ALTRUISMO DE DATOS EN EL MARCO DEL REGLAMENTO EUROPEO DE GOBERNANZA DE DATOS, ¿UN ACIERTO O MEJORABLE?

1. Concepto y relevancia del altruismo de datos[Subir]

Por lo general, el término altruismo se refiere a una forma desinteresada de pensar y actuar o a una actitud benévola o solidaria, aunque hay desacuerdo sobre si esto también requiere cierta pérdida o sacrificio por parte del cedente o contribuyente (‍Poma Choque, 2022: 9; ‍Luks, 1988: 39). Para los fines del presente trabajo, nos parece oportuno suponer que esto no tiene por qué ser necesariamente el caso. Por tanto, el altruismo como tal se suele mencionar al mismo tiempo que otras características positivas con las que nacemos los seres humanos como seres sociales, por ejemplo, ayudar a los demás, ser solidario, compasivo o también generoso (‍Morán Astorga et al., 2014: 444). El abordaje de las cuestiones altruistas y del concepto de altruismo se remontan a finales del siglo xix, cuando el filósofo francés Auguste Comte trató por primera vez ampliamente este concepto (‍Poma Choque, 2022: 6). Aunque en ocasiones se atribuye a Comte la definición del altruismo como el «conjunto de las inclinaciones benevolentes de un individuo» (véase, por ejemplo‍, Poma Choque, 2022: 6; ‍Dufal, 2020: 173), no existe ninguna constatación literal de ello en su obra, a pesar de que la perspectiva de esta sugiere que pudo haber sostenido este sentido (‍Comte, 1852: 9, 31, 88, 159).

Ciertamente, el concepto altruismo adquiere gran importancia en todos los ámbitos de nuestra sociedad actual, donde encontramos actitudes y conductas individualistas (‍Maceri, 2020: 92), por lo que, en general, debería prestarse más atención al comportamiento cooperativo y no egoísta. Las cooperativas de datos también están adquiriendo cada vez más importancia y ya formaban parte del ideario antes de que se aprobaran reglas con respecto al altruismo de datos en el RGD (‍Pastor Sempere, 2022: 13, 20). Asimismo, aunque estas persigan intereses similares, no deberían equipararse a las organizaciones altruistas de datos. Si trasladamos la interpretación que ha sido mencionada con anterioridad al término altruismo de datos, podemos concebirlo como la puesta a disposición o el tratamiento de datos de forma desinteresada y, por tanto, solidaria. En este sentido, cabe mencionar el concepto de donación de datos, que suele utilizarse como voz sinónima, puesto que también implica una actitud altruista o desinteresada debido al elemento donativo, es decir, a la transferencia gratuita de datos.

El comportamiento altruista en relación con los datos es concebible y puede tener sentido en casi todos los ámbitos de nuestra sociedad digital. Tanto en la práctica como en el (escaso) debate académico sobre esta temática, las consideraciones altruistas sobre los datos parecen crear especial interés sobre todo en el contexto sanitario (véase, por ejemplo, las muy interesantes observaciones de ‍Sánchez García, 2023: 69). Por un lado, resulta comprensible, ya que una base de datos mejorada —independientemente del origen de los datos— puede conducir con rapidez a una notable simplificación de la investigación farmacéutica y médica y a una mejora de la atención sanitaria (véanse, por ejemplo, ‍Bernardi et al., 2023: 2, 14; ‍Stausberg y Harkener, 2023: 25, 26). Al mismo tiempo, esta tendencia también es motivo de preocupación. El altruismo de datos también despliega su potencial en otros ámbitos en los que las cuestiones de big data desempeñan un papel (pensemos, por ejemplo, en los datos abiertos). En otras áreas donde se generan potencialmente múltiples conjuntos de datos interesantes, también se abren perspectivas para la reutilización de esos datos en proyectos de interés comunitario y de innovación. Conforme avanza la digitalización y crece la disponibilidad de datos, el sector educativo podría ser solo un ejemplo de cómo las iniciativas de altruismo de datos podrían tener un impacto significativo, particularmente en áreas como la investigación sobre aprendizaje y atención. No obstante, es crucial considerar las complejidades legales relacionadas con la protección de datos en el sector educativo (véase, por ejemplo‍, Arenas Ramiro y Ortega Giménez, 2021). Sin embargo, resulta poco probable que los conceptos de altruismo de datos se establezcan a gran escala en estos ámbitos a corto plazo. En cambio, el proyecto español DATALOG de la Associació Dades pel Benestar Planetari de Barcelona es actualmente la única organización de altruismo de datos reconocida en la Unión Europea. Este proyecto se analizará con más profundidad más adelante en este artículo y podría ser un rayo de esperanza.

