LA INCONSTITUCIONAL HABILITACIÓN A LOS PARTIDOS POLÍTICOS PARA RECABAR DATOS SOBRE OPINIONES POLÍTICAS. COMENTARIO A LA STC 76/2019, DE 22 DE MAYO

1. El origen del conflicto. La disposición final 3.ª de la LOPDGDD[Subir]

Los partidos políticos, las asociaciones, las federaciones o las agrupaciones electorales que median en los procesos de participación política necesitan tratar información personal para desarrollar su actividad diaria. Datos de todo tipo, desde los más instrumentales, como pueden ser los necesarios para la gestión de sus empleados (v. gr., nóminas), hasta los contenidos en el censo electoral^‍‍[6], pasando por otro tipo de informaciones, imprescindibles para ordenar el funcionamiento ordinario de la organización, como son las relativas a proveedores o militantes. Ahora bien, entre los datos que tratan, no todos poseen la misma enjundia, ni se les aplica el mismo régimen de protección. No todos tienen la misma capacidad de afectación de los derechos fundamentales.

El ejemplo más paradigmático es el registro de los afiliados, que contiene una información especialmente sensible por cuanto revela la orientación ideológica de quienes figuran en él. Este registro es muy anterior a la era digital, ahora bien, la emergencia de esta y la consiguiente automatización del tratamiento de los datos personales han supuesto un aumento de los riesgos para los derechos fundamentales (Troncoso Reigada, A. (2010). La protección de datos personales. En busca del equilibrio. Valencia: Tirant lo Blanch.‍Troncoso Reigada, 2010: 32), debido a la mayor inmediatez y capacidad de procesamiento de información que la tecnología posibilita.

Para afrontar los peligros que el tratamiento automatizado de la información genera ha de atenderse a la naturaleza de los datos con los que se opera. En nuestro ordenamiento jurídico, las «opiniones políticas» son incluidas en una de las categorías de datos especiales^‍‍[7], es decir, tipologías de «datos personales que, por su naturaleza, son particularmente sensibles en relación con los derechos y las libertades fundamentales»^‍‍[8]. Esa potencial capacidad de afectación e incidencia sobre los derechos fundamentales es la que, en última instancia, justifica que los datos especiales tengan un régimen de protección específico y mucho más reforzado (Zarsky, T. Z. (2017). Incompatible: The GDPR in the age of big data. Seton Hall Law Review, 47 (4), 995-1020. Disponible en:  https://ssrn.com/abstract=3022646‍Zarsky, 2017: 1012), al punto de ser la prohibición de su tratamiento la regla, admitiéndose su excepción solo cuando concurra alguna de las circunstancias previstas en el apdo. 2 del art. 9 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos) (en adelante, RGPD). Esta norma europea remite, en no pocas ocasiones, «al derecho nacional para determinar el alcance último de los límites y posibilidades de los tratamientos, […] [constatándose, así,] que el RGPD tiene alma de Directiva, habida cuenta de la libertad que confiere a los Estados para culminar la regulación de determinados aspectos» (Medina Guerrero, M. (2019). Categorías especiales de datos. En A. Rallo Lombarte (dir.). Tratado de protección de datos actualizado con la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (pp. 251-273). Valencia: Tirant lo Blanch.‍Medina Guerrero, 2019: 256).

Retomando el ejemplo del registro de los afiliados, los partidos pueden tratar esas informaciones —cuando cuenten con la imprescindible base de legitimación para ello^‍‍[9]— siempre que se circunscriban al «ámbito de sus actividades legítimas y con las debidas garantías […] [y] que el tratamiento se refiera exclusivamente a los miembros actuales o antiguos»^‍‍[10]. Es decir, solo cuando se produzca alguna circunstancia que enerve la prohibición de tratar datos referidos a opiniones políticas, los partidos podrán gestionar este tipo de información.

El tratamiento de datos especiales demanda unas cautelas adicionales, además de estar jurídicamente acotado a supuestos muy concretos. De hecho, en la relación de circunstancias que habilitan el tratamiento de datos especiales se incluyen, expresamente, aquellas en las que «el tratamiento es necesario por razones de un interés público esencial»^‍‍[11]. Esta fue la percha utilizada por el legislador español para permitir a los partidos políticos «la recopilación de datos personales relativos a las opiniones políticas de las personas»^‍‍[12].

