REVISTA GALEGA DE ADMINISTRACIÓN PÚBLICA (REGAP)
Núm. 58 (julio-diciembre 2019)
Sección: Comentarios e Crónicas
DOI https://doi.org/10.36402/regap.v1i57

Protección de datos e elaboración de perfís: o novo artigo 58 bis da Lei orgánica 5/1985, do 19 de xuño, do réxime electoral xeral

Protección de datos y elaboración de perfiles: el nuevo artículo 58 bis de la Ley orgánica 5/1985, de 19 de junio, del régimen electoral general

Data protection and profiling: the new article 58 bis of the Organic Law 5/1985 of 19 June, on the General Electoral System

Andoni Polo Roca

Alumno de posgrado de la Universidad del País Vasco (UPV/EHU)

andpoloro@gmail.com

Recibido: 22/10/2019 | Aceptado: 19/12/2019

DOI: https://doi.org/10.36402/10.36402/regap.v1i58.46

Resumo: A nova Lei orgánica 3/2018, do 5 de decembro, de protección de datos persoais e garantía dos dereitos dixitais, modificou a Lei orgánica 5/1985, do 19 de xuño, do réxime electoral xeral e introduciu un novo artigo: o artigo 58 bis, sobre a utilización de medios tecnolóxicos e datos persoais nas actividades electorais. Este novo precepto podería posibilitar a elaboración de perfís ideolóxicos da cidadanía a partir dos seus datos persoais, con fins electorais, que lles permitiría aos partidos políticos facer propaganda electoral personalizada. Un precepto que podería non ser acorde coa normativa comunitaria de protección de datos, especialmente co Regulamento xeral de protección de datos da Unión de 2016, ou co establecido polo TEDH, TXUE ou TC, e cuxa constitucionalidade foi resolta pola Sentenza 76/2019, do 22 de maio.

Palabras clave: Protección de datos, elaboración de perfís, RXPD, LOREX, TXUE, TC.

Resumen: La nueva Ley orgánica 3/2018, de 5 de diciembre, de protección de datos personales y garantía de los derechos digitales, modificó la Ley orgánica 5/1985, de 19 de junio, del régimen electoral general e introdujo un nuevo artículo: el artículo 58 bis, sobre la utilización de medios tecnológicos y datos personales en las actividades electorales. Este nuevo precepto podría posibilitar la elaboración de perfiles ideológicos de la ciudadanía a partir de sus datos personales, con fines electorales, que permitiría a los partidos políticos hacer propaganda electoral personalizada. Un precepto que podría no ser acorde con la normativa comunitaria de protección de datos, especialmente con el Reglamento general de protección de datos de la Unión de 2016, o con lo establecido por el TEDH, TJUE o TC, y cuya constitucionalidad fue resuelta por la Sentencia 76/2019, de 22 de mayo.

Palabras clave: Protección de datos, elaboración de perfiles, RGPD, LOREG, TJUE, TC.

Abstract: The new Organic Law 3/2018, of December 5, on the Protection of Personal Data and Guarantee of Digital Rights has amended the Organic Law 5/1985 of 19 June, on the General Electoral System and has introduced a new article: Article 58 bis, on the use of technological means and personal data in electoral sphere. This new precept could enable the elaboration of ideological profiles of the citizenry from their personal data, for electoral purposes, which would allow the political parties to make personalized electoral propaganda. A provision that may not be in accordance with the European Union data protection regulations, especially with the EU General Data Protection Regulation of 2016, or with the case law of the ECHR, CJEU or Constitutional Court of Spain, and whose constitutionality was resolved by judgment 76/2019, from May 22.

Key words: Data protection, profiling, GDPR, OLGES, CJEU, Constitutional Court of Spain.

Sumario: 1 Introducción. 2 La protección de datos como derecho fundamental y la doctrina del TC. 3 La elaboración de perfiles en la LOPDCP de 1999 y la Directiva 95/46/CE de 1995. 4 La elaboración de perfiles en el RGPD de 2016. 5 La LOPDGDD de 2018 y el nuevo artículo 58 bis de la LOREG. 5.1 El nuevo artículo 58 bis de la LOREG desde el punto de vista material: “interés público esencial” y “medidas adecuadas y específicas” del RGPD. 5.2 El nuevo artículo 58 bis de la LOREG desde el punto de vista formal: reserva de ley. 5.3 El nuevo artículo 58 bis de la LOREG: algunas cuestiones sobre el fondo. 6 Síntesis de la Sentencia 76/2019, de 22 de mayo de 2019, del Tribunal Constitucional. 7 Conclusiones.

1 Introducción

Los constantes avances tecnológicos nos han hecho darnos cuenta de que el derecho a la protección de datos es extremadamente frágil frente a las nuevas tecnologías y que puede ser fácilmente vulnerado. Los casos Facebook o WhatsApp, o el caso Cambridge Analytica –compañía encargada de elaborar estrategias y útiles de comunicación, basándose en perfiles ideológicos de electores elaborados a partir de sus datos personales–, fueron un aviso de esta circunstancia y se toparon con una legislación sobre protección de datos anticuada que no fue capaz de prever la situación y no contemplaba recursos y medidas para hacerle frente a tal vulneración del derecho a la protección de datos.

Ante todos estos cambios, la Unión Europea (UE) se vio obligada en 2016 a elaborar una nueva normativa de protección de datos y aprobó el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos, RGDP)1 para adaptarse a los nuevos retos. Ante esa situación, España, con una legislación ya anticuada a causa del nuevo reglamento, aprobó, a finales de 2018, una nueva ley: Ley orgánica 3/2018, de 5 de diciembre, de protección de datos personales y garantía de los derechos digitales (LOPDGDD).

La nueva ley ha querido renovar la legislación española en materia de protección de datos y garantizar, asimismo, los derechos digitales de la ciudadanía. Pero, además, esta nueva norma ha introducido, de una manera que ha pasado casi desapercibida, una modificación de la Ley orgánica 5/1985, de 19 de junio, del régimen electoral general (LOREG), relativa a la elaboración de perfiles ideológicos de la ciudadanía con fines electorales que permitirá a los partidos hacer propaganda electoral personalizada.

