La protección de los datos personales no es un derecho absoluto. En determinadas circunstancias, debe convivir con otros intereses legítimos y objetivos de interés general. Así lo ha vuelto a recordar el Tribunal de Justicia de la Unión Europea (TJUE) en una reciente sentencia relacionada con la publicación en Internet de los nombres de deportistas profesionales sancionados por infringir las normas antidopaje.
La resolución aborda una cuestión especialmente interesante desde el punto de vista de la privacidad: ¿puede una organización publicar públicamente datos personales de una persona sancionada sin vulnerar el Reglamento General de Protección de Datos (RGPD)?
La respuesta del TJUE es que sí puede hacerlo, pero no de forma automática ni ilimitada. La publicación debe estar justificada, responder a una finalidad legítima y respetar, en todo momento, el principio de proporcionalidad.
El origen del caso: deportistas sancionados que recurrieron la publicación de sus datos
El asunto analizado por el TJUE, C-474/24, tiene su origen en Austria. Varios deportistas profesionales fueron sancionados por infringir la normativa nacional antidopaje y se enfrentaban, además de a la prohibición de participar en competiciones, a la publicación de determinada información sobre sus sanciones.
La normativa contemplaba la difusión en Internet de datos como:
- El nombre del deportista.
- La duración de la sanción.
- Los motivos de la misma.
- Información relacionada con la infracción cometida.
Los deportistas afectados cuestionaron esta práctica al considerar que la publicación podía vulnerar su derecho a la protección de datos personales y, especialmente, que parte de esta información podía estar relacionada con datos relativos a su salud.
La controversia llegó finalmente al Tribunal de Justicia de la Unión Europea, que tuvo que analizar cómo debe equilibrarse el derecho a la privacidad con los objetivos de transparencia y lucha contra el dopaje.
La lucha contra el dopaje es un objetivo de interés general
Uno de los principales argumentos de la sentencia es que la lucha contra el dopaje persigue objetivos que pueden considerarse de interés general.
El TJUE destaca que las políticas antidopaje tienen como finalidad preservar la integridad y la lealtad de las competiciones deportivas, garantizar la igualdad de oportunidades entre los participantes, proteger la salud de los deportistas y defender los valores éticos vinculados al deporte.
Desde esta perspectiva, informar sobre determinadas sanciones puede contribuir a que las medidas antidopaje sean realmente eficaces.
La publicación de la identidad de un deportista sancionado no tendría únicamente una función informativa. También puede tener un efecto preventivo y disuasorio, tanto para el propio infractor como para otros deportistas.
Sin embargo, que exista un objetivo legítimo no significa que cualquier publicación esté automáticamente permitida.
El RGPD exige aplicar el principio de proporcionalidad
Este es probablemente el aspecto más relevante de la sentencia desde el punto de vista de la protección de datos.
El TJUE recuerda que la publicación de información personal en Internet constituye una injerencia importante en la privacidad de las personas. Una vez que determinada información se publica online, puede ser consultada por un número potencialmente ilimitado de personas, reproducida en otros sitios web y permanecer accesible incluso después de haber sido eliminada de su fuente original.
Por este motivo, la publicación debe superar un análisis de proporcionalidad.
Esto implica valorar, entre otras cuestiones:
- Si la publicación persigue una finalidad legítima.
- Si resulta adecuada para alcanzar esa finalidad.
- Si existen alternativas menos invasivas para los derechos de la persona afectada.
- Si la difusión de los datos resulta proporcionada teniendo en cuenta las circunstancias concretas del caso.
Por tanto, la transparencia no puede convertirse en una autorización general para publicar datos personales sin límites.
No toda la información relacionada con el dopaje es un dato de salud
Otro de los aspectos analizados por el Tribunal está relacionado con la posible consideración de estos datos como categorías especiales de datos, concretamente datos relativos a la salud.
El RGPD establece una protección reforzada para este tipo de información. Sin embargo, el TJUE considera que el hecho de indicar que una persona ha cometido una infracción de las normas antidopaje y ha sido sancionada por ello no constituye, en principio, un dato relativo a la salud.
La situación puede cambiar cuando la información publicada permita conocer o deducir datos sobre el estado físico o mental de la persona.
Por ejemplo, la publicación del nombre o categoría de una sustancia o de un método prohibido podría, dependiendo del contexto y de la información disponible, revelar indirectamente aspectos relacionados con la salud del deportista.
Esta distinción es especialmente importante para las organizaciones que tratan información sensible: no basta con analizar el nombre que recibe un dato, sino que también es necesario valorar qué información puede revelar realmente sobre una persona.
