REGULACIÓN DEL INTERNET Y EL DERECHO A LA PROTECCIÓN DE DATOS PERSONALES EN EL ÁMBITO INTERNACIONAL

By Fred Aarons[1]

Resumen: Este artículo analiza los distintos métodos para la regulación del internet en relación con el derecho a la protección de datos personales en el ámbito internacional. Se hace especial referencia a la reciente regulación

Abstract: This article analyzes the different methods for the regulation of the internet in relation to the right to the protection of personal data in the international sphere. Special reference is made to the recent regulation.

Sumario. I. Sinopsis. II. El Derecho internacional privado y el internet. III. El internet y su gobernabilidad. IV. Alcance de la protección de datos personales en el internet. A. Los servicios disponibles y el manejo de los datos personales. B. Buscadores de red y el llamado derecho al olvido. V. La regulación en materia de protección de datos personales aplicable a las plataformas de internet. A. Fundamentos tradicionales de regulación y el internet. B. La autorregulación. C. Regulaciones de internet para la protección de datos personales en los Estados Unidos de América. D. Regulaciones de internet para los derechos de protección de datos personales en la Unión Europea. VI. Perspectivas y Desafíos acerca del derecho de protección de datos personales en las plataformas de internet. A. Perspectivas. B. Desafíos.

Dedicamos este artículo a nuestro profesor y amigo, Eugenio Hernández Bretón, con ocasión de la publicación por la Academia de Ciencias Políticas y Sociales de Venezuela de un libro en homenaje a su obra y pensamiento jurídico, los cuales han contribuido a promover el conocimiento, la curiosidad intelectual y el don de gentes en el foro jurídico y la academia, no solo en Venezuela, sino más allá de sus límites territoriales.

I. Sinopsis

En la búsqueda de la armonización de las leyes y sus regulaciones en el ámbito internacional, la ocasión es propicia para analizar un tema de particular y creciente relevancia en el mundo de las relaciones jurídicas y económicas, como es el relativo a la regulación del internet en lo concerniente al derecho de protección de datos personales. Ante el crecimiento de la economía digital basada en la red de internet, algunos hemos sido protagonistas y otros testigos del amplio arraigo que tienen las redes de internet y el profundo impacto que puede tener la información disponible en el quehacer diario de los particulares, para todo tipo de propósitos individuales, sociales, profesionales, comerciales, entre otros. Toda la información disponible en las redes de internet confluye con los datos personales de los individuos que participan activa (directa o indirectamente), o inclusive pasivamente, en la red digital con su nombre, perfil y preferencias. Tal confluencia y su relevancia han hecho necesario atender desde una perspectiva internacional los aspectos regulatorios vinculados con el derecho de protección de datos personales. Es por ello que nuestro análisis, partiendo de una visión internacional del derecho privado, propone mecanismos para hacer eficiente la protección de los datos personales disponibles en la red del internet, con ocasión de la participación de los individuos en ella, mediante el acceso a procedimientos de supresión efectiva de datos personales que hayan sido obtenidos sin autorización, no sean veraces, sean inexactos o extemporáneos, entre otras circunstancias aplicables. Todo ello sin distinción de la nacionalidad y lugar de residencia de los afectados, puesto que la red de internet, su plataforma y sus servicios no tienen fronteras que las delimiten como instrumentos de la economía digital.

Con el fin de desarrollar nuestro objetivo, hemos configurado este trabajo en cinco secciones principales en las que, primeramente, intentamos establecer un marco de referencia de la operatoria de la red de internet y sus efectos globalizadores sobre los actos jurídicos de los particulares, con el fin de establecer las pautas de armonización necesaria que debería adoptar el Derecho para dar soluciones a los problemas planteados. Segundo, destacamos los aspectos propios de la gobernabilidad de la red de internet. Tercero, establecemos una base referencial en cuanto al objeto y alcance de los derechos de protección de datos personales para su adecuada delimitación y tratamiento. Cuarto, formulamos ciertas consideraciones acerca de los aspectos regulatorios de la economía tradicional, en comparación con las propuestas regulatorias aplicables a la economía digital, principalmente en Europa, para la protección de los datos personales como derechos individuales. Finalmente, hacemos planteamientos acerca de las perspectivas aplicables y los desafíos que enfrentamos en materia del derecho de protección de datos personales en las plataformas de internet, con el fin de procurar la aplicación de un derecho internacional más justo, equilibrado y con mayor seguridad jurídica para los afectados. 

II. El Derecho internacional privado y el internet

Cuando el norteamericano Joseph Story otorgó a la disciplina del derecho internacional privado el nombre con el cual se le designa, en un principio se concebía como el estudio de las reglas integradas en el Derecho Interno de cada país.

Otros juristas admitieron la existencia de reglas internacionales para la regulación de los problemas que entendían formaban parte del Derecho Internacional Privado, todo ello sin sustraerse a la necesidad de exponer también las normas positivas de su legislación patria sobre tales problemas. Lo cierto es que, independientemente de que sea el método aplicado, el aspecto central pareciera residir en el conflicto de leyes.

La mayor parte de las relaciones de la vida privada, cuando se producen en un mismo territorio, no ofrece dudas cuanto a la ley que debe regirlas. Sin embargo, cuando por lo menos uno de los elementos personales, reales o formales de esa relación aparece vinculado con otro país, no siempre es tan claro cuál sería la legislación aplicable, ante el eventual conflicto de leyes que podría surgir dentro del contexto del Derecho Internacional Privado.

La división de la comunidad internacional en Estados, que dictan a su vez su propia legislación, se constituye en el supuesto esencial del Derecho Internacional Privado, todo ello exacerbado por la creciente globalización de la economía y el consecuente proceso de transculturización de las sociedades que a su vez provocan relaciones jurídicas y consecuencias más allá de las fronteras de su propio país. Estos conflictos no se circunscriben al ámbito de un país exclusivamente, puesto que podrían presentarse conflictos de leyes, cuando en el interior de un mismo Estado coexisten diferentes legislaciones, tal como ocurre analógicamente en los eventuales conflictos en algunos Estados federales, por ejemplo, en los Estados Unidos de América ante la diversidad de leyes entre los diferentes Estados de la unión. 

La posibilidad de conflictos dentro de un mismo país, derivada de la coexistencia de varias legislaciones, se ha dado también en los países que han logrado su unidad, liberando su territorio repartido en varias denominaciones extranjeras, como fue el caso de Polonia, al recuperar su independencia al fin de la primera guerra mundial. En dichos casos, se podría hacer una aproximación analógica en virtud de la posibilidad de aplicar las mismas soluciones respecto a los conflictos internacionales. No obstante, cuando se trata de cuestiones entre provincias o regiones regidas por una autoridad central, la presencia de dicha autoridad, ya sea en un Estado unitario o federal, permite imponer unas reglas de conflicto comunes a los Estados federados, regiones o provincias, con lo que se conforma una uniformidad de soluciones dentro del Estado. En los conflictos internacionales, por argumento en contrario, aun admitida la existencia de normas precedentes de fuente internacional, habría otras reglas que cada Estado promueve de forma independiente y que sus respectivos tribunales tienden a aplicar. De allí que, ante relaciones jurídicas con elementos vinculados a diferentes legislaciones estatales, el asunto tenderá a ser resuelto por un sistema conflictual diferente, según la nacionalidad de tribunal que tendría que pronunciarse válidamente, lo cual provocaría que del juego de estas normas de conflicto no coincidente podría resultar la aplicación de diferentes leyes para cada uno de los tribunales a los problemas de fondo objeto de litigio1.

Niboyet, en su obra Traité de droit international privé français, además de los conflictos legislativos y jurisdiccionales, incorpora una tercera categoría que identifica como “conflictos de autoridades”. Su planteamiento consiste en dar sustantividad al problema de la competencia internacional de un funcionario administrativo para el otorgamiento de un determinado acto. Para los negocios jurídicos de carácter privado existe una regla generalmente admitida según la cual las formas y solemnidades se rigen por la ley del lugar de su celebración, es decir, locus regit actum. El conflicto de autoridades debe atender dos aspectos relativos, por una parte, a la competencia de un funcionario para autorizar un acto público en el que está presente algún elemento extranjero; y por la otra, la eficacia dentro de un país de los actos jurídicos de carácter público celebrados en otro2.

Según indicamos, el planteamiento central del Derecho Internacional Privado reside en que surge en una relación individual o colectiva algún elemento conectado con un país distinto a aquel donde se trata de dar forma jurídica a aquella relación o reconocer sus efectos, pudiendo aparecer en contacto con aquella legislación de otro país los sujetos de la relación, su objeto y también –si la relación fue ya constituida– el lugar de su formación3. Es decir, siempre que un solo elemento sea extranjero, uno de los sujetos por su nacionalidad o domicilio, un bien por su situación, o ya sea un acto por el lugar de su conclusión o ejecución.

La solución viene dada por las normas que las legislaciones nacionales o las convenciones internacionales asignan a la regulación de esos supuestos de vinculación externa. Más allá de identificar el conflicto de leyes, lo pertinente es encauzar la armonización de las soluciones de los derechos en el medio internacional, independientemente del país en que se encuentren las personas y el lugar en que se verifican los actos jurídicos y sus consecuencias.

El orden interno y el orden internacional concurren a la realización del objetivo de atribución de competencia encomendado al Derecho internacional privado. Si consideramos que la regulación de los supuestos conectados a diversas leyes, o ante vacíos de éstas, requiere de instrumentos de proyección internacional, en la composición de los sistemas nacionales no debe prescindirse de los aspectos internacionales que otorgan acceso a los principios universales que deben tenerse en cuenta en la tramitación y solución de los casos de conflicto derivados de la vida privada internacionalizada, con el fin de procurar una solución justa, equilibrada y que otorgue seguridad jurídica4. Las anteriores consideraciones conceptuales en relación con el Derecho internacional privado y sus formas de contribuir en la solución de controversias con implicación internacional, tienden a tener relevancia ante las operaciones de diversa índole efectuadas de manera combinada bajo el manto transnacional de las redes de internet, las cuales requieren acciones decisivas y armonizadas para promover de manera equilibrada la innovación tecnológica y el desarrollo económico, tomando muy en cuenta el derecho de protección de datos de los particulares.

La red de internet permite la confluencia de los más disímiles aspectos de una economía globalizada, donde se producen múltiples relaciones jurídicas que involucran sujetos de diversas nacionalidades y domicilios en diferentes jurisdicciones internacionales, rigiéndose en consecuencia por diversas legislaciones, fueros jurisdiccionales y autoridades administrativas con autoritas en diferentes territorios.

La economía digital representa toda actividad económica vinculada con el internet o la “web”, que cada día tiene mayor injerencia en la economía tradicional. Google, Facebook, Amazon, Ebay, Apple, Microsoft y Alibaba, entre otras, son empresas que mantienen un liderazgo importante no solo en la red de internet, sino en la actividad económica mundial con el alto impacto que tienen en el día a día de los consumidores, en virtud de la amplia variedad de productos disponibles en la red informática. Su capacidad de influenciar los gustos, así como las preferencias y conductas, de los consumidores ha sido determinante no solo para dejar de referirnos a la actividad que desarrollan como parte de la economía, sino denominarla como la esencia de la economía digital.

