---

La puesta en práctica del Reglamento sobre el Reglamento General de Protección de Datos (RGPD) en mayo de 2018 puso en primer plano la protección de los datos como una importante consideración comercial

El ámbito de aplicación de la GDPR es amplio, ya que se aplica a cualquier empresa de fuera de la UE que proporcione bienes o servicios a personas de la UE, además de las empresas con sede en la UE. Por consiguiente, es importante que los bufetes de abogados internacionales sepan cuándo se desencadena la GDPR y cuáles son sus obligaciones, especialmente cuando las multas por infracción son importantes.

Para ayudar a los profesionales del arbitraje a cumplir con sus obligaciones de protección de datos, el Consejo Internacional de Arbitraje Comercial (ICCA) y la Asociación Internacional de Abogados (IBA) han creado un grupo de trabajo conjunto para crear una guía práctica que identifique las consideraciones de protección de datos en el arbitraje. El período de consulta para el proyecto de la Guía termina el 30 de junio de 2020. 

Habida cuenta de que los retos de 2020 se derivan de una pandemia mundial que ha obligado a las empresas de todo el mundo a pasar a la operación virtual a tiempo completo, y de que muchas audiencias se celebran ahora a distancia, esa guía será bien recibida.

Marily Paralika y Sonia Morton examinan las repercusiones de la protección de datos en el arbitraje internacional a la luz de la COVID-19 y ofrecen un panorama general de las cuestiones que se plantean en relación con las obligaciones de protección de datos; sus repercusiones en los procedimientos de arbitraje; y examinan las conclusiones iniciales de la Hoja de Ruta. 

Artículo completo

COVID-19 y la protección de datos en el arbitraje internacional

Lo que constituye "datos personales" en el marco de el RGPD se define ampliamente y puede incluir el nombre, la dirección y los datos de contacto de una persona, o incluso su identidad física, económica o social. El elemento clave es si los datos, o una combinación de datos, permitirían identificar a una persona. 

El tratamiento de datos en que los datos personales constituyen una "categoría especial", como la información que revela el origen étnico de una persona, sus creencias políticas, religiosas o filosóficas, o que se refiere a datos genéticos, datos biométricos, salud, está prohibido, salvo en determinadas circunstancias, entre ellas cuando el interesado (la persona a la que se refieren los datos personales) ha dado su consentimiento explícito (véase más adelante) y cuando el tratamiento es necesario para el establecimiento, el ejercicio o la defensa de demandas judiciales o cuando los tribunales actúan en su capacidad judicial.

En el contexto del arbitraje internacional, existe un amplio margen para que el material de arbitraje contenga datos personales. Algunos ejemplos son

- Las declaraciones de los testigos suelen incluir el nombre, el cargo y la dirección del testigo y, según el contenido de la declaración, pueden incluso incluir datos de categoría especial, como las opiniones políticas. También es práctica común que las partes acuerden que las declaraciones de los testigos incluyan un currículum vitae o una fotografía del testigo, que también podrían constituir datos personales.

- Los informes periciales también incluirán los nombres de los expertos, su cargo, su dirección y un CV o una fotografía. Al igual que en las declaraciones de los testigos, dependiendo del contenido del informe, éste podría incluir datos de categorías especiales.  

- Las declaraciones del caso también pueden incluir datos personales dependiendo del contenido, por ejemplo, cuando se citen las declaraciones de los testigos. 

- Las pruebas y los documentos elaborados en respuesta a solicitudes de documentos también pueden contener datos personales según la naturaleza del documento en cuestión. 

Además de los materiales de arbitraje, los documentos internos como las actas de las reuniones con testigos, expertos y clientes, y las comunicaciones internas por correo electrónico relativas al caso también pueden contener datos personales. 

El "procesamiento" se define ampliamente en el RGPD e incluye la recolección, almacenamiento, uso o transmisión de datos personales. Por ejemplo, esto incluiría el almacenamiento de los datos en un sistema de gestión o archivo de documentos. 

El procesamiento de los datos personales está sujeto a una serie de principios, entre ellos que los datos deben procesarse "de forma lícita, justa y transparente", recopilarse con un propósito específico, explícito y legítimo (y ser adecuados, pertinentes y limitados a ese propósito), ser exactos y mantenerse actualizados, no conservarse más tiempo del necesario y procesarse de forma segura. Es responsabilidad de los "responsables del tratamiento" de los datos garantizar el cumplimiento de estos principios. 

