ENTREVISTAS

Damos cerrojazo a un año 2014 y llega otro, el 2015, tan apasionante como el anterior. Para culminar este ejercicio hemos querido charlar con un jurista de primera fila. Pocos como Javier Puyol, socio responsable del área de litigación de ECIX Group conocen el mundo de la tecnología y de la privacidad. Nadie como él para definir la figura del emprendedor jurídico que tanto ha impulsado nuestra publicación. Tras una etapa llena de éxitos profesionales en la asesoría jurídica contenciosa corporativa de BBVA, hoy le tenemos en uno de las firmas legales punteras en privacidad y compliance. Hablamos con él cuando acaba de regresar de Honduras, como asesor que es del gobierno de este país en materia de privacidad: “Trabajamos en un proyecto de la UE y del propio Gobierno de este país que desde su Instituto de Acceso a la Información Pública (IAIP) está liderando un anteproyecto de ley de protección de datos”, apunta. Su papel ha sido de liderar a los expertos internacionales que apoyan este cambio normativo.  Con Javier hemos hablado de la actualidad; de los ciberataques y su prevención; del cierre de Google News o del futuro de la privacidad en un entorno europeo. Lo que más llama la atención al periodista es su claridad de ideas sobre todos estos temas: “Es obvio que el Estado debe adelantar los fondos para sufragar la citada investigación y se persigan esos hechos delictivos. Sin embargo, una vez que los culpables han sido detenidos, lo razonable sería que los responsables de ese delito pagaran los costes de dicha investigación” comenta.

En primera persona

“Este año 2014 ha sido clave en mi carrera profesional. Tras dieciséis años como director de la asesoría jurídica contenciosa corporativa de BBVA decidí emprender otro rumbo profesional. Atrás quedaba, la judicatura y el Tribunal Constitucional.

Hay que recordar con cariño la experiencia en la entidad financiera; pude ver el ejercicio de abogacía desde fuera desde la gran empresa perdiendo algo la perspectiva del abogado individual.

En septiembre de este 2014 que estamos acabando llegó el momento del cambio. Fue el momento de revisar las ofertas que me habían llegado: reconozco que también otra entidad financiera me propuso llevar su asesoría jurídica; propuesta de algún fondo americano. Incluso pude haber creado mi propio despacho al igual que ideas de montar el área tecnológica en algun despacho.

En este contexto apareció ECIX Group; mi apuesta personal. Creo realmente que esta firma pertenece a la avanzadilla de la abogacía en muchos aspectos. Pese a su juventud el despacho tiene las ideas muy claras de abarcar nuevas líneas como el compliance y el asesoramiento integral a empresas e instituciones en estos temas.

Dentro de la firma soy responsable del área de litigación, de nueva creación y también parte de mi cometido está en reforzar la parte de e-derecho y compliance que pensamos tendrá a corto plazo más aceptación si se aprueba como así parece la reforma del Código Penal donde matiza la figura de la responsabilidad penal de las personas jurídicas.”

Sr. Puyol, hemos despedido un año y en una época de reformas donde de nuevo se vuelve a tocar el Código Penal ¿Era necesario este nuevo cambio normativo?

Es preocupante esta actitud del legislador. Es evidente que son numerosas las reformas del Código Penal desde 1995. Recuerdo un artículo que publiqué hace dos años en la revista del Colegio de Procuradores sobre la Ley de Enjuiciamiento Civil pasada del 2000 y solo en ese año se había producido alrededor de veintisiete reformas. No tiene sentido que en este texto se generen tantas reformas.

Y es coherente esta reforma penal para que el compliance tenga acomodo en las empresas como sistema de prevenir los riesgos legales…

A diferencia de otras que hace el legislador a golpe de telediario, creo que esta reforma es necesaria, no tanto por el tema penal, de hecho desde la implantación de la figura de la responsabilidad penal de las personas jurídicas apenas ha habido sentencias.

Si buscamos un símil, en 1984 cuando se promulga la Ley de Consumidores y Usuarios se tiene la sensación que era una norma innecesaria. De hecho la ley tardó en cuajar muchos años aunque realmente cuestiones como el uso de las tarjetas de crédito en las rebajas justifican, entre otros motivos, su vigencia.