Esta nueva dinámica de la economía ha motivado y, en cierta forma, obligado a las empresas tradicionales a ajustar sus estrategias al contexto actual. Corporaciones, entidades bancarias y entes gubernamentales han comprendido el impacto de la economía digital y no solo han hecho cambios inmediatos para actualizarse, sino que ya se plantean objetivos a mediano y largo plazo para innovar y mantener su negocio vigente5. El internet se ha constituido en una vía multidireccional de acceso a bienes y servicios de manera inmediata, a través de canales de interconexión directo s y descentralizados. El Internet permite la participación de muchas empresas pequeñas en el comercio mundial, asimismo, apoya a que el capital existente sea más productivo, lo que aumenta la eficiencia y, al alentar la competencia, fomenta la innovación. El Internet, al igual que la energía o el transporte, se ha convertido en una parte esencial de la infraestructura de los países, y su red de servicios en un factor de producción en casi cualquier actividad de toda economía moderna6.

El internet impulsa la economía mediante la expansión del comercio, la mejora de la utilización del capital, la promoción de la competencia y facilidades de ingreso en el mercado, independientemente del perfil del proveedor de bienes y servicios. Las plataformas en línea establecen mecanismos de conectividad e intercambio de información que tienden a superar problemas de confianza mediante mecanismos de garantía y la resolución de disputas.

No solo se dinamiza a través del internet la comercialización de bienes, sino también mediante la prestación de servicios, lo cual promueve la desagregación de los procesos productivos. La reducción de costos ha sido uno de los factores determinantes en el crecimiento del internet, lo cual ha generado un aumento de la eficiencia y la productividad en todos los sectores de la economía. La necesidad de proporcionar confianza a los usuarios de internet ha promovido un mayor fluyo de información por parte de los proveedores de bienes y servicios, lo cual ha incidido en la reducción en los niveles de asimetría de la información entre proveedores y consumidores. Esta reducción ha permitido la preservación de un mejor nivel de equilibrio económico en la ejecución de contratos en las plataformas en línea. Todas estas circunstancias han incidido en la optimización de la gestión del inventario y de la cadena de suministro, reduciendo así la inactividad de los bienes de capital y los niveles de riesgo.

La comercialización de bienes y servicios mediante las plataformas en línea ha sido apoyada inicialmente por la configuración de contratos estándar disponibles en línea. En la medida que dicha comercialización sea totalmente automatizada, los costos marginales de transacción tenderían a cero. Según el teorema de Coase, las partes racionales elaborarán un contrato perfecto cuando los costos de transacción sean nulos. Los costos de transacción son aquellos costos asociados con las transferencias, la captura y la protección de derechos, lo que implica que cuando haya costos de transacción cero, habrá derechos de propiedad completos7. Cuando ello ocurra, el contrato es un instrumento perfecto para el intercambio, puesto que se anticipa cualquier eventualidad, por lo que todos los riesgos se internalizan, toda la información pertinente se comunica, no quedan lagunas que los tribunales deban subsanar, nadie necesita la protección del tribunal contra el engaño o las cláusulas abusivas8. En otras palabras, ante contratos perfectos en los que todos los riesgos habrían sido anticipados, no sería necesarioel Derecho, como medio para asegurar el cumplimiento forzoso de las
obligaciones asumidas entre las partes contratantes.

Cabe destacar que los términos de contratación en las plataformas en línea tienden a establecer decisiones en función de los datos personales disponibles, o historial de búsquedas, la ubicación geográfica o cualquier información recabada de los consumidores, lo cual puede incidir en prácticas de discriminación de precios. Aun cuando pareciera que las negociaciones efectuadas en el internet no alteran los términos del comercio tradicional, lo cierto es que las empresas de internet compiten directamente con aquellas empresas que no utilizan la red como medio de intercambio comercial. A partir de tal hecho, los medios sociales compiten en la obtención de ingresos con empresas de publicidad, mediante la colocación de avisos publicitarios en la red, los bancos tradicionales enfrentan la competencia de las redes de dinero móvil y, en general, las empresas de comercio electrónico compiten con empresas de comercio tradicional. Más aún, estas empresas con presencia física tradicional han tendido a ofrecer adicionalmente sus bienes y servicios a través de la plataforma de internet, con el fin de atender a un segmento de mercado proclive a tomar ventaja de los beneficios del comercio electrónico.

El crecimiento de la plataforma de internet ha promovido mayor eficiencia y crecimiento económico e interconectividad entre sus usuarios y proveedores de bienes y servicios. Tal crecimiento ha generado igualmente la necesidad de preservar los derechos relacionados con los datos personales de todos aquellos que tienen acceso a la plataforma de internet, mediante la protección de sus datos personales. Dicha protección está determinada por un adecuado control de los datos personales de los usuarios, así como su uso legítimo por parte de los proveedores de bienes y servicios en la plataforma de internet, manteniendo el necesario equilibrio entre la libertad de expresión y la protección de los derechos de los usuarios. Las plataformas de internet se han transformado en fuentes permanentes de información acerca de personalidades públicas y particulares dedicados a actividades esencialmente privadas, por lo que la veracidad de la información disponible acerca de ellos requiere ser el producto del necesario equilibrio entre la libertad de expresión y el derecho de protección de los datos personales de dichos particulares.

Con base en estas premisas, la regulación de las actividades desarrolladas en la plataforma de internet requiere promover productividad tomando a su vez en consideración los derechos de protección de datos personales. En tal sentido, el objeto de nuestro análisis es ponderar el alcance de la regulación requerida y sus modalidades para preservar las beneficios económicos, tecnológicos y sociales de la plataforma de internet, mientras se preservan los derechos de protección de datos personales de sus usuarios, en medio de las complejidades legales que surgen por los diferentes conflictos de legislación, fueros jurisdiccionales y autoridades administrativas para el uso masivo y globalizado del internet. Analizaremos en específico las propuestas regulatorias que surgen para proteger los datos personales de los usuarios del internet, así como los esfuerzos desplegados para evitar supuestos de difamación del buen carácter de particulares, quienes pudieran en consecuencia haber sido afectados en sus derechos individuales, como consecuencia de actos informativos promovidos en algunos casos por la tendencia de propagar noticias de alto impacto, aunque las mismas no hayan sido debidamente verificadas o que no sean producto de un fuente cierta, como ocurre con las llamadas noticias falsas o fake news.

La creciente necesidad de atender el derecho de protección de datos personales de los usuarios de las plataformas de internet ha generado un movimiento masivo en la industria informática dirigido a promover esquemas de auto regulación adoptados por las grandes empresas tecnológicas, como Google y Facebook, y promovidos de igual manera por organizaciones no gubernamentales que promueven la libertad de expresión y la defensa de los derechos de privacidad de los individuos. A propósito, las entidades gubernamentales han mostrado un creciente interés en regular formalmente la estructura de funcionamiento de la plataforma de internet, como se ha evidenciado decididamente en la Unión Europea y más recientemente en el Estado de California en los Estados Unidos de América, por solo mencionar dos ejemplos de repercusión en la industria de las telecomunicaciones digitales. La interconexión mundial de las redes digitales genera la globalización de la información, propiciando que las plataformas de internet configuren un medio ansiado para la circulación transfronteriza de información, lo cual contribuye a generar riesgos en el manejo de datos personales que tienen diferentes niveles de atención a nivel comparado, en medio de divergencias significativas en lo que concierne a la protección jurídica de los datos personales entre los diversos ordenamientos.

III. El internet y su gobernabilidad

La red de internet se ha constituido en una referencia obligada en la llamada sociedad de la información, facilitando servicios electrónicos interactivos y el intercambio de muy variada información. Su origen se remonta al año 69 del siglo pasado a través del establecimiento de una red experimental denominada ARPANET diseñada en investigaciones desarrolladas por el Departamento de Defensa de los Estados Unidos, con el propósito inicial de establecer una red informática de comunicación restringida para canalizar la información. Progresivamente, universidades, centros de investigación, particulares y empresas fueron estableciendo redes de comunicación entre sí hasta establecer lo que hoy por hoy conocemos como el internet, basado inicialmente en la cooperación y el intercambio libre de información. El internet se caracteriza por tener una operatoria descentralizada y por consiguiente no está sometido a un organismo único de dirección y gestión. La actualización del ordenamiento jurídico aplicable al internet y los servicios relacionados de almacenamiento de datos personales y difusión de información ha estado limitada debido a la reiterada transformación que se ha verificado en las redes digitales. El uso del
internet se ha ampliado de tal forma que gracias a la amplitud de la capacidad de transmisión de datos y el aumento del ancho de banda los servicios de internet han sido ampliados para permitir la transmisión de archivos con contenidos audiovisuales, incluyendo webcasting y streaming, para la emisión en línea de programas televisivos y radiofónicos.

La amplitud y el crecimiento de las redes de comunicación establecidas por intermedio del internet ha generado la necesidad de asegurar la neutralidad del servicio prestado a través del internet, como red abierta a la que cualquier interesado puede acceder sin que los operadores bloqueen o restrinjan los usos lícitos que se producen a través de dicha plataforma. La neutralidad trata de la ausencia de discriminación por parte de los proveedores de acceso entre los paquetes de datos personales que circulan por las redes, evitando tratos privilegiados a favor de ciertos proveedores de contenido. En los Estados Unidos de América la noción de neutralidad de la red ha sido objeto de controversia desde la década de los años noventa del siglo XX. La Comisión Federal de Comunicaciones (FCC, según sus siglas en inglés) estableció por vía administrativa en el año 2005 la neutralidad de la red de internet, posición que se mantuvo inalterada hasta diciembre de 20179, cuando la misma institución bajo la administración Trump determinó la no neutralidad de la red de internet, permitiendo así a los proveedores la segmentación de servicios de internet y la consecuente diferenciación de precios, según el segmento de que se trate, la modalidad y velocidad del servicio disponible. No obstante, el Gobernador del Estado de California promulgó el 30 de septiembre de 2018 una ley que establece la total neutralidad en la red de internet. Los legisladores estatales de California aprobaron en agosto las disposiciones de neutralidad de red más fuertes de la nación. La ley prohíbe a los proveedores de servicios de Internet bloquear sitios web, ralentizar intencionalmente un sitio web o aplicación o aceptar pagos para hacer que los servicios en línea sean más rápidos. Las regulaciones de la medida se asemejan a las adoptadas por la Comisión Federal de Comunicaciones en 2015. El Departamento de Justicia de los Estados Unidos de América optó por solicitar inmediatamente la nulidad de la referida ley, argumentando que el Estado de California se atribuyó facultades en relación con la neutralidad del internet que solo competen al gobierno federal de esa nación y que están delegadas al Comisión Federal de Comunicaciones 10.

En medio de estas disímiles decisiones en relación con la neutralidad en la red de internet, el Congreso de los Estados Unidos no ha alcanzado consenso sobre los términos aplicables a la neutralidad en la red de internet, lo cual ha incidido en la ausencia de una disposición legislativa a nivel federal acerca de los términos y alcance de dicha noción. Considerando el alto impacto que el internet tiene entre los proveedores de servicios y los consumidores, es muy probable que la Corte Suprema de Justicia considere próximamente las objeciones presentadas por diversos estados de la unión americana acerca de la reciente posición formulada por la Comisión Federal de Comunicaciones en relación con la posible segmentación de servicios y precios en el internet. La reciente solicitud de nulidad contra la ley del Estado de California relativa a la neutralidad en la red de internet hará más inminente la intervención de la Corte Suprema de Justicia de los Estados Unidos. En el ámbito de la Unión Europea, la neutralidad de la red de internet ha sido defendida de manera mayoritaria al promoverla como un aspecto fundamental de la regulación electrónica desde el año 2002. Con semejante aproximación se ha promovido en medio de restricciones razonables, la no limitación de volúmenes de datos personales y la no restricción a la velocidad para acceder a los servicios de acceso de internet, impidiéndose los bloqueos, la ralentización, la degradación o la discriminación de los contenidos, las aplicaciones y los servicios electrónicos.

