Volver a página de inicio

I. Contexto y nueva regulación

Las notas principales que caracterizan el marco jurídico de regulación de la protección de los datos personales en el seno de la Unión Europea forman parte de la vox populi. Sin embargo, en muchas ocasiones, los datos personales no permanecen exclusivamente en territorio comunitario y son transferidos a terceros países. En contraposición con la situación anterior, normalmente, el usuario medio no cuenta con las mismas herramientas o, directamente, éstas suelen brillar por su ausencia; es decir, está expuesto a una mayor vulnerabilidad por su desconocimiento.

En principio, los Estados Miembros sólo permiten la transferencia de datos personales a un tercer país sin que sea necesaria ninguna garantía adicional siempre que éste garantiza un nivel de protección adecuado en materia de privacidad. A día de hoy, la Unión Europea ha declarado que quince países o territorios reúnen este criterio (1) . Entre los países de dicha lista figura Israel desde la Decisión de la Comisión de 31 de enero de 2011 de conformidad con la Directiva 95/46/CE (LA LEY 5793/1995) del Parlamento Europeo y del Consejo, relativa a la protección adecuada de los datos personales por el Estado de Israel en lo que respecta al tratamiento automatizado de los datos personales (en adelante, «Decisión de la Comisión de 2011»).

Ahora bien, la Decisión de la Comisión de 2011 se aprobó cuando estaba en vigor la ya derogada Directiva 95/46/CE (LA LEY 5793/1995) del Parlamento Europeo y del Consejo relativa a la protección adecuada de los datos personales (en adelante, «Directiva 95») y, por ende, antes de la entrada en vigor de la vigente regulación en la materia: el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (LA LEY 6637/2016) (en adelante, «RGPDP»). En dicho contexto parece lógico que Israel haya revisado su régimen jurídico y que la propia Unión Europea le haya instado a ello. En este contexto, nace el Reglamento de Protección de la Privacidad (Instrucciones para los datos transferidos a Israel desde el Espacio Económico Europeo)5783-2023 o en inglés, Privacy Protection Regulations (Instructions for Data that was Transferred to Israel from the European Economic Area), 5783-2023 (2) (en adelante, «IDTILEU»).

En relación a su entrada en vigor, el legislador israelí ha establecido momentos distintos:

• a) Desde el pasado 7 de agosto de 2023 está vigente en relación a los nuevos datos personales transferidos desde la Unión Europea a Israel a partir del 7 de mayo de 2023.
• b) Por otro lado, el próximo 7 de mayo de 2024 entrará en vigor en relación a todos aquellos datos personales que fueron transferidos desde la Unión Europea a Israel hasta el 7 de mayo de 2023.

Por su parte, la Unión Europea, recientemente, ha realizado la primera revisión de la Decisión de la Comisión de 2011. En concreto, el pasado 15 de enero de 2024 en el Informe de la Comisión al Parlamento Europeo y al Consejo sobre la primera revisión del funcionamiento de las decisiones de adecuación adoptadas con arreglo al artículo 25, apartado 6, de la Directiva 95/46/CE (LA LEY 5793/1995) (3) (en adelante, «Informe de Revisión»). En dicho documento, la Comisión Europea expone las siguientes conclusiones con relación a Israel:

• a) Muestra su satisfacción con los nuevos cambios producidos en el ordenamiento jurídico israelí en la materia, en concreto con el IDTILEU.
• b) Resalta que el acceso a los datos personales por parte de los poderes públicos está sujeto a una regulación clara y precisa.
• c) Recomienda plasmar a nivel legislativo las precisiones jurisprudenciales.
• d) Concibe el proyecto de reforma de la ley de protección de datos personales israelí —la Ley 5741-1981 de protección de la intimidad o Protection of Privacy Law 5741-1981 (en adelante, «LPDIL»)—, es decir, el Proyecto de Ley 5722-2022 sobre Protección de la Privacidad (Enmienda n.^o 14) como una oportunidad significativa para consolidar los avances en la materia.

