Confianza y transparencia: El derecho a saber

La responsabilidad social corporativa (RSC) también llamada responsabilidad social empresarial (RSE) o inversión socialmente responsable, se define como la contribución activa y voluntaria al mejoramiento social, económico y ambiental por parte de las empresas, generalmente con el objetivo de mejorar su situación competitiva, valorativa y su valor añadido. El sistema de evaluación de desempeño conjunto de la organización en estas áreas es conocido como el triple resultado.

La responsabilidad social corporativa va más allá del cumplimiento de las leyes y las normas, dando por supuesto su respeto y su estricto cumplimiento. En este sentido, la legislación laboral y las normativas relacionadas con el medio ambiente son el punto de partida con la responsabilidad ambiental. El cumplimiento de estas normativas básicas no se corresponde con la responsabilidad social, sino con las obligaciones que cualquier empresa debe cumplir simplemente por el hecho de realizar su actividad. Sería difícilmente comprensible que una empresa alegara actividades de RSE, si no ha cumplido o no cumple con la legislación de referencia para su actividad.

Bajo este concepto de administración y de gestión se engloban un conjunto de prácticas, estrategias y sistemas de gestión empresariales que persiguen un nuevo equilibrio entre las dimensiones económica, social y ambiental, entre las que se encuentran, sin lugar a dudas, las derivadas de la protección de datos de carácter personal.

Como todo el mundo conoce, los antecedentes de la RSE se remontan al siglo XIX, en el marco del cooperativismo y el asociacionismo que buscaban conciliar eficacia empresarial con principios sociales de democracia, autoayuda, apoyo a la comunidad y justicia distributiva[i], y su proyección a lo largo de los tiempos, ha determinado su necesidad de adaptación a las diferentes circunstancias y eventualidades que han ido atravesando las sociedades, y como fiel reflejo, los mercados, donde queda suficiente constancia de la actividad negocial desempeñada por las empresas y otros agentes sociales.

Partiendo, por tanto de la interrelación existente entre estos valores de responsabilidad social de las empresas, y la protección de datos de carácter personal, es necesario indicar que  en los momentos actuales de transición en la regulación jurídica de la protección de datos de carácter personal, se hace preciso vincularlos especialmente con el llamado “principio de transparencia”, y con la exigencia de transmitir y generar “confianza” en la persona del titular de los datos, que a la postre no deja de ser en la mayoría de los casos, un cliente o consumidor, que requiere los servicios comerciales o profesionales de cualquier empresa.

Como atinadamente sugiere Recio[ii], el principio de transparencia, traducido del inglés “openness” o, también, “transparency”, no es nuevo en protección de datos personales. Se trata de un principio que ha sido, es, y será fundamental para impulsar la confianza de los titulares de los datos personales cuando dichos datos son tratados por responsables del tratamiento. Y dicho principio debe ser aplicable también para los encargados del tratamiento.

Este principio, se encuentra, entre otros, en las Directrices de la Organización para la Cooperación y el Desarrollo Económico (OCDE) sobre protección de la privacidad y flujos transfronterizos de datos personales de 1980. Estas Directrices de la OCDE fueron actualizadas en 2013, manteniéndose íntegramente el principio de transparencia (“openness principle”). También la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, incluye el derecho de información tanto si los datos han sido, o no, recabados del propio interesado.

Y como derecho de información en la recogida de datos se encuentra también en el artículo 5 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD). En otros casos, tal como ocurre con el Convenio 108 del Consejo de Europa, de 28 de enero de 1981, para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, la transparencia no se incluía ni como principio ni como derecho, si bien sí es una de las modificaciones propuestas al mismo al proponerse como artículo 7 bis la “transparencia del tratamiento” (en inglés, “transparency of processing”).

También en el Reglamento General de Protección de Datos se prevé, específicamente, el principio de transparencia con la finalidad de que el titular de los datos pueda “saber y comprender si se están recogiendo, por quién y con qué finalidad, los datos personales que le conciernen” (Considerando 46).