La gobernabilidad del internet ha estado determinada principalmente por aquellos que conforman la comunidad electrónica, dejando a un lado los esfuerzos de los Estados de establecer regulaciones producto del consenso de las naciones. A la fecha no se ha alcanzado el consenso necesario en el ámbito multilateral para establecer criterios firmes sobre el internet y su uso, con particular énfasis en aspectos relativos a su seguridad, los alcances de los derechos a la información, las pautas aplicables a la libertad de expresión, la protección de los derechos a la intimidad y la protección de datos personales, entre otros relevantes. Solo como parte de los esfuerzos motorizados entre los años 2003 y 2005, con ocasión de la Cumbre de las Naciones Unidas sobre la Sociedad de la Información se establecieron principios, reglas y mecanismos acerca del funcionamiento y desarrollo del internet y sus servicios11.

En términos generales, la Resolución sobre “Promoción, protección y disfrute de los derechos humanos en internet” adoptada por el Consejo de Derechos Humanos de las Naciones Unidas en junio de 2012 ha reconocido la relevancia mundial del internet y su carácter abierto, afirmando que los derechos de las personas también deben estar protegidos en Internet, en particular la libertad de expresión, que es aplicable sin consideración de fronteras y por cualquier procedimiento que se elija, de conformidad con el artículo 19 de la Declaración Universal de Derechos Humanos y del Pacto Internacional de Derechos Civiles y Políticos, e incitando a los Estados a promover y facilitar el acceso a internet y la cooperación internacional dirigida a desarrollar los medios de comunicación y los servicios de información en todas las naciones12. El artículo 19 de la referida Declaración de Derechos Humanos establece que todo individuo tiene derecho a la libertad de opinión y expresión; este derecho incluye el no ser molestado a causa de sus opiniones, el de investigar y recibir informaciones y opiniones, y el de difundirlas, sin limitación de fronteras por cualquier medio de expresión.

La necesidad de establecer estándares de funcionamiento de internet y la ausencia de organizaciones multilaterales han provocado la prevalencia de la Organización Mundial de Propiedad Intelectual (OMPI) en coordinación con la Corporación para la Asignación de Números y Nombres en Internet (ICANN), entidad no lucrativa responsable del ordenamiento relativo al sistema de nombres de dominio y la protección de signos distintivos. Nótese, si bien ICANN no es una organización internacional gubernamental, puesto que se trata de una organización privada en la que los Estados tienen una participación consultiva mediante el Comité Asesor Gubernamental en el que participan representantes de los Estados, sus decisiones hacen las veces de estas organizaciones internacionales gubernamentales en materia del uso de dominios en internet13.

Los organismos vinculados con la limitada esfera de reglas aplicables al funcionamiento del internet tienen mayor relevancia en asuntos relativos a estándares tecnológicos y a la ordenación de aspectos técnicos requeridos para el adecuado funcionamiento de la red de internet. En consecuencia, dichas reglas si bien condicionan los modelos de negocio susceptibles de organizarse en la red, no prestan particular atención a las relaciones jurídico-privadas que surgen entre los participantes en internet. De allí que no se ha prestado la atención necesaria a aspectos fundamentales como el derecho a la libertad de información y expresión en internet, el secreto de las comunicaciones en internet, la protección de datos personales en internet y la protección de los derechos de privacidad e intimidad en internet.

Nuestro objetivo en esta oportunidad es enfocar nuestra atención en la protección de los derechos de datos personales que la red de internet ha soslayado en favor del desarrollo de este influyente canal de información y comunicación a nivel mundial, en detrimento de derechos fundamentales de los individuos que intervienen de alguna manera en la red de internet. Con tal propósito, analizaremos diferentes aspectos jurídicos que surgen como consecuencia de las interacciones entre los participantes en internet. Nuestro enfoque permitirá discutir las alternativas regulatorias disponibles en el marco de las actividades que se desarrollan en la red de internet, así como el alcance de las referidas alternativas como instrumento de protección de derechos fundamentales de los individuos participantes en la red de internet. La prestación de servicios en la red de internet tiende en forma general a producirse mediante operadores globales conforme a reglas uniformes y con sometimiento en principio a los tribunales de un mismo país, todo ello basado en un principio de racionalidad económica de control de riesgos legales y reducción de costos asociados a tales riesgos. Sin embargo, es importante tomar en consideración para nuestro análisis que la contratación y prestación de servicios en la red de internet puede configurar una conectividad cercana con la jurisdicción del país en el cual los usuarios destinatarios de los servicios se encuentran, pudiendo generar el interés de tales países de pretender regular legítimamente ciertos aspectos de las transacciones o actividades ejecutadas en la red de internet. En tal sentido, la Unión Europea se ha destacado por establecer protecciones regulatorias en relación con el tratamiento de datos personales de los usuarios, en el contexto de la prestación de servicios en línea a través de la red de internet. Tal tendencia se contrapone con la práctica judicial aplicada en los Estados Unidos, donde se ha privilegiado el empleo de condiciones contractuales uniformes para todos los mercados y la protección de los derechos de información, en menoscabo de los derechos de privacidad e intimidad de los individuos objeto de la información.

IV. Alcance de la protección de datos personales en el internet

La necesidad de protección de datos personales estaría en función del nivel de sofisticación de los servicios disponibles en las plataformas de internet y de la naturaleza del contenido de la información que los proveedores de herramientas o motores de búsqueda en internet colocan indiscriminadamente, amparados en una irrestricta libertad de expresión a disposición del público. En la medida que no exista uso adecuado y autorizado de la información, en tal medida se verificarán riesgos para los derechos de protección de datos personales en el internet.

A. Los servicios disponibles y el manejo de los datos personales

Los servicios disponibles en la red de internet facilitan el acceso y operación por terceros a datos personales de los usuarios, sin que necesariamente éstos hayan tenido conocimiento u otorgado su consentimiento. El carácter globalizado de la interconexión que se produce en las plataformas de internet incide de manera determinante para que se produzca la circulación transfronteriza de información, con la consiguiente transmisión de datos de carácter personal. Ello hace que la red global del internet no disponga de controles legales eficaces para delimitar la captación y el tratamiento de datos personales de los usuarios. El uso de la red de internet conlleva riesgos para la protección de datos personales, resultantes de (i) la conexión con el proveedor de servicios, (ii) las conexiones consultadas, (iii) el operador de las telecomunicaciones, (iv) los proveedores de acceso y de servicios de internet; (v) las páginas consultadas; (vi) el servidor proxy; (vii) los enrutadores; (viii) las direcciones IP visitadas; (ix) los datos producto de las sesiones de navegación; y (x) los sitios de red, entre otros aspectos relevantes. Tales interacciones en la red de internet permiten la elaboración de perfiles de los usuarios y la recopilación cada vez más sofisticada de datos sobre las preferencias de los usuarios y las características de las transacciones efectuadas en la red de internet. Así mismo, el uso del correo electrónico permite la recogida sin consentimiento de los afectados de datos de tráfico que acompañan al mensaje mismo, lo cual podría atentar contra el derecho fundamental al secreto de las comunicaciones, usualmente establecido en las constituciones de los países y en las convenciones universales suscritas por estos14.

En buena medida, los riesgos asociados a la protección de datos personales disponibles en las plataformas de internet están en función de la avanzada capacidad tecnológica que permite extrapolar data suficiente para determinar los gustos, las preferencias y los hábitos de los usuarios, con lo cual se puede configurar perfiles de los usuarios, y así ofrecer, de manera subsiguiente, servicios publicitarios de productos segmentados en función del comportamiento previo de los usuarios. Por otra parte, la disponibilidad de servicios gratuitos permite acceder información personal de los usuarios, la cual es cedida a compañías de publicidad o de productos específicos en virtud del valor adicional que tiene como fuente de ingresos.

Los riesgos de manipulación no autorizada de los datos personales de los usuarios también se verifica ante la amplitud de proveedores adicionales de servicios en línea, los cuales podrían estar desarrollando actividades como creadores de aplicaciones; fabricantes de dispositivos móviles; tiendas electrónicas que comercializan aplicaciones; por intermedio de dispositivos conectados a internet para comunicar y compartir información personal sin necesidad de que el afectado inicie el proceso de transmisión o ejerza control sobre los datos comunicados en la red de internet, entre otras funciones de tecnología digital.

B. B uscadores de red y el llamado derecho al olvido

Los datos personales también están afectados por las actividades de los proveedores de herramientas o motores de búsqueda en internet, mediante los riesgos vinculados con (i) el acceso y la búsqueda de cierta información, incluso cuando no se trata de usuarios que previamente se hayan registrado en el sitio correspondiente, y (ii) la posición de los buscadores como intermediarios y eventualmente como proveedores de contenidos, en la medida en que los buscadores de internet son en la actualidad una de las principales fuentes de información difundida a través de las plataformas de internet.

El derecho al olvido o derecho a ser olvidado, o también llamado derecho de supresión de datos consiste, según De Terwangne, en el derecho de las personas físicas a hacer que se borre la información sobre ellas después de un período de tiempo15. La aplicación del derecho al olvido implica un ejercicio de ponderación en función de un caso concreto entre, por un lado, el interés particular afectado y su derecho a la intimidad y, por el otro, el interés del buscador y de la colectividad en su derecho a la información. Todo ello tomando en consideración que, en general, el tratamiento de datos personales efectuado por el gestor de un motor de búsqueda, ofreciendo una lista de resultados a partir de la búsqueda realizada con el nombre de una persona física puede afectar significativamente los derechos fundamentales de respeto de la vida privada y de protección de datos personales, todo ello tomando en consideración el papel destacado que desempeñan internet y los motores de búsqueda en la sociedad moderna, especialmente ante el interés de promover el ejercicio de las libertades de expresión e información.

Al referirnos al derecho al olvido debemos plantearnos las posiciones que surgen en relación con la responsabilidad de los buscadores de la red de internet sobre el tratamiento de los datos personales disponibles en ésta. Al respecto, algunos tradicionalistas han aseverado que la neutralidad del servicio de búsqueda constituye uno de los principales asideros sobre los que los buscadores de internet justifican su falta de responsabilidad sobre el tratamiento de datos16. Sin embargo, otros plantean que la capacidad del webmaster de decidir sobre la indexación de los contenidos de su red le convertiría en responsable directo y, en consecuencia, por ello debería garantizar el cumplimiento de la normativa sobre protección de datos personales17.

