LA LEY DEL SISTEMA NACIONAL DE REGISTRO DE DATOS PÚBLICOS: DESAFIOS PARA LA PROTECCIÓN DE DATOS EN ECUADOR Jacqueline Guerrero Carrera ∗ ECUADOR I. INTRODUCCIÓN El 20 de octubre de 2008 entró en vigencia la vigésima Constitución de la República del Ecuador, luego de que se aprobara mediante referéndum el proyecto de Carta Magna elaborado por la Asamblea Constituyente instalada, en noviembre de 2007, en la ciudad de Montecristi, provincia de Manabí. Es por tanto una de las constituciones más nuevas de América Latina, sin duda una de las más extensas del mundo, con 444 artículos, y también una de las más vanguardistas, especialmente en su parte dogmática en cuanto a reconocimiento de derechos de nueva generación o de los denominados derechos humanos de cuarta generación. En el numeral octavo de la Primera Disposición Transitoria de la Constitución se determinó que en el plazo de 360 días el órgano legislativo debía aprobar las leyes que organicen los registros de datos, en particular los registros civil, mercantil y de la propiedad, debiendo establecerse bases de datos nacionales. En el suplemento del Registro Oficial 162, del miércoles 31 de marzo de 2010, se publicó la Ley del Sistema Nacional de Registro de Datos Públicos, con el objetivo de crear y regular el sistema de registro de datos públicos en entidades públicas o privadas que administren dichas bases o registros. Pero el artículo 6 relativo al principio de accesibilidad y confidencialidad de los datos, hace referencia a datos privados de carácter sensible que podrían tener uso público y que además integrarán el sistema nacional de registro de datos públicos que estará a cargo de la Dirección Nacional de Registro de Datos Públicos, entidad adscrita al Ministerio de Telecomunicaciones y Sociedad de la Información. Es objeto de esta ponencia el análisis específico de la relación y efecto de la ley ut supra, específicamente del artículo 6, con el derecho a la protección de los datos personales que se encuentra consagrado como un derecho individual en el numeral 19 del artículo 66 de la Constitución, dejando para un posterior análisis los demás temas de regulación de la norma. II. LA PROTECCIÓN DE DATOS EN ECUADOR ∗ Abogada de los Tribunales y Juzgados de la República y Doctora en Jurisprudencia por la Universidad de Las Américas. Diploma Superior y Magíster en Derecho, mención en Derecho Económico, por la Universidad Andina Simón Bolívar. Especialización Superior en Docencia Universitaria. Curso de posgrado en compraventa internacional, comercio electrónico y problemas de derecho internacional privado. Cursando estudios de doctorado en la Universidad de Buenos Aires. Docente a tiempo completo de la Escuela Politécnica del Ejército – Universidad de las Fuerzas Armadas de Ecuador. Docente de la Universidad de las Américas, Universidad Andina Simón Bolívar e Instituto de Altos Estudios Nacionales Antes de la vigencia de la Constitución actual las referencias a la protección de datos eran someras, en normas específicas como la Ley de Comercio Electrónico, Firmas Electrónicas y Mensajes de Datos –en adelante Ley 67-, en cuyo artículo 9 se establece que “Para la elaboración, transferencia o utilización de bases de datos, obtenidas directa o indirectamente del uso o transmisión de mensajes de datos, se requerirá el consentimiento expreso del titular de éstos, quien podrá seleccionar la información a compartirse con terceros….” En este contexto, el uso de los datos personales está vinculado a los derechos de privacidad, intimidad y confidencialidad garantizados en la Constitución, pues ésta, anterior a la actual Carta Magna, no reconocía aún el derecho específico a la protección de datos. Se exceptúa del requisito de consentimiento del titular cuando la obtención de datos se dé en tres casos: a) se obtengan de fuentes accesibles al público; b) se recojan para el ejercicio de las funciones propias de la administración pública, en el ámbito de su competencia; y c) se refieran a personas vinculadas por una relación de negocios, laboral, administrativa o contractual y sean datos necesarios para el mantenimiento de las relaciones o para el cumplimiento del contrato. Lógicamente, la autorización es revocable pero ésta no tiene efecto retroactivo. Consecuencia del referido artículo, una de las reformas al Código Penal que introdujo la Ley 67, estableció como delito la obtención y utilización no autorizada de información, sancionando con una pena de prisión de dos meses a dos años y una multa de mil a dos mil dólares, a las personas que obtuvieren información sobre