¿Realmente cambiará el Consentimiento el Reglamento Europeo?

El régimen jurídico de la protección de datos personales está en proceso de cambio, debido a la reciente aprobación del Reglamento (UE) 2016/679 (en adelante “el Reglamento”), que será de aplicación a partir del 25 de mayo de 2018.

De entre los muchos cambios conceptuales y estructurales que esta reforma aporta, cabe resaltar la nueva regulación del consentimiento y los requisitos para su obtención, de forma que garantice el lícito y correcto tratamiento de los datos personales de los interesados.

Muchas han sido las voces que han proclamado el indudable endurecimiento en la regulación del consentimiento en el nuevo texto normativo, con un carácter más proteccionista de los derechos del ciudadano en detrimento del ámbito más puramente mercantil.

No es objeto de este artículo promover la controversia sobre esta opinión, pero tiene la pretensión de proponer una pequeña reflexión que puede llevar a una conclusión bien distinta.

Consentimiento en el Reglamento: identidad de elementos esenciales

Actualmente, la Ley Orgánica 15/1999 de Protección de Datos de carácter personal (en adelante, LOPD” establece que el tratamiento de los datos personales requerirá el consentimiento del afectado, considerando como tal “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen” [1].

Por su parte, el Reglamento define el consentimiento como “Toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen”. [2]

Los elementos esenciales [3] del consentimiento son coincidentes en ambas normas. La diferencia entre ellas radica en la adición, en el texto del Reglamento, del requisito formal en la obtención del consentimiento, que deberá ser recabado (i) mediante una declaración o (ii) mediante una clara acción afirmativa.

Obtención del consentimiento “mediante una declaración”

La primera alternativa para obtener el consentimiento según el Reglamento podrá llevarse a cabo mediante una declaración del interesado. Pero, ¿qué debe entenderse por “una declaración”?

Ambas normas recogen que el consentimiento consiste, esencialmente, en una manifestación de voluntad.

La RAE define el término manifestación como “acción y efecto de manifestar”, y define manifestar como “declarar, dar a conocer”.  Lo que lleva a concluir que toda manifestación de voluntad consiste, en sí misma, en una declaración. Al analizar el concepto de declaración, la RAE ofrece varias acepciones como la “acción y efecto de declarar” o la “Manifestación o explicación de lo que otro u otros dudan o ignoran”. En el mismo orden de cosas, la definición de declarar significa “Manifestar, hacer público”.

Es decir, los términos manifestar y declarar son prácticamente sinónimos. Por lo tanto, manifestar la voluntad a través de una declaración no es, sino una redundancia.

Así, sin perjuicio del ánimo del legislador de reforzar la validez del consentimiento mediante la incorporación de un elemento de conducta o voluntariedad, la realidad es que, entendiendo como lícita la opción de obtener el consentimiento mediante una declaración, cabe deducir que la regulación jurídica del consentimiento no sufre variación respecto a la regulación actual, siempre que el consentimiento sea libre, específico, informado e inequívoco.

Obtención del consentimiento “mediante una clara acción afirmativa”

La segunda forma para la obtención del consentimiento que propone el Reglamento consiste en la manifestación mediante una clara acción afirmativa. En este caso, la misma idea de la acción implica el ejercicio o el resultado de hacer [4] algo que incorpore la afirmación o el dar por cierto [5].

Esta forma de obtener el consentimiento para el tratamiento de los datos implica una posición activa del interesado, en el sentido en el que excluye el consentir por silencio, es decir, rechazando lo que hasta la fecha se conocía como consentimiento tácito [6] que venía reforzado por el concepto de “falta de manifestación contraria” recogido en el Informe 93/2008 [7] .

Ahora bien, la clara acción afirmativa no implica, necesariamente, el consentimiento expreso [8], puede perfectamente referirse al el concepto del consentimiento inferido, que permite la manifestación del consentimiento del interesado a través de un determinado comportamiento del que se infiera esa voluntad de consentir.

