La excepción que fue regla: el consentimiento en tiempos de pandemia

Víctor Práxedes Saavedra y Juan Carlos Upegui

Investigadores de Dejusticia

La urgencia por reaccionar a la pandemia se ha convertido en una nueva amenaza para el derecho a la protección de datos de los habitantes de Colombia. El caso de cierta interpretación del artículo 10 de la Ley de Protección de Datos (L. 1581/12), que introduce precisas excepciones al deber de obtener el consentimiento para el tratamiento de la información personal parece indicar que no importa si una interpretación es equivocada, si suena efectiva y permite lograr finalidades constitucionales, bien vale que se abra camino. Sin embargo, la urgencia es mala consejera de la hermenéutica. Veamos cómo va el asunto. Como mencionamos, el artículo 10 de la Ley 1581 establece algunas excepciones al consentimiento como presupuesto para el tratamiento legítimo de la información personal. El literal c), en particular, señala que la autorización del titular no será necesaria cuando se trate de casos de urgencia médica o sanitaria.

Una lectura efectista de este literal nos ha llevado al escenario descrito. ¿Y cómo no? Si encontramos la expresión urgencia en un artículo que exceptúa la regla general del consentimiento previo, pues lo más obvio es que así sea. Al fin y al cabo, ¿qué valor tiene el consentimiento de los individuos cuando es imperioso proteger la salud pública? Lo delicado es que esta interpretación parece haber hecho carrera a un alto nivel. Hay un par de ejemplos al respecto. El más crítico, por provenir de la misma autoridad nacional de protección de datos, es el de la Circular Externa 1 de la Superintendencia de Industria y Comercio, que utiliza el artículo 10.c) como criterio habilitante para que actores privados transmitan a las entidades públicas, sin mediar el consentimiento de sus titulares, los datos personales necesarios para implementar las medidas que adopte el Gobierno Nacional con ocasión del Estado de Emergencia. Otro, no menos alarmante, es el de la política de tratamiento de la información de Coronapp, que señala que no es necesario recolectar los datos con la autorización de las personas porque así lo permite el artículo 10, citando a renglón seguido los literales a) y c) de la Ley 1581.

¿Supone la excepción mencionada una habilitación general que releva el deber de obtener el consentimiento del titular de los datos en una situación de pandemia? Opinamos que no, por dos razones. Primero, porque esta interpretación desconoce la que a su vez realizó la Corte Constitucional al momento de declarar la exequibilidad del proyecto de ley estatutaria de protección de datos personales. En la Sentencia C-748 del 2011, frente al proyecto de artículo 10, la Corte consideró que “frente a los casos de urgencia médica y sanitaria [...] la norma debe entenderse que opera sólo en los casos en que dada la situación concreta de urgencia, no sea posible obtener la autorización del titular o resulte particularmente problemático gestionarla, dadas las circunstancias de apremio, riesgo o peligro para otros derechos fundamentales, ya sea del titular o de terceras personas y así lo declara exequible, de conformidad con lo expuesto en la parte motiva”. Es decir, para que pueda exceptuarse la obligación de obtener el consentimiento del titular han de concurrir los siguientes requisitos: (i) que suceda en una situación concreta de urgencia, (ii) que sea imposible o particularmente problemático obtener el consentimiento y (iii) que estén en riesgo o peligro otros derechos fundamentales del titular o de terceros.

En segundo lugar, la interpretación del artículo 10.c) en el sentido de una habilitación general para relevar la obligación de obtener el consentimiento rompe la lógica y la hermenéutica de toda regla de excepción. Más aún si se trata, como ahora, de una norma que limita un derecho fundamental. En todo caso, su interpretación debe ser restrictiva. Lo que está en juego aquí es el consentimiento de los titulares de los datos personales, la posibilidad de control sobre la propia información en la fuente y, en últimas, el principio general de libertad, uno de los ejes estructurales del derecho a la protección de datos personales.

En contra, lo que vemos es la interpretación extensiva de esta excepción, no frente a una urgencia concreta, con personas claramente identificadas e individualizadas. Vemos también que, sin negar la entidad de la emergencia sanitaria y de las medidas de urgencia que esta requiere, su propia evolución no ha derivado per se en una imposibilidad de obtener el consentimiento de los ciudadanos para el tratamiento de sus datos personales. Tampoco estamos en la hipótesis del apremio o del riesgo de afectación de otros derechos fundamentales derivados de la obtención del consentimiento. Esta hipótesis responde a situaciones concretas en las que gestionar el consentimiento, aunque posible, excede el tiempo disponible para la intervención médico-sanitaria. La situación de emergencia sanitaria no puede servir de atajo para la captura masiva o para el tratamiento inconsulto de los datos personales, ni resultar en esa suerte de catástrofe que justifica el sacrificio de la libertad en el ara de la eficiencia.

En conclusión, el análisis sobre la posibilidad de omitir la obtención del consentimiento en el caso de la hipótesis del artículo 10.c) de la Ley 1581 de 2012 no puede ser abstracto y en ningún caso debe entenderse como una habilitación general. El Estado constitucional repudia las limitaciones excesivas a los derechos fundamentales. Obliga a que toda limitación de estos derechos esté justificada, sea proporcional y consulte las particularidades del caso. A la situación de emergencia desatada por la covid-19, la incertidumbre sobre el futuro y los impactos negativos que ya padecemos no puede añadirse el deterioro de las garantías de los derechos fundamentales.