O Consello de Ministros aprobou o pasado venres, a proposta da ministra de Xustiza, Dolores Delgado, un Real Decreto Lei con medidas urxentes para adaptar o Dereito español ao Regulamento Xeral de Protección de Datos (RXPD), norma da Unión Europea que ao entrar en vigor o pasado 25 de maio impuxo importantes modificacións na lexislación interna, cambios que foron incorporados a un proxecto de lei orgánica que aínda non superou a súa tramitación parlamentaria.
A entrada en vigor do RXPD provocou, por tanto, un baleiro legal que dificulta a súa aplicación en España, o que podería deixar desprotexido o dereito fundamental dos cidadáns á súa privacidade. Por iso era imprescindible e urxente a adopción dunha norma con rango de lei que permita a adaptación do Dereito español ao regulamento europeo nalgunhas cuestións cuxa regulación non está reservada a lei orgánica. O Real Decreto-lei aprobado este venres realiza dita adaptación e terá vixencia só ata o momento no que as Cortes aproben o proxecto de lei cuxa tramitación parlamentaria segue pendente.
O Real Decreto Lei regula aspectos relacionados coa inspección, o réxime sancionador e o procedemento de instrución que son relevantes para a garantía efectiva do dereito á protección dos datos persoais, dado que achegan a seguridade xurídica necesaria sen cuxa existencia o modelo europeo de supervisión queda debilitado e, con el, as opcións dos cidadáns de facer valer a súa privacidade.
Neste sentido, o Real Decreto Lei fixa cal é o persoal competente para realizar os labores de investigación previstas no RGPD e regula o modo en que poderán desenvolver a súa actividade de inspección. Así mesmo, determina o réxime aplicable ao persoal das autoridades de supervisión doutros Estados membros da Unión Europea que participen en actuacións conxuntas de investigación.
Réxime sancionador
O regulamento europeo establece un réxime sancionador aplicable en España, pero non regula cuestións tan esenciais como os prazos de prescrición ou as sancións, ao considerar que deben fixarse no ordenamento interno dos Estados. Eses dous factores son básicos para garantir a seguridade xurídica dos procedementos abertos e protexer de maneira efectiva os dereitos dos cidadáns.
De non acometer canto antes a súa regulación, sería moi complicado aplicar o réxime sancionador, o que tamén debilitaría o sistema de protección de datos e xeraría o risco de que a Comisión Europea estudase emprender accións contra España por incumprimento do seu regulamento xeral.
O Real Decreto Lei asume o novo réxime sancionador do RXPD e substitúe os tipos infractores previstos na aínda vixente Lei Orgánica 15/1999. E ratifica o réxime actual en canto á duración dos procedementos sancionadores, que será de seis meses, aínda que poderán incluír actuacións previas de investigación durante un prazo máximo de doce meses.
En canto á prescrición das sancións, o Real Decreto Lei opta por manter os mesmos tempos que actualmente establece a Lei Orgánica de Protección de Datos, polo que fixa un prazo dun ano para as inferiores a 40.000 euros, dous anos para as comprendidas entre 40.000 e 300.000 euros e tres anos para as superiores á devandita contía.
Por outra banda, o regulamento crea un procedemento de cooperación entre os países da Unión Europea nos supostos de tratamentos denominados transfronteirizos, coa participación de todas as autoridades implicadas, pero non regula o modo en que o Dereito interno dos Estados haberá de verse afectado como consecuencia os trámites previstos na propia norma europea para estes procedementos.
Procedementos transfronteirizos
A aplicación do RXPD esixe en moitos casos solicitar o criterio das autoridades de protección de datos doutros Estados membros da Unión Europea para actuar de forma coordinada naqueles supostos que afecten a varios países.
Segundo os datos da Axencia Española de Protección de Datos, nas dúas primeiras semanas de aplicación do RXPD abríronse 17 procedementos transnacionales referidos, sobre todo, ao exercicio do dereito ao esquecemento, o tratamento de datos ou a política de privacidade e os termos de servizo de grandes entidades tecnolóxicas. Devanditos expedientes teñen un potencial impacto en millóns de cidadáns europeos. As autoridades de protección de datos da UE estiman que o número destes procedementos transfronteirizos podería situarse entre 13.000 a 16.000 ao ano.
Era por tanto necesario incorporar á normativa española as especificidades destes procedementos transfronteirizos e prever aspectos como a súa suspensión ou a interrupción dos prazos de prescrición mentres as autoridades correspondentes revisan devanditos procedementos.
O regulamento europeo distingue no práctica tres tipos de tratamentos aos que aplica distintas normas procedimentales: os tratamentos transfronteirizos, os transfronteirizos con relevancia local nun Estado membro e aqueles exclusivamente nacionais. No caso dos dous primeiros supostos, a regulación europea establece a obrigación de que a autoridade principal someta os distintos proxectos de decisión ás restantes autoridades, que dispoñerán de prazos taxados para a emisión de observacións pertinentes motivadas, e prevé o sometemento da resolución ao Comité Europeo de Protección de Datos en caso de non alcanzarse un acordo entre todas elas.
Todo iso impoñía a necesidade de incorporar ao procedemento por presuntas infraccións fases específicas como a admisión a trámite das reclamacións ou a posibilidade de arquivo provisional do expediente nos supostos en que a Axencia Española de Protección de Datos non tramite a reclamación, pero poida ter que resolver sobre a mesma.
O Real Decreto Lei inclúe a previsión de suspender os procedementos cando sexa necesario solicitar o parecer das autoridades doutros Estados europeos. De non facelo así, eses expedientes poderían caducar, coas consecuencias negativas que iso leva non só respecto da aplicación en España do regulamento europeo, senón para a garantía do dereito fundamental dos cidadáns europeos no seu conxunto á súa privacidade naqueles casos en que a Axencia Española de Protección de Datos tivese a condición de autoridade de control principal.
