El Derecho a la intimidad, el derecho a la autodeterminación informativa y la L.O. 5/1992, de 29 de octubre, de regulación del tratamiento automatizado de datos personales

El derecho a la intimidad, el derecho a la autodeterminación informativa y la L.O. 5/1992, de 29 de octubre, de regulación del tratamiento automatizado de datos personales Ana Rosa GONZÁLEZ MURÚA Universidad del País Vasco Working Paper n.96 Barcelona 1994 INTRODUCCIÓN Con la entrada en vigor de la Ley Orgánica 5/1992, de 29 de octubre, de regulación del tratamiento automatizado de los datos de carácter personal (LORTAD) se ha dado cumplimiento, tras casi tres lustros, al mandato constitucional del artículo 18.4. Este evento ha reabierto un tema tan polémico, ya puesto de manifiesto en España desde hace ya algunos años por juristas e informáticos (y entre los que cabe destacar a Pérez Luño, Castells Arteche, Heredero Higueras, López Garrido, Lucas Murillo de la Cueva, Jiménez Escobar) como es la relación informática-derechos y libertades. Desde que se hizo público el texto del Proyecto de Ley, durante su tramitación parlamentaria y posteriormente, tras su aprobación definitiva la mayoría de los artículos doctrinales que se han venido y vienen sucediendo centran fundamentalmente sus críticas en torno a los posibles aspectos inconstitucionales de la LORTAD (los cuales, y en este caso desgraciadamente, han sufrido escasas modificaciones de interés durante el iter legislativo). Indudablemente, el análisis de los preceptos que ponen en cuestión el verdadero objeto de la Ley -la protección de los datos personalesmerece un estudio serio y pormenorizado. Sin embargo en el trabajo que a continuación se presenta se ha optado por el examen de otras cuestiones, (ni mucho menos las únicas que esta polémica Ley plantea) apenas discutidas por la doctrina española y que, sin duda alguna, al menos a mi juicio, requieren una atenta reflexión. Con todo ello, se ha de reseñar que, y en pro de un mejor entendimiento de estos puntos, nos vemos obligados a exponer, si bien brevemente las líneas generales de esta Ley. Ni que decir tiene que este rápido recorrido por la LORTAD conlleva evidentemente la mención de estos controvertidos artículos que han dado lugar a la interposición de cuatro recursos de inconstitucionalidad (presentados por el Defensor del Pueblo, el Consejo Ejecutivo de la Generalidad de Cataluña, el Parlamento de esta misma Comunidad y el Grupo Parlamentario Popular). A continuación y a modo de índice se señalan los puntos que se van a tratar: a) Breve exposición la Ley Orgánica 5/1992, de 29 de octubre. b) El bien jurídico que se protege en la LORTAD y en el artículo 18.4 CE y las consecuencias que se derivan de la opción por el empleo de las expresiones "derecho a la intimidad" o en su caso "derecho a la autodeterminación informativa" o análogos. c) La titularidad de las personas jurídicas y de los grupos de hecho de los derechos previstos en la Ley Orgánica 5/1992 y algunas cuestiones sobre legitimación. Una última advertencia, varias de las ideas en tomo a los puntos a) y b) fueron apuntadas en mi artículo "Comentario a la STC 254/1993, de 20 de julio. Algunas reflexiones en torno al artículo 18.4 de la Constitución y la protección de los datos personales", aunque en el trabajo que aquí se presenta se profundiza en ellas, se amplía o matiza su contenido y se contemplan otras nuevas. Con todo ello, destacar que el tratamiento que se ha procurado dar a todas las cuestiones referidas en el plan de exposición no es otro que el de acercamiento o aproximación a unos temas abiertos al debate y a la discusión merecedores, sin duda, de un análisis pormenorizado que sobrepasa, con creces, la finalidad pretendida en este escrito. BREVE EXPOSICIÓN DE LA LEY ORGÁNICA 5/1992 DE 29 DE OCTUBRE El derecho a la intimidad "informática", el derecho a la privacidad, el derecho a la autodeterminación informativa, el derecho a la protección de datos son expresiones que empiezan a ser frecuentes en la legislación, la doctrina y la jurisprudencia y que hacen alusión, con mayor o menor fortuna a un derecho cuya ubicación constitucional -si bien con ciertas discrepanciasse sitúa en el artículo 18.4 de la Constitución. El texto de este precepto nos indica que una ley habrá de limitar "el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos y el pleno ejercicio de sus derechos". El cumplimiento de este mandato constitucional se ha hecho verdaderamente esperar: catorce años. Demora que también suponía un incumplimiento de las obligaciones contraídas por España tras la ratificación del Convenio 108 del Consejo de Europa y el cual formaba parte del ordenamiento jurídico español (art. 96. 1 CE) desde su publicación en el BOE en noviembre de 1985. De tal modo que apenas hace un año, el 31 de enero de 1993, entraba en vigor la Ley Orgánica de regulación del tratamiento automatizado de datos de carácter personal (LORTAD). Durante todo este largo período se ha venido asistiendo al fracaso de distintas iniciativas legislativas, alegándose siempre, entre otras razones, que no se detectaba "especial sensibilidad ciudadana, o temor alguno, ante el grado, volumen y calidad de la informatización en el país", que no se producía indefensión frente a los ataques a los derechos y libertades por el fenómeno informático (la protección jurídica reforzada del 53.2 CE pudiéndose llevar al TC a través del recurso de amparo y específicamente la disposición transitoria de la Ley Orgánica 1/82, de 5 de mayo, de protección civil del derecho al honor, a la intimidad personal y familiar y a la propia imagen, que remitía a dicha Ley la tutela de los mencionados derechos frente a las intromisiones ilegítimas derivadas del uso de la informática) y que además el Gobierno tenía preparado un anteproyecto de ley, el cual se estaba beneficiando ("por ello la tardanza", se justificaba el Ejecutivo) de la evolución de la doctrina jurídica vertida tanto en las normas dictadas a nivel internacional como en el marco de los "Estados" que habían legislado en esa materia. Pero la promesa gubernamental se ha ido retrasando hasta que, por una parte, la debilitación de algunos de sus argumentos (así el escándalo en enero de 1992 trascendido a la opinión pública tras el descubrimiento por la policía de una red que traficaba con datos personales procedentes -presuntamente- de ficheros. automatizados de titularidad pública) pero fundamentalmente, motivos de otra índole, le han obligado, en definitiva, a sacar esta Ley adelante. La