Repositorio Institucional de Documentos

Trabajo Fin de Grado La vulneración del derecho fundamental a la protección de datos personales en el artículo 58 bis de la LOREG. Análisis de la Sentencia del Tribunal Constitucional 76/2019 Autora Ana Aguas Blasco Directora Eva Sáenz Royo Facultad de Derecho 2020 2 ÍNDICE LISTADO DE ABREVIATURAS UTILIZADAS.......................................PÁGINA 3 I. INTRODUCCIÓN.......................................................................................PÁGINA 4 1. CUESTIÓN TRATADA EN EL TRABAJO FIN DE GRADO...................PÁGINA 4 2. RAZÓN DE LA ELECCIÓN DEL TEMA Y JUSTIFICACIÓN DE SU INTERÉS...........................................................................................................PÁGINA 5 3. METODOLOGÍA SEGUIDA EN EL DESARROLLO DEL TRABAJO.........................................................................................................PÁGINA 6 II. EL DERECHO FUNDAMENTAL A LA PROTECCIÓN DE DATOS PERSONALES................................................................................................PÁGINA 7 1. CONCEPTO..................................................................................................PÁGINA 7 2. REGULACIÓN.............................................................................................PÁGINA 9 III. ANÁLISIS DE LA SENTENCIA DEL TRIBUNAL CONSTITUCIONAL 76/2019, DE 22 DE MAYO DE 2019...........................................................PÁGINA 11 1. ANTECEDENTES......................................................................................PÁGINA 12 2. FUNDAMENTOS JURÍDICOS.................................................................PÁGINA 18 IV. ANÁLISIS DE LA SENTENCIA A PARTIR DE DIFERENTES COSIDERACIONES DOCTRINALES......................................................PÁGINA 24 V. CONCLUSIÓN Y VALORACIÓN PERSONAL.................................PÁGINA 28 BIBLIOGRAFÍA..........................................................................................PÁGINA 32 JURISPRUDENCIA.....................................................................................PÁGINA 33 LEGISLACIÓN............................................................................................PÁGINA 34 3 LISTADO DE ABREVIATURAS UTILIZADAS AEPD art./arts. CDFUE CE coord. et. al. ex. Ibíd. LOPD LOPDGDD LOREG LORTAD núm. p./pp. cit. RGPD STC TFUE Vid. Agencia Española de Protección de Datos Artículo/artículos Carta de los Derechos Fundamentales de la Unión Europea Constitución Española Coordinador Y otros En virtud de Obra citada inmediatamente antes Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales Ley Orgánica 5/1985, de 19 de junio, del Régimen Electoral General Ley Orgánica 5/1992, de 29 de octubre, de regulación del tratamiento automatizado de los datos de carácter personal Número Página/páginas Obra citada Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos Sentencia del Tribunal Constitucional Tratado de Funcionamiento de la Unión Europea Véase 4 I. INTRODUCCIÓN 1. CUESTIÓN TRATADA EN EL TRABAJO FIN DE GRADO Los nuevos medios tecnológicos y, especialmente, el auge experimentado por las redes sociales en los últimos años han supuesto una revolución para la sociedad, pues ello ha transformado la manera en la que las personas se comunican, interactúan y ejercen su libertad de expresión y de información, además de potenciar todavía más los efectos de la globalización en estos ámbitos, ya que la gran red de Internet no conoce de fronteras, lo que permite mayor flujo de relaciones entre estados y ciudadanos y la conformación de percepciones globales 1 . De hecho, de acuerdo con el Global Digital Report (2018) 2 , de los siete mil seiscientos millones de habitantes que hay en el mundo, cuatro mil millones, aproximadamente, son usuarios de Internet, lo que supone un 53% de la población total, y tres mil doscientos millones son usuarios activos de medios sociales, es decir, un 42% de la población. Datos que constatan la importancia que Internet y las redes sociales tienen en todas las esferas de nuestras vidas, que, además, no tendrán otra tendencia sino a aumentar todavía más y crear nuevos espacios. Así, como no podía ser de otra manera, ese intercambio de opiniones, esos cambios en la comunicación y en la forma de informarse han alcanzado al debate político, que se ha trasladado a la red, y, con ello, los partidos políticos han visto la necesidad de adaptarse a esta transformación digital, modificando el modo convencional de hacer campaña, de llegar a los ciudadanos e, incluso, de captar sus votos. Consecuentemente, ello ha desembocado en la necesidad de adecuar la normativa europea a los nuevos tiempos, lo que va acompañado de la correspondiente acomodación de las legislaciones de los Estados Miembros. Fruto de ello se desarrollaron el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo 1 EUROPEAN COMMISSION FOR DEMOCRACY THROUGH LAW (VENICE COMMISSION), Joint Report of The Venice Commission and of the Directorate of Information Society and Action Against Crime of the Directorate General of Human Rights and Rule Of Law (DGI) on Digital Technologies and Elections, Estrasburgo, 24 de junio de 2019 [Consultado 2 de junio de 2020]. Disponible en: http://www.cepc.gob.es/docs/default-source/comisionveneciadoc/cdl-ad(2019)016-e.pdf?sfvrsn=0 2 KEMPT, SIMON, Global Digital Report [We are social], 30 de enero de 2018 [Consultado 2 de junio de 2020]. Disponible en: https://wearesocial.com/blog/2018/01/global-digital-report-2018 5 que respecta al tratamiento de datos personales y a la libre circulación de estos datos, en el marco europeo, y la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, en el marco legislativo español, conllevando esta última la inclusión de un nuevo artículo 58 bis en la Ley Orgánica 5/1985, de 19 de junio, del Régimen Electoral General, que permitía la recopilación por parte de los partidos políticos de opiniones expresadas por los ciudadanos en la web. La incorporación de este nuevo artículo no quedó fuera de debates, controversias y escepticismos 3 , entendiéndose como un posible ataque al derecho fundamental de protección de datos personales, que llevó, finalmente, a la interposición de recurso de inconstitucionalidad por parte del Defensor del Pueblo. En ello se centra este Trabajo Fin de Grado (TFG), que analiza la Sentencia del Tribunal Constitucional con la que culminó el proceso iniciado por el Defensor del Pueblo y aporta, también, una opinión al respecto fundada en las argumentaciones esgrimidas por la doctrina. 