995. Posteriormente empezó a aparecer en foros de la Comunidad Europea y de la Organización para la Cooperación y el Desarrollo Económicos. El autor Frank Webster 4 diferenciaba 5 tipos de información fundamentales: tecnológicos, económicos, ocupacionales, espaciales y culturales. Este trabajo va a centrarse en 1 MASUDA, Y.: Una introducción a la Sociedad de la Información, Perikan-Sha, Tokio, 1968. 2 BELL, D.: El advenimiento de la sociedad post-industrial, Alianza Editorial, 2006. 3 BURCH, S.: “Sociedad de la información/Sociedad del conocimiento”, en Palabras en Juego: Enfoques Multiculturales sobre las Sociedades de la Información, C & F Editions, 2005. 4 WEBSTER, F.: Information Society: Conception and Critique in Hall, Encyclopedia of library and information science, Allen Kent y Carolyn M (editores), Suplemento 21. 58, New York, pp. 74–112, 1996. La Protección de Datos en un mundo cada vez más interconectado y complejo Guillermo Ortiz Pijuan 4 esos tipos de información que conciernan a las relaciones de carácter privado en el ámbito internacional, que cada día aumentan y logran un mayor peso. La comunicación a través de Internet ha representado un desafío para el Derecho Internacional Privado, concretamente por la dependencia a unos factores de conexión geográfica. Un importante número de años han pasado, pero los autores de Derecho Internacional Privado siguen discutiendo acerca de si: a) se deben actualizar y reconsiderar algunos conceptos y normas relativas a Internet 5 ; o si b) se trata de un “complejo problema de puesta en práctica” 6 . Pese a que las comunicaciones a través de Internet presentan unas particularidades que son complicadas de compaginar por normas de jurisdicción, muchos autores mantienen la opinión de que “no hay nada diferente o único acerca del ciberespacio que exija la modificación o abandono de los regímenes tradicionales de elección de derecho aplicable” 7 . 5 COLLINS: The Law of Defamation and the Internet, 3ª edn, OUP, 2010. 6 MILLS: Rethinking Jurisdiction in International Law, BYbIntL, pp. 187, 197, 2004. 7 SVANTESSO: Private International Law and the Internet, 2ª edn, Kluwer, pp. 52–62, 2013. La Protección de Datos en un mundo cada vez más interconectado y complejo Guillermo Ortiz Pijuan 5 3.- Los conceptos de privacidad y protección de datos 3.1.- Introducción a los conceptos de privacidad y protección de datos La definición de estos conceptos resulta complicada ya que su terminología cambia en cada entorno, cultura o legislación. A su vez, estas definiciones cambian y evolucionan con gran velocidad con los avances tecnológicos y de la sociedad. Las primeras apariciones de estas terminologías las encontramos en cuerpos legales tanto nacionales como internacionales desde los años 60, pero no pasarán a tomarse en serio adecuadamente hasta los años 90. Además, el hecho de que los dos conceptos se encuentren tan interconectados puede dificultar en alguna situación su separación. El derecho a la protección de datos se recoge en el artículo 8 de la Carta de los Derechos Fundamentales de la Unión Europea, mientras que es el artículo 7 el que recoge el derecho al respeto a la vida privada y familiar. Este último derecho también está contenido en el artículo 8 de la Convención Europea de Derechos Humanos. Es el propio Reglamento General de Protección de Datos el que da una distinción entre los dos conceptos en su Considerando nº 4 al decir: “(…) El presente Reglamento respeta todos los derechos fundamentales y observa las libertades y los principios reconocidos en la Carta conforme se consagran en los Tratados, en particular el respeto de la vida privada y familiar, del domicilio y de las comunicaciones, la protección de los datos de carácter personal, (…)” El derecho a la privacidad puede considerarse más amplio que el de la protección de datos ya que cubre todos los asuntos relacionados con la vida personal y privada de un individuo. Es por ello que la protección de datos se encuentra dentro del ámbito de la privacidad 8 , ya que se puede considerar “uno de los aspectos del derecho al respeto de la vida privada”. 2.2.