II. Obligación de eliminar información vs derecho al olvido

Un «buque insignia» del RGPDP es la consagración del derecho de supresión o el también denominado popularmente como «derecho al olvido» en su artículo 17. El derecho de supresión o «derecho al olvido» consiste, en grandes líneas, en la posibilidad que tiene un interesado de impedir la difusión de determinada información personal suya a través de internet cuando dicha publicación no cumple los requisitos de adecuación y pertinencia exigidos por la regulación. En el otro lado de la moneada, en cambio, está Israel quien no reconoce dicho derecho. No obstante, han existido propuestas legislativas que abogaban por su implementación, en concreto (4) :

• a) En la Propuesta de Reforma a la Ley de Protección de la Intimidad israelí 5777-2017 o Privacy Protection Law Bill Propasa 5777-2017. En ella, se hizo hincapié en el derecho de una persona a ser olvidada de los buscadores de Internet inspirándose en los criterios dictados por la en su día denominada Corte de Justicia de la Unión Europa, actualmente denominado Tribunal de Justicia de la Unión Europea, en la Sentencia C-131/12, de 13 de mayo de 2014, caso Costeja. El proyecto de ley abogaba por aceptar una solicitud de eliminación previa ponderación por los tribunales de los dos intereses jurídicos en juego: el derecho a la información y la posible vulneración del derecho a la privacidad de una persona específica. Sólo cuando la infracción particular pesa más que el interés del público, en dicho supuesto, el tribunal estaría legitimado para ordenar la retirada de dicha información del buscador.
• b) Posteriormente, se intentó de nuevo su regulación con la Propuesta de Ley de Protección de la Intimidad 5780-2019 o Privacy Protection Law Bill Proposal 5780-2019 reproduciendo prácticamente lo dispuesto en el anterior párrafo, sin embargo, tampoco llego a aprobarse.

Esta es la posición legislativa. No obstante, cabe preguntarse cuál es la posición de los Tribunales israelíes en relación al mismo. Los pronunciamientos jurisprudenciales en Israel al respecto son escasos. No obstante, se puede resaltar la recaída en el conocido caso Savir vs Noy-Google (5) cuyo pronunciamiento se inclinó por una interpretación bastante estricta. El asunto versaba sobre un abogado israelí —Amir Savir— quien representó al Colegio de Abogados de Israel en un procedimiento disciplinario. Amir Savir alegaba que al teclear su nombre en Google el buscador remitía a una página web donde se recogía una información inexacta respecto a su posición en dicho procedimiento; si bien su papel pasó por ostentar la representación legal del Colegio de Abogados de Israel resultando condenada dicha institución, figuraba él en cambio como el sancionado. Ante dicha situación, Amir Savir decide ponerse entonces en contacto tanto con la página web como Google solicitando la eliminación de los datos incorrectos, sin embargo, se lo deniegan.

Ante su pasividad, Amir Savir interpone una demanda tanto contra el operador de la página web (Sr. Noy) como Google solicitando una indemnización por atentar contra su honor al dañar su reputación profesional. El Tribunal desestimó su demanda contra Google, pero aceptó en cambio las peticiones contra el operador de la página web alegando que Google no tenía responsabilidad alguna por el contenido de una página perteneciente a un tercero al ser un mero canalizador de información. Al ver parcialmente estimada sus peticiones, decide recurrir. En apelación, el Tribunal de Distrito sostuvo que Google también es responsable de la publicación incorrecta, ahora bien, de forma muy limitada. Es decir, entiende que Google sólo es responsable en aquellos casos donde el tercero que genera el contenido inexacto no coopera o se niega a la solicitud de eliminación y, además, exista certeza de que los datos son incorrectos.

Como ya mencioné anteriormente, si bien la LPDIL no reconoce el derecho de supresión o «derecho al olvido», regula en cambio el derecho de rectificación en su artículo 14 LPDIL cuando la información sea incorrecta, incompleta, no clara o esté desactualizada sin perjuicio de los eventuales pronunciamientos que pudieran recaer sobre a su interpretación por parte de los Tribunales. A lo que hay que sumar también desde la aprobación del IDTILEU, si bien sólo para los datos personales procedentes de la Unión Europea, un «derecho de eliminación» recogido en el artículo 3 de dicho texto.

