Propuesta de la Comisión para una reforma integral de las normas de protección de datos

La Comisión europea ha publicado hoy su propuesta de reforma de la legislación sobre protección de datos personales. Toda la información (en inglés) está disponible en este denso sitio:

Commission proposes a comprehensive reform of the data protection rules

La presentación señala:

La Comisión Europea ha propuesto hoy una reforma general de las normas de protección de datos de la UE de 1995 con objeto de ampliar los derechos a la privacidad en línea e impulsar la economía digital europea. El progreso tecnológico y la globalización han modificado profundamente las vías de obtención, acceso y utilización de los datos. Además, los 27 Estados miembros de la UE han aplicado las normas de 1995 de manera diferente, lo que ha creado divergencias en cuanto a su ejecución y cumplimiento. Mediante un único acto legislativo, se suprimirán la fragmentación y las costosas cargas administrativas actuales, lo que generará un ahorro de unos 2 300 millones EUR anuales. Esta iniciativa contribuirá a reforzar la confianza de los consumidores en los servicios en línea y, con ello, otorgará un impulso muy necesario al crecimiento, la creación de empleo y la innovación en Europa. 

«Hace 17 años, menos de un 1 % de los europeos usaba Internet. Hoy en día se transfieren e intercambian enormes cantidades de datos personales entre continentes y de una punta a otra del mundo en fracciones de segundos», ha declarado Viviane Reding, Comisaria de Justicia de la UE y Vicepresidenta de la Comisión. «La protección de los datos personales es un derecho fundamental de todos los europeos, quienes, no obstante, a veces sienten que pierden el control sobre sus datos personales. Mis propuestas contribuirán a infundir confianza en los servicios en línea dado que los ciudadanos estarán mejor informados de sus derechos y tendrán un mayor control sobre la información que les atañe. La reforma conseguirá todos estos objetivos al tiempo que facilitará el funcionamiento de las empresas y les permitirá ahorrar costes. La existencia de un marco legal sólido, claro y uniforme a escala de la UE permitirá liberar el potencial del Mercado Único Digital y fomentar el crecimiento económico, la innovación y la creación de empleo». 

Las propuestas de la Comisión actualizan y modernizan los principios consagrados en la Directiva sobre protección de datos de 1995 con el fin de preservar los derechos a la privacidad en el futuro. Constan de una Comunicación en la que se exponen los objetivos de la Comisión y dos propuestas legislativas: un Reglamento que establece un marco general de la UE para la protección de datos y una Directiva sobre la protección de los datos personales tratados con fines de prevención, detección, investigación o persecución de delitos y en relación con las actividades judiciales correspondientes. 

Los cambios esenciales introducidos por la reforma son los siguientes:

• Se impondrá un conjunto único de normas sobre protección de datos válido en toda la UE y se eliminarán requisitos administrativos innecesarios como los requisitos de notificación para las empresas. Esto les supondrá un ahorro cercano a 2 300 millones EUR anuales.

• En lugar de la disposición actual que obliga a todas las empresas a notificar todas las actividades de protección de datos a los supervisores de protección de datos (requisito que ha generado a las empresas trámites y costes por un valor de 130 millones EUR anuales) el Reglamento intensifica la responsabilidad y la obligación de rendir cuentas de todos aquellos que procesen datos personales.

• Por ejemplo, las empresas y organizaciones deberán notificar a la autoridad nacional de control toda violación de datos grave lo antes posible (siempre que sea posible en un plazo de 24 horas).

• Las organizaciones tendrán como interlocutora única a una autoridad nacional de protección de datos en el país de la UE donde tengan su sede. Del mismo modo, los ciudadanos podrán dirigirse a la autoridad de protección de datos de su país, incluso cuando sus datos sean tratados por una empresa ubicada fuera de la UE. Siempre que el tratamiento de los datos exija el consentimiento del interesado, deberá dejarse claro que dicho consentimiento debe obtenerse explícitamente y no presuponerse.