Esta modificación que posibilita la elaboración de perfiles ideológicos, contra la que se interpuso un recurso de inconstitucionalidad2 ante Tribunal Constitucional (TC) por el Defensor del Pueblo3 y cuya constitucionalidad fue resuelta, poco después, por el TC en la Sentencia 76/2019, de 22 de mayo de 2019, podría vulnerar no solo el derecho a la protección de datos, sino otros derechos fundamentales, como el de libertad ideológica, participación política, etc. Por ello, el objeto de este trabajo es analizar dicho precepto que habilita a hacer uso de datos personales de la ciudadanía (gustos, aficiones, origen étnico o racial, convicciones religiosas o filosóficas, orientación sexual, afiliación sindical, vida sexual, etc.) para fines electorales no solo desde una posible vulneración del derecho a la protección de datos o de la Constitución española (CE) –lo que ha sido resuelto por el TC–, sino además como posible vulneración del RGPD, LOPDGDD o los criterios marcados por el Tribunal de Justicia de la Unión Europea (TJUE), Tribunal Europeo de Derechos Humanos (TEDH) o TC.

2 La protección de datos como derecho fundamental y la doctrina del TC

El derecho fundamental a la protección de datos lo encontramos en el artículo 18.4 de la CE, derecho que ha estado en constante desarrollo desde que en 1993 el TC incluyó el término “libertad informática” en su doctrina4. En 1998 el tribunal dejó claro que el artículo 18.4 incorpora un nuevo derecho fundamental dotándolo de plena autonomía respecto del derecho a la intimidad5, corroborando plenamente la doctrina acerca de la autonomía del derecho a la protección de datos6. Para el año 2000 el TC acabó de construir su doctrina en torno a este derecho fundamental, declarando que este derecho consagra “en sí mismo un derecho o libertad fundamental” y que cuando hablamos de protección de datos nos encontramos fuera de la intimidad, ya que el derecho a la protección de datos, aparte de proteger datos íntimos, también protege los que no lo son, si no, solamente quedarían amparados por el derecho a la protección de datos aquellos datos de carácter personal que tuviesen una estrecha relación con la intimidad y vida personal, quedando fuera de ese amparo otros que no tuvieran esa relación7. Este derecho fundamental, además, a diferencia del derecho a la intimidad, atribuye a su titular un haz de facultades que consiste en su mayor parte en el poder jurídico de imponer a terceros la realización u omisión de determinados comportamientos cuya regulación concreta debe establecer la ley8.

En su jurisprudencia, el TC ha seguido hablado de “derecho a la protección de datos” o “derecho a la protección de los datos de carácter personal”, como derecho reconocido en el artículo 18.4 de la CE9, también de “libertad informática”, “como derecho a controlar el uso de los mismos datos insertos en un programa informático (habeas data) y que comprende, entre otros aspectos, la oposición del ciudadano a que determinados datos personales sean utilizados para fines distintos de aquel legítimo que justificó su obtención”10. En palabras del tribunal, “la finalidad de este derecho fundamental es garantizar a la persona un poder de disposición sobre el uso y destino de sus datos con el propósito de impedir su tráfico ilícito y lesivo para la dignidad y derecho del afectado, garantizando a los individuos un poder de disposición sobre esos datos”11.

A este derecho que recoge el artículo 18.4 de la CE, asimismo, le ha dado un doble carácter el TC, según el cual este derecho fundamental no solo consagra un derecho fundamental autónomo a controlar el flujo de informaciones que conciernen a cada persona12, “sino también, como se desprende de su último inciso («para garantizar […] el pleno ejercicio de sus derechos»), un derecho instrumental ordenado a la protección de otros derechos fundamentales, esto es, un instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los restantes derechos de los ciudadanos”13. Ejemplo de ello son las ya citadas sentencias del caso Renfe, entre otras, donde se reconoció el carácter instrumental del derecho fundamental reconocido en el artículo 18.4 CE para la garantía de la libertad sindical14, o con respecto a la libertad ideológica15.

El objetivo de este derecho es proteger los datos personales, pero ¿cuáles serán los que gozarán de esa tutela? Según el RGPD, serán datos personales “toda información sobre una persona física identificada o identificable”16, información que será cualquiera que sea numérica, alfabética, gráfica, fotográfica, acústica17 o de cualquier otro tipo18. En cuanto al término persona física “identificable”, el reglamento ha establecido que esta será “toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”.

Los datos personales objeto de tutela, por lo tanto, serán todos aquellos datos sobre una persona física identificada o identificable19, es decir, todos aquellos que identifican o permitan identificar a cualquier persona20, datos que, combinados, pueden crear un perfil de cada persona y ser usados con diversos fines: publicitarios, comerciales, electorales, etc. Por este motivo, la elaboración de perfiles es uno de los temas más sensibles y relevantes en la protección de datos.

3 La elaboración de perfiles en la LOPDCP de 1999 y la Directiva 95/46/CE de 1995

La elaboración de perfiles basada en un tratamiento automatizado de datos ya tuvo su referencia en normativas anteriores sobre protección de datos, en particular en dos: en la Ley orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal (LOPDCP), y en la directiva que esta traspuso, la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respeta al tratamiento de datos personales y a la libre circulación de estos datos21.

En este sentido, la LOPDCP, en el ámbito de la impugnación de valoraciones, en su artículo 13 reguló el derecho a impugnar las valoraciones que se basan en datos personales, posibilidad que facilitan los ficheros automatizados, al disponer de elementos suficientes que permiten elaborar o adoptar una decisión sobre una persona22. Por tanto, una vez realizada la valoración (por ejemplo, una vez efectuada la elaboración del perfil ideológico basado en datos personales u opiniones personales), el artículo 13 facultaba a la persona para impugnarla.

La LOPDCP, mediante ese artículo, recogía el derecho de la ciudadanía a “no verse sometidos a una decisión […], sobre ellos o que les afecte de manera significativa, que se base únicamente en un tratamiento de datos destinados a evaluar determinados aspectos de su personalidad”. Es decir, el derecho a no verse sometidos a una decisión basada en datos personales y que “prejuzgue” aspectos de su personalidad23. Ese precepto fue una copia literal del artículo 15 (decisiones individuales automatizadas) de la Directiva 95/46/CE (más que transponer, fue una simple copia de la normativa europea).

Esos “aspectos de la personalidad” que mencionaba la LOPDCP los recogió el Real decreto 1720/2007, que desarrolló la LOPDCP24, y dicha norma aludía como “aspectos de personalidad basados en un tratamiento de datos” a “rendimiento laboral, crédito, fiabilidad o conducta”25, enumeración que no hemos de entender limitada26, pudiendo tener en cuenta cualquier otro aspecto de la persona que pueda servir para conformar un perfil de su personalidad27.