Junto con la apuntada recopilación de datos personales (cuestión a la que se prestará especial atención por ser el objeto de la sentencia comentada), la disposición final tercera de la LOPDGDD^‍‍[13] regula, mediante la incorporación del art. 58 bis a la LOREG^‍‍[14], toda una serie de supuestos relativos al tratamiento y uso de información por parte de los partidos políticos, coaliciones y agrupaciones electorales. En su apdo. 2 posibilita que los partidos y demás entidades mencionadas puedan utilizar datos personales —en general, no solo los referidos a opiniones políticas— siempre que consten en «páginas web y otras fuentes de acceso público», es decir, aquellos que cumplan con el principio de transparencia y que sean datos hechos manifiestamente públicos por el interesado. Empero, se instituyen dos límites: a) el tratamiento ha de tener como finalidad «la realización de actividades políticas» y b) solamente se podrá realizar «durante el período electoral».

Abundando en la misma dirección regulatoria, el apdo. tercero del art. 58 bis establece un régimen particularizado para la propaganda electoral. La excluye de los supuestos sometidos a la regulación relativa a las comunicaciones comerciales^‍‍[15], tanto en lo referente a su «envío […] por medios electrónicos» como en lo que respecta a su «contratación […] en redes sociales o medios equivalentes».

Finalmente, los apdos. cuarto y quinto imponen a los actores electorales dos obligaciones: informar «de modo destacado» sobre la naturaleza electoral de los envíos y actuaciones de propaganda (apdo. 4), y facilitar el ejercicio del derecho de oposición por los ciudadanos «de un modo sencillo y gratuito» (apdo. 5). Ante la falta de mayor precisión normativa, cabe entender que el ejercicio del derecho de oposición procederá no solo frente a los envíos de propaganda electoral, sino, también, ante el tratamiento de datos del apdo. 2 del art. 58 bis^‍‍[16].

Por su parte, el apdo. primero del art. 58 bis —el apartado sobre cuya constitucionalidad se pronuncia TC— invoca la existencia de un interés público que, sin embargo, no identifica. La remisión a ese interés público necesitado de salvaguarda conecta el tratamiento de datos previsto en ese apdo. primero con la circunstancia habilitante para el tratamiento de datos especiales del 9.2.g) del RGPD^‍‍[17]. No obstante, en este último precepto se exige un interés público «esencial», lo que indica que el parámetro es más exigente y demanda de una mayor concreción. Por si no fuese razón suficiente, la legislación española establece que el tratamiento ha de derivar «de una competencia atribuida por una norma con rango de ley» (art. 8.2 LOPDGDD), con las garantías que ello requiere en cuanto a configuración y contenido. En definitiva, es imperativo para el legislador precisar qué interés público «esencial» justifica la injerencia en el derecho a la protección de datos. No basta una razón general.

Ahora bien, el legislador español no solo se apoyaba en lo dispuesto en el art. 9.2 del RGPD al reconocer esa atribución a los partidos políticos. También estaba acogiéndose a la habilitación que el RGPD hace a los legisladores nacionales en el considerando 56^‍‍[18]. Este abre la puerta —que no obliga a traspasar— para que los partidos políticos, «en el marco de actividades electorales» y cuando «el funcionamiento del sistema democrático» lo exija, puedan recopilar «datos personales sobre las opiniones políticas de las personas». El legislador español tampoco se ha molestado de identificar, aunque fuese de forma orientativa y genérica, qué se entiende por «funcionamiento del sistema democrático» a los efectos de estimar que los partidos políticos puedan recabar las opiniones políticas de los ciudadanos.

El legislador español no es el único que ha regulado esta cuestión. En el Reino Unido —donde está acreditado que Cambridge Analytica realizó actuaciones tendentes a influir en el resultado final del brexit^‍‍[19]— la Data Protection Act 2018 permite a los partidos políticos operar con datos que revelen opiniones políticas, siempre que sea necesario para el ejercicio de sus actividades^‍‍[20]. No obstante, las posibilidades de actuación de los partidos ingleses no son incondicionadas. Así, no podrán llevar a efecto tratamientos que puedan causar daño a una persona o que le afecten de tal modo que le generen una angustia sustancial (substantial distress)^‍‍[21], ni tampoco cuando el interesado se haya opuesto, mediante una notificación por escrito, a que se traten sus datos^‍‍[22].

El elemento diferenciador da la regulación británica es que —a diferencia del apdo. uno del art. 58 bis— sí establece una definición de lo que son actividades políticas, entre las que incluye: campañas, recaudación de fondos, encuestas políticas y el trabajo de casos^‍‍[23]. El grado de concreción importa cuando se regulan las posibilidades de tratamiento de información personal.