A nivel internacional, los enfoques y conceptos del altruismo de datos están constituyendo objeto de debate del discurso jurídico y de la ciencia del derecho. En el ámbito sanitario, en particular, las ventajas del altruismo de datos (por ejemplo, para la investigación) se están debatiendo tanto dentro como fuera de la Unión Europea (véanse, por ejemplo, ‍Lalova-Spinks et al., 2023: 1; ‍Kibbe, 2016: 41; ‍Paseri, 2024: 137; ‍Gefen et al., 2020: 552).

2. Altruismo de datos en el marco del Reglamento de Gobernanza de Datos (RGD)[Subir]

Las medidas estructurales y una voluntad de amplio alcance para compartir datos son cruciales para el éxito del establecimiento del previsto mercado interior europeo de datos. Este proceso debería facilitar el camino para la utilización de datos jurídicamente seguros y transnacionales que no solo aporten beneficios económicos, sino que también respalden fines no lucrativos. Teniendo esto en cuenta, la Unión Europea ha adoptado un enfoque regulador del altruismo de datos en virtud del RGD. Su objetivo es contribuir a la creación de amplios conjuntos de datos que se pongan a disposición sobre la base del altruismo de datos. Se pretende así permitir el análisis transfronterizo y el aprendizaje automático dentro de la Unión. Las disposiciones del capítulo IV del RGD pretenden crear el marco jurídico para el altruismo de datos, reforzar la confianza mediante la creación de organizaciones reconocidas de altruismo de datos y ofrecer a los Estados miembros un margen de actuación para promover medidas en el ámbito del altruismo de datos. Sin embargo, el proyecto del nuevo RGD ha sido cuestionado desde su aprobación y anteriormente, ya que se temía que se produjera una excesiva regulación en lugar de la adopción de un sistema de incentivos para el altruismo en materia de datos (véase, por ejemplo‍, Veil, 2022: 4, 6). El 23 de junio de 2022 entró en vigor el RGD, que se aplica desde el 24 de septiembre de 2023. Actualmente, genera especial interés comprender cómo encajan sus requisitos en el marco jurídico vigente de la UE. En particular, la compatibilidad del tratamiento de datos personales con la legislación vigente en materia de protección de datos requiere un examen minucioso.

Los arts. 16 a 25 del capítulo IV del RGD están dedicados exclusivamente a la cesión altruista de datos. Sin embargo, el término altruismo de datos ya se define en el art. 2 n.º 16 RGD. El Reglamento de Gobernanza de Datos define el altruismo de datos como

Asimismo, resulta significativo explicar que el tratamiento de datos no solo debe responder a una motivación altruista, sino que también su organización debe perseguir una causa de la misma índole. Ello se recoge del art. 18 lit. c RGD, que establece que la entidad deberá «ejercer su actividad sin ánimo de lucro y ser jurídicamente independiente de cualquier entidad que ejerza su actividad con fines lucrativos» para poder inscribirse en un registro público nacional de organizaciones de gestión de datos con fines altruistas.

Resulta interesante también la cuestión de la evaluación del consentimiento de menores para la cesión de datos. Es razonable asumir que, en este sentido, las consideraciones existentes sobre el consentimiento de menores también serían pertinentes (véase, al respecto‍, Heras Vives, 2019: 75).

La Unión Europea ofrece una definición genérica del término altruismo de datos con el fin de abordar el extenso ámbito en el que se encuentra presente. Además del área evidente de la asistencia sanitaria, también se incluyen explícitamente otros retos actuales, en particular la lucha contra el cambio climático y la mejora de la movilidad. El legislador europeo tiende a abordar diferentes ámbitos en los que se incluyen aspectos importantes para la administración electrónica y la mejora de las oportunidades de la UE como centro de investigación e innovación, como la simplificación del tratamiento, la compilación y la difusión de estadísticas oficiales, la mejora de la prestación de servicios públicos, la toma de decisiones gubernamentales o la investigación científica de interés general. Sin embargo, los aspectos mencionados no son en absoluto una lista cerrada, como se desprende de su carácter ejemplar. Todos los ámbitos de aplicación tienen en común que se deben perseguir objetivos de interés general, especialmente en lo que respecta al refuerzo de la competitividad de los Estados miembros, tanto entre ellos como frente a terceros países. Sin embargo, todos los ámbitos de aplicación tienen en común que deben perseguir objetivos de interés general, sobre todo, en lo que respecta al refuerzo de la competitividad de los Estados miembros, tanto entre ellos como frente a terceros países. Los muy diferentes niveles de desarrollo de los distintos Estados miembros en materia de administración electrónica y datos abiertos han sido motivo de preocupación durante años (‍Cassio Santos et al., 2023: 56; ‍Xifré, 2023: 3) y hacen necesario considerar también opciones innovadoras de recopilación de datos para mejorarlos.