2. RAZÓN DE LA ELECCIÓN DEL TEMA Y JUSTIFICACIÓN DE SU INTERÉS La razón principal que me llevó a elegir este tema en concreto fue mi constante interés por el Derecho Constitucional en general, pero, sobre todo, por los Derechos Fundamentales. Por otro lado, la expansión tecnológica en la que estamos inmersos desde hace algún tiempo también me despierta gran curiosidad e inquietud y, tanto en mi condición de estudiante de Derecho como en la de ciudadana, me resulta esencial conocer cómo se utilizan los datos que nosotros mismos depositamos en Internet –incluso, en ocasiones, sin darnos cuenta– para fines que ignoramos y cómo se deben proteger nuestros derechos correctamente para evitar situaciones totalmente indeseables. Pienso, igualmente, que este interés se extiende a toda la ciudadanía, porque, hoy en día, no hay nada más cotidiano y rutinario que el uso de la red, así que es de vital importancia estar bien protegidos por el Derecho. 3 SÁNCHEZ, J. M., Cómo evitar que los partidos recopilen tus datos para mandarte «spam» político, en ABC, Madrid, 7 de diciembre de 2018 [Consultado 2 de junio de 2020]. Disponible en: https://www.abc.es/tecnologia/consultorio/abci-como-evitar-partidos-recopilen-datos-para-mandartespam-politico-201812071247_noticia.html?ref=https:%2F%2Fwww.google.com%2F 6 3. METODOLOGÍA SEGUIDA EN EL DESARROLLO DEL TRABAJO En este Trabajo se analiza la Sentencia del Tribunal Constitucional 76/2019 que resuelve el proceso iniciado por el Defensor del Pueblo contra el artículo 58 bis de la Ley Orgánica del Régimen Electoral General. La metodología seguida para su elaboración ha estado marcada por una búsqueda precisa de la jurisprudencia que acota el derecho fundamental a la protección de datos personales, para poder comprender el fondo de la cuestión, así como por una minuciosa lectura de la Sentencia objeto de estudio, en orden a poder conceptualizar correctamente sus antecedentes y fundamentos. También he navegado por diferentes bases de datos con el objetivo de encontrar la doctrina que me proporcionara la base en la que apoyarme para estudiar la Sentencia y conformar mi propia opinión, adecuadamente fundada en las valoraciones de los expertos. De este modo, este TFG se ha estructurado como sigue. En primer lugar, se delimita conceptualmente el derecho fundamental a la protección de datos personales que protege la Constitución Española, haciendo un recorrido por la jurisprudencia que lo enmarca y matiza, así como por la regulación que lo desarrolla. A continuación, se analiza el contenido de la citada Sentencia 76/2019, sintetizando los antecedentes que motivaron la causa y la fundamentación jurídica desarrollada por el Tribunal Constitucional para dilucidar el conflicto y ponerle fin. Después se analiza nuevamente la Sentencia, pero a través de las diferentes consideraciones doctrinales. Por último, se establecen las conclusiones a las que lleva todo el trabajo previo y aporto mi valoración y opinión personal en relación a lo estudiado. 7 II. EL DERECHO FUNDAMENTAL A LA PROTECCIÓN DE DATOS PERSONALES 1. CONCEPTO El derecho fundamental a la protección de datos personales encuentra su definición en el artículo 18.4 de la Constitución Española de 1978 (en adelante, CE), que establece: «La ley limitará el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos y el pleno ejercicio de sus derechos». El mencionado artículo está inserto en el Título Primero («De los derechos y deberes fundamentales»), Capítulo II («Derechos y libertades»), Sección 1ª («De los derechos fundamentales y de las libertades públicas») de la Constitución, y es por ello, precisamente, que se trata de un derecho fundamental. Así, se debe conectar este derecho –al igual que el resto de derechos fundamentales– con el artículo 53.1 CE, que establece el principio de reserva de ley y el necesario respeto al contenido esencial del derecho, garantías inquebrantables de esta categoría de derechos que la distinguen del resto de derechos que no son fundamentales. El artículo 18.4 es el encargado de «dotar a las personas de la cobertura jurídica necesaria frente al peligro que supone la informática para la intimidad», lo cual se debe garantizar por Ley y para « […] el pleno ejercicio de sus derechos», es decir, que también quedan bajo esta protección otros derechos y libertades 4 . No obstante, la Jurisprudencia del Tribunal Constitucional ha ido perfilando en sus pronunciamientos el sentido y alcance del artículo 18.4 CE, interpretando, finalmente, que el derecho a la protección de los datos frente al uso de la informática es un derecho autónomo e independiente, como se desprende de la Sentencia del Tribunal Constitucional 254/1993, de 20 de julio de 1993, en su fundamento jurídico 6: «estamos ante un instituto de garantía de otros derechos, fundamentalmente el honor y la intimidad, pero también de