Según dicha regulación, el Responsable suprimirá los datos, previa solicitud por escrito del interesado si se da una de las circunstancias siguientes:

• a) Los datos fueron creados, obtenidos, acumulados o recogidos contraviniendo las disposiciones de cualquier ley, o que el uso ulterior de aquellos infringe la ley;
• b) Los datos ya no son necesarios para los fines para los que fueron creados, obtenidos, acumulados o recogidos;

Sin embargo, el Responsable podría rechazar la petición de eliminación en la medida en que el uso de los datos sea necesario y proporcionado para

• a) Ejercer el derecho a la libertad de expresión, incluido el derecho de información;
• b) Cumplir una obligación legal o ejercer una autoridad en virtud de la ley;
• c) Protección de un interés público, incluso con fines de archivo, investigación científica o estadística;
• d) Llevar a cabo un procedimiento judicial o garantizar el cobro de deudas;
• e) Hacer frente a fraudes, robos u otros incidentes que afecten a la integridad de las operaciones de tratamiento de datos;
• f) Cumplimiento de una obligación derivada de un acuerdo internacional del que sea parte Israel.

Si el Responsable considera que las exclusiones no son aplicables, eliminará los datos bajo su control, o llevará a cabo acciones que aseguren que es imposible, mediante la aplicación de medidas razonables, identificar al interesado.

Su decisión será notificada siempre por escrito al interesado a la mayor brevedad posible según las circunstancias.

En definitiva, sólo se reconoce un derecho de eliminación que no de supresión a los datos transferidos desde la Unión Europea; es decir, este mismo régimen no se contempla para los datos de ciudadanos israelíes en Israel. Asimismo, sólo cabe instar su solicitud por circunstancias tasadas y el Responsable cuenta con motivos bastante amplios para denegar su estimación. Finalmente, no tendrá que eliminarlo literalmente, sino que podrá optar por anonimizarlos.

III. Otras novedades: reglas sobre la eliminación del exceso de información personal relativa a los datos personales; adecuación de los datos; obligación de notificación y; datos sensibles

1. Reglas sobre la eliminación del exceso de información personal relativa a los datos personales

Con carácter previo a la aprobación del IDTILEU, este punto se regulaba exclusivamente en el apartado 2 (c) de la denominada en castellano Normativa sobre Protección de la Privacidad (Seguridad de los Datos) 5777-2017 y, en inglés Protection of Privacy Regulations (Data Security) 5777-2017 (6) . Según dicho precepto, independiente de que los datos personales fueran de ciudadanos israelíes o comunitarios, el Responsable de la base de datos tenía la obligación de revisar anualmente si los datos almacenados en ella excedían los fines de su recogida. Es decir, anualmente se preveía la obligación de comprobar este punto por parte de los Responsables de los datos en Israel.

Ahora bien, con la aprobación del IDTILEU se refuerzan las obligaciones de los Responsables en este extremo en lo que respecta a los datos personales transferidos desde la Unión Europea. Así, según el apartado 4 del IDTILEU:

• (a) El Responsable deberá de disponer de un mecanismo organizativo, tecnológico o de cualquier otro tipo, cuya finalidad sea garantizar que la base de datos no incluya datos que ya no sean necesarios para la finalidad para la que fueron recogidos o conservados, o para cualquier otra finalidad para la que puedan conservarse con arreglo a la ley.
• (b) Si verifica que en la base de datos se conservan datos que no son necesarios deberá proceder a su supresión inmediata en función de las circunstancias del caso.
• (c) Sin embargo, no será de aplicación la obligación anterior cuando concurran alguna de las siguientes circunstancias:
  • c.1 Implante medidas razonables que aseguren la imposibilidad de identificar a la persona a la que se refieren aquellos; es decir, opte por su anonimización a pesar de que no proceda su conservación;
  • c.2 O, en la medida que el uso de los datos sea necesario y proporcionado para alguna de las siguientes finalidades:
    • — El ejercicio del derecho a la libertad de expresión, incluido el derecho de información;
    • — La protección de un interés público, incluso con fines de archivo investigación científica o estadística;
    • — Llevar a cabo un procedimiento judicial o garantizar el cobro de deudas;
    • — Hacer frente a fraudes, robos u otros incidentes que afecten a la integridad de las operaciones de tratamiento de datos.
    • — Cumplir una obligación derivada de un acuerdo internacional del que sea parte el Gobierno de Israel.

