El legislador europeo, en su voluntad de reforzar el control del interesado sobre sus propios datos, ha incluido en el artículo 20 RGPD, el nuevo derecho a la portabilidad de los datos como una forma avanzada del derecho de acceso. Este derecho a la portabilidad se materializa en la transmisión, al propio interesado o a otro responsable, de sus datos en un formato estructurado, de uso común, de lectura mecánica e interoperable.

Para ejercitar este derecho que incorpora el nuevo Reglamento, deberán darse acumulativamente estos dos requisitos: (1) que sea un tratamiento basado en el consentimiento del interesado o de la ejecución de un contrato del que el interesado es parte y (2) que se efectúe por medios automatizados. Este derecho podría materializarse en la obtención de una lista de reproducción; de los capítulos visionados en una plataforma de reproducción online; el listado de contactos de una aplicación de chat para confeccionar una lista de invitados a una fiesta o el listado de los libros adquiridos en el último año.

No obstante, no puede entenderse de manera absoluta, no aplicándose el mismo si el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento; y, no podrá afectar negativamente a los derechos y libertades de otros, incluidos los secretos comerciales, la propiedad intelectual y, en particular, a los derechos de autor que protegen los programas informáticos.

Sin embargo, la portabilidad implica también una serie de retos para los responsables del tratamiento entre los que, teniendo en cuenta las directrices del Grupo de Trabajo del Artículo 29, Grupo de Trabajo creado de conformidad con el artículo 29 de la Directiva 95/46/CE, órgano consultivo independiente de la UE en materia de protección de datos y privacidad, destacan los siguientes:

• Interoperabilidad de los sistemas. El RGPD no exige que los sistemas sean compatibles, pero sí deben resultar interoperables. Al respecto, el GT29 recomienda que las partes interesadas del sector y que las asociaciones comerciales trabajen conjuntamente sobre unas normas y formatos interoperables que permitan portar los datos de un responsable a otro. Una solución aceptable hasta la interoperabilidad de los sistemas sería ofrecer los datos en formato Excel, que nos permita trabajar con los datos; sin embargo, nunca sería aceptable proporcionar los mismos en formato PDF.

• Responsabilidad del tratamiento. Corresponde al «responsable del tratamiento receptor» garantizar que los datos proporcionados que se pueden portar sean pertinentes y no excesivos -principio de minimización de los datos- en relación con el nuevo tratamiento de datos. Así, si la información portada no es relevante en relación con el propósito del nuevo tratamiento, no deberá guardarse ni procesarse. Por ejemplo, si portamos una lista de contactos de una plataforma webmail para enviar una invitación por correo electrónico a una fiesta, deberán omitirse otros datos como el teléfono o la dirección postal.

• Los datos personales que deben portarse no son sólo los directa y conscientemente proporcionados por el interesado, sino que incluye los datos personales que se generan y se recaban a partir de las actividades de los usuarios, por ejemplo, las canciones más escuchadas por un usuario en una plataforma online. De este modo, deben excluirse únicamente los «datos inferidos» y los «datos deducidos», que abarcan los datos personales que genera un proveedor de servicios (por ejemplo, resultados algorítmicos).

• El derecho a la portabilidad de los datos no puede afectar negativamente a los derechos y libertades de terceros (que no han dado su consentimiento). De este modo, los responsables deberán implantar herramientas que permitan a los interesados seleccionar los datos relevantes y excluir (donde proceda) otros datos suyos; así como mecanismos de autorización para otros interesados involucrados a fin de facilitar la transmisión de datos en aquellos casos en los que las partes estén dispuestas a dar su consentimiento.

La complejidad de estos requisitos unido al fomento de la libre competencia que supone el mismo, nos hace sospechar que la aplicación de este derecho tardará aún algún tiempo en ser plenamente efectiva. Es tarea de los responsables y encargados de tratamiento adaptar sus sistemas para poder aplicar este derecho.

El Equipo Govertis