un instituto que es, en sí mismo, un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos, lo que la 4 TEJERINA RODRÍGUEZ, O., Protección de datos y seguridad de Estado [Tesis Doctoral] Universidad Complutense de Madrid, Madrid (2012), p. 51 [Consultado 2 de abril de 2020]. Disponible en: http://eprints.ucm.es.cuarzo.unizar.es:9090/30768/1/T36145.pdf 8 Constitución llama “la informática”» 5 . Además, esta Sentencia también se encarga de aclarar que el derecho de control sobre los datos relativos a la propia persona y las facultades de información relativas al conocimiento de existencia, fines y responsables de ficheros automatizados donde figuran datos personales de un ciudadano son fundamentales «para que los intereses protegidos por el art. 18 CE resulten real y efectivamente protegidos» y «forman parte del contenido del derecho a la intimidad, que vincula directamente a todos los poderes públicos, y ha de ser salvaguardado por este Tribunal, haya sido o no desarrollado legislativamente» (fundamento jurídico 7) 6 . También la Sentencia del Tribunal Constitucional 290/2000, de 30 de noviembre de 2000, acota el derecho fundamental contenido en el artículo 18.4 CE estipulando que este garantiza a las personas poder de control y disposición sobre sus datos personales, incluyendo el derecho a consentir la recogida y uso de los datos, el derecho a ser informado sobre la posesión y finalidad de tales datos, así como el derecho a oponerse, siendo estos elementos esenciales para hacer efectivo el contenido del derecho (fundamento jurídico 7). Además, el fundamento jurídico 11 subraya claramente que el bien jurídico constitucionalmente relevante, protegido por el artículo, es «la protección de los datos de carácter personal frente a un tratamiento informático que pueda lesionar ciertos derechos fundamentales de los ciudadanos o afectar al pleno ejercicio de sus derechos» 7 . Por último, y en la misma línea, la Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre de 2000, que añade, además, que el objeto de protección del derecho fundamental a la protección de datos abarca cualquier tipo de dato de carácter personal cuyo conocimiento o uso por terceros pueda afectar a sus derechos, y no solo los datos relativos a la vida privada o íntima, es decir, «todos aquellos que identifiquen o permitan la identificación de la persona, pudiendo servir para la confección de su perfil ideológico, racial, sexual, económico o de cualquier otra índole, o que sirvan para 5 Sentencia del Tribunal Constitucional 254/1993, de 20 de julio de 1993 (BOE núm. 197, de 18 de agosto de 1993) [ECLI:ES:TC:1993:254]. 6 STC 254/1993, cit. 7 Sentencia del Tribunal Constitucional 290/2000, de 30 de noviembre de 2000 (BOE núm. 4, de 04 de enero de 2001) [ECLI:ES:TC:2000:290]. 9 cualquier otra utilidad que en determinadas circunstancias constituya una amenaza para el individuo» (fundamento jurídico 6) 8 . En conclusión, el artículo 18.4 CE contiene el derecho fundamental a la protección de datos personales que puedan crear un perfil de cualquier índole sobre la persona y, por ello, afectar a sus derechos, y se deben establecer siempre unas garantías adecuadas con respecto al poder de control, disposición y oposición de la persona sobre dichos datos para evitar que su uso invada la vida privada de la persona a través de su tratamiento informático. 2. REGULACIÓN Una vez delimitado y explicado el concepto del derecho fundamental a la protección de datos personales, es interesante realizar un breve recorrido por su desarrollo normativo, puesto que no son pocas las referencias a este derecho tanto en el plano estatal como en el comunitario e internacional. En primer lugar, la configuración del desarrollo del derecho se encuentra, conjuntamente, en el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos 9 (también conocido como Reglamento General de Protección de Datos, en adelante, RGPD), y por el que se deroga la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, así como en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), que sustituye a la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD), que a su vez derogó a la primera ley orgánica en esta materia, la Ley Orgánica 5/1992, de 29 de octubre, de regulación del tratamiento automatizado de los datos de carácter personal (LORTAD). 8 Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre de 2000 (BOE núm. 4, de 04 de enero de 2001) [ECLI:ES:TC:2000:292]. 9 Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (DOUE L 119/1 de 4 de mayo de 2016). 16 En suma, añade que tampoco es posible conocer con exactitud quiénes son los sujetos legitimados para efectuar la recopilación de datos a la que autoriza el artículo, ya que este no especifica si también otros sujetos que actúan en el proceso electoral respaldados por la LOREG (federaciones, coaliciones y agrupaciones de electores) 25 están asimismo autorizados. De igual manera, no queda establecido en el artículo si los datos recopilados pueden ser comunicados o transferidos a terceros o si, por el contrario, queda prohibido, ni tampoco se aclara de qué fuentes pueden ser obtenidos. Por último, no se olvida de remarcar que, si todo ello ya supone dificultad para el operador jurídico, mayores dificultades tendrán que soportar los titulares de los datos, puesto que ni el artículo ni la normativa que lo acompaña fijan los poderes de disposición y control a los que deberían tener acceso. El Pleno del Tribunal Constitucional admitió a trámite el recurso de inconstitucionalidad el doce de marzo de 2019 y, consecuentemente, dio traslado de la demanda y los documentos presentados al Congreso de los Diputados, al Senado y al Gobierno, para que, en el plazo de