Este principio de transparencia, y la consiguiente confianza que debe desprenderse del titular de los datos hacia la empresa o responsable del fichero o tratamiento, se encuentra a su vez en íntima relación de lo que se ha venido a denominar como el “derecho a saber”, por lo que cualquier persona, sobre la base de su legítimo derecho a conocer que datos están siendo objeto de tratamiento, y asimismo, la información precisa con relación a las demás menciones a la que debe hacer referencia el aviso legal o la política de privacidad.

Confiar en que los datos sean privados

En un mundo cada vez más digital es imprescindible que las personas puedan confiar en que sus datos son privados, están seguros y son gestionados de forma transparente. La confianza es clave para que los ciudadanos puedan aprovechar todas las oportunidades que les ofrece la tecnología.

Así, como puerta de entrada al mundo digital, la confianza es uno de los asuntos más materiales y, por tanto, una de las principales prioridades.

Por ello, uno de los principales objetivos siempre tiene que ser el de garantizar siempre la privacidad de los clientes y fomentar la transparencia en cuanto a sus derechos al usar nuestros productos y servicios. Todo ello, bajo un marco de seguridad y otorgando al cliente el control de su vida digital[iii].

Consecuentemente con ello, es evidente que el tratamiento de datos personales requiere actuar con responsabilidad (en inglés, accountability), adoptando e implementando medidas adecuadas, de manera que no se convierta en un riesgo, vulnerando el derecho fundamental a la protección de datos personales y, por tanto, pudiendo dar lugar a la pérdida de confianza y otros daños de naturaleza reputacional.

Es evidente que la confianza no se impone, sino que la misma se ha de ganar, de ahí la importancia y la trascendencia de que cualquier empresa, teniendo en cuenta las propias sensibilidades existentes en el mercado donde quiera desarrollar su actividad negocial, se encuentre suficientemente comprometida no sólo con los principios de responsabilidad social empresarial, sino con la generación de confianza y transparencia en sus relaciones con los clientes.

Al hilo de ello, y de la defensa de estos principios, cabe sugerir que dentro del contenido de la memoria de responsabilidad social empresarial de cualquier unidad de negocio, se deben incluir menciones específicas y concretas sobre los propósitos, alcance y cualquier otra circunstancia, que tenga relación con los titulares de los datos objeto de tratamiento, que se pretenda o que se estén llevando ya a efecto, teniendo en consideración, precisamente, la importancia que estas cuestiones están alcanzando, para los mercados en general, y en particular para los ciudadanos.

Es decir, de acuerdo con el principio de transparencia se hace cada vez más necesario publicitar aquellas políticas en relación con los datos de los clientes, que revelen los compromisos que las empresas asumen frente a los mismos en esta materia, dirigiéndose específicamente dichos compromisos a respetar no sólo el tenor literal de los textos legales, sino los principios y valores que informan a los mismos, como un elemento de suma importancia a los efectos de poder transmitir de manera adecuada la confianza que el consumidor está demandando.

Mayor compromiso

Si bien es cierto que en la Directiva 95/46/CE, se partía prácticamente de los mismos principios que en la actualidad asume con un cierto carácter continuista, el Reglamento General de Protección de Datos de la Unión Europea, constituye ya una realidad completamente evidenciable, que las reglas del juego han cambiado, y que el Parlamento Europeo, a través del ejercicio de su acción legislativa ha tratado principalmente de empoderar al ciudadano comunitario con relación al control de sus propios datos de carácter personal, y ello, necesariamente debe verse reflejado en los modos de proceder que las empresas han de llevar a cabo con relación al tratamiento de los datos de carácter personal de sus clientes.

Esta nueva situación, trae consigo unas nuevas exigencias que han de ser respetadas.

Y, en definitiva, una de ellas, sin lugar a dudas, debe ser el mayor compromiso de las empresas en cuanto a las políticas de transparencia en el tratamiento de los datos de carácter personal. El consumidor, como antes se indicaba tiene “derecho a saber”, y dicho conocimiento debe ser completo e íntegro.

Las políticas de privacidad ya no admiten medias tintas o verdades a medias. Vivimos en un mundo cada vez más conectado, lo que hace que surjan nuevos riesgos respecto a la privacidad y seguridad de los datos personales. Privacidad y seguridad son valores en alza en la sociedad.

