Entrevista a Francisco Pérez Bes, adjunto de la Agencia Española de Protección de Datos (AEPD). Realizada por Elisa McCausland para la revista Profesiones 222.
Me gustaría comenzar esta conversación preguntando por el balance que hacéis a nivel institucional de este primer año tan intenso tras la llegada del presidente Lorenzo Cotino y tú mismo como adjunto de la Agencia Española de Protección de Datos (AEPD).
El impulso inicial ha sido muy fuerte, en gran medida, por el mensaje de cambio y de apertura que queríamos trasladar en esta nueva etapa. Entendimos que los equipos estaban demandando nuevos proyectos, y en esa línea hemos trabajado. Tendremos que alcanzar una velocidad de crucero, pues este ritmo tan intenso con el que hemos empezado es insostenible en el tiempo, pero queremos alcanzar un nivel de esfuerzo que sea asumible por la organización. De cara al exterior, queremos que se nos perciba como una Agencia muy activa; comprometida con los nuevos retos y desafíos tecnológicos que están por venir. Son muchos y por eso estamos trabajando en tantas líneas a la vez: hemos enfocado en mayores y menores; hemos lanzado la vertiente académica con la revista; hemos abordado temas de formación y eventos presenciales, las necesidades de las empresas… Al final se trataba de dinamizar un poco lo que teníamos, que es una organización con muchas capacidades, aprovechar el tiempo y explotarlas al máximo, pero siempre siendo conscientes de que somos los que somos y tenemos los recursos que tenemos. Tendremos que medir las fuerzas porque nadie nos está exigiendo que hagamos nada en particular. El plan estratégico nos marca la hoja de ruta hasta 2030 y queremos ir ejecutando acciones concretas en sintonía con el mensaje de que queremos impulsar en estos cinco años todo lo que nos sea posible en materia de protección de datos.
En esa línea de apertura, habéis planteado algunos espacios de encuentro y escucha activa muy interesantes. Coméntanos cómo ha sido la experiencia hasta el momento; si habéis tenido algún feedbacko propuesta, y si seguiréis manteniendo esta política de cercanía.
Nosotros somos gente mediterránea; nos gusta mucho hablar y escuchar. Con esa espíritu, hemos querido trasladar un mensaje de que, aunque somos reguladores y estamos en nuestros sitio —seguiremos estándolo y seremos implacables—, no obsta para que podamos entender los problemas de la sociedad de primera mano, lo que nos ha permitido tener acercamientos con empresas, asociaciones y otro tipo de organizaciones, como los Colegios Profesionales, que nos han trasladado directamente las preocupaciones que ellos tienen identificadas.
Hablando cara a cara todo es mucho más enriquecedor y se tiene un conocimiento mucho más profundo de esa realidad compartida, y de cómo se puede colaborar. Como te decía, la relación está siendo muy positiva y queremos que se mantenga, sin perjuicio de trasladar un mensaje equivocado y que la Agencia sea percibida como la que ha de solucionar los problemas. Cada uno tiene que resolver sus propios problemas, pero dentro de esta relación más cercana o más abierta, la experiencia está siendo muy reveladora, y vamos a mantener esta tendencia.
Tenéis también un plan estratégico bastante ambicioso. ¿Cuál va a ser el foco en el año que entra, tanto en lo que pueda afectar a la ciudadanía como a las profesiones colegiadas?
