Condiciones de conservación de datos personales y acceso a la identificación en Europa

Por Julio Conte-Grand (*) –

Mediante sentencia del 30 de abril de 2024, dictada en el asunto C-470/21 | La Quadrature du Net y otros”, el Tribunal de Justicia de la Unión Europea (TJUE) especificó las exigencias relativas a las condiciones de conservación de datos personales y del acceso a los datosde identificación a partir de una dirección IP.

Esto en el marco de las políticas implementadas en Europa para la lucha contra la vulneración de derechos de propiedad intelectual.

Es del caso recordar que los Estados miembros de la Unión Europea pueden imponer a los proveedores de acceso a Internet la obligación de conservación generalizada e indiferenciada de las direcciones IP para luchar contra las infracciones penales en general, siempre que dicha conservación no permita obtener conclusiones precisas sobre la vida privada de la persona afectada.

Pero, además, no de cualquier forma ni de manera indiscriminada.

Esto puede lograrse mediante modos de conservación que garanticen una separación estricta entre las direcciones IP, por un lado, y otras categorías de datos personales, especialmente los datos de identidad civil, por otro lado.

Siempre que se haya asegurado una conservación tal que garantice una separación estricta entre las diferentes categorías de datos, cumpliendo determinadas condiciones, los Estados miembros pueden autorizar el acceso de la autoridad nacional competente a los datos de identidad civil correspondientes a direcciones IP.

Cuando, en situaciones atípicas, las particularidades de un procedimiento nacional que regule ese acceso posibiliten, a través de la asociación de los datos y la información que se hayan recabado, obtener conclusiones precisas sobre la vida privada de la persona afectada, el acceso debe someterse a un control previo por un órgano jurisdiccional o por una entidad administrativa independiente.

Con la finalidad de proteger las obras amparadas por el derecho de autor o por un derecho afín al derecho de autor contra las infracciones cometidas en Internet, un decreto en Francia estableció dos tratamientos de datos personales. Conforme el primero, las organizaciones que representan a los autores recaban direcciones IP que parezcan haberse utilizado en sitios de intercambios entre pares (peer-to-peer) para cometer dichas infracciones, y se las comunican a la Alta Autoridad francesa para la Difusión de Obras y la Protección de los Derechos en Internet (Hadopi). En el segundo tratamiento, los proveedores de acceso a Internet, a requerimiento de la Hadopi, asocian la dirección IP a los datos de identidad civil del titular de esa dirección. Los referidos tratamientos de datos permiten que esta autoridad abra a personas identificadas un procedimiento en el que se conjugan las medidas pedagógicas con las medidas sancionadoras y que, en los casos más graves, puede dar lugar a que los hechos se pongan en conocimiento del Ministerio Público Fiscal.

El 1 de enero de 2022, la Hadopi y el Consejo Superior de lo Audiovisual (CSA) se fusionaron para formar la Autoridad Reguladora de la Comunicación Audiovisual y Digital (Arcom). Desde entonces, el procedimiento de respuesta gradual, que se ha mantenido inalterado en lo esencial, lo aplican dos miembros del colegio de la Arcom, uno de ellos designado por el Consejo de Estado y el otro por el Tribunal de Casación.

Cuatro asociaciones de protección de los derechos y libertades en Internet interpusieron ante el Consejo de Estado francés un recurso en el que solicitaban la anulación del decreto en cuestión. Este órgano jurisdiccional, en forma previa a tomar una decisión, consultó al TJUE si los tratamientos de datos descritos eran compatibles con el Derecho de la Unión.

Como se anticipara al inicio, el TJUE, reunido en Pleno, declaró que la conservación generalizada e indiferenciada de direcciones IP no constituía necesariamente una injerencia grave e indebida en los derechos fundamentales. Agregando que resultaba admisible dicha conservación cuando la normativa nacional imponía modos de conservación que garantizaban una separación estricta entre las diferentes categorías de datos personales, excluyendo de esa forma la posibilidad de que se obtuvieran conclusiones precisas sobre la vida privada de la persona afectada.

El TJUE puntualizó asimismo que el Derecho de la Unión no se oponía a una normativa nacional que autorizara a la autoridad pública competente, con el único propósito de identificar a la persona sospechosa de haber cometido una infracción penal, a acceder a los datos de identidad civil correspondientes a una dirección IP, conservados mediante una separación estricta por los proveedores de acceso a Internet.

No obstante, añadió, los Estados miembros deben garantizar en cualquier caso que ese acceso no habilitaba obtener conclusiones precisas sobre la vida privada de los titulares de las direcciones IP de que se trate. Ello implica que los agentes que dispongan de ese acceso deben tener prohibido divulgar información sobre el contenido de los archivos consultados, hacer rastreos de la secuencia de navegación a partir de las direcciones IP y utilizar estas direcciones con fines que no sean la identificación de sus titulares con miras a la posible adopción de medidas.

Cuando el único propósito del acceso a los datos de identidad civil de los usuarios de medios de comunicaciones electrónicas es identificar al usuario de que se trate, no se exige que ese acceso se someta a control previo por un órgano jurisdiccional o por una entidad administrativa independiente, ya que no cabe calificar de grave la injerencia en los derechos fundamentales que supone dicho acceso. Sin embargo, debe preverse dicho control en caso de que las particularidades de un procedimiento nacional que regule ese acceso posibilite, asociando datos e información que hayan venido recabándose en las diferentes fases de ese procedimiento, que puedan obtenerse conclusiones precisas sobre la vida privada de la persona en cuestión y, por tanto, que se produzca una injerencia grave en los derechos fundamentales.

En tal supuesto, ese control por un órgano jurisdiccional o una entidad administrativa independiente debe realizarse antes de que se produzca esa asociación, preservando al tiempo la eficacia de dicho procedimiento de manera que, en concreto, puedan identificarse los casos de posible reincidencia en la conducta infractora de que se trate. De tal modo podrán adoptarse las medidas correspondientes con adecuación estricta a la falta cometida y sus antecedentes.


(*) Procurador General de la Suprema Corte de Justicia de la Provincia de Buenos Aires


Fuente: Publicado en Nuevo Mundo, edición 965 del 12 de julio de 2024