- Filtración de datos o “data breach” Una filtración o violación de datos es un incidente de seguridad en el cual se accede a información sin autorización, pudiendo suponer importantes daños tanto para corporaciones 8 HESS, B. y MARIOTTINI, C.: Protecting Privacy in Private International and Procedural Law and by Data Protection: European and American Developments, p. 83, 2015. La Protección de Datos en un mundo cada vez más interconectado y complejo Guillermo Ortiz Pijuan 6 como para individuales. Con el avance y evolución de la tecnología, cada día se mueve más información en el mundo digital, y como consecuencia, los ciberataques se han vuelto más comunes y costosos. Según fuentes de la compañía de ciberseguridad Norton 9 (concretamente un estudio del instituto Ponemon), el coste medio para una gran empresa de estas filtraciones de datos se acerca a los 3,86 millones de dólares, y cada documento sustraído ronda un coste de 148 dólares. Esta realidad muestra que el cibercrimen en un peligro y una amenaza real para cualquier persona en internet. Los datos específicos que son robados con más frecuencia son nombres completos, números de tarjeta de crédito y números de Seguridad social, así como también cualquier tipo de información financiera. Estos ataques tienden a tener como objetivo a grandes empresas, ya que con un único ataque pueden llegar a recabar un gran número de datos. Lo que recogen las distintas leyes y regulaciones es una serie de pasos que tiene que seguir las compañías afectadas en caso de filtración de datos u otro incidente de seguridad similar. La gran parte de Estados obliga a dichas compañías a informar a sus clientes de aquellos datos que han sido o pueden estar comprometidos. 3.3.- Introducción a la regulación de la protección de datos La regulación de la protección de datos está compuesta por una serie de normas que específicamente regulan todos o la mayoría de escenarios en el tratamiento de ciertos tipos de información. Estas normas determinan la manera en que la información en recogida, registrada, almacenada, usada y difundida. Por lo general, solamente la información personal es objeto de regulación por la normativa de protección de datos. Esta información personal o datos personales se definen como la información que permite la identificación de un individuo, ya sea persona natural o jurídica (referidos como individuos) o en ocasiones entidades colectivas. El objetivo principal de estas regulaciones es la protección de los intereses y derechos del individuo cuando información acerca del mismo está siendo tratada por un tercero. Estos intereses y derechos del individuo tienden a identificarse con los conceptos de privacidad, autonomía e integridad. Lee A. 9 NORTON.COM, “What is a data breach?” Abril 2020. https://us.norton.com/internetsecurity-privacy-data-breaches-what-you-need-to-know.html La Protección de Datos en un mundo cada vez más interconectado y complejo Guillermo Ortiz Pijuan 7 Bygrave 10 identifica una serie de principios centrales sobre los que se asientan todo cuerpo normativo de protección de datos: 1.- La información personal debe de ser recogida a través de medios justos y legales. 2.- La cantidad de datos personales recogidos debe de estar limitada a lo necesario para satisfacer la necesidad por la que se han recogido en primer lugar. 3.- La información personal debe ser recogida por finalidades específicas, legales y legítimas, y no debe de ser procesada de maneras incompatibles con esas finalidades. 4.- El uso y divulgación de información personal solo podrá realizarse para finalidades que ocurran con el consentimiento de la persona o personas a quien o quienes la información personal se refiera; o por la orden de una autoridad. 5.- La información personal debe de ser relevante, precisa y completa en relación a la finalidad para la que los datos se tratan. 6.- Deben tomarse medidas de seguridad con el fin de proteger dichos datos personales de divulgación, destrucción, modificación o uso no autorizados. 7.- Se debe informar a los interesados, además de dar acceso, a la información relativa a qué datos personales tienen terceros, así como a permitir rectificar estos datos si son imprecisos o incorrectos. 