adhesión de España a los acuerdos de Schengen que le comprometen a intercambiar con las policías de otros países información personal, y la Propuesta de Directiva Comunitaria, la cual inmediata y automáticamente a partir de su aprobación formará parte del ordenamiento jurídico interno, han determinado que España necesite aprobar esta normativa si no quiere quedar excluida de este espacio uniforme. En cualquier caso el retraso legislativo podría verse compensado, si nos hallásemos ante una Ley moderna, la cual verdaderamente como justificaba el Gobierno, hubiera aprovechado la rica experiencia exterior. Sin embargo el panorama que abre la LORTAD es bien distinto. Por ello, nada mejor para comprender esta aseveración que la exposición sucinta de las previsiones que esta Ley nos depara. En primer lugar, como ya se ha mencionado, la LORTAD nace con el objeto, y así aparece en su art. 1, de desarrollar lo previsto en el artículo 18.4 de la Constitución, es decir, de limitar el uso de la informática y otras técnicas y medios de tratamiento automatizado de los datos de carácter personal para garantizar el honor, la intimidad personal y familiar de las personas físicas y el pleno ejercicio de sus derechos. En cuanto al campo de aplicación de la Ley, ésta lo extiende a todos los ficheros automatizados tanto de los sectores públicos como privados que contengan datos de carácter personal y a toda modalidad de uso posterior, incluso no automatizado, de datos de carácter personal registrados en soporte físico susceptible de tratamiento automatizado. Pero a continuación la propia LORTAD excluye de su régimen de protección a toda una serie de ficheros (aquellos cuyo objeto sea el almacenamiento de datos para su publicidad de carácter general, ficheros de personas físicas con fines exclusivamente personales, los relativos a información tecnológica ya publicados así como los ficheros mantenidos por asociaciones, partidos políticos, sindicatos, confesiones religiosas, (si bien éstos últimos ficheros con alguna matización) y remite a otro buen número de ellos a lo que dispongan sus disposiciones específicas (ficheros regulados por la legislación de régimen electoral, los sometidos a la normativa sobre protección de materias clasificadas, los que se rijan por la Ley 12/ 1989, de 9 de mayo, de la función estadística pública, los derivados del Registro Civil, y algunos más que han levantado serias polémicas como los ficheros del Registro Central de Penados y Rebeldes y aquellos cuyo objeto sea el almacenamiento de los datos contenidos en los informes personales dentro del ámbito del personal militar profesional). El Título II establece los "principios de la protección de datos". En este sentido los datos deben ser pertinentes, exactos, puestos al día, adecuados y no pueden ser utilizados para finalidades distintas de aquellas para las que se hubieran recogido. Por ello se deberán cancelar cuando dejen de ser necesarios o pertinentes. Asimismo se prohibe la recogida de datos por medios fraudulentos, desleales o ilícitos. Otra piedra angular de todo el sistema es el principio del consentimiento del afectado, el cual se ha de requerir para que se puedan tratar de manera automatizada los datos del mismo. Esta regla general queda exceptuada en numerosas ocasiones conforme al apartado 2º del artículo 6: cuando los datos de carácter personal se recojan de fuentes accesibles al público, o cuando se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias, ni cuando se refieran a personas vinculadas por una relación negocial, una relación administrativa o un contrato y sean necesarias para el mantenimiento de las relaciones o para el cumplimiento del contrato (contra este precepto el Grupo Parlamentario Popular ha interpuesto un recurso de inconstitucionalidad). La prestación del consentimiento también queda excluida en algunos supuestos con relación a la cesión de datos: cuando la Ley prevea otra cosa, cuando se trate de fuentes accesibles al público etc., siendo de suma gravedad la excepción del artículo 19.1 según el cual no es necesario este consentimiento cuando la cesión de unas Administraciones Públicas a otras para el ejercicio de competencias diferentes o de competencias que versen sobre materias distintas hubiese sido prevista por las disposiciones de la creación del fichero o por disposición posterior de igual o superior rango que regule su uso (artículo recurrido tanto por el Defensor del Pueblo como por el Grupo Parlamentario Popular). Otro punto controvertido de la Ley es el relativo a los datos sensibles. Conforme al artículo 7 los datos de carácter personal que revelen la ideología, religión o creencias no tienen porque ser declarados (art. 16.2 CE) y su tratamiento automatizado sólo se permitirá con el consentimiento expreso y por escrito de la persona. Por otra parte los datos que hagan referencia al origen racial, a la salud y a la vida sexual, sólo podrán ser recabados, tratados automáticamente y cedidos cuando por razones de interés general así lo disponga una Ley o el afectado consienta expresamente. Estas básicas previsiones se ponen totalmente en peligro con lo establecido en el artículo 20.3 en virtud del cual las Fuerzas y Cuerpos de Seguridad podrán recoger y tratar toda clase de datos sensibles, sin consentimiento del interesado, "en los supuestos en que sea absolutamente necesario para los fines de una investigación concreta" (precepto recurrido por el Grupo Parlamentario Popular). Es decir, queda al arbitrio de los funcionarios policiales determinar cuando existe esa necesidad. La LORTAD completa el principio del consentimiento con la exigencia de que en el momento de la recogida de los datos se informe debidamente al afectado del uso y destino de los datos que él proporciona (art. 5). Para este derecho también se establece una serie de excepciones. Algunas de ellas ya estaban previstas en el Convenio 108 -así los responsables de cualesquiera ficheros de titularidad pública podrán denegar el ejercicio de este derecho cuando dicha información afecte a la Defensa Nacional, a la Seguridad pública o a la persecución de infracciones penales o administrativas-, sin embargo la denegación de este derecho cuando dicha información "impida o dificulte gravemente el cumplimiento de las funciones de control y verificación de las Administraciones Públicas" excede lo previsto en el texto europeo (si bien se ha de advertir que la Propuesta modificada de Directiva contiene una previsión semejante [art.