Cómo cumplir las leyes FOIA y GDPR del Reino Unido

El Reglamento General de Protección de Datos (RGPD) del Reino Unido y la Ley de Libertad de Información (FOIA) de 2000 son dos leyes fundamentales que desempeñan papeles vitales en el Reino Unido. Aunque ambas se centran en la información, tienen objetivos distintos: una está diseñada para proteger los datos personales, mientras que la otra promueve la transparencia en los organismos públicos. Comprender cómo interactúan estas dos leyes es crucial para las empresas, las organizaciones y los individuos por igual, ya que equilibran el derecho del público a la información con el derecho individual a la privacidad.

GDPR DEL REINO UNIDO: Una visión general de la protección de datos

El GDPR del Reino Unido se implementó tras la salida del país de la Unión Europea. Aunque tiene su origen en el GDPR de la UE, la versión británica se ha adaptado para ajustarse a las necesidades normativas específicas del país tras el Brexit. La ley se basa en la protección de la privacidad de las personas, dándoles más control sobre sus datos personales. Exige a las empresas y organizaciones una gestión responsable de los datos de los clientes, por lo que es necesario que las empresas salvaguarden los datos o se arriesgan a acciones legales.

En esencia, el GDPR británico capacita a las personas para entender cómo se utilizan sus datos y les otorga derechos para solicitar cambios o incluso la eliminación de esa información. Para las empresas, esto significa que deben ser transparentes sobre el uso de los datos, asegurándose de que solo recopilan lo necesario y lo almacenan de forma segura. Esto es especialmente importante dadas las importantes sanciones por incumplimiento, que pueden llegar a ser millonarias, como se ha visto en casos notables.

Principios clave del GDPR del Reino Unido

La viabilidad de la ley se deriva de varios principios clave que deben seguir las organizaciones. El primero y más importante es la necesidad de procesar los datos de forma legal y transparente. Las empresas deben informar a las personas sobre cómo se utilizarán sus datos personales y obtener un consentimiento claro cuando sea necesario. Además, las empresas solo deben recopilar datos que sean absolutamente esenciales para los fines específicos que señalan, asegurándose de que sean precisos y estén actualizados.

Un aspecto importante del RGPD es la conservación de los datos. Las organizaciones no pueden conservar datos personales indefinidamente. Una vez que ya no son necesarios para los fines para los que se recogieron, deben eliminarse o anonimizarse. Este principio no sólo favorece la privacidad, sino que también evita que las empresas conserven grandes cantidades de información potencialmente sensible durante largos periodos.

Igualmente importante es la seguridad de los datos personales. Según el RGPD, las empresas deben tomar medidas para proteger la información frente a violaciones, accesos no autorizados o cualquier tipo de uso indebido. Esto incluye el uso de cifrado, bases de datos seguras y auditorías periódicas para garantizar el cumplimiento. La ley se aplica a cualquier organización que procese datos personales de residentes en el Reino Unido, incluidas las empresas no británicas que atienden a clientes del Reino Unido.

Repercusiones reales del GDPR británico

En la práctica, el GDPR del Reino Unido tiene implicaciones de gran alcance. Las empresas de comercio electrónico, por ejemplo, deben garantizar que los datos personales que recopilan de los clientes -como direcciones e información de pago- se almacenan de forma segura y solo se utilizan para los fines previstos, como la tramitación de un pedido. Los proveedores de servicios sanitarios deben tener especial cuidado con los datos sensibles de los pacientes, garantizando la privacidad y permitiendo al mismo tiempo que esa información sea accesible para la atención médica.

Las empresas de marketing son otro sector muy afectado por el RGPD. Deben obtener el consentimiento explícito de las personas antes de enviar publicidad o boletines informativos específicos. Este Reglamento ha modificado la forma en que las empresas abordan las interacciones con los clientes, garantizando que los consumidores tengan más voz en el tipo de comunicaciones que reciben.

Un ejemplo emblemático de la aplicación del GDPR es el caso de violación de datos de British Airways. En 2018, la aerolínea sufrió una importante violación de datos en la que los piratas informáticos accedieron a los datos personales y financieros de más de 400.000 clientes redirigiéndolos a una página fraudulenta. Tras una investigación de la Oficina del Comisionado de Información (ICO), se reveló que British Airways no había puesto en marcha las medidas de seguridad adecuadas. La aerolínea fue multada con 20 millones de libras, una de las mayores sanciones de la época, lo que pone de relieve la importancia de cumplir los requisitos del GDPR.

A medida que las empresas trabajan para cumplir las normas del RGPD, la redacción se convierte en una herramienta clave en el manejo de información sensible. Por ejemplo, al compartir documentos o informes, la redacción ayuda a proteger los datos personales, como la información de los clientes o los detalles confidenciales de la empresa, para garantizar que no se expongan innecesariamente. Este proceso no solo protege la privacidad, sino que también se alinea con los objetivos de transparencia del GDPR, demostrando que las organizaciones se toman en serio tanto la protección de los datos como el cumplimiento de los requisitos legales.