8.- Los responsables del tratamiento de la información deben responder del cumplimiento de las medidas que dan efecto a los principios anteriores. La determinación de la jurisdicción y de la ley aplicable no es el único problema al que nos tenemos que enfrentar. Según las Naciones Unidas, solamente el 66% de las naciones del mundo tienen una legislación que regule todo lo relativo a la protección de datos. Un 10 % tienen proyectos de ley relativos a dicha regulación de protección de datos; un 19% no tiene una legislación específica para la protección de datos, o esta se encuentra sin regular; y un 5% de los países del mundo no han aportado información al respecto. A continuación se muestra un mapa en el que se pueden localizar las distintas regulaciones de protección de datos. 10 BYGRAVE, L.A.: Data Protection Law, Approaching its rationale, logic and limits, Kuwer Law International 2009. La Protección de Datos en un mundo cada vez más interconectado y complejo Guillermo Ortiz Pijuan 14 resolución del Programa de Estocolmo 29 cuando el Parlamento Europeo ofreció una postura favorable a la elaboración de una nueva normativa, un régimen general para regular la protección de datos dentro de la Unión Europea. Se precisaba de un marco más amplio, sólido y actualizado a las necesidades y situación de la protección de datos. Se necesitaba fortalecer la seguridad jurídica de los ciudadanos europeos, operadores económicos y autoridades públicas; además de evitar la antes existente fragmentación en la aplicación de la protección de datos en el ámbito personal. El 27 de enero de 2012 la Comisión Europea presentó una Propuesta de Reglamento relativa a la protección de las personas físicas en lo referente al tratamiento de datos personales, así como a la libre circulación de los mismos. Esta propuesta fue objeto de numerosas modificaciones a lo largo de 3 años, hasta que en fecha 15 de diciembre de 2015 el texto fue aprobado por la Comisión de Libertades Civiles, Justicia y Asuntos de Interior del Parlamento Europeo. El texto legal fue finalmente publicado en el Diario Oficial de la Unión Europea 30 el día 4 de mayo de 2016, bajo el nombre de: Reglamento UE 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE. Comúnmente se le denomina por las siglas RGPD o GDPR (por sus siglas en inglés). El ámbito de aplicación material del Reglamento General de Protección de Datos se contiene en el artículo 2, en el cual se recoge que será de aplicación al tratamiento total o parcialmente automatizado de datos personales, así como al tratamiento no automatizado de datos personales contenidos o destinados a ser incluidos en un fichero. Además, se especifican una serie de supuestos al margen del ámbito de aplicación material, concretándose estas exclusiones para: el ejercicio de actividades no comprendidas en el ámbito de aplicación del Derecho de la Unión Europea; a la actividad de las autoridades con fines de prevención, investigación, detección o enjuiciamiento de infracciones penales, o de ejecución de sanciones penales, además de la protección frente a amenazas a la seguridad pública; las actividades de los Estados Miembros comprendidas en el ámbito de aplicación del capítulo 2 del título V del Tratado de Funcionamiento de la UE; y por último, el tratamiento de datos efectuado por una persona física en el ejercicio de actividades exclusivamente personales o domésticas. 29 El Programa de Estocolmo fue un programa que establecía un plan de trabajo para el trabajo de la Unión Europea (UE) en el espacio de libertad, seguridad y justicia para el período 2010-2014. 30 DOUE: L 119, 4.5.2016, p. 1–88 https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:02016R0679-20160504 La Protección de Datos en un mundo cada vez más interconectado y complejo Guillermo Ortiz Pijuan 15 Respecto del ámbito de aplicación territorial, éste se contiene en el siguiente artículo, el 3. Será de aplicación al tratamiento de datos personales en el contexto de las actividades de un establecimiento del responsable o del encargado en la Unión Europea, independientemente de que el tratamiento tenga lugar en la Unión o no. 4.3.