La sentencia del Tribunal de Justicia de la Unión Europea en el asunto Google Spain relativa al derecho al olvido18, de fecha 29 de diciembre de 2014, representa un esfuerzo importante para fijar ciertos criterios de actuación a los buscadores de la red de internet y establecer criterios comunes para atender a las peticiones de supresión de enlaces en los resultados de búsqueda a partir de sus datos personales. La sentencia establece en relación con el ejercicio del llamado derecho al olvido que los derechos que reconocen al interesado los artículo 7, respecto de la vida privada y familiar, y artículo 8, respecto de la protección de datos de carácter personal, de la Carta de los derechos fundamentales de la Unión Europea, en virtud de los cuales puede solicitar que la información de que se trate no figure en la lista de resultados del buscador, prevaleciendo los derechos de protección de datos personales, no sólo sobre el interés económico del gestor del motor de búsqueda, sino también sobre el interés del público en acceder a la información en una búsqueda sobre el nombre de esa persona.

Con base en el criterio establecido en la referida sentencia, se reconoce el derecho de los afectados a dirigirse en todo caso a la filial del buscador en su correspondiente Estado miembro en Europa, sin perjuicio de que el buscador pueda facilitar mecanismos específicos de reclamación de alcance internacional19. Cabe destacar que cuando los datos personales en cuestión pertenezcan a ciertos grupos, ello favorece que sean objeto de especial protección, lo que hace más probable que los datos sean suprimidos, como puede ocurrir en el caso relativo a menores de edad, así como en los casos relativos a discriminaciones basadas en origen racional, étnico, convicciones religiosas, salud, datos relativos a la vida personal (no laboral), datos cuyo tratamiento pueda perjudicar al afectado, datos respecto a los cuales la base para su difusión en la red de internet es el consentimiento del afectado que reclama su supresión, datos cuya difusión pueda suponer un riesgo para el afectado, los datos son incorrectos, o la información es obsoleta.

Otro factor a tener en cuenta, como en el caso Google Spain, en una revisión caso por caso, es si el afectado desempeña un papel en la vida pública, que favorece la apreciación de que la injerencia en sus derechos fundamentales puede ser justificada por el interés preponderante del público en acceder a la información, lo que podría condicionar que el enlace deba o no ser retirado. En tal sentido, se entenderá como personajes públicos a las personas que debido a sus funciones o actividades tienen una exposición a los medios. Así mismo, habría que determinar si la información objeto del enlace se presenta como una opinión personal o como un hecho objetivo, considerando que será más frecuente que deba ser suprimido un enlace cuando éste dirige a información que se presenta como un hecho objetivo si su contenido resulta incorrecto.

La sentencia Google Spain ha tenido como resultado la introducción por los principales buscadores disponibles en las plataformas de internet de mecanismos específicos para la presentación de reclamos por parte de aquellos afectados en la protección de los derechos de sus datos. La aproximación adoptada en la sentencia en cuestión conduce a un análisis casuístico basado en la ponderación de derechos fundamentales por parte de los motores de búsqueda responsables del tratamiento de datos personales, independientemente del control posterior que se verifique por las autoridades competentes. Sin embargo, aún no se dispone de los mecanismos idóneos y uniformes para atender las solicitudes de supresión de datos personales a nivel internacional.

La sentencia en cuestión ha abierto un amplio conducto para promover el respeto de los derechos de protección de datos personales, mediante el derecho al olvido, cuya aplicación se ha consolidado con ocasión de la entrada en vigencia del Reglamento General sobre Protección de Datos de la Unión Europea en mayo del año 2018, como mecanismo dirigido a favorecer la seguridad jurídica y la concreción del llamado derecho al olvido.

V. La regulación en materia de protección de datos personales aplicable a las plataformas de internet

La operatividad de la red de internet está basada en la independencia de su funcionamiento y la amplitud territorial de su plataforma, en función de las comunidades que las operan de forma descentralizada, imponiendo sus propias reglas de funcionamiento. Ante estas características, ha surgido una circunstancia sobrevenida consistente en la incapacidad de los ordenamientos jurídicos de los Estados para regular los flujos de información transfronterizos propios de la red de internet. 

Tales características han incidido en la limitada regulación a las actividades ejecutadas en la red de internet, algunas veces en perjuicio del respeto de derechos fundamentales individuales. Un factor que incide en la verificación de tal limitante es la tendencia a existir distancia geográfica entre las partes intervinientes en una relación o situación jurídica-privada, lo cual contribuye a reducir las posibilidades de garantizar el cumplimiento de la ley y la efectividad de sanciones en caso de producirse infracciones como resultado de su ejecutoria. Aunado a ello, las instituciones que establecen pautas de funcionamiento de la red de internet suelen adoptar decisiones que no están subordinadas en la práctica a la aprobación de las autoridades estatales, mientras enfocan su actividad en los aspectos técnicos de funcionamiento de la red de internet, los cuales tienen una incidencia limitada con respecto al ordenamiento de las actividades desarrolladas a través de dicha red.

Es fundamental comprender que la red de internet al funcionar en un espacio no presencial y en un entorno global, ha configurado una realidad social que requiere la alteración de ciertos paradigmas tradicionales, incluido el derecho y su aplicación de acuerdo a criterios propios de la era de tecnológica. Particulares retos surgen en relación, no solo con la protección de derechos fundamentales individuales, sino también con la contratación electrónica, la responsabilidad extracontractual por actividades en la red de internet, así como la protección de derechos inmateriales en plataformas electrónicas. Como punto de partida, debemos considerar situaciones análogas reguladas fuera del contexto de la red de internet para configurar un marco regulatorio con base en los ordenamientos jurídicos estatales. En tal sentido, serán aplicables los esquemas de tutela de protección de los consumidores, propiedad intelectual, condiciones contractuales abusivas, entre otros relevantes. Todos estos asuntos atendidos en las legislaciones estatales son en principio aplicables a las actividades desarrolladas en la red de internet. Sin embargo, se requiere cierta adaptabilidad regulatoria en función de las características de medio electrónico propio de la tecnología de la red de internet, tomando en consideración la desmaterialización de las actividades desarrolladas en ésta, así como su tratamiento probatorio. De allí surge la necesidad de transformar el Derecho y proporcionarle la dimensión necesaria para incorporar plenamente la totalidad de actividades y circunstancias vinculadas con la operatoria de la red de internet. La noción de seguridad jurídica es esencial en virtud del carácter multinacional de las actividades desarrolladas en la red de internet, especialmente ante la necesidad de otorgar certeza a las medidas de control en un Estado por actividades procedentes en otros Estados. La noción homogénea del principio de la autonomía de la voluntad de las partes y el respeto de los derechos fundamentales de los individuos constituyen referencias determinantes para harmonizar los criterios reguladores entre los Estados, con motivo de las actividades realizadas en la red de internet.

Internet exige la adaptación de ciertos planteamientos tradicionales en lo que concierne al ordenamiento jurídico aplicable y la identificación de la jurisdicción estatal competente, lo cual requiere adecuada coordinación internacional para superar cualquier evento de inseguridad jurídica que pudiera surgir con motivo de las actividades ejecutadas en la red de internet. Una variable crítica en el proceso de regulación de la red de internet es la dirección IP de todo usuario, puesto que se constituye en un mecanismo de geolocalización que determina las legislaciones aplicables para las actividades ejecutadas a través de internet, las eventuales infracciones determinadas y la jurisdicción competente.

En principio, la competencia es atribuida usualmente en función del territorio en el que son celebrados los actos, contratos, o producidos los daños. En tal sentido, los criterios aplicables según las reglas del Derecho Internacional Privado sirven de referencia para establecer pautas que resuelvan oportuna y debidamente las controversias surgidas como consecuencia de la ejecución de las actividades en la red de internet. Para ello los mecanismos de geolocalización pueden constituirse en instrumentos aptos para delimitar el alcance territorial de dichas actividades en la red de internet. Por tal razón, debemos contemplar una perspectiva flexible en relación con los puntos de contacto existentes entre las diferentes jurisdicciones vinculadas en la operatoria tecnológica sobre la que funciona la red de internet. De allí que resulta beneficiosa la progresiva armonización de criterios de derecho sustantivo y procesal entre las diferentes jurisdicciones en las que la red de internet desarrolla sus actividades.

A. F undamentos tradicionales de regulación y el internet

Si consideramos la relación Estado-sociedad, es responsabilidad de los poderes públicos atender los intereses generales y las necesidades de los ciudadanos. Esta responsabilidad se ve reflejada en la actividad económica a través de la actividad de policía desarrollada por el Estado, mediante la cual emite ordenes, que impone coactivamente para delimitar la actividad privada y evitar que ésta atente contra el orden público económico o afecte a los intereses generales. La globalización de las economías y la progresiva apertura a nivel mundial de la actividad económica en manos del sector privado recondujo la función del Estado de prestador de servicios a garante del funcionamiento y la calidad de los servicios, circunstancia que propulsó la función reguladora del Estado, entendida no como el poder de dictar normas, sino de utilizar todos los instrumentos, normativos y ejecutivos, precisos para orientar el funcionamiento de los mercados hacia la competencia e imponer obligaciones de servicio público a los operadores para que su natural afán de beneficio fuera compatible con las exigencias del interés general. Si el cambio de posición de Estado en relación con la economía se hizo de todo punto evidente, también lo fue la necesidad de ajustar los viejos paradigmas de intervención. Ese cambio es el que se expresa y concreta en la función pública de regulación20.

A partir de esta noción regulatoria el Estado hace las veces de garante del adecuado funcionamiento y buena calidad de los servicios, requiriendo que las empresas prestadoras de bienes y servicios dispongan de las condiciones necesarias para ser eficientes en su gestión con el fin de maximizar su utilidad y proporcionar satisfacción a los consumidores y usuarios. La regulación debe ir orientada, en consecuencia, a establecer pautas de funcionamiento que denoten flexibilidad en la operación empresarial, mientras se mantenga la vigilancia debida para intervenir según sea necesario para corregir los fallos de los mercados y procurar que se satisfagan principalmente a través de los mercados las necesidades públicas. No debe asumirse que la regulación se manifiesta necesariamente en un marco de competencia plena. Suficientes evidencias hay en economías desarrolladas, como la de los Estados Unidos, según las cuales la regulación ha permitido el mantenimiento de monopolios naturales, que han impedido la entrada de nuevos operadores, en tanto se promovía el establecimiento de grupos empresariales que prestaban una amplia gama de servicios. Tal es el caso de la plataforma de internet, donde un grupo reducido de empresas con alcance global ha logrado consolidarse en el estamento de la infraestructura de redes, logrando alcanzar un control superlativo de las diferentes modalidades de servicios disponibles en la red, así como ser capaces de limitar la capacidad de competencia de sus competidores. Tal limitación ha alcanzado a los usuarios de tales servicios, quienes han encontrado que los derechos de protección de los datos personales están siendo afectados en buena medida por la falta de límites apropiados en el uso de la información disponible en la red de internet y de aquella información privada producida con ocasión de su uso particular. El quid del asunto regulatorio pasa entonces por alcanzar un balance entre los derechos de protección de los datos personales, sin desincentivar la innovación y el desarrollo.

