A través de la Resolución Directoral 2080-2020-Jus/DGTAIP/DDPDP en materia de datos personales se resolvió un interesante caso en torno a la política de privacidad de los sitios web en internet. El análisis de esta resolución giró en torno al artículo 13 y 18 del Reglamento de la Ley de Protección de Datos Personales.

En la resolución a la que tuvimos acceso en Laley.pe se enlista la información que las empresas deben transmitirle al titular del dato personal, es decir, la información que tendría que contener la política de privacidad de sus webs, de acuerdo a cada caso en concreto:

50. La información que el responsable de tratamiento o titular de banco de datos personales debe transmitir al titular de los datos personales, es la siguiente:

– La finalidad para la que sus datos personales serán tratados;
– Quiénes son o pueden ser sus destinatarios;
– La existencia del banco de datos en que se almacenarán, así como la identidad y domicilio de su titular y, de ser el caso, del o de los encargados del tratamiento de sus datos personales;
– El carácter obligatorio o facultativo de sus respuestas al cuestionario que se le proponga, en especial en cuanto a los datos sensibles;
-La transferencia de los datos personales;
-Las consecuencias de proporcionar sus datos personales y de su negativa a hacerlo;
-El tiempo durante el cual se conserven sus datos personales; y
-La posibilidad de ejercer los derechos que la ley le concede y los medios previstos para ello.

Tras esta información se le debe solicitar el consentimiento al titular del dato personal. Esto, de acuerdo a la resolución, permite que el titular del dato personal, es decir, el cibernauta pueda tener la potestad jurídica de no navegar por sitios webs al contar con la información oportuna sobre el tratamiento de sus datos personales. 

Sobre todo en situaciones en donde se informa acerca de los hábitos de navegación de los cibernautas, es decir, la monitorización del rastro digital de su comportamiento en la internet. 

En esa línea, la resolución denomina este comportamiento como una máxima de la experiencia, es decir, para la Autoridad Nacional de Protección de Datos Personales se trata de una conclusión empírica fundada sobre la observación de lo que ocurre comúnmente en el ciberespacio. 

Esta declaración es controvertida, pues en sencillo, lo se asegura es que los cibernautas leen las políticas de privacidad antes de acceder a un sitio web y no las aceptan de forma automática. Aunque esto, por supuesto, no exime (bajo ninguna circunstancia) la responsabilidad de informar que es atribuíble al titular del banco de datos personales. Estos fueron los fundamentos en cuestión:

57. Mejor aún, imaginemos la oferta de un bien o servicio en la web sin la exhibición de una política de privacidad; vale decir, un incumplimiento total del artículo 18 de la Ley. El cibernauta que transita por dicha web no tiene conocimiento que su sólo tránsito ha implicado que las cookies de la misma hayan recopilado información sobre sus hábitos de navegación y los hayan vinculado a un código que no permite obtener su nombre, apellidos, datos de contacto, ni ningún otro dato directamente identificativo o de contacto, pero sí lo primero.

58. La máxima de la experiencia indica que es perfectamente posiblemente imaginar que, en el supuesto de contar con una política de privacidad que informe de ello, el titular del dato personal abandone la navegación de dicha web al no interesarle que se le someta a dicho tratamiento.

59. Ese acto de abandonar es la manifestación de una potestad jurídica. Una que no requiere una acción explícita y perceptible, pero que sí incide en el derecho de todos y cada uno de esos cibernatutas que han transitado y transitarán por la web. ¿Qué es la autodeterminación informativa sino la potestad, la competencia, para hacer lo que se desea con esa manifestación nuestra que se expresa con un dato personal que se trata o se deja de tratar por mérito de nuestra voluntad informada?

Resolución Directoral N.° 13-2022-JUS/DGTAIPD