Jose Felgueroso
Abogado | Attorney
Resumen del Convenio del Consejo de Europa para la protección de datos de carácter personal (Convenio 108)
info@josefelgueroso.com
2021-07-30
El Consejo de Europa adoptó en 1981 el Convenio para la Protección de las Personas con Respecto al Tratamiento Automatizado de Datos de Carácter Personal, también conocido como Convenio 108. Es el primer tratado internacional vinculante en materia de protección de datos, y entre sus firmantes hay países de tres continentes. En 2018, el Consejo de Europa adoptó un protocolo que modificará el Convenio una vez que entre en vigor.
Este artículo ofrece un resumen del Convenio tal como ha sido modificado por el protocolo de 2018.
Antecedentes
Dado el desarrollo de la tecnología de la información en las décadas anteriores, los países del Consejo de Europa negociaron y adoptaron el Convenio en 1981 para garantizar la protección de los derechos fundamentales en relación con el tratamiento de datos personales, y en particular el derecho a la intimidad. El objetivo del Convenio es proteger a todos los individuos dentro de la jurisdicción de los países firmantes en relación con el tratamiento de sus datos personales, independientemente de su nacionalidad o lugar de residencia.
El Convenio se aplica al tratamiento de datos personales por parte de entidades privadas y públicas. Aunque el Convenio es vinculante para los países que lo han ratificado, no está sujeto a la jurisdicción del Tribunal Europeo de Derechos Humanos.
El Convenio abarca el tratamiento automatizado y no automatizado de datos personales. El tratamiento manual puede entrar en el ámbito de aplicación del Convenio si el tratamiento está estructurado de manera que permita la búsqueda por persona.
51 países han ratificado el Convenio, incluidos todos los estados miembros del Consejo de Europa y la Unión Europea. Como el Convenio está abierto a ratificación por países que no son miembros del Consejo de Europa, también lo han ratificado Uruguay, Mauricio, Senegal y Túnez.
Modernización del Convenio
En las décadas que siguieron a la adopción del Convenio, la tecnología de la información ha avanzado y se ha extendido, el tratamiento de datos personales se ha vuelto global y el volumen de los flujos de datos ha aumentado. El Consejo de Europa adoptó el Protocolo de 2018 para modernizar el Convenio con el fin de abordar los retos en materia de privacidad que surgen de las nuevas tecnologías de la información y la comunicación.
La modernización pretende preservar el carácter tecnológicamente neutro del Convenio y su compatibilidad con otros marcos jurídicos. También mantiene el carácter abierto del Convenio, ya que países no pertenecientes al Consejo de Europa pueden ratificarlo.
El Convenio modernizado añade los datos genéticos y biométricos a la lista de datos sensibles. El Convenio original ya exigía garantías adicionales para el tratamiento de datos personales relativos al origen racial, las opiniones políticas, las creencias, la salud, la vida sexual y las condenas penales.
Principios
El Convenio reconoce los siguientes principios para el tratamiento de datos: transparencia, legalidad, proporcionalidad, responsabilidad, minimización de datos, privacidad desde el diseño, privacidad por defecto y seguridad de los datos. También exige a los responsables del tratamiento que notifiquen a las autoridades de control si se ha producido una brecha de datos; el responsable del tratamiento también puede tener que notificar a los individuos si la brecha de datos puede dar lugar a discriminación, robo de identidad, pérdida financiera, daño a la reputación o pérdida de la confidencialidad de los datos protegidos por el secreto profesional.
El tratamiento de datos personales debe tener una base legal. Si la base es el consentimiento del individuo, debe ser libre, específico, informado e inequívoco. Otras bases válidas son un contrato, el interés vital del individuo y una obligación legal del responsable del tratamiento.
Los datos personales deben recogerse con fines explícitos, específicos y legítimos, y no deben tratarse de forma incompatible con dichos fines. Los datos personales no deben conservarse más tiempo del necesario para el tratamiento.
Los responsables del tratamiento deben informar a los individuos de:
- su identidad y lugar de residencia o establecimiento;
- la base jurídica del tratamiento;
- las categorías de datos personales tratados;
- los destinatarios o categorías de destinatarios de los datos personales; y
- los medios para ejercer sus derechos.