La definición del RGD también deja claro que el altruismo de datos puede referirse tanto a datos personales como no personales y, con los criterios de voluntariedad, gratuidad y persecución altruista de objetivos, establece otros requisitos que deben cumplirse para entrar en el ámbito de aplicación de las disposiciones del RGD. En cuanto al consentimiento como única forma admisible de tratar datos personales con fines altruistas en virtud del RGD, el art. 2 n.º 5 RGD remite al art. 4 n.º 11 RGPD. En consecuencia, el consentimiento es cualquier manifestación de voluntad libre, específica, informada e inequívoca del interesado por la que este, mediante una declaración o una clara acción afirmativa, manifiesta su acuerdo con el tratamiento de sus datos personales; también se aplican aquí los principios de consentimiento voluntario, específico, informado e inequívoco (véase el art. 4 n.º 11 RGPD).

Por ende, las disposiciones del RGD parecen ser especialmente relevantes para las organizaciones interesadas en utilizar datos recopilados o proporcionados para fines altruistas (ámbito de aplicación personal), tal como se detalla en el artículo. En concreto, estas organizaciones incluyen aquellas del ámbito de la investigación e innovación, así como aquellas que se encuentran en una posición transversal entre los objetivos de investigación y el bien común (como el proyecto DATALOG). Respecto del ámbito de aplicación espacial, las disposiciones mencionadas se aplican a organizaciones altruistas de datos sobre todo dentro de la Unión Europea que deseen obtener reconocimiento como tales. Según lo dispuesto en el RGD, no se especifica que estas organizaciones deban estar necesariamente ubicadas en la Unión Europea. Más bien, el art. 21 RGD establece requisitos particulares para la transferencia de datos a terceros países, lo cual sugiere que organizaciones altruistas de datos de terceros países podrían ser reconocidas por la UE, siempre y cuando cumplan con las normativas europeas. En cuanto al ámbito de aplicación personal, estas disposiciones afectan además tanto a dichas organizaciones como a las personas y entidades que deseen proporcionar datos personales o no personales para fines altruistas. En cuanto al ámbito temporal de aplicación, se puede mencionar su entrada en vigor el 23 de junio de 2022. No obstante, como se desprende de las siguientes explicaciones, no todos los Estados miembros han designado aún autoridades correspondientes para registrar organizaciones altruistas de datos, por lo que la fase de transición hasta la implementación efectiva de las disposiciones del RGD en todos los Estados integrantes de la UE podría prolongarse.

3. Marco normativo del RGD en materia de altruismo de datos y los elementos subjetivos y objetivos de la cesión[Subir]

El capítulo IV, dedicado al altruismo de datos, consta de un total de diez artículos independientes (art. 16-25 RGD), que conforman en gran medida su marco normativo. Se complementan, entre otras disposiciones, con las ya mencionadas definiciones del art. 2 RGD y las disposiciones relativas a las autoridades competentes y las disposiciones de procedimiento (capítulo V RGD), que se analizarán con más detalle en el curso posterior del presente estudio. El art. 16 RGD estipula que los Estados miembros de la Unión Europea podrán establecer disposiciones organizativas o técnicas, o ambas, para facilitar el altruismo de datos. En particular, los Estados miembros podrán establecer políticas nacionales de altruismo de datos que puedan servir para ayudar a los interesados a facilitar voluntariamente datos personales que obren en poder de organismos del sector público con fines de altruismo de datos.

Los respectivos Estados miembros deberán informar a la Comisión de dichas estrategias nacionales a medida que se desarrollen. El art. 17 RGD establece las bases para las actividades de los registros públicos de organizaciones de altruismo de datos reconocidas. En consecuencia, cada autoridad responsable debe mantener un registro nacional público de dichas entidades y actualizarlo periódicamente (art. 17.1 RGD). Además, la Comisión Europea mantiene, con fines informativos, un registro público de organizaciones de altruismo de datos reconocidas; las organizaciones correspondientes inscritas en el registro nacional también podrán hacer uso de la denominación «Organización de gestión de datos con fines altruistas reconocida en la Unión» y de un logotipo común en sus comunicaciones escritas y orales (art. 17.2 RGD).

Los arts. 18, 19 y 20 RGD aclaran en primer lugar los requisitos generales de registro y transparencia para las organizaciones de altruismo de datos reconocidas, que, al igual que las disposiciones de los arts. 21 y ss. RGD, se analizan en detalle en la sección III del presente trabajo.