datos personales para después cederla, publicarla, utilizarla o transferirla a cualquier título, sin la autorización de su titular o titulares. Cabe señalar que la disposición del Art. 9 de la Ley 67 se aplica exclusivamente a las bases de datos que hayan empleado para su construcción mensajes de datos o documentos electrónicos. La Constitución vigente introdujo el reconocimiento del derecho fundamental a la protección de datos de carácter personal, como un derecho de libertad de los ciudadanos, independiente del derecho a la intimidad personal, en los términos del numeral 19 del artículo 66 que determina que la protección referida incluye dos potestades de los titulares: a) el derecho de acceso a los datos de carácter personal; y b) el derecho de decisión sobre la información de carácter personal. Así también, se consagra el principio de adecuada recolección de los datos personales al señalar que las actividades de: recolección, archivo, procesamiento, distribución o difusión de los datos e información personal, requerirán la autorización del titular o el mandato de la ley. En armonía con el avance en el reconocimiento de este nuevo derecho, se reformó el alcance de la garantía constitucional del hábeas data que ya estaba prevista en la Constitución de 1998. Así, la acción de habeas data contemplada en el artículo 92 determina que toda persona, por sus propios derechos o como representante legitimado para el efecto, tendrá posibilidad de ejercer la acción con cinco fines: 1. Conocer la existencia y acceder a los documentos, datos genéticos, bancos o archivos de datos personales e informes que sobre sí misma, o sobre sus bienes, consten en entidades públicas o privadas, tanto en soporte material – papel- o electrónico. 2. Conocer el uso que se haga de los datos e información referida en el numeral anterior, así como su finalidad, origen y destino, y tiempo de vigencia del archivo o banco de datos. 3. Solicitar al responsable el acceso al archivo sin costo. 4. Solicitar la actualización, rectificación, eliminación o anulación de los datos. 5. En el caso de datos sensibles, exigir la adopción de las medidas de seguridad necesarias. La no atención de las peticiones enumeradas, según el artículo 92, da lugar a la demanda por los perjuicios ocasionados. Finalmente, es preciso señalar que desde marzo de 2010 se encuentra en trámite en la Asamblea Nacional el proyecto de Ley de Protección a la Intimidad y a los Datos Personales, sin que haya merecido siquiera la calificación de prioritario por parte del Consejo de Administración Legislativa –CAL-, requisito indispensable que lo conozca la comisión legislativa correspondiente y se tramite al seno del órgano legislativo. Sin embargo, no se deberá perder de vista lo que determina la Constitución, en su artículo 426, en el sentido de que la falta de norma no justifica la vulneración de los derechos y garantías establecidos en la misma. III. LA PROBLEMÁTICA El Sistema Nacional de registro de datos públicos y su contenido La Ley del Sistema Nacional de Registro de Datos Públicos 1 –en adelante LSNRDPse promulga con un objetivo y finalidad específica: crear y regular el sistema de registro de datos públicos y su acceso. A su vez se señala que la Ley propugna la organización, sistematización e interconexión de la información, que conste en dichos registros. La Ley rige para las instituciones del sector público y privado que administren bases o registros de datos públicos, sobre las personas naturales o jurídicas, sus bienes o patrimonio. La inclusión de las instituciones privadas en el ámbito de aplicación de la ley obedeció, según la comisión legislativa encargada del análisis del proyecto de ley, a la existencia de empresas públicas de derecho privado, fundaciones y corporaciones y otras instituciones privadas que por su actividad podrían tener a su cargo bases o registros de datos públicos. 1 El proyecto de ley fue presentado por el Asambleísta Francisco Velasco del movimiento Alianza País, al que pertenece el Presidente de la República, Eco. Rafael Correa Deviene en primer lugar, analizar qué se entiende por sistema y por sistema de registro, e inmediatamente por datos públicos, pues la unión conceptual de tales términos debería permitir anticipar la comprensión del cuerpo normativo. Según el diccionario de la Real Academia Española de la Lengua un sistema es un “conjunto de cosas que relacionadas entre sí ordenadamente contribuyen a determinado objeto”. Al hablar de sistema nacional se entiende que el conjunto tendrá elementos de todo el país. Ahora bien, la palabra