La reciente resolución de la Agencia Española de Protección de Datos (AEPD) respecto al tratamiento de datos personales por parte de una Administración Pública ilustra un aspecto fundamental en el ámbito de la protección de datos: la importancia de garantizar que la recopilación de información personal se realice de manera respetuosa y justificada, especialmente cuando se refiere a datos sensibles como la orientación sexual o la identidad de género.
El caso se originó a partir de una reclamación presentada por un ciudadano, quien se vio en la necesidad de revelar su sexo/género a través de un formulario en línea para completar un trámite administrativo, con opciones limitadas a mujer, hombre o no binario. Este requerimiento planteó dudas sobre la necesidad y la legitimidad de recabar tal información, especialmente en lo que respecta a la protección de datos personales y la privacidad del individuo.
El RGPD establece principios claros sobre la minimización de datos y la prohibición de tratar categorías especiales de datos personales sin una base legal sólida. En este contexto, la AEPD determinó que la inclusión de la opción «no binario» en el formulario podría implicar, de manera indirecta, información sobre la orientación sexual o la identidad de género de las personas. Este hallazgo se sustenta en la definición de identidad de género proporcionada por el Comité Interamericano de Derechos Humanos, que la describe como «la vivencia interna e individual del género tal como cada persona la experimenta profundamente, la cual podría corresponder o no con el sexo signado al momento del nacimiento». Esta definición enfatiza que la identidad de género incluye aspectos como la vivencia personal del cuerpo y otras expresiones de género, las cuales son elecciones personales y profundamente privadas.
La resolución de la AEPD subraya que, si bien el formulario no hacía referencia explícita a la orientación sexual o la vida sexual, la inclusión de la opción «no binario» bajo la categoría «sexo/género» podría interpretarse como relacionada con estas cuestiones. Esto se debe a que tal opción pone de manifiesto una dimensión de la identidad de género que va más allá de la simple clasificación binaria tradicionalmente asociada al sexo, adentrándose en el terreno de las identidades personales y las creencias individuales.
Es decir, se está cuestionando sobre su sexo sentido, con el que se identifica, si coincide con el asignado al nacer: mujer/hombre, o no binario, cuando su sexo sentido, con el que se identifica, no coincide con el asignado al nacer, que se sale del objetivo y la finalidad del formulario dentro del contexto Conciliación previa, que no está orientado ni establecido en ese sentido y no se ha de obligar a las personas a manifestar o a declarar sobre sus creencias personales e intimas. Dicha prohibición, encuentra su fundamentación, tal y como señala el precepto transcrito, en evitar situaciones discriminatorias, como las que podrían producirse al existir un inventario o registro en el que constase la orientación sexual de las personas o recogida de la identidad de género sin una finalidad determinada o sin base legitima, o de creencias.
La AEPD entiende que se producen dos infracciones clave en estos hechos: la violación del principio de minimización de datos (Artículo 5.1(c) RGPD) por solicitar información de sexo/género que excedía los requerimientos necesarios para el formulario, incluyendo una opción de «no binario» no pertinente para el propósito del formulario, y la infracción de procesar categorías especiales de datos sin una base legítima (Artículo 9 RGPD), al implicar indirectamente información sobre la orientación sexual de las personas.
Es fundamental que solo se recolecten los datos personales estrictamente necesarios para el propósito específico para el que se procesan, y siempre bajo una base legal clara y justificada. Además, resalta la importancia de considerar cuidadosamente la inclusión de categorías de datos personales sensibles en formularios y procedimientos, evitando recopilaciones innecesarias. Por ello cuando se solicita información sobre el sexo/género, las entidades deben asegurarse de que:
- Justificación y finalidad: Existe una justificación clara y legítima para solicitar estos datos, y están directamente relacionados con la finalidad para la cual se recopilan. Por ejemplo, para fines estadísticos, de investigación o cuando es relevante para la prestación de un servicio específico.
- Consentimiento: Cuando sea aplicable, se ha obtenido el consentimiento explícito del individuo para tratar esta categoría de datos personales, especialmente si se consideran datos sensibles bajo la legislación relevante.
- Minimización de datos: La información recogida es adecuada, pertinente y limitada a lo necesario en relación con los fines para los que se procesan, siguiendo el principio de minimización de datos del RGPD.
En conclusión, la resolución enfatiza la importancia de proteger la privacidad y la dignidad de las personas en el entorno digital, asegurando que los derechos a la privacidad y a la protección de datos personales sean respetados y protegidos en todo momento.