La concepción regulatoria del Estado tiene su origen en el proceso de intervención del Estado en la actividad económica para la prestación de servicios públicos necesarios para la colectividad. Posteriormente, los esfuerzos regulatorios estuvieron caracterizados por el interés del Estado en permitir la tutela indirecta de tales servicios por medio de la prestación controlada a través de empresas privadas, mediante esquemas de concesión otorgados por el Estado en favor de empresas del sector privado que operaban según los lineamientos establecidos en el régimen de concesión determinado al efecto. Luego, ante el proceso de globalización de la economía mundial ha habido una tendencia hacia los
procesos de privatización que han adjudicado a las empresas del sector privado la propiedad y operación de las actividades antes conducidas por el Estado, lo cual requirió que el Estado estableciera mecanismos de control y supervisión en las actividades económicas, sin alcanzar a intervenir en la gestión operativa o de dirección de tales empresas. Esta tendencia ha estado matizada en algunas economías subdesarrolladas por la reiterada e ineficiente expansión del Estado empresario, que compite con las empresas del sector privado como un participante privilegiado del mercado, al intervenir administrativamente en paralelo en la gestión de dichas empresas, según ocurre en países como Venezuela en pleno siglo XXI, hasta coartar de forma definitiva su capacidad de gestión autónoma, alcanzando o intentando alcanzar todas las formas de producción, transformación, transporte y prestación de servicios de cualquier clase. Semejante aproximación ha permitido configurar “empresas destinadas a la defensa nacional” bajo la directriz directa del Estado intervencionista. Tal accionar regulatorio representa un retroceso importante en el proceso de desarrollo económico de las naciones que lo intentan con los consecuentes resultados adversos para la sociedad intervenida por las condiciones de producción, rendimiento y precios impuestas por el Estado.

El retroceso regulatorio que intentamos describir en el ejemplo anterior contrasta de forma determinante con las tendencias globales de apertura económica prevalecientes en países con economías dinámicas.

El cambio de paradigma registrado al dejar a un lado la estatización para dirigir la actividad económica hacia un proceso de mayor liberación según el cual los consensos en materia regulatoria son determinantes para alcanzar y mantener el adecuado equilibrio entre la gestión empresarial con rasgos innovadores y la preservación del interés general de la sociedad conformada por consumidores de bienes y usuarios de servicios proporcionados por las empresas del sector privado al amparo de las directrices regulatorias establecidas por el Estado.

Pareciera que la meta en el asunto regulatorio y funcionamiento del mercado es promover la concurrencia de empresas públicas y privadas, según sea efectivamente necesario, en cualquier sector económico, siempre y cuando actúen en el marco de la economía de mercado. La historia ha evidenciado que las formas de regulación por parte del Estado pueden llegar a ser imprevisibles y matizadas por la inclinación de sesgos políticos aplicados por el Estado. Ante tal situación, la regulación debe caracterizarse como una herramienta de políticas públicas que promuevan innovación empresarial, aplicando mecanismos de corrección de los fallos del mercado con el fin de garantizar los intereses generales, mediante el impulso de instrumentos de cooperación entre reguladores, tal como ocurre en el seno de la Unión Europea, a fin de generar una armonizada centralización de las políticas de supervisión de los mercados.

El sector de las telecomunicaciones en la Unión Europea, los Estados Unidos y otras economías desarrolladas se ha caracterizado por una abierta liberación de competencia dirigida a promover una revolución tecnológica fundamental que permitiera afrontar la organización de las comunicaciones como conjunto y abrir los mercados a nuevos operadores y servicios, considerando que la amplitud de servicios disponibles  en el sector de telecomunicaciones tiene un potencial económico extraordinario, no solo por su incidencia en las tecnologías de comunicación, sino por su influencia en otros sectores económicos, tales como el financiero, de transporte y turismo, así como el intercambio de bienes y servicios en la economía digital. Sobre el particular, es pertinente recordar que con ocasión de la construcción del mercado libre de las telecomunicaciones, en las Directivas de la Comisión Europea 90/387 y 90/388, de fecha 28 de junio de 1990, se afirmó que…la protección de los consumidores no justifica restricciones a la libre prestación de servicios, ya que puede alcanzarse también en un régimen de libre competencia, y se señala que las únicas excepciones que pueden establecerse a aquella libre prestación son la integridad de la red pública de telecomunicaciones, la seguridad de su funcionamiento, la interoperabilidad y la protección de los datos21 22.

Con base en lo anterior, podemos concluir que se produjo entonces una liberalización integral del sector de las telecomunicaciones que apoyó de manera fundamental la expansión de la plataforma de internet y de los servicios disponibles en ésta.

Transcurridos cerca de treinta años de haberse generado esa apertura regulatoria, la dinámica de la economía digital y la necesidad de aplicar ajustes ante las distorsiones que atentan contra los derechos de protección de datos personales, ha generado movimientos de autorregulación originados a partir de las iniciativas adoptadas por las propias empresas que lideran las actividades en la plataforma del internet. De hecho, considerando la necesidad de consolidar el marco de libre competencia aplicable al sector de las telecomunicaciones electrónicas, progresivamente se han introducido modificaciones regulatorias que tienden a garantizar la protección de los derechos de los usuarios y la defensa de la competencia.

B. La autorregulación

La autorregulación es un fenómeno vinculado al proceso de globalización, puesto que la misma es primordialmente aplicable en los mercados que desarrollan su actividad en sectores fuertemente internacionalizados. Frente a la capacidad de autorregulación del mercado planteada por los economistas liberales, que postulaban la teoría de la “mano invisible” como mecanismo natural de autorregulación de los mercados, surge posteriormente la doctrina keynesiana, según la cual ciertos fallos estructurales de mercado deben ser corregidos mediante la acción reguladora del Estado. En tal sentido, el Libro Blanco sobre la Gobernanza Europea se refiere a la necesidad de fomentar la autorregulación23.

En la actualidad, la autorregulación es concebida como la articulación de nuevas estrategias reguladoras por parte de los poderes públicos para mejorar la participación y la responsabilidad de los particulares en el cumplimiento de ciertos objetivos de carácter público, preservando la eficiencia de la regulación estatal24.

La coexistencia de normas formales con otros instrumentos no formales hace que la autorregulación sea voluntaria y se sustente en la cooperación de todas las partes interesadas, sin las restricciones territoriales que afectan a los poderes públicos en comparación con el alcance globalizado que disfrutan los operadores económicos. Según entendemos, la autorregulación se configura como una estrategia estatal de regulación bajo diversas fórmulas de articulación jurídica. Como tal, la autorregulación consiste en la tendencia de los subsistemas de auto organizarse, a establecer su propio lenguaje, sus propios valores, sus códigos internos, sus procedimientos y sus protocolos de actuación, todo ello generando un encapsulamiento de los subsistemas; es decir, de la industria, de los mercados o de un específico sector profesional, por medio de la adopción de un “Derecho reflexivo, como instrumento capaz de comprender a la sociedad y sus dinámicas”25.

De allí surge la noción de “gobernanza”, entendida como un estilo novedoso de gobierno, distinto del modelo que apunta al control jerárquico y caracterizado por un mayor grado de cooperación y por la interacción entre lo público y lo privado26.

En los Estados Unidos, la autorregulación de las plataformas de internet y sus servicios se ha configurado como un esquema que responde a los estímulos, positivos o negativos, del Estado para promover la adopción de códigos de conducta o sistemas de autocontrol, cuando se pretende evitar la aprobación de una regulación pública más rigurosa en un determinado sector de actividad. El Derecho comunitario Europeo, por su parte, introduce y fomenta múltiples técnicas de autorregulación regulada sin recurrir al término autorregulación, sino más bien atiende a los organismos privados de autorregulación, la autorregulación profesional, las normas y los códigos de autorregulación, los acuerdos de
autorregulación y la corregulación. 

Como parte del esfuerzo de sistematizar el concepto de autorregulación en un contexto jurídico, en función de los eventuales términos de relacionamiento que pudieran surgir entre la autoridad gubernamental y la autorregulación, podemos identificar los siguientes esquemas relativos a:

• Autorregulación asignada o mandated self-regulation, aplicable a aquellos casos en los que la autoridad gubernamental asigna a una organización determinada funciones de autorregulación.

• Autorregulación sancionada o sanctioned self-regulation, aplicable cuando una colectividad o un grupo se autorregula y el contenido de la regulación está sujeto a la aprobación posterior de la autoridad gubernamental.

• Autorregulación forzada o coerced self-regulation, aplicable a las empresas que formulan y se imponen a sí mismas determinadas normas, como respuesta a determinados estímulos o amenazas de la autoridad gubernamental.

• Autorregulación voluntaria o voluntary self-regulation, aplicable a los supuestos en los que la promoción o mandato de autorregulación no está vinculada a una gestión de la autoridad gubernamental27.

Así entendida, la autorregulación no es una alternativa al Derecho, sino un complemento necesario, que adquiere relevancia en ciertas fases funcionales del procedimiento de producción, implantación y control de las normas28.

Muchos de estos instrumentos se vinculan con las fórmulas propias del denominado “derecho blando” o soft law propio de los sistemas jurídicos anglosajones. De hecho, la disposición armonizadora de normas ha suscitado la creciente complementariedad o sustitución de las leyes y reglamentos de origen estatal por normas técnicas, códigos de conducta y normas que reflejan buenas prácticas, elaboradas por operadores de un determinado sector económico o profesional. La aceptación de tales aportes técnicos contribuye en buena medida a otorgarle efectos jurídicos vinculantes a los instrumentos normativos de autorregulación. Sin perjuicio de las ventajas evidentes que reportan los esquemas de autorregulación, desde la perspectiva jurídica, es necesario considerar los eventuales problemas de legitimidad de la autorregulación, así como el potencial riesgo de que se produzca una disolución de responsabilidades entre los poderes públicos y los particulares, que conlleve a producir situaciones de indefensión de los ciudadanos y la falta de separación adecuada entre el regulador y el sujeto regulado en la formulación de normas tendentes a encubrir prácticas anticompetitivas. En virtud de los planteamientos anteriores, la autorregulación tendrá efectiva cabida en la medida que se configure como un instrumento eficaz y objetivo capaz de generar la confianza y el reconocimiento de los poderes públicos y los ciudadanos.

En medio de las controversias suscitadas por el inadecuado uso por parte de empresas de tecnología digital de la información personal de los usuarios de plataformas de internet y sus servicios accesorios, la autorregulación ha surgido como una alternativa para establecer un balance de forma consensuada entre la capacidad de generar innovación y nuevos negocios para las empresas del sector tecnológico en medio de amplias condiciones de competencia, por una parte, y, por la otra, la protección de los derechos individuales relativos a privacidad, protección de data y preservación del buen carácter de los usuarios de servicios en plataformas de internet.