En relación con los elementos objetivos y subjetivos de la cesión altruista de datos según las disposiciones del RGD, se pueden identificar diversos aspectos. Algunos de estos elementos resultan ambiguamente interpretables. Dependiendo de si consideramos como elementos subjetivos aquellos de naturaleza variable que afectan exclusivamente a condiciones y expresiones específicas, o bien aquellos que inusualmente se extienden también a hechos, se pueden distinguir diferentes interpretaciones.

En el ámbito objetivo, es relevante mencionar en primer lugar el intercambio de datos, definido en el art. 2.10 del RGD. No obstante, es importante señalar que dicho artículo sí hace referencia al «intercambio de datos», pero de forma voluntaria. Así, pretendemos identificar aquí un elemento que combina lo objetivo y lo subjetivo, surgido de la voluntariedad subjetiva y el intercambio objetivo de datos, atribuyendo así al elemento una dualidad conceptual. No obstante, también sería factible interpretar el «intercambio voluntario de datos» como un elemento puramente objetivo en la cesión altruista de datos, debido al énfasis en el aspecto objetivo del intercambio (como también opina ‍Sánchez García, 2023: 70). La cesión altruista de datos en sí misma (art. 2.16 RGD) puede analizarse a partir de elementos tanto objetivos como subjetivos. En el ámbito objetivo, resalta el tratamiento de datos personales como tal y el uso de datos no personales. Desde una perspectiva subjetiva, es crucial señalar que dicho tratamiento objetivo de datos personales debe contar con el consentimiento correspondiente, mientras que el uso de datos no personales requiere de una autorización. No obstante, este consentimiento y autorización poseen una dimensión objetiva en su naturaleza subjetiva, ya que deben ser otorgados de manera clara y verificable. Asimismo, desde una óptica subjetiva, es relevante que dichos métodos de procesamiento y uso ocurran bajo la premisa de llevarse a cabo sin ánimo de obtener una gratificación, con fines de interés general como la investigación científica o la mejora de los servicios públicos, entre otras.

1. Requisitos y obligaciones[Subir]

En principio, el RGD no contempla privilegios en materia de protección de datos para las organizaciones altruistas de datos. Su interés consiste en poder denominarse como una «organización de gestión de datos con fines altruistas reconocida en la Unión», utilizar un logotipo asociado y estar inscritas en los registros públicos pertinentes (art. 17.2 RGD). Ciertamente, puede afirmarse que su registro debe considerarse una medida de fomento de la confianza, que habría de facilitar la tarea de convencer a los ciudadanos para que cedan sus datos. Para su reconocimiento, la institución debe realizar en primer lugar una actividad altruista de datos tal como se define en el art. 18 RGD (véase art. 2 n.º 16 RGD). Además, debe tener personalidad jurídica con arreglo a la legislación nacional, operar sin ánimo de lucro y actuar con independencia jurídica de cualquier organización que persiga fines lucrativos, así como llevar a cabo actividades de altruismo de datos de tal manera que estén funcionalmente separadas de sus otras actividades (art. 18 RGD). Además, estas entidades deben tener en cuenta los demás requisitos del capítulo IV RGD, incluidas las disposiciones del reglamento, que es publicado por la Comisión de conformidad con el art. 22.1 RGD y debe incluir normas sobre los requisitos de información apropiados, los requisitos técnicos adecuados y los requisitos de seguridad, las denominadas hojas de ruta de comunicación y las recomendaciones sobre las normas de interoperabilidad pertinentes. El art. 20 RGD también establece otros requisitos de transparencia que deben cumplir las organizaciones de altruismo de datos reconocidas. Según el art. 20.1 RGD, esto incluye el registro completo y exacto de todas las personas a las que se ha dado la oportunidad de tratar los datos en posesión de esta organización de altruismo de datos reconocida, sus datos de contacto, el momento o la duración del tratamiento o el uso de los datos, los fines del tratamiento y los honorarios pagados por las personas que tratan los datos. Además, las organizaciones de altruismo de datos deben elaborar un informe anual de actividades y presentarlo a la autoridad competente (art. 20.2 RGD). A continuación, el art. 21 RGD regula los requisitos especiales para la protección de los derechos e intereses de los interesados y los titulares de los datos en relación con sus datos y, por tanto, establece otras normas para el tratamiento de datos personales y no personales. El registro como organización reconocida de altruismo de datos es, por tanto, voluntario y no constituye un requisito previo para la actividad de altruismo de datos en sí (véase el considerando 46.2). Las organizaciones de altruismo de datos también pueden ser servicios de intermediación de datos en el sentido del RGD, por lo que en este caso también deberán tenerse en cuenta los requisitos del capítulo III RGD.

