¿Debería existir una norma europea para la protección de datos?

¿Debería existir una norma europea para la protección de datos que ayude a las empresas a cumplir con los requisitos legales o debería dejarse a libre elección el diseño de sus propias normas? Esta fue la cuestión que se debatió, a instancias de la Dirección General de Empresa...

¿Debería existir una norma europea para la protección de datos que ayude a las empresas a cumplir con los requisitos legales o debería dejarse a libre elección el diseño de sus propias normas?
Esta fue la cuestión que se debatió, a instancias de la Dirección General de Empresa de la Comisión Europea, en la reunión abierta sobre protección de datos organizada por el Comité Europeo de Normalización, CEN.
En Europa, el tratamiento de los datos personales debe hacerse en conformidad con la Directiva europea sobre datos personales, que demanda el cumplimiento de las prescripciones legales por la acción autorreguladora. La directiva simplemente proporciona un marco general y gran parte de la eficacia de la protección que consiga dependerá de la implantación de los mecanismos empleados.
La Directiva europea se concibió en 1995. Desde entonces, el rápido desarrollo de Internet y del comercio electrónico ha planteado nuevos retos, ya que se ha aumentado la cantidad de datos personales procesados.
Los empresarios y otras organizaciones que explotan la información personal ahora se encuentran ante el doble reto de asegurar que sus registros de datos y de control cumplan las regulaciones legales y de infundir confianza entre los consumidores al declarar que la información que comunican no se utilizará en las formas que ellos no autoricen.
El seminario sobre protección, "Standardisation: a business tool for data privacy" (Normalización: La herramienta empresarial para la protección de datos), se organizó con este telón de fondo a fin de iniciar un diálogo entre las diferentes organizaciones interesadas en la protección de datos y con vistas a establecer algún tipo de normalización europea que asegurara su cumplimiento legal.
Según declaró George Hongler, Secretario General de CEN, "éste es el resultado de una cuidadosa y minuciosa investigación sobre si existe la función de normalización y en apoyo de la directiva sobre protección de datos."
"La creación de consenso es nuestra razón de ser. La gente ve la normalización como una regulación arbitraria, pero no creo que sea el caso. La normalización no es obligatoria, es una actividad voluntaria. Nosotros, en CEN, hemos reconocido que el mercado necesita de acuerdos basados en el consenso."
Se pidió a unos 120 participantes que identificaran los requisitos del mercado en relación con la protección de datos y que definieran la confianza que tienen los actores del mercado a la hora de utilizar un mecanismo de autorregulación, como es la normalización, para implantar la acción empresarial en el ámbito de la protección.
Se destacó así, la necesidad apremiante que existe. Como declaró el presidente del seminario y también presidente de ICX, International Commerce Exchange, Nick Mansfield: "Si no lo hacemos en el momento oportuno, probablemente no lo lleguemos a hacer. Cualquier cosa que se haga deberá estar hecha para finales de este año."
John Mogg, Director General de la Dirección General de Mercado Interior de la Comisión Europea, estuvo de acuerdo en declarar que se requiere una solución a tiempo. "El momento de las conversaciones ha finalizado. Ha llegado la hora de un discurso que sea convincente para la industria y los consumidores."
El señor Mogg, que ha desempeñado un papel fundamental en el establecimiento de un acuerdo de cooperación de "puerto seguro" sobre la transferencia de datos entre la UE y EEUU declaró que el acuerdo de normalización podría llegar a un punto medio entre el acercamiento legislativo tradicional europeo y el sistema de autorregulación que prevalece en EEUU.
"En Europa, nos han considerado como una organización donde la regulación es el único camino, pero no es éste el caso. Aunque bien es cierto que la normalización representa un acercamiento integrado entre la regulación y la autorregulación."
