Hay un tema con el que recurrentemente me he encontrado en los últimos años y que me parecía especialmente interesante de abordar en mi primer post en este blog: el tratamiento del dato de “identidad de género” en España.
En los últimos años se ha podido apreciar cómo, poco a poco, en algunas páginas web, formularios, etc. se han ido incluyendo opciones adicionales en los que, en la pregunta relativa al “género” o “sexo”, se incluyen, junto con las opciones “mujer”, “hombre”, opciones tales como “no binario” u “otras opciones”, con el fin de avanzar hacia una sociedad más inclusiva.
Y aquí os preguntaréis, ¿la AEPD ha emitido guías o informes jurídicos sobre el tratamiento del dato de “identidad de género”? ¿Qué debo tener en cuenta, como responsable del tratamiento, para tratar este dato?
Sorprendentemente, hasta el momento, la AEPD únicamente se ha pronunciado al respecto en dos resoluciones sancionadoras:
- Procedimiento PS/00245/2019. Apercibimiento al Departamento de Educación del Gobierno de Navarra. Pregunta sobre el “sexo” de la persona que responde la encuesta en la que se incluyen las opciones “chico”, “chicas” y “otras opciones”. Enlace a la resolución.
- Procedimiento PS/00070/2023. Apercibimiento a la Consejería de Economía, Conocimiento y Empleo. Pregunta sobre “sexo/género” de la persona que cumplimenta un formulario en el que se incluyen las opciones “mujer”, “hombre” y “no binario”. Enlace a la resolución.
Y, seamos realistas, la argumentación detrás de estas resoluciones siempre me ha sorprendido por ser extremadamente confusa. Así que abrocharos los cinturones para abordar conmigo los elementos clave de estas resoluciones y hacer frente a algunos problemas actuales para el tratamiento de este tipo de datos.
First things, first: ¿Qué es la “identidad de género”?
Me parece relevante empezar por los conceptos básicos y primero entender qué es la identidad de género. Es muy importante tener este concepto claro ya que la AEPD en sus resoluciones va saltando de concepto en concepto, entremezclando conceptos variados como orientación sexual, identidad de género, etc.
La “identidad de género” se define por la Organización Mundial de la Salud cómo “la experiencia de género interna, individual y profundamente sentida de una persona, que puede corresponderse o no con la fisiología de la persona o el sexo designado al nacer” (traducción de la frase original “Gender identity refers to a person’s deeply felt, internal and individual experience of gender, which may or may not correspond to the person’s physiology or designated sex at birth” disponible en el siguiente enlace).
Podemos encontrar también una definición dentro de la normativa española en el Artículo 2.1 de la Ley 2/2021, de 7 de junio, de igualdad social y no discriminación por razón de identidad de género, expresión de género y características sexuales donde se define la “identidad de género” como “la vivencia interna e individual del género tal y como cada persona la siente y autodetermina, sin que deba ser definida por terceros, pudiendo corresponder o no con el sexo asignado al nacer y pudiendo involucrar o no la modificación de la apariencia o de las funciones corporales a través de medios farmacológicos, quirúrgicos o de cualquier otra índole, siempre que ello sea libremente escogido”.
¿Cómo califica la AEPD el dato de “identidad de género”?
En las resoluciones de la AEPD que hemos citado al inicio del artículo, la AEPD ha calificado el dato relativo a la “identidad de género” de una persona como un dato de categoría especial.
Probablemente en tu cabeza ahora te asalte la siguiente idea: ¿la enumeración del Artículo 9.1 del RGPD incluye el dato relativo a la “identidad de género” de forma expresa?
Como podéis observar a continuación -y como expresamente reconoce la AEPD en sus resoluciones-, el Artículo 9.1 del RGPD literalmente no lo incluye en su enumeración.
«Artículo 9
Tratamiento de categorías especiales de datos personales
1. Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o las orientación sexuales de una persona física.»
Entonces, ¿por qué la AEPD considera que el dato de “identidad de género” debe ser considerado como una “categoría especial de datos”?
Pues, de forma resumida, la AEPD considera que dichos datos merecen esta protección adicional con el fin de evitar situaciones discriminatorias hacia los interesados.
Así, el RGPD nos recuerda en sus considerandos 10 y 51 el fin último de estas reglas especiales para este tipo de datos: son datos “particularmente sensibles en relación con los derechos y las libertades fundamentales, ya que el contexto de su tratamiento podría entrañar importantes riesgos para los derechos y las libertades fundamentales”, concretamente, el derecho fundamental a la igualdad del Artículo 14 de la Constitución Española.
Concretamente, la AEPD refiere en sus resoluciones que:
- La Declaración Universal de Derechos Humanos y otros tratados internacionales de protección de los derechos de las personas incluyen “garantías de no discriminación” donde, si bien no se menciona de forma explícita la orientación sexual o la identidad de género, sí se incluyen expresiones generales (tales como “cualquier otra condición”) que buscan que dichas listas sean abiertas para no establecer enumeraciones cerradas de posibles situaciones de discriminación.