Este año hemos estado muy centrados, por una parte, en el estudio y la observación del desarrollo de la inteligencia artificial: cómo esto está impactando en la industria, los profesionales, la ciudadanía. Ese conocimiento está siendo importante porque nos permite adelantarnos a los problemas que van a venir próximamente. Por otra parte, hemos abierto muchas líneas de colaboración y de gestión de conocimiento: la revista académica, el Laboratorio de la AEPD…, al final son espacios no solo de debate, sino también de intercambio de conocimiento. En la Agencia sabemos muchas cosas, pero no sabemos de todo. En esa línea, son los sectores los que nos ayudan a identificar esos problemas que puedan estar teniendo las profesiones colegiadas, por ejemplo. Vamos a mantener estas líneas estratégicas mientras abrimos otras vertientes de colaboración con la ciudadanía. Los canales con los profesionales del DPD o las relaciones con asociaciones a través de eventos y otros espacios, por ejemplo; el canal para jóvenes, con ayuda específica para menores, e incluso el propio canal del ciudadano, están resultando herramientas que estamos relanzando y la gente está respondiendo haciendo muchas consultas. Queremos mantener esta línea de escucha con la ciudadanía para intentar identificar o resolver, en la medida que se pueda, ciertas cuestiones que puedan estar afectando a los derechos ciudadanos y que requieran una intervención por parte de la Agencia. Dicha intervención no tiene por qué ser necesariamente una sanción económica; tenemos otros elementos que estamos poniendo en marcha y que están resultando eficaces, como pueden ser las advertencias. También queremos gestionar aquellas controversias confiando en el espíritu de su resolución, y ser percibidos como una entidad que no solo sanciona; también sabe gestionar problemas.
Las profesiones colegiadas están especialmente sensibilizadas con el tema de la inteligencia artificial. El Consejo General de la Abogacía ha publicado un libro blanco sobre la cuestión, y el Consejo General de Colegios de Médicos ha presentado recientemente un manual específico para orientar a la profesión médica. Es un tema transversal a todas las profesiones que, a su vez, afecta a la garantía del derecho a la protección del dato. ¿Cómo veis desde la Agencia trabajar conjuntamente esta cuestión?
Tuve mucha experiencia con el Consejo General de la Abogacía hace años en el tema de la ciberseguridad. Mi posición en la organización me permitió trasladar una serie de mensajes que, creo, han dinamizado medidas preventivas y reactivas en un colectivo que lógicamente debe velar por la protección de la información que maneja, que es cada vez más sensible. Por eso mismo, estoy sensibilizado con la labor que se hace desde los Consejos Generales y Colegios Profesionales. He trabajado mucho también con procuradores y ahora, desde la Agencia, hemos tenido una interlocución muy abierta con muchos de ellos. Con la Abogacía hemos mantenido reuniones periódicas donde han surgido una serie de elementos muy interesantes
Es nuestra intención fomentar que cada profesión se implique en un escenario marco en el cual nosotros también podamos aportar nuestras opiniones y nuestros pronunciamientos; que las profesiones adopten ese marco general y lo personalicen a partir de las necesidades que tenga cada colectivo, porque las problemáticas suelen ser distintas. Hay unos elementos comunes donde nosotros podemos aportar nuestra visión, nuestra experiencia y, sobre todo, el conocimiento que podamos tener del desarrollo de la evolución legislativa. Pero lógicamente, si cada profesión es capaz de autorregularse de alguna manera, es decir, identificar los problemas que solo les atañen a ellos y darles una solución que esté acorde con el marco legislativo y regulatorio que hemos marcado entre todos, creo que eso redundaría en una mayor eficacia para la resolución de las controversias con pacientes, clientes… o con quien sea.
Por otra parte, que cada profesión ofrezca una sensación de responsabilidad al mercado y a la ciudadanía no deja de ser un elemento positivo a trasladar como mensaje: «Somos capaces de identificar nuestros propios problemas y resolverlos de una manera amistosa». Con lo cual, estas líneas de trabajo de libros blancos o de códigos de conducta están incorporados dentro de nuestro plan estratégico. Cualquier profesión que quiera avanzar en esa dirección siempre encontrará un aliado en la Agencia. Precisamente, para nosotros es una buena práctica que las organizaciones colegiales desarrollen internamente este tipo de documentos y sean capaces de resolver los problemas que vayan surgiendo, entre otras cosas porque a nosotros también nos aligeran, en cierta medida, de determinados problemas que se puedan resolver a nivel interno.