La publicación debe analizarse atendiendo a cada situación
La sentencia establece que la normativa puede prever la publicación de determinados datos de deportistas profesionales sancionados. Sin embargo, deben existir garantías suficientes para asegurar el cumplimiento del RGPD.
Entre otras circunstancias, puede ser necesario tener en cuenta:
- La gravedad de la infracción.
- La condición del deportista.
- El nivel de notoriedad pública de la persona afectada.
- La posible existencia de circunstancias que hagan desproporcionada la publicación.
- La situación de personas especialmente vulnerables.
Este enfoque demuestra una cuestión fundamental en materia de privacidad: la protección de datos exige evitar soluciones completamente automáticas cuando las circunstancias individuales pueden afectar de manera significativa a los derechos de las personas.
¿Son estas sanciones equivalentes a antecedentes o condenas penales?
El TJUE también aclara que las infracciones y sanciones relacionadas con la normativa antidopaje no deben considerarse, a estos efectos, tratamientos de datos relativos a condenas e infracciones penales regulados por el artículo 10 del RGPD.
Se trata de sanciones vinculadas a un grupo concreto —los deportistas— y orientadas a garantizar el cumplimiento de las normas propias de esa actividad.
Esta diferenciación jurídica resulta relevante porque el RGPD establece requisitos específicos para el tratamiento de información relacionada con condenas e infracciones penales.
La importancia de limitar la información y el tiempo de publicación
Uno de los riesgos más importantes de publicar información personal en Internet es la pérdida de control sobre los datos.
Una noticia, una resolución o una sanción publicada online puede ser copiada, indexada por buscadores, compartida en redes sociales o reproducida por terceros. Incluso cuando la información desaparece de la página original, puede continuar circulando durante años.
Por ello, el principio de proporcionalidad también obliga a analizar cuestiones como qué información es realmente necesaria publicar y durante cuánto tiempo debe permanecer accesible.
No siempre será necesario publicar todos los detalles relacionados con una sanción. La minimización de datos sigue siendo una obligación esencial del RGPD.
Las organizaciones deben preguntarse: ¿Es necesario publicar este dato concreto para cumplir la finalidad perseguida?
Si la respuesta es negativa, su publicación podría resultar difícil de justificar desde la perspectiva de la protección de datos.
Una sentencia con implicaciones más allá del deporte
Aunque el caso se refiere específicamente a la lucha contra el dopaje, las conclusiones del TJUE tienen interés para muchas otras organizaciones.
Administraciones públicas, colegios profesionales, asociaciones, federaciones deportivas, organismos reguladores y empresas pueden enfrentarse a situaciones similares cuando deben decidir si determinada información sobre sanciones, incumplimientos o medidas disciplinarias debe hacerse pública.
La principal enseñanza de esta resolución es clara: el interés público y la transparencia pueden justificar la publicación de datos personales, pero siempre dentro de unos límites.
Antes de hacer pública información que identifique a una persona, conviene analizar:
- Cuál es la base jurídica del tratamiento.
- Qué finalidad concreta persigue la publicación.
- Qué datos son estrictamente necesarios.
- Si existen alternativas menos invasivas.
- Durante cuánto tiempo permanecerá disponible la información.
- Qué impacto puede tener la publicación sobre los derechos y libertades de la persona afectada.
Privacidad y transparencia: encontrar el equilibrio
La sentencia del TJUE vuelve a demostrar que la protección de datos no consiste simplemente en impedir la utilización de información personal.
El RGPD busca establecer un equilibrio entre la protección de los derechos fundamentales de las personas y otros intereses legítimos reconocidos por la sociedad.
En el caso de la lucha contra el dopaje, el Tribunal considera que la publicación de determinados datos puede contribuir a preservar la integridad del deporte y prevenir futuras infracciones. Pero esta posibilidad no elimina la obligación de respetar principios esenciales como la proporcionalidad, la minimización de datos y la limitación de la finalidad.
Para las organizaciones, la lección es especialmente relevante: publicar datos personales porque existe una finalidad legítima no es suficiente. También es necesario demostrar que la publicación concreta es necesaria y proporcionada.
La privacidad debe analizarse antes de publicar, no después de que la información ya esté disponible para todo Internet.
¿Necesitas asesoramiento sobre la publicación de datos personales?
La difusión pública de sanciones, resoluciones, listados o cualquier otra información identificativa puede generar importantes riesgos en materia de protección de datos.
En FORLOPD ayudamos a empresas, entidades y organizaciones a analizar la licitud de sus tratamientos de datos, aplicar el principio de proporcionalidad y establecer medidas adecuadas para cumplir con el RGPD y la LOPDGDD. Solicítanos más información.
Fuente: Confilegal