- Los órganos de las Naciones Unidas han sostenido uniformemente que la orientación sexual y la identidad de género son fundamentos prohibidos de discriminación con arreglo al derecho internacional.
En conclusión, entiende que la “identidad de género” debe incluirse dentro de la protección especial y reforzada del Artículo 9.1 del RGPD con el fin de evitar situaciones de discriminación.
“Numerus clausus” o “numerus apertus”: “he ahí la cuestión”
Uno de los grandes debates que puede originar esta interpretación sería si la enumeración del Artículo 9.1. del RGPD es cerrada o si admite la inclusión de otras situaciones bajo la consideración de “categoría especial de dato”.
Así, bajo la literalidad del Artículo 9.1 del RGPD, se considerarían como “categorías especiales de datos” los datos relativos a:
- Origen étnico o racial
- Opiniones políticas
- Convicciones religiosas o filosóficas
- Afiliación sindical
- Datos genéticos
- Datos biométricos
- Datos de salud
- Datos relativos a la vida sexual o a la orientación sexual
Teniendo en consideración de literalidad del artículo, podría parecer que estamos ante una enumeración cerrada.
En este sentido, resulta muy interesante tener presente que el Artículo 9.1 del RGPD es una evolución del Artículo 8.1 de la Directiva 95/46/EC, respecto del cual el Grupo de Trabajo del Artículo 29 había expresamente indicado el carácter de lista cerrada de la enumeración de las categorías especiales de datos (véase por ejemplo el “Advice paper on special categories of data (“sensitive data”)” del 4 de abril de 2011).
Dicho lo anterior, las resoluciones citadas al inicio del artículo no serían las primeras en las que la AEPD insinúa la intención/interpretación de que datos relativos a otros ámbitos distintos a los expresamente enumerados podrían ser incluidos dentro de la protección reforzada del Artículo 9.1 del RGPD.
Buscando (sufriendo) en la web de la AEPD informes y resoluciones al respecto, el Informe Jurídico del Gabinete Jurídico 0149/2019 viene a interpretar que (i) si bien el Artículo 9.1 del RGPD constituiría un numerus clausus, (ii) esto no obstaría a que, si fuera necesario, pudieran incluirse otras categorías de datos que requieran de esta protección.
«De lo indicado hasta ahora se puede concluir que las categorías especiales de datos se han de considerar numerus clausus, pues conforman un régimen especial de protección que supone una excepción que limita y circunscribe a unos supuestos específicos las posibilidades de tratamiento, por lo que la interpretación que se realice debe ser restrictiva. Circunstancia que no impedirá que, analizado el contexto, los riesgos y la afección a los derechos y libertades del titular de los datos, pueda incluirse en dichas categorías información de diversa índole para otorgar la protección especial que se requiera en cada caso«
Así que si, seamos sinceros, personalmente no he acabado de entender demasiado bien esta argumentación de la AEPD: reconozco que sólo puede ser este listado porque es una lista cerrada, pero, oye, que si me parece, incluiré alguno más que considere oportuno.
Clasificación como “categoría especial de dato”: Las reglas del juego del Artículo 9 RGPD
Dado que estamos ante un dato que se engloba dentro de las “categorías especiales de datos”, recordemos que su tratamiento está prohibido salvo que alguna de las excepciones del Artículo 9.2 del RGPD apliquen al tratamiento que se quiere llevar a cabo. A modo de recordatorio rápido, éstas serían:
- Consentimiento explícito,
- Cumplimiento de obligaciones y derechos en el ámbito del Derecho laboral y de la seguridad y protección social,
- Protección de intereses vitales,
- Tratamiento por una fundación, asociación u otro organismo sin ánimo de lucro con finalidades políticas, filosóficas, religiosas o sindicales,
- Datos hechos manifiestamente públicos por el interesado,
- Necesario para la formulación, ejercicio o defensa de reclamaciones o tribunales,
- Necesario por razones de interés público esencial,
- Necesario para fines de medicina preventiva o laboral,
- Razones de interés público en el ámbito de la salud pública, o
- Necesario con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos.
Atención: ¡Una prohibición salvaje apareció! El Artículo 9.1 de la LOPDGDD
Y cuando vuestras mentes ya habían fijado su objetivo y tenían en la cabeza “tenemos el consentimiento, estamos salvados”, vengo a recordaros una prohibición incluida en nuestra normativa que se nos suele olvidar: el Artículo 9.1 de la LOPDGDD. Este artículo indica que:
«Artículo 9. Categorías especiales de datos.
1. A los efectos del artículo 9.2.a) del Reglamento (UE) 2016/679, a fin de evitar situaciones discriminatorias, el solo consentimiento del afectado no bastará para levantar la prohibición del tratamiento de datos cuya finalidad principal sea identificar su ideología, afiliación sindical, religión, orientación sexual, creencias u origen racial o étnico.