El precepto de dicha norma también fue una copia del artículo 15 de la Directiva 95/46/CE; sin embargo, en la redacción literal del real decreto encontramos “rendimiento laboral, crédito, fiabilidad o conducta” y en la de la Directiva, “rendimiento laboral, crédito, fiabilidad, conducta, etc.”. Esta distinción entre una lista que parece cerrada y una abierta carece de importancia, porque, como hemos mencionado, la del real decreto debemos considerarla también una lista abierta; en caso contrario, no recogería el espíritu del precepto de la directiva y dejaría fuera aspectos de la personalidad que sí lo serían de facto, pero no de iure.

El Real decreto 1720/2007 recogió como excepción lo mismo que recoge el actual RGPD, que, pese a la prohibición de verse sometidos a esa decisión basada en datos destinados a evaluar aspectos de su personalidad, sí que podremos encontrarnos ante esta situación cuando una norma con rango de ley así lo establezca28.

Esto nos es de interés porque la LOPDGDD de 2018 no ha recogido de forma expresa el contenido del artículo 13 de la LOPDCP de 1999 (artículo 15 de la Directiva 95/46/CE), al mismo tiempo que ha introducido el nuevo artículo 58 bis en la LOREG, seguramente porque, a diferencia de las directivas, los reglamentos tienen alcance general y son obligatorios en todos sus elementos y directamente aplicables en cada Estado miembro29, pero, habiendo introducido ese nuevo artículo en la LOREG, quizá hubiese sido mejor si el legislador le hubiese hecho una pequeña referencia a lo que recoge el RGPD de 2016, sin hacer una copia literal, ya que es directamente aplicable.

4 La elaboración de perfiles en el RGPD de 2016

El Reglamento general de protección de datos (RGDP), que renovó la normativa comunitaria en materia de protección de datos, prohíbe el tratamiento de datos personales que revelen las opiniones políticas30, en su artículo 9.1, pero, en su segundo apartado, el artículo 9 recoge diez circunstancias (diez excepciones) en las que no regirá esa prohibición [letras a) a j)]. Algunas de ellas tienen una aplicación limitada a un ámbito concreto (laboral, social, asociativo, sanitario, judicial, etc.) o responden a una finalidad determinada, por lo que, en sí mismas, delimitan los tratamientos específicos que autorizan como excepción a la regla general del artículo 9.1 del RGPD. Algunas circunstancias, además, están condicionadas a que el derecho de la Unión o el de los Estados miembros lo prevean y regulen expresamente en su ámbito de competencias. Asimismo, el propio RGPD recoge, en su considerando n. 10, que reconoce también un margen de maniobra para que los Estados miembros especifiquen sus normas, inclusive para el tratamiento de categorías especiales de datos personales («datos sensibles»).

La primera circunstancia habilitante para el tratamiento de los datos personales especialmente protegidos, tal como recoge el apartado a) del artículo 9.2 del RGPD, consiste en el consentimiento explícito del interesado: “cuando el interesado dé su consentimiento explícito para el tratamiento de dichos datos personales con uno o más de los fines especificados”31. Pero el legislador español ha excluido plenamente la eficacia habilitante del consentimiento del afectado: “el solo consentimiento del afectado no bastará para levantar la prohibición del tratamiento de datos cuya finalidad principal sea identificar su ideología, afiliación sindical, religión, orientación sexual, creencias u origen racial o étnico”32. Además, el legislador ha establecido que para las circunstancias de las letras g), h) e i) del artículo 9.2 del RGPD deberán estar amparados en una norma con rango de ley, que podrá establecer requisitos adicionales relativos a su seguridad y confidencialidad33.

Entre esas circunstancias o excepciones a la regla general (artículo 9 RGPD), encontramos la que habilita el tratamiento de datos personales que revelen las opiniones políticas cuando sea necesario por razones de un “interés público esencial”, debiendo ser “proporcional al objetivo perseguido”, respetar en lo esencial el derecho a la protección de datos y establecer “medidas adecuadas y específicas” para proteger los intereses y derechos fundamentales del interesado (letra g) del artículo 9.2 RGPD). Es una de las circunstancias que ha intentado “blindar” la LOPDGDD, según la cual esta circunstancia deberá estar recogida en una norma con rango de ley que podrá exigir requisitos adicionales de seguridad y confidencialidad34, por lo que para aplicar esta circunstancia habilitante nos encontramos con los presupuestos que recoge la misma circunstancia, más un requisito preceptivo (“deberán”) y un requisito facultativo (“podrá”) de la LOPDGDD.

En lo que respecta a la elaboración de perfiles, por otro lado, el RGPD ya lo ha previsto en sus considerandos: en su considerando n. 56 ha recogido que los partidos políticos podrán recopilar datos personales sobre las opiniones políticas de las personas “por razones de interés público” si así lo exige “el funcionamiento del sistema democrático”, debiendo ofrecerse, sin embargo, “garantías adecuadas”35.

A ello debemos añadir que el RGPD en el apartado primero de su artículo 22 recoge el derecho del interesado a no ser objeto de una decisión basada únicamente en el tratamiento automatizado y a no ser objeto de elaboración de perfiles, pero, al mismo tiempo, establece que no será evocable ese derecho cuando esté autorizado por el derecho de la Unión o de los Estados miembros, siempre que se establezcan “medidas adecuadas para salvaguardar los derechos y libertades y los intereses legítimos del interesado”36. De las tres excepciones que hacen que el apartado primero del artículo 22 no sea de aplicación, entre las que se encuentra la que acabamos de mencionar, solo dos de ellas llevan consigo “como mínimo el derecho a obtener intervención humana por parte del responsable, a expresar su punto de vista y a impugnar la decisión”37, especialidad que no le es de aplicación a la excepción de la autorización por el derecho de la Unión o de los Estados miembros (en este caso preciso, la LOREG).

Debemos recordar que el requisito de consentimiento, como manifestación de voluntad, libre, inequívoca, específica e informada38, junto con los derechos del interesado, es la piedra angular de la protección de datos y su tratamiento39, formando este parte del contenido esencial del derecho40. Y, así, en el RGPD de 2016, el consentimiento y los derechos de interesado forman el contenido esencial del reglamento; y así lo recoge el RGPD41. Pero en este caso concreto de elaboración de perfiles el reglamento recoge las excepciones que quedan por encima del consentimiento, estableciendo una excepción a ese pilar del derecho fundamental, una excepción que debe ser siempre proporcional y sujeta a una interpretación restrictiva.