Los "responsables del tratamiento" se definen como entidades que determinan los fines y medios del tratamiento de los datos personales (ya sea solos o conjuntamente con otros). Un "procesador" de datos procesa datos personales en nombre del controlador. Las orientaciones actuales del Colegio de Abogados de Inglaterra y Gales indican que los bufetes de abogados y los proveedores de servicios profesionales probablemente constituirán controladores de datos y no procesadores, aunque pueden considerarse procesadores respecto de ciertos conjuntos de datos personales. Análogamente, el Consejo General del Colegio de Abogados de Inglaterra y Gales considera que los abogados también serán controladores de datos. En consecuencia, los bufetes de abogados pueden estar sujetos a los principios de tratamiento de datos personales establecidos en la RPI. 

Además de establecer los principios para el procesamiento de datos personales, el RGPD prescribe también las circunstancias en que el procesamiento es legal. Entre ellas figuran los casos en que el interesado ha dado su consentimiento al tratamiento de sus datos personales para uno o más fines específicos, ha surgido una obligación jurídica pertinente o el tratamiento es necesario a efectos de intereses legítimos. En el contexto del arbitraje, los bufetes de abogados probablemente se basarán en la disposición de que se ha obtenido el consentimiento. En esos casos, el bufete de abogados tendrá que demostrar que se ha obtenido el consentimiento. Sin embargo, el consentimiento debe ser dado libremente por el interesado en forma de una declaración o "acción afirmativa clara", y el interesado puede retirarlo en cualquier momento. 

La cuestión del consentimiento es particularmente pertinente para las declaraciones de los testigos en los arbitrajes que, como se ha examinado anteriormente, probablemente incluyan datos personales. Para garantizar el cumplimiento de la RDPI, los bufetes de abogados tal vez deseen disponer que los testigos, e incluso los expertos, confirmen por escrito que consienten en utilizar el tratamiento de sus datos personales a los efectos del arbitraje o, por ejemplo, que incluyan esa declaración en la respectiva declaración de los testigos o en el informe pericial. Hay una consideración adicional en el caso de que un testigo o un perito retire posteriormente ese consentimiento, y los bufetes de abogados tal vez deseen considerar si deben establecerse disposiciones de procedimiento para confirmar que todas las partes han solicitado el consentimiento, cuando proceda, y para permitir que la declaración o el informe se retiren o se redacten cuando se retire posteriormente el consentimiento, cuando sea necesario. 

Los responsables del tratamiento de datos también tienen la obligación de proporcionar cierta información a los interesados y tienen obligaciones de notificación permanente a dichos interesados. Los interesados también tienen derecho a acceder, rectificar, borrar y restringir el tratamiento de sus datos personales. Por consiguiente, los bufetes de abogados, en su calidad de responsables del tratamiento de datos, tal vez deseen preparar documentos tipo que contengan esa información y que puedan facilitarse a los interesados, como los testigos, cuando sea necesario.

Además, los responsables del tratamiento de datos tienen varias obligaciones adicionales en virtud del RGPD, entre ellas mantener un registro de sus actividades de tratamiento y garantizar la seguridad del mismo. Los bufetes de abogados, en su calidad de controladores de datos, tal vez deseen disponer de orientación interna sobre las mejores prácticas para garantizar el cumplimiento de esas obligaciones.

Cuando un controlador de datos da instrucciones a un procesador de datos para que lleve a cabo el procesamiento en su nombre, el controlador tiene la obligación de asegurar que el procesador ofrezca suficientes garantías para asegurar que se cumplan los requisitos del RGPD. Por ejemplo, si un bufete de abogados, en su calidad de controlador de datos, da instrucciones a un proveedor de divulgación electrónica o a cualquier otro proveedor de servicios externo que pueda constituir un procesador de datos, el bufete de abogados tal vez desee asegurarse de que su contrato con esos proveedores contenga esas garantías.

En vista de las obligaciones impuestas a los responsables del tratamiento de datos en virtud del Reglamento sobre el tratamiento de datos personales, y del amplio alcance del material en un arbitraje que podría contener datos personales, los bufetes de abogados, en su calidad de responsables del tratamiento de datos, deben velar cuidadosamente por que al reunir datos, almacenarlos y transferirlos a las partes y al tribunal arbitral, cumplan esas obligaciones y vigilen y registren su cumplimiento. Por ejemplo, cuando los materiales de arbitraje contengan datos personales, los bufetes de abogados tal vez deban asegurarse de que se hayan obtenido los consentimientos necesarios y de que se hayan registrado esos consentimientos cuando se basen en ellos. También deben asegurarse de que los datos se almacenan en sus sistemas de manera segura y de que disponen de la tecnología necesaria para salvaguardar esos datos. Al transferir los datos, los bufetes de abogados tendrán que asegurarse de que la transferencia se efectúe de manera segura, por ejemplo, al entregar las declaraciones del caso y los paquetes de audiencias. 