- Conflictos de competencia bajo el Reglamento General de Protección de Datos. La coexistencia del artículo 79.2 del GDPR y el artículo 7.2 del Reglamento de Bruselas I bis Al contrario que en la Directiva de Protección de Datos, el Reglamento General de Protección de Datos tiene normas específicas de jurisdicción de los Estados Miembros para adjudicar demandas contra un encargado 31 o responsable 32 de datos que haya lesionado algún derecho de un interesado 33 . Es el artículo 79.2 el que permite que un interesado ejercite una acción en el Estado Miembro donde el responsable o encargado de datos tiene su establecimiento, o alternativamente en el Estado Miembro donde el interesado tiene su residencia habitual. La jurisdicción que dota el Reglamento General de Protección de Datos está limitada ratione materiae a demandas nacidas de derechos protegidos por el propio Reglamento. Solamente va a tener jurisdicción un Estado Miembro si el interesado interpone una demanda donde el Reglamento General de Protección de Datos sea la ley aplicable, y las actividades de tanto el responsable como el encargado deben caer en el alcance territorial del Reglamento. Estos responsables y encargados también deben de cumplir uno de los criterios del artículo 3. El artículo 79.2 dispone que las acciones dirigidas contra encargados o responsables deben dirigirse ante los tribunales del Estado Miembro en el que tengan un establecimiento. Además, 31 Encargado del tratamiento: la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento (artículo 4.8 RGPD). 32 Responsable del tratamiento: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros (artículo 4.7 RGPD). 33 Interesado: persona física identificada o identificable titular de los datos personales. Se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona (artículo 4.1 RGPD). La Protección de Datos en un mundo cada vez más interconectado y complejo Guillermo Ortiz Pijuan 16 existe la posibilidad de ejercitar esas acciones en los tribunales competentes del Estado Miembro donde está el domicilio de la parte actora, siguiendo lo recogido en el Considerando nº 145 del Reglamento General de Protección de Datos. Estas acciones objeto del artículo 82 del Reglamento tienen un carácter “civil-mercantil” 34 , lo que las encuadra dentro del ámbito de aplicación del Reglamento de Bruselas I bis, no estando en los supuestos de exclusión del artículo 1.2. En los casos de responsabilidad extracontractual con perjuicios originados por un tratamiento de datos ilícito según el artículo 82.6 del Reglamento General de Protección de Datos está muy claro que se ejercitan las acciones tal y como se acaban de describir. Cuando ese tratamiento de datos que genera el perjuicio se produzca dentro de una relación extracontractual: la jurisprudencia del Tribunal de Justicia de la Unión Europea establece que una acción de responsabilidad civil de naturaleza extracontractual deberá entenderse incluida en la materia contractual a los efectos del artículo 7 del Reglamento “Bruselas I bis” si el comportamiento recriminado comporta un incumplimiento de las obligaciones contractuales cuando se estudie caso por caso el objeto del contrato 35 . Por lo tanto nos encontramos con una norma que dicta que hay que ejercitar la acción ante el órgano jurisdiccional del lugar donde se haya producido o pueda producirse el hecho dañoso (Reglamento Bruselas I bis), y otra que nos recoge que también existe la posibilidad de demandar en el Estado Miembro donde reside el demandante (Considerando nº 145 del Reglamento General de Protección de Datos). La compatibilidad de las normas del Reglamento de Bruselas I bis y las del artículo 79.2 del Reglamento General de Protección de Datos deriva del artículo 67 del Reglamento de Bruselas I bis, ya que éste recoge que no prejuzgará la aplicación de las disposiciones contenidas en instrumentos particulares (como por ejemplo el artículo 79.2 GDPR). Pero el Considerando nº 147 del RGPD recoge que las normas generales de competencia judicial del Reglamento de Bruselas I bis deben entenderse sin perjuicio de la aplicación de las normas específicas del RGPD. Recordamos que el antes mencionado Considerando nº 145 recoge que el demandante debe tener la opción de ejercitar las acciones en los tribunales de los Estados Miembros. 