El derecho fundamental a la protección de datos personales fue reconocido en el año 2000: en España, por la sentencia del Tribunal Constitucional n.º 292/2000, que lo dedujo del artículo 18.4 de la Constitución; en la Unión Europea por la Carta de los Derechos Fundamentales aprobada en diciembre de ese año, entonces con valor solamente político; y en el ámbito del Consejo de Europa por el Tribunal Europeo de Derechos Humanos en varias de sus sentencias en las que lo consideraron una manifestación del derecho a la vida privada, reconocido en el artículo 8 del Convenio de Roma.
En España ha sido objeto de regulación legal a partir de 1992 y en la Unión Europea a partir de 1995, rigiéndose en la actualidad, además de por el artículo 8 de la Carta de los Derechos Fundamentales, ya con valor normativo desde el Tratado de Lisboa, por el Reglamento (UE) 2016/679 que ha establecido un régimen uniforme del derecho fundamental en toda la Unión. En España la Ley Orgánica 3/2018, de 5 de diciembre, de protección de datos de carácter personal y de garantía de los derechos digitales, completa las disposiciones del Reglamento en los extremos en que este lo requiere.
El contenido del derecho fundamental está integrado por las facultades de autodeterminación informativa que reconoce a las personas físicas a quienes pertenecen los datos y por los límites que impone a quienes tratan información personal. Además, comporta una dimensión institucional plasmada en la creación de autoridades independientes que ofrecen una primera línea de defensa especializada del derecho fundamental además de las generales que ofrece el ordenamiento jurídico.
Desde 1992 hasta hoy se han producido cambios importantes en la orientación del legislador: de una aproximación esencialmente administrativa y estática, ha pasado a otra dinámica, caracterizada por fomentar las condiciones de seguridad en los tratamientos de datos y en la prevención los riesgos que pueden derivar de ellos. También en el incremento notable de la cuantía de las sanciones con que se castigan las infracciones en correspondencia con el margen de confianza que se permite a quienes tratan datos personales.
Es preciso subrayar que, mientras los tratamientos que efectúan los poderes públicos están, en principio, limitados y controlados, no ocurre lo mismo o no en igual medida con los realizados por los operadores privados. Respecto de estos últimos, el alcance territorial de las legislaciones es un obstáculo significativo a la eficacia de la garantía del derecho fundamental, aunque el Reglamento (UE) 2016/679 ha avanzado mecanismos para sujetar al Derecho de la Unión Europea a operadores radicados fuera de ella. No obstante, los problemas surgidos en las transferencias de datos a los Estados Unidos de América ponen de manifiesto que sin una ordenación global, que no se vislumbra, no podrá lograrse una protección satisfactoria de la información personal.
Es menester, por otra parte, limitar su utilización en las contiendas electorales y, en todo caso, resulta imprescindible fomentar la conciencia individual sobre los riesgos a los que responde este derecho y la esencial responsabilidad de cada uno en la preservación de los propios datos.