5 La LOPDGDD de 2018 y el nuevo artículo 58 bis de la LOREG

Habida cuenta del RGPD de 2016 y que a consecuencia de ello la LOPDCP de 1999 quedó obsoleta, el legislador español elaboró a finales del año 2018 la nueva LOPDGDD, que, además de recoger un nuevo régimen de protección relativo a los datos personales, recoger y amparar derechos digitales, adecuó la legislación española al RGPD de 2016, completándolo en la medida que el reglamento les da margen para ello a los Estados miembros.

Esta nueva ley está compuesta por 10 títulos, 97 artículos, 22 disposiciones adicionales, 6 disposiciones transitorias, una disposición derogatoria y 16 disposiciones finales. Debemos tener en cuenta, por otro lado, que, si bien la LOPDGDD ha derogado en gran medida la LOPDCP de 1999, no la ha derogado entera42.

Además de la regulación recogida en el ámbito de la protección de datos y derechos digitales, la LOPDGDD, en su disposición final tercera, modificó el apartado tercero del artículo 39 de la Ley orgánica 5/1985, de 19 de junio, del régimen electoral general (LOREG), e introdujo un nuevo artículo: el artículo 58 bis, sobre la utilización de medios tecnológicos y datos personales en las actividades electorales.

Este precepto no lo recogía el primer proyecto de la LOPDGDD, fue introducido como enmienda en su tramitación en el Congreso de los Diputados (Comisión de Justicia)43, con objeto de “establecer salvaguardas para impedir casos como el que vincula a Cambridge Analytica con el uso ilícito de datos de 50 millones de usuarios de Facebook para mercadotecnia electoral”, enmienda que no tuvo mucha discusión en el debate de totalidad del Pleno del Congreso de los Diputados44, pero sí estuvo presente en el del Senado45.

Conforme a este nuevo artículo 58 bis de la LOREG, “la recopilación de datos personales relativos a las opiniones políticas de las personas que lleven a cabo los partidos políticos [...] se encontrará amparada en el interés público [...]” (art. 58 bis 1) y, además, “podrán utilizar datos personales obtenidos en páginas web y otras fuentes de acceso público para la realización de actividades políticas durante el periodo electoral” (art. 58 bis 2).

Esto significa que los partidos políticos, coaliciones o agrupaciones de electores podrán utilizar los datos personales y opiniones personales de la ciudadanía de distintas webs de acceso público (entre ellas, por ejemplo, redes sociales como Twitter o Facebook) y usarlas a voluntad con fines electorales, sin necesidad de obtener el consentimiento del afectado. Es decir, que esto ampara la elaboración de perfiles ideológicos y hacer propaganda electoral a medida de cada persona.

En su apartado quinto, por otro lado, el artículo 58 bis ha regulado que “se facilitará al destinatario un modo sencillo y gratuito de ejercicio del derecho de oposición”, dando cumplimiento, de este modo, al derecho de oposición reconocido por el RGPD (art. 21) y perfilado por la LOPDGDD (art. 18), como derecho del interesado a oponerse al tratamiento de sus datos personales46, intentando así mantener el debido respeto a los derechos que el RGPD otorga al interesado47, derechos que debemos recordar que son personalísimos48.

En lo referente a la tramitación, al haber sido este precepto que modifica la LOREG fruto de una enmienda, ello supone que no ha sido sometido al trámite de consulta e información pública49 (no siendo conocido por la sociedad) y tampoco ha podido ser informado por las administraciones, organismos públicos y órganos constitucionales, ni tan siquiera por la Agencia Española de Protección de Datos (AEPD)50, ni por los órganos constitucionales como son el Consejo General del Poder Judicial y el Consejo de Estado.

También es curioso que el legislador ni se preocupó por modificar directamente la LOREG, en vez de hacerlo de una manera indirecta por una disposición de la LOPDGDD, cuando el mismo día que el BOE publicó la LOPDGDD también publicó, curiosamente, la Ley orgánica 2/2018, de 5 de diciembre, que modifica la LOREG para garantizar el derecho de sufragio de todas las personas con discapacidad51, oportunidad que podría haber aprovechado el legislador para hacer una modificación directa, y, sin embargo, no lo hizo.

En pleno debate en el Senado, la Agencia Española de Protección de Datos (AEPD) publicó una nota de prensa declarando que el precepto no permitía el tratamiento de datos personales para la elaboración de perfiles basados en opiniones políticas, ni el envío de información personalizada basada en perfiles ideológicos o políticos; solamente permite “la recopilación por parte de los partidos políticos de datos personales relativos a opiniones políticas para obtener información que les permita pulsar las inquietudes de los ciudadanos con el fin de poder darles respuesta en sus propuestas electorales”52.

Teniendo en cuenta la importancia del precepto, la AEPD elaboró un informe jurídico53 donde razonó que el nuevo artículo no posibilitaba la elaboración de perfiles ideológicos, puesto que se había suprimido el término “tratamiento” recogido en la enmienda 331 inicialmente presentada en el Congreso de los Diputados, misma línea que se siguió en el debate en el Senado54. Una vez aprobada la LOPDGDD, la AEPD emitió una circular el 7 de marzo de 201955, dándole continuidad a dicho informe, con objeto de interpretar este nuevo artículo introducido en la LOREG y fijar los criterios del mismo, compuesta por una exposición de motivos (que recoge parte de lo expuesto en el informe jurídico de 2018), once artículos, una disposición transitoria y una disposición final.

Según la AEPD, este nuevo artículo debe ser interpretado “de forma restrictiva y conforme a lo establecido en la Constitución española, de modo que no conculque derechos fundamentales”. Las opiniones políticas deberán ser libremente expresadas (art. 5.1), el tratamiento que se realice deberá ser “proporcional al objetivo perseguido” (art. 6.1) y se establecen garantías (art. 7) como, entre otras, que los partidos adopten medidas apropiadas, designar un delegado de protección de datos, realizar evaluaciones de impacto, etc. También recoge un deber de información que deberá realizarse en forma “concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo” (art. 8).

Al fin y al cabo, lo que supone el artículo 58 bis de la LOREG y la habilitación para ello del RGPD es una injerencia sobre nuestros derechos fundamentales, con base legal, por ello lo que requiere el análisis es si se han dado todos los presupuestos para que esa injerencia sea una condición permitida por el derecho o una injerencia desproporcionada sobre nuestros derechos fundamentales.