2. Supervisión de organizaciones de gestión de datos con fines altruistas[Subir]

Según el art. 23.1 RGD, en cada Estado miembro deben designarse una o varias autoridades responsables de las organizaciones altruistas de datos. Estas también pueden ser autoridades competentes para los servicios de intermediación de datos (art. 26.1 RGD). Dado que el art. 26.1 RGD no exige necesariamente la creación de nuevas autoridades, la transferencia de tareas a las autoridades nacionales existentes, como las autoridades de protección de datos, también es una opción. Además, el art. 26 RGD establece otros requisitos para las autoridades competentes y el cumplimiento de sus funciones. Deben ser funcionalmente independientes y desempeñar sus tareas de manera imparcial, transparente, coherente y oportuna, así como garantizar la competencia leal y la no discriminación (art. 26.1 y 26.2 RGD).

Los responsables de su registro reconocidos deben verificarlo, llevarlo a cabo (art. 19.5 RGD) y supervisar el cumplimiento de los arts. 16 y ss. RGD (art. 24 RGD). En caso de incumplimiento persistente de las normas, el art. 24.5 RGD estipula que la organización de altruismo de datos reconocida pierde su derecho a designarse como tal y también es eliminada de los registros públicos pertinentes a escala nacional y de la Unión. Por lo tanto, se cancelaría su estatus.

Tanto el texto español como el alemán de la norma emplean en este contexto alternativamente los términos «registro» e «inscripción» y son, por tanto, imprecisos o equívocos a este respecto. El texto inglés pertinente de la norma se refiere consistentemente a registration —al igual que el texto francés: enregistrement—, por lo que no deberíamos enfrentarnos a ningún reto insuperable a la hora de interpretar el texto de la norma y cabe suponer que la discrepancia etimológica entre «registro» e «inscripción» no debería tener ningún significado jurídicamente relevante.

Las competencias de las autoridades de protección de datos no se ven afectadas por las disposiciones del RGD (art. 1.3 RGD y su considerando 51), en virtud de las cuales el art. 23.3 RGD establece que la autoridad responsable del registro de las organizaciones altruistas de datos desempeña sus funciones en cooperación con la autoridad de protección de datos pertinente.

Así pues, el RGD crea un marco de gobernanza para las actividades de altruismo de datos y se basa en la creación de transparencia y confianza, lo que debería contribuir a capacitar a las personas y organizaciones en términos de acceso, control, intercambio, uso y reutilización de datos (considerando 5). Dado que esto también excluye el empleo remunerado según las ideas de la UE (véase el considerando 46), se plantea la cuestión de cómo estas entidades pueden cumplir los requisitos exhaustivos en la práctica y si el incentivo deseado puede crearse realmente mediante el registro y la designación. En abril de 2024, dieciséis de los veintisiete Estados miembros de la Unión Europea aún no habían notificado a ninguna organización o autoridad competente de conformidad con los arts. 7, 13 o 23 RGD (‍Comisión Europea, 2024).

Tres Estados miembros han notificado al menos a una autoridad u organismo y solo ocho han notificado tanto al organismo competente respectivo en virtud del art. 7 de la DGA como a las autoridades nacionales competentes en virtud de los arts. 13 o 23 RGD (‍Comisión Europea, 2024). En la siguiente tabla se pueden consultar los organismos y autoridades competentes de conformidad con los arts. 7, 13 y 23 RGD:

1. Relación entre el RGD y el RGPD[Subir]

RGPD y RGD se complementan en lo que respecta a las condiciones en las que los datos personales pueden tratarse con fines no lucrativos. Dentro del RGD, el art. 1.3 normaliza inicialmente que las disposiciones de la Unión y nacionales sobre protección de datos personales se aplicarán a todos los datos personales tratados en relación con el RGD, que el RGPD en particular se aplicará sin perjuicio del RGD y que, en caso de conflicto, el RGPD prevalecerá sobre las disposiciones del RGD. Además, la primera frase del considerando 4 establece que el RGD no afectará a las disposiciones del RGPD. A su vez, tanto el art. 1.3 RGD como el considerando 4 dejan claro que el RGD no crea una base jurídica independiente o nueva para el tratamiento de datos personales, ni afecta a los derechos y obligaciones derivados del RGPD.

