La Unión Europea ha descubierto una nueva palabra mágica: simplificación. Sirve para aliviar cargas administrativas y, si uno se descuida, hasta justificar la desaparición del botón de «rechazar todas». El problema no es simplificar. El problema aparece cuando alguien confunde reducir burocracia con reducir garantías y pretende que aplaudamos ambas cosas porque vienen envueltas en el mismo paquete.
El 21 de octubre, el Consejo de la UE fijó su posición negociadora sobre el Ómnibus Digital, que aborda protección de datos, cookies, reutilización de información y notificación de incidentes de ciberseguridad. El texto del mandato, fechado el día 22, es público. Conviene recordar algo que se pierde entre titulares: no es una nueva ley aplicable desde mañana. Quedan la negociación con el Parlamento Europeo, la adopción del texto definitivo y su régimen de entrada en vigor y aplicación.
Noventa y seis horas para avisar
El cambio más fácil de contar se expresa en cifras. El artículo 33 del RGPD vigente exige, cuando existe el riesgo previsto para los derechos y libertades, notificar una brecha a la autoridad competente sin dilación indebida y, si es posible, antes de setenta y dos horas desde su conocimiento. El mandato del Consejo propone noventa y seis. Pero quedarse ahí sería contar media noticia: también plantea elevar el umbral de notificación hasta los incidentes que probablemente ocasionen un riesgo alto.
Para una empresa, menos comunicaciones obligatorias puede significar menos costes y más tiempo para investigar. Es un argumento atendible. Para un ciudadano, sin embargo, la pregunta es otra: ¿qué ocurre con los incidentes que dejan de notificarse aunque revelen problemas de seguridad? El deber de documentarlos permanece en la propuesta. Ahora bien, documentar para el archivo interno y poner el incidente en conocimiento de una autoridad no son exactamente la misma cosa. También debe explicarse la pérdida de visibilidad regulatoria.
Cookies: el agotamiento no equivale a consentimiento
La segunda promesa tiene una clientela inmensa: los millones de europeos hartos de banners que convierten la lectura de una noticia en una gymkana. El Consejo quiere ampliar y aclarar las excepciones al consentimiento para ciertas cookies, como las necesarias para prestar un servicio, proteger la seguridad o realizar mediciones de audiencia bajo condiciones. Hay lógica en esa pretensión. Nadie quiere negociar un tratado para consultar el tiempo.
Pero convendría que la simplificación no sirviera para hacer invisible el seguimiento. Medir la audiencia de una página no es lo mismo que seguir a una persona por media internet para comercializar su comportamiento. Si desaparece el cartel, no debe desaparecer el control. De lo contrario habremos solucionado el problema estético del consentimiento conservando intacto, o agravando, el problema de fondo.
La innovación también tiene apellidos
El paquete toca además investigación, tratamiento de datos sensibles, biometría e inteligencia artificial. El Consejo afirma haber añadido salvaguardias a determinadas excepciones. Bienvenidas sean, porque una tecnología no se vuelve inocua por llamarse innovadora. Una huella, una cara o un dato médico no son materiales gratuitos para cualquier experimento. La legalidad depende de finalidades, bases jurídicas, proporcionalidad y garantías concretas, no de la buena prensa de una palabra inglesa.
Aquí hay un matiz positivo que merece reconocimiento. En febrero, el Comité Europeo de Protección de Datos y el Supervisor Europeo criticaron con dureza la idea inicial de estrechar la definición de dato personal, por su posible efecto sobre derechos fundamentales y seguridad jurídica. El Consejo ha optado por mantener la definición actual, aunque incorpora reglas sobre seudonimización. Es una corrección significativa respecto de la preocupación original. La negociación europea también sirve para corregir ideas antes de convertirlas en obligaciones.
España no puede aplicar titulares
En España la noticia tiene consecuencias potenciales para comercios, despachos, hospitales, administraciones y proveedores tecnológicos. El Consejo plantea sustituir la ventanilla única europea de incidentes imaginada por la Comisión por puntos nacionales interoperables. Podría facilitar la presentación y distribución de avisos, siempre que no se confundan las plataformas técnicas con las competencias de cada autoridad. En Catalunya, además, hay tratamientos del sector público cuya supervisión corresponde a la Autoritat Catalana de Protecció de Dades, y otros sujetos a la Agencia Española.
Mientras los legisladores no terminen su trabajo, la AEPD sigue recordando el plazo actual de setenta y dos horas para los supuestos notificables. Ninguna empresa prudente debería sustituirlo por noventa y seis solo porque Bruselas esté negociando. Tampoco deberían olvidarse las obligaciones de documentar todas las brechas y, cuando procede, informar a las personas afectadas. Lo verdaderamente moderno sería que una pyme pudiera cumplir bien sin necesitar un ejército de asesores, no que tuviera que explicar después por qué nadie se enteró de una fuga.
Europa necesita competir, desarrollar tecnología y dejar de convertir cada trámite en una carrera de obstáculos. También necesita que los derechos sobrevivan a la próxima moda administrativa. Una simplificación que conserve supervisión, transparencia y responsabilidad será una mejora. Una que solo reduzca el número de avisos será, de momento, una estadística más bonita. Las estadísticas no consuelan a quien descubre sus datos en manos ajenas.
Añadir DiarioSabemos como fuente preferida de Google de forma gratuita
Mantente informado con las últimas noticias de actualidad.