Prejuicios infundados: Estudio de movilidad del INE con datos (no personales)
El alboroto generado en torno al estudio de movilidad del Instituto Nacional de Estadística (INE), que se basa en datos proporcionados por las tres principales operadoras de telefonía móvil de nuestro país, debería servir para ser capaces de evitar caer en prejuicios que, además, resultarían ser infundados.
Pensar que los datos son siempre personales es un error. A pesar de que el concepto de datos personales es muy amplio, ya que es definido en el Reglamento General de Protección de Datos o RGPD[i] como “toda información sobre una persona física identificada o identificable” (art. 4.1), no es ilimitado.
Y, sin perjuicio de lo anterior, debe tenerse también en cuenta que el tratamiento de los datos personales se basará siempre en una condición de legitimación del tratamiento. Esta condición de legitimación no siempre es el consentimiento, debiendo atender a que lo que existe es un listado no jerárquico de posibles bases de legitimación en el que el consentimiento es una más. El consentimiento es, por tanto, una base de legitimación, pero no la única ni la aplicable en todos los casos.
Además, los datos pueden no ser personales, lo que implica que no sea aplicable la normativa sobre protección de datos personales, en particular tanto el RGPD como la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD). Si estuviéramos ante datos no personales, el tratamiento queda fuera del ámbito de aplicación de dichas normas.
Es así que a continuación cabe prestar atención a algunas cuestiones específicas que se ponen de manifiesto a partir del caso del INE.
- Un concepto muy amplio de datos personales
Atendiendo tanto a la normativa europea como nacional en materia de protección de datos, ya sea la vigente o también la ya derogada en ambos casos, resulta claro que el concepto de datos personales es muy amplio.
Al respecto, el Grupo de Trabajo del artículo 29 (GT29), en su Dictamen 4/2007 sobre el concepto de datos personales, WP 136, adoptado el 20 de junio, ya había expresado que “debe evitarse una limitación indebida de la interpretación del concepto de datos personales”. Y también el GT29 indicó que “la mejor opción es no restringir indebidamente la interpretación de la definición de datos personales, sino tener en cuenta que existe una considerable flexibilidad en la aplicación de las normas a los datos”. Esto debe servir para que en casos de duda o incertidumbre se analice en primer lugar si hay datos personales e incluso si habiéndolos resulta de aplicación de la normativa sobre protección de datos personales.
Es decir, cuando se lleva a cabo un tratamiento de datos personales deben tenerse también en cuenta los límites al derecho fundamental a la protección de datos, las excepciones a la aplicación de la normativa sobre protección de datos y los casos en los que esta no es aplicable porque no hay, o deja de haber, datos personales.
Ahora bien, no es este el centro de atención del presente caso, ya que todo indica que el INE, para la elaboración de su estudio de movilidad, no tratará datos personales, por lo que dicha acción no tendría implicaciones para el derecho fundamental a la protección de datos. Ni tampoco hará un seguimiento o rastreo de los móviles del usuario, ya solo recibirá datos relativos al número de móviles que se encuentran en un determinado lugar, por lo que no tendría implicaciones para el derecho a la privacidad o vida privada, que es independiente al de la protección de datos personales.
- Datos no personales
En particular, el foco debe ponerse en qué va a tratar el INE y cómo lo hará. Y esto lleva a prestar atención a otra normativa específica, todavía desconocida en cierta medida, al menos por lo que se refiere al concepto de datos no personales. Se trata del Reglamento (UE) 2018/1807 del Parlamento Europeo y del Consejo, de 14 de noviembre de 2018, relativo a un marco para la libre circulación de datos no personales en la Unión Europea.
El concepto de datos no personales o datos es definido en este Reglamento como “toda información no vinculada a una persona identificada o identificable, esto es, cualquier dato distinto de los datos personales que se definen en el punto 1) del artículo 4 del Reglamento general de protección de datos (RGPD)”.
Lo que hace en este caso el INE, a través de su estudio de movilidad, es un ejemplo específico de tratamiento de datos agregados y anonimizados, que por tanto son datos no personales, con la finalidad de poder analizar datos a gran escala. Y según el comunicado institucional publicado por el INE, con fecha 29 de octubre de 2019, a lo que tendrá acceso es al número de terminales que se le proporciona en tablas agregadas de resultados[ii].
Los resultados del estudio de movilidad del INE podrían ser relevantes para la toma de decisiones relativas a cuestiones tales como dónde es necesario mejorar el transporte público, considerando en particular que durante los últimos años la población se concentra en muchos casos fuera del centro urbano de las principales ciudades; realizar otras inversiones, tales como en infraestructuras, etc.; poder desarrollar o, cuando sea necesario, realizar modificaciones a un plan de movilidad urbana sostenible, como por ejemplo el que ya tiene la ciudad de Madrid; o adoptar medidas para reducir los niveles de contaminación y mejorar la calidad de vida de las personas.
- ¿Y si el estudio hubiera sido con datos personales?
Si fuera así, el tratamientos de datos personales tendría que cumplir con la normativa aplicable, tanto europea como nacional. Además, en el caso del INE existe normativa específica que regula el secreto estadístico, anterior incluso a la Ley Orgánica 5/1992, de 29 de octubre, de regulación del tratamiento automatizado de los datos de carácter personal.
En concreto el INE tiene encomendada la realización de las operaciones estadísticas de gran envergadura, tales como censos demográficos y económicos, estadísticas demográficas y sociales, etc. Y esta misión está regulada en la Ley 12/1989, de 9 de mayo, de la Función Estadística Pública. Y en esta Ley se incluye el secreto estadístico, que obliga al INE a proteger los datos personales, sin difundirlos, que obtenga. Esta obligación de secreto estadístico es exigible, además, a todo el personal estadístico, que es el que depende de los servicios estadísticos.
Como conclusión, deben evitarse los prejuicios infundados, lo que además ayudará a que seamos conscientes de qué es y qué implica nuestro derecho fundamental a la protección de datos, evitando así situaciones que pueden generar temores también infundados y perjudicar gravemente el uso debido y necesario de los datos, en particular cuando son personales.
[i] Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos), publicado en el Diario Oficial de la Unión Europea L 119, de 4 de mayo de 2016.
[ii] Consultado en https://www.ine.es/prensa/comunicado29102019.pdf