El cumplimiento en materia de protección de datos es una de vuestras funciones vertebradoras, y un compromiso recogido en el convenio firmado entre la AEPD y Unión Profesional, donde también se apunta al potencial aglutinador de una organización como la nuestra.
Unión Profesional reúne a un gran número de colectivos profesionales y sensibilidades muy distintas con las cuales nos interesa tener un buen nivel de interlocución. Nuestro trabajo reside en defender el derecho a la protección de datos de la ciudadanía y eso pasa por incrementar el nivel de cumplimiento por parte de las organizaciones colegiales. Para nosotros es mucho más eficaz poder canalizar esos mensajes a través de entidades como Unión Profesional, que luego trasladan esos mensajes y son capaces de hacer un seguimiento más concreto, más profundo de cómo está evolucionando ese cumplimiento, que lo que podríamos hacer nosotros. Precisamente, porque entendemos esta colaboración como estratégica, recorrer este camino juntos no deja de ser, por parte de la Agencia, una buena práctica en el sentido de ser más eficaces e invertir mejor nuestros recursos públicos para poder hacer nuestro trabajo.
Por otra parte, vosotros como Unión Profesional tenéis la capacidad de concienciar y sensibilizar a los colectivos y que el mensaje permee. A partir de aquí, todos podemos trabajar con la misma información y luego, si hay que exigir un nivel de cumplimiento, por lo menos que sepan dónde estamos y quiénes somos. Se trata de una alianza que puede ayudar al propio sector a entender por qué es importante que los profesionales cumplan con la protección de datos, y cómo eso impacta beneficiosamente no solo en el derecho de la ciudadanía, sino a niveles económicos (PIB, confianza inversora). Hay otro mundo más allá de la protección de datos que también queremos visibilizar. Para ello, las organizaciones colegiales son unos aliados muy importantes que nos ayudan a lanzar estos mensajes no solo al profesional, también a la ciudadanía, que son sus clientes y pacientes.
La Audiencia Nacional se ha pronunciado recientemente sobre una sanción de la AEPD a un Colegio Profesional cuyo Delegado de Protección de Datos (DPD) participaba en decisiones sobre los fines y medios de los tratamientos a la vez que supervisaba el cumplimiento de la normativa de protección de datos en esa misma organización colegial, lo que nos recuerda lo importante que es tanto la formación en el ámbito colegial como la importancia de blindar la independencia del DPD.
Hay dos elementos que convergen en este caso. Primero, está el tema de la formación y la capacitación. Aunque nosotros hacemos muchos esfuerzos por llevarla a cabo, también los sectores profesionales tienen la capacidad de formar y de ayudar a que la comunidad profesional avance en el conocimiento de la protección de datos, porque no es un tema ajeno a su organización. Cada vez lo entendemos más como parte del ADN del trabajo en sectores como el sanitario, jurídico o económico. Por otra parte, en lo que se refiere al Delegado de Protección de Datos (DPD), se trata de una figura que está recogida en la ley, con lo cual es obligatoria para determinadas industrias, empresas y organizaciones. Nosotros lo que trabajamos es en fomentar la figura del DPD y vender sus bondades: un profesional muy especializado en protección de datos, que habla el idioma de la organización y que conoce el posicionamiento de la AEPD; es una persona que resuelve problemas y asesora a las organizaciones en cómo deben elevar ese nivel de cumplimiento al que me refería anteriormente.