Además, los procedimientos de arbitraje internacional plantean cuestiones relativas a la transferencia de datos personales a "terceros países" y a la utilización de datos personales en las audiencias virtuales.

1. Transferencia de datos personales a "terceros países" en arbitrajes transfronterizos

Una de las principales consideraciones en el arbitraje internacional es la restricción, en virtud del Reglamento sobre el RGPD, de la transferencia de datos personales a "terceros países", es decir, a un país fuera del EEE. el RGPD exige la salvaguardia de los datos personales en caso de que esos datos se transfieran a un tercer país que no tenga el mismo nivel de reglamentación de la protección de datos. En virtud del RGPD, la transferencia de datos personales a un tercero puede tener lugar cuando la Comisión Europea haya decidido que el país en cuestión garantiza un nivel de protección adecuado. Por ejemplo, la UE ha concedido el estatuto de adecuación a Suiza, y parcialmente a los Estados Unidos (para las transferencias de datos personales cubiertas por el marco del Escudo de Protección de la Privacidad UE-EE.UU.). Otra posibilidad es que la transferencia de datos personales pueda tener lugar "sólo si el responsable o encargado del tratamiento ha proporcionado las salvaguardias adecuadas, y a condición de que se disponga de derechos exigibles del interesado y de recursos jurídicos efectivos para los interesados". Esas salvaguardias se prescriben en el marco del Reglamento sobre la Protección de Datos e incluyen normas corporativas vinculantes o la utilización de las cláusulas estándar de protección de datos de la Comisión Europea. Hay excepciones a estos requisitos, entre otras cosas, cuando el interesado ha consentido la transferencia al tercer país habiendo sido informado de los riesgos, o cuando la transferencia "es necesaria para el establecimiento, el ejercicio o la defensa de reclamaciones legales".

En los arbitrajes transfronterizos, esas restricciones son especialmente importantes cuando se transfiere material de arbitraje que contiene datos personales a las partes, los tribunales o las instituciones de arbitraje fuera del EEE, por ejemplo, cuando se presentan declaraciones de la causa y pruebas de apoyo. Esto también se tiene en cuenta cuando se envía material a los expertos y testigos de las partes que se encuentran fuera del EEE. El GDPR señala expresamente que cualquier "sentencia de un tribunal o juzgado" de un tercer país que requiera la divulgación sólo podrá ser reconocida o ejecutada de cualquier manera, si se basa en un acuerdo internacional. En tales casos, se plantea la cuestión de si los fallos de un tribunal sobre solicitudes de producción de documentos que ordenan la divulgación de documentos que contienen datos personales son ejecutables o contrarios a la GDPR (sin las protecciones adecuadas, como las redacciones), e incluso pueden ser un escudo para que determinadas partes se opongan a dicha divulgación.

Los bufetes de abogados pueden solicitar el consentimiento expreso o basarse en la excepción "necesaria para el establecimiento, el ejercicio o la defensa de demandas judiciales" cuando no sea factible acordar salvaguardias como las cláusulas estándar de protección de datos. 

2. Datos personales y audiencias virtuales

En el clima actual es motivo de especial preocupación el aumento de las audiencias que se celebran virtualmente y el riesgo de que se produzcan violaciones de la protección de datos como consecuencia de ello. Como se ha señalado anteriormente, hay un amplio margen para incluir datos personales en el material de arbitraje que se leerá y al que se hará referencia durante la audiencia, además del contrainterrogatorio en directo de los testigos y expertos. Es fundamental que las audiencias confidenciales sean seguras y los bufetes de abogados deben asegurarse de que se disponga de la tecnología necesaria para impedir el acceso no autorizado y/o las grabaciones no autorizadas de la audiencia y del material de la audiencia para las personas que no sean partes. Después de la audiencia, toda grabación de la misma también debe almacenarse de forma segura y cuando sea necesario transferir dichas grabaciones, dicha transferencia debe realizarse de forma segura y deben establecerse todas las salvaguardias necesarias, en particular si el receptor tiene su sede en un tercer país no seguro. Como también se ha señalado anteriormente, los bufetes de abogados tal vez deseen asegurarse de que se han obtenido los consentimientos necesarios para el uso de los datos personales durante la audiencia cuando se confíe en el consentimiento. 