- 11.2]) y ha dado origen a la interposición de sendos recursos de inconstitucionalidad por el Defensor del Pueblo y por el Grupo Parlamentario Popular. Por último este Título contempla el deber del secreto de los responsables de fichero y una serie de normas referidas a la seguridad de los datos. Junto a estos principios cobra vital importancia el siguiente Título dedicado a los derechos de las personas. Entre ellos los siguientes: el derecho del "afectado" a "impugnar los actos administrativos o decisiones privadas que impliquen una valoración de su comportamiento cuyo único fundamento sea un tratamiento automatizado de datos de carácter personal que ofrezca una definición de sus características o personalidad" (art. 12); el derecho de información conforme al cual cualquier persona puede pedir Información al Registro General, que es público y gratuito, sobre la existencia de ficheros automatizados de datos de carácter personal, sus finalidades y la identidad del responsable del fichero (art. 13); el derecho de acceso que se define como la facultad del titular para solicitar y obtener del responsable de un fichero automatizado, información sobre sus datos personales que consten en los registros de éste y el derecho de rectificación y cancelación, mediante los cuales se le otorga al titular la facultad de corregir aquellos datos inexactos o incompletos así como la posibilidad de eliminar los innecesarios o los que hayan dejado de ser pertinentes para la finalidad para la cual hubieran sido registrados (art. 15). Derechos, estos últimos, de acceso, rectificación y cancelación, que pueden ser fácilmente denegados por los respectivos responsables de ficheros en los siguientes casos: cuando se trate de ficheros automatizados creados por Fuerzas y Cuerpos de Seguridad en nombre de la defensa del Estado o de la seguridad pública, la protección de los derechos y libertades de terceros o las necesidades de las investigaciones que se estén realizando; y en el supuesto de los ficheros de Hacienda Pública cuando el ejercicio de los derechos mencionados, de acceso, rectificación y cancelación, "obstaculice las actuaciones administrativas tendentes a asegurar el cumplimiento de las obligaciones tributarias y, en todo caso cuando el afectado esté siendo objeto de actuaciones inspectoras" (art. 21.2). Por último, como excepción con carácter general, y en todo caso, cuando "ponderados los intereses en presencia, resultase que los derechos que dichos preceptos conceden al afectado, hubieran de ceder ante razones de interés público o ante intereses de terceros más dignos de protección" (art. 22.2). Limitaciones de tal calibre al ejercicio de los derechos que se constituyen a modo de mecanismos preventivos (lo que la doctrina ha venido en llamar el "habeas data") para que la persona goce de un verdadero control de las informaciones que a ella le conciernen y de este modo evitar que el uso indebido de la informática afecte a su esfera de derechos y libertades han sido objeto de durísimas críticas y más concretamente el apartado 2 del artículo 22 ha sido recurrido por inconstitucional tanto por el Defensor del Pueblo como por el Grupo Parlamentario Popular. Es precisamente con motivo de las numerosas excepciones que esta Ley contiene por lo que en gran parte, cobra, en mi opinión, más sentido que nunca la previsión del art. 17.1: "Las actuaciones contrarias a lo dispuesto en la presente Ley pueden ser objeto de reclamación por los afectados ante la Agencia de Protección de Datos, en la forma que reglamentariamente se determine". La interpretación en torno a la procedencia o improcedencia de las denegaciones a los derechos contemplados (de información previa, acceso, rectificación, cancelación, etc.) puede originar que la Ley descanse más de lo que debía en este "cauce impugnatorio" (como así lo denomina Lucas Murillo de la Cueva) al no funcionar suficientemente los mecanismos preventivos precedentes. Asimismo la Ley contempla un régimen diferenciado para la creación, modificación y suspensión de los ficheros de titularidad privada y los de titularidad pública, no bastando en estos últimos la mera voluntad del responsable del fichero sino que deberá hacerse por medio de disposición general publicada por el Boletín Oficial del Estado o en el Diario Oficial correspondiente. También se dedica un título específico (el V) al "movimiento internacional de datos" y otro a la Agencia de Protección de Datos, órgano al que la Ley encomienda el control de su aplicación. Esta administración independiente con personalidad jurídica propia y plena capacidad pública y privada, a cuyo mando se sitúa el Director ha sido desarrollado reglamentariamente por el Real Decreto 428/1993, de 26 de marzo, por el que se aprueba su Estatuto. Entre sus funciones están la de velar por el cumplimiento de la Ley, atender las peticiones y reclamaciones, emitir las autorizaciones que se prevén en la LORTAD, ejercer la potestad sancionadora, etc. A pesar de su nombre "independiente", el sistema de nombramiento y de cese del Director, unido a las escasas funciones que se le atribuyen al Consejo Consultivo ha sido otro de los aspectos de la Ley más duramente atacado. Además de estos dos órganos la Agencia también se estructura en la Secretaría General, la Inspección de Datos y el Registro General de Protección de Datos donde habrán de inscribirse tanto los ficheros de titularidad pública como privada (conforme a la disposición adicional segunda de la Ley todos los ficheros y tratamientos automatizados de datos de carácter personal anteriores a la Ley deberían haber sido comunicados a la Agencia antes del 31 de enero de 1994. Asimismo para la misma fecha las Administraciones Públicas responsables de ficheros automatizados deberían haber adoptado una disposición de regulación del fichero o adoptar la ya existente. El calendario no se ha podido cumplir y conforme al Real Decreto-ley 20/1993, de 22 de diciembre se ha prorrogado el plazo que establece dicha disposición hasta el 31 de julio de 1994). Por otra parte se establece la posibilidad de que las diferentes Comunidades Autónomas se doten de órganos "similares" a la Agencia de Protección de Datos (en realidad la única exigencia es que se garantice la plena independencia y objetividad en el ejercicio de su cometido) para el control de los ficheros automatizados de datos de carácter personal creados o gestionados por ellas. La total negación competencial a las Comunidades Autónomas en relación a los ficheros de titularidad privada ha motivado los correspondientes