Para ello, podemos tener en cuenta también el triple análisis de proporcionalidad del TEDH, análisis que se basa en tres requisitos: prevista por la ley, atender a un fin legítimo y ser necesaria en una sociedad democrática56. Dentro del primer requisito, prevista por la ley, debe haber una existencia de una base legal en el derecho interno y el tribunal analiza también la calidad de la ley, la cual desglosa en accesibilidad y en previsibilidad de dicha ley57. Deberemos por todo ello analizar si se dan los presupuestos planteados por el RGPD y la legislación española y si la medida resulta proporcional.

5.1 El nuevo artículo 58 bis de la LOREG desde el punto de vista material: “interés público esencial” y “medidas adecuadas y específicas” del RGPD

Para empezar, debemos apuntar que la base jurídica del artículo 58 bis de la LOREG lo encontramos en la habilitación de la letra g) del artículo 9.2 del RGPD, por lo que, ya que se ha basado en esa habilitación, debemos analizar si se han cumplido los presupuestos que recoge la misma: 1) basado en un “interés público esencial”, 2) proporcional al objetivo perseguido (respetando en lo esencial el derecho a la protección de datos) y 3) establecer “medidas adecuadas y específicas” (art. 9.2.g RGPD).

Debemos comenzar diferenciando el “interés público” que “el funcionamiento del sistema democrático exige” del considerando n. 56 y el “interés público esencial” del artículo 9.2.g del RGPD; así lo ha establecido el Supervisor Europeo de Protección de Datos58, diferenciando, del mismo modo, las “garantías adecuadas” (considerando n. 56) y las “medidas adecuadas y específicas” (art. 9.2.g RGPD).

Está claro, por otra parte, que el requisito básico será el “interés público esencial”, puesto que es este el que hace que no se aplique la prohibición de tratamiento de datos que releven opiniones políticas, si no, estaríamos aplicando la excepción de la prohibición del artículo 9.2.g, bajo un requisito que no es el aplicable y soslayando la condición sine qua non de dicho artículo que recoge la excepción a la que está directamente anudada. Es decir, que se estaría utilizando una excepción de un artículo, pero haciendo uso de la condición de otro, “burlando” el requisito de esa excepción.

Al hablar de ese “interés público esencial”59, trascendemos de la “razonabilidad” del tratamiento; según la autoridad inglesa de protección de datos, “la cuestión es si el tratamiento es objetivamente necesario para la finalidad indicada, no si es una parte necesaria del método de tratamiento elegido por el responsable”60.

El Grupo de Trabajo del Artículo 29 (GT29), en su Dictamen WP21761, declaró que “si el tratamiento conlleva una invasión de la privacidad, la base jurídica deberá ser lo suficientemente específica y precisa a la hora de definir el tipo de tratamiento de datos que puede permitirse”62. Además, se requiere una interpretación estricta y una clara identificación, caso por caso, del interés público en juego63.

El nuevo artículo 58 bis de la LOREG recoge que concurre “interés público”, pero no especifica dicho interés y, por supuesto, sin hacer referencia a la necesidad de un tipo de interés público “esencial”. Es muy visible que el legislador ha basado este nuevo precepto en el considerando n. 56, pues ha hecho referencia a ese “interés público” que “el funcionamiento del sistema democrático exige”, y no al “interés público esencial”, que es el requisito básico de la aplicación de la excepción de la prohibición del artículo 9.2.g del RGPD y mucho más restrictivo.

El artículo 58 bis no muestra ese nexo de necesidad, ni tampoco justifica la debida proporcionalidad que debe existir siempre entre la limitación de derechos y la medida adoptada, lo que supone la recopilación de sus datos personales obtenidos en páginas web con un interés público que no se cataloga de esencial y ni siquiera se especifica.

Por ello, el precepto vulnera el requisito de necesidad y de “interés público esencial” exigido y exigible por el RGPD.

Pero incluso si se recogiese un “interés público” o general, y no el debido “interés público esencial” –que ya hemos visto que no es posible, pero supongamos–, el artículo 58 bis seguiría sin cumplir los requisitos. Según la reiterada jurisprudencia del TJUE, debemos entender por “interés general” que hace que este prevalezca, entre otros la lucha contra el terrorismo internacional para el mantenimiento de la paz y la seguridad internacionales64, lucha contra la delincuencia grave para garantizar la seguridad pública65, etc. El TJUE, sin embargo, ha sido extremadamente restrictivo con esa prevalencia y, por ejemplo, en el caso Digital Rights Ireland y Seitlinger y otros, el tribunal anuló la Directiva 2006/24/CE66, porque posibilitaba la conservación de algunos datos, expresando que aunque sí se cumplía el requisito de “interés general” este no puede servir para justificar cualquier medida67. Así que esta modificación de la LOREG sería injustificable incluso en esta situación hipotética.

En cuanto a las garantías, por otro lado, otro de los requisitos del RGPD es que se deben adoptar “medidas adecuadas y específicas” (art. 9.2.g RGPD), no únicamente “garantías adecuadas” (considerando n. 56). En este sentido, el artículo 58 bis LOREG no incluye medidas y garantías específicas de ningún tipo, sino que, en cambio, hace una pequeña referencia a “garantías adecuadas”, término más genérico que entraña una menor protección que el de “medidas adecuadas y específicas” ligado a los tratamientos que puedan realizarse en nombre de un “interés general esencial”68.

La redacción literal de la disposición establece que: “se encontrará amparada en el interés público únicamente cuando se ofrezcan garantías adecuadas”. En esa redacción da por hecho que la medida está basada en un interés público (sin decir cuál) y lo une a las garantías (nos hace entender que habrá un interés público cuando haya esas garantías, es decir, que el hecho de haber garantías presupone un interés público), cuando son dos requisitos autónomos: que se dé un interés público esencial (razonado, motivado, justificado) y, por otro lado, que se establezcan unas garantías adecuadas. El artículo 58 bis LOREG, apartado 1, por lo tanto, contiene una redacción que modifica y burla la normativa comunitaria y la propia LOPDGDD para hacer posible un tratamiento de datos que estaría prohibido tanto por el derecho comunitario como por el español (9.1 RGPD y 9.2 LOPDGDD).