2. La Agencia Española de Protección de Datos y su intento de enderezar y clarificar el precepto[Subir]

El precepto objeto de estudio, singularmente su apdo. primero, dio lugar a una importante polémica y fue motivo de preocupación, incluso, antes de su aprobación definitiva en el Senado. En los días previos, especialistas en privacidad^‍‍[24] y medios de comunicación advirtieron sobre los riesgos que, para la privacidad, implicaba la disposición final tercera. Sobre todo, apercibieron de los peligros que podía suponer consentir que las organizaciones políticas pudiesen llegar a elaborar perfiles de los ciudadanos, de sus orientaciones y preferencias políticas y electorales. Especialmente, cuando dicha posibilidad se fundaba en una previsión con un elevado grado de indeterminación.

La Agencia Española de Protección de Datos (en adelante, AEPD) publicó, el mismo día en que se votaba la LOPDGDD^‍‍[25], una nota informativa en la que señalaba cuáles serían sus criterios a la hora de afrontar la resolución de cuestiones electorales^‍‍[26]. Pese al pronunciamiento de la AEPD, y al informe —más pormenorizado— publicado días después^‍‍[27], las dudas sobre la constitucionalidad del precepto persistieron. Entre otras razones porque la interpretación de la AEPD era solo una de las posibles y nada garantizaba que ese criterio se fuese a sostener en el tiempo.

Para tratar de despejar las inseguridades jurídicas del precepto^‍‍[28] —especialmente sus lagunas— y paliar, interpretativamente, los riesgos y carencias del art. 58 bis, especialmente de su apdo. primero, la AEPD publicó la Circular 1/2019, de 7 de marzo, de la Agencia Española de Protección de Datos, sobre el tratamiento de datos personales relativos a opiniones políticas y envío de propaganda electoral por medios electrónicos o sistemas de mensajería por parte de partidos políticos, federaciones, coaliciones y agrupaciones de electores al amparo del art. 58 bis de la Ley Orgánica 5/1985, de 19 de junio, del Régimen Electoral General.

La AEPD no trataba de realizar algo que, como es obvio, le está vedado —solventar la constitucionalidad de la ley—, sino que buscaba ofrecer seguridad y garantías en su aplicación. Para ello estableció los criterios que iba a seguir en sus actuaciones, de manera tal que los tratamientos de los partidos políticos que no se acomodasen a lo dispuesto en la circular serían objeto de fiscalización por la AEPD. No podía resolver el entuerto generado por el legislador en el art. 58 bis, pero sí paliar sus efectos.

En aras de lograr este objetivo, la circular define qué ha de entenderse por «actividades electorales», acotándolas a las llevadas a cabo «durante el período electoral y respecto de las actividades de propaganda y actos de campaña electoral» (art. 4.1 de la circular). Por lo tanto, considera que ambos momentos son coincidentes en cuanto a su extensión^‍‍[29], de suerte que solo dentro de ese marco temporal pueden los partidos políticos efectuar este tipo de tratamientos. Además, precisa que los partidos políticos solo podrán recabar aquellas opiniones políticas que hubiesen sido «libremente expresadas» (art. 5.1 de la circular) y obtenidas de fuentes de acceso público^‍‍[30] (art. 5.3 de la circular).

A estas matizaciones ha de adicionarse la incorporación de un completo catálogo de garantías (art. 7 de la circular) y un conjunto de indicaciones acerca de cómo y cuándo procede adoptar cada una de las medidas dirigidas a asegurar un tratamiento de datos personales respetuoso con los derechos y libertades constitucionales (art. 9 de la circular). La disposición comentada también refuerza las exigencias de información (art. 8 de la circular) y excluye la opción de tratar «otro tipo de datos personales» cuando el objetivo último del tratamiento sea «inferir^‍‍[31] la ideología política de una persona» (art. 5.2 de la circular).

Al descartar la posibilidad de colegir, a través de técnicas de tratamiento masivo de datos e inteligencia artificial, la tendencia ideológica de una persona, el propósito de la AEPD es meridiano: cortar de raíz uno de los peligros más relevantes del big data aplicado a los escenarios políticos y electorales: la distorsión del ejercicio del derecho al voto, al alterar la libre formación de la voluntad. La misma razón explica, también, la prohibición del microtargeting (art. 6 de la circular). La AEPD actuó con celeridad, valiéndose de los instrumentos jurídicos a su alcance para tratar de ofrecer seguridad, mediante la concreción de lo dispuesto en el art. 58 bis. Con su circular descartaba eventuales interpretaciones que pudiesen suponer una amenaza cierta para el normal discurrir de los procesos electorales^‍‍[32].