recursos de inconstitucionalidad por parte del Parlamento y del Consejo Ejecutivo de la Generalidad de Cataluña. Para terminar, el Titulo VII de la Ley se reserva al régimen de "infracciones y sanciones", estableciéndose para los responsables de ficheros públicos, cuando proceda, la responsabilidad disciplinaria y para los de los ficheros privados, sanciones pecuniarias; en todo caso, se articula la posibilidad, en los supuestos que constituyan infracción muy grave, de la inmovilización temporal de ficheros por resolución de la Agencia de Protección de Datos. EL BIEN JURÍDICO QUE SE PROTEGE EN EL ARTICULO 18.4 CE Y EN LA LORTAD. LAS CONSECUENCIAS QUE SE DERIVAN DE LA OPCIÓN POR EL EMPLEO DE LAS EXPRESIONES "DERECHO A LA INTIMIDAD" O EN SU CASO "DERECHO A LA AUTODETERMINACIÓN INFORMATIVA" O ANÁLOGOS El origen del derecho a la autodeterminación informativa. La protección de datos y el derecho a la intimidad Desde hace ya algún tiempo, pero fundamentalmente desde 1984, el profesor Pérez Luño, -cuyos estudios en materia de protección de datos han alcanzado el máximo reconocimientocomienza a utilizar en sus trabajos la expresión "derecho a la autodeterminación informativa", denominación que desplaza en lo que se refiere a la cuestión de los datos personales al derecho a la intimidad (asimismo cabe destacar la defensa que de su uso mantiene en los últimos años el constitucionalista Lucas Murillo de la Cueva). La sentencia del Tribunal Constitucional Federal alemán sobre la Ley del Censo de Población de 15 de diciembre de 1983 constituye un hito fundamental en la afirmación del derecho a la autodeterminación informativa. Este nuevo derecho de construcción jurisprudencial (en la Ley Fundamental de Bonn no se encontraba ninguna referencia literal a este precepto) se refiere al derecho de toda persona a controlar el flujo de informaciones que a ella le conciernen -tanto en la recolección como el posterior tratamiento y uso de los datos personales - mediante una serie de derechos subjetivos como el consentimiento, el derecho de acceso, rectificación, etc. Pero, como acertadamente señala Lucas Murillo de la Cueva, "basta con repasar los preceptos de la Constitución de 1978 para comprobar que entre los derechos que en ella se enuncian no figura ninguna denominado "derecho a la autodeterminación informativa". Sí encontramos, en cambio, tanto en el artículo 18.1 como en el 18.4 la mención del derecho a la intimidad personal y familiar. Por su parte, este autor no pone en tela de juicio la estrecha conexión de este nuevo derecho con el ya conocido derecho a la intimidad, es más se apresura y adelanta que el derecho a la autodeterminación informativa se construye a partir de la noción de intimidad. Este fenómeno no ha de extrañar. El derecho ante el problema, y necesidad, que suponía encuadrar este fenómeno nuevo de la irrupción informática en una categoría jurídica, encontró en la intimidad la respuesta jurídica adecuada. "El derecho a la intimidad era una libertad fundamental perfectamente estudiada, nacida como categoría jurídica el siglo pasado y sin el abolengo de otros derechos humanos, pero totalmente definida, acotada, documentada. Acudir a esta categoría evitaba la fatigosa tarea de crear un nuevo derecho (o el tener que prescindir de un determinado derecho) al que designar como objeto de la agresión de la nueva tecnología" (R. Jiménez Escobar en su artículo cuyo elocuente título es, "Informática y derecho a la intimidad: una concepción que debe arrumbarse"). Hechas estas precisiones la primera reflexión a la que se invita es la siguiente: ¿Es el derecho a la intimidad un derecho de contenido tan dinámico y elástico que puede albergar en su seno sin ningún problema la técnica de la protección de datos o por el contrario es necesario romper el "cordón umbilical" que une a este derecho con la protección de las personas ante el "peligro Informático" y reclamar el nacimiento de un derecho autónomo a la protección de datos? La respuesta no debe ser tan sencilla, ya que desde la legislación, la jurisprudencia y gran parte de la doctrina reina la confusión. Se opta, en la mayoría de las veces, por un concepto amplio de intimidad en el que queda incluida la técnica de la protección de los datos personales. Se habla de intimidad informativa judicial especial prevista en esta Ley. Hecha esta aclaración es donde entra en juego el problema del concepto estricto y amplio de intimidad. En mi opinión, tanto la citada Ley Orgánica 1/82 como el propio Código Penal cuando protegen el bien jurídico "intimidad" están pensando en un sentido restringido de éste. Ello no obsta para que la informática no pueda lesionar los bienes que tales normas tutelan, (lo cual ya con anterioridad a la LORTAD parecía evidente a la luz de la previsión que contenía la disposición transitoria primera de la mencionada Ley.). Evidentemente, una intromisión ilegítima puede producirse de muy diversas maneras. Así la divulgación de una información falsa, incompleta o inexacta, por ejemplo, sobre la salud, o sobre la solvencia económica puede dar lugar a que una persona no obtenga un empleo, un préstamo o no pueda realizar una compraventa. Estos errores o inexactitudes, pueden afectar a la reputación, en definitiva el honor de la persona. Lo mismo se podría decir de una revelación de un dato íntimo por un responsable de fichero que no guarda el deber de secreto. Dichas "intromisiones" incluso podrían tener su encaje en el art. 7 de la Ley Orgánica 1/82: "la divulgación de hechos relativos a la vida privada de una persona o familia que afecten a su reputación y buen nombre" o en "la revelación de datos privados de una persona o familia conocidos a través de la actividad profesional u oficial de quien los revela". En estos casos nada obstaría para, en mi opinión, poder acudir a las instancias judiciales, si así se desea, a través del procedimiento de la Ley 62/78 con las peculiaridades de la Ley Orgánica 1/82 o bien, al tratarse de actuaciones contrarias a la LORTAD, reclamar ante el Director de la Agencia de Protección de Datos (art. 17). Sin embargo la solución no resulta tan sencilla cuando de lo que se trata no es de una vulneración del honor o la intimidad en sentido estricto. Como hemos visto anteriormente, el derecho a la autodeterminación informativa se articula en una serie de derechos: consentimiento informado, información, acceso, rectificación, etc. Estos derechos funcionan como mecanismos que evitan o previenen la vulneración de cualquier derecho. La consideración