quince días, pudieran personarse en el proceso y formular alegaciones. Así, el Abogado del Estado se personó en el proceso y, tras una prórroga de ocho días que le fue concedida, el diez de abril de 2019 presentó su escrito de alegaciones, en el que solicitó la desestimación íntegra del recurso, motivada en los argumentos siguientes. En primer lugar, decide comenzar a responder la demanda por la última imputación de inconstitucionalidad que presentó el Defensor del Pueblo, esto es, la que concierne a la vulneración del principio de seguridad jurídica del art. 9.3 CE, a razón de que, de no producirse tal vulneración, el requisito de exigencia de las «garantías adecuadas» se vería cumplido y, por consiguiente, el resto de alegaciones aportadas por el Defensor del Pueblo decaerían. Para ello acude a la Circular 1/2019, de 7 de marzo, de la AEPD, que entendió que las garantías adecuadas constan tanto en la literalidad del precepto impugnado, como en la 25 El apartado 1 del artículo 44 de la LOREG reconoce que: «Pueden presentar candidatos o listas de candidatos: a) Los partidos y federaciones inscritos en el registro correspondiente. b) Las coaliciones constituidas según lo dispuesto en el apartado siguiente. c) Las agrupaciones de electores que reúnan los requisitos establecidos por las disposiciones especiales de la presente Ley». 17 motivación de la enmienda de incorporación del artículo –de la que se deduce que el soporte jurídico de los límites de la recopilación de datos es el considerando 56 del RGPD– y, de forma supletoria, en la LOPDGDD. También en este documento se entiende –dice el Abogado del Estado– que el objetivo del precepto es «acabar con la desregulación previa de la recopilación por los partidos políticos de datos relativos a las opiniones políticas» y evitar la repetición de sucesos ya acaecidos en esta esfera. Además, las inconcreciones a las que refería el Defensor del Pueblo respecto de conceptos fundamentales del artículo no tienen cabida, pues el interés público está fundamentado en el mejor desarrollo de los procesos electorales, la recopilación de tales datos se limita al periodo electoral estricto y únicamente están habilitados los partidos políticos, y no ninguna otra organización. Por todo ello, concluye que la afirmación de que el artículo no establece un mínimo de garantías adecuadas no es correcta. En última instancia, tanto la mencionada Circular, como el Informe Jurídico 210070/2018 del Gabinete Jurídico de la AEPD que la precedió, aclaran que el precepto debe ser interpretado y aplicado en el ámbito del RGPD, de aplicación directa, y de la LOPDGDD, de aplicación supletoria, quedando así completo el establecimiento de las garantías adecuadas y siendo, por ello, totalmente constitucional la disposición impugnada. Por último, el Abogado del Estado termina su razonamiento explicando que el resto de los argumentos aportados por el Defensor del Pueblo en su demanda decaen en virtud de las alegaciones expuestas anteriormente. De esta manera, la impugnación de que se está produciendo un ataque al art. 18.4 CE en conexión con el art. 53.1 por la falta de precisión de las garantías adecuadas pierde su sentido al estar estas establecidas en el RGPD y la LOPDGDD. Tampoco se vulnera la libertad ideológica del art. 16 CE, ya que no se está obligando a que las personas manifiesten su opinión política, ni el tratamiento de las mismas puede ser utilizado para fin distinto del que motivó su expresión. Finalmente, bajo ningún concepto, apunta, hay vulneración del derecho a la participación política protegido por el art. 23 CE, ya que lo que persigue el precepto 18 impugnado es, justamente, el pluralismo político y el correcto funcionamiento del sistema democrático, lo que se consigue gracias a que la posibilidad de conocer las opiniones de los electores permite a los partidos políticos elaborar las estrategias electorales adecuadas. 2. FUNDAMENTOS JURÍDICOS En esta sección se analizan las argumentaciones jurídicas desarrolladas por el Tribunal Constitucional para el esclarecimiento de la cuestión. En primer lugar, el Tribunal comienza por identificar el núcleo de la controversia, concluyendo que la impugnación central es la relativa al art. 18.4 CE en conexión con el 53.1, también de la Constitución, siendo las demás impugnaciones complementarias a esta. Esto es, las referidas a las infracciones del derecho a la libertad ideológica del art. 16 CE, del derecho a la participación política del art. 23 CE y del principio de seguridad jurídica del art. 9.3 CE. Puesto que el apartado 1 del art. 58 bis de la LOREG no limita adecuadamente sus extremos relativos al interés genérico, las garantías adecuadas y las restricciones en el tratamiento de los datos personales, «el precepto impugnado habría incurrido en una doble y simultánea vulneración ex. art. 18.4 CE unida al 53.1 CE». Así, asume el Tribunal Constitucional en el fundamento jurídico 2 de su Sentencia, objeto de este análisis, que el apartado 1 del art. 58 bis de la LOREG «constituye una injerencia en el derecho fundamental a la protección de datos personales garantizado por el art. 18.4 CE». El Tribunal también se preocupa por delimitar el marco jurídico que regula el tratamiento de datos personales relativos a las opiniones políticas, conformado por dos disposiciones legales ya mencionadas en distintas ocasiones: el RGPD y la LOPDGDD. Así, el considerando 10 del RGPD deja en manos de los Estados Miembros la especificación de sus normas, «inclusive para el tratamiento de categorías especiales de datos personales». Esto se traduce, en definitiva, en que los Estados Miembros tienen la obligación concreta de establecer, si se habilita el tratamiento de aquellos datos, el interés público esencial y la proporcionalidad del tratamiento al fin perseguido. Además, el considerando 56 dispone, con total claridad, que si se autoriza el tratamiento se deben ofrecer las garantías adecuadas. 