Por muy oportunas que pudieran ser las medidas adoptadas, por reseñables que sean las salvaguardas que la circular establece, ello no cambia su naturaleza infralegal. Ni la circular, ni ninguna disposición de la AEPD pueden, como es obvio, sanar los vicios de inconstitucionalidad de una ley. Con todo, no puede negarse que es un complemento útil. En la actualidad, y declarada la inconstitucionalidad del apdo. primero del art. 58 bis, sigue siendo aplicable a los demás apartados de ese precepto. Especialmente apropiadas son las indicaciones que realiza respecto de la ejecución de la comunicación de propaganda electoral por medios electrónicos.

3. El apartado primero del 58 bis llega al Tribunal Constitucional[Subir]

Las dudas surgidas en torno a la constitucionalidad de la disposición final tercera (mediante la que se añade el art. 58 bis a la LOREG) hicieron que los consensos y la sintonía, que hasta entonces habían presido la elaboración y tramitación de la LOPDGDD, se quebrasen. Recordemos que varios senadores, conscientes del aumento de las voces críticas sobre el contenido del precepto, votaron, finalmente, en contra de su aprobación.

No obstante, no fueron ni diputados ni senadores quienes, al amparo de la legitimación que constitucionalmente se les confiere (art. 162.1.a CE), impugnaron el precepto ante el Tribunal Constitucional^‍‍[33], sino el Defensor del Pueblo^‍‍[34]. Tomando en consideración la naturaleza del problema y las solicitudes ante él presentadas, interpuso un recurso de inconstitucionalidad contra el apdo. primero del art. 58 bis^‍‍[35]. Si bien es cierto que, en los escritos que se le remitieron se incluían otros apartados del precepto (p. ej., 2 y 3), en los que los solicitantes apreciaban carencias y problemas equiparables a los del apdo. primero^‍‍[36].

El recurso de inconstitucionalidad fue resuelto con una inusual celeridad^‍‍[37], como si el Tribunal Constitucional se dejase llevar por los dictados de la era de la inmediatez en la que estamos inmersos y tan relacionada con el objeto del asunto. El 22 de mayo de 2019, apenas tres meses después de haberse registrado el recurso, el pleno, por unanimidad, despejó las dudas jurídicas que se habían suscitado sobre la constitucionalidad del apdo. 1 del art. 58 bis.

4. Un precepto y muchos interrogantes[Subir]

El art. 58 bis había generado diversos interrogantes jurídicos. Desde la posible afectación de la libertad ideológica y el derecho de participación hasta la insuficiente justificación de su base de legitimación, pasando por la ausencia de garantías y la consiguiente vulneración del derecho ex art. 18.4 CE.

Para el Tribunal Constitucional, que, en este punto, asumió la tesis del demandante^‍‍[38], el nudo gordiano consistía en determinar si el transcrito apdo. 1 del art. 58 bis reunía los requisitos y garantías imprescindibles para justificar —y hacer constitucionalmente asumible— esa injerencia en el derecho fundamental a la protección de datos. O si, por el contrario, dicho precepto vulneraba su contenido constitucionalmente protegido, incluida la reserva de ley del 53.1 CE.

La transcendencia de este motivo de impugnación se evidencia en el hecho de que, una vez constatada la inconstitucionalidad del precepto por esta causa, el TC consideró innecesario analizar el resto de los argumentos alegados por el Defensor del Pueblo^‍‍[39]. Ahora bien, a pesar de que no tuvieron acogida expresa en la sentencia, no por ello dejan de ser estimables y útiles como objeto de reflexión, singularmente en lo que atañe a la hipotética conculcación de la libertad ideológica (art. 16 CE) y del derecho de participación política (art. 23 CE)^‍‍[40].

La eventual vulneración de estos dos derechos fundamentales derivaría de la naturaleza de los datos tratados. El tratamiento de informaciones relativas a las tendencias ideológicas de los ciudadanos, con vulneración del derecho a la protección de datos, pone de manifiesto uno de sus elementos definitorios: su carácter instrumental (Troncoso Reigada, A. (2010). La protección de datos personales. En busca del equilibrio. Valencia: Tirant lo Blanch.‍Troncoso Reigada, 2010: 73). Esta instrumentalidad se manifiesta, de manera más elocuente^‍‍[41], cuando —como es el caso— los datos objeto de tratamiento son especiales. Estaríamos ante tratamientos en los que el derecho a la protección de datos no solo asegura al ciudadano un «poder de disposición y de control»^‍‍[42], sino que, además, actúa como garantía y protección adicional de otros derechos fundamentales que también pueden verse vulnerados (como pueden ser la intimidad o, en este caso, la libertad ideológica y el derecho de participación política).