El artículo 23 del RGPD, asimismo, establece que se podrá limitar el derecho de la Unión o de los Estados miembros que se aplique al responsable o al encargado del tratamiento “cuando tal limitación respete en lo esencial los derechos y libertades fundamentales y sea una medida necesaria y proporcionada en una sociedad democrática”, y establece, además, diez disposiciones específicas que, como mínimo, deberá recoger tal medida legislativa (entre ellas, finalidad, categoría, alcance, garantías, plazos, riesgos, etc.).

Conviene recordar, del mismo modo, que dentro del ya mencionado análisis de la proporcionalidad de la injerencia, según jurisprudencia reiterada del TJUE, el principio de proporcionalidad exige que los actos sean adecuados para lograr los objetivos legítimos perseguidos por la normativa de que se trate y no rebasen los límites de lo que resulta apropiado y necesario para el logro de dichos objetivos69, escogiendo siempre la menos restrictiva, cuando se ofrezca una elección entre varias medidas adecuadas, y los inconvenientes ocasionados, no debiendo ser desmesurados con respecto a los objetivos perseguidos70.

5.2 El nuevo artículo 58 bis de la LOREG desde el punto de vista formal: reserva de ley

El segundo punto que deberemos analizar será qué tipo de norma debe recoger la medida, el “interés público esencial” y las “medidas adecuadas y específicas”, teniendo en cuenta que nos encontramos ante una medida restrictiva de nuestros derechos fundamentales71. Como hemos mencionado, el legislador español ha establecido que la circunstancia de la letra g) del artículo 9.2 del RGPD, entre otras, deberá estar amparada en una norma con rango de ley, que podrá establecer requisitos adicionales relativos a su seguridad y confidencialidad (art. 9.2 LOPDGDD). Pero, ¿solo la medida? La respuesta es clara: no. Lo que debe estar amparado con una norma con rango de ley es la medida y todos los presupuestos que hacen posible la medida (“interés público esencial” y las “medidas adecuadas y específicas”).

La siguiente pregunta sería: ¿cualquier norma con rango de ley? Para ello debemos tener en cuenta que el artículo 58 bis de la LOREG puede suponer una injerencia sobre el derecho a la protección de datos, derecho fundamental72 autónomo73 que consagra en sí mismo un derecho o libertad fundamental74, con sede en el artículo 18.4 de la CE75, por lo que, al tratarse de una medida restrictiva de nuestros derechos fundamentales, deberá ser ley orgánica (art. 53.1 CE), respetando siempre su contenido esencial. De lo cual deducimos que, según el RGPD, la LOPDGDD y la propia CE, la habilitación de la letra g) del artículo 9.2 del RGPD y sus presupuestos deben estar recogidos en una ley orgánica.

Debemos tener en cuenta que, según el TC, si bien la reserva de ley orgánica que se aplica al desarrollo de los derechos fundamentales, como parte de la especial protección que la CE dispensa a los derechos y libertades76, posee un cierto alcance, a fin de evitar petrificaciones del ordenamiento77, cuando se trate de disposiciones que sean restrictivas de derechos fundamentales –aun no siendo de “desarrollo” –, regirá la reserva de ley para fijar las garantías adecuadas y específicas frente a ellas78, cumpliendo siempre el principio de calidad de la ley que restringe derechos79.

Además de ser ley orgánica, asimismo, el apartado tercero del artículo segundo de la nueva LOPDGDD recoge expresamente que los tratamientos que estén fuera del ámbito de aplicación del RGPD (por no estar comprendidas en el ámbito de aplicación del derecho comunitario) se regirán por su legislación específica (si no la hubiere, por el RGPD y, supletoriamente, por la LOPDGDD) y menciona de forma expresa los “tratamientos realizados al amparo de la legislación orgánica del régimen electoral general”80. Esto quiere decir que la LOPDGDD ha recogido expresamente que el tratamiento de datos en ámbito electoral, donde encontramos la elaboración de perfiles que es objeto de análisis, requiere que esté regulado por esa normativa específica: la LOREG.

En suma, que la LOREG (ley orgánica específica de la materia) recoja la medida cumple con el RGPD, la LOPDGDD y la CE; pero ¿y los presupuestos de la habilitación?, ¿dónde hemos mencionado que se han recogido las medidas adecuadas y específicas? En la Circular 1/2019, de 7 de marzo, de la AEPD, es decir, una norma con rango reglamentario. Se ha intentado validar la injerencia en nuestros derechos fundamentales con un reglamento, lo que es un despropósito absoluto. No “existen”, por lo tanto, esas medidas adecuadas y específicas, porque, aunque estén recogidas en la Circular 1/2019, no podemos tenerlas en cuenta porque vulneran el artículo 9.2 LOPDGDD y el artículo 53.1 CE, artículos que también resultan vulnerados, puesto que la misma disposición no ha establecido cuál es el interés público esencial, como hemos apuntado en el anterior apartado.

El Consejo de Estado, en su dictamen, también declaró sobre esa reserva de ley: “El anteproyecto hace un primer uso de esta habilitación con la finalidad de establecer una reserva de ley para la regulación de los tratamientos de datos fundados en las citadas causas. No se trata, por tanto, de una mera reiteración del contenido del reglamento, sino de una previsión dirigida a garantizar que el desarrollo del mismo se realice con respeto a las exigencias de la Constitución española, en particular de su artículo 53.1”81.

5.3 El nuevo artículo 58 bis de la LOREG: algunas cuestiones sobre el fondo

Ya hemos visto que el nuevo artículo 58 bis de la LOREG incumple el RGPD en su vertiente material y formal. Sin embargo, nos conviene mencionar también, de manera sucinta, algunas cuestiones sobre el fondo en lo que respecta a este asunto.

Este nuevo precepto podría vulnerar el derecho a la libertad ideológica, y debemos recordar que sin libertad ideológica no serían posibles los valores superiores del ordenamiento jurídico que se propugnan en el artículo 1.1 de la CE para constituir el Estado social y democrático de derecho que en dicho precepto se instaura82.

La libertad de expresión e información puede resultar también lesionada, en relación con la libertad ideológica, libertad que comprende una dimensión externa de agere licere, con arreglo a las propias ideas sin sufrir por ello sanción o demérito ni padecer la compulsión o la injerencia de los poderes públicos83. A la libertad ideológica que consagra el artículo 16.1 CE le corresponde «el correlativo derecho a expresarla que garantiza el artículo 20.1 a)»84 a comunicarla públicamente, indisolublemente unida al pluralismo político y, por ello, fundamento del funcionamiento de un Estado democrático85. Entonces, si los partidos políticos pueden recopilar opiniones personales de páginas web, como redes sociales, entre otras, ¿dónde queda el derecho a comunicar libremente las ideas propias?