* * *

El cumplimiento del RGPD es supervisado por la autoridad supervisora pertinente de cada Estado Miembro; por ejemplo, en Inglaterra y Gales, la Oficina del Comisionado de Información. Según la naturaleza de la infracción, las multas administrativas pueden llegar a ser de hasta 20 millones de euros o el 4% del total de la facturación anual mundial. En 2019, Google fue objeto de una importante multa de 50 millones de euros por parte del organismo regulador de datos francés CNIL.

La Comisión Europea publicó recientemente su examen sobre el RGPD tras dos años de aplicación el 24 de junio de 2020. El informe concluye que el RGPD ha cumplido sus objetivos de reforzar la protección de los derechos de las personas a la protección de los datos personales y garantizar la libre circulación de datos personales dentro de la UE. Sin embargo, se han identificado áreas que pueden mejorarse en el futuro, como una mayor armonización y orientación sobre las transferencias internacionales de datos. 

Tras la puesta en marcha del RGPD en mayo de 2018, y en vista de los actuales desafíos introducidos por la COVID-19, se está haciendo necesaria una orientación para los profesionales del arbitraje sobre el impacto práctico de los reglamentos de protección de datos en los procedimientos de arbitraje internacional.

El borrador de consulta del grupo de trabajo conjunto ICCA-IBA (mencionado anteriormente) de su Hoja de Ruta para la Protección de Datos en el Arbitraje Internacional (disponible aquí) se publicó para que el público hiciera comentarios a principios de este año, y recientemente el período de consulta se amplió hasta el 30 de junio de 2020. Una vez finalizado, se espera que la Hoja de Ruta sirva de guía universal para abordar las cuestiones de protección de datos a lo largo de los procedimientos de arbitraje. 

La Hoja de Ruta está dirigida a los "Participantes en el arbitraje", definidos como las partes, sus asesores jurídicos, los árbitros y las instituciones arbitrales (únicamente), aunque señala que la guía es pertinente para otros participantes adicionales, como los expertos. 

La Hoja de Ruta considera la cuestión de la aplicabilidad de las cuestiones de protección de datos a los procedimientos de arbitraje y señala que si incluso un participante en el arbitraje estuviera sujeto a obligaciones de protección de datos, esto podría afectar a todo el procedimiento. Cada participante en el arbitraje estará inevitablemente sujeto a las leyes de protección de datos de su Estado y, por lo tanto, si uno de los participantes está basado en la UE u opera en ella, es probable que se aplique el RGPD. En la hoja de ruta se comenta que cuando un participante en un arbitraje está sujeto al RGPD (como un árbitro con sede en la UE) pero los demás participantes no lo están, las partes y/o el tribunal pueden necesitar establecer acuerdos o salvaguardias que garanticen que los participantes en el arbitraje que no tienen su sede en la UE acepten estar obligados por la GDPR para permitir la transferencia de datos en el arbitraje.

Entre los principales aspectos prácticos que se abordan en el actual proyecto de hoja de ruta figuran los siguientes:

- Al comienzo de un arbitraje, los participantes en el mismo deben identificar y documentar las categorías de cualquier dato personal, incluidas las categorías especiales y los respectivos titulares de los datos, así como sus obligaciones a este respecto, incluido su enfoque de la salvaguardia de esos datos y la limitación de los datos a lo que sea adecuado, pertinente y necesario. Los Participantes en el arbitraje tal vez deseen considerar la posibilidad de realizar un mapeo de datos para identificar dónde se procesarán los datos y dónde será necesario transferirlos. Los participantes también tendrán que identificar qué leyes de protección de datos se aplicarán.

- En vista de que algunos participantes en el arbitraje pueden no estar sujetos a las mismas leyes de protección de datos, las Partes tal vez deseen acordar un protocolo de protección de datos para abordar y conciliar cualesquiera obligaciones concurrentes, especialmente cuando los participantes en el arbitraje puedan ser considerados controladores conjuntos. Si no se puede acordar ese protocolo, las Partes pueden abordar las cuestiones de protección de datos en la Orden de procedimiento Nº 1. 