19 Prosiguiendo, en el fundamento jurídico 5, el Tribunal expone la «doble singularidad» del artículo impugnado relativa, por un lado, a los sujetos habilitados, puesto que los partidos políticos son, como bien refleja el art. 6 CE 26 , un instrumento fundamental para la participación política, y, por otro lado, al objeto de la habilitación, ya que los datos personales relativos a las opiniones políticas forman parte de una categoría de datos especialmente sensibles. Teniendo esto presente, continúa precisando los parámetros del contenido de la impugnación central, esto es, la vulneración del art. 18.4 CE en conexión con el art. 53.1 CE. El contenido del derecho fundamental a la protección de datos del art. 18.4 CE comprende el poder de disposición y control sobre los datos personales, según el cual la persona puede decidir qué datos proporcionar o se pueden recabar y quién los posee y con qué finalidad, así como el derecho de oposición a tales actuaciones. En suma, este derecho fundamental tiene una «doble perspectiva, como derecho fundamental autónomo dirigido a controlar el flujo de informaciones que concierne a cada persona, y como derecho fundamental instrumental ordenado a la protección del también derecho fundamental a la libertad ideológica» (fundamento jurídico 5, apartado b), es decir, la que consagra el art. 16 CE. Por otro lado, el derecho a la protección de datos personales no tiene carácter absoluto, sino que puede ser restringido por ley, siempre y cuando tal restricción se deba al interés general y aquella establezca adecuada y proporcionalmente los límites. Sobre estos límites cabe precisar que «las injerencias en derechos fundamentales deben responder a un fin constitucionalmente legítimo o encaminarse a la protección […] de un bien constitucionalmente relevante», injerencia que está sometida a la reserva de ley 27 . A este respecto, las restricciones que las leyes hagan en los derechos fundamentales deben ser precisas y acompañadas de exigencias de previsibilidad y certeza, a fin de evitar indeterminaciones que terminen por socavar la garantía que la ley otorga a esos 26 Artículo 6 CE: «Los partidos políticos expresan el pluralismo político, concurren a la formación y manifestación de la voluntad popular y son instrumento fundamental para la participación política. Su creación y el ejercicio de su actividad son libres dentro del respeto a la Constitución y a la ley. Su estructura interna y funcionamiento deberán ser democráticos». 27 Vid. fundamento jurídico 4 de la Sentencia del Tribunal Constitucional 44/1999, de 22 de marzo de 1999 (BOE núm. 100, de 27 de abril de 1999) [ECLI:ES:TC:1999:44]. 20 derechos. Consecuentemente, la falta de aquellas exigencias supone la vulneración del principio de seguridad jurídica del art. 9.3 CE, así como la lesión en el contenido esencial del derecho restringido. A continuación, el fundamento jurídico 6 se dedica a precisar la naturaleza y el alcance del requisito constitucional de establecer las garantías adecuadas, tanto en el plano técnico como en el organizativo y procedimental, en orden de prevenir atentados al contenido esencial del derecho fundamental. Para responder a la pregunta de por qué son necesarias las mencionadas garantías, el Tribunal Constitucional acude al fundamento jurídico 10 de su Sentencia 292/2000 –el cual ya fue invocado por el Defensor del Pueblo en sus alegaciones–. De él se concluye que las garantías adecuadas se necesitan para «fundamentar la validez constitucional de una regulación del tratamiento de datos personales» y para que los intereses que protege el derecho «resulten real, concreta y efectivamente protegidos». Asimismo, porque su falta supone una injerencia en el derecho fundamental y, en definitiva, porque se necesitan para garantizar el respeto a su contenido fundamental. Esta misma línea es la que sostiene también la jurisprudencia del Tribunal de Justicia de la Unión Europea, que declaró la invalidez de la Directiva 2006/24/CE del Parlamento Europeo y del Consejo, de 15 de marzo de 2006, sobre la conservación de datos generados o tratados en relación con la prestación de servicios de comunicaciones electrónicas de acceso público o de redes públicas de comunicaciones y por la que se modifica la Directiva 2002/58/CE 28 , ante la falta de precisión en el alcance de la injerencia en los derechos fundamentales de los arts. 7 y 8 de la CDFUE y de garantías suficientes en la protección de los datos. A su vez, se recalca que los datos personales relativos a las opiniones políticas forman parte de la categoría de datos especialmente sensibles, por lo que exigen una especial protección, en definitiva, garantías apropiadas 29 , lo cual reconoce, de igual modo, la AEPD en su Circular 1/2019. 28 Directiva 2006/24/CE del Parlamento Europeo y del Consejo, de 15 de marzo de 2006, sobre la conservación de datos generados o tratados en relación con la prestación de servicios de comunicaciones electrónicas de acceso público o de redes públicas de comunicaciones y por la que se modifica la Directiva 2002/58/CE (DOUE núm. 105, de 13 de abril de 2006). 