Por muy clara que pueda parecer a primera vista esta distinción entre ambos actos jurídicos, resulta aún menos clara cuando se intenta armonizar las disposiciones de RGD y RGPD. En particular, las deficiencias técnicas del RGD dan lugar a ambigüedades y dificultan la interpretación del texto de la norma. A veces se plantea la cuestión de si el legislador se ha desviado deliberadamente de los requisitos del RGPD con la redacción del RGD y, por tanto, ha querido establecer una normativa más específica para el altruismo de datos, si se trata de una denominación errónea no intencionada y, por tanto, irrelevante, o si existe un verdadero conflicto entre el RGD y el RGPD, de modo que las disposiciones del RGPD prevalecerían en virtud del art. 1.3 RGD.

2. Base jurídica del tratamiento de datos[Subir]

Dado que el RGD no crea expresamente una base jurídica independiente para el tratamiento de datos personales (véase el art. 1.3 RGD, así como el considerando 4), la licitud del tratamiento se rige (como anteriormente) por las disposiciones de los arts. 6 y 9 RGPD. Además del consentimiento (art. 6.1 o art. 9.2 RGPD), también podría considerarse el tratamiento basado en un fundamento jurídico distinto, como por ejemplo en el caso de la necesidad del tratamiento de datos para la ejecución de un contrato en el que el interesado es parte (art. 6.1 lit. b RGPD). Sin embargo, esta opción queda descartada debido a la redacción expresa del art. 2 n.º 16 RGD, que requiere siempre el consentimiento expreso del interesado. Por su parte, el tratamiento de datos con fines benéficos sí puede seguir basándose en los motivos de justificación del RGPD, aunque en este caso no se permite que la organización se registre como una entidad reconocida de altruismo de datos. En el caso de que dicha designación facilite la confianza con los interesados, podrían gestionar los datos a través del consentimiento previo. Asimismo, se han de cumplir otros requisitos del RGPD que se encuentran establecidos por la legislación que ampara la protección de datos.

3. Retos fundamentales en torno al consentimiento[Subir]

El RGPD establece que el consentimiento para el tratamiento de datos personales con uno o varios fines específicos debe darse de manera voluntaria, informada e inequívoca (véanse los arts. 4 n.º 11, 6.1 y 7.1 RGPD). Las obligaciones de información se definen con mayor detalle en los arts. 13 y 14 RGPD, y los demás derechos de los interesados en los arts. 15 y ss. RGPD.

Además, de conformidad con el art. 7.3 RGPD, existe el derecho a retirar el consentimiento en cualquier momento, lo que conlleva la inadmisibilidad del tratamiento ulterior de los datos personales. En consecuencia, las organizaciones altruistas de datos deben disponer de una gobernanza adecuada para excluir del tratamiento posterior aquellos datos afectados por la retirada y para poder suprimirlos. Mientras que el art. 7.3 RGPD se limita a estipular que la retirada debe ser tan sencilla como la concesión del consentimiento, el RGD va incluso más allá. Según el art. 21.3 RGD, la organización altruista de datos debe proporcionar herramientas para obtener el consentimiento o permiso y la retirada del consentimiento. Además, los reglamentos que aún deben promulgarse de conformidad con el art. 22 RGD pueden establecer otros requisitos relativos a la información que debe facilitarse, así como requisitos técnicos y de seguridad adecuados. La previsión del consentimiento como única vía para el tratamiento altruista de datos en el sentido del RGD también tiene como consecuencia que, en caso de revocación o ineficacia del consentimiento, queda excluida la invocación de otro motivo de tratamiento.

Especialmente en proyectos de investigación en el ámbito médico o científico, que por naturaleza están sujetos a desarrollos volátiles, pueden surgir desafíos con respecto al consentimiento que, en caso de duda, podrían resultar en la imposibilidad de utilizar datos recopilados para fines altruistas en la práctica sin obtener nuevamente el consentimiento. Esta situación claramente contradice el objetivo del legislador europeo, que originalmente buscaba mejorar el uso y procesamiento de datos para fines altruistas.

Sin embargo, en situaciones de conflicto, la prioridad del RGPD sobre el RGD conlleva la consecuencia burocrática de que un consentimiento específico debe ser renovado si el proyecto de investigación cambia, o si un consentimiento previamente otorgado pero no específicamente definido es inválido, a menos que esté relacionado con un tema de investigación específico. Por ejemplo, si un paciente consintiera abstractamente en el uso de sus datos para proyectos de investigación en oncología, este consentimiento conforme al RGD no sería suficientemente específico según los términos del RGPD.