de los mismos como integrantes de un derecho autónomo o, por el contrario, del derecho a la intimidad puede conducir a situaciones diferentes en nuestro ordenamiento jurídico. Partiendo de la primera hipótesis una vulneración de cualquiera de estos derechos o mecanismos preventivos: una denegación del derecho de información, de acceso etc. supondría una violación del derecho a la autodeterminación informativa, el cual dado su carácter de fundamental (art. 18.4) gozaría de las garantías previstas en el art. 53.2 CE. Si por contra tales derechos forman parte del derecho a la intimidad (como se ha visto incluso sostenido por el TC en una reciente sentencia) una vulneración de los mismos, por ejemplo una denegación del derecho de acceso, ¿podría beneficiarse de las particularidades que establece la Ley Orgánica 1/82? La respuesta pasa por hacerse a su vez las siguientes preguntas: - La Ley Orgánica de protección civil del derecho al honor, a la intimidad personal y a la propia imagen ¿está pensada para tutelar la intimidad en un sentido tan amplio? - Independientemente de la Ley Orgánica 1/82, una violación de estos derechos (acceso, información, rectificación, etc.) ¿merece una tutela judicial especial equivalente a la que se contempla en esta Ley (legitimación más amplia, mayores plazos)? Es decir la mera posibilidad de que ante el "fallo" de estos mecanismos preventivos, la intimidad el honor o la propia imagen puedan ser vulnerados ¿es título suficiente para otorgarles esa protección? Para responder a ello hay que tener en cuenta que no toda denegación del derecho de acceso, por ejemplo, conlleva consecuencias si los datos son exactos, completos, puestos al día, etc. y de llevar alguna no tendría por qué ser la violación de los derechos arriba mencionados (así una información inexacta sobre la edad de una persona, o sobre cuál es su lugar de residencia puede producir perjuicios en el derecho a la educación, en la concesión de una beca, etc. pero no agrede, en principio, al honor ni a la intimidad; sin embargo hay que destacar que, potencialmente, tales datos, en principio carentes de significación intrínseca, cruzados con otros sí podrían afectar a la privacidad, como recuerda la exposición de motivos de la LORTAD). TITULARIDAD DE LAS PERSONAS JURÍDICAS Y DE LOS GRUPOS SIN PERSONALIDAD JURÍDICA Y DE LA LEGITIMACIÓN PARA EL EJERCICIO DE ESTOS DERECHOS Otro problema estrechamente relacionado con la naturaleza del derecho fundamental a que nos referimos es si las personas jurídicas son titulares del derecho a la autodeterminación informativa o del derecho a la intimidad, en su caso. Desde el punto de vista constitucional, y así lo ha venido admitiendo el TC se admite en algunos supuestos que las personas jurídicas pueden ser titulares de derechos fundamentales (Art. 16: "Se garantiza la libertad ideológica, religiosa y de culto de los individuos y de las comunidades; art. 22: "Se reconoce el derecho de asociación; art. 24: "Todas las personas tienen derecho a obtener la tutela efectiva de los jueces y tribunales; art. 27.6: "Se reconoce a las personas físicas y jurídicas la libertad de creación de centros docentes, etc.). A) La LORTAD y las personas jurídicas Para comenzar, el artículo 1 de la LORTAD excluye a las personas jurídicas. "La presente Ley Orgánica, en desarrollo de lo previsto en el apartado 4 de artículo 18 de la Constitución, tiene por objeto limitar el uso de la informática y otras técnicas y medios de tratamiento automatizado de los datos de carácter personal para garantizar el honor, la intimidad personal y familiar de las personas físicas y el pleno ejercicio de sus derechos". Por tanto, el art. 18.4 CE especifica que su objetivo es la limitación del uso de la informática para proteger, la intimidad, el honor o cualquier derecho del que sean titulares las personas físicas. Para ello los mecanismos que posteriormente la Ley establece (acceso, etc.) para evitar estas agresiones se centran en torno al afectado al que se define como la "persona física titular de los datos que sean objeto del tratamiento" automatizado (art. 3 e). La opción por la protección exclusivamente de las personas físicas se vino defendiendo ya en el texto del Proyecto gubernamental, (si bien éste contemplaba en su disposición final 3ª la posibilidad de que el Gobierno, previo informe del Director de la Agencia de Protección de Datos, extendiera la aplicación de la Ley a los ficheros que contuvieran datos referentes a entidades, sociedades y otras personas jurídicas, en las condiciones que reglamentariamente se determinaran). En cualquier caso, y como indica Lucas Murillo de la Cueva, a pesar de que tal previsión fue suprimida en el trámite de ponencia en virtud de una enmienda del Grupo Parlamentario Socialista, (cuya única justificación era "mejora técnica") nada cambiaba el asunto de fondo. Las personas jurídicas seguían excluidas si bien es cierto que con dicha disposición se facilitaba la posible o futura incorporación de las mismas al ámbito de protección de la Ley. Con todo en opinión de este autor, nada obsta para que actualmente "el legislador o la simple interpretación de la LORTAD" conduzca a poder extender su aplicación a las personas jurídicas. A mi entender, y sin que ésto suponga un juicio a priori sobre si las personas jurídicas pueden ser o no titulares de los derechos que se amparan con la técnica de protección de datos, como anteriormente se ha puesto de manifiesto el sistema establecido por la Ley, por el contrario, gira en torno a la persona física y no creo que sea fácil una interpretación que permitiera considerar a las personas jurídicas titulares de tales derechos (otro asunto diferente es la posible legitimación en el ejercicio de los mismos) . B) Las personas jurídicas y las legislaciones sobre protección de datos personales. Tesis a favor y en contra de su extensión al campo de aplicación Por su parte hay que tener en cuenta que en el ámbito europeo el Convenio 108 permite en virtud de su artículo 3.2.b) que los Estados, con ocasión de la firma, del depósito, del instrumento de ratificación, aceptación, aprobación o adhesión o con posterioridad, pueden manifestar que aplicarán "también el presente convenio a informaciones relativas a agrupaciones, asociaciones, fundaciones, sociedades, corporaciones y cualquier otro organismo, formado directa o indirectamente por personas físicas, tuvieren o no personalidad jurídica". En este sentido, algunos países acogiéndose a esta cláusula o incluso otros que no han ratificado este Convenio incluyen en sus leyes de protección de datos a las personas jurídicas (entre ellos Austria, Bélgica, Dinamarca, Islandia, Luxemburgo, Noruega, Hungría, Suiza ... ). Sin embargo son mayoría los Estados que no contemplan esta posibilidad, restringiendo su ámbito de aplicación a las personas físicas (algunos ejemplos: Alemania, Australia, Canadá, Francia, Irlanda, Países Bajos, Portugal, Reino Unido, Suecia ... ). Ésta es asimismo la opción de la Propuesta modificada de Directiva europea. Los principales argumentos utilizados para oponerse a la extensión de las personas jurídicas como sujetos activos titulares en materia de protección de datos son los siguientes: 1. En primer lugar se pone de manifiesto que los bienes, derechos o intereses que se tutelan en el caso de las personas físicas y en el de las jurídicas son diferentes. 