La protección de datos personales requiere, además de una legislación, de una pautas prácticas y claras sobre cómo cumplir los requisitos legales, dijo Martin Grosskopf, de la Agencia de Normalización Canadiense, CSA Internacional, quién presentó la experiencia canadiense de creación de un mecanismo normalizado de protección de datos.
El proceso de creación de consenso entre todas las partes involucradas en la protección de datos en Canadá, incluidos los consumidores, las empresas, los reguladores y los responsables de políticas duró cuatro años. El señor Grosskopf afirmó que el consenso es necesario para que se dé la amplia aceptación que requiere una normalización voluntaria.
Admitió, sin embargo, que cuatro años es demasiado tiempo para el vertiginoso mundo del comercio electrónico. "El tiempo en Internet no permite hacer cosas en cuatro años," declaró. "Pero contamos con los mecanismos para el desarrollo un sistema que requiera un bajo nivel de consenso y que pueda estar listo dentro de seis u ocho meses. Éste sistema podría ser revisado constantemente hasta que se llegara a alcanzar un mayor nivel de consenso."
El Director de la Dirección General de Mercado Interior de la Comisión Europea, Evangelos Vardakas, al presentar las conclusiones sobre las sesiones de debate declaró que la norma europea permitirá a los Estados miembros cumplir sus propios requisitos. "Habrá espacio suficiente para los acuerdos nacionales y espero que no haya lugar para la contradicción."
El cumplimiento de las medidas de protección de datos en un Estado miembro será reconocido por el conjunto de la Unión Europea. La situación ideal a la que se aspira es a poder negociar en toda Europa. Este es el objetivo final de la directiva, "declaró Christine Sotting-Micas de la DG de Mercado Interior.
Algunos delegados plantearon la cuestión del precio de la implantación de una Norma europea. El presidente del seminario, Nick Mansfield, estuvo de acuerdo en que ciertamente no se podía evitar el hecho de que el proceso de implantación costara dinero.
"El precio por no hacer nada es inasequible," declaró. "Si la ley dice que tu tienes que hacer algo, entonces tienes que hacerlo y necesitarás recursos para ello."
"Sí que es cierto que vas a tener que mirar el bolsillo, que vas a tener que poner a tus gestores a trabajar y que te va a costar más que lo que estás haciendo hoy en día. "
Algunas empresas pueden preferir desarrollar sus propios sistemas de conformidad, reconoció el señor Mansfield, pero el coste que supondría a las pequeñas y medianas empresas no sería rentable. Para éstas, una opción asequible sería solicitar la ayuda para la implantación de un modelo normalizado de protección de datos europeo a un organismo de normas reconocido como es CEN.
Según se declaró en la conferencia, la garantía de calidad que trae consigo la normalización de la protección de datos podría abrir nuevas oportunidades comerciales. La idea de establecer una marca europea, como la marca de calidad del producto (kitemark) empleada con éxito en el Reino Unido fue debatida, aunque se necesitaría llevar a cabo una campaña informativa a fin de obtener la aceptación pública.

El señor Mansfield señaló que una marca de calidad generaría su propio negocio. " Las marcas inspiran confianza entre el público y pueden relacionarse a otros productos. Aquellos que abastecen de productos con marca los venderán - existe un mercado bien conocido."
El señor Mansfield, al hacer un resumen de las conclusiones de la sesión de dos días de duración declaró que, aunque el debate había sido constructivo todavía quedaba mucho trabajo por hacer si se quería lograr el consenso en un tema tan complejo. "Cualquiera que venga aquí con la expectativa de una solución rápida podría sentirse defraudado, pero creo que quizás si se tiene esa idea es porque no se ha llegado a comprender del todo la complejidad de las cuestiones a las que nos enfrentamos."
En las próximas seis semanas se publicará un informe de los procedimientos, que CEN incluirá en su sitio web para que el público lo pueda consultar. El CEN/ISSS (Sistema de Normalización de la Sociedad de la Información), un organismo creado por CEN para proporcionar soluciones al debate de las normas, decidirá si debe convocar a expertos para redactar la Norma Europea Protección de Datos.