34 GONZALO DOMENECH, J.J. Algunas cuestiones relevantes de derecho internacional privado del Reglamento General de Protección de Datos, Rev. Boliv. De Derecho Nº 26, julio 2018, pp. 404-437. 35 STJUE de 13 de marzo de 2014, Brogsitter, C-548/12, ECLI:EU:C:2014:148. http://curia.europa.eu/juris/document/document.jsf?text=&docid=149139&pageIndex=0&doclang=es&mode=lst&di r=&occ=first&part=1&cid=10544100 La Protección de Datos en un mundo cada vez más interconectado y complejo Guillermo Ortiz Pijuan 17 La respuesta a la cuestión de la coexistencia de las disposiciones de ambos cuerpos legales la encontramos tras el análisis de cada una de las disposiciones. La jurisdicción del Reglamento Bruselas I bis es más bien general y neutral, recogiendo foros para supuestos generales y no específicos ni concretos; mientras que lo recogido en el RGPD es más específico, más especial. Esta jurisdicción específica indica que ya hay algún tipo de conexión entre el foro y la cuestión jurídica a decidir; están presentes para adecuarse al supuesto concreto (tratamiento ilícito de datos personales que genera una responsabilidad extracontractual). Todo esto determina que el artículo 79.2 GDPR debe prevalecer sobre el artículo 7.2 del Reglamento de Bruselas I bis al ser más específico el primero. Estando esto último claro, vamos a desarrollar lo recogido en el artículo 79.2 RGPD. Éste permite demandar en el Estado Miembro en el que el responsable de datos o encargado del tratamiento de datos tengan su establecimiento. Tal y como dice el autor Juan José Gonzalo Domenech 36 , se debe tener un concepto flexible de “establecimiento”. Esta idea se respalda por la jurisprudencia del TSJUE en casos como Weltimmo 37 , donde se expresa que el concepto de establecimiento debe extenderse a cualquier actividad real y efectiva, aún mínima, ejercida mediante una instalación estable. Debe de tenerse en cuenta también lo que la sentencia comenta: el grado de estabilidad de la instalación como la efectividad del desarrollo de las actividades la naturaleza específica de las actividades económicas y de las prestaciones de servicios en cuestión. En otra sentencia del STJUE, la relativa al caso Amazon EU Sari, se reconoce considerar la existencia de un establecimiento en un Estado Miembro cuando no exista no una filial o sucursal, debiendo valorarse el grado de estabilidad de la instalación y la efectividad del desarrollo de las actividades en ese Estado Miembro. En este caso concreto, se permite considerar a un representante de la sociedad como establecimiento si actúa con un grado de estabilidad suficiente. Como ya se ha tratado antes, el Considerando nº 145 RGPD prevé un foro alternativo que permite a los afectados demandar en los tribunales del Estado donde tengan su residencia habitual. Cabe determinar en qué consiste ese concepto de “residencia habitual”. La STJUE Mercredi 38 recogía 36 GONZALO DOMENECH, J.J. Vid supra, nota 34. 37 STJUE, Weltimmo, C-230/14 ECLI:EU:C:2015:639. http://curia.europa.eu/juris/document/document.jsf?docid=168944&doclang=ES 38 STJUE, Mercredi, C-497/10, ECLI:EU:C:2010:829. http://curia.europa.eu/juris/document/document.jsf?text=&docid=83470&pageIndex=0&doclang=es&mode=lst&dir =&occ=first&part=1&cid=10542825 La Protección de Datos en un mundo cada vez más interconectado y complejo Guillermo Ortiz Pijuan 18 que para considerar esta vía alternativa, es necesario que el afectado tenga un grado de permanencia en el Estado que muestre una situación de estabilidad. 4.4.