En el ámbito de los Estados Unidos, l autorregulación en la industria de las plataformas de internet ha sido considerada como una solución preventiva ante la inminente imposición de regulación formal por parte de las autoridades gubernamentales en el sector tecnológico electrónico. La disyuntiva generada entre la protección del derecho de libertad de expresión, por una parte, y la protección de los derechos individuales de privacidad, intimidad, protección de datos personales, por la otra, ha colocado a las empresas líderes en la operatoria de las plataformas de internet en la necesidad de adoptar medidas proactivas dirigidas a delimitar más asertivamente el contenido de la información contenida en las plataformas de internet y evitar el uso indiscriminado de la información personal de los usuarios de dichos servicios tecnológicos. Sobre el particular, las empresas líderes en las plataformas de internet han comenzado, en algunas circunstancias, a adoptar posiciones que pudieran ser percibidas como reguladoras de ciertos contenidos disponibles para el público en las plataformas de internet, al remover información por ser ésta considerada inapropiada. Tales acciones han llegado a ser consideradas por los defensores de la libertad de expresión consagrada en la Primera Enmienda de la Constitución de los Estados Unidos como un proceso poco transparente de censura impuesto por empresas con un poder de publicidad consolidado que tienen la obligación de ser transparentes ante el público. Ante semejantes circunstancias, algunos críticos han advertido acerca de la necesidad de establecer políticas de “moderación de contenidos” disponibles en la plataforma de internet, mediante procedimientos transparentes que involucren a diferentes interesados, tales como organizaciones no gubernamentales, usuarios, empresas, y demás integrantes de la sociedad civil en general, con el fin de promover las mejores prácticas posibles, dirimir las controversias suscitadas y contradecir posiciones restrictivas de información asumidas por dichas empresas. Estas iniciativas identificadas como “content congress”, constituyen alternativas de autorregulación basadas en la multiplicidad de interesados, cuyos intereses convergen de una manera no vinculante, pero coordinada, transparente, con representación pública y relacionamiento con una industria dominada por algoritmos y máquinas. De tal manera, los proponentes de esta modalidad de autorregulación consideran que se establecería un conducto abierto de retroalimentación informativa para las empresas que integran la industria de plataformas de internet, mientras facilitan que los usuarios de las redes sociales dispongan de la debida atención de sus derechos de protección de datos29. El ICANN y su rol coordinador para la asignación y funcionamiento del sistema de dominios electrónicos constituyen un antecedente para la propuesta de autorregulación de la información contenida en las redes sociales según los términos descritos brevemente. Similar aproximación fue adoptada en la industria financiera de los Estados Unidos de América para coordinar las medidas necesarias con el fin de reducir el riesgo sistémico resultante de la alta volatilidad vinculada con la alta frecuencia de negociación de títulos valores, mediante la participación concertada de la autoridad regulatoria de la industria financiera (FINRA, por sus siglas en inglés) y las empresas y usuarios vinculadas con las actividades bursátiles en los Estados Unidos.

 C. R egulaciones de internet para la protección de datos personales en los Estados Unidos de América

Sin perjuicio de las ventajas aparentes de los procesos autorregulatorios, algunos críticos no han cesado de cuestionar los potenciales conflictos de interés en que pudieran incurrir las empresas que proporcionan acceso a las plataformas de internet y su contenido, al restringir o censurar la información disponible en la red. Algunos en los Estados Unidos argumentan que ninguno de los potenciales conflictos legales en relación con la eventual censura de información surgiría, si los proveedores de plataformas electrónicas en el internet fueran considerados editores, puesto que una de las obligaciones esenciales de un editor es decidir qué información sería objeto de publicación y cual no lo sería. Al respecto, cabe mencionar que la Corte Suprema de Justicia de los Estados Unidos sostuvo en la oportunidad de dictar sentencia en el caso Miami Herald v. Tornillo (1974) que la ley no puede imponer a los periódicos la obligación de imprimir las respuestas a los artículos publicados porque ello interferiría con su opción de seleccionar el contenido objeto de publicación. Sin embargo, las empresas que operan las plataformas de internet no desean ser tratadas como editores, en virtud de las obligaciones legales que asumirían, particularmente aquellas originadas de publicar una información difamatoria, o de violar un derecho de autor, en cuyo caso pudiera ser demandada, puesto que cualquier material que optara por publicar o no tendría efectos en su reputación. Las empresas de plataforma de internet, en lugar de editores, son consideradas como conductos o instrumentos utilizados por terceros para diseminar sus ideas. Este es el fundamento de la salvaguarda o “safe harbor provision” establecida en la 1996 Communications Decency Act, norma de referencia obligada en asuntos relacionados con la regulación de las plataformas de internet en los Estados Unidos de América, la cual consagra que las empresas proveedoras de plataformas de internet no son legalmente responsables de lo que otras personas publiquen en sus medios electrónicos. Dicha ley tenía como propósito inicial proteger secciones específicas de periódicos, pero su alcance se ha ampliado de una manera desproporcionada, que otorga protección acerca de cualquier información disponible en las redes sociales de las plataformas de internet. Esta situación plantea un problema de índole regulatorio, que se suscita ante la posibilidad de que las plataformas de internet en los Estados Unidos, según el caso de referencia antes aludido, pretendan beneficiarse de la exclusión de responsabilidad que recae usualmente sobre los editores, por la información difamatoria, inapropiada or ser privada, falsa o ilegalmente disponible en las plataformas de internet que atienden. Esta evidente dualidad es lo que ha generado movimientos promotores de regulación formal de las actividades en las plataformas de internet, con el fin primordial de establecer un balance entre innovación empresarial y tecnológica, por una parte, y por la otra, los derechos de protección de datos personales30.

Las empresas que sirven las plataformas de internet han desarrollado por años una estrategia de protección de sus intereses basada en evitar regulaciones federales o estatales en asuntos relacionados con la protección de los derechos de privacidad de los usuarios de las redes sociales. En tal sentido la Information Technology Industry Council –actuando en representación de empresas líderes en las plataformas de internet como Facebook, Amazon, Google, entre otras– ha mantenido a raya cualquier intento de acción sobre el particular por parte del gobierno federal de los Estados Unidos. Sin embargo, habiéndose transformado las plataformas de internet en conglomerados económicos con enorme capacidad para limitar la competencia en la industria de las telecomunicaciones digitales, se ha hecho inminente la posibilidad de que nueva regulación federal se dicte para establecer límites y un marco de referencia más adecuado a los términos de los derechos de protección de datos personales en las plataformas de internet, lo cual incluye protección de datos personales, controles acerca de información personal y prevención de prácticas discriminatorias o difamatorias, entre otras medidas relevantes. Las posibilidades de que la Comisión Federal de Comunicaciones opte, con base en un mandato legal que le otorgue el Congreso, por adoptar medidas regulatorias a nivel federal para preservar los derechos de protección de datos de los usuarios son cada vez más inminentes. Tal medida, si bien incrementaría los costos de transacción en el sector de las telecomunicaciones digitales, protegería irónicamente a las empresas proveedoras de plataformas de internet de tener que atender regulaciones aisladas que se dicten a nivel de los estados de la unión americana, las cuales ocasionarían ciertamente mayores costos regulatorios en virtud del interés de los estados de proteger en forma particular los intereses de sus respectivos ciudadanos31.

A nivel estadal en los Estados Unidos, California ha llevado la iniciativa regulatoria para promover la protección de los derechos de datos personales en las plataformas de internet. En junio de 2018 fue promulgada la ley de protección de datos personales en plataformas de internet, California Consumer Protection Act (“CCPA”, por sus siglas en inglés), otorgando protecciones sin precedentes a favor de los usuarios y su información personal. La referida ley pudiera configurarse como un modelo de protección de privacidad, susceptible de extenderse a lo largo y ancho de los Estados Unidos32. La ley en cuestión, modelada según el Reglamento General de Protección de Datos de la Unión Europea, entrará en vigencia en enero del año 202033; sin embargo, se constituye a partir de su promulgación en una referencia obligada sobre los derechos de protección de datos personales en la plataforma de internet, puesto que amplía el alcance del concepto de información personal y su protección, otorga el derecho a los consumidores residentes en el Estado de California de prohibir la venta a terceros de su información personal, así como optar por impedir la disponibilidad de dicha información personal a favor de terceros. El conjunto de normas aplica a todas las empresas proveedoras de plataformas de internet y sus servicios, así como a empresas que recolectan datos personales de usuarios en el Estado de California, y sus beneficiarios serán los usuarios de las plataformas de internet que sean residentes en dicha localidad. Como consecuencia de la aprobación de la referida ley, las empresas de tecnología digital ajustarán sus políticas y prácticas de negocio en aspectos relevantes de la industria del internet.

A los efectos de la ley, la “información personal” se define como “la información que identifica, se relaciona, describe, es capaz de estar asociada, o puede estar razonablemente relacionada, directa o indirectamente, con un consumidor u hogar en particular”. Si bien varias leyes del Estado de California definen la “información personal” de diferentes maneras, generalmente reconocen que la “información personal” es información que se puede utilizar para identificar a un individuo en particular. La definición de la ley está redactada de manera más amplia e incluye información que es identificable para un hogar, no necesariamente para un consumidor.

La ley otorga a los “consumidores”, definidos como personas físicas que son residentes del Estado de California, cuatro derechos básicos en relación con su información personal:

• el derecho a saber, a través de una política de privacidad general y con más detalles disponibles a petición, qué información personal ha recopilado una empresa sobre ellos, de dónde proviene, para qué se utiliza, si se divulga o se vende, y a quien se divulga o se vende;

• el derecho a “optar por no permitir” que una empresa venda su información personal a terceros, o para consumidores menores de 16 años, el derecho a no vender su información personal en ausencia de la opción de suscripción de sus padres o la de sus padres;

• el derecho de requerir a una empresa eliminar su información personal, con algunas excepciones; y

• el derecho a recibir servicios y precios iguales por parte de una empresa, incluso si ejercen sus derechos de privacidad según la ley.

La ley requiere que las protecciones mencionadas anteriormente estén disponibles para los “consumidores”, que se definen como residentes del Estado de California para fines impositivos. Sin embargo, la gran presencia poblacional y económica del Estado de California significa que muchas, si no la mayoría, de las empresas atienden a los consumidores del Estado de California, incluso si esas empresas no tienen presencia física en el dicho estado. Además, es probable que pocas compañías agrupen todos los requisitos de la ley para los residentes del Estado de California, ya que es difícil ofrecer un trato diferente en el sitio web a los residentes de un estado específico.

Como consecuencia de la entrada en vigencia de la ley, las empresas tendrán que hacer ciertas divulgaciones a los consumidores a través de sus políticas de privacidad, o de lo contrario en el momento en que se recopilan los datos personales. Por ejemplo, las empresas deben divulgar proactivamente la existencia y naturaleza de los derechos de los consumidores según la ley, las categorías de información personal que recopilan, los fines para los que se recopila esa información personal y las categorías de información personal que vendió o divulgó en los 12 meses anteriores. En términos de cumplimiento, estas disposiciones requerirán que las compañías determinen qué datos personales están recabando de particulares y con qué fines, y que actualicen sus políticas de privacidad cada 12 meses para hacer las divulgaciones que requiere la ley.

Las compañías que venden datos personales de consumidores a terceros deberán divulgar esa práctica y dar a los consumidores la posibilidad de optar por no participar de la venta mediante el suministro de un enlace titulado “No vender mi información personal” en la página principal de la empresa. Esto se conoce como el derecho a “optar por no participar”. Las empresas deberán determinar cómo pueden controlar sus prácticas de intercambio de datos personales y organizar la información solicitada en un breve período de tiempo de acuerdo con la solicitud de un interesado.

La ley también prohíbe a las empresas “discriminar” a los consumidores por ejercer sus derechos de privacidad en virtud de la ley.

Por lo tanto, las empresas no pueden negar bienes o servicios, cobrar precios diferentes por bienes o servicios, o proporcionar una calidad diferente de bienes o servicios a aquellos consumidores que ejercen sus derechos de privacidad. Sin embargo, la ley sí permite a las empresas cobrar un precio diferente o proporcionar un nivel diferente de servicio a un cliente “si esa diferencia está razonablemente relacionada con el valor proporcionado al consumidor por los datos personales del consumidor”. Así mismo, las empresas pueden ofrecer incentivos financieros a los consumidores para la recopilación, venta o eliminación de información personal, sujeto a condiciones específicas y requisitos de notificación.

