Ley de protección de datos personales: ¿qué le garantiza la Ley 151 de 2020?

Cada vez que un ciudadano pide comida a través de una aplicación, abre una cuenta bancaria o compra una tarjeta SIM, información personal sale de sus manos hacia entidades que nunca ve: el nombre, el número de teléfono, la dirección y, a veces, mucho más. Durante décadas ese flujo de datos careció de una regulación jurídica integral, hasta que en el verano de 2020 se promulgó la Ley n.º 151 de 2020 de Protección de Datos Personales, la primera legislación egipcia completa que determina cómo pueden las empresas y las instituciones recopilar, almacenar, tratar y utilizar los datos de las personas.

La norma tiene raíces constitucionales evidentes: el artículo 57 de la Constitución de 2014 establece que la vida privada es inviolable y que la correspondencia y las comunicaciones de todo tipo gozan de una protección que solo puede levantarse mediante una orden judicial motivada. La ley traduce ese principio constitucional en obligaciones prácticas para todo el que maneje datos de los ciudadanos, y llegó además en el marco de una ola legislativa mundial posterior al Reglamento General de Protección de Datos europeo, el «RGPD» (GDPR, por sus siglas en inglés), que inspiró leyes similares en decenas de países.

¿Y qué se considera «dato personal» a ojos de la ley? La definición es deliberadamente amplia: cualquier dato relativo a una persona física identificada o identificable, de forma directa o indirecta, desde el nombre y el número nacional de identidad hasta los datos de localización y los identificadores electrónicos. La norma reserva además una categoría de protección reforzada, la de los «datos personales sensibles», que abarca la salud física y mental, los datos biométricos, los datos financieros, las creencias religiosas, las opiniones políticas y los antecedentes penales, junto con los datos de los menores, que exigen el consentimiento de su tutor.

El principio esencial sobre el que se levanta toda la ley es el consentimiento: por regla general, los datos personales no pueden recopilarse, tratarse ni divulgarse sin el consentimiento expreso de su titular, salvo en los supuestos que la propia ley autoriza. Los datos deben recogerse con fines lícitos, concretos y declarados al titular; deben ser exactos y estar actualizados; y no pueden conservarse más tiempo del que exija la finalidad para la que se recogieron.

La ley entrega al titular de los datos un conjunto de derechos utilizables en la práctica: el derecho a saber qué información guarda una entidad sobre ti, el derecho a consultarla y acceder a ella, el derecho a corregir o modificar lo que sea inexacto, el derecho a que se borre cuando desaparezca la finalidad, el derecho a oponerte al tratamiento y el derecho a retirar un consentimiento ya prestado. También reconoce tu derecho a ser informado de cualquier brecha o filtración que afecte a tus datos.

Para que esos derechos no se queden en papel mojado, la ley creó un organismo supervisor especializado: el Centro de Protección de Datos Personales, dependiente del Ministerio de Comunicaciones y Tecnología de la Información. El Centro concede licencias y autorizaciones a las entidades que tratan datos, recibe las quejas de los ciudadanos, inspecciona a los sujetos obligados, dicta directrices orientativas e impone sanciones administrativas a los infractores.

En contrapartida, la ley impone a empresas e instituciones obligaciones concretas: designar un responsable de protección de datos allí donde sea obligatorio, llevar un registro de las actividades de tratamiento, adoptar medidas técnicas y organizativas para asegurar la información y notificar al Centro, en un plazo de setenta y dos horas, cualquier brecha que afecte a los datos. La norma regula también el marketing electrónico directo: exige el consentimiento previo del destinatario, la identificación clara del remitente y una vía efectiva para dejar de recibir mensajes en cualquier momento.

La transferencia de datos personales fuera del país solo es lícita con licencia o autorización del Centro y a condición de que el nivel de protección jurídica del Estado receptor no sea inferior al que fija la ley egipcia. Es una condición de peso en la era de la computación en la nube, cuando los datos de los egipcios pueden acabar almacenados en servidores situados a miles de kilómetros de El Cairo.

La ley no nació sin dientes: las infracciones exponen a sus autores a multas que arrancan en cientos de miles de libras egipcias y que, en determinados delitos, pueden llegar a los millones, además de penas privativas de libertad en casos concretos, como la divulgación ilícita de datos sensibles. Su aplicación plena, sin embargo, quedó ligada a un reglamento ejecutivo cuya publicación se retrasó años tras la entrada en vigor de la norma, una demora que los especialistas han documentado como la brecha más visible entre el texto y la realidad.

Queda por decir que la ley no lo abarca todo ni a todos: hay exenciones definidas, entre ellas los datos que las personas tratan para uso estrictamente particular, los datos sometidos a marcos regulatorios propios, como los que caen bajo la competencia del Banco Central, y las consideraciones de seguridad nacional, reguladas por otras leyes. Entender los límites de la ley forma parte de entender tus derechos dentro de ella.

¿Y qué puede hacer el ciudadano de a pie con todo esto? En la práctica: lee las políticas de privacidad antes de aceptarlas, aunque sea por encima; no concedas a las aplicaciones permisos que su funcionamiento no necesita; pregunta a las entidades con las que tratas qué destino tienen tus datos; y guarda constancia de tus gestiones. La ley ha puesto en manos del ciudadano herramientas que antes sencillamente no existían, pero su valor real depende de que sus titulares las conozcan y de que la maquinaria encargada de aplicarlas termine de construirse en los próximos años.