Por otro lado, si el paciente consintiera tanto según las disposiciones del RGD como del RGPD en el procesamiento altruista de sus datos para un proyecto específico de investigación oncológica, cualquier cambio sustancial posterior en el proyecto o el desarrollo de un nuevo proyecto no permitiría utilizar sus datos sin obtener nuevamente el consentimiento según el RGPD. Esta renovación del consentimiento sería en muchos casos demasiado laboriosa e incluso en algunos casos imposible, lo que dejaría sin efecto el propósito original de la cesión altruista de datos.

4. Principios generales del tratamiento de datos[Subir]

Los principios de limitación de la finalidad, limitación del almacenamiento y minimización de datos normalizados en el art. 5 RGPD están en conflicto con el objetivo del tratamiento altruista de datos. Los requisitos de limitación de la finalidad establecidos en el art. 5.1 RGPD estipulan que el tratamiento solo puede llevarse a cabo para fines específicos, explícitos y legítimos. Sin embargo, si los datos se facilitan con fines altruistas, puede que no quede claro para cuántos y qué fines específicos se tratarán en el futuro. Existen privilegios legales tanto para fines de archivo de interés público, como para fines de investigación científica, histórica o para fines estadísticos. Esto puede explicar determinados fines altruistas de los datos en el sentido del RGD. Sin embargo, los requisitos exactos para la especificidad del consentimiento siguen sin estar claros incluso en estos casos. Así, por ejemplo, no se permite la concesión inespecífica del consentimiento para «fines de interés general». Conceptos como broad consent o dynamic consent podrían ofrecer una solución en este caso (véase ‍Muller et al., 2023: 2; ‍Wenchao y Nannan, 2024: 159), pero su admisibilidad aún no se ha evaluado jurídicamente de forma concluyente (‍Rachut, 2024: 248 y ss.). Siempre pueden surgir más dificultades si una finalidad de tratamiento es altruista en el sentido del RGD pero no está privilegiada por el RGPD, lo que da lugar a requisitos de protección de datos diferentes. Sin embargo, en el debate académico sobre la disposición (individual) a la hora de facilitar datos, tanto personales como no personales, se reconoce adecuadamente que la cesión de datos para fines socialmente relevantes se enfrenta cada vez más a reacciones de rechazo por falta de información (‍Wenzel y Scherer, 2023: 5, 9, 38). Esta actitud podría ser síntoma de nuestro tiempo, pues podría aplicarse a un tratamiento con fines diferentes. En un principio, se aplicarían las disposiciones del art. 6.4 RGPD, aunque resulta cuestionable cómo debe entenderse el art. 21.2 RGD, que estipula que el tratamiento de datos no se llevará a cabo para fines distintos de aquellos de interés general para los que el interesado o el responsable autorizó. Esto supondría una restricción en comparación con las opciones disponibles en virtud del art. 6.4 RGPD (‍Rachut, 2024: 251).

Además, existen conflictos entre el objetivo del tratamiento integral de datos con fines altruistas y el art. 5.1 RGPD, que, como principios de limitación del almacenamiento y minimización de datos, estipulan que el tratamiento de datos debe limitarse al alcance necesario y temporal para su gestión (‍Rachut, 2024: 251).

En este punto, el RGD no abordó los problemas conocidos, no especificó los privilegios existentes en virtud del RGPD, ni proporcionó a las organizaciones reconocidas más privilegios, a pesar de que estas facilidades podrían suponer un incentivo para la actividad altruista de datos.

5. El formulario de consentimiento europeo común para el altruismo de datos[Subir]

El art. 25 RGD muestra que existe una conciencia fundamental de esta cuestión a nivel europeo. Está prevista la introducción de un formulario europeo de consentimiento para el altruismo de datos con el fin de reducir la inseguridad jurídica y, al mismo tiempo, aliviar la carga de las organizaciones de altruismo de datos sin ánimo de lucro. La Comisión lo adoptará previa consulta con el Consejo Europeo de Protección de Datos y teniendo en cuenta las recomendaciones de otras partes interesadas, y permitirá obtener el consentimiento para la protección de datos en todos los Estados miembros en un formato normalizado, arts. 25.1 y 25.2 RGD. Contrariamente al término «formulario de consentimiento», esto debería aplicarse también a la autorización para tratar datos no personales. En este caso, debe tenerse en cuenta que los requisitos para esta autorización no se derivan del RGPD, sino exclusivamente del RGD.

Sorprendentemente, el formulario de consentimiento europeo no está vinculado a una finalidad de tratamiento específica, sino a la operación de tratamiento individual. Esto puede considerarse una nueva desviación del RGPD o un (renovado) descuido editorial.