registro da cuenta de la “acción y efecto de registrar” así como del lugar donde se anota o registra. La disposición transitoria de la Constitución que determina la creación de la ley hace específica referencia a los registros civil, mercantil y de la propiedad. Finalmente, lo que constituye la piedra angular en este análisis terminológico tiene que ver con los datos públicos, así su definición e incluso su taxativa enumeración son esenciales. Lamentablemente la LSNRDP no empieza haciendo una definición legal que zanje cualquier duda o interpretación errónea en estos aspectos. En doctrina, e incluso en algunas normas jurídicas de otros países, se distinguen los datos personales públicos de aquellos que no lo son y que por oposición se consideran privados, siendo el elemento que permite tal diferenciación el conocimiento general de los datos públicos. Así, en un contexto más restrictivo por éstos se consideran los relativos a nombres, apellidos, dirección, formación profesional, sexo; los demás datos no tienen el carácter de públicos y dentro de éstos hay una categoría más específica que corresponde a los datos sensibles, que incluyen a los datos personales que revelen origen racial y étnico, preferencias políticas, convicciones religiosas o morales, afiliación sindical e informaciones referentes a la salud o a la vida sexual. Del texto de la LSNRDP se desprende que, para efectos de la norma, se consideran como datos públicos a aquellos que consten en registros como los de la propiedad, mercantil y civil, así como la información pública 2 que poseen instituciones como: el Servicio de Rentas Internas, el Instituto Ecuatoriano de Seguridad Social, la Dirección Nacional de Migración, la Dirección Nacional de Tránsito, Ministerio de Relaciones Laborales, Instituto Ecuatoriano de Propiedad Intelectual, Municipios, Función Judicial, entre otras. Surge entonces uno de los cuestionamientos a la norma pues parecería que se confunde la naturaleza pública de las instituciones con el carácter público de los datos personales que puedan poseer; dicho en otras palabras, el hecho de que una institución pública posea datos personales no convierte a éstos en públicos. Así por ejemplo, la información que posee el Instituto Ecuatoriano de Seguridad Social sobre sus afiliados de ninguna manera puede considerarse pública, pues involucra datos sobre salud que no pueden ser de conocimiento general. De hecho, el Sistema Nacional de Registro de Datos Públicos, según el artículo 28 de la Ley, se crea “con la finalidad de proteger los derechos constituidos, los que se 2 La Disposición Transitoria Séptima enumera las instituciones públicas del sector público que poseen información pública constituyan, modifiquen, extingan y publiciten por efectos de la inscripción de los hechos, actos y/o contratos determinados por la presente Ley y las leyes y normas de registros; y con el objeto de coordinar el intercambio de información de los registros de datos públicos.” Es decir, del ámbito de la ley quedan excluidos los datos de carácter privado. La Ley Orgánica de Transparencia y Acceso a la Información Pública, vigente desde mayo de 2004 determinó como información pública todo documento en cualquier formato, que se encuentre en poder de las instituciones públicas que se contengan, hayan sido creados y obtenidos por ellas, estén bajo su responsabilidad o se hayan producido con recursos del Estado, precisando que la información pública personal tendrá el carácter de confidencial y por tanto no estará sujeta al principio de publicidad. Queda excluida por tanto la información personal privada. El mayor problema surge cuando se analiza el artículo 6 de la Ley, pues se separa del contexto de la norma, que desde su denominación hace referencia sólo a datos públicos, y establece la regulación de accesibilidad para datos personales privados, señalando entre éstos aquellos relativos a 3: la ideología, la afiliación política o sindical, la etnia, el estado de salud, la orientación sexual, la religión, la condición migratoria, los demás atinentes a la intimidad personal, los datos cuya reserva haya sido declarada por autoridad competente, los que estén amparados bajo sigilo bancario o bursátil; y los que pudieren afectar la seguridad interna o externa del Estado. Los datos enumerados son considerados como públicos, pero se les da el carácter de confidenciales según el mismo artículo 6. Ahora bien, no es suficiente analizar el tipo de datos que se exigen, pues lo trascendente es analizar su utilidad y los posibles usos que se hagan de ellos. Ya el Tribunal Constitucional Federal Alemán señaló que no hay datos insignificantes, pero su sensibilidad no depende de la esfera privada o íntima a la que pertenezcan, sino más bien del contexto en que se van a emplear. El referido artículo 6, en armonía con lo establecido en la Constitución, determina que el acceso a los datos enumerados sólo será posible con autorización expresa del titular, por mandato de la ley o por orden judicial; y que los custodios de dichos datos personales deberán adoptar las medidas de seguridad necesarios para proteger y garantizar la reserva de la información que reposa en sus archivos. 