Además, el RGPD permite a las personas tomar el control de sus datos personales a través de solicitudes de acceso de los interesados (SAR) o solicitudes de acceso de los interesados a los datos (DSAR). Estas solicitudes permiten a los individuos acceder a los datos personales que una organización tiene sobre ellos, entender cómo se están procesando, e incluso solicitar modificaciones o supresión. Para las organizaciones, esto significa que durante una respuesta SAR o DSAR, la redacción es crucial. Al proporcionar documentos como parte de estas solicitudes, los datos personales o sensibles no relacionados con la persona que realiza la solicitud deben redactarse para garantizar el cumplimiento del GDPR, manteniendo al mismo tiempo la privacidad de otras personas involucradas. No redactar adecuadamente la información al responder a dichas solicitudes puede tener consecuencias legales significativas, lo que refuerza la importancia de los procesos de redacción adecuados dentro de las organizaciones que cumplen con el GDPR.

Ley de Libertad de Información (FOIA): Una herramienta para la transparencia

Mientras que el GDPR regula la protección de datos y la privacidad, la FOIA se centra en la responsabilidad pública. Promulgada en 2000, la FOIA otorga a cualquier persona -desde ciudadanos británicos a personas en el extranjero- el derecho a solicitar acceso a la información en poder de las autoridades públicas. Esta ley desempeña un papel crucial a la hora de garantizar la transparencia gubernamental, permitiendo a los ciudadanos de a pie, periodistas e investigadores examinar las acciones y decisiones del gobierno.

La FOIA se aplica a una amplia gama de organismos públicos, incluidos los departamentos gubernamentales, los ayuntamientos, el Servicio Nacional de Salud (NHS), las fuerzas policiales y las instituciones educativas. Abarca la información registrada en diversas formas, desde documentos y correos electrónicos hasta informes y datos digitales. La ley obliga a estos organismos a responder a las solicitudes en un plazo de 20 días laborables, lo que la convierte en una herramienta clave para exigir responsabilidades a las autoridades.

El proceso FOIA: Quién puede solicitarla y cómo funciona

La FOIA es esencial por su carácter totalmente integrador. La ley permite que cualquier persona presente una solicitud, ya sea un ciudadano preocupado, un periodista, un activista o incluso un residente de otro país. No es necesario justificar por qué se solicita la información, sólo que la solicitud debe ser lo bastante específica para que el organismo público pueda identificar y localizar la información pertinente.

El proceso es sencillo. Una persona u organización presenta una solicitud de FOI (Libertad de Información) por escrito a la autoridad pública pertinente, lo que puede hacerse por correo electrónico, a través de un formulario en línea, por carta o, en algunos casos, a través de las redes sociales. Una vez recibida la solicitud, la autoridad pública dispone de 20 días laborables para responder. La respuesta puede incluir la información solicitada o una explicación de por qué no puede satisfacerse la solicitud si se aplica una exención.

Si el organismo público deniega la solicitud, el solicitante tiene derecho a pedir una revisión interna. Esta revisión la lleva a cabo la autoridad pública para reevaluar si la denegación fue apropiada. Si el solicitante sigue insatisfecho después de la revisión, puede elevar el asunto a la Oficina del Comisario de Información (ICO), responsable de supervisar la aplicación de la FOIA. La ICO está facultada para investigar las denuncias y, en caso necesario, exigir el cumplimiento de la FOIA por parte de los organismos públicos.

Costes y exenciones: Los límites de la FOIA

Aunque la mayoría de las solicitudes en virtud de la FOIA son gratuitas, existen límites en cuanto al coste de su tramitación. Si un organismo público estima que localizar, recuperar y extraer la información solicitada costaría más de 450 libras esterlinas en el caso de las autoridades locales o 600 libras esterlinas en el caso de los departamentos de la administración central, puede denegar la solicitud o pedir al solicitante que reduzca su alcance. Estos límites de costes ayudan a las autoridades públicas a gestionar sus recursos sin dejar de promover la transparencia.

Aunque la FOIA pretende fomentar la transparencia, se aplican ciertas exenciones a los registros sensibles o confidenciales.

• Exenciones absolutas contienen datos personales o información que podría poner en peligro la seguridad nacional si se divulgaran. Estos registros no deben divulgarse nunca.
• Las exenciones cualificadas son registros sobre los que las autoridades públicas deben sopesar el interés público en la transparencia con las posibles consecuencias de revelar la información antes de tomar una decisión sobre su divulgación.

Con estas exenciones, es posible que un registro que solicite no pueda ser divulgado. Sin embargo, si este es el caso, siempre puede solicitar una versión redactada del documento. La redacción permite a los organismos divulgar registros confidenciales censurando la información sensible para que los ciudadanos puedan acceder a ellos sin exponerse a nada que pueda poner en peligro su identidad.