1. ¿Qué interés público se pretendía proteger?[Subir]

El consentimiento ha sido, desde la LORTAD, la base sobre la que, tradicionalmente, se ha construido el sistema de protección de datos en España^‍‍[46]. El propio TC, en la conocida STC 292/2000, lo situó en el centro del derecho a la protección de datos^‍‍[47]. Mientras la Directiva 95/46/CE «contemplaba seis causas de legitimación, todas con el mismo fundamento y sin prevalencia de unas sobre otras» (Puente Escobar, A. (2019). Principios y licitud del tratamiento. En A. Rallo Lombarte (dir.). Tratado de protección de datos actualizado con la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (pp. 115-168). Valencia: Tirant lo Blanch.‍Puente Escobar, 2019: 120), en España el consentimiento gozaba de un carácter preferente, teniendo las demás bases de legitimación un carácter más bien complementario^‍‍[48].

Este modelo de tratamiento cambia radicalmente con la aprobación del RGPD, que configura, de manera indiscutible y para todos los países de la Unión Europea, un sistema de protección con seis bases diferenciadas de legitimación y el mismo nivel de preeminencia. La normativa española va un paso más allá y establece, en el art. 9.1 LOPDGDD, que «el solo consentimiento del afectado no bastará para levantar la prohibición del tratamiento de datos cuya finalidad principal sea identificar […] [la] ideología, afiliación sindical, religión, orientación sexual, creencias u origen racial o étnico». La otrora condición privilegiada del consentimiento como base de legitimación es un recuerdo del pasado.

Siendo ello así, no debe sorprender que se pueda aducir como base legal del tratamiento la existencia de un interés público que salvaguardar (art. 6.1.e RGPD). En este sentido, cabe recordar que la LOPDGDD ha incorporado un requisito adicional para apoyarse en esta base de legitimación, al exigir que el tratamiento «derive de una competencia atribuida por una norma con rango de ley» (art. 8.2 LOPDGDD). No obstante, si el tratamiento que se pretende realizar requiere de la utilización de datos especiales, no será suficiente la mera existencia de un genérico interés público, sino que ha de acreditarse que se está en presencia de un «interés público esencial» (9.2.g del RGPD).

El escenario final resulta, por tanto, bastante complejo. En primer lugar, el aplicador de la norma ha de lidiar con el elevado grado de indeterminación del concepto interés público^‍‍[49]. Y, en segundo lugar, porque, una vez identificado, habrá de acreditar que ese interés público tiene la suficiente entidad como para enervar la prohibición inicial de tratar datos especiales. La concreción de lo que significa «esencial», en cada particular situación, no es tarea fácil de acometer, pues tiene un importante componente subjetivo y discrecional que, probablemente, solo la jurisprudencia podrá aclarar caso por caso.

Lo que sí parece claro es que habrá de tratarse de un interés inequívocamente público y, además, debe revestir una entidad suficiente para justificar que la exclusión de la citada prohibición resulte proporcionada y adecuada. Para García Sanz, las finalidades que avalarían la existencia de un interés público esencial, en el caso que nos ocupa, son «depurar y formar la opinión pública electoral, para que el derecho de participación despliegue sus efectos en los procesos democráticos y en la campaña electoral» (García Sanz, R. M. (2019). Tratamiento de datos personales de las opiniones políticas en el marco electoral: todo en interés público. Revista de Estudios Políticos, 183, 129-159. Disponible en: https://doi.org/10.18042/cepc/rep.183.05‍2019: 157).

Si se analiza el apdo. primero del art. 58 bis a la luz de estas exigencias, es fácil apreciar que el legislador no identifica de manera clara y fehaciente el interés público esencial que, en su caso, debería amparar la afectación del derecho a la protección de datos. A lo sumo, realiza una genérica apelación a la salvaguarda del sistema democrático, lo que, en última instancia, poco aporta a la hora de identificar la finalidad específica que justificaría la injerencia en el derecho. Además, la vaguedad de ese estándar normativo tampoco permite valorar la «idoneidad, necesidad y proporcionalidad»^‍‍[50] de la medida.

En la sentencia objeto de este comentario, el TC mantiene la doctrina establecida en la STC 292/2000 y, en coherencia con ella, niega la posibilidad de restringir el derecho a la protección de datos amparándose en «la identificación de los fines legítimos […] mediante conceptos genéricos o fórmulas vagas» (FJ 7). La carencia de concreción y certidumbre se convierte, para el Tribunal, en un escollo infranqueable, máxime cuando se toman en consideración las especiales exigencias del tratamiento, que solo resulta procedente cuando concurre un interés público esencial.

