En el anterior post afirmé que el derecho a la portabilidad de los datos, tal y como está redactado en la propuesta, crea más problemas que soluciona. Es muy fácil que de aquí a que se apruebe como definitivo, sufra modificaciones. Veamos a continuación lo que dice:

1. Cuando se traten datos personales por vía electrónica en un formato estructurado comúnmente utilizado, el interesado tendrá derecho a obtener del responsable del tratamiento una copia de los datos objeto de tratamiento en un formato electrónico estructurado y comúnmente utilizado que le permita seguir utilizándolos.

2. Cuando el interesado haya facilitado los datos personales y el tratamiento se base en el consentimiento o en un contrato, tendrá derecho a transmitir dichos datos personales y cualquier otra información que haya facilitado y que se conserve en un sistema de tratamiento automatizado a otro sistema en un formato electrónico comúnmente utilizado, sin impedimentos por parte del responsable del tratamiento de quien se retiren los datos personales.

3. La Comisión podrá especificar el formato electrónico contemplado en el apartado 1 y las normas técnicas, modalidades y procedimientos para la transmisión de datos personales de conformidad con lo dispuesto en el apartado 2. Dichos actos de ejecución se adoptarán con arreglo al procedimiento de examen contemplado en el artículo 87, apartado 2.

La primera cuestión que habrá que dilucidar es qué cabe entender por “formato estructurado comúnmente utilizado”. En ninguna parte de la propuesta de Reglamento se habla de ello, y sin embargo, es lo principal en el artículo. Se ha dejado la la Comisión la tarea de especificarlo, indicando formatos,  normas técnicas, modalidades y procedimientos para la transmisión de los datos.

Si la empresa no trabaja con un formato que sea común, no estaría obligada a cumplir con la obligación de facilitar la portabilidad, o al menos eso entiendo. Esta es la primera razón por la que la redacción del artículo es fallida. Si se condiciona este pretendido nuevo derecho a que los tratamientos se realicen con en formatos de uso común, se pierde la neutralidad tecnológica que hubiera permitido extender esta obligación a cualquier tratamiento. A mi juicio, buscar la interoperabilidad es bueno, pero una norma sobre datos personales no es el lugar más adecuado, y menos mezclándola con el ejercicio de un derecho.

Hice referencia al discurso de Almunia porque en él vemos parte del origen de este nuevo derecho: la libre  competencia. El regulador se ha dado cuenta de que los datos son la mercancía con la que se van a empezar a librar verdaderas batallas entre empresas, y espera que facilitando la portabilidad, las empresas de nueva creación puedan acceder a la información que los mismos usuarios les lleven de un modo más rápido y fácil.

En las empresas de Internet la tecnología ya no es una ventaja competitiva, sino cómo tratan la información y qué hacen con ella. Por esto me resulta curioso que este nuevo derecho sea de aplicación a cualquier empresa, independientemente de su tamaño. Pero claro, al ser un derecho no se puede acotar su aplicación a los grandes de Internet, a quienes sí que pueden alcanzar posiciones cercanas al monopolio.

Si le aplicas la medida a Facebook, por ejemplo, para colabore con los usuarios que quieran llevarse todos sus datos a una nueva red social más pequeña pero más atractiva, el esfuerzo y coste que le ha supuesto recopilar y tratar datos del usuario, terminará jugando a favor de esa nueva red social. Fastidio para Facebook, pero cumplimiento de derecho. Ahora viene la segunda parte: por pequeña que sea una empresa, también habrá de cumplir con el derecho a la portabilidad. ¿Va a resultar entonces atractiva la entrada en un tipo de negocio en el que tu esfuerzo por adquirir usuarios puede terminar en nada gracias a este derecho? Porque el usuario se lleva todos los datos.

Los grandes tienen que desarrollar mecanismos para poder llevar a cabo la portabilidad. Los nuevos, sea cual sea su tamaño, ya habrán de nacer con él, con el servicio al usuario que facilitará, en un futuro, su futura desaparición.

El artículo da al individuo el derecho a llevarse sus datos personales y cualquier otra información que haya facilitado (sic). Pienso por un momento en las fotografías, por ejemplo. O en los “check-in” de un servicio de localización,  en su perfil como consumidor de juegos de plataforma… Todo esto hay que facilitarlo para que se lo lleve a su casa, o a la competencia. ¿Por qué la propuesta no deja fuera los tratamientos que la empresa ha realizado con su “know-how”? Eso es lo que la diferencia de otras, su ventaja competitiva. Cómo trata la información para sacar ventaja económica. Una vez más, la propuesta trata asuntos que no tienen nada que ver con la protección de datos, y entra a regular asuntos de competencia.

El último problema al que quiero hacer referencia es la seguridad. El artículo está redactado pensando en las grandes empresas, o mejor dicho, a servicios que traten gran cantidad de datos (Google, Facebook y similares). La entrega de TODA la información, datos personales y otros, se tendrá que hacer identificando al individuo correctamente. ¿Cuántos servicios, la mayoría de origen norteamericano, están preparados para hacer esto?¿es la identificación del usuario su fuerte? Ni por asomo. Lo que pretende la UE que sea un derecho, más bien lo está convirtiendo en una grave amenaza para la seguridad de la información de los usuarios. Ya puestos a inventarnos nuevos derechos, podríamos haber mencionado un “derecho a la seguridad”.

Dar acceso sin demora a todos los datos personales tratados en un sistema provoca riesgos que sobrepasan con mucho lo razonable. Soy muy pesado… pero la rueda ya está inventada. En el año 2000, el Comité Asesor sobre Seguridad y Acceso Online de la FTC (EE.UU.), advirtió sobre el alto riesgo del acceso en línea a la información de los usuarios: dar acceso a la persona equivocada puede convertir una política de privacidad en una política anti-privacidad. ¿Qué hubiera costado haberse leído ese informe? ¡Que tiene 12 años ya!

En resumen, creo que la inclusión del derecho a la portabilidad, tal y como se propone, es un despropósito más de la UE, y tendrá que rehacerse, cuando no eliminarse.