29 Vid. artículo 6 del Convenio para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, cit. 21 En definitiva, la especial condición de estos datos requiere de una protección superior, adecuada y específica, y así es reconocido tanto constitucional como comunitariamente. Una vez llegado a este punto, el Tribunal dedica los fundamentos jurídicos 7 y 8 al enjuiciamiento de las tres tachas de inconstitucionalidad que reúne la impugnación central (las cuales se han ido tratando a lo largo de todo el análisis y se reproducen nuevamente a continuación con el único propósito de aportar claridad): i. La disposición legal impugnada no determina el interés público esencial que justificaría el tratamiento de datos personales que revelen opiniones políticas, haciendo únicamente mención al interés público. ii. No limita el tratamiento, pues no establece las restricciones al derecho fundamental de forma pormenorizada. iii. No establece las garantías adecuadas para proteger los derechos fundamentales afectados. Con respecto a la primera tacha, ni la enmienda de adición del precepto ni tampoco el RGPD identifican ese interés público esencial que se requiere. Para responder a tal falta se invoca de nuevo la jurisprudencia que se estableció en la STC 292/2000, y que se traslada a este caso concreto, concluyendo que el interés público no puede ser genérico, siendo el legislador quien debe determinarlo y limitarlo explícitamente, por la competencia que le confiere el art. 53.1 CE. Tampoco se acepta la justificación aportada por el Abogado del Estado, según la cual la finalidad perseguida, y por la que quedaría justificado el interés público esencial, es el mejor funcionamiento del sistema democrático, ya que también conlleva a una gran incertidumbre y continúa siendo imprecisa. Finalmente, esa falta de precisión en la finalidad perseguida con el consentimiento del tratamiento de datos conlleva a que no se pueda determinar su carácter constitucionalmente legítimo. En cuanto a la segunda tacha de inconstitucionalidad, el artículo impugnado deja, otra vez, cabos sueltos en cuanto a limitar y restringir se refiere, pues carece de restricciones sobre el alcance y contenido, disponiendo solamente que la recopilación de los datos se realizará «en el marco de sus actividades electorales», sin más concreciones. 22 Por último, la tercera tacha es la que alude a la falta de previsión de garantías adecuadas, que es la que más peso cobra de las tres que conforman la impugnación central. Las posiciones enfrentadas del Defensor del Pueblo y del Abogado del Estado en lo que a esta cuestión respecta obligan al Tribunal a pronunciarse sobre si las garantías adecuadas en el uso de la informática deben establecerse en la propia ley que autorice ese uso o pueden estar contenidas en otra regulación. En una primera aproximación, la respuesta que el Tribunal Constitucional da a la cuestión es que las garantías adecuadas deben establecerse en la misma ley que esté autorizando el tratamiento, bien directamente, bien remitiendo clara y expresamente a otras fuentes legales que las contengan, siempre que tengan el rango normativo adecuado, pues así lo exigen la reserva de ley y el respeto al contenido esencial del derecho que prevé el art. 53.1 CE. Después, entrando más a fondo en la cuestión, el Tribunal entra a valorar la argumentación que aportaba en sus alegaciones el Abogado del Estado, que justificó que las garantías adecuadas se deducían por partida triple de la literalidad de la disposición impugnada, de su enmienda de adición y del marco normativo de la protección de datos personales, esto es, el RGPD y la LOPDGDD. Sin embargo, el Tribunal no comparte la interpretación del Abogado del Estado, pues, en primer lugar, no es cierto que el apartado 1 del art. 58 bis de la LOREG especifique las garantías, sino que únicamente reconoce que deben establecerse. En segundo lugar, incluso aunque las garantías adecuadas estuvieran previstas, efectivamente, en la enmienda de incorporación del artículo a la LOREG, tampoco bastaría, puesto que el contenido y la justificación de las enmiendas tienen valor interpretativo y no dispositivo legal. Pero es que, además, en la enmienda no aparecen precisiones en cuanto a contenido, naturaleza y extensión de las garantías adecuadas. Así las cosas, se rechaza también esta segunda vía defendida por el Abogado del Estado. Por último, tampoco se acepta la tercera premisa que aporta el Abogado del Estado relativa a que las garantías se establecen en el desarrollo normativo del derecho fundamental, pues, para comenzar, de la redacción del artículo impugnado no se deduce ningún tipo de remisión, ni implícita, ni mucho menos explícita. 23 De todos modos, aunque así fuera, ello no sería compatible con la doctrina constitucional sobre la reserva de ley. Primero, porque se produciría una «deslegalización» al remitir a dos normas extensas sin precisar con exactitud dónde se disponen las garantías adecuadas y, más aún, porque ninguno de los dos textos las regula específicamente. Segundo, la AEPD, que también desarrolla el contenido del derecho a la protección de datos, tiene funciones interpretativas y de aplicación de la normativa de derecho, básicamente, por lo que «no puede subsanar la insuficiencia constitucional de la que adolece el art. 58 bis LOREG», pues ello «vaciaría de contenido el principio de reserva legal que consagra la Constitución» (fundamento jurídico 8, apartado c). En tercer lugar, la insuficiencia de la ley no se puede salvar mediante la técnica de la interpretación conforme, ya que a ella se recurre cuando del precepto pudieran desprenderse varias interpretaciones posibles y razonables todas ellas 30 , cosa que no sucede en este caso. En cuarto y último lugar, como ya se decía anteriormente, el RGPD solo establece las garantías mínimas para el tratamiento de datos personales y relega a los Estados Miembros la tarea de previsión y regulación concreta de las garantías adecuadas, también de las categorías especiales de datos, lo cual solo puede hacerse de forma expresa. Pero es que, en este caso, si se sigue el razonamiento del Abogado del Estado, sucedería que, además de no haber previsión expresa, la regulación del Estado Miembro redirige de nuevo al Reglamento, por lo que no se están cumpliendo los deberes normativos asignados por el RGPD. Con todo lo expuesto, el Tribunal Constitucional llega a la conclusión de que efectivamente se han producido tres vulneraciones del art. 18.4 CE en conexión con el art. 53.1 CE: no se ha identificado el interés público esencial que justificaría la injerencia en el derecho fundamental, ni se han precisado las condiciones de tal injerencia, ni tampoco se han establecido las garantías adecuadas. En definitiva, la disposición normativa es insuficiente. 