3 Por la importancia de que el lector visualice la trascendencia de los tipos de datos la descripción se realiza a manera de enumeración No obstante, el último inciso del artículo 6 es motivo de la especial preocupación que debería tener cada ciudadano ecuatoriano, por el real alcance e implicación de la disposición en análisis, pues se establece que el Director Nacional del Registro de Datos Públicos definirá los demás datos que integrarán el sistema nacional y el tipo de reserva y accesibilidad que tendrán los mismos. Se concede por tanto, absoluta discrecionalidad a un funcionario público, designado por el Presidente de la República, para que a su arbitrio determine los datos que obligatoriamente serán parte de la base de datos nacional y conceda el nivel de acceso que considere, sin mediar parámetro o límite alguno. En retrospectiva, si bien la LSNRDP hace alusión a datos públicos, se podría incluir en el registro todo tipo de datos de carácter personal, incluyendo aquellos que por ningún motivo y bajo ninguna circunstancia deberían ser objeto de registro alguno como son los datos relativos a la ideología, la filiación política, la orientación sexual y la religión. Es más, la ley debería prohibir su recopilación, uso y almacenamiento, dejando a salvo la difusión por voluntad propia del titular, por los riesgos que supone para la integridad misma de los individuos la manipulación de datos altamente sensibles, tal como da testimonio la historia de la humanidad. La Comisión Especializada Permanente de Régimen Económico y Tributario y su Regulación y Control, encargada de analizar el proyecto de ley que daría lugar a la LSNRDP, en el informe presentado al pleno de la Asamblea Nacional es la que incurre en el error de asimilar como datos públicos a aquellos relativos a ideología, afiliación política o sindical, etnia, estado de salud, orientación sexual, religión, condición migratoria y toda aquella información cuyo uso público podría atentar contra los derechos humanos, e incorpora el artículo 6 al proyecto original que solo hacía referencia a los datos que constan en los registros de la propiedad, civil, mercantil o de prendas especial de comercio. Lo que cabe preguntarse entonces es ¿para qué?, ¿por qué?, ¿en qué casos?, se va a solicitar, recopilar, registrar y usar, datos que den cuenta de la ideología de los ciudadanos, sus creencias religiosas y sus convicciones tan íntimas como sus preferencias sexuales. Pero peligro mayor supone la intención, convertida ahora en disposición, de registrar tales datos en una base nacional administrada por una oficina dependiente de la Función Ejecutiva. La mentada Comisión Especializada Permanente de Régimen Económico y Tributario y su Regulación y Control en el informe para segundo debate del proyecto de ley hizo una alarmante reflexión sobre el ámbito de la ley y precisó que éste incluye las bases o registros de datos sobre las personas, sus bienes, su patrimonio y los demás datos públicos de registro obligatorio y rige tanto para instituciones públicas como privadas. Es justamente esta amplitud la que genera reparos y debe ser objeto de debate, pues en la práctica podría requerirse la integración al Sistema Nacional de Registro de Datos Públicos, de cualquier base que contenga datos sensibles de las personas, que por su naturaleza no tienen el carácter de públicos. El conflicto entre derechos personalísimos La Constitución del 2008, dentro de los derechos de libertad, artículo 66, consagra como derechos fundamentales de los ciudadanos: 4) el derecho al libre desarrollo de la personalidad, sin más limitaciones que el derecho de los demás; 19) el derecho a la protección de datos de carácter personal; y, 20) el derecho a la intimidad personal y familiar. Así también, el artículo 18, numeral segundo, establece que es derecho de todas las personas el acceso a la información generada en instituciones públicas o privadas que manejen fondos públicos o realicen funciones públicas. La