En definitiva, la principal novedad del IDTILEU pasa por regular por primera vez la obligación de implementar mecanismos que aseguren la no conservación de exceso de información relativa a los datos personales que ya no sean necesarios para la finalidad para la que fueron recogidos, además de añadir la obligación de proceder a su eliminación sin perjuicio de las excepciones previstas. Supone un paso, no obstante, deja la puerta abierta aún a posibles abusos al respecto por la amplitud de las excepciones recogidas legalmente.

2. Adecuación de los datos

El artículo 14 de la LPDIL ya reconocía este derecho tanto para los datos personales de los ciudadanos israelíes como para los comunitarios. Sin embargo, no se contemplaba entre los cometidos del Responsable velar por su adecuación sino sólo a instancias del interesado. Es decir, si aquel al inspeccionar cualquier información sobre sí mismo entendiese que aquella no era correcta, estuviera incompleta, no fuera clara o estuviese desactualizada podría entonces dirigirse al Responsable para instar su corrección o eliminación.

En este punto, el IDTILEU supone un gran avance para los datos personales de los ciudadanos de la Unión Europea que son objeto de transferencia a Israel. Según su precepto 5, el Responsable deberá de disponer de un mecanismo organizativo, tecnológico o de cualquier otro tipo cuya finalidad sea garantizar que los datos de la base de datos son correctos, completos, claros y están actualizados. En el supuesto de que esta circunstancia no se verificase, estará obligado a tomar las medidas razonables aplicables al caso con el fin de proceder bien a su rectificación o supresión.

A pesar del importante paso dado en este punto, según los ojos de mucho especialistas en Israel (7) , la carga impuesta es bastante significativa o gravosa: por un lado, en la medida que el peso esta obligación recae en el Responsable y, por otro, exigiendo contar con mecanismos adecuados para garantizar su cumplimiento. Es decir, se muestran reticentes o cautos a que efectivamente esto puedo llegar a ser una realidad en un corto plazo.

3. Obligación de notificación

La obligación de notificar al interesado que sus datos han sido transferidos desde la Unión Europea a Israel no es una novedad de la IDTILEU; previamente, la LPDIL ya la contemplaba en su artículo 11. Según dicho precepto, la carga de esta obligación recaía en la entidad que recogía los datos personales y no en cambio en el Responsable receptor de la trasferencia. Con la nueva regulación, tal y como establece su artículo 6 del IDTILEU, el Responsable receptor informará de esta transferencia al interesado, directa o indirectamente, a través de la entidad que los proporcionó y tan pronto como sea posible tras recibirlos y a no más tardar en el plazo de un mes a partir de la fecha de su recepción. En la notificación deberá exponer los puntos siguientes:

• a) La identidad del Responsable y del Encargado de su Tratamiento, junto a sus direcciones e información de contacto;
• b) La finalidad de la transferencia de los datos;
• c) El tipo de datos transferidos;
• d) La existencia del derecho de supresión, de conformidad con el artículo 2 del IDTLILEU anteriormente expuesto además de su derecho acceder y rectificarlos con arreglo a los artículos 13 y 14 del LPDIL.

Además, si posteriormente decidiera luego transferirlos de nuevo a un tercero informará de ello al interesado, directa o indirectamente, a través de la entidad que los proporcionó.

Ahora bien, el régimen jurídico anterior no resultará de aplicación cuando:

• a) El Responsable tenga motivos razonables para suponer que los puntos anteriores ya son conocidos por el interesado;
• b) La información de contacto del interesado no es conocida por el Responsable o el cumplimiento de esta obligación implique una carga excesiva para el responsable del tratamiento;
• c) La existencia de un deber de confidencialidad prescrito por ley o una prohibición legal de divulgación de los datos;
• d) El ejercicio del deber de informar puede perjudicar la vida, la salud o la integridad física de una persona;
• e) El ejercicio del deber de informar puede perjudicar el ejercicio del derecho de información;
• f) El cumplimiento de este deber pueda acarrear la lesión de derechos de una o varias personas en un grado superior al perjuicio causado al interesado como consecuencia de no revelar los detalles citados.