También encontraremos en esta colisión el derecho a la participación política, derecho a participar “libremente”, libertad que es “valor superior” del ordenamiento jurídico español, y reconoce, como principio general inspirador del mismo, la autonomía del individuo para elegir entre las diversas opciones vitales que se le presenten, de acuerdo con sus propios intereses y preferencias86.

En este sentido, por último, la AEPD ya ha dejado claro que constituye una vulneración de la protección de datos realizar una encuesta en la que se soliciten datos de ideología y religión sin recabar el consentimiento expreso, escrito e informado de los afectados87.

6 Síntesis de la Sentencia 76/2019, de 22 de mayo de 2019, del Tribunal Constitucional

La constitucionalidad de este artículo fue analizada por el TC en su Sentencia 76/2019, de 22 de mayo, la cual resolvió el recurso de inconstitucionalidad promovido por el Defensor del Pueblo y se pronunció sobre la constitucionalidad del apartado 1 del artículo 58 bis. La impugnación central del recurso se refería al artículo 18.4 CE en conexión con el artículo 53.1 CE. A juicio del tribunal, ya que las alegaciones de las partes no lo controvierten, el artículo 58 bis de la LOREG (apartado 1.º) constituye una injerencia en el derecho fundamental a la protección de datos personales garantizado por el artículo 18.4 CE, por lo que lo que debe decidir el TC es si la citada disposición legal (la que habilita la injerencia) cumple con las exigencias que derivan de la CE y de la doctrina constitucional88.

El TC basa en tres elementos la impugnación central del recurso, los cuales podrían confluir en una doble vulneración de los artículos 18.4 y 53.1 CE89: a) que la disposición legal recurrida no haya determinado por sí misma la finalidad del tratamiento de datos personales que revelen opiniones políticas, más allá de la genérica mención al «interés público»; b) que no haya limitado el tratamiento regulando pormenorizadamente las restricciones al derecho fundamental; y c) que no haya establecido ella misma las garantías adecuadas para proteger los derechos fundamentales afectados. Así, el tribunal razona su decisión en los fundamentos jurídicos 4.º a 9.º, en los que analiza si se cumplen esos tres elementos siguiendo la CE, el RGPD, la LOPDGDD y la doctrina constitucional.

Para resolver el litigio principal, el TC comienza su fundamentación jurídica en el artículo 9 del RGPD90, la prohibición del tratamiento de datos personales que revelen las opiniones políticas. Si bien el TC tiene en cuenta la excepción del apartado segundo, como ya hemos mencionado en los anteriores apartados de este trabajo, alude al requisito de tomar «medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado» (art. 9.2.g) RGPD) y al de «estar amparados en una norma con rango de ley», así como al considerando n. 56 y a la necesidad de proteger la integridad del proceso democrático, haciendo referencia también al artículo 9.2 LOPDGDD y a su exigencia («deberán estar amparados en una norma con rango de ley, que podrá establecer requisitos adicionales relativos a su seguridad y confidencialidad»)91. En suma, según el tribunal el artículo 58 bis (apartado 1) contiene una modificación normativa introducida por el legislador orgánico para hacer posible un tratamiento de datos que, de no existir dicha habilitación, estaría prohibido tanto por el derecho de la Unión como por nuestro ordenamiento jurídico, pues así lo establecen los artículos 9.1 del RGPD y 9.2 de la LOPDGDD92.

Continúa el tribunal declarando que los datos personales que pueden recopilarse integran una categoría especial de datos93 y, siguiendo su doctrina, declara que el derecho a la protección de datos es un derecho fundamental autónomo, pero, además, constituye un derecho instrumental ordenado a la protección de otros derechos fundamentales, esto es, «un instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los restantes derechos de los ciudadanos», por lo que el derecho fundamental a la protección de datos resulta afectado desde una doble perspectiva: como derecho fundamental autónomo y como derecho instrumental, en este caso, ordenado a la protección del derecho fundamental a la libertad ideológica94.

El tribunal reconoce, sin embargo, que no es un derecho absoluto y puede ser restringido mediante ley, siempre que ello responda a un fin de interés general, y los requisitos y el alcance de la restricción estén suficientemente precisados en la ley y respeten el principio de proporcionalidad. A los efectos del presente proceso, deben destacarse dos requisitos de esos límites: 1) responder a un fin constitucionalmente legítimo o encaminarse a la protección o la salvaguarda de un bien constitucionalmente relevante, y, además, ser proporcionadas al fin perseguido con ellas y 2) precisar de una habilitación legal, ya incida directamente sobre su desarrollo (art. 81.1 CE), o limite o condicione su ejercicio (art. 53.1 CE)95.

En ese ámbito formal de la reserva de ley, continúa el TC, existe una doble exigencia: por un lado, la necesaria intervención de la ley para habilitar la injerencia; y, por otro lado, esa norma legal «ha de reunir todas aquellas características indispensables como garantía de la seguridad jurídica», esto es, «ha de expresar todos y cada uno de los presupuestos y condiciones de la intervención», ya que, aun teniendo un fundamento constitucional, las limitaciones del derecho fundamental establecidas por una ley «pueden vulnerar la Constitución si adolecen de falta de certeza y previsibilidad en los propios límites que imponen y su modo de aplicación», pues «la falta de precisión de la ley en los presupuestos materiales de la limitación de un derecho fundamental es susceptible de generar una indeterminación sobre los casos a los que se aplica tal restricción»; «al producirse este resultado, más allá de toda interpretación razonable, la ley ya no cumple su función de garantía del propio derecho fundamental que restringe, pues deja que en su lugar opere simplemente la voluntad de quien ha de aplicarla»96.

En opinión del tribunal, la mera inexistencia de «garantías adecuadas» o de las «mínimas exigibles a la ley» constituye de por sí una injerencia en el derecho fundamental, de gravedad similar a la que causarían intromisiones directas en su contenido nuclear. La exigencia de «garantías adecuadas» se fundamenta, por tanto, en el respeto del contenido esencial del derecho fundamental97. La necesidad de disponer de garantías adecuadas es especialmente importante cuando el tratamiento afecta a categorías especiales de datos (datos sensibles), pues el uso de estos últimos es susceptible de comprometer más directamente la dignidad, la libertad y el libre desarrollo de la personalidad; garantías adecuadas que deben velar por que el tratamiento de datos se realice en condiciones que aseguren la transparencia, la supervisión y la tutela judicial efectiva, y deben procurar que los datos no se recojan de forma desproporcionada y no se utilicen para fines distintos de los que justificaron su obtención98.