LSNRDP busca efectivizar el derecho constitucional de acceso a la información pública, pero genera un conflicto con otros derechos fundamentales, también reconocidos constitucionalmente, como el derecho a la reserva de las convicciones y el derecho a la protección de datos. Específicamente, el numeral 11 del artículo 66 consagra el derecho a guardar reserva de las convicciones y en tal sentido “… Nadie podrá ser obligado a declarar sobre las mismas. En ningún caso se podrá exigir o utilizar información sin autorización del titular o de sus legítimos representantes, la información personal o de terceros sobre sus creencias religiosas, filiación o pensamiento político; ni sobre datos referentes a su salud y vida sexual, salvo por necesidades de atención médica.” Por tanto, a la luz de la citada disposición el artículo 6 de la LSNRDP tiene vicios de inconstitucionalidad, pues el mandato de ley no puede condicionar la entrega de datos personales sensibles como los aludidos en la disposición. Ahora bien, en tema de conflicto de derechos hay varios aspectos que considerar. En palabras del Dr. Carlos Delpiazzo: Si el ejercicio de un derecho afecta la consecución de la finalidad de otro, entonces habrá que examinar si la finalidad que persigue el primero se encuentra en correspondencia con la finalidad que persigue el segundo. En la especie es evidente que el ejercicio del derecho de acceso a la información pública, si no respeta el límite de la información privada, desvirtúa su fin. A su vez, la reserva de los datos personales no afecta el contenido esencial del derecho de acceso a los documentos administrativos 4 La garantía de acceso a la información pública no prevalece frente a los derechos a la intimidad, a la reserva de convicciones y a la protección de datos personales, pues el fin de éstos últimos es superior al del primero, y en tal sentido aún cuando haya reglas para el acceso no deben incluirse datos sensibles en las bases de carácter público. Los motivos de la preocupación Cuando se trata del acopio y manipulación de datos personales se ven comprometidos valores fundamentales como: la dignidad, la libertad, la privacidad; de ahí la necesidad 4 Delpiazzo, Carlos, “A la búsqueda del equilibrio entre privacidad y acceso”. Disponible en: http://www.fder.edu.uy/contenido/pdf/9jornadas_idi.pdf de que existan límites y controles para su uso por parte de terceros. El Estado no debe ser excluido de esos límites y controles, pues el gobierno lo conforman personas, seres humanos que ostentan temporalmente el poder y pueden emplear su capacidad de acceso a las fuentes de información personal para fines que pongan en riesgo o afecten los valores antes referidos. Es decir, el Estado como tenedor de registros y bases de datos personales debe ser tratado en términos iguales que cualquier otro tenedor, eso contribuye a la democracia, a la transparencia y a la verdadera garantía de los derechos humanos. Vale mentar en este espacio, algunas reflexiones que se han hecho en los últimos meses, a raíz del inicio de los censos de población en los 27 países miembros de la Unión Europea, comenzando en Alemania. Pese a la conciencia de la necesidad de contar con la información que reportan los censos para efectos de definición de políticas públicas, la preocupación sobre los datos personales que se recaban y obran en poder del Estado, ronda el espacio ciudadano. Antecedente válido es la resolución del Tribunal Constitucional Federal de Alemania de 1983 que suspendió la realización del censo general de la población, en consideración al derecho de autodeterminación informativa que se traduce en la facultad de los individuos de decidir sobre la recopilación, almacenamiento, utilización y transmisión ilimitada de los datos personales. Motivo de preocupación es el abuso político que podría darse de los datos recopilados mediante los censos, incluyendo temas de discriminación racial o por condiciones migratorias, así son varios los aspectos que se deben analizar cuando se trata de datos personales que vayan a estar a cargo del Estado. En la sentencia BVerfGE 65,1 el Tribunal Constitucional Federal Alemán consideró que: Los límites a ese derecho de autodeterminación informativa se admiten sólo con base en la prevalencia del interés general, requieren de un fundamento legal y constitucional, acorde con el mandato del Estado que exige una claridad normativa. Para su reglamentación el legislador debe tener en cuenta demás el principio de proporcionalidad. También está obligado a acatar las disposiciones procedimentales y organizatorias, que evitan el peligro de una violación al derecho a la personalidad, 5 Obviamente la garantía del derecho de autodeterminación informativa no es ilimitada, pues la pertenencia del individuo a un grupo social le impone una restricción por el interés general prevalente. Pero las limitaciones que pudieran darse requieren de una condición básica, que estén claramente determinadas en la norma y sean conocidas por los ciudadanos. 