- Ley aplicable. Relación con los Reglamento de Roma I y II Es fundamental tener en cuenta que cuando analizamos un caso, tenemos que atender a la cláusula contractual correspondiente, la cual posiblemente delimita la ley aplicable. Es frecuente que estas cláusulas (las cuales tienen que atenerse a los criterios del RGPD) establezcan sujeciones a leyes de otros estados, de acuerdo con el Reglamento Roma I. Gonzalo Domenech 39 al explicar estas cláusulas pone de ejemplo las condiciones de Facebook España. Éstas recogen en su artículo 15.2 que cualquier litigio deberá resolverse aplicando las leyes del Estado de California en Estados Unidos, lo cual es acorde con el artículo 3.1 del Reglamento Roma I: “El contrato se regirá por la ley elegida por las partes. Esta elección deberá manifestarse expresamente o resultar de manera inequívoca de los términos del contrato o de las circunstancias del caso. Por esta elección, las partes podrán designar la ley aplicable a la totalidad o solamente a una parte del contrato.” Pero esta cláusula estará limitada por el artículo 6.2 del mismo Reglamento, el cual cita lo siguiente: “No obstante lo dispuesto en el apartado 1, las partes podrán elegir la ley aplicable a un contrato que cumple los requisitos del apartado 1, de conformidad con el artículo 3. Sin embargo, dicha elección no podrá acarrear, para el consumidor, la pérdida de la protección que le proporcionen aquellas disposiciones que no puedan excluirse mediante acuerdo en virtud de la ley que, a falta de elección, habría sido aplicable de conformidad con el apartado 1.” Esto significa que hay una obligación de estipular en el contrato entre las partes que las disposiciones legales que protegen al consumidor siguen siendo de aplicación al ser éste la parte “débil” de la relación contractual. 39 GONZALO DOMENECH, J.J. Vid supra, nota 34. La Protección de Datos en un mundo cada vez más interconectado y complejo Guillermo Ortiz Pijuan 19 La Sentencia del Tribunal de Justicia de la Unión Europea para el caso Amazon EU Sàrl 40 , relativa a un caso procedente del Tribunal Supremo Civil y Penal austriaco entre la compañía Amazon y un particular, determina que: “(…)una cláusula que figura en las condiciones generales que no ha sido negociada individualmente, en virtud de la cual la ley del Estado Miembro del domicilio social de ese profesional rige el contrato celebrado por vía de comercio electrónico con un consumidor, es abusiva en la medida en que induzca a error a dicho consumidor dándole la impresión de que únicamente se aplica al contrato la ley del citado Estado miembro, sin informarle de que le ampara también, en virtud del artículo 6, apartado 2, del Reglamento Roma I, la protección que le garantizan las disposiciones imperativas del Derecho que sería aplicable, de no existir esa cláusula, extremo que debe comprobar el órgano jurisdiccional nacional a la luz de todas las circunstancias pertinentes”. En la práctica cuesta encontrar ejemplos que nos establezcan cual es la base jurídica para determinar la ley aplicable a cada caso en el ámbito de la protección de datos. Esto se debe a que importantes sentencias en el ámbito de la protección de datos no hacen demasiada referencia a estos aspectos. Por ejemplo, la conocida sentencia del Tribunal de Justicia de la Unión Europea para el caso Google Spain 41 no se refirió en ningún momento a los Reglamentos de Roma I y II, ni a la relación que tenían estos con el ya derogado artículo 4 de la Directiva de Protección de Datos. Podemos encontrar referencia a estos aspectos en jurisprudencia de otros estados miembros, concretamente Alemania, donde la sentencia una sentencia de un Tribunal de Schleswig-Holstein 42 (relativa a un supuesto de determinación de ley de protección de datos aplicable a un contrato de términos y servicios de Facebook) determinó que era de aplicación la ley de protección de datos del Estado Miembro donde se establece la filial europea encargada del tratamiento de datos (en el caso, Irlanda), y no la del Estado Miembro donde se establece la filial encargada de los servicios publicitarios (en el caso, Alemania). 