La ley se aplicará a empresas con fines de lucro que recopilan y controlan información personal de residentes del Estado de California, aquellos que hacen negocios en el Estado de California y (i) los que tienen ingresos brutos anuales superiores a $ 25 millones; o (ii) reciban o divulguen la información personal de 50,000 o más residentes, hogares o dispositivos del Estado de California, anualmente; o (iii) obtienen 50 por ciento o más de sus ingresos anuales de la venta de información personal de los residentes del Estado de California. La ley también atrae a afiliados corporativos de tales negocios que comparten su marca. Esto significa que las organizaciones sin fines de lucro, pequeñas empresas y/o aquellas que no trafican con grandes cantidades de información personal y que no comparten una marca con un afiliado que esté cubierto por la ley, no tendrán que cumplir con ésta. Una empresa también estará exenta de sus obligaciones de cumplimiento en virtud de la ley “si cada aspecto de la conducta comercial tiene lugar totalmente fuera del Estado de California”.

La ley también proporciona un derecho de acción privado que permite a los consumidores solicitar, ya sea individualmente o como clase, daños legales o reales y medidas cautelares u otro tipo de reparación, si su información personal confidencial es objeto de acceso no autorizado, robo o divulgación como resultado de la falla de una empresa para implementar y mantener los procedimientos de seguridad razonables requeridos. Los daños legales pueden ser de entre $ 100 y $ 750 por residente del Estado de California por incidente o daños reales, cualquiera que sea mayor.

La California Consumer Protection Act surge como potencial instrumento para modificar el panorama de la ley de privacidad en los Estados Unidos de América, no solo en el Estado de California. Como se describió anteriormente, la protección de la ley de los “consumidores” radicados en California significa que muchas empresas, incluso las que se encuentran fuera del Estado de California e incluso fuera de los  Estados Unidos de América, estarán sujetas a sus requisitos. Las empresas incurrirán en costos de cumplimiento significativos para actualizar los procedimientos, las políticas y los sitios de red digital de acuerdo con la nueva ley34.

D. Regulaciones de internet para los derechos de protección de datos personales en la Unión Europea

Previo a la entrada en vigencia del Reglamento General de Protección de datos (RGPD) de la Unión Europea en mayo de 2018, la Directiva 95/46/CE del Parlamento Europeo y del Consejo del 24 de octubre de 1995 constituía la principal referencia regulatoria en materia de los derechos de protección de datos personales. Bajo su implementación y cumplimiento, los Estados miembros de la Unión Europea han ido hilvanando acciones, en paralelo al establecimiento de regulaciones de carácter nacional, para la protección de los derechos relacionados con los datos personales. Tales gestiones no han sido el resultado de un accionar aislado, sino más bien cohesionado en el tiempo para alcanzar el ansiado equilibrio entre la promoción de la innovación tecnológica, competencia y desarrollo económico, por un lado, y por el otro, la implementación apropiada de los derechos de protección de datos personales en la red de internet. Aunque los objetivos y principios de la Directiva 95/46/CE siguen siendo válidos, ello no ha impedido que la protección de los datos en el territorio de la Unión se aplique de manera fragmentada, ni la inseguridad jurídica ni una percepción generalizada entre la opinión pública de que existen riesgos importantes para la protección de las personas físicas, en particular en relación con las actividades en línea.

El RGPD de 27 de abril de 201635 representa un avance regulatorio denotado en favor del desarrollo de la actividad económica digital y los derechos de los particulares para y por quien esta actividad económica es desarrollada. 

Entre los principales aspectos regulatorios del RGPD en materia de los derechos de protección de datos personales en la red de internet, podemos resaltar los siguientes: 

• El buen funcionamiento del mercado interior exige que la libre circulación de los datos personales en la Unión Europea no sea restringida ni prohibida por motivos relacionados con la protección de las personas físicas en lo que respecta al tratamiento de datos personales.

• La protección otorgada por el RGPD debe aplicarse a las personas físicas, independientemente de su nacionalidad o de su lugar de residencia, en relación con el tratamiento de sus datos personales.

• No se excluye el Derecho de los Estados miembros que determina las circunstancias relativas a situaciones específicas de tratamiento, incluida la indicación pormenorizada de las condiciones en las que el tratamiento de datos personales es lícito.

• Las autoridades públicas a las que se comunican datos personales en virtud de una obligación legal para el ejercicio de su misión oficial, como las autoridades fiscales y aduaneras, las unidades de investigación financiera, las autoridades administrativas independientes o los organismos de supervisión de los mercados financieros encargados de la reglamentación y supervisión de los mercados de valores, no deben considerarse destinatarios de datos si reciben datos personales que son necesarios para llevar a cabo una investigación concreta de interés general, de conformidad con el Derecho de la Unión Europea o de los Estados miembros.

• El consentimiento debe darse mediante un acto afirmativo claro que refleje una manifestación de voluntad libre, específica, informada, e inequívoca del interesado de aceptar el tratamiento de datos de carácter personal que le conciernen, como una declaración por escrito, inclusive por medios electrónicos, o una declaración verbal. Por tanto, el silencio, las casillas ya marcadas o la inacción no deben constituir consentimiento.

• Cuando el tratamiento se lleva a cabo con el consentimiento del interesado, el responsable del tratamiento debe ser capaz de demostrar que aquel ha dado su consentimiento a la operación de tratamiento. En particular en el contexto de una declaración por escrito efectuada sobre otro asunto, debe haber garantías de que el interesado es consciente del hecho de que da su consentimiento y de la medida en que lo hace.

 • La protección efectiva de los datos personales en la Unión Europea exige que se refuercen y especifiquen los derechos de los interesados y las obligaciones de quienes tratan y determinan el tratamiento de los datos de carácter personal, y que en los Estados miembros se reconozcan poderes equivalentes para supervisar y garantizar el cumplimiento de las normas relativas a la protección de los datos de carácter personal y las infracciones se castiguen con sanciones equivalentes.

• A fin de reforzar el “derecho al olvido” en el entorno en línea, el derecho de supresión debe ampliarse de tal forma que el responsable del tratamiento que haya hecho públicos datos personales esté obligado a indicar a los responsables del tratamiento que estén tratando tales datos personales que supriman todo enlace a ellos, o las copias o réplicas de tales datos. Al proceder así, dicho responsable debe tomar medidas razonables, teniendo en cuenta la tecnología y los medios a su disposición, incluidas las medidas técnicas, para informar de la solicitud del interesado a los responsables que estén tratando los datos personales.

• Los flujos transfronterizos de datos personales a, y desde, países no pertenecientes a la Unión Europea y organizaciones internacionales son necesarios para la expansión del comercio y la cooperación internacionales. El aumento de estos flujos plantea nuevos retos e inquietudes en lo que respecta a la protección de los datos de carácter personal. No obstante, si los datos personales se transfieren de la Unión Europea a responsables, encargados u otros destinatarios en terceros países o a organizaciones internacionales, esto no debe menoscabar el nivel de protección de las personas físicas garantizado en la Unión Europea por el presente Reglamento, ni siquiera en las transferencias ulteriores de datos personales desde el tercer país u organización internacional a responsables y encargados en el mismo u otro tercer país u organización internacional.

• La Comisión puede decidir, con efectos para toda la Unión Europea, que un tercer país, un territorio o un sector específico de un tercer país, o una organización internacional ofrece un nivel de protección de datos adecuado, aportando de esta forma en toda la Unión Europea seguridad y uniformidad jurídicas en lo que se refiere al tercer país u organización internacional que se considera ofrece tal nivel de protección. En consonancia con los valores fundamentales en los que se basa la Unión Europea, en particular la protección de los derechos humanos, la Comisión, en su evaluación del tercer país, o de un territorio o un sector específico de un tercer país, debe tener en cuenta de qué manera respeta un determinado tercer país respeta el Estado de Derecho, el acceso a la justicia y las normas y criterios internacionales en materia de derechos humanos y su Derecho general y sectorial, incluida la legislación relativa a la seguridad pública, la defensa y la seguridad nacional, así como el orden público y el Derecho penal.

• Algunos países adoptan leyes, reglamentaciones y otros actos jurídicos con los que se pretende regular directamente las actividades de tratamiento de personas físicas y jurídicas bajo jurisdicción de los Estados miembros. Esto puede incluir sentencias de órganos jurisdiccionales o decisiones de autoridades administrativas de terceros países que obliguen a un responsable o un encargado del tratamiento a transferir o comunicar datos personales, y que no se basen en un acuerdo internacional, como un tratado de asistencia judicial mutua, en vigor entre el tercer país requirente y la Unión Europea o un Estado miembro. La aplicación extraterritorial de dichas leyes, reglamentaciones y otros la protección de las personas  ísicas garantizada en la Unión Europea en virtud del presente Reglamento. Las transferencias solo deben autorizarse cuando se cumplan las condiciones del presente Reglamento relativas a las transferencias a terceros países. Tal puede ser el caso, entre otros, cuando la comunicación sea necesaria por una razón importante de interés público reconocida por el Derecho de la Unión Europea o de los Estados miembros aplicable al responsable del tratamiento. 

• El RGPD establece expresamente el derecho de todo interesado a solicitar una indemnización por los daños y perjuicios materiales e inmateriales que hubiese sufrido como consecuencia de una infracción por parte del responsable o el encargado.

E. Regulaciones diversas en América Latina para los derechos

de protección de datos personales en internet Con el auge de la economía digital cabe destacar los cambios verificados en las prácticas que desarrollaron los propios individuos, ya que cada vez más personas realizan transacciones comerciales en línea. La legislación sobre protección de datos personales y su posterior expansión, cobra particular importancia, no solo en los Estados Unidos y en la Unión Europea, sino en los demás países impactados por la presencia globalizada del internet, producto del desarrollo tecnológico y la aparición de prácticas comerciales que colocan al manejo de datos personales en el centro del modelo de negocios de numerosas empresas. Las constituciones en América Latina reconocen de forma general el derecho a la privacidad, pero también incluyen el llamado recurso de hábeas data, que es el derecho a la protección de los datos personales, tal como ocurre en las constituciones de Argentina, Brasil, Colombia, México, Perú y Venezuela.

Las legislaciones latinoamericanas se han desarrollado mayormente siguiendo la inspiración del sistema continental europeo; puesto que los países de la región han privilegiado la distinción entre derecho a la privacidad y el derecho a la autodeterminación informativa, como figuras legales diferenciadas. El sistema europeo de protección de datos personales tiene vocación armonizadora y contiene marcadas referencias a la protección de otros derechos humanos, la ponderación entre los mismos, y el libre flujo de datos tendiente a posibilitar el desarrollo de la economía digital, razón por la cual varios países latinoamericanos han adoptado sistemas de protección inspirados en la normativa europea, con particular énfasis en las disposiciones normativas de España.

La tendencia legislativa en materia de protección de datos personales, lo cual no ha sido excepción en los países de América Latina que han adoptado legislaciones de protección de datos personales, toma como referencia relevante el respeto de derechos básicos que incluyen la posibilidad de (i) exigir al responsable de una base de datos información sobre los datos relativos a su persona que se encuentran en dicha base, como por ejemplo su procedencia y destinatario, propósito del almacenamiento, individualización de quiénes reciben los datos; (ii) solicitar al responsable de una base de datos que corrija, actualice o modifique los datos si así correspondiese, por ser inexactos, erróneos, equívocos o incompletos; (iii) solicitar la eliminación del dato cuando el almacenamiento carezca del fundamento legal o el dato estuviere caduco; y (iv) solicitar la eliminación o bloqueo cuando se haya proporcionado un dato en forma voluntaria, o se usen para comunicaciones comerciales y no se desee seguir figurando en dicha base.

