Luego de haber sido aprobado por parte de la Cámara de Diputados de la Nación el Convenio 108 modernizado o también identificado como Convenio 108+(versión actualizada del Convenio 108 para la Protección de las Personas con respecto al tratamiento automatizado de Datos Personales), el Poder Ejecutivo dictó el 30 de noviembre pasado el Decreto Nº 792/2022, mediante el cual promulga la Ley Nº 27.699 que lo aprueba. 

En este post analizamos cómo estos avances normativos que robustecen los estándares en materia de privacidad, por un lado, favorecen y potencian la economía digital de nuestro país facilitando su integración global, y por el otro lado, auspician que Argentina conserve el estatus de país adecuado ante un eventual proceso de revisión por el Consejo Europeo. 

A continuación, haremos un breve repaso de los antecedentes del Convenio 108 modernizado, así como de las implicancias que su aprobación trae en el ámbito nacional.

El Convenio 108

 El Convenio para la Protección de las Personas con respecto al Tratamiento Automatizado de Datos de Carácter Personal N° 108 (en adelante, “Convenio 108”) fue suscripto en 1981 en la ciudad de Estrasburgo (Francia), con el fin de proteger la privacidad de los individuos contra posibles abusos en el tratamiento de sus datos, siendo el único instrumento multilateral de carácter vinculante en materia de protección de datos personales. 

 La adhesión a dicho Convenio se encontraba abierta a cualquier Estado no miembro del Consejo de Europa, razón por la cual, se convirtió en un estándar internacional sinónimo de seguridad jurídica en materia de privacidad por todo Estado que decida suscribirlo. 

Este Convenio, entró en vigor en Argentina el 1° de junio del 2019, y se aprobó oportunamente mediante la Ley Nacional Nro 27.483.

El Convenio 108 modernizado

 Los 35 años que transcurrieron desde que el Convenio 108 fue abierto a suscripción, tornaron necesaria su modernización para hacer frente al avance de nuevas tecnologías y globalización de las operaciones de tratamiento que trajeron aparejadas amenazas adicionales a la privacidad, derechos y libertades fundamentales de las personas. 

 Este Convenio refuerza los mecanismos de evaluación y los principios originales, imponiendo obligaciones más amplias a quienes tratan datos personales.

 Entre las novedades que incorpora este Convenio, se resaltan:

• Nuevos principios de tratamiento de datos como elementos clave del mecanismo de protección, tales como: 
• el principio de transparencia: los datos deben tratarse de forma justa y transparente, recopilarse con propósitos específicos, legítimos y no tratarse de forma incompatible a éstos. A tal efecto, se determinan mayores detalles a ser informados por los responsables de tratamiento (por ejemplo, las empresas) a los titulares de datos (por ejemplo, los usuarios; 
• el principio de proporcionalidad: el tratamiento debe ser proporcional al fin legítimo perseguido y reflejar en todas sus etapas un equilibrio justo entre todos los intereses involucrados;
• el principio de responsabilidad demostrada o accountability: quienes traten datos personales deberán ser capaces de demostrar que el tratamiento de datos bajo su control cumple con la normativa aplicable}; 
• el principio de minimización de datos: los datos tratados deben ser adecuados, no excesivos en relación con el propósito de tratamiento y no deben preservarse más tiempo del necesario)  
• Privacidad por diseño: quienes traten datos personales, ya sea en carácter de responsables o encargados de tratamiento deberán analizar en forma previa el probable impacto que puede tener el tratamiento sobre los derechos y las libertades fundamentales de los titulares de los datos.
• Ampliación de la definición de datos sensibles, para la inclusión de los datos genéticos y biométricos
• Obligación para las organizaciones que tratan datos personales, de informar incidentes de seguridad
• Reconocimiento de nuevos derechos para los titulares de datos: 
• el derecho a no estar sujeto a una decisión basada únicamente en un tratamiento automatizado, 
• solicitar el conocimiento del razonamiento subyacente a un tratamiento cuando los resultados le sean aplicables y,
• el derecho de oponerse a dicho tratamiento
• Mayor injerencia del principio de responsabilidad proactiva, lo que implica mayor obligación para las organizaciones que tratan datos personales, no sólo de cumplir las normas de protección de datos, sino, en especial de poder demostrar el cumplimiento de las mismas.