En plena consonancia con ello, es cierto que desde hace mucho tiempo se han desechado aquellas formulas generales que pretendían decir muchas cosas, pero que a la postre, omitían muchas cosas, y no informaban adecuadamente al consumidor de las vicisitudes en las que se enmarcaba el tratamiento de sus datos, a los que los mismos estaban sometidos.

Ahora el consumidor tiene derecho a conocer todas las vicisitudes que afecten a sus datos, tiene la capacidad de disponer plenamente sobre los mismos, y tolerar o no, los procesos que se pretendan llevar a cabo con dichos datos.

Para poder conocer, hoy más que nunca existe la obligación de informar, y esta obligación que ha de asumir el responsable del tratamiento o la empresa se hace inexcusable. En este sentido, carece de sentido el argüir que las estipulaciones sobre la materia contenidas en los contratos, no pueden rebasar determina extensión, so pena de complicar la regulación jurídica de los mismos, y dificultar la comprensión del propio contrato por parte del cliente o consumidor.

Derecho a saber

Sin embargo, la realidad jurídica hoy ya es diferente. El cliente tiene pleno “derecho a saber” todas las vicisitudes y circunstancias en las que se debate el tratamiento de sus datos personales, y no cabe establecer justificación alguna para limitar dicho conocimiento. En definitiva, hay que reconocer la mayoría de edad del consumidor, y su pleno derecho a decidir, que necesariamente debe estar informado por el pleno conocimiento de los hechos y los derechos que le afectan.

Y al lado del “derecho a saber”, y vinculado directamente con el mismo, el consumidor, como expresión de la confianza en una determinada empresa, tiene “derecho a estar seguro”, con relación a como se están tratando sus datos personales.

Consecuentemente con ello, debe tenerse presente que el respeto a la privacidad de los datos, necesariamente va unida a la seguridad en el tratamiento de los mismos. Por ello, puede igualmente afirmarse que, por ejemplo, la seguridad es uno de los aspectos más importantes para los usuarios y las empresas actuales. En un mundo profundamente interconectado en el que la información es compartida a través de la red y donde la nube ha adquirido un protagonismo cada vez mayor, asegurar los datos, ya sean personales o profesionales, es vital.

La preocupación desde las organizaciones y desde los hogares por mantener su privacidad bajo resguardo debe constituir un objetivo ineludible para la industria de las tecnologías de la información, y para las empresas y los responsables de los tratamientos en general. En este contexto, los diferentes agentes de la industria deben colaborar con la administración pública y con los expertos en la materia para impulsar el desarrollo de un entorno tecnológico seguro y fiable que respete la privacidad de los datos y la información de los usuarios.

Las compañías deberían esforzarse en que los usuarios estén completamente informados sobre las medidas de seguridad de los servicios que diariamente utilizan con el objetivo de que conozcan cada una de las herramientas creadas para asegurar los datos de cada individuo u organización.

Para facilitar a los usuarios la información relevante sobre seguridad, las compañías deberían seguir tres aspectos fundamentales: simplicidad, privacidad y transparencia[iv]. Y ello no puede separarse de los valores y principios que integran la responsabilidad social de cualquier empresa o persona jurídica.

[i] Cfr.: WIKIPEDIA. Concepto de responsabilidad social corporativa

[ii] Cfr.: RECIO, Miguel. “Transparencia en protección de datos personales”. 24 de julio de 2.015

[iii] Cfr.: Telefónica. “Confianza digital”. Informe Integrado 2.015. 

[iv] Cfr.: SANCHEZ, Héctor. “Transparencia, claridad y confianza”. Computerworld. 13 de julio de 2.005.

Otras Columnas por Javier Puyol Montero:

Opinión | Los ciberataques también son posibles contra los teléfonos móviles

Opinión | Neurotecnología: ¿Estamos listos para el próximo gran desafío ético y legal?

Opinión | Ciberseguridad e Inteligencia Artificial: vinculaciones

Opinión | La Inteligencia Artificial y la función de juzgar

La estrategia española de transformación digital y el «Sandbox» sobre la Inteligencia Artificial

Tiempo de recuperación tras un ciberataque