Las opiniones políticas, según sentencia el TC, son datos personales sensibles cuya necesidad de protección es, en esa medida, superior a la de otros datos personales. Por tanto, el legislador está constitucionalmente obligado a adecuar la protección que dispensa a dichos datos personales, en su caso, imponiendo mayores exigencias a fin de que puedan ser objeto de tratamiento y previendo garantías específicas en su tratamiento, además de las que puedan ser comunes o generales99.

Por todo lo razonado, el TC expresa que la disposición legal impugnada:

a) No especifica el interés público esencial que fundamenta la restricción del derecho fundamental; presupone que ha de existir, pero no llega a especificarlo, lo que supone que la disposición legal recurrida no ha determinado por sí misma la finalidad del tratamiento de datos personales que revelen opiniones políticas, más allá de la genérica mención al «interés público»100.

b) No limita el tratamiento regulando pormenorizadamente las restricciones al derecho fundamental, solo recoge una condición limitativa: la recopilación solo podrá llevarse a cabo «en el marco de sus actividades electorales». Se trata de una condición que apenas contribuye a constreñir el uso de la habilitación conferida. Es decir, no se ha limitado el tratamiento regulando pormenorizadamente las restricciones al derecho fundamental101.

c) Su redacción literal ni contiene ni especifica en forma alguna las garantías y se limita a reconocer que deben ofrecerse «garantías adecuadas», sin más precisiones. No ha establecido ella misma las garantías adecuadas para proteger los derechos fundamentales afectados102.

Concluye el tribunal que todo ello supone que el artículo 58 bis apartado 1 de la LOREG no ha identificado la finalidad de la injerencia para cuya realización se habilita a los partidos políticos, ni ha delimitado los presupuestos ni las condiciones de esa injerencia, ni ha establecido las garantías adecuadas que para la debida protección del derecho fundamental a la protección de datos personales reclama la doctrina constitucional. Esto produce, de esta forma, tres vulneraciones del artículo 18.4 CE en conexión con el artículo 53.1 CE, autónomas e independientes entre sí, todas ellas vinculadas a la insuficiencia de la ley, redundando las tres en la infracción del mandato de preservación del contenido esencial del derecho fundamental (art. 53.1 CE): por una parte, la insuficiente adecuación de la norma legal impugnada a los requerimientos de certeza crea un peligro, en el que reside precisamente dicha vulneración y, por otra parte, la indeterminación de la finalidad del tratamiento y la inexistencia de «garantías adecuadas» o las «mínimas exigibles a la Ley» constituyen en sí mismas injerencias en el derecho fundamental de gravedad similar a la que causaría una intromisión directa en su contenido nuclear103.

Por todo ello, el TC falla estimando el recurso y declara inconstitucional el artículo 58 bis de la LOREG señalando que las opiniones políticas son datos personales sensibles cuya necesidad de protección es superior a la de otros datos personales y que la disposición legal impugnada no ha identificado la finalidad de la injerencia para cuya realización se habilita a los partidos políticos, ni ha delimitado los presupuestos ni las condiciones de esa injerencia ni ha establecido las garantías adecuadas.

7 Conclusiones

Debemos concluir que, analizado el nuevo artículo 58 bis de la LOREG, este incumple tanto el RGPD como la LOPDGDD y la CE. La disposición no ha recogido los presupuestos que habilitan el tratamiento de los datos personales que revelen opiniones políticas y supone una injerencia desproporcionada en nuestros derechos fundamentales, una injerencia que se ha intentado justificar con una norma reglamentaria. Vulnera, de este modo, el derecho fundamental a la protección de datos y el derecho a la libertad ideológica, y podría vulnerar, del mismo modo, el derecho a la libertad de expresión y el derecho a la participación política. El precepto obvia toda medida que pueda garantizar el derecho a la protección de datos, permitiendo un uso discriminado y sin legitimación para ello por parte de los partidos políticos, y no resulta proporcional al objetivo perseguido.

La enmienda que introdujo el nuevo precepto de la LOREG se razonó defendiendo que era necesaria para evitar casos como el de Cambridge Analytica, pero parece que con este nuevo artículo estaríamos más cerca de un “Cambridge Analytica español” que sin ella. El legislador debería, por lo tanto, de lege ferenda, reformular el artículo 58 bis de la LOREG (actualmente inconstitucional), en un proyecto independiente de reforma de la ley orgánica específica que recoja de un modo concreto todos los requisitos del RGPD y criterios del TJUE, TEDH y TC, para proteger a la ciudadanía y evitar vulneraciones de derechos fundamentales y libertades públicas.

Bibliografía

ARZOZ SANTIESTEBAN, X., Videovigilancia, seguridad ciudadana y derechos fundamentales, Thomson Reuters Civitas, Cizur Menor, 2010.

HOWARD, P. N., y JONES, S. (eds.), Sociedad on-line: Internet en contexto, Editorial UDOC, Barcelona, 2005.

LUCAS MURILLO DE LA CUEVA, P. L., El Derecho a la Autodeterminación Informativa. La Protección de los Datos Personales Frente al Uso de la Informática, Tecnos, Madrid, 1990.

PÉREZ LUÑO, A. E., Derechos Humanos, Estado de Derecho y Constitución, Tecnos, Madrid, 1991.

REBOLLO DELGADO, L., y SERRANO PÉREZ, M. M., Manual de Protección de Datos, Dykinson, Madrid, 2018.

RUIZ MIGUEL, C., El derecho a la protección de la vida privada en la jurisprudencia del Tribunal Europeo de Derechos Humanos, Civitas, Madrid, 1994.

SÁNCHEZ BRAVO, Á. A., La protección del derecho a la libertad informática en la Unión Europea, Universidad de Sevilla, Secretariado de Publicaciones, Sevilla, 1998.

SERRANO LÓPEZ, M. M., “El derecho fundamental a la Protección de Datos. Su contenido esencial”, Nuevas Políticas Públicas: Anuario multidisciplinar para la modernización de las Administraciones Públicas, n. 1, 2005.

TRONCOSO REIGADA, A., Comentario a la Ley Orgánica de Protección de Datos de Carácter Personal, Civitas, Madrid, 2010.