Ahora se trata de organizar todas las piezas del puzle y aquí no están organizadas por lo que vemos. Se sacará adelante la reforma penal pero si en paralelo no sacas una reforma procesal que agilice los procedimientos nos quedamos a la mitad

Javier Puyol acaba de regresar de Honduras como asesor en materia de privacidad del Gobierno de este país centroamericano…

Hemos estado trabajando en un proyecto de la UE y del propio Gobierno de este país que desde su Instituto de Acceso a la Información Pública  (IAIP)  está liderando un anteproyecto de ley de protección de datos.

En mi caso me he encargado de liderar al grupo de expertos internacionales que asesoran a esta entidad y a este cometido tan ambicioso. Se trata de crear una norma adecuada a los estándares internacionales, como primer objetivo.

Al mismo tiempo queremos que sea una ley lo más avanzada posible evitando esas carencias que observamos en la legislación europea e iberoamericana. De esta forma estamos analizando cuestiones como el cloud computing; Big Data que ya deben de incorporarse a cualquier legislación.

Hablar de privacidad es hacerlo de Google y de su poder en este sector. ¿Esperaba un desenlace como el que ha sucedido en España con el cierre de Google News?

Google es una empresa que es muy denostada no siempre con razón. De todas formas hay que darse cuenta que es una entidad avanzada a su tiempo. Nadie duda que ha supuesto una gran revolución en el campo de la información y privacidad.

Es evidente que todas las empresas o cuestiones avanzadas a su tiempo tienen un problema regulatorio importante. En Honduras, en el proyecto del que soy uno de los coordinadores, una de las propuestas plasmada en el texto es establecer unos principios sólidos que regulen el desarrollo de las nuevas tecnologías para evitar cualquier tipo de vacío normativo.

Sobre el desenlace de Google News era algo que hay que entender como normal dentro del contexto en el que ha sucedido. Hay que darse que en este conflicto todas las partes tienen su punto de razón. Por ello hay que buscar un punto de encuentro en esta controversia.

¿Es previsible un efecto dominó y que otros buscadores hagan lo mismo y cierren su servicio?

Creo que no tiene que haber ese efecto contagio que algunos expertos señalan.

Hablar de privacidad es hacerlo de las Agencias de Protección de Datos. Es evidente el cambio de tendencia en la AEPD, regulador español.

Es un cambio lógico que era de esperar porque los tiempos están cambiando. En un momento tuve la oportunidad públicamente de que los comisionados de Honduras hayan cogido un planteamiento mío: la protección de datos tiene como punto de partida la defensa a ultranza del ciudadano y eso no se puede discutir.

Pero esta defensa del ciudadano es el punto de llegada de la privacidad. Hay que darse cuenta que la privacidad, el mundo digital tiene otra proyección que es mucha más amplia que el propio ciudadano.

Sabiendo que hay dos modelos de privacidad, el americano más abierto y el europeo bastante restrictivo da la sensación que encontrar un modelo global de privacidad único no es sencillo.

Me encantaría que se lograse ese modelo único del que usted habla, pero en estos momentos buscar este objetivo es una entelequia.

En la actualidad debemos tender a un modelo europeo que sea comprensivo a la evolución que se genera en la privacidad.

A nadie se le escapa que el modelo español puede mejorar en el sentido de que sabiendo la prioridad que hay por la defensa del ciudadano y sus derechos hay que buscar también el desarrollo de la industria; del mundo digital que cambia todas nuestras relaciones.

Sin embargo da la sensación que encontrar un Reglamento Europeo de Protección de Datos no va a ser tarea sencilla, ahora se habla para el 2018.

No es fácil encontrar unas pautas comunes en esta negociación. Hay, además muchos intereses en juego. Hablamos de un mundo virtual que cada vez va ganando importancia, lo que genera una nueva regulación de forma progresiva.

Conocemos la llamada protección de datos terrenal pero realmente tendemos a la llamada protección de datos virtual que conlleva muchos desarrollos como Internet de las cosas, Big Data, por citar algunos de los más importantes.

¿Y será posible llegar al concepto privacy by design del propio Reglamento Europeo, o es algo más utópico?

Es posible y es necesario tender a ello. El problema que nos encontramos es que hay un avance desmesurado de la técnica. Ese avance no es seguido por el legislador, es muy complicado lograr la regulación que se necesita. Tampoco las prácticas sociales van al mismo tiempo que esos cambios tecnológicos de los que hablamos.

De todos estos cambios que llegan ya nos dijo en la entrevista pasada que el Big Data era el reto más imperioso que regular.

Las reformas del Ministro de Justicia, Rafael Catalá están marcadas por la prudencia, como no puede ser de otra forma en algo tan sensible como es la justicia.  Igual está pasando en Honduras donde no se buscan modelos represivos para las personas sino aquellos otros que estén más en contacto con la sociedad y las personas.

