Marketing electoral, protección de datos y censos ideológicos

28 de abril, 26 de mayo... Dos domingos en apenas un mes en los que los españoles acudiremos a las urnas para ejercer nuestro derecho al sufragio activo. Como tantas otras veces hemos hecho, elegiremos representantes al Congreso, al Senado, a los parlamentos autonómicos, a los ayuntamientos…

Sin embargo, es la primera vez que se permite, de manera expresa, a las organizaciones políticas el tratamiento de los datos personales relativos a opiniones políticas, así como el envío de propaganda electoral por medios electrónicos o sistemas de mensajería. Esto es posible tras la entrada en vigor de Ley Orgánica de Protección de Datos Personales, que adapta el ordenamiento jurídico español al Reglamento Europeo de Protección de Datos (RGPD). Este introduce un nuevo artículo a la Ley de Régimen Electoral General, el 58 bis, denominado Utilización de medios tecnológicos y datos personales en actividades electorales.

Esta nueva situación está generando un amplio debate y preocupación sobre los límites que deben aplicarse en relación a los datos personales de los interesados. En los últimos días, el Defensor del Pueblo en funciones ha presentado ante el Tribunal Constitucional un recurso de inconstitucionalidad, al considerar que el citado artículo 58 bis adolece de “garantías normativas y limitaciones contundentes, precisas y efectivas”. Es fuente de gran preocupación que pudiese darse una situación similar a lo que ocurrió en las elecciones estadounidenses, en la que la consultora Cambridge Analytica, que trabajó para el Partido Republicano, recopiló de manera ilícita datos personales de usuarios de Facebook con finalidades de marketing electoral.

Más información

Hacia una normativa global para entregar a los ciudadanos el control de sus datos

Perfilado ideológico online: ¿dilema legal o riesgo para la democracia?

En este contexto, la Agencia Española de Protección de Datos (AEPD) ha publicado recientemente la Circular 1/2019, en la que concreta cuáles son los límites de la habilitación otorgada a los partidos políticos, y manifiesta su preocupación por fenómenos como “el uso del big data, la inteligencia artificial y la aplicación del microtargeting en los procesos electorales, por su capacidad para llevar a la manipulación de las personas mediante la realización de perfilados exhaustivos y el fenómeno de las fake news o desinformación online”.

Antes de comenzar a desgranar la circular, debemos aclarar que el RGPD, en su considerando 56, permite estos tratamientos por razones de interés público y siempre y cuando se ofrezcan las garantías adecuadas. La cuestión es el alcance que damos al concepto jurídico indeterminado de interés público, que es el fundamento y también el límite al tratamiento de estos datos.

• ¿Qué tipo de datos se pueden recopilar?
  
  De acuerdo con la Circular 1/2019 de la AEPD, pueden ser recogidas opiniones políticas libremente expresadas en páginas web y en fuentes de acceso público, entendiéndose como tal aquellas cuya consulta puede ser realizada por cualquier persona. Quedan excluidas aquellas en las que el acceso está restringido a un círculo determinado de personas. Por ello, en principio, una cuenta en un perfil de Facebook no podría ser utilizada para recopilar estos datos.
• ¿Qué no se puede hacer?
  
  No pueden realizarse perfiles individuales, atendiendo a características muy específicas con el objetivo de inferir la ideología de una persona concreta, y dirigir mensajes que pudiesen forzar o desviar su voluntad. En cambio, sería posible la elaboración de perfiles generales, de modo que los partidos políticos puedan conocer las inquietudes políticas de la ciudadanía, incluso por categorías genéricas como la edad, sexo, población, etc.

• ¿Cuándo puede hacerse?
  
  Únicamente durante el periodo electoral y respecto a las actividades de propaganda y actos de campaña electoral.

• ¿Es posible el spam electoral? 
  
  El nuevo artículo 58 bis citado permite enviar propaganda electoral por medios electrónicos y sistemas de mensajería, y a su vez, que los partidos políticos contraten propaganda electoral en redes sociales o medios equivalentes. De acuerdo con el precepto, no serían considerados como comunicación comercial-al no haber una finalidad lucrativa- y, por tanto, no estarían sujetas al régimen de la Ley de Servicios de Sociedad de la Información y Comercio Electrónico, que exige el consentimiento expreso en la mayoría de las ocasiones. Pero siempre deberán estar amparadas en alguna de las bases jurídicas establecidas en el RGPD, entre las que estaría el consentimiento. Es decir, no cabría el spam electoral, ya que no es posible recabar los datos de cualquier lugar de cualquier forma.
• ¿Qué garantías adecuadas han de cumplir los partidos políticos?
  
  El artículo 9 de la Circular 1/2019 regula cuáles son las garantías que deben cumplir los partidos políticos en el tratamiento de los datos personales relativos a opiniones políticas. Nos vamos a detener en aquellas relativas a preservar la seguridad de la información, de vital importancia en un tratamiento como el que nos ocupa, basado en tecnologías de la información. El tratamiento deberá realizarse bajo los principios de privacidad desde el diseño y por defecto, es decir, en el momento en que se determine cómo se van a tratar los datos será necesario configurar desde el inicio las medidas técnicas y organizativas apropiadas que preserven la privacidad y que permitan tratar los datos mínimamente necesarios para el fin del tratamiento.
  
  En segundo lugar, los partidos políticos deberán realizar una evaluación de impacto para la protección de datos, de acuerdo con el artículo 35 del RGPD. Deben consultar previamente con la AEPD sobre el tratamiento de estos datos personales. Es posible también que los partidos políticos no hagan esta consulta previa, sino que directamente remitan su análisis de riesgos y evaluación de impacto, y la justificación de las medidas adoptadas. Pero en ambos casos sería necesaria una intervención activa de la AEPD. Para los procesos electorales previstos para el 28 de abril y 26 de mayo, los partidos políticos deberían remitir esta documentación con una antelación mínima de tres semanas al inicio de la campaña electoral.

Otro aspecto a destacar es que independientemente de la base jurídica del tratamiento, siempre habrá que informar al interesado de forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo sobre el tratamiento de los datos personales. Asimismo, los titulares de los datos siempre podrían ejercitar sus derechos de acceso, rectificación, supresión, limitación del tratamiento, portabilidad de los datos y oposición.

En los próximos días podremos comprobar la manera en qué las organizaciones políticas aplican lo dispuesto en el nuevo artículo 58 bis de la Ley Electoral General. Esperemos que respeten los principios de transparencia y libre participación propios de todo sistema democrático.

Olga Martinez es socia fundadora de Applicalia