Derechos
Uno de los principales objetivos del Convenio es permitir que las personas tengan conocimiento y control sobre el tratamiento de los datos personales que les conciernen.
El Convenio reconoce que las personas tienen derecho:
- a solicitar y obtener confirmación del tratamiento de datos personales relativos a la persona y cualquier otra información que el responsable del tratamiento esté obligado a proporcionar para garantizar la transparencia del tratamiento;
- solicitar y obtener información sobre el razonamiento que subyace al tratamiento de datos si los resultados del tratamiento se aplican a la persona;
- oponerse en cualquier momento al tratamiento de los datos personales que le conciernen, a menos que el responsable del tratamiento demuestre motivos legítimos para el tratamiento que prevalezcan sobre los intereses o derechos de la persona;
- a solicitar y obtener la rectificación o supresión de los datos personales si el tratamiento vulnera las disposiciones del Convenio;
- a disponer de un recurso si se han vulnerado los derechos reconocidos en el Convenio; y
- beneficiarse de la asistencia de una autoridad nacional de control en el ejercicio de los derechos reconocidos en el Convenio.
Transferencias internacionales de datos personales
Transferencias a países signatarios
Los países signatarios no deben prohibir o someter a una autorización especial la transferencia de datos personales a un destinatario sujeto a la jurisdicción de un país signatario. El Convenio contiene dos excepciones a este principio: un país signatario puede prohibir la transferencia si (1) la transferencia conduce a eludir el Convenio o (2) si el país signatario está vinculado por las normas de protección de datos de una organización internacional regional.
Transferencias a países terceros
Si el destinatario de los datos personales se encuentra en un tercer país, la transferencia de datos personales debe proporcionar un nivel de protección adecuado. Un nivel adecuado de protección puede lograrse mediante la legislación del tercer país o mediante contratos u otros instrumentos vinculantes adoptados por las personas que participan en la transferencia y el tratamiento de datos personales. Los siguientes factores indican si una transferencia proporciona un nivel de protección adecuado:
- el tipo de datos;
- la finalidad y la duración del tratamiento;
- el respeto del estado de derecho por parte del tercer país;
- el cumplimiento de los principios del Convenio por parte del tercer país;
- la capacidad de la persona para defender sus intereses;
- las normas generales y sectoriales aplicables en el tercer país; y
- las normas profesionales y de seguridad aplicables.
El Convenio permite a los países firmantes permitir la transferencia de datos personales a un tercer país si:
- el individuo ha dado su consentimiento explícito, específico y libre;
- los intereses del individuo lo requieren;
- la ley indica intereses legítimos de manera necesaria y proporcional; o
- la transferencia es un ejercicio necesario y proporcionado de la libertad de expresión.
Limitaciones
El Convenio permite ciertas excepciones a sus disposiciones, si están previstas por la ley, respetan la esencia de los derechos fundamentales y son necesarias y proporcionadas para proteger un interés legítimo, como la seguridad nacional, las investigaciones penales y la libertad de expresión.
Además, el Convenio reconoce excepciones para el archivado en interés público, para fines de investigación científica o histórica, o para fines estadísticos, cuando no hay riesgo de vulneración de los derechos fundamentales.
Conclusión
Dado que países de tres continentes lo han ratificado, el Convenio es lo más parecido a una norma internacional en materia de protección de datos que existe actualmente.
El Convenio complementa otros marcos jurídicos, en particular el de la Unión Europea. El Reglamento Europeo de Protección de Datos menciona la adhesión al Convenio y su aplicación como criterios para determinar si un tercer país ofrece un nivel adecuado de protección de datos.
Dado el carácter tecnológicamente neutro del Convenio y las actualizaciones proporcionadas por el protocolo de 2018, es probable que el Convenio siga siendo una referencia internacional para la protección de derechos en el contexto del tratamiento de datos.
Fuentes
Convenio 108 - Protocolo de Enmienda (2018) (en inglés)
Convenio 108 modernizado - Informe explicativo
Handbook on European Data Protection Law (2018)