Las intenciones de esta reforma son claras: asegurar lo máximo posible que los ciudadanos de la Unión Europea conozcan que sus datos se han transferido a Israel. No obstante, bajo mi punto de vista y desde una perspectiva práctica, resulta cuanto menos que una «utopía». Su cumplimiento requiere de una gran colaboración entre las entidades emisoras y receptoras y el día a día refleja que esto no es siempre así. Ante dicha situación, es probable que el Responsable israelí aplique la excepción de que su cumplimiento implica una carga excesiva. Asimismo, cabe que se ampare en que el interesado ya es conocedor de esta circunstancia por estar ya informado por el Responsable comunitario; no obstante, considero prácticamente inverosímil que los Responsables europeos sean conocedores tanto de esta regulación como de las diferencias entre las políticas de privacidad de datos de Israel y la Unión Europa, dejando a su suerte a los interesados ante una eventual transferencia de datos a este país. En definitiva, si bien resulta ambiciosa y necesaria sin una fuerte colaboración entre las partes implicadas lo más probable es que quede reducida a «un papel mojado».

4. Datos sensibles

Según el artículo 7 de la LPDIL se definen como datos sensibles a:

• a) Los datos sobre la personalidad, asuntos íntimos, estado de salud, posición económica, opiniones y creencias de una persona y;
• b) Aquella información que el Ministro de Justicia determine por orden ministerial, con la aprobación de la Comisión de Constitución, Derecho y Comisión de Constitución, Derecho y Justicia de la Knesset (8) , como dato sensible.

Con el IDTILEU —artículo 7— y sólo para los datos transferidos desde la Unión Europea, tendrán también esta consideración los siguientes:

• a) Datos relativos al origen étnico de una persona.
• b) Los datos sindicales.

Es decir, se han incluido conceptos de datos sensibles comunitarios en esta categoría jurídica. Aunque exista esa asimetría para los datos israelíes aquí no es del todo marcada por dos motivos: los datos sindicales pueden llegar a tener la consideración de sensibles si relevan opiniones o creencias de una persona (9) y; los datos relativos al origen étnico están en vías de calificarse como sensibles en la LPDIL en la Enmienda 14 (10) ) a dicha regulación que está en vías de aprobación parlamentaria a día de hoy.

La principal consecuencia jurídica que conlleva ser considerado dato sensible en Israel es que las bases de datos que contengan este tipo de información deben ser Registradas ante la Autoridad competente de conformidad con el artículo 8. c. 2 de la LPDIL.

IV. Diferencias de tratamiento entre datos de ciudadanos de la Unión Europea vs ciudadanos no comunitarios en Israel

Con el IDTILEU se ha establecido una «doble bala de medir»: la «privilegiada» correspondiente a los datos comunitarios y, por otro lado, la «perdedora», la relativa a sus propios ciudadanos. Dejando de lado la asimetría ya resaltada en todos los puntos objeto de análisis en el presente artículo, este doble régimen jurídico puede plantear problemas prácticos para el Responsable de cara a garantizar su aplicación; a fin de cuentas, normalmente, en Israel, todos los datos son almacenados en una misma base de datos con independencia de su origen o procedencia. De ser imposible la distinción en la base de datos entre los datos israelíes y comunitarios, al menos con los datos transferidos con carácter previo a la entrada en vigor de dicho texto, todos en su conjunto recibirán el mismo tratamiento: es decir, el introducido por el IDTILEU. En contrapartida, cuando sea posible una distinción entre ellos esta diferencia de tratamiento será una realidad evidenciando el trato diferenciado de derechos. Asimismo, lo más probable es que de ahora en adelante los Responsables aboguen por establecer bases diferenciadas entre datos israelíes y comunitarios por el menor «gravamen de trabajo» que implica la legislación del LPDIL en contraposición con el marco jurídico del IDTILEU.

