Por qué un producto de software no está sujeto a una sola ley

Como equipo que desarrolla software, esta pregunta nos llega sobre todo al principio de los proyectos. La organización pregunta qué normas debe cumplir el software, y la respuesta no está en una sola ley. Tener en cuenta esta dispersión en la fase de diseño es mucho más barato que poner parches después.

La pregunta "qué dice el derecho digital sobre esto" no tiene respuesta, porque no existe un único texto llamado derecho digital. Esto es lo primero que aprende cualquiera que trabaje en este ámbito, y lo más difícil de explicar a un cliente.

En Turquía, las actividades digitales se regulan en la intersección de al menos seis leyes distintas. Ninguna de ellas engloba a las demás. Todas funcionan con su propia lógica, su propio régimen sancionador y su propia autoridad de control. El resultado es este. No es posible elaborar una lista de obligaciones consultando un único texto, y un mismo hecho puede producir consecuencias simultáneas bajo más de un régimen a la vez.

Una violación de datos aparece en tres lugares distintos

Conviene verlo con un ejemplo concreto. Supongamos que se obtuvo acceso no autorizado a la base de datos de clientes de una empresa de comercio electrónico y los datos fueron extraídos.

La primera vía es administrativa. El artículo 12 de la Ley 6698 regula las obligaciones de seguridad de los datos, y el párrafo quinto de ese mismo artículo exige que la violación se notifique al Consejo. El Consejo evalúa la suficiencia de las medidas técnicas y administrativas adoptadas y, si las considera insuficientes, impone una multa administrativa.

La segunda vía es penal. El hecho de quien obtuvo el acceso puede constituir el delito de acceso a un sistema informático conforme al artículo 243 de la Ley n.º 5237, y la extracción de los datos puede constituir el delito de transmitir u obtener ilícitamente datos conforme al artículo 136. Esta investigación se desarrolla con independencia de la responsabilidad administrativa de la empresa.

La tercera vía es la de derecho privado. La persona cuyos datos fueron filtrados puede reclamar la reparación del daño sufrido. El último apartado del artículo 11 de la Ley reserva expresamente este derecho.

Las tres vías no son alternativas entre sí, funcionan al mismo tiempo. Haber pagado la multa del Consejo no pone fin a la investigación penal, y el resultado del proceso penal no resuelve por sí solo la reclamación de indemnización.

A qué pregunta responde cada ley

La forma más práctica de entender la dispersión de este ámbito es ver a qué pregunta responde cada texto.

La Ley 6698 responde a la pregunta "¿puede usted tratar este dato?". Aquí están las condiciones de tratamiento, el deber de informar, las medidas de seguridad y los derechos del interesado.

La Ley n.º 5651 responde a la pregunta "¿quién es responsable de este contenido?". Esta ley regula la distinción entre proveedor de contenido, proveedor de alojamiento, proveedor de acceso y proveedor de uso colectivo, así como los procedimientos de retirada de contenido y de bloqueo del acceso. El régimen de responsabilidad cambia por completo según cuál de estas cuatro condiciones tenga la persona.

La Ley n.º 5237 responde a la pregunta "¿es este hecho un delito?".

La Ley n.º 6563 responde a la pregunta "¿puede usted enviar esta comunicación comercial y qué está obligado a declarar como prestador de servicios?".

La Ley n.º 5070 responde a la pregunta "¿sustituye esta firma electrónica a la firma manuscrita?".

En un proyecto, normalmente todas estas preguntas surgen a la vez. Una decisión tomada mirando solo una de ellas genera ceguera respecto de las otras cuatro.

Competencia dispersa significa control disperso

Lo que complica aún más este panorama es que las distintas leyes están confiadas a organismos diferentes.

La Autoridad de Protección de Datos Personales supervisa las actividades de tratamiento de datos. El organismo turco de tecnologías de la información y las comunicaciones es competente en el ámbito de las comunicaciones electrónicas y participa en la aplicación de las decisiones de bloqueo de acceso. El Ministerio de Comercio es responsable de la aplicación de la normativa de comercio electrónico.

La consecuencia práctica de esto es la siguiente. En un único producto puede ser usted responsable ante más de una autoridad de control, y esas autoridades no están vinculadas por la decisión de la otra. Una opinión favorable de una de ellas no impide que la otra llegue a una conclusión distinta.

Dónde se comete el error en la práctica

La gran mayoría de los errores que veo en este ámbito comparten un rasgo común. La evaluación jurídica se hace después de haber tomado las decisiones técnicas.

El modelo de datos ya está construido, las tablas ya están creadas, las integraciones ya están escritas. Cuando el producto está a punto de salir a producción, se le dice al abogado "eche un vistazo, por favor". En esa fase, lo que puede decirse es limitado, porque cualquier cosa que se diga implica ya una corrección retroactiva, y esa corrección retroactiva plantea un problema aparte respecto de los datos recopilados hasta entonces.

Sin embargo, todas las preguntas siguientes podrían haberse respondido al construir el modelo de datos. Qué categorías de datos personales se tratarán. En qué base jurídica se apoyará cada categoría. Cuál será el plazo de conservación y qué componente lo aplicará. A qué tablas habrá que acceder cuando llegue una solicitud de supresión. Habrá transferencia internacional de datos.

Cinco preguntas. Todas pueden responderse en una sola reunión. El coste que surge cuando no se responden es muchas veces superior al coste de esa reunión.

La verdadera dificultad del ámbito

La dificultad del derecho digital no está en la complejidad de las reglas. Las reglas, leídas una por una, son comprensibles.

La dificultad está en saber en qué momento entra en juego cada regla. La decisión de un ingeniero de "guardemos también este campo, por si acaso hace falta" produce consecuencias bajo tres leyes distintas, y quien toma esa decisión la mayoría de las veces no lo sabe. La forma de cerrar esta brecha de conocimiento no es preparar un expediente de cumplimiento más grueso, sino que el jurista esté presente en la mesa donde se toma la decisión.