5 Schwabe, Jurgen, (2009), Jurisprudencia del Tribunal Constitucional Alemán, Extractos de las sentencias más relevantes, Konrad Adenauer Stiftung, Pág. 94 Así también, el Tribunal Constitucional Federal Alemán advirtió del peligro que supone ahora la manipulación automatizada de datos personales, considerando lo siguiente: … debido especialmente a que en los procesos de decisión no se acude como antes a las actas y archivos elaborados en forma manual, sino que con la ayuda del procesamiento automático de datos se puede consultar información individual sobre las relaciones personales y materiales de una persona determinada o determinable (datos vinculados a la persona [véase § 2, párrafo 1 BD SG]), que ha sido archivada en forma ilimitada desde el punto de vista técnico, y que se puede revisar en segundos sin tener en cuenta las distancias. Además –especialmente en el caso de la estructuración de sistemas de información integrados con otras bases de datos– pueden generar una imagen más o menos completa de la personalidad, sin que el implicado pueda controlar suficientemente su exactitud y la utilización de la misma. Con ello, las posibilidades de inspeccionar e injerir en la vida de los individuos se han ampliado en una forma hasta antes desconocida; así, la presión psicológica que ejerce el escrutinio público puede influir de manera determinante en el comportamiento de los individuos. 6 Destáquese entonces la importancia del efecto que puede tener en los miembros de la sociedad, la conciencia de que el Estado tiene datos personales que puedan permitir un conocimiento más profundo de cada individuo y su comportamiento, lo que podría motivar una decisión de abstención de hacer algo por parte de los ciudadanos, lo que implica a su vez el no ejercicio de sus derechos; así quien deje de concurrir a una protesta o quien deje de emprender en una actividad, por el temor a que sus datos se registren y el riesgo que ello conlleva, renuncia a hacer ejercicio de sus derechos fundamentales y eso es nefasto en una sociedad democrática. IV. REFLEXIONES FINALES Al emplear la LSNRDP la denominación de datos públicos está tácitamente estableciendo una distinción entre éstos y aquellos que por oposición son privados, por tanto el ámbito de la ley se debe limitar a los primeros dejando a salvo éstos últimos que no deben ser parte del Sistema Nacional de Registro de Datos Públicos. Por lo expuesto el artículo 6 de la Ley no tiene coherencia con el sentido mismo de la norma y es cuestionable su constitucionalidad, a la luz de los derechos fundamentales consagrados en la Carta Magna. Ciertamente, es contradictorio que los datos de carácter sensible como la ideología o la preferencia sexual consten en registros públicos, pues éstos por su naturaleza se rigen por el principio de máxima publicidad y aún cuando se impongan reglas para el acceso por parte de terceros, el problema radica en la recolección misma. No es admisible que el Estado disponga, por ninguna razón, de datos que en cualquier contexto puedan representar un mínimo riesgo de uso para fines de discriminación y menos que éstos se integren a una base de datos nacional de naturaleza pública. 6 Ibídem, Pág. 96 Por otro lado, el artículo 6 de la LSNRDP no se ajusta al principio de proporcionalidad pues el contar con información sobre la ideología, convicciones, preferencias sexuales y religión excede la necesidad del Estado de tener información de los ciudadanos. No hay un interés general que justifique la recopilación, tenencia o uso de datos sensibles y su centralización en una base nacional. Sin duda, el derecho fundamental a la intimidad no puede ser disminuido o afectado por el carácter público de los registros y los datos personales que en ellos constan. Finalmente, cabe señalar que es necesario que se apruebe la Ley de Protección de Datos Personales que establezca disposiciones claras y específicas sobre el empleo de datos personales sensibles por parte del Estado y sus instituciones, que limiten o permitan una adecuada aplicación de disposiciones contenidas en normas como la LSNRDP, que involucren el tratamiento de datos personales sensibles