2. Se observa durante el debate doctrinal de todos los países que cuando se habla de personas jurídicas a las cuales se les puede extender el campo de aplicación de la protección de datos se piensa fundamentalmente en las empresas. Por ello la segunda crítica se centra en que tales personas jurídicas no necesitan la protección de un derecho humano (o fundamental) sino la de otras ramas del derecho (derecho civil y penal, derecho mercantil, derecho de patentes, de marcas, etc.). Opiniones autorizadas como la de Spiros Simitis o Manuel Heredero convergen en que la protección que se debe otorgar a las personas físicas y a las personas jurídicas ha de ser diferente. Así mientras en las personas físicas lo que se protege es la privacy, en las personas jurídicas lo que se protege es la sunshine, es decir, la publicidad. En el caso de las empresas no resulta, siempre y en todo caso, interesante la transparencia. El derecho de acceso podría ser enormemente negativo para la libre competencia, la protección del secreto de los negocios y de la estrategia industrial. Ahora bien, como ha destacado Hernando Collazos, si la tutela que merecen estas personas jurídicas no es la de un derecho humano "será necesario desarrollar una doctrina del secreto y de la divulgación de datos referentes a la actividad comercial". Por otra parte otros argumentos se pueden sostener a favor de la extensión del campo de aplicación a las personas jurídicas 1. Si bien es cierto que la alternativa de la protección a favor únicamente de las personas físicas por las distintas leyes de datos cuenta con un mayor número de precedentes en el derecho comparado, ello se debe, como pone de manifiesto Pérez Luño, a que las legislaciones, en un principio, pensaban en la protección de la intimidad y las libertades individuales. Realmente es difícil extender a las personas jurídicas categorías como la vida privada o intimidad que fueron concebidas en función de los intereses de las personas individuales. En cambio si se considera a estas personas como titulares de un derecho autónomo y diferente del de intimidad como puede ser el derecho a la autodeterminación informativa se facilita la extensión de las mismas el ámbito de aplicación de las leyes de protección de datos. 2. Tanto las personas físicas como las jurídicas pueden tener interés en ejercitar el derecho de acceso, de rectificación o de cancelación de datos inexactos, falsos, desfasados etc. (así, en otro contexto la Ley Orgánica 2/1984, de 26 de marzo, del derecho de rectificación establece en su artículo 1 que "toda persona natural o jurídica, tiene derecho a rectificar la información difundida, por cualquier medio de comunicación social, de hechos que le aludan, que considere inexactos y cuya divulgación pueda causarle perjuicio"). 3. Se ha dicho anteriormente que los bienes jurídicos, los derechos o intereses tutelados difieren en el caso de las personas físicas y en el de las jurídicas. Sin embargo, en mi opinión, a esta afirmación se pueden realizar unas cuantas objeciones: a) Volviendo al ejemplo de las empresas, el control de las informaciones por parte de las mismas supondría la tutela de diversos intereses que incluso podrían ser subsumidas en el contenido de la libertad de empresa. Libertad que no sólamente es predicable de las personas jurídicas sino también de la persona física empresaria. Si sólamente las personas físicas son titulares del derecho a la autodeterminación informativa se produce una importante discriminación entre las sociedades mercantiles con personalidad jurídica y las personas físicas comerciantes, ya que éstas últimas, como personas físicas que son, entran de lleno en el campo de aplicación de las leyes de protección de datos. b) Es cierto que el derecho a la autodeterminación informativa funciona como un derecho-garantía de todos los derechos de las personas. Entre ellos se encuentran algunos que sólo son predicables de las personas físicas, como el derecho al honor o la intimidad, pero también otros de los que son titulares tanto las personas físicas como las jurídicas. Asimismo derechos no fundamentales o intereses pueden ser salvaguardados en relación a cualquiera de los dos clases de personas (por ejemplo que una información sea correcta, completa, veraz y actual puede evitar en ambos casos el perjuicio de un interés parecido como puede ser la denegación de un crédito). En este sentido cabe destacar la Ley de protección de datos austríaca de 1978, la cual en su artículo 1, si bien hace referencia a la vida privada y familiar, se refiere al derecho al secreto de todos, personas físicas y jurídicas siempre que haya un interés digno de protección ("Todos tienen derecho al mantenimiento en secreto de los datos de índole personal, cuando tuvieren en ello un interés digno de protección, especialmente por lo que se refiere al respeto a su vida privada y familiar"). c) Por otra parte, y aunque se adujera que los bienes o derechos tutelados fueran diferentes en el caso de las personas físicas o jurídicas, tampoco sería suficiente argumento para denegar la titularidad a estas últimas. Así nos encontramos que el Tribunal Constitucional ha reconocido a las personas jurídicas como titulares del derecho a la inviolabilidad del domicilio (STC 137/1985, de 17 de octubre). Espín opina que el contenido de este derecho, en el caso de las personas jurídicas, posee rasgos peculiares que minimizan su aplicación. "Pero, al igual que las personas físicas, no puede negarse que disponen de un núcleo de actuación reservada, lo que sirve de fundamento a dicha garantía, en forma análoga a lo que la intimidad y la vida privada lo es para las personas físicas". Por