40 STJUE de 28 de julio de 2016, Amazon EU Sàrl, C-191/15, EU:C:2016:612. http://curia.europa.eu/juris/document/document.jsf?text=&docid=182286&pageIndex=0&doclang=es&mode=lst&di r=&occ=first&part=1&cid=10542912 41 STJUE de 20 de junio de 2014, Google Spain, C-131/12. http://curia.europa.eu/juris/document/document.jsf?docid=152065&doclang=ES 42 VG Schleswig-Holstein, Beschluss vom 14.02.2013, Az. 8 B 60/12. https://www.datenschutzzentrum.de/uploads/facebook/Facebook-Ireland-vs-ULD-Beschluss.pdf La Protección de Datos en un mundo cada vez más interconectado y complejo Guillermo Ortiz Pijuan 20 Para las disputas englobadas en la responsabilidad extracontractual, debemos atender a un texto legal diferente previsto para estos casos: el Reglamento Roma II. Antes de entrar más en el fondo de este texto, debemos atender a su artículo 1.2g, el cual excluye de su aplicación “las obligaciones extracontractuales que se deriven de la violación de la intimidad o de los derechos relacionados con la personalidad”. Esto significa que van a estar excluidas de esta norma cualquier vulneración de los derechos protegidos por la normativa de protección de datos consecuencia del tratamiento de datos de un encargado o responsable. La manera a proceder en estos casos es atender a normas autónomas como es el artículo 10.9 del Código Civil español: “Las obligaciones no contractuales se regirán por la ley del lugar donde hubiere ocurrido el hecho de que deriven (…)”. A esta norma se le denomina lex loci delicti commissi, y puede resultar sencilla su aplicación para casos en los que los elementos constitutivos de acto y resultado están en el mismo Estado. La problemática surge cuando entramos en el ámbito del Derecho de la Protección de Datos, donde es más que frecuente que estos elementos constitutivos están en lugares distintos 43 . Para dar salida a esta problemática debemos atender a las dos posibilidades que nos presenta el citado artículo 10.9 CC: aplicar la ley del lugar donde se produce el daño para la victima (denominada lex loci damni), o aplicar la ley del lugar en el que efectivamente se produce el hecho o acto del que deriva la responsabilidad (denominada lex loci actus). Respecto de esta segunda opción, la lex loci actus, debemos tener en cuenta que en la mayoría de los casos el hecho ilícito deriva de una cadena de ilícitos desarrollada a través de varios Estados. “El tratamiento automatizado de datos personales se rige por la ley del Estado en cuyo territorio tiene lugar dicho tratamiento de datos que ha provocado el daño” 44 . Por lo tanto, para que se pudiese aplicar la ley española en un caso, se precisaría que el responsable del fichero de datos tenga su domicilio fuera de la UE y el tratamiento de datos se realice en España. En relación a la lex loci damni, “debe rechazarse que cualquier lugar de recepción de los contenidos o la información transmitidos por Internet sea por esa simple circunstancia lugar del daño 45 ”. Esto se justifica por el hecho de que ese acto no suele generar un daño real a la víctima, además de que si se 43 DE MIGUEL ASENSIO, P.A.: Derecho Privado de Internet, Civitas, Madrid, 8ª Edición , 2015. 44 ORTEGA GIMENEZ, A.: La (des)Protección del Titular del Derecho a la Protección de Datos Derivada de una Transferencia Internacional Ilícita, AEPD, Madrid, 2015, p.143. 45 GONZALO DOMENECH, J.J. Vid supra, nota 34. La Protección de Datos en un mundo cada vez más interconectado y complejo Guillermo Ortiz Pijuan 21 aplicase la ley de cada sitio donde se ha manifestado, favoreceríamos una fragmentación normativa excesiva. 4.5.- Las transferencias internacionales de datos y las cross-border situations Podemos definir una trasferencia internacional de datos como un tratamiento de datos que suponga una transmisión de los mismos fuera del territorio del Espacio Económico Europeo, bien constituya una cesión o comunicación de datos, bien tenga por objeto la realización de un tratamiento de datos por cuenta del responsable del fichero establecido en España. A la hora de tratar este concepto introducido en el Reglamento General de Protección de Datos, debemos atender a la reciente jurisprudencia del Tribunal de Justicia de la Unión Europea, ya que ésta ha sido de especial trascendencia y ha tenido una importante incidencia en el RGPD. La STJUE de 6 de octubre de 2015, asunto C-362/14, estima que la existencia de una decisión de la Comisión que declara a un país tercero con un nivel de protección adecuado de los datos personales transferidos no puede dejar sin efecto ni limitar las facultades de las que disponen las autoridades nacionales de control. La cuestión a tratar a continuación es qué situaciones derivadas de