El Informe Chilcot, también conocido como Investigación sobre Irak, fue una investigación sobre la implicación y la toma de decisiones del Reino Unido en la guerra de Irak en la década de 2000. Sir John Chilcot, antiguo funcionario, inició esta investigación en 2009 y dedicó casi 7 años a recopilar y organizar la información para hacerla pública a través de solicitudes de libertad de información. El informe final, finalizado en 2016, proporcionó una descripción exhaustiva de las decisiones del gobierno británico durante la guerra de Irak, aunque gran parte de la información era altamente confidencial y requirió redacción para proteger información sensible.

La investigación concluyó que el gobierno británico no había explorado adecuadamente alternativas pacíficas a la invasión de Irak y que esta se basó en información de inteligencia errónea. Al poner esta información a disposición del público, el informe pretendía informar a los ciudadanos británicos sobre futuros procesos de toma de decisiones, como votar y expresar su opinión sobre las acciones del gobierno.

Aplicaciones reales y casos de uso

La FOIA no es sólo un texto legislativo teórico: periodistas, investigadores, activistas y ciudadanos de a pie la utilizan activamente para revelar información que puede conducir a cambios significativos.

Uno de los casos más impactantes de la FOIA en la historia reciente fue el escándalo de los gastos de los parlamentarios. Durante varios años, los periodistas presentaron solicitudes FOIA para descubrir cómo gastaban los diputados el dinero de los contribuyentes. Cuando por fin se hizo pública la información, la opinión pública se indignó. Se descubrió que los diputados habían reclamado gastos por lujos personales, como una casa para patos o incluso la limpieza de sus fosos, todo pagado con cargo al erario público.

Las consecuencias del escándalo fueron inmensas. Varios diputados dimitieron, otros se enfrentaron a medidas disciplinarias y se produjo una importante revisión del sistema de gastos. Este caso demuestra el poder transformador de la FOIA, que puede sacar a la luz irregularidades en los niveles más altos de la administración e impulsar cambios significativos.

Otro uso conmovedor de la FOIA se produjo tras la catástrofe de Hillsborough. En 1989, el aplastamiento de una multitud en el estadio de Hillsborough, en Sheffield, costó la vida a 97 aficionados al fútbol y más de 700 resultaron heridos. Durante años, las familias de las víctimas buscaron respuestas sobre lo que había sucedido, pero sus esfuerzos encontraron resistencia. Gracias a las solicitudes de la FOIA, los documentos ocultos se hicieron públicos, revelando que las declaraciones de la policía habían sido alteradas, que las medidas de seguridad del estadio eran inadecuadas y que había una campaña de desprestigio que intentaba culpar a los hinchas borrachos del desastre. Las revelaciones contribuyeron a la reapertura de las investigaciones y a la exoneración final de los aficionados, demostrando el poder de la FOIA para hacer justicia y exigir responsabilidades a las instituciones.

Plazos, recursos y rendición de cuentas

Las autoridades públicas están legalmente obligadas a responder a las solicitudes FOIA en un plazo de 20 días laborables, garantizando que el público no tenga que esperar indefinidamente para obtener información. Este plazo puede ampliarse en casos más complejos en los que las autoridades deban considerar exenciones o consultar con terceros. Sin embargo, si se produce un retraso, el solicitante debe ser informado y se le debe dar una razón de la prórroga.

Si un solicitante considera que la respuesta que ha recibido es incompleta, incorrecta o injustificada, tiene derecho a solicitar una revisión interna. Si el resultado de esta revisión sigue sin satisfacer al solicitante, puede recurrir a la OIC, que dispone de amplios poderes para investigar denuncias. La OIC también puede imponer sanciones o multas a los organismos públicos que incumplan sistemáticamente sus obligaciones en virtud de la FOIA, garantizando así el cumplimiento de la ley y la rendición de cuentas por parte de las autoridades públicas.

El poder de la FOIA y el GDPR: Transparencia y rendición de cuentas

Tanto el GDPR como la FOIA del Reino Unido cumplen funciones esenciales en el panorama moderno de la información. El GDPR del Reino Unido garantiza que las personas tengan control sobre sus datos personales, responsabilizando a las empresas y organizaciones de la gestión de esos datos. Por otra parte, la FOIA proporciona al público una poderosa herramienta para acceder a la información en poder del gobierno, promoviendo la transparencia y la rendición de cuentas.

La intersección de estas dos leyes pone de relieve el delicado equilibrio entre el derecho a la privacidad y la necesidad de transparencia. A medida que las empresas, los organismos públicos y los particulares navegan por estas normativas, queda claro que tanto el RGPD como la FOIA son piedras angulares de una sociedad responsable, abierta y que rinde cuentas. Ya se trate de proteger los datos personales o de revelar las decisiones de la Administración, estas leyes permiten a los ciudadanos acceder a la información que determina sus vidas.