• Los ciudadanos tendrán un acceso más fácil a sus propios datos y deberán poder transferir sus datos personales de un proveedor de servicios a otro con mayor facilidad (el derecho a la «portabilidad de los datos»), lo que aumentará la competencia entre servicios.

• El «derecho al olvido» ayudará a los ciudadanos a gestionar mejor los riesgos inherentes a la protección de los datos en línea: los usuarios podrán borrar sus datos cuando no existan razones legítimas para conservarlos.

• Deberán aplicarse las normas de la UE a toda empresa activa en el mercado de la UE que ofrezca sus servicios a ciudadanos de la UE y procese datos personales en terceros países.

• Se proporcionarán refuerzos a las autoridades nacionales independientes de protección de datos para que efectúen una mejor aplicación de las normas de la UE en su territorio. En efecto, tendrán la potestad de multar a las empresas que quebranten las normas de protección de datos de la UE. Este tipo de sanciones puede representar hasta 1 millón EUR o un 2 % del volumen de negocios anual global de una empresa.

• Una nueva Directiva aplicará ciertos principios y normas generales de protección de datos a la cooperación policial y judicial en materia penal. Esas reglas se aplicarán a las transmisiones de datos nacionales e internacionales.

Las propuestas de la Comisión entran ahora en la fase de discusión ante el Parlamento Europeo y los Estados miembros de la UE (a través del Consejo de Ministros). Entrarán en vigor dos años después de su adopción. 

Contexto

Por datos personales se entiende cualquier información, ya sea de carácter privado, profesional o público, que se refiera a una persona. Puede consistir en un nombre, una foto, una dirección electrónica, datos bancarios, mensajes publicados en redes sociales, información médica o la dirección IP de un ordenador. La Carta de los Derechos Fundamentales de la UE declara que toda persona tiene derecho a la protección de los datos de carácter personal que la conciernan en todos los aspectos de su existencia: en su hogar, en su lugar de trabajo, al hacer compras, al recibir tratamiento médico, en una comisaría de policía o en Internet. 

En la era digital, la obtención y el almacenamiento de información personal son esenciales. Los datos son utilizados por todo tipo de empresas, desde compañías de seguros y bancos hasta medios de comunicación sociales, pasando por motores de búsqueda. En un entorno globalizado, la transferencia de datos a terceros países se ha convertido en un importante factor de la vida cotidiana. En línea no hay fronteras y la computación en nube permite que los datos se envíen desde Berlín para procesarse en Boston y almacenarse en Bangalore. 

El 4 de noviembre de 2010, la Comisión fijó una estrategia para reforzar las normas de protección de datos de la UE (IP/10/1462 y MEMO/10/542). Sus objetivos eran proteger los datos personales en todos los ámbitos de actuación, incluido el orden público, reduciendo al mismo tiempo los trámites engorrosos para las empresas y garantizando la libre circulación de datos dentro de la UE. La Comisión solicitó reacciones a sus ideas y llevó a cabo una consulta pública por separado para revisar la Directiva sobre protección de datos (95/46/CE). 

Las normas sobre protección de datos de la UE se destinan a proteger los derechos y las libertades fundamentales de las personas físicas y, en particular, el derecho a la protección y a la libre circulación de los datos. Esta Directiva sobre protección de datos general se complementa con otros instrumentos jurídicos como la Directiva sobre la privacidad y las comunicaciones electrónicas, para el sector de las comunicaciones. Existen además disposiciones específicas para la protección de los datos personales en el marco de la cooperación policial y judicial en materia penal (Decisión Marco 2008/977/JAI). 

El derecho a la protección de los datos personales se reconoce explícitamente en el artículo 8 de la Carta de los Derechos Fundamentales de la UE y en el Tratado de Lisboa. La base jurídica de las normas de protección de datos en el marco de todas las actividades reguladas por el Derecho de la UE se recoge en el artículo 16 del Tratado de Funcionamiento de la Unión Europea.