- Los Participantes en el arbitraje deben disponer de medidas internas para abordar los derechos de los interesados en relación con las notificaciones y las solicitudes de acceso a los datos. Asimismo, deben existir procedimientos internos para las notificaciones en caso de infracción.

- La Hoja de Ruta señala que aunque la comunidad arbitral normalmente se basará en el consentimiento como fundamento jurídico para el tratamiento de datos personales, esto puede ser problemático si, por ejemplo, ese consentimiento se retira posteriormente. La Hoja de Ruta sugiere que los participantes en el arbitraje se basen en un fundamento jurídico alternativo, cuando sea posible, como los "intereses legítimos" para el procesamiento de datos personales y la derogación de las reclamaciones legales para los datos de categoría especial. Para los "intereses legítimos", la Hoja de Ruta incluirá una lista de verificación de Evaluación de Intereses Legítimos para ayudar a los Participantes en el Arbitraje. 

- Los Participantes en el arbitraje deben considerar la publicación de avisos de privacidad en sus sitios web, abordando específicamente la resolución de controversias, explicando a los interesados reales y potenciales por qué y cómo procesan sus datos personales y qué derechos tienen los interesados, además de considerar las obligaciones de avisos específicos y otros requisitos de transparencia. 

- Los participantes en el arbitraje, en su calidad de responsables del tratamiento de datos, tendrán que asegurarse de que existe un acuerdo de tratamiento de datos que cumpla con la normativa del RGPD con todos los responsables del tratamiento de datos, como los profesionales del descubrimiento electrónico, los transcriptores y los intérpretes.

- Los Participantes en el arbitraje deben considerar las restricciones a la transferencia de datos personales a nivel internacional, en particular si se encuentran en países con regímenes de transferencia estrictos, como China y Rusia, y que dichas restricciones deben ser identificadas y documentadas al comienzo de los procedimientos. En la hoja de ruta se señala que cuando el tercer país no sea objeto de una decisión de adecuación por parte de la Comisión Europea, y las salvaguardias apropiadas, como las cláusulas contractuales estándar, no sean viables, los bufetes de abogados podrían probablemente basarse en la derogación de las reclamaciones legales o, alternativamente, en una cuarta opción de "intereses legítimos apremiantes" que, según las observaciones de la hoja de ruta, es poco probable que se aplique a menudo en la práctica debido al elevado umbral y a los requisitos de notificación. 

- Los participantes en el arbitraje deberían considerar si los datos personales en cualquier material de arbitraje son necesarios y podrían ser redactados o sustituidos por el uso de seudónimos.

- Los participantes en el arbitraje deben aplicar un enfoque proporcionado y basado en el riesgo a la seguridad de la información. La Hoja de Ruta sugiere que los profesionales consulten las Directrices sobre Ciberseguridad de la AIA (2018) para obtener orientación. 

- Los Participantes en el Arbitraje deben documentar todas las medidas y decisiones tomadas en relación con el cumplimiento de la protección de datos.

- Los Participantes en el arbitraje deben considerar la posibilidad de contratar un seguro para mitigar cualquier riesgo en caso de infracción. 

- Tras la conclusión de un arbitraje, los Participantes en el mismo deben considerar cuánto tiempo deben conservar los datos personales relacionados con los procedimientos concluidos y el tiempo después del cual dichos datos personales y/o los documentos que los contienen deben ser destruidos o eliminados de forma permanente.

La hoja de ruta destaca una serie de riesgos para las partes, los árbitros y los abogados y la necesidad de considerar las obligaciones de protección de datos en una fase temprana del procedimiento arbitral. La Hoja de Ruta pretende ser un documento vivo y será interesante ver cómo se desarrolla la orientación después de la consulta. 

El Gobierno del Reino Unido ha anunciado su intención de incorporar el RGPD a la legislación del Reino Unido para que la reglamentación siga aplicándose tras la expiración del período de transición de Brexit del Reino Unido el 31 de diciembre de 2020. Mientras tanto, la Ley de Protección de Datos de 2018, la aplicación del RGPD en el Reino Unido, seguirá aplicándose.

Conclusión

Los bufetes de abogados deben ser conscientes de sus obligaciones en virtud del PBI cuando asesoren en los procedimientos de arbitraje, en particular en lo que respecta a la protección de los datos personales en los materiales de arbitraje en un clima cada vez más virtual. La ICCA-IBA Roadmap será una guía útil para que los bufetes de abogados garanticen el cumplimiento de sus obligaciones.