Al mismo tiempo es evidente que la regulación de todos los cambios tecnológicos no es posible, quedan obsoletas en un tiempo muy escaso. Cualquier regulación que se haga debe buscar perdurar en el tiempo.

Respecto al Big Data hay que tener en cuenta que se debe partir de una defensa a ultranza de los ciudadanos. Esta es una aplicación que tiene muchos riesgos en la intromisión de la vida de las personas. Por eso hay que buscar que sea respetuoso con esa privacidad.

En este caso hablaría de privacidad, de protección de datos y de confidencialidad. Sin embargo el factor clave es la confianza.  Hay que apostar por la confianza y transmitir a la sociedad en el desarrollo de la técnica.

Cuando no hay confianza surgen las dudas; tanto en la regulación como en su confidencialidad o privacidad.  Hay que buscar una regulación que impulse la confianza en el uso y desarrollo de la tecnología.

¿Cómo cree que va evolucionar el modelo español de privacidad, según muchos colegas suyos uno de los más restrictivos de Europa?

Hay que darse cuenta que en ese escenario es posible que coexista con un Regulador Europeo que generará un marco uniforme y estable en materia de protección de datos. Hay que darse cuenta que la última directiva comunitaria que data de 1995 se ha quedado obsoleta mientras que la tecnología ha avanzado muchísimo.

Ese marco más estable es un valor a tener muy en cuenta. Estoy convencido que los reguladores de cada país estarán más cercanos de los problemas de la sociedad. Es posible que su papel cambie ante la irrupción de ese Regulador Europeo.

En este contexto y volviendo a la actualidad no podemos de dejar de hablar de los ciberataques. Sony Pictures lo ha sufrido al proyectar la polémica cinta “The Interview”. Estamos ante otra vertiente de la privacidad.

Es otra vertiente de la privacidad que hasta hace poco no la teníamos en cuenta.  De hecho algunos datos recientes señalan que el dinero que se mueve por la ciberdelincuencia empieza a superar el del tráfico de drogas.

La ciberdelincuencia es la otra cara del auge de la tecnología. Esto hará que a nivel estatal cada país desarrolle su estrategia de ciberseguridad, como ha hecho nuestro país desde hace un año con la llamada Estrategia de Ciberseguridad Nacional y que empieza a dar sus frutos su implantación.

¿Le gusta como se está desarrollando el modelo de ciberseguridad español?

Me parece el oportuno desde luego.  He tenido la oportunidad de conocer a fondo la actividad de INCIBE, nuestro centro neurálgico de ciberseguridad por excelencia. Su labor es espléndida aunque hay que darse cuenta que estamos ante un mundo nuevo. De momento es más noticia el ciberataque que una posible ciberdefensa.

De todas formas si nos atenemos al informe publicado por ENATIC e ISMSForum es complicado frenar un ciberataque aunque sí mitigar sus efectos.

Es así, pero siempre se puede  diseñar una política preventiva para frenar sus efectos. La atención del Gobierno al INCIBE demuestra que la cuestión es importante y que éste es un escenario para que se estreche la colaboración entre las entidades públicas y la empresa privada.

Ahora en el Parlamento se está debatiendo alguna reforma, a través del Código Penal del que hemos hablado al principio de la entrevista. Y es que la ciberdelincuencia no es la misma ahora que en 1995.

Además no es sencillo encontrar al ciberdelincuente, se necesita investiga mucho y con rapidez.

En cualquier ciberataque que se genere hay que analizar con calma  el hecho, son investigaciones costosas hasta que al final encuentras al delincuente. El último más sonado necesitó de un año hasta dar con los malhechores cibernéticos.

Es evidente que tras la condena a estas personas desde el punto de vista de la responsabilidad civil deberían abonar una cantidad a la empresa víctima de ese ataque. Lo que habría también que evaluar, al mismo tiempo, es que nos cuesta a la sociedad esa investigación.

Es obvio que el Estado debe adelantar los fondos para sufragar la citada investigación y se persigan esos hechos delictivos. Sin embargo, una vez que los culpables han sido detenidos, lo razonable sería que los responsables de ese delito pagaran los costes de dicha investigación.

Que el delincuente tuviera que pagar los costes de la investigación en ese ciberdelito podría ser un elemento disuasorio para evitar este tipo de prácticas que generan cuantiosas pérdidas para las empresas.