Considerandos [9]: El espíritu de la norma o voluntad del legislador

Hasta ahora se ha analizado la forma de obtener el consentimiento a través de las dos vías propuestas en la redacción del artículo 4.11 del Reglamento.

Sin embargo, debe ser mencionado el Considerando (32) del Reglamento, que viene a enturbiar la claridad de la definición del consentimiento eliminando la opción de obtener el consentimiento mediante una declaración, y limitándolo a la obtención mediante “un acto afirmativo claro”, contradiciendo, de alguna manera, la redacción del artículo 4.11 del texto normativo.

El Considerando recoge que “El consentimiento debe darse mediante un acto afirmativo claro (…), como una declaración por escrito, inclusive por medios electrónicos, o una declaración verbal” incluyendo como ejemplo el marcar una casilla de un sitio web. Recalca, además,  que el silencio, las casillas ya marcadas o la inacción no deben constituir consentimiento.

De esta redacción cabe concluir que (i) la inacción  en ningún caso puede ser interpretada como consentimiento, y (ii) el consentimiento deberá, en todo caso, implicar una acción de carácter inequívoco.

Conclusión

Estas manifestaciones, sin embargo, en ningún caso pueden interpretarse a sensu contrario de lo que recoge el derecho positivo, por lo que la opción de obtener el consentimiento a través de una declaración, a tenor del artículo 4.11 del Reglamento, seguirá siendo la regla a respetar.

A priori, la nueva regulación viene a alterar el actual régimen del consentimiento, esencialmente, en cuanto a la eliminación del “consentimiento tácito”.

Pero no se produce un cambio significativo en la esencia del consentimiento (inequívoco [10]) y del consentimiento explícito [11] (hasta ahora denominado expreso [12]).

Es decir, el Reglamento exigirá que el consentimiento sea libre, específico, informado e inequívoco (consentimiento inequívoco). El consentimiento podrá obtenerse mediante una declaración o mediante una acción afirmativa (incluyendo el consentimiento inferido) y en los supuestos legalmente exigibles, deberá facilitarse de forma explícita (consentimiento explícito).

Por lo tanto, exceptuando la desaparición del consentimiento tácito, el régimen del consentimiento varía en… prácticamente nada.

 Analore García Noblia

General Counsel & Chief Privacy Officer en el Grupo Antevenio

https://es.linkedin.com/in/analoregarcia

@AnaloreTwit

[1] Artículos 3.h) y 6 de la LOPD

[2] Artículo 4.11 del Reglamento

[3] El consentimiento deberá tener los mismos atributos que la LOPD le confiere actualmente: deberá ser libre, específico, informado e inequívoco, atributos ampliamente desarrollados en el Dictamen 15/2011 sobre la definición de consentimiento del Grupo de Trabajo del Artículo 29.

[4] Según definición de la RAE http://dle.rae.es/?id=0KZwLbE

[5] Según definición de la RAE de “afirmativo” http://dle.rae.es/?id=0yddLan

[6] Artículo 14 del Real Decreto 1720/2007

[7] El Informe jurídico 93/200 “Formas de obtener el consentimiento mediante web: Consentimientos tácitos” de la AEPD

[8] El Reglamento lo define como consentimiento “explícito”, regulado en los artículos 9.2.a) y 22.2.c)

[9] Los Considerandos que mencionan el consentimiento: (32), (33), (40), (42), (43), (51), (71), (155), (171)

[10] Definición utilizada por la AEPD en su publicación sobre las implicaciones prácticas del RGPD https://www.agpd.es/portalwebAGPD/revista_prensa/revista_prensa/2016/notas_prensa/news/2016_06_29_03-ides-idphp.php

[11] Considerandos (51), (71), (111) y artículo 9.2.a) y 22.2.c) RGPD

[12] Consentimiento expreso y por escrito regulado en el artículo 7 de la LOPD