Protección de datos

El Tribunal de Justicia de la Unión Europea (TJUE) ha dictado una sentencia importante relacionada con el tratamiento de datos personales en procedimientos administrativos, en concreto sobre cómo y cuándo tienen que informar las instituciones a los afectados sobre el destino de sus datos. El caso surgió a raíz de la resolución de una entidad bancaria y el proceso para compensar a sus accionistas y acreedores. Quienes quisieron participar en ese proceso tenían que aportar documentación y rellenar un formulario online. Después, sus comentarios fueron transmitidos por la Junta Única de Resolución (JUR) a una consultora, con la que colaboraba en la valoración de las reclamaciones.

El punto de conflicto surge porque esa información estaba seudonimizada, es decir, no incluía directamente los nombres de los participantes, pero sí un código que en teoría permitía identificarles si se contaba con otra información adicional. Aunque la consultora no tenía acceso a los datos personales directos, la JUR sí poseía toda la información necesaria para hacer la relación.

El TJUE aclara que, en estos casos, sí se debe considerar que se está tratando con “datos personales” y, por tanto, la JUR debería haber informado expresamente a los interesados de que sus datos se enviarían a la consultora. En otras palabras, aunque haya medidas que dificulten la identificación, si existe la posibilidad real de hacerlo (por ejemplo, porque quien gestiona los datos tiene los “códigos clave”), existe la obligación de avisar a quienes dan sus datos. El asunto no queda zanjado por completo y vuelve a un tribunal para revisar otras cuestiones, pero el mensaje esencial es claro, más transparencia y más información para los afectados cuando sus opiniones o datos pueden llegar a terceros, aunque sea de forma indirecta o bajo seudónimos.