Home / Area / DOCTRINA EN DOS PÁGINAS Diario Administrativo Nro. 327 – 02.09.2021


DOCTRINA EN DOS PÁGINAS

Privacidad de datos y acción afirmativa: ¿Cuál es la base jurídica aplicable en el marco de la LGPD?

Por Bernardo de Souza Dantas Fico

En Brasil, a semejanza de lo ocurrido en la tradición jurídica de otros países occidentales, el principio de igualdad ha pasado por sucesivos “pasos” en términos de reconocimiento, contenido y derecho. La Constitución Federal brasileña de 1988 (“Constitución brasileña”), en particular, ha elevado la igualdad a objetivo fundamental de la República (artículo 3, II y IV, Constitución brasileña), y ha promovido una diferenciación positiva destinada a catalizar su eficacia material. Por ejemplo, el artículo 7, XX, de la Constitución brasileña estableció la “protección del mercado de trabajo de las mujeres, mediante incentivos específicos”. La Constitución Federal brasileña, en su artículo 37, VIII, también reservó un porcentaje de los empleos y cargos públicos para las personas con discapacidad.

Otras acciones afirmativas se encuentran en la legislación federal brasileña y en las leyes estatales. Por ejemplo, la Ley Federal nº 12.711/2012, conocida como “Ley de Cuotas”, en su artículo 1, párrafo único, establece que una parte de las plazas de estudiantes de las universidades federales debe reservarse a quienes tengan una renta familiar media igual o inferior a 1,5 salarios mínimos. Además, el “Estatuto de la Igualdad Racial” (Ley Federal nº 12.288/2010) establece en su artículo 4, caput y II, que se promoverá la “participación de la población negra, en condiciones de igualdad de oportunidades, en la vida económica, social, política y cultural” de Brasil mediante “medidas, programas y políticas afirmativas”.

Tanto en el sector público como en el privado, el empleo de estas acciones afirmativas implica el tratamiento de datos personales. Por lo tanto, teniendo en cuenta la Ley General de Protección de Datos de Brasil (“LGPD”): ¿qué base legal puede autorizar las acciones afirmativas? ¿Existe alguna hipótesis que autorice el uso de datos sensibles en su ejecución?

Acciones afirmativas en el sector privado

Sin desconocer el cumplimiento de otros requisitos de la LGPD, cuando las entidades privadas tratan datos personales para implementar acciones afirmativas, deben hacerlo observando los artículos 7 u 11 de la LGPD, según las categorías de datos personales de que se trate.

En un escenario en el que los actores privados implementan acciones afirmativas manejando sólo datos personales “simples”, el artículo 7, IX de la LGPD (es decir, el interés legítimo) se aplica sin mayor controversia. Esto se debe a que, a pesar de un cierto grado de subjetividad en cuanto a la definición de “interés legítimo”, las actividades que promueven la igualdad y la no discriminación caen naturalmente bajo el “interés legítimo” por dos razones principales. En primer lugar, las acciones afirmativas de los actores privados promueven objetivos republicanos fundamentales (según el artículo 3 II y IV de la Constitución brasileña), y garantizan los derechos fundamentales y las libertades civiles de los titulares de los datos que son objeto de tratamiento. En segundo lugar, la propia LGPD enumera la no discriminación como uno de sus principios (artículo 6, IX).

A su vez, para los actores privados que implementan acciones afirmativas que manejan datos sensibles, deben analizarse otras bases legales. Por un lado, el propósito de una acción afirmativa puede obedecer a una determinación legal (ley federal, estatal o municipal) o reglamentaria (decretos, resoluciones, entre otros). Si ese es el caso, se aplica el artículo 11, II, a, de la LGPD (cumplimiento de obligación legal o reglamentaria). Es lo que ocurre, por ejemplo, cuando las empresas tratan datos de salud en virtud del artículo 93 de la Ley Federal nº 8.213/91 para reservar puestos para personas con discapacidad.

Alternativamente, si no existe una ley o reglamento que obligue específicamente a las empresas a aplicar una acción afirmativa, se puede seguir argumentando que la base jurídica aplicable es el “cumplimiento de una obligación legal o reglamentaria por parte del responsable del tratamiento”. La promoción activa de la igualdad material es una obligación impuesta por la Constitución Federal de 1988 a todas las personas físicas y jurídicas de Brasil, como explica la jueza Carmem Lúcia Antunes Rocha:

“Todos los verbos utilizados en la expresión normativa – construir, erradicar, reducir, promover – son verbos de acción, es decir, designan un comportamiento activo. Lo que tenemos, entonces, es que los objetivos fundamentales de la República Federativa de Brasil se definen en términos de obligaciones para transformar el cuadro social y político retratado por el constituyente al redactar el texto constitucional”. (ROCHA, Carmem Lúcia Antunes. Acción afirmativa: el contenido democrático del principio de igualdad. Revista de Informação Legislativa, Brasilia, 131:283-295, jul./set. 1996). (nuestra traducción) (énfasis añadido)

Por lo tanto, independientemente de un mandato detallado consagrado en la legislación, los actores privados pueden -basados en un deber positivo de promover la igualdad- procesar información personal sensible para lograr el éxito en sus acciones afirmativas.