Como recuerda el TC, el legislador no ha detallado cuáles son las necesidades y los problemas de funcionamiento del sistema democrático que se solventarían mediante la recopilación de datos por los partidos políticos. Esta omisión no puede suplirse apelando al considerando 56 del RGPD^‍‍[51], pues su contenido es demasiado genérico. Únicamente el legislador está constitucionalmente habilitado para acometer la identificación que clarifique el interés justificativo del tratamiento de datos habilitado. Solo él puede aportar, a través del principio de legalidad, la seguridad jurídica que requiere cualquier posible injerencia en un espacio inicialmente reservado por la Constitución a los derechos fundamentales.

Las disposiciones con un contenido indeterminado y las apelaciones a intereses generales que no se acompañen de razones concretas y garantías específicas no son aceptables. Seguridad y precisión son requisitos ineludibles si se va a establecer, mediante ley, una habilitación para tratar datos personales.

Más allá de las ausencias reseñadas, en el caso que nos ocupa, es difícil identificar —incluso en abstracto— cuáles pudieran ser los problemas de funcionamiento del sistema electoral español que, por su naturaleza, requieren «la recopilación de datos personales relativos a las opiniones políticas» (art. 58.1 bis). Más arduo aún resulta conocer las razones que llevaron al legislador a considerar que permitir a los partidos políticos hacer perfiles personales puede ser un modo conveniente para afrontar las amenazas derivadas del perfilado y condicionamiento de los electores. En definitiva, ¿cómo contribuye esa potestad a hacer frente a actuaciones de empresas como Cambridge Analytica?, ¿en qué ayuda a reaccionar frente a las injerencias de terceros Estados? La respuesta a esta cuestión es el primer paso que deberá afrontar cualquier nuevo intento de regulación de esta materia.

2. La ausencia de limitaciones y de certezas[Subir]

La segunda tacha de inconstitucionalidad que aprecia el Tribunal deriva de la falta de previsión de las condiciones y limitaciones del tratamiento. La habilitación a los partidos políticos para recabar datos personales referentes a las convicciones políticas supone una restricción del derecho a la protección de datos. Por consiguiente, la delimitación de esta injerencia es un mandato insoslayable para el legislador, en la medida en que, como ya se advertía en la STC 292/2000, de 30 de noviembre (FJ 11), «regular esos límites es una forma de desarrollo del derecho fundamental». En efecto, el derecho a la protección de datos también demanda del legislador —y no solo de los particulares y de la Administración— una actitud proactiva que, en su caso, debe proyectarse en su tarea normativa. En su actuación ha de procurar ser lo más preciso y concreto posible, evitando vacíos que puedan permitir prácticas o interpretaciones que pongan en peligro la protección del derecho fundamental del art. 18.4 CE, o de aquellos otros que pudiesen verse concernidos.

El precepto impugnado preveía una única limitación: la recopilación de datos por los partidos políticos solo puede llevarse a cabo «en el marco de sus actividades electorales». El concepto «actividades electorales» resulta notoriamente difuso e indeterminado y no parece que pueda identificarse con el término «período electoral» —mucho más preciso—, que se utiliza en el apdo. 2 del 58 bis, pues, de ser así, el legislador no habría empleado una fórmula distinta. Frente a esta indefinición, contrasta, como ya se ha apuntado, la Data Protection Act 2018, del Reino Unido. En ella sí se acota el alcance del término, fijando tanto el marco temporal como las actividades que se pueden desarrollar.

El requerimiento de claridad y previsibilidad es inherente a toda injerencia en un derecho fundamental^‍‍[52]. La vaguedad e insuficiencia definitoria de la regulación española, unidas a la ausencia de cualquier otra previsión respecto al «alcance y contenido de los tratamientos de datos que autoriza»^‍‍[53], comportan una ablación de «las exigencias de certeza que han de presidir cualquier injerencia en un derecho fundamental»^‍‍[54]. Entendiendo esta, en consonancia con la jurisprudencia del TEDH, como la exigencia de normas claras y límites definidos que eviten actos arbitrarios^‍‍[55]. Para lograrlo, han de preverse tanto el alcance como las modalidades de ejercicio de la facultad reconocida, fijando, por ejemplo, la duración del tratamiento, el tipo de almacenamiento, los usos, quién va a tener acceso a la información o si va a ser utilizada por terceros.

Este mandato se convierte en un imperativo cuando se trata del derecho a la protección de datos, sobre todo en aquellas situaciones en las que actúa con un marcado carácter instrumental, al servicio de la salvaguarda de otros derechos. Un ejemplo claro sería cuando opera en consonancia con el derecho a la intimidad. En esos supuestos, «la protección del derecho fundamental a la intimidad exige que las excepciones a la protección de los datos personales y las restricciones a dicha protección se establezcan sin sobrepasar los límites de lo estrictamente necesario»^‍‍[56].

