En una sentencia publicada esta semana, el Tribunal Constitucional se ha referido a la problemática de la información personal contenida en bases de datos públicas. Específicamente, interpretando la Ley de Protección de Datos Personales, ha establecido que la información personal como direcciones o teléfonos contenida en base de datos estatales de acceso público no puede ser reutilizada sin el consentimiento de sus titulares.

¿De qué trata el caso?

En el año 2008, un ciudadano presentó una demanda de Hábeas Data contra Equifax Perú S.A. (Infocorp) porque: consideraba que la información contenida en dicha central de riesgo era inexacta y, en otros casos, inncesaria y, además, porque contenía datos que él nunca había autorizado a incluir, como su domicilio y ocupación laboral. Infocorp contestó la demanda alegando que el demandante no había sido capaz de probar que sus deudas estaban pagadas y, en el otro extremo, alegó que la información sobre el domicilio la había sacado del servicio de Consulta RUC de SUNAT. En las dos instancias previas, la demanda fue rechazada porque se consideró que el titular de los datos no había cumplido con probar que las deudas ya no se encontraban vigentes. Por ende, concluían, el tratamiento de datos por parte de Infocorp era conforme a la legislación especial para centrales privadas de información de riesgo.

En el mismo sentido que las instancias anteriores, el Tribunal Constitucional también le ha dado la razón a Infocorp aunque con una motivación particular. Por un lado, el Tribunal confirmó la regla según la cual las centrales privadas de información de riesgo no necesitan del consentimiento del titular para el tratamiento de su información crediticia y, en ese sentido, señaló que el demandante no había logrado acreditar que la información mostrada por Infocorp resultaba inexacta. Adicionalmente, el Tribunal también analizó específicamente al caso de la validez de los datos extraídos de la página web de SUNAT. En ese extremo, señaló que la inclusión de datos como el domicilio, trabajo o teléfono de una persona resulta fuera de la habilitación legal para el tratamiento de datos otorgada a una central de riesgo. Por ende, señaló el Tribunal, al tratarse de información adicional que la Central decidió unilateralmente incluir en su sistema resultaba necesario que cuenten con la autorización del titular de los datos. Finalmente, en el último párrafo de su sentencia, desestimó la justificación según la cual no era necesaria esta autorización dado que los datos eran de acceso público:

Sin perjuicio de lo expuesto, cabe precisar que resulta impertinente el alegato de la demandada respecto de una supuesta legitimidad para recolectar y comercializar datos como el domicilio y ocupación laboral del demandante, por haber sido recogidos a través de bases de datos públicas, dado que admitir dicho criterio implicaría avalar, incluso, el tratamiento de datos por parte de las Cepirs de las visitas a entidades públicas, la inscripción de títulos de propiedad, o toda aquella información publicada por el Estado en cumplimiento de su principio de máxima divulgación; publicidad que en modo alguno otorga carácter crediticio a dicha información, ni otorga facultades a entidades como Equifax para efectuar dicho tratamiento de datos, pues resulta evidente que el tratamiento de este tipo de datos no cumple la finalidad para la cual se ha regulado legalmente la existencia de las Cepirs [Centrales Privadas de Información de Riesgo].

¿Por resulta relevante?

En ese último párrafo, el Tribunal no solo se ha referido a lo que pueden y no pueden hacer las Centrales Privadas de Riesgo. Al entender a la información contenida en bases de datos públicas (como el registro de visitantes a una entidad, el de propiedad inmueble o el de contribuyentes) como información que sigue siendo privada, ha sentado la regla de que cualquiera que pretenda tratar dichos datos deberá de contar con la autorización de sus titulares. En otras palabras, ha establecido que la información personal publicada en bases de datos públicas no puede ser utilizada o procesada por terceros sin que medie la autorización de cada uno de los titulares de dichos datos.

Este razonamiento es en parte similar al que ensayó la Autoridad de Protección de Datos Personales al resolver los casos de Datos Perú el año pasado. La diferencia es que en esos casos se discutía la legalidad de republicar íntegramente el boletín de Normas Legales de El Peruano y en este caso se trata de una base de datos estatal publicada legítimamente por una entidad pública a través de Internet. Pese a la diferencia, en ambas decisiones el razonamiento de fondo es el mismo: el Estado tiene el monopolio de la publicación sin consentimiento de datos personales y queda prohibido que cualquier tercero que bajo cualquier pretexto intente usarla sin pedir permiso a los titulares de los datos.

El problema de este criterio es que deja en la ilegalidad cualquier proyecto de transparencia o periodismo de datos que implique reutilizar las bases de datos hechas públicas por el Estado cuando contengan información personal (ej. Manolo usando las registros de visitantes a entidades públicas). Proteger la privacidad de los datos personales es un objetivo valioso pero, bajo esta regla, no se protege la privacidad sino que se controla su difusión. Los datos siguen siendo de acceso público y solo se excluye a terceros de usarla o republicarla. ¿Está más protegida la información sobre nuestro domicilio, teléfono o fecha de nacimiento porque solo el Estado la ofrece a través de Internet? Si al Tribunal Constitucional o al Ministerio de Justicia le preocupa la forma en la que la accesibilidad de ciertas bases de datos estatales afectan la privacidad deberían de empezar por discutir la legalidad de la publicación originaria. Por el contrario, si el valor que eligen proteger es el de la transparencia, no hay ninguna buena razón para impedir que este objetivo no sea alcanzado en colaboración con los privados quienes están en mucha mejor posición que el Estado para desarrollar bases de datos comprensivas y fáciles de usar. Por la relevancia de esta pregunta para el ejercicio de derechos fundamentales como el de la privacidad y el del acceso a la información, sorprende que el Tribunal haya elegido solo mencionar de paso este criterio sin profundizar en sus implicancias. ■

Foto: Pablo Andrés Rivero (CC BY-NC-ND)