su parte Gómez Montoro siguiendo la teoría de J. Isensee señala que las personas jurídicas son titulares de todos los derechos que protegen sus actividades; además debe de ser tutelada su existencia, su función y la identidad de sus fines (para ello se ha de garantizar el derecho al nombre, al honor y a la protección de sus datos). Asimismo, y como ha reseñado Fernández Segado, a partir de la sentencia arriba mencionada se ha sentado una doctrina conforme a la cual parece proyectarse sobre nuestro ordenamiento una cláusula constitucional como la del párrafo tercero del artículo 19 de la Bonner Grundgesetz, lo que permite concluir reconociendo a las personas jurídicas de Derecho privado la titularidad de aquellos derechos fundamentales que, por su naturaleza, puedan ser ejercitados por este tipo de personas. Ello no obsta para que el contenido de un derecho fundamental dependiendo de que sus titulares sean personas físicas o jurídicas adquiera matices, características específicas. En cuanto a las personas jurídicas de Derecho Público, el TC ha indicado que la doctrina que en relación con un derecho fundamental y con carácter general es predicable de los particulares no puede ser trasladada, con igual alcance y sin matización, a los poderes públicos (STC 197/1988, se trataba en este caso del derecho a la tutela judicial efectiva). En esta afirmación jurisprudencial está latente la concepción de que los derechos fundamentales se originan y constituyen frente al Estado, lo cual no ha de obstar para reconocer la titularidad de ciertos derechos fundamentales a las personas jurídico-públicas cuando actúan en sus relaciones con otras personas físicas o jurídicas. En este misma línea, la Ley austríaca de protección de datos reconoce a las personas jurídico-públicas como titulares del derecho fundamental a la protección de datos, excepto cuando éstas o "sus órganos desempeñen funciones de su autoridad". C) Los grupos sin personalidad jurídica como titulares del derecho a la autodeterminación informativa. Su regulación en las legislaciones sobre protección de datos personales Por otra parte, en principio nada debería obstar para extender a los grupos sin personalidad jurídica la titularidad de este derecho. En la STC 214/1991, el Tribunal Constitucional, caso Violeta Friedman, aborda la titularidad del derecho al honor de estos grupos (aunque, como señala Gómez Montoro, quizás en este supuesto se trate más bien de un problema de legitimación procesal). Así lo han venido reconociendo diversas legislaciones de protección de datos: (Art. 3.2 de la ley austríaca extiende su ámbito de aplicación a toda persona natural o jurídica o toda comunidad de personas que no fuera el gestor de los datos; art. 2 de la Ley luxemburguesa que extiende su ámbito de aplicación a toda persona física o moral, pública o privada o grupo de hecho, etc.). D) Algunos problemas que surgen en las legislaciones sobre protección de datos que excluyen de su campo de aplicación a las personas jurídicas Como hemos visto existen argumentos para extender la titularidad del derecho a la autodeterminación informativa a las personas jurídicas e incluso a los grupos sin personalidad jurídica. Incluso se ha de decir que las legislaciones que no lo han contemplado encuentran algunas dificultades. Si las personas jurídicas o dichos entes no están sometidas a un régimen de protección de datos, por medio del conocimiento de las informaciones de las mismas se podrían filtrar datos sobre sus miembros. Aun así las soluciones que se han ido tomando a este problema no han ido encaminadas a extender la protección a las personas jurídicas. Se ha distinguido entre los datos propios de las personas jurídicas y los datos de las personas que forman parte de las personas jurídicas. Conforme a esta última distinción el Documento de Naciones Unidas sobre "Principios rectores aplicables a los ficheros computerizados de datos personales" ha optado por recomendar a los Estados que las leyes de protección de datos incluyan en su campo de aplicación exclusivamente a "las personas físicas", sin perjuicio de que "deban adoptarse disposiciones especiales, cuando proceda, para extender la aplicación total o parcial de estos principios a los ficheros sobre personas jurídicas que contengan información sobre personas físicas". En este sentido el art. 2.2 e) de la LORTAD aunque excluye de su ámbito de aplicación a los ficheros de los partidos políticos, sindicatos e iglesias, confesiones y comunidades religiosas en relación a los datos de sus asociados o miembros y ex miembros extiende su aplicación en cuanto al régimen de cesión de las informaciones (art. 11) y en cuanto a la protección de datos sensibles (art. 7). Por su parte, en Francia la Comisión Nacional de Informática y Libertades (institución homóloga a nuestra Agencia de Protección de Datos, si bien con una composición y funciones un tanto diversas), ha admitido el derecho de acceso a los representantes legales de sociedades a los ficheros de las empresas establecidos en las colectividades locales, a condición de que su nombre figure como dirigente, accionista o socio ya que se puede producir una vulneración de los derechos de éstos por datos erróneos, incompletos o desfasados contenido en estos ficheros. (Délibération nº 84-28 de 3 de julio de 1984). E) El artículo 18.4 CE y las personas jurídicas Como hemos tenido ocasión de comprobar, el derecho a la intimidad difícilmente parece trasladable a las personas jurídicas (así lo pone de manifiesto el ATC 257/1985, donde se niega que "en principio, las personas jurídicas, como las Sociedades mercantiles, puedan ser titulares del mismo, o la STC 231/1988, la cual sostiene que se trata de un derecho personalísimo ligado "a la misma existencia del individuo") a no ser que se piense en él, en un sentido amplio, es decir, como un derecho general a la personalidad, que incluya también la posibilidad de "autodeterminarse informativamente". Por su parte, tampoco la titularidad de dichas personas con respecto al derecho al honor parece, si bien con matizaciones, nada evidente (en este caso habría que optar por un concepto de dicho derecho relacionado con la buena reputación, el buen nombre, el prestigio, etc. [véase entre otras STC 121/1989]). Pero la constatación es que, aunque se parta del concepto de autodeterminación informativa, no desaparecen claramente los obstáculos que permitan llegar a una conclusión diferente. De la lectura del 18.4 se desprende que dicho derecho se alza como garantía del