V. Conclusión: «Talones de Aquiles» de la nueva regulación y la Enmienda 14

La importancia de ser catalogado como un país o territorio que garantice suficientemente la protección de los datos personales según los estándares de la Unión Europea es más que evidente tanto desde un punto de vista económico como político y aún más para Israel, al tratarse de un estandarte tecnológico y mantener un importante flujo comercial con la comunidad europea. Que Israel conservase dicho estatuto dependía en gran parte de la aprobación del marco jurídico implantado por medio del ya analizado IDTILEU. Si bien este texto ha reforzado la protección de los datos personales transferidos desde la Unión Europea, ha quedado a medio gas en muchos puntos, además de ser poco realista desde el punto de vista práctico y técnico; es decir, cuenta con sus propios «talones de Aquiles». Sobre todo, en lo que respecta a las obligaciones del Responsable en cuanto a sus deberes de notificación o a contar con mecanismos organizativos, tecnológicos o de cualquier otro tipo, cuyas finalidades sean garantizar que las bases de datos no incluyan datos inexactos o que ya no sean necesarios para la finalidad para que han sido obtenidos o conservados. Por su parte, la marcada diferencia de tratamiento entre los datos comunitarios e israelíes puede ser resultar «desproporcionada» e «injustificada». En mi opinión, lo correcto habría sido por establecer una homogeneidad de derechos para ambos a través de una enmienda a la LPDIL.

Precisamente y, desde el año 2022, se encuentra en vías de tramitación parlamentaria ante el Knesset la Enmienda 14 de la LPDIL. El objetivo de dicha regulación será asimilar bastante el marco jurídico de protección de datos personales de Israel con la Unión Europea. Aunque no esté incluido a día de hoy dentro del borrador de su texto sería aconsejable aprovechar la ocasión para mejorar estas deficiencias legislativas además de corregir la asimetría de tratamiento.

VI. Bibliografía

AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS. ¿Qué países se consideran con un nivel adecuado a efectos del artículo 45 del RGPD? https://www.aepd.es/preguntas-frecuentes/6-transferencias-internacionales-bcr-codigos-de-conducta/1-transferencias-internacionales/FAQ-0605-que-paises-se-consideran-con-un-nivel-adecuado-a-efectos-del-articulo-45-del-rgpd.

BEN-ISRAEL, DALIT. Israel: New privacy protection regulations on data transfers from the EEA – What you need to know. 7 de mayo de 2023. https://www.dataguidance.com/opinion/israel-new-privacy-protection-regulations-data

COMISIÓN EUROPEA. Informe de la Comisión al Parlamento Europeo y al Consejo sobre la primera revisión del funcionamiento de las decisiones de adecuación adoptadas con arreglo al artículo 25, apartado 6, de la Directiva 95/46/CE (LA LEY 5793/1995). Publicado el 15 de enero de 2024 en https://commission.europa.eu/document/f62d70a4-39e3-4372-9d49-e59dc0fda3df_en.

GLOBAL FREEDOM OF EXPRESION COLUMBIA UNIVERSITY. Amir Savir v. Google. https://globalfreedomofexpression.columbia.edu/cases/ami-savir-v-google-israel/

SHAHAR, LIOR. The Right to be Forgotten-an Israeli Perspective. https://cyber.haifa.ac.il/index.php/all-posts/forgotten#_ftnref12.

THE KNESSET. Enmienda 14 a la Ley de Privacidad 5741-1981. https://fs.knesset.gov.il/24/law/24_ls1_615961.pdf

THE KNESSET. The Work of the Knesset. https://main.knesset.gov.il/en/about/pages/knessetwork.aspx

THE PRIVACY PROTECTION AUTHORITY OF ISRAEL. Protection of privacy regulations (data security) 5777-2017. Publicado el 8 de mayo de 2017 en https://www.gov.il/en/departments/legalInfo/data_security_regulation.

THE PRIVACY PROTECTION AUTHORITY OF ISRAEL. Privacy Protection Regulations (Instructions for Data that was Transferred to Israel from the European Economic Area), 5783-2023. Publicado el 7 de junio de 2023 en https://www.gov.il/en/departments/legalInfo/datatransferredisrael2023.