En nuestro caso, serían el derecho a la libertad ideológica y los derechos de participación política los que demandarían esa diligencia adicional. En el precepto objeto de recurso, las lagunas son tan patentes que el vacío legal es motivo suficiente para apreciar la vulneración del derecho a la protección de datos. Por ello, el Tribunal Constitucional concluye que el apdo. 1 del 58 bis LOREG también vulnera el derecho fundamental por haber abdicado de su obligación de dotar de previsibilidad y certeza a la configuración legal del derecho a la protección de datos.

No obstante, si el legislador decidiera abordar en el futuro esta cuestión, al perfilar y delimitar qué tratamientos se van a permitir, durante cuánto tiempo y para qué finalidades, ha de tener en cuenta que, en este caso, además del derecho a la protección de datos, hay otros derechos fundamentales en concurso susceptibles de ser vulnerados. Un riesgo adicional que no puede obviarse.

3. La falta de garantías también es un modo de vulnerar el derecho a la protección de datos[Subir]

Es doctrina reiterada del Tribunal Constitucional^‍‍[57], también del Tribunal de Justicia de la Unión Europea^‍‍[58] y del Tribunal Europeo de Derechos Humanos^‍‍[59], que el derecho a la protección de datos se ve afectado, con una «gravedad similar a la que causarían intromisiones directas»^‍‍[60], por la omisión de las cauciones y medidas de protección adecuadas.

El TEDH, en el asunto S. y Marper contra Reino Unido, utiliza los principios del tratamiento de datos como parámetro interpretativo mediante el que determinar si una determinada previsión normativa ofrece garantías suficientes (González Fuster, G. (2009). TEDH – Sentencia de 04.12.2008, S. y Marper c. Reino Unido, 30562/04 y 30566/04 – Artículo 8 CEDH – Vida privada – Injerencia en una sociedad democrática – Los límites del tratamiento de datos biométricos de personas no condenadas. Revista de Derecho Comunitario Europeo, 33, 619-633.‍González Fuster, 2009: 632). De modo que, para cumplir con esta exigencia, la regulación legal del tratamiento ha de asegurar, al menos, que «los datos sean pertinentes y no excesivos en relación a las finalidades […] y que se conserven durante un período de tiempo que no exceda del necesario […]. […] ha de contener también garantías que protejan eficazmente los datos de carácter personal registrados contra los usos imprevistos y abusivos»^‍‍[61]. Cuando el tratamiento afecta a categorías especiales de datos, es inexcusable que la legislación no contemple estos elementos^‍‍[62].

El apdo. 1 del 58 bis no cumple con ninguno de estos requisitos. Ni del artículo objeto de enjuiciamiento, ni mucho menos del «sentido de la enmienda de adición de la que trae causa»^‍‍[63], se desprende la existencia de un marco apropiado de garantías. Tampoco es posible inferirlas de las normas básicas que configuran el régimen de la protección de datos (RGPD y LOPDGDD). Esta última cuestión requiere de una explicación más pormenorizada, sin perjuicio de dedicar, siquiera unas líneas, a apuntar las razones que llevan al Tribunal a descartar otros motivos de impugnación también planteados.

El art. 58 bis se limita a reseñar la necesidad de reconocer y disponer «las garantías adecuadas». El legislador renuncia expresamente a detallarlas en el cuerpo de la ley, aunque fuese de forma meramente orientativa. Esa renuncia no puede suplirse mediante otras iniciativas, como la llevada a cabo mediante la Circular 1/2019. «La AEPD […] no es la vía para hacer lo que le corresponde al legislador» (Arenas Ramiro, M. (2019). Los políticos, opiniones políticas e Internet: la lesión del derecho a la protección de datos personales. Teoría y Realidad Constitucional, 341-372. Disponible en: https://doi.org/10.5944/trc.44.2019.26005‍Arenas Ramiro, 2019: 371). Diferir a una circular de la AEPD el establecimiento de las garantías adecuadas supone «una deslegalización que sacrifica la reserva de ley ex art. 53.1 CE»^‍‍[64].

Es la reserva de ley la razón que lleva al Tribunal Constitucional a declarar, aun reconociendo su valor hermenéutico, que las enmiendas presentadas en la tramitación parlamentaria del art. 58 bis «no pueden suplir o sanar las insuficiencias constitucionales»^‍‍[65] de la norma objeto de recurso.

Finalmente, la posibilidad de colmar la ausencia de garantías del precepto acudiendo a las previsiones del RGPD y de la LOPDGDD también ha de ser descartada. Tanto la remisión a dichas normas, como la identificación de los artículos concretos que contendrían dichas garantías se realizaron por el legislador de manera implícita, con la consiguiente inseguridad e indeterminación, inasumibles cuando lo que está en juego es la protección de un derecho fundamental.