• Actualización la reglamentación relativa al flujo transfronterizo de datos: Por ejemplo, se aclara concretamente que cuando el destinatario se encuentre sujeto a la jurisdicción de un Estado u organización internacional que no sea Parte del Convenio, la transferencia podría llevarse a cabo asegurando un nivel de protección apropiado mediante acuerdos internacionales, garantías aprobadas en instrumentos legalmente vinculantes o si el titular de datos presta su consentimiento explícito. Asimismo, la autoridad de control podrá solicitar al responsable que demuestre la efectividad de las garantías, pudiendo prohibir dichas transferencias, suspenderlas o someterlas a condiciones.
• Nuevas atribuciones y facultades de las autoridades de control y ampliación de las bases legales para la cooperación internacional.

Implicancias que trae la aprobación de este Convenio 

La aprobación del Convenio 108 modernizado implica avances normativos históricos para Argentina, tanto desde el punto de vista local, como internacional. 

 En principio, a nivel local, implica la adopción de estándares internacionales actualizados y vinculantes en temas de privacidad, en línea con los principios establecidos en el Reglamento General de Protección de Datos Europeo (más conocido como “GDPR”, por sus siglas en inglés).

 Se hace notar que, Argentina a través de la aprobación de este Convenio, deberá incorporar las previsiones de este tratado internacional, en pos de asegurar su aplicación práctica.

 En este contexto, la Agencia de Acceso a la Información Pública (la “Agencia”) elaboró una Propuesta de Anteproyecto de Ley que actualiza la normativa vigente en materia de Protección de Datos Personales (Ley Nro 25.326), la que se inspira en los lineamientos del Convenio 108+ y Reglamento General de Protección de Datos Personales (RGPD).

 En particular, en el marco de un proceso de consulta pública para la actualización de la Ley Nacional Nro 25.326 sancionada en el año 2000, la Agencia, tras haber finalizado el proceso de recepción y revisión de comentarios, publicó la versión final del Anteproyecto, la que se presentaría en el Congreso próximamente.

En línea con el Convenio 108+, dicho Anteproyecto hace hincapié en todos los puntos mencionados precedentemente, que forman parte del Convenio modernizado y que fuera reseñado, como por ejemplo, los nuevos principios para el tratamiento incluyendo el de responsabilidad proactiva o demostrada, la privacidad desde el diseño, nuevos derechos para los titulares, regulación de los incidentes de seguridad y ampliación de los datos sensibles para incluir a los genéticos y biométricos, entre otros temas.

Por otra parte, desde el punto de vista internacional, es relevante señalar que, entre algunas de las ventajas que trae este Convenio, se encuentra la de favorecer y potenciar la economía digital en un mundo sin fronteras, posicionando así a la Argentina en su integración global como un Estado que posee un marco robusto que respeta los más altos estándares de privacidad. 

 Por último, la aprobación del Convenio 108 modernizado, resulta un paso auspicioso para que nuestro país conserve el estatus de país adecuado ante un eventual proceso de revisión por el Consejo Europeo. Cabe recordar que, el 30 de junio de 2003, la Argentina fue considerado país con legislación adecuada por la Comisión Europea mediante la Decisión de la Comisión C (2003) 1731.

---

 Es importante tener en cuenta que más allá de los actos de aprobación interna, la entrada en vigor del Convenio 108+ en sí mismo, depende, por un lado, de un acto de ratificación que debe realizar la Argentina en sede internacional, y, por el otro, de las condiciones de entrada en vigor establecidas por el propio Convenio.