Los sistemas de protección de datos personales de Argentina y Uruguay ya se encuentran alineados con los estándares europeos previstos inicialmente por la anterior Directiva 95/46/CE, habiendo Uruguay formalizado su adhesión al Convenio 108 del Consejo de Europa para la Protección de las Personas con respecto al tratamiento automatizado de datos de carácter personal en agosto de 2013.

Cabe resaltar que la legislación de Chile incluye al menos tres de los principios de protección de datos personales contemplados en el RGPD, correspondiendo estos al principio de finalidad, el principio de calidad de los datos y el principio de licitud. Por su parte, la legislación mexicana consagra los principios de licitud y lealtad, consentimiento, finalidad, proporcionalidad, calidad, responsabilidad e información. En lo que concierne a la legislación del Brasil, se establece cuatro principios para el tratamiento de datos, entre los que se encuentran los principios de transparencia, de minimización, de limitación en el plazo de conservación y de finalidad, mientras que la legislación argentina reconoce los principios de licitud, transparencia, finalidad, exactitud, necesidad, confidencialidad y limitación del plazo de conservación.

En relación con el consentimiento, el consentimiento tiende a establecerse en las disposiciones legislativas de varios países de la región latinoamericana como la regla general para la licitud de todo tratamiento de datos personales y los casos en los que no se necesita dicho consentimiento están configurados como excepciones a dicha regla.

Por último, en cuanto concierne a la eventual indemnización por daños y perjuicios causados por el indebido uso de los datos personales de los individuos afectados, las disposiciones normativas tienden en general a establecer la compensación de daños y perjuicios, ya sea mediante previsiones específicas al respecto o por remisiones generales a la ley civil.

Aun cuando varios países en América Latina, principalmente Argentina, Uruguay, Chile, México y Brasil, han sido particularmente proactivos en la implementación de disposiciones legislativas dirigidas a proteger los datos personales de los múltiples usuarios en la red de internet, resta mucho por incorporar a todos los países del continente en la tendencia liderada por la Unión Europea. Mientras ello no ocurra, las posibilidades de otorgar una protección armonizada y eficiente seguirá siendo limitada o insuficiente, ocasionando perjuicios importantes a una población que está cada día más inmersa en la economía digital y sus plataformas de servicios36.

VI. P erspectivas y desafíos acerca del derecho de protección de datos personales en las plataformas de internet
El caso de Edward Snowden y las revelaciones surgidas en el año 2013, acerca de la existencia de programas de vigilancia de internet por los poderes públicos en diferentes naciones, ha resaltado la supervisión continuada de la información y datos personales disponibles en las plataformas de internet. Así mismo, el uso indebido por parte de la empresa Cambridge Analytica de aproximadamente 87 millones de cuentas y los datos personales de usuarios de Facebook con ocasión de las elecciones presidenciales del año 2016 en los Estados Unidos, ha causado una enorme preocupación en la comunidad digital, sus usuarios y las entidades regulatorias acerca de la falta de eficacia en las medidas de protección de datos personales aplicadas por la empresas que disponen de plataformas digitales en la red de internet.37 Estas circunstancias, por citar solo dos casos emblemáticos, no han afectado únicamente a ciudadanos de la Unión europea y de los Estados Unidos de América, puesto que se ha evidenciado el sistemático menoscabo del derecho a la protección de datos personales y otros derechos fundamentales en otras latitudes geográficas. El reto planteado por lo tanto es establecer un adecuado equilibrio entre la protección adecuada de los datos personales en internet y la preservación de la capacidad innovadora de las empresas que desarrollan su actividad empresarial en la red de internet. La legislación de la Unión Europea, en general, y el RGPD, en particular, proporcionan ciertos principios referenciales en lo relativo a la protección de los datos personales. El RGPD contiene una serie de principios que deberán observarse en todo tratamiento de datos, debiendo éstos ser tratados de manera lícita (de acuerdo a lo previsto en la ley), leal (con base en la buena fe) y transparente (con claridad de propósito de recolección) en relación con el interesado. Por ello los datos deberán ser recogidos con fines determinados, explícitos y legítimos, y no serán tratados ulteriormente de manera incompatible con dichos fines; los datos deberán ser exactos y, si fuera necesario, actualizados; se deberá adoptar todas las medidas razonables para que se supriman o rectifiquen sin dilación los datos personales que sean inexactos con respecto a los fines para los que se tratan; los datos deberán ser mantenidos de forma que se permita la identificación de los interesados durante no más tiempo del necesario para los fines del tratamiento de los datos personales; los datos personales podrán conservarse durante períodos más largos siempre que se traten exclusivamente con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos; los datos deberán ser tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas; los datos deberán ser adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados.

A. Perspectivas

La rápida evolución tecnológica y la globalización han planteado nuevos retos para la protección de los datos personales. La magnitud de la obtención y del intercambio de datos personales ha aumentado de manera significativa. La tecnología permite que tanto las empresas privadas como las autoridades públicas utilicen datos personales en una escala sin precedentes a la hora de realizar sus actividades, por lo que si bien el derecho a la protección de los datos personales no es un derecho absoluto si debe considerarse en relación con su función en la sociedad y promoverse el equilibrio con otros derechos fundamentales, con arreglo al principio de proporcionalidad.

Estos avances requieren un marco más sólido y coherente para la protección de datos a nivel internacional, respaldado por una ejecución estricta, dada la importancia de generar la confianza que permita a la economía digital desarrollarse. Las personas físicas deben tener el control de sus propios datos personales, por lo que debe garantizarse a nivel internacional que la aplicación de las normas de protección de los derechos y libertades fundamentales de las personas físicas en relación con el tratamiento de datos de carácter personal sea eficiente, coherente y homogénea. Así mismo, si bien la plataforma de la red de internet debe promover la libertad de expresión, la información personal disponible en las redes debe ser fidedigna y veraz, con el fin de evitar ocasionar daños irreparables a las personas. De ahí radica la importancia de disponer de mecanismos efectivos para suprimir información disponible en la red de internet según los criterios establecidos en el llamado “derecho al olvido” o de supresión de datos que satisfagan requisitos mínimos de protección establecidos, por ejemplo, en el RGPD de la Unión Europea.

En Europa, el derecho a la protección de los datos personales tiene reconocimiento legal como derecho distinto al derecho a la privacidad.

La protección de las personas físicas en relación con el tratamiento de datos personales es un derecho fundamental. El artículo 8, apartado 1, de la Carta de los Derechos Fundamentales de la Unión Europea y el artículo 16, apartado 1, del Tratado de Funcionamiento de la Unión Europea establecen que toda persona tiene derecho a la protección de los datos de carácter personal que le conciernan38.

Los principios y normas relativos a la protección de las personas físicas en lo que respecta al tratamiento de sus datos de carácter personal deben, cualquiera que sea su nacionalidad o residencia, respetar sus libertades y derechos fundamentales, en particular el derecho a la protección de los datos de carácter personal.

La Directiva 95/46/CE del Parlamento Europeo y del Consejo trata de armonizar la protección de los derechos y las libertades fundamentales de las personas físicas en relación con las actividades de tratamiento de datos de carácter personal y garantizar la libre circulación de estos datos entre los Estados miembros.

Cabe resaltar que si bien las legislaciones en materia de protección de datos personales en la red de internet tienden a tener criterios de protección similares a los establecidos en las legislaciones de la Unión Europea y de España, tal tendencia no se ha producido aún de manera sistemática en relación con el derecho de supresión de datos, en parte, porque el derecho al olvido fue reconocido recientemente en la antes aludida sentencia Google Spain y su contenido refrendado en el RGPD de la Unión Europea vigente a partir de mayo del año 2018. La adopción del derecho de supresión de datos personales es de importancia determinante para garantizar la preservación y ejecutoriedad de los derechos de protección de datos personales ante el creciente desarrollo de las plataformas de las redes de internet a nivel mundial.

A pesar de los enormes avances alcanzados en materia de protección de datos personales, se requiere ampliar el alcance de aplicación de los derechos consagrados en las diferentes legislaciones que atienden estos asuntos, mediante una aplicación regulatoria armoniosa y homogénea que no establezca discriminaciones con base en la nacionalidad o el lugar de residencia de los afectados, reconociendo así el amplio espectro de la red de internet y de las actividades económicas desplegadas a través de ésta. Sobre el particular, cabe acotar que sería inadecuado que un individuo no tuviera cualidad para solicitar el ejercicio del derecho de supresión de datos al amparo del RGPD por el hecho de no ser ciudadano o residente de un estado miembro de la Unión Europea, a pesar de que la circunstancia que pudo haber dado origen a la publicación indebida en la red de internet estuviere primordialmente relacionada con, por ejemplo, la adquisición de bienes o la prestación de servicios localizados en dicho estado de la Unión Europea. Con ello estamos abogando por el levantamiento de restricciones discriminatorias contra individuos por no ser ciudadanos o residentes de algún estado de la Unión Europea en el ejercicio del derecho al olvido o de supresión de datos. Más que la residencia o ciudadanía, pareciera que lo determinante por verificar fehacientemente y de modo amplio es la cualidad para ejercer el derecho de supresión de datos mediante la determinación de los puntos de contacto que pudiera haber tenido el solicitante con ocasión de la circunstancia que habría dado origen a la publicación de información o de datos personales objeto de la solicitud de supresión.

B. Desafíos

Considerando las perspectivas planteadas surgen desafíos importantes para asegurar la Internacionalización y armonización de las medidas de protección de derechos de datos en las plataformas de internet, incluyendo el ejercicio efectivo del derecho al olvido digital o de supresión de datos en la red a nivel internacional. De allí la relevancia de profundizar en los eventuales aportes que pudiera otorgar el Derecho Internacional Privado ante el efecto del internet en los derechos de protección de datos personales.

De manera específica, se requiere priorizar la atención en el fortalecimiento de los estándares de protección de los datos personales y sus mecanismos de ejecución a nivel transfronterizo, asegurando el mejor tratamiento posible de los datos personales Especial atención requiere la generación de vías más efectivas de información para el individuo, que sea clara, concisa y pertinente y le posibilite la comprensión adecuada del uso de sus datos personales.

Es necesario generar mecanismos dinámicos y de amplia y diversificada participación que permitan identificar y contener los riesgos generados por los avances tecnológicos para proporcionar la adecuada relevancia a la noción de consentimiento, con participación de los diversos sectores involucrados, entre los que se encuentran funcionarios de protección de datos, el sector privado y técnico, la academia y la sociedad civil, entre otros, para promover la adecuada identificación, comprensión, contención y conciliación de estas situaciones, y así procurar la generación de alternativas coherentes con el derecho de autodeterminación informativa, como parte integrante de los derechos humanos de los individuos.

Por último, un aspecto sobre el cual no podemos dejar de hacer énfasis reside en el desafío que representa la necesidad de propiciar la armonización legislativa para promover la protección de los datos personales, con una visión amplia, cónsona con el alcance que caracteriza a la red de internet, que tome en consideración los niveles de innovación de la economía digital, así como las necesidades de los diversos sectores que requieren el uso de datos personales para desarrollar una multiplicidad de actividades.