30 Vid. Sentencias del Tribunal Constitucional 168/2016, de 6 de octubre de 2016 (BOE núm. 276, de 15 de noviembre de 2016) [ECLI:ES:TC:2016:168], fundamento jurídico 4, apartado b, y 97/2018, de 19 de septiembre de 2018 (BOE núm. 247, de 12 de octubre de 2018) [ECLI:ES:TC:2018:97], fundamento jurídico 7. 24 Así, se estima por este motivo el recurso, considerando el Tribunal que resulta innecesario que se pronuncie sobre los demás motivos que se aportaban para la impugnación del precepto. El Tribunal Constitucional falla a favor del Defensor del Pueblo, estimando el recurso de inconstitucionalidad y declarando contrario a la Constitución y nulo el apartado 1 del art. 58 bis de la LOREG, incorporado por el apartado dos de la disposición tercera de la LOPDGDD. IV. ANÁLISIS DE LA SENTENCIA A PARTIR DE DIFERENTES CONSIDERACIONES DOCTRINALES La importancia y preocupación que suscita el hecho de que nuestra información personal pueda ser tratada por otras personas –o incluso por sistemas informáticos e inteligencia artificial–, y más cuando se trata de las opiniones políticas, supone que sea una cuestión ampliamente reflexionada y tratada por la doctrina. Por ello, se dedica este apartado a destacar los aspectos analizados por la doctrina que pueden resultar de interés para el análisis de la Sentencia objeto de este trabajo. La transformación digital ha alcanzado a los procesos democráticos, tanto en la forma de participación ciudadana, como en la forma en que los candidatos llegan a los ciudadanos y captan sus votos. Tal y como señala la profesora Arenas Ramiro, parece lógico que los partidos políticos se adapten a los avances tecnológicos y cambien la forma en que se comunican con el electorado, creando nuevas formas de hacerlo que sean, en definitiva, más eficientes. Pero es diferente admitir su posible manipulación de la opinión pública. De ahí que «debemos asegurar la privacidad de los electores para garantizar el principio de igualdad de oportunidades en los procesos electorales» 31 . Sin duda, la privacidad de los electores está en peligro desde el momento en el que el debate político se traslada a las redes sociales y los operadores disponen de gran cantidad de información de sus usuarios, que, a través de su procesamiento, puede llevar a predecir preferencias y dirigirse a ellos con publicidad personalizada, lo cual finalmente puede llegar a interferir en la decisión de voto. Pero otorgar esta información 31 ARENAS RAMIRO, M., «Partidos políticos, opiniones políticas e internet: la lesión del derecho a la protección de datos personales», en Teoría y Realidad Constitucional, núm. 44, 2019, p. 344. 25 a los partidos políticos, limitándose aún más la privacidad de los ciudadanos, basándose en un interés público genérico y sin detallar todos los criterios de esa permisión de tratamiento de datos especialmente sensibles, parece avalar, a ojos de Arenas Ramiro, la decisión del Alto Tribunal 32 . En el entorno online es complejo tanto identificar qué es una opinión política, y por tanto qué es un dato personal que puede ser recopilado, como distinguir el espacio público del privado. Por ello, desde mi punto de vista, el legislador debería haber especificado de qué fuentes podrían ser recogidos los datos, cumpliendo así con el principio de minimización de los datos que reconoce el art. 5.1.c) del RGPD, que queda evidentemente violado 33 . En estos términos, la inconcreción del concepto de opinión política también acarrea el incumplimiento del principio de minimización de los datos por la parte de que, debido a la gran cantidad de datos que se puede manejar en la red, podría llegar a recopilarse y tratarse un volumen de datos muy diverso 34 . Tampoco el apartado 1 del art. 58 bis de la LOREG concretó quién podía recoger los datos: solamente los partidos políticos o también federaciones, coaliciones y agrupaciones de electores o, incluso, ser encargadas a terceros. Sí lo hizo la Circular 1/2019 de la AEPD, permitiendo que lo hicieran «partidos políticos, federaciones, coaliciones y agrupaciones de electores que presenten las correspondientes candidaturas y resulten proclamadas conforme a los artículos 43 y siguientes de la LOREG». También señaló que el tratamiento podría encargarse a otro sujeto, pero que nunca podría ser comunicado o transferido a un tercero, lo cual, sin duda, es donde se producirían más conflictos 35 . Otra indeterminación que deriva del artículo impugnado es la relativa a cuándo se pueden recoger o utilizar los datos, pues únicamente establece que se producirá en el marco de las «actividades electorales», lo cual resulta demasiado amplio y genérico y 32 Ibíd., pp. 350-357. 33 En este sentido, ARENAS RAMIRO, cit., p. 359. 34 GARCÍA SANZ, R. M., «Tratamiento de datos personales de las opiniones políticas en el marco electoral: todo en interés público», en Revista de Estudios Políticos, núm. 183, enero/marzo de 2019, pp. 129-159 [Consultado 18 de mayo de 2020]. Disponible en: https://doi.org/10.18042/cepc/rep.183.05 35 Así lo valora, de nuevo, ARENAS RAMIRO, cit., p. 361. 