ÁREA DE USUARIO
El RD-ley 5/2018 (en adelante RD-ley), de 27 de julio del presente año, tiene como finalidad la incorporación y adopción de la normativa interna al Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo (en adelante RGPD), de 27 de abril de 2016, tendiente a la protección y tratamiento de los datos de las personas físicas y, por el que a su vez, se deroga la Directiva 95/46/CE, en aspectos que, sin ser exclusivos de la ley orgánica, no admiten demora alguna. Por lo que el citado reglamento europeo, ha excluido todas aquellas disposiciones del derecho español que no estén conformes con lo que se establece en el mismo, desde su entrada en vigor el pasado 25 de mayo.
No obstante y, sin detrimento de la necesidad de que se aprueba la ley orgánica para efectos (misma que se encuentra en proceso parlamentario), el texto determina indispensable la adopción de una norma con carácter de Ley, que permita adoptar determinados aspectos para efectos de unificación legal.
Ahora bien, para abundar más en el tema, se hace mención de las cuestiones relevantes para la adopción de esta medida urgente del gobierno español, recogidas en el RD-ley.
INSPECCIÓN EN MATERIA DE PROTECCIÓN DE DATOS
A efectos de inspección en la materia, el RD-ley reconoce a los sujetos legitimados y competentes para ejercer los poderes de la investigación que el mismo artículo 58.1 del RGPD da a las autoridades de control. Del mismo modo, estipula que la investigación de la Agencia Española de Protección de Datos, será efectuada por funcionarios de la misma o ajenos a ella, siempre que se encuentren autorizados por su Director, los cuales tendrán la condición de Agentes de la autoridad en el ejercicio de sus funciones, obligándose a guardar total secreto acerca de las informaciones que se conozcan durante sus actuaciones, e incluso, al término de las mismas, sin mediar justificación ni término alguno.
Por su parte, en aplicación del artículo 62.3 del RGPD, donde se menciona que, en el supuesto de actuaciones conjuntas de investigación, el personal a cargo de las autoridades de control de otros países miembros de la UE, que coordinen con la Agencia Española, ejercerán sus facultades de acuerdo a lo previsto en la reglamentación interna, bajo tutela y dirección de la Agencia en todo momento.
RÉGIMEN SANCIONADOR
El RGPD, establece un régimen sancionador aplicable a la normativa interna española, más no regula aspectos primarios como los plazos de prescripción o las sanciones, al determinar que deben fijarse en el ordenamiento de todos los Estado de la UE, dónde en caso de omisión y retardo en la acogida de estas disposiciones, caso concreto de España, el régimen difícilmente dará resultados, ocasionando el debilitamiento del sistema general de protección de datos y, a su vez, orillaría a la Comisión Europea a emprender acciones por incumplimiento de su Reglamento, de suscitarse el caso.
El RD-ley, en su capítulo segundo, asume el innovador régimen del RGPD, sustituyendo los tipos infractores contenidos en la vigente Ley orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. Ratificando de la misma manera, el régimen actual en cuanto a la duración de los procedimientos sancionadores, que será de seis meses, pudiendo incluir actuaciones previas de investigación durante un plazo no mayor a doce meses.
Por su parte, hablando de prescripción de las sanciones, el RD-ley adopta los mismos tiempos de la Ley Orgánica de Protección de datos.
El régimen señala que estarán sujetos al mismo, los responsables de los tratamientos, los encargados de los tratamientos, los representantes de los responsables o encargados de los tratamientos que no se encuentren establecidos dentro de la UE, así como las entidades de certificación y las entidades acreditadas de supervisión de los códigos de conducta.
Disponiendo que constituyen sanciones, las vulneraciones del Reglamento (UE) 2016/679 en virtud de los apartados 4, 5 y 6 de su artículo 83 y determina los plazos prescriptivos respecto a las infracciones y sanciones previstas en la reglamentación europea.
PROCEDIMIENTOS EN CASO DE POSIBLE VULNERACIÓN DE LA NORMATIVA DE PROTECCIÓN DE DATOS
Por su parte, en el tercer capítulo del RD-ley, se regulan los procedimientos a seguir en supuestos de vulneración a la normativa de protección de datos, con la finalidad en sí mismo de hacer posible la aplicación del régimen procedimental del RGPD.
Dicho reglamento, prevé la oportunidad de instar 3 tipos de tratamientos con sus respectivas normas procedimentales, como lo son:
- los tratamientos transfronterizos, definidos por el artículo 4.23 del RGPD
- los transfronterizos con relevancia local en un Estado miembro, a los que se refiere el artículo 56 del mismo y,
- los de condición exclusivamente nacionales, previstos en el artículo 55 de la norma europea.
El texto del capítulo en cuestión, prevé la iniciación del procedimiento y de su duración; la admisión a trámite de las reclamaciones; la delimitación territorial del procedimiento a seguir; las actuaciones previas de investigación; el acuerdo de inicio del procedimiento para el ejercicio de la potestad sancionadora y de las medidas provisionales.
Otro aspecto de importancia es la integración de la suspensión del procedimiento cuando sea preciso obtener una autorización de las autoridades de otros Estados de la UE, durante todo el tiempo fijado para su obtención, pues existía una alta probabilidad de caducidad de los procedimientos, con las implicaciones que ello conlleva tanto para la aplicación en España de las directrices de protección de datos, como para salvaguardar el interés superior de los ciudadanos europeos en cuanto a sus fundamentales derechos, en aquellos casos en que la Agencia Española de Protección de Datos ejerza como autoridad de control principal.
En última instancia el RD-ley, denomina como representante de España en el Comité Europeo a la Agencia Española de Protección de Datos, la cual informará a las Autoridades autonómicas acerca de las resoluciones adoptadas en el seno de dicho organismo, dándoles competencia en aquellos casos que respecten a su materia, con las previsiones en la publicidad de sus decisiones para garantizar así la transparencia de la actuación.
Cabe mencionar, que el citado Real Decreto, entrante en vigor el pasado 31 de julio del presente y, lo estará hasta la vigencia de la nueva legislación orgánica de protección de datos que tenga por objeto adaptar el ordenamiento legal de España al Reglamento (UE) 2016/679 del Parlamento Europeo y el Consejo, de 27 de abril de 2016.
Redacción SF Abogados
