El impacto del Reglamento 脫mnibus Digital de la UE en la definici贸n de datos personales del RGPD
El 19 de noviembre, la Comisi贸n Europea present贸 un proyecto de reglamento conocido como Reglamento 脫mnibus Digital (Reglamento 脫mnibus), cuyo objetivo es simplificar y consolidar diversas leyes digitales dentro de la UE. Uno de los cambios m谩s significativos que se proponen se refiere a la definici贸n de datos personales en el art铆culo 4, apartado 1, del Reglamento General de Protecci贸n de Datos (RGPD) de la UE.
El borrador actual del reglamento 贸mnibus propone a帽adir tres frases adicionales a la definici贸n de datos personales del RGPD. Las tres frases propuestas refuerzan los principios ya contenidos en los considerandos del RGPD, as铆 como la jurisprudencia del Tribunal de Justicia de la Uni贸n Europea en cuanto a lo que no se considera informaci贸n personal seg煤n el RGPD (y, por lo tanto, queda fuera del 谩mbito de aplicaci贸n del RGPD).聽
Las tres frases adicionales propuestas son:
- 芦La informaci贸n relativa a una persona f铆sica no es necesariamente un dato personal para todas las dem谩s personas o entidades, por el mero hecho de que otra entidad pueda identificar a esa persona f铆sica禄. Este cambio deja claro que no basta con que alguien, en alg煤n lugar del planeta Tierra, pueda identificar al interesado para que la informaci贸n se considere datos personales. Por el contrario, la informaci贸n solo es datos personales si la entidad que realmente trata la informaci贸n personal (responsable o encargado del tratamiento) puede identificar al interesado. Lo que otras personas puedan hacer para identificar a un individuo no es relevante.
- 芦La informaci贸n no ser谩 personal para una entidad determinada cuando dicha entidad no pueda identificar a la persona f铆sica a la que se refiere la informaci贸n, teniendo en cuenta los medios que razonablemente podr铆a utilizar dicha entidad禄. Esta frase se deriva naturalmente de la primera adici贸n y simplemente dice que el car谩cter personal de la informaci贸n se basa en la otra informaci贸n que la entidad probablemente tenga y en otros medios que la entidad probablemente utilice. En otras palabras, la informaci贸n no es un dato personal solo porque la entidad pueda tomar medidas extremas para identificar al individuo. En cambio, solo es un dato personal si la entidad que procesa la informaci贸n tiene los medios para acceder a la informaci贸n adicional y es razonablemente probable que utilice esos medios. A煤n est谩 por ver hasta d贸nde llegar谩 esto, pero podr铆a significar que las limitaciones contractuales podr铆an ser suficientes. Por ejemplo, si una entidad seudonimiza datos personales y tiene prohibido contractualmente proporcionar la clave u otra informaci贸n para volver a identificarlos, la parte que reciba los datos seudonimizados podr铆a considerarlos informaci贸n no personal. Cabe destacar que este concepto siempre ha formado parte del RGPD, tal y como se revela en el considerando 26, pero a menudo ha sido ignorado por las partes contratantes en acuerdos de protecci贸n de datos y similares.
- 芦Dicha informaci贸n no se convierte en personal para esa entidad simplemente porque un posible destinatario posterior disponga de medios que puedan utilizarse razonablemente para identificar a la persona f铆sica a la que se refiere la informaci贸n禄. Este es otro cambio que deja claro que los datos personales est谩n en el proverbial 芦ojo del espectador禄 (o deber铆amos decir en el ojo del titular de los datos). En pocas palabras, si una entidad no puede identificar a un interesado bas谩ndose en la informaci贸n que tiene, pero proporciona la informaci贸n a un tercero que s铆 puede hacerlo, la informaci贸n no es un dato personal para la primera entidad, sino que es un dato personal para la entidad receptora. Esto implica que los datos personales pueden pasar de ser datos personales a ser simplemente informaci贸n no personal y viceversa, dependiendo de qui茅n los posea.聽
Impacto en las empresas
Si bien los cambios reiteran en gran medida lo que ya establece el RGPD en los considerandos, es probable que, de aprobarse, los cambios propuestos tengan un impacto en las negociaciones contractuales entre los transmisores y los receptores de datos que, de otro modo, estar铆an sujetos al RGPD. Aunque muchas organizaciones han afirmado que la informaci贸n debidamente anonimizada o seudonimizada sigue siendo datos personales en manos de cualquier destinatario , a pesar de que esta opini贸n es contraria a los considerandos , esta redacci贸n dejar铆a claro que esta informaci贸n puede no ser datos personales si el destinatario no puede identificar al interesado y no dispone de medios razonables o acceso a la informaci贸n que permita dicha identificaci贸n. Y si el titular de la informaci贸n transmite datos no personales a alguien que podr铆a volver a identificar la informaci贸n para que se convierta en datos personales, estos seguir铆an sin ser datos personales para la entidad que los env铆a.聽
En efecto, los cambios, si se adoptan, dejan claro que las obligaciones relacionadas con la informaci贸n anonimizada y seudonimizada son menores para las organizaciones que no pueden utilizar razonablemente la informaci贸n para identificar a una persona que las obligaciones exigidas para los datos personales en virtud del RGPD, y pueden contribuir a reducir la necesidad de dedicar recursos limitados a lo que ahora puede considerarse claramente datos no personales.聽
Si se adoptan los cambios, tambi茅n podr铆an tener efectos de mayor alcance, ya que implican que la informaci贸n anonimizada o seudonimizada (suponiendo que el destinatario no pueda identificar razonablemente a una persona) podr铆a utilizarse sin restricciones (por ejemplo, para entrenar la IA) o incluso exportarse fuera de la UE sin necesidad de cl谩usulas contractuales tipo u otras medidas de protecci贸n de datos si el importador de datos sigue sin poder identificar a una persona.聽
El 19 de noviembre, la Comisi贸n Europea public贸 un proyecto de reglamento para simplificar y consolidar diversas leyes digitales de la UE, el denominado Reglamento 脫mnibus Digital. Uno de los cambios propuestos m谩s trascendentales se refiere a la definici贸n de datos personales en el art铆culo 4, apartado 1, del Reglamento general de protecci贸n de datos de la UE. El concepto de datos personales no solo define el 谩mbito de aplicaci贸n del RGPD, sino que tambi茅n tiene implicaciones pr谩cticas para otros actos jur铆dicos del C贸digo Digital de la UE, como la Ley de Inteligencia Artificial o la Ley de Datos.
