Libertad de información VS protección de datos personales


Manuel Castilleja Toscano     08/11/2021

Normativa aplicable


Las únicas referencias normativas relativas a la libertad de información se encuentran en el artículo 20 de la CE, sobre los derechos de libertad de expresión y de información, y en el artículo 85 del Reglamento (UE) 2016/679, a parte del artículo 7 de la Ley Orgánica 1/1982, de 5 de mayo, de protección civil del derecho al honor, a la intimidad personal y familiar y a la propia imagen, que la limita atendiendo al derecho a la intimidad.

El Reglamento (UE) 2016/679 (en adelante GDPR), en su artículo 85 y en el considerando 153, deja en manos de los Estados miembros de la UE la tarea de establecer los límites entre el derecho a la protección de datos personales y las libertades de expresión e información, obligándoles a conciliar por ley el equilibrio entre ambos.

Por lo tanto, sería fundamental que, en base a lo expuesto, las autoridades de cada Estado implementen esta obligación en el derecho nacional para proteger las fuentes periodísticas de tal forma que no se utilice la protección de datos como argumento para forzar a los periodistas a no realizar sus cometidos bajo la libertad de expresión e información y protección de las Fuentes.

Sin embargo, el ordenamiento jurídico español, en este caso la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), sólo menciona la libertad de expresión en el artículo 85 estableciendo que “Todos tienen derecho a la libertad de expresión en Internet”, pero sin indicar medidas para conciliarlo con el derecho a la protección de datos personales. Por tanto, serán las Autoridades de control y/o los Tribunales quienes en cada caso concreto determinen los criterios para la conciliación entre los mencionados derechos.

Las únicas referencias de la LOPDGDD que impliquen alguna previsión que involucre ambos derechos son los artículos 85, 86, 93, 94 y 95, relativos al derecho de rectificación, al derecho de supresión u olvido y al derecho de portabilidad de datos. Más aún, dicho artículo 85 remite a la Ley Orgánica 2/1984, la cual establece un período de 7 días para ejercer el derecho de rectificación, innecesario, puesto que el ejercicio del derecho de rectificación previsto en el artículo 16 del GDPR y en el artículo 14 de la LOPDGDD procedería en todos los casos en los que la rectificación de la Ley Orgánica 2/1984 fuese posible, sin la limitación temporal que la misma establece.

Por tanto, al no estar regulada aun esta conciliación entre ambos derechos en nuestro ordenamiento jurídico, tendremos que acudir a la Jurisprudencia, en concreto a la del Tribunal Europeo de Derechos Humanos, que ya estableció en 2019 unos criterios a tener en cuenta para equilibrarlos cuando entran en conflicto:

  • La persona o personas involucradas en la información: si se trata de personas actuando en un contexto público como políticos o figuras públicas o no.
  • El interés público de la información: debe valorarse en cada caso concreto si los hechos objeto de la información pueden contribuir al debate en una sociedad democrática y son de interés público o si bien aun siendo relativos a una figura pública son parte de su vida privada. Aun así, ha sido admitido que en algunas circunstancias que el derecho a ser informado podrá extenderse a aspectos de la vida privada de las figuras públicas.
  • La veracidad de la información: no se requiere que la información sea absolutamente veraz, sino que pueda verificarse su contenido y que el autor haya sido lo suficientemente diligente para comprobar la realidad del contenido.
  • El contenido, la manera en que se obtiene la información y la forma y consecuencias de la difusión.
  • La conducta del afectado antes de la publicación: si el afectado hizo públicos los hechos no podrá quejarse.
  • La posibilidad de que el responsable del tratamiento adopte medidas que permitan mitigar el alcance de la injerencia en el derecho a la intimidad.

En España, el Tribunal Constitucional, en relación concretamente con el derecho a la información, ha dicho que prevalece sobre los derechos del art. 18.1 de la CE (honor, intimidad personal y familiar y la propia imagen), siempre y cuando se cumplan dos requisitos esenciales:

  • Que la información sea veraz.
  • Que tenga relevancia pública, es decir, que aporte información trascendente a la discusión democrática y social.

Tratamiento de datos personales con fines periodísticos


La legitimación para el tratamiento de datos personales en el ámbito periodístico de personas que formen parte de la información divulgada (noticia) por ser de relevancia pública, por su notoriedad pública o por circunstancias sobrevenidas en hechos de interés público de los que son protagonistas, será la necesidad de dar cumplimiento a una misión realizada en interés público. (art. 6.1.e GDPR).

Cuando se traten categorías especiales de datos (art. 9 GDPR) con fines de divulgación de información (noticias), se podrá basar en alguna de las siguientes excepciones:

  • el interesado haya hecho manifiestamente públicos sus datos (art. 9.2.e GDPR)
  • el tratamiento sea necesario por razones de un interés público esencial, sobre la base de alguna Ley (art 20.1.d CE), y sea proporcional al objetivo perseguido, respetando en lo esencial el derecho a la protección de datos y estableciendo medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado (art. 9.2.g GDPR).

Cuando se traten datos relativos a condenas e infracciones penales (arts. 10 GDPR y 10.1 LOPDGDD), sólo podrá llevarse a cabo bajo la supervisión de las autoridades públicas o cuando lo autorice una ley (art. 20.1.d CE); entonces habría que informar también en la legitimación que, cuando se traten esos tipos de datos, será autorizado también por una ley.

Los datos personales pueden ser obtenidos directamente del interesado o a través de la investigación y los recursos periodísticos a disposición del medio de comunicación en cuestión (Responsable del tratamiento).

En los casos que los datos no se hayan obtenido del interesado, para dar cumplimiento al deber de información del art. 14 GDPR y conforme a su apartado 5.b), cuando resulte imposible o requiera un esfuerzo desproporcionado informar del tratamiento, se adoptarán medidas adecuadas para proteger sus derechos, libertades e intereses legítimos, inclusive haciendo publica la información, por ejemplo, a través de la política de privacidad de la web del Responsable.

En este caso los datos personales se tratarán de forma indefinida en el tiempo.