Lo dispuesto en el párrafo anterior no impedirá el tratamiento de dichos datos al amparo de los restantes supuestos contemplados en el artículo 9.2 del Reglamento (UE) 2016/679, cuando así proceda.«
Y si, esta prohibición es expresamente mencionada como aplicable por parte de la AEPD al tratamiento de datos de “identidad de género” en la Resolución Procedimiento PS/00245/2019, citándose como artículo infringido por parte del responsable del tratamiento.
Personalmente, siempre he tenido dudas del ámbito de aplicación de este artículo cuando habla de “finalidad principal”. Podría ser interesante que, en un futuro post, abordemos resoluciones en las que la AEPD haya aplicado este artículo para intentar descifrar su ámbito y límites claros y concretos 😉 Pero esto ya lo abordaremos en otra ocasión.
Por lo tanto, en principio, no, no puedes basarte en el “consentimiento” para tratar el dato relativo a la “identidad de género”. Aparentemente, ni dentro de los formularios en los que se pregunte el “género” al registrarse en una aplicación 😉
Bonus track. El gran olvidado: el “principio de minimización de datos”
Nuestro querido principio de minimización, como gran olvidado, cobra un gran protagonismo en las resoluciones citadas al inicio de este artículo. Así, la AEPD también sanciona a ambas entidades dado que considera que no existe relación entre lo que se pregunta (i.e., la identidad de género) y la finalidad del tratamiento.
En este punto, personalmente siempre me hago una reflexión: ¿Por qué constantemente se solicita el dato de “género” en el formulario de registro de muchas páginas web o servicios? ¿Qué finalidad tiene su tratamiento concreto?
Si bien he podido apreciar que, por ejemplo, en páginas web de grandes retailers se ha empezado a eliminar este campo, aún existen bastantes páginas web y plataformas que solicitan este dato.
Puede que la AEPD nos quiera dar una advertencia en sus resoluciones para que recordemos este principio muchas veces olvidado por los responsables del tratamiento y que las organizaciones hagan una reflexión adicional sobre el porqué necesitan este dato.
Conclusiones y reflexiones finales
Después de este laberinto de explicaciones, me parece interesante que dejemos claros los conceptos básicos de la interpretación de la AEPD en sus resoluciones:
- La identidad de género se encuadra dentro de la “categoría especial de datos” y, por lo tanto, deben tenerse en cuenta las reglas del Artículo 9 del RGPD.
- La identidad de género, en principio, también se incluiría dentro de la previsión del Artículo 9.1 de la LOPDGDD, por lo que el consentimiento no basta para que el dato sea tratado.
- Como norma general, es importante que el responsable sólo recabe y trate el dato cuando realmente sea necesario para las finalidades del tratamiento. Así, en las dos resoluciones sancionadoras la AEPD interpreta que se ha infringido este principio ya que no considera necesario el tratamiento de dato de “identidad de género” con las finalidades asociadas a los tratamientos concretos.
Este panorama normativo e interpretativo deja abiertas algunas preguntas y problemáticas actuales que, en mi opinión, la AEPD debería abordar en algún momento para dar mayor seguridad jurídica a las empresas y poder crear un entorno más inclusivo. Así:
- ¿Deben las personas verse forzadas a categorizarse de forma binaria (entre hombre o mujer) en los formularios que se encuentran en su día a día?
- ¿Qué sucede con aquellas empresas que quieren crear un entorno de inclusión y dar, por ejemplo, la oportunidad que sus trabajadores manifiesten cómo alguien debe dirigirse hacia su persona? ¿El dato relativo a cómo las personas deben dirigirse hacia alguien -p.ej., “elles” o “they”- estaría incluido dentro del ámbito de aplicación del Artículo 9.1 del RGPD? ¿Podría, en este caso, aplicar la excepción del Artículo 9.2.e) del RGPD?
- ¿Qué sucede con los planes de igualdad de las personas LGTBI del Artículo 15 de la Ley 4/2023, de 28 de febrero, para la igualdad real y efectiva de las personas trans y para la garantía de los derechos de las personas LGTBI? Si bien estamos pendientes de la redacción del reglamento que desarrolle su contenido y alcance concreto, recordemos que el tratamiento de datos de categoría especial por obligación legal debe estar amparado por una “norma con rango de ley”, por lo que un reglamento no podría incluir la obligatoriedad de captar este dato en el entorno empresarial.
Mientras esperamos que la AEPD se pronuncie con alguna guía o informe jurídico claro que nos resuelva todas estas preguntas y muchas más que nos puedan surgir, sólo nos quedará navegar por este entresijo de interpretaciones realizadas en sus únicas dos resoluciones con el fin de acompañar a las empresas para crear un entorno más inclusivo, pero, a su vez, ayudando a que cumplan con la normativa de protección de datos.