Pero, para poder hacer eso bien, es imprescindible que tenga, en primer lugar, recursos tanto económicos como humanos, y así poder desarrollar ese trabajo con independencia, que es el segundo elemento: ser una figura no vinculada a la toma de decisiones en el tratamiento de datos porque si no, al final, es juez y parte. Tienes un conflicto de intereses que no te permite ser independiente y por lo tanto no podemos garantizar que la organización esté protegiendo de manera objetiva y adecuada los datos de carácter personal que estén manejando. Por eso exigimos únicamente estos dos requisitos: Tener recursos e independencia, que pasa por no tener incompatibilidades. Hay que entender que la protección de datos es un derecho fundamental y requiere de las organizaciones que le destinen atención y, a su vez, somos conscientes de que tenemos que ayudar a dar claridad sobre qué es el DPD y cómo debe funcionar para que realmente sea el delegado que espera el legislador.
La cultura de la protección del dato está ligada a la promoción de los nuevos derechos digitales que intentan responder a los cambios tecnológicos. Cambios y transformaciones que se están dando a una velocidad de vértigo y que suponen un reto de adaptación para todos los ámbitos a todos los niveles. ¿Cómo veis estos retos a nivel institucional?
Es cierto que hemos llegado a ese punto donde la protección de datos es percibida como un elemento que te ayuda más que te perjudica o molesta. En el momento en el que hemos empezado a notar ese cambio de las organizaciones, se ha pasado a hablar de cultura de la protección del dato, y es muy importante porque refleja la madurez, sobre todo, del sector español. Desde mi experiencia personal, cuando en tu día a día la gente de a pie maneja argumentos sobre protección de datos, aunque a veces lo hagan de manera inadecuada, nos dice que se trata de un tema que preocupa y está en la calle. No obstante, lo más importante es que las organizaciones, tanto públicas como privadas, entiendan y perciban la protección de datos desde una rentabilidad que no siempre tiene que ser económica. De hecho, nuestro curso de verano está muy centrado en los riesgos empresariales, pero también en cómo la empresa ha de ayudar a que la protección de datos se refuerce, y no porque lo diga la ley, que por supuesto, sino también porque estén convencidos de que es un elemento que les reporta beneficios, tanto materiales como inmateriales.
En lo referido a la rapidez de la tecnología y los procesos de adaptación, el problema radica en que se necesitan todo tipo de datos para cumplir bien su cometido y eso, en cierta manera, ha convertido el dato y la información personal en un activo muy valioso para todo tipo de negocios, lo que ha redundado en nuevos derechos digitales porque se han ido identificando una serie de riesgos que anteriormente no existían. Entonces, la tecnología no había alcanzado esos niveles de sofisticación, pero ahora sí. Por ejemplo, estoy bastante sensibilizado con el tema de los elementos subliminales, que es una cuestión que ahora vuelve a aparecer en el Reglamento de Inteligencia Artificial, pero que ya venía recogido en la normativa desde 1991. Es decir, que ya en los años noventa se hablaba de técnicas subliminales. Lo que ocurre es que nunca hemos tenido ninguna controversia clara donde se hayan utilizado técnicas subliminales; el legislador lo prevé en la norma, y la industria y el ciudadano saben que podría suceder. Para ello, hemos de estar muy atentos no solo al desarrollo de la tecnología, también al impacto que puede tener el mal uso de la información personal para poder desarrollar esa tecnología.
Institucionalmente estamos muy alineados con la promoción de los nuevos derechos digitales. Desde el punto de vista de la protección de datos, desde luego, pero también en todo lo relacionado con ciberseguridad, que es desde donde se pueden poner medidas, en complementariedad con transparencia, la otra cara de la moneda que trabajamos junto con el Consejo de Transparencia. Con respecto al ciudadano, los derechos digitales son tendencia e irán aumentando. Desde la publicación en 2018 de la Carta de Derechos Digitales, se han ido consolidando algunos y desarrollando otros, llegando esta tendencia a países iberoamericanos que, como el caso de Chile, han incorporado el tema de neuro derechos en su Constitución. Otros países están trabajando en desarrollar otras protecciones específicas porque perciben que la tecnología puede poner en riesgo ciertos activos. En definitiva, es lógico que, dados los tiempos, se vaya desarrollando un derecho que no es tanto el derecho del futuro como el futuro del derecho.