una transferencia internacional de datos se encuentran dentro del alcance del Reglamento General de Protección de Datos. La autora Anni-Maria Taka 46 habla de cross-border situations para referirse a estos casos. El artículo 3 del Reglamento es de aplicación en principio cuando el responsable o encargado de tratamiento de datos no están presentes en la Unión Europea y el interesado está presente físicamente en la Unión. Pero no para todos los casos, ya que el segundo punto del artículo 3 especifica que el RGPD será de aplicación para actividades de tratamiento relacionadas con: la oferta de bienes o servicios a dichos interesados en la Unión, o el control de su comportamiento, en la medida en que este tenga lugar en la Unión. Esto es desarrollado por el Considerando nº 23 del RGPD: “Con el fin de garantizar que las personas físicas no se vean privadas de la protección a la que tienen derecho en virtud del presente Reglamento, el tratamiento de datos personales de interesados que residen en la Unión por un responsable o un encargado no establecido 46 TAKA, A.M.: Cross-Border Application of EU’s General Data Protection Regulation – A Private International Law study on Third State Implications, Uppsala University, Master’s Thesis in Private International Law and EU Law, 2017. http://www.diva-portal.org/smash/get/diva2:1127596/FULLTEXT01.pdf La Protección de Datos en un mundo cada vez más interconectado y complejo Guillermo Ortiz Pijuan 22 en la Unión debe regirse por el presente Reglamento si las actividades de tratamiento se refieren a la oferta de bienes o servicios a dichos interesados, independientemente de que medie pago. Para determinar si dicho responsable o encargado ofrece bienes o servicios a interesados que residan en la Unión, debe determinarse si es evidente que el responsable o el encargado proyecta ofrecer servicios a interesados en uno o varios de los Estados miembros de la Unión. Si bien la mera accesibilidad del sitio web del responsable o encargado o de un intermediario en la Unión, de una dirección de correo electrónico u otros datos de contacto, o el uso de una lengua generalmente utilizada en el tercer país donde resida el responsable del tratamiento, no basta para determinar dicha intención, hay factores, como el uso de una lengua o una moneda utilizada generalmente en uno o varios Estados miembros con la posibilidad de encargar bienes y servicios en esa otra lengua, o la mención de clientes o usuarios que residen en la Unión, que pueden revelar que el responsable del tratamiento proyecta ofrecer bienes o servicios a interesados en la Unión.” La Protección de Datos en un mundo cada vez más interconectado y complejo Guillermo Ortiz Pijuan 23 5.- Conclusión El rápido desarrollo de la tecnología provoca que nuestra sociedad necesariamente evolucione y se adapte a los nuevos escenarios que se presentan. Tal y como y como dice Tobias Lutzi 47 , la comunicación a través de Internet se caracteriza por su: ubicuidad, así como por su virtualidad. Esto significa que cada caso es conducido a una multiplicación de conexiones en distintos lugares físicos. Da la sensación de que en el ámbito tecnológico, el Derecho va un paso por detrás, tratando de remediar problemas que existían ayer, para que pasado mañana se encuentre con nuevos. Es inevitable esta situación, ya que los procesos legislativos requieren de mucho tiempo para que se lleven a cabo de la manera adecuada. En este sentido, podemos considerar que el Reglamento General de Protección de Datos ha supuesto un gran paso para la Unión Europea, actualizando esos nuevos escenarios, dando un nuevo nivel de protección a la ciudadanía y coordinando el funcionamiento de la protección de datos a nivel europeo. La alternativa que brinda el RGPD al interesado para ejercitar acciones directamente contra el responsable o encargado de tratamiento de datos en el Estado Miembro en el que tenga su residencia habitual, ha permitido reforzar y darle poder al interesado para tener más control sobre sus derechos. 47 LUTZI, T.: Internet Cases in EU Private International Law Developing a Coherent Approach, International & Comparative Law Quarterly, 2017