Para tener en cuenta la complejidad y heterogeneidad del tratamiento altruista de datos, el formulario de consentimiento europeo debe tener una estructura modular y, por tanto, ser adaptable a diferentes sectores y fines, art. 25.2 RGD. Además de conceder el consentimiento o la autorización, también debería ser posible retirar el consentimiento utilizando este formulario, art. 25.3 RGD. Según el art. 25.4 RGD, el formulario deberá ser comprensible y podrá ser obtenido de forma impresa o mediante formato electrónico. El art. 25 RGD no contiene más especificaciones, por lo que hasta ahora solo existe una vaga idea del formulario de consentimiento europeo.

Por prometedor que parezca el planteamiento de una solución de consentimiento normalizada, fiable y jurídicamente segura utilizando este formulario, el organismo emisor carece de un aspecto crucial: la competencia en materia de protección de datos. Aunque el art. 25.1 RGD prevé la consulta al Consejo Europeo de Protección de Datos, esto no garantiza que el formulario en sí o su uso en casos individuales dé lugar a un consentimiento que cumpla la ley de protección de datos en el sentido del RGPD. Además, el uso del formulario de consentimiento europeo no da lugar a ninguna ficción o presunción de licitud del consentimiento. Ya en el marco de la introducción del RGPD, la implementación de los principios de licitud y seguridad del tratamiento de datos, así como del consentimiento del interesado, representó una de las novedades más importantes (‍Ortega Giménez, 2018: 2). La importancia de estos factores se subraya ahora claramente en el marco de la regulación del altruismo de datos. Las autoridades de protección de datos y los tribunales competentes siguen estando autorizados para comprobar la admisibilidad conforme a la legislación sobre protección de datos. El formulario de consentimiento europeo elaborado por la Comisión no ofrece ninguna salvaguardia a este respecto y, en el peor de los casos, podría incluso dar lugar a que el consentimiento se maneje de forma demasiado descuidada, perjudicando en última instancia el proyecto de altruismo de datos. Por tanto, que el formulario de consentimiento europeo sea un éxito depende en gran medida de una mayor coordinación entre la Comisión y las autoridades de protección de datos, así como de su aplicación real en la práctica. Sin embargo, no podrá ofrecer la esperada solución rápida y fácil a la compleja cuestión del consentimiento.

El consentimiento como base para el tratamiento de datos personales con fines altruistas va acompañado de ciertos retos que han sido reconocidos, pero no resueltos, por el legislador europeo. Por ejemplo, aún no está claro cómo puede configurarse de manera significativa el consentimiento para el altruismo de datos, qué requisitos se imponen a la especificidad de la finalidad y cómo han de cumplir las organizaciones altruistas de datos los requisitos, a veces paralelos, del RGPD y RGD si no se les permite perseguir una finalidad lucrativa y, por tanto, no pueden aportar los recursos financieros correspondientes para cumplir estos complejos requisitos.

6. Disposiciones y similitudes presentes en el RGD y RGPD[Subir]

El RGD y el RGPD contienen disposiciones idénticas en algunos aspectos, aunque sus requisitos difieren en lo que respecta al tratamiento de datos personales, ya que el RGD complementa las obligaciones ya existentes en el RGPD.

Las normas estandarizadas en el capítulo IV del RGPD se aplican, en principio, a todos los datos —personales o no personales—, por lo que aquellos que no estaban salvaguardados o lo estaban, pero en menor medida, sí se encuentran sujetos a dicha protección. Según este contexto, los arts. 20 y siguientes del RGPD significan, por un lado, que los datos personales solo pueden ser tratados por una organización reconocida de altruismo de datos sujeta a requisitos aún más estrictos y, por otro, que los datos no personales están sujetos a un nivel de protección más elevado que los datos personales en general en caso de tratamiento de altruismo de datos. Esto podría verse como una normalización de los requisitos y, por tanto, un medio para reducir la complejidad, o como un paradójico exceso de regulación.

Tanto el suministro como el tratamiento de datos personales con fines altruistas ya eran posibles antes del RGD. Este reglamento establece el marco jurídico para el tratamiento de datos autorizados y lo flexibiliza en determinados ámbitos, por ejemplo, para su gestión con fines de investigación. Sin embargo, el RGD no aborda las incertidumbres existentes en el marco del RGPD y, por lo tanto, no reduce los obstáculos para las actividades altruistas de datos. Al contrario, el RGD restringe aún más las posibilidades que ofrece el RGPD: por un lado, la estrecha definición limita el altruismo de datos al tratamiento de datos personales sobre la base del consentimiento; por otro lado, el RGD amplía el catálogo existente de obligaciones de las organizaciones altruistas de datos en virtud del RGPD y, por lo tanto, aumenta el esfuerzo requerido para las actividades altruistas de datos.