32 BIBLIOGRAFÍA ARENAS RAMIRO, M., «Partidos políticos, opiniones políticas e internet: la lesión del derecho a la protección de datos personales», en UNED. Teoría y Realidad Constitucional, núm. 44, 2019, pp. 341-372. ENÉRIZ OLAECHEA, F. J., «Un comentario a la sentencia del tribunal constitucional que declara inconstitucional la recopilación por los partidos políticos de datos personales con opiniones políticas, obtenidos de las páginas web y de otras fuentes de acceso público» en Revista Aranzadi Doctrinal, núm. 9/2019. EUROPEAN COMMISSION FOR DEMOCRACY THROUGH LAW (VENICE COMMISSION), Joint Report of The Venice Commission and of the Directorate of Information Society and Action Against Crime of the Directorate General of Human Rights and Rule Of Law (DGI) on Digital Technologies and Elections, Estrasburgo, 24 de junio de 2019 [Consultado 2 de junio de 2020]. Disponible en: http://www.cepc.gob.es/docs/default-source/comisionveneciadoc/cdl-ad(2019)016e.pdf?sfvrsn=0 GARCÍA MAHAMUT, R., «Partidos políticos y derecho a la protección de datos en campaña electoral: tensiones y conflictos en el ordenamiento español» en Teoría y Realidad Constitucional, núm. 35, 2015, pp. 309-338. GARCÍA SANZ, R. M., «Tratamiento de datos personales de las opiniones políticas en el marco electoral: todo en interés público», en Revista de Estudios Políticos, núm. 183, enero/marzo de 2019, pp. 129-159 [Consultado 18 de mayo de 2020]. Disponible en: https://doi.org/10.18042/cepc/rep.183.05 KEMPT, SIMON, Global Digital Report [We are social], 30 de enero de 2018 [Consultado 2 de junio de 2020]. Disponible en: https://wearesocial.com/blog/2018/01/global-digital-report-2018 MARTÍNEZ MARTÍNEZ, R., «Partidos, algoritmos y campañas electorales», en Revista Telos, núm. 110, 10 de abril de 2019, pp. 130-135. MARTÍNEZ VÁZQUEZ, F., «La tramitación parlamentaria de la Ley Orgánica de Protección de Datos Personales y Garantía de los Derechos Digitales», en Tratado de 33 protección de datos, Rallo Lombarte (coord.), Tirant Lo Blanch, Valencia, 2019, pp. 5378. PASCUA MATEO, F. A., «Un nuevo capítulo en la tutela del derecho a la protección de datos personales: los datos de contenido político. Comentario a la Sentencia del Tribunal Constitucional 76/2019, de 29 de mayo, en el recurso de inconstitucionalidad núm. 1405-2019 (BOE núm. 151, 25 de junio de 2019)» en Revista de las Cortes Generales, núm. 106, primer semestre de 2019, pp. 549-558. SÁNCHEZ, J. M., Cómo evitar que los partidos recopilen tus datos para mandarte «spam» político, en ABC, Madrid, 7 de diciembre de 2018 [Consultado 2 de junio de 2020]. Disponible en: https://www.abc.es/tecnologia/consultorio/abci-como-evitarpartidos-recopilen-datos-para-mandarte-spam-politico201812071247_noticia.html?ref=https:%2F%2Fwww.google.com%2F SANZ PÉREZ, A. L., «La protección de datos personales y los partidos políticos» en Revista Aranzadi Doctrinal, núm. 8/2019. TEJERINA RODRÍGUEZ, O., Protección de datos y seguridad de Estado [Tesis Doctoral] Universidad Complutense de Madrid, Madrid (2012), p. 51 [Consultado 2 de abril de 2020]. Disponible en: http://eprints.ucm.es.cuarzo.unizar.es:9090/30768/1/T36145.pdf JURISPRUDENCIA Sentencia del Tribunal Constitucional 254/1993, de 20 de julio de 1993 (BOE núm. 197, de 18 de agosto de 1993) [ECLI:ES:TC:1993:254]. Sentencia del Tribunal Constitucional 44/1999, de 22 de marzo de 1999 (BOE núm. 100, de 27 de abril de 1999) [ECLI:ES:TC:1999:44]. Sentencia del Tribunal Constitucional 290/2000, de 30 de noviembre de 2000 (BOE núm. 4, de 04 de enero de 2001) [ECLI:ES:TC:2000:290]. Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre de 2000 (BOE núm. 4, de 04 de enero de 2001) [ECLI:ES:TC:2000:292]. Sentencia del Tribunal Constitucional 168/2016, de 6 de octubre de 2016 (BOE núm. 276, de 15 de noviembre de 2016) [ECLI:ES:TC:2016:168]. 34 Sentencia del Tribunal Constitucional 97/2018, de 19 de septiembre de 2018 (BOE núm. 247, de 12 de octubre de 2018) [ECLI:ES:TC:2018:97]. Sentencia del Tribunal Constitucional 76/2019, de 22 de mayo de 2019 (BOE núm. 151, de 25 de junio de 2019) [ECLI:ES:TC:2019:76]. LEGISLACIÓN Convenio Europeo para la Protección de los Derechos Humanos y de las Libertades Fundamentales. Constitución Española (BOE núm. 311, de 29 de diciembre de 1978). Ley Orgánica 5/1985, de 19 de junio, del Régimen Electoral General (BOE núm. 147, de 20 de junio de 1985). Convenio para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, hecho en Estrasburgo el 28 de enero de 1981 (BOE núm. 274, de 15 de noviembre de 1985). Directiva 2006/24/CE del Parlamento Europeo y del Consejo, de 15 de marzo de 2006, sobre la conservación de datos generados o tratados en relación con la prestación de servicios de comunicaciones electrónicas de acceso público o de redes públicas de comunicaciones y por la que se modifica la Directiva 2002/58/CE (DOUE núm. 105, de 13 de abril de 2006). Tratado de Funcionamiento de la Unión Europea (DOUE C 83/47 de 30 de marzo de 2010). Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (DOUE L 119/1 de 4 de mayo de 2016). Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (BOE núm. 294, de 6 de diciembre de 2018). Circular 1/2019, de 7 de marzo, de la Agencia Española de Protección de Datos, sobre el tratamiento de datos personales relativos a opiniones políticas y envío de propaganda 35 electoral por medios electrónicos o sistemas de mensajería por parte de partidos políticos, federaciones, coaliciones y agrupaciones de electores al amparo del artículo 58 bis de la Ley Orgánica 5/1985, de 19 de junio, del Régimen Electoral General (BOE núm. 60, de 11 de marzo de 2019).