Dentro de pocos días, El Salvador tendrá una “nueva” Asamblea Legislativa, que estará conformada por diputados de distintos partidos políticos, dentro de los que se incluyen algunos que llegan por primera vez a ocupar ese tipo de cargos públicos, y que estarán trabajando junto a los que ya llevan algunos años en sus cargos.

Su principal tarea, según lo entendemos los ciudadanos, es redactar, revisar, mejorar y eventualmente presentar, proponer, defender y aprobar las leyes que permitan a nuestro país una convivencia pacífica y contar con herramientas jurídicas para realizar el trabajo de cada uno de la mejor forma, así como tener la posibilidad de buscar un mejor nivel de vida, un mayor desarrollo y una mejor ubicación en el concierto mundial de naciones, desde las perspectivas económica y social.

Si bien hay una gran cantidad de temas que los diputados deberán conocer y que presentan distintos grados de interés para la población, dentro de los grandes pendientes se encuentran varios temas que vinculan al derecho con las tecnologías de información y comunicaciones, y que dado el avance mundial y nacional de estas tecnologías, esta legislación se considera a estas alturas una deuda importante.

A propósito de estos temas, el Comité Jurídico Interamericano (CJI) de la Organización de los Estados Americanos (OEA) culminó recientemente su octogésimo sexto período ordinario de sesiones con la adopción de un informe sobre “Protección de Datos Personales” que plantea a los Estados Miembros una docena de principios relacionados con la privacidad y la protección de datos personales que pueden servir de base para la formulación de leyes en defensa del derecho a la privacidad, la reputación y la dignidad de las personas. Se trata del Informe del Comité Jurídico Interamericano: Privacidad y protección de datos personales.

Un modelo de ley

En el informe de la OEA se incluye una serie de principios y planteamientos que pueden servir para que cada Estado desarrolle la legislación nacional según sus procesos y de acuerdo a su propio entorno. Existen algunos lineamientos generales incluidos en el informe:

Las normas nacionales deben asegurar que los datos personales se recopilen únicamente con fines legítimos y se procesen de una manera justa, legal y no discriminatoria. La finalidad de las normas debe ser que las personas reciban la información necesaria sobre las personas o entidades que recopilan datos, los fines para los cuales se recopilan, los mecanismos de protección conferidos a las personas y las formas en que las personas pueden ejercer esos derechos. Deben asegurar que aquellos que recopilan, procesan, usan y difunden datos personales lo hagan de forma apropiada y con el debido respeto de los derechos de la persona.

Al mismo tiempo, la normativa nacional debe proteger el derecho de las personas a beneficiarse de la economía digital y los flujos de información que la sustentan. Debe buscar un equilibrio entre el derecho de las personas a controlar la forma en que se recopilan, almacenan y utilizan sus datos personales y su derecho a tener acceso a los datos, así como los intereses de las organizaciones en el uso de datos personales con fines comerciales legítimos y razonables en una economía basada en datos.

El informe contiene varias definiciones de los términos que se utilizan en este tipo de leyes, por ejemplo: ámbito de aplicación, concepto de privacidad, concepto de flujo de información, datos personales, controlador de datos, procesador de datos, autoridad responsable de la protección de datos, titular de los datos, datos personales sensibles.

Principios sobre privacidad y protección de datos personales

El informe también incluye una serie de doce principios que los legisladores de cada país deben tener en cuenta cuando se decidan a preparar una ley para atender a este tema. En el informe se encuentran amplios comentarios y anotaciones para cada principio.

Principio uno: Propósitos legítimos y justos. Los datos personales deben ser recopilados solamente para fines legítimos y por medios justos y legales.

Principio dos: Claridad y consentimiento. Se deben especificar los fines para los cuales se recopilan los datos personales en el momento en que se recopilen. Como regla general, los datos personales solamente deben ser recopilados con el consentimiento de la persona a que se refieran.

Principio tres: Pertinencia y necesidad. Los datos deben ser verídicos, pertinentes y necesarios para los fines expresos de su recopilación.

Principio cuatro: Uso limitado y retención. Los datos personales deben ser mantenidos y utilizados solamente de manera legítima no incompatible con el fin o fines para los cuales se recopilaron. No deberán mantenerse más del tiempo necesario para su propósito o propósitos y de conformidad con la legislación nacional correspondiente.

Principio cinco: Deber de confidencialidad. Los datos personales no deben divulgarse, ponerse a disposición de terceros ni emplearse para otros propósitos que no sean aquellos para los cuales se obtuvieron, excepto con el conocimiento o consentimiento de la persona en cuestión o bajo autoridad de la ley.

Principio seis: Protección y seguridad. Los datos personales deben ser protegidos mediante salvaguardias razonables y adecuadas contra accesos no autorizados, pérdida, destrucción, uso, modificación o divulgación.

Principio siete: Fidelidad de los datos. Los datos personales deben mantenerse fieles y actualizados hasta donde sea necesario para los propósitos de su uso.

Principio ocho: Acceso y corrección. Se debe disponer de métodos razonables para permitir que aquellas personas cuyos datos personales han sido recopilados puedan solicitar el acceso a dichos datos y puedan solicitar al controlador de datos que los modifique, corrija o elimine. En caso de que fuera necesario restringir dicho acceso o corrección, deberían especificarse las razones concretas de cualquiera de estas restricciones de acuerdo con la legislación nacional.

Principio nueve: Datos personales sensibles. Algunos tipos de datos personales, teniendo en cuenta su sensibilidad en contextos particulares, son especialmente susceptibles de causar daños considerables a las personas si se hace mal uso de ellos. Los controladores de datos deberían adoptar medidas de privacidad y de seguridad que sean acordes con la sensibilidad de los datos y su capacidad de hacer daño a los individuos sujetos de la información.

Principio diez: Responsabilidad. Los controladores de datos adoptarán e implementarán las medidas correspondientes para el cumplimiento de estos principios.

Principio once: Flujo transfronterizo de datos y responsabilidad. Los Estados Miembros cooperarán entre sí en la creación de mecanismos y procedimientos que aseguren que los controladores de datos que operen en más de una jurisdicción puedan ser efectivamente hechos responsables por el cumplimiento de estos principios.

Principio doce: Publicidad de las excepciones. Cuando las autoridades nacionales establezcan excepciones a estos principios por motivos relacionados con la soberanía nacional, la seguridad interna o externa, el combate a la criminalidad, el cumplimiento de normativas u otras prerrogativas de orden público, deberían poner en conocimiento del público dichas excepciones.