Aunque los argumentos presentados anteriormente se basan en la legislación brasileña, un razonamiento similar podría replicarse en países que también adoptan el “interés legítimo” y el “cumplimiento de una obligación legal o reglamentaria por parte del responsable del tratamiento” como bases jurídicas para el tratamiento, respectivamente, de datos personales “simples” y datos personales sensibles. Este es el caso, por ejemplo, de las Islas Caimán, Macao, Marruecos, Kenia, Rusia, así como Alemania, España, Francia, Portugal, Reino Unido y otros países bajo el GDPR en Europa, que tiene similitudes con el adoptado en Brasil.

Acciones afirmativas en el sector público

Teniendo en cuenta las particularidades del sector público, la LGPD ha establecido reglas adicionales y específicas para el tratamiento de datos personales en este contexto. Así, su artículo 23, caput, determina que dicho tratamiento debe realizarse para cumplir con la “finalidad pública, en búsqueda del interés público, con el objetivo de ejecutar las competencias legales o cumplir con las atribuciones legales del servicio público”.

Teniendo en cuenta estos requisitos adicionales, no hay consenso entre los juristas brasileños sobre qué bases jurídicas pueden autorizar el tratamiento de datos personales por parte de las autoridades públicas. Si bien algunos consideran que el artículo 23 de la LGPD es una base jurídica autónoma, esta hipótesis ya está comprendida en las bases jurídicas enumeradas en los artículos 7 u 11 de la LGPD. En particular, dado que los artículos 7 y 11 de la LGPD tienen una lista cerrada de bases jurídicas, parece haber pocos argumentos para una base jurídica autónoma consagrada en otro artículo.

Considerando esto, las acciones afirmativas de los actores públicos toman la forma de políticas públicas, y pueden utilizar datos personales “simples” o datos personales sensibles. En cualquier caso, estas políticas pueden basarse en dos fundamentos jurídicos, según el caso: el cumplimiento de una obligación legal o reglamentaria (artículo 7, II, y artículo 11, II, “a”) o la ejecución de políticas públicas (artículo 7, III y artículo 11, II, “b”). Esto, sin embargo, implica la necesidad de que las acciones afirmativas en el sector público sean detalladas respecto su alcance. Esto se debe a que, a pesar del mandato general de promoción activa de la igualdad material, cualquier acción afirmativa en el sector público también debe cumplir con los principios de la administración pública, incluida la legalidad (artículo 37, Constitución brasileña).

Observaciones finales

Las acciones afirmativas son posibles en los sectores público y privado, y encuentran justificación en la legislación de protección de datos. Sin embargo, a pesar de la existencia de bases legales que autorizan estas acciones afirmativas, existe un riesgo de incumplimiento de los derechos civiles y las libertades fundamentales de los interesados. El tipo de datos que se trata puede dar lugar a discriminación si cae en manos equivocadas, o incluso si personas bien intencionadas tratan la información sin tener en cuenta los principios de protección de datos. Por lo tanto, es prudente considerar la aplicación de las mejores prácticas de protección de datos en estos casos.

Aunque no es un requisito legal en virtud de la LGPD, se puede elaborar una Evaluación del Interés Legítimo (EIL) cuando se trate la información en virtud de un interés legítimo (artículo 7, IX). Esta evaluación verificará si los intereses perseguidos (en este caso, una acción afirmativa) son realmente legítimos, y si crean desequilibrios en detrimento de los interesados. Las autoridades de protección de datos, incluida la Oficina del Comisario de Información (ICO UK), han puesto a disposición plantillas y directrices de EIL.

En cambio, para las acciones afirmativas que tratan datos personales sensibles, la elaboración de una EIL no es una alternativa. Esto se debe a que la EIL está vinculada con el interés legítimo en particular, que no puede utilizarse para justificar el tratamiento de información sensible en virtud de la LGPD.

Por lo tanto, el paso adecuado es producir un Informe de Impacto de la Protección de Datos previsto en el artículo 38, LGPD (documentos similares también pueden ser llamados Evaluación de Impacto de la Privacidad). La Autoridad Brasileña de Protección de Datos ha puesto a disposición una plantilla que puede ser utilizada por los responsables del tratamiento, y autoridades europeas como el Grupo de Trabajo de Protección de Datos y la Agencia Española de Protección de Datos han publicado guías prácticas al respecto. Este Informe permite identificar y evaluar los riesgos del tratamiento, y diseñar medidas para mitigarlos. Por último, hay que establecer medidas de seguridad técnicas y administrativas adecuadas, preferiblemente de acuerdo con las mejores prácticas nacionales e internacionales en materia de protección de datos y seguridad de la información.

DESCARGAR ARTICULO