Con todo, y con el propósito de despejar toda duda, el Tribunal se adentra en esta cuestión, «a efectos dialécticos»^‍‍[66], concluyendo que el precepto no identifica las reglas que deben aplicarse. Esto es, de todo el marco normativo que conforman el RGPD y la LOPDGDD, no se precisa cuáles serían las garantías que regirían el tratamiento de las opiniones políticas por los partidos. Es decir, no había un marco de actuación y garantía definido para el tratamiento que el apdo. primero del art. 58 bis habilitaba.

Profundizando en la cuestión, el Tribunal constata que el RGPD solo «establece las garantías mínimas comunes o generales para el tratamiento de datos personales que no son especiales». Por su parte, la LOPDGDD ni siquiera cuenta con un precepto en el que, de manera singularizada y específica, se discipline el tratamiento de los datos ideológicos. Tampoco figura en dicha ley pauta normativa alguna, a diferencia de lo que acontece, por ejemplo, en la normativa alemana sobre la materia, en la que se dispone de un marco general de garantías específico para las categorías especiales de datos^‍‍[67]. En definitiva, al no preverse las cauciones pertinentes y adecuadas se vulnera el contenido esencial del derecho.

De este pronunciamiento del TC pueden extraerse, al menos, tres elementos definitorios del derecho a la protección de datos personales. En primer lugar, es un derecho dotado de un alto nivel de formalidad, lo que se refleja en la exigencia constitucional de una actuación positiva y proactiva por parte del legislador (fijando el marco de garantías, pero también los límites y la finalidad del tratamiento).

En segundo lugar, la necesidad de adecuar el marco de garantías a las particularidades del tratamiento y la naturaleza de los datos supone, en última instancia, que una parte del contenido del derecho siempre tendrá un componente funcionalmente variable, conformando una especie de contenido esencial de contexto. Una circunstancia muy particular y a la que deberá prestar especial atención el legislador, pues solo así podrá mantener unos niveles de garantía y protección del derecho adecuados. Tendrá que fijar, para cada caso, la regulación más apropiada para lograr los fines del tratamiento sin incurrir en la vulneración de este.

Finalmente, el acomodamiento de las garantías —y los límites— a las circunstancias específicas del tratamiento es una labor que, por afectar a la delimitación de los elementos nucleares del derecho, solo puede ser ejecutada por el legislador. Por lo tanto, cualquier eventual omisión no podrá ser ulterior y hermenéuticamente integrada mediante la técnica de la interpretación conforme.

4. Inconstitucional y nulo[Subir]

En un panorama como el descrito, que descarta cualquier posibilidad de interpretación conforme (incompatible con la apuntada naturaleza formal y prescriptiva del derecho), la conclusión del Tribunal no podía ser otra: el precepto impugnado es contrario a la Constitución, ya que vulnera el derecho a la protección de datos. En palabras del Tribunal: «[La] ley no ha identificado la finalidad de la injerencia para cuya realización se habilita a los partidos políticos, ni ha delimitado los presupuestos ni las condiciones de esa injerencia, ni ha establecido las garantías adecuadas que para la debida protección del derecho fundamental a la protección de datos personales reclama» (FJ 9).

En definitiva, el precepto objeto de recurso supone una injerencia injustificada (por no identificarse la finalidad), desproporcionada (por la ausencia de límites claros) y carente de las mínimas garantías en la regulación de un derecho fundamental, de la que solo se puede inferir (art. 18.4 en su conexión con el 53.1, ambos de la CE) la inconstitucionalidad y, por tanto, nulidad del apdo. 1 del art. 58 bis objeto de recurso.

Un artículo que, a tenor de lo que indica la enmienda de la que trae causa, pretendía enfrentar los riesgos que determinados usos y prácticas suponen para los procesos electorales. Sin embargo, si ese era el objetivo real, habría «requerido una mayor reflexión […] para redactar el precepto de una manera plenamente respetuosa con los intereses en juego. […] [Especialmente, si se tiene] en cuenta […] el conflicto de interés concurrente en la elaboración de la disposición» (Pascua Mateo, F. A. (2019). Un nuevo capítulo en la tutela del derecho a la protección de datos personales: Los datos de contenido político. Comentario a la sentencia del Tribunal Constitucional 76/2019, de 29 de mayo, en el recurso de inconstitucionalidad núm. 1405-2019. Revista de Las Cortes Generales, 106, 549-558. Disponible en: https://doi.org/10.33426/rcg/2019/106/1411‍Pascua Mateo, 2019: 558).