honor, la intimidad y el pleno ejercicio de los derechos de los ciudadanos. Por tanto aunque se protegen otros derechos, además del honor y la intimidad, tales derechos habrán de ser predicables de los ciudadanos. En consecuencia, el primer problema estriba en determinar si la ciudadanía es atribuible sólo a las personas físicas o por el contrario también se extiende a las jurídicas. En este sentido, y aunque, en un principio, en opinión del Tribunal Supremo (STS, Sala de lo Contencioso-Administrativo, de 2 de marzo de 1982) las personas jurídicas quedaban excluidas en dicho término, la STC 241/1992 parece abrir una línea que puede favorecer a la segunda opción. En dicha sentencia el Tribunal Constitucional interpreta que el término "ciudadanos" utilizado en el art. 125 CE relativo a la acción popular incluye también a las personas jurídicas. "El pleno reconocimiento constitucional del fenómeno asociativo y la articulación de entidades colectivas dotadas de personalidad, exige asumir una interpretación amplia de las expresiones, con las que, en cada caso, se denomine el titular de los derechos constitucionalmente reconocidos y legislativamente desarrollados" (FJ 4) Por tanto, esta doctrina viene a reconocer, como adelanta Gómez Montoro, la capacidad para que los ciudadanos, es decir tanto las personas físicas como las jurídicas, sean titulares de derechos fundamentales. Ello, no evita, sin embargo, como se ha hecho en páginas anteriores, el estudio del caso por caso, en nuestro supuesto del derecho a la autodeterminación informativa para ver si los bienes que en el mismo se tutelan son predicables también de las personas jurídicas. Por otra parte, además del anterior argumento en torno a la ciudadanía, se ha de señalar, siguiendo al autor arriba mencionado, que "la afirmación de que las personas jurídicas tienen derechos fundamentales propios, distintos de los de sus miembros, no es incompatible con la afirmación de que 'es la persona natural, el hombre, el individuo, su personalidad, su dignidad y la posición jurídica de ella derivada, el centro del sistema de los derechos fundamentales'". Así el Auto de la Sala segunda de 8 de julio de 1992 del Tribunal Constitucional Federal alemán afirma que "sólo cuando la formación y la actividad de una persona jurídica son expresión del libre desarrollo de los particulares, de personas naturales, cuando especialmente la mirada a los hombres que están detrás de la persona jurídica se presenta como necesaria y llena de sentido, está justificado considerar a las personas jurídicas como titulares de derechos fundamentales y, por ello, incluirlas también en el ámbito de protección de determinados derechos fundamentales materiales". En relación con el derecho a la autodeterminación informativa, por ejemplo, la posibilidad de que una persona jurídica pueda ejercer el derecho de acceso, o de rectificación beneficia en último término a las persona física, ya que la persona jurídica se encuentra al servicio del individuo. Por tanto, aunque cuando la Constitución al referirse al pleno ejercicio de los derechos de los ciudadanos, estuviera pensando en éstos como en personas físicas, la posibilidad de que todos los mecanismos que se prevén en el derecho a la autodeterminación informativa se extiendan a las personas jurídicas amplía la protección otorgada a los individuos. F) El reconocimiento en el ordenamiento jurídico español de las personas jurídicas como titulares del derecho a la autodeterminación informativa en un futuro próximo Si bien, conforme se ha señalado el derecho a la autodeterminación informativa como derecho autónomo e incluso el derecho a la intimidad en un sentido amplio podrían albergar la posibilidad de que las personas jurídicas fueran titulares de los mismos, no es ésta la vía que, como hemos tenido ocasión de comprobar, ha seguido el legislador (por su parte sí contemplaba esta posibilidad, en cambio, el art. 1.2 de la Proposición de Ley Orgánica de Protección de los Derechos y Libertades en relación con el uso de la informática y las telecomunicaciones presentada por el Grupo Parlamentario Mixto Agrupación Izquierda Unida-Esquerra Catalana. El portavoz socialista Díaz Fornas, por su parte, desaconsejaba esta extensión, al menos en un primer momento de introducción en España de una legislación de esta índole, justificando que no era conveniente agravar las dificultades que su aplicación llevaría de extenderlo a las personas jurídicas). Tampoco parece que el futuro próximo depare un cambio en esta situación. La Propuesta modificada de Directiva europea (y en el mismo sentido lo preveía la Propuesta inicial aunque no tan explícitamente) se ha decantado por reconocer su ámbito de aplicación exclusivamente a las personas físicas (art. 1. 1 "Los Estados miembros garantizarán, con arreglo a las disposiciones de la presente Directiva, la protección de los derechos y libertades de las personas físicas....") G) La legitimación en el ejercicio de este derecho fundamental Diferente del problema de la titularidad es el de la legitimación. Ciertas personas, asociaciones, se constituyen para la defensa de sus miembros o asociados. En este sentido, puede resultar sumamente interesante que se legitime a entidades de la sociedad civil para el ejercicio de ciertos derechos que la LORTAD regula. No se trataría, en este caso, sin embargo de los datos que la sociedad como tal posee sino de los datos o informaciones de sus miembros. Como ha señalado Lucas Murillo de la Cueva con ello se facilitaría el ejercicio de muchos derechos, podría lograrse una defensa conjunta y de una sola vez de ciertos aspectos y así recuerda como el Tribunal Supremo de los Estados Unidos ha reconocido la privacy in group association o intimidad asociativa, como derecho que permite a la asociación o entidad negarse en determinados casos a facilitar informaciones sobre sus asociados o miembros. En sentido similar, durante el iter parlamentario prácticamente todos los grupos de la oposición habían presentado la siguiente enmienda: "Para el ejercicio de los derechos citados estarán también legitimadas, en nombre de sus asociados y miembros, las asociaciones de usuarios y consumidores, así como otras organizaciones de carácter social con personalidad jurídica propia que tengan entre sus fines la protección de los derechos amparados por la presente Ley" (enmienda propuesta por la Comisión de Informática y Libertades y que, igualmente recogen los Proyectos de Ley autonómicas de protección de datos valenciana y aragonesa).