Dentro del laberinto (de la legitimación)

Esto de las bases de legitimación no es sencillo. Tiene su enjundia. Cuando la cosa se pone un poco enrevesada hay que exprimir el limón bien. A estas alturas, todavía sigo a vueltas con las bases de legitimación para el tratamiento de datos y en especial con el consentimiento y el interés legítimo. Y lo que nos queda…

Sigo, decía, porque acabo de encontrarme de nuevo con un “Es que nos han dicho que tenemos que tener autorización para hacer la factura”.Bueno, pues vamos a ver si es verdad.

La autorización para contratar no tendría porqué ir vinculada al tratamiento de datos, de hecho, es que no puede ya que si no tal vez el consentimiento no sería libre y voluntario.Pero es que una cosa es consentir unas obligaciones contractuales y otra el tratamiento de datos. Obligarse legalmente requerirá un consentimiento con todas sus garantías pero el tratamiento de los datos ya no se basará en ese caso sobre el consentimiento sino en la propia ejecución de lo contratado.

Pongamos un ejemplo: para facturar un servicio o un producto no requiero de consentimiento del titular de los datos. ¿Y esto por qué? Pues, entre otras cosas,porque no lo obtendría nunca y menos en este país. Cuando nos encontramos ante la celebración de un contrato o de medidas precontractuales y un acuerdo de voluntades obliga a las partes con fuerza de ley, la base legal que permite llevar a cabo el tratamiento es esa. No el consentimiento. No. Never, never, never. Para llevar a cabo la prestación de servicios el tratamiento de datos es necesario y preceptivo. “Period” que diría Heinsenberg.

Por tanto, si usted compra un libro, por ejemplo, y pide factura y le dicen que si no les presta consentimiento no se la pueden hacer, váyase directamente a otro sitio que tenga las ideas más claras. Ya verá como así aprenden.

Sí que necesitará consentimiento cualquier otro tratamiento digamos accesorio a la prestación principalcomo, por ejemplo, tenerle fichado para futuras compras o saber sus gustos. Pero ojo: que el consentimiento no tiene que ser expreso (para eso ya está el café a poder ser templado), tiene que ser explícito o mediante una acción claramente afirmativa.

El interés público y el interés legítimo también tienen lo suyo. Vamos a verlo con el ejemplo de las cámaras de videovigilancia y de paso empiezo por decir lo que opino sobre ellas. El 80% no valen para nada y la mayoría cumplen con finalidades que no son las que se declaran realmente.

Cuando hablamos de videovigilancia hay que distinguir quién la hace y en dónde se hace. Si es en un espacio público, cuya competencia además para hacerlo corresponde a las Fuerzas y Cuerpos de Seguridad del Estado, la base legitimadora es el interés público.

¿Cuál cree que es la base legitimadorasi se lleva a cabo en espacios privados? Seguramente tiene una respuesta en mente: La Ley de Seguridad Privada. Va bien encaminado pero no del todo. Porque la cosa no se queda ahí. La Ley de Seguridad Privada habilita o permite llevar a cabo videovigilancia en determinadas circunstancias, pero no le obliga. Por tanto, si pensaba que estábamos en el mismo supuesto de interés público, error.

Podría ser así si una norma de rango legal me obligase a grabar, como en el caso de una entidad financiera, ya que aplican normas específicas al respecto y sí, ahí la base de legitimación viene determinada por el cumplimiento legal.

¿Podría en el caso de los trabajadores alegar el cumplimiento o ejecución de un contrato? Tampoco se puede alegar tal cosa cuando se instalan con fines de control laboral en unas instalaciones fabriles, a pesar de que haya una previsión (el art 20.3 del Estatuto de los Trabajadores) que permite a modo de cajón de sastre ejercer facultades de control y supervisión por parte del empresario.

¿Entonces? Entonces la base de legitimación ya la sabe, la sabe desde el principio aunque le llamamos por nombres distintos. El empresario entiende que las puede poner porque sí. Porque para eso es el empresario y quiere saber qué pasa en su casa. Nosotros los juristas le llamamos interés legítimo.

Ocurre que – al basarse en el interés legítimo (y tan legítimo oiga)- debe de llevarse a cabo un juicio de ponderación, es decir, analizar qué voy a hacer, cómo lo voy a hacer y si estoy haciendo algo que violente los derechos y libertades fundamentales de las personas objeto de grabación.

WTF! ¿Pero qué me estás contando? ¿Qué es eso de la ponderación? Pues nada nuevo en el horizonte. Antes del RGPD (Sí, en aquel universo yermo y desangelado que alberga la eterna lucha entre Optimus Prime y Megatron) y en base a la jurisprudencia ya consolidada por el Tribunale Constitucional o incluso del TEDH, cualquier sistema de videovigilancia debía y debe responder a los juicios de necesidad, oportunidad y proporcionalidad, lo cual es de toda la vida y así de claro clarinete, un juicio de ponderación. Pero ojo que un sistema de fichaje por huella dactilar también lo precisa, lo que ocurre es que quien le va a vender el sistema no le cuenta esa parte y solo le habla de lo avanzado que es ese sistema, que es lo más de lo más y si no lo tienes estás muerto. Que total ya vendrá después el de protección de datos a arreglarlo.

Pero no olvidarsus de la Ley de Seguridad Privada. Sobre ella se sustenta parte del interés legítimo y el juicio de ponderación. Es decir me va a servir para justificarlo y empezar a construir el castillo, eso y la. Y no olvidarsus también de la LOPDGDD que sobre videovigilancia y tratamientos de datos en el ámbito laboral habla lo suyo.

Y ahora frases lapidarias para que entre en juego el VAR:

  • Los sistemas de videovigilancia de bares y cafeterías no cumplen, ni el primero, con el juicio de ponderación y por tanto con el interés legítimo.
  • Sólo si la norma legal de referencia es de obligado cumplimiento o nace de una obligación cogente a través de la norma legal, puedo tenerla como base de legitimación para el tratamiento de los datos.
  • No puede ejercer derechos como la portabilidad a otro responsable en sistemas de videovigilancia. Pruebe a oponerse a todo o parte del tratamiento o a limitar su uso. Si lo consigue avíseme, yo pago la mariscada.