Contribución de la AEPD a un enfoque global de la protección de datos personales en la Unión Europea

En respuesta a la invitación de la Comisión, la Agencia Española de Protección de Datos (AEPD) ha realizado una serie de propuestas sobre la futura revisión de la directiva de protección de datos, publicadas ayer en Nota de Prensa (PDF).

Estas son las propuestas más significativas:

Garantizar una protección adecuada en cualesquiera circunstancias

• Que la identificabilidad no sea el único elemento a la hora de considerar el concepto de dato personal.
• Configurar una definición lo suficientemente amplia para anticiparse a las posibles evoluciones de la tecnología que incluya los procedimientos y técnicas para el tratamiento de la información que permitan singularizar a una persona o usuario.

Aumentar la transparencia para los interesados

• Acuñar símbolos o iconos informativos sobre el tratamiento de protección de datos.
• Promover acciones informativas que garanticen su difusión a los ciudadanos
• Reforzar la consideración jurídica del deber de información como pilar fundamental del consentimiento válidamente otorgado.

Notificación de violaciones de datos personales

• La ampliación de la obligación de notificación de violaciones de datos personales a otros sectores de actividad
• Que se creen mecanismos que aseguren la armonización de los procedimientos y modalidades de notificación de violaciones de datos personales.
• Que dichos procedimientos, garantizando los derechos de los titulares de los datos, hagan posible, de forma equilibrada, el cumplimiento de las obligaciones que afecten a los responsables de ficheros y tratamientos y a las autoridades de control.

Reforzar el control sobre los propios datos

• Establecer condiciones que permitan la utilización eficiente de los mecanismos que, en la actualidad, permiten el ejercicio del llamado “derecho al olvido”.
• Articular estos mecanismos para que permitan tanto suprimir la información, como evitar su indexación por motores de búsqueda y prohibir su conservación y uso por parte de terceros. 

Categorías especiales de datos

• Sustituir, con carácter general, la prohibición para tratar datos relativos a categorías especiales por la obligación de establecer garantías apropiadas para garantizar que su tratamiento preserva los derechos de los interesados.
• Analizar las ventajas que implicaría añadir nuevas categorías de datos a los listados actuales, y la mención expresa de otras, como los datos genéticos.

Régimen sancionador

• Que la adopción de un régimen sancionador basado en normas administrativas especializadas redundaría en una mejor protección y en un sistema más eficiente.
• Que se debe armonizar el régimen sancionador a nivel de la Unión con el fin de garantizar que hechos similares se evalúan y sancionan, en su caso, con los mismos criterios y efectos.
• Que el régimen sancionador ha de basarse, siempre que sea posible, en el uso de criterios objetivos de evaluación de la gravedad de los hechos que permitan la modulación de las sanciones.

Clarificar las normas relativas a la legislación aplicable

• Consolidar el concepto de “establecimiento” conforme a la interpretación dada por el Grupo del Artículo 29.
• Aplicar, a aquellos responsables del tratamiento no establecidos en territorio de la Unión Europea, la legislación de aquellos Estados miembros a los que dirijan específicamente sus servicios.

Fomentar las iniciativas en materia de autorregulación

• Estos sistemas de autorregulación deben garantizar la representación del sector, gozar de credibilidad y garantizar la actualidad de sus disposiciones.
• Deberán contar con sistemas internos de control de cumplimiento, que no sustituyan una eventual inspección por parte de la autoridad de protección de datos ni su régimen sancionador.

Transferencias internacionales de datos

• Incorporar expresamente las “Normas Empresariales Vinculantes” al nuevo marco jurídico europeo de protección de datos.
• Explorar la posibilidad de crear un instrumento análogo para aquellas multinacionales que se dediquen a prestar servicios de tratamiento de datos a terceros, con especial atención a la llamada “informática en la nube”, en la línea de los principios establecidos por la Decisión de la Comisión 2010/87/UE.
• Analizar la posibilidad de que el control previo sobre determinadas transferencias internacionales de datos sea realizado por el exportador, conservando en todo caso las autoridades de supervisión la facultad de realizar controles “a posteri”.
• Adaptar los criterios y condiciones de adecuación a la realidad jurídica de los Estados evaluados.
• Introducir un mecanismo de transferencia internacional de datos entre organismos públicos.

Refuerzo del marco institucional

• La mejora en los procedimientos de cooperación e intercambio de información entre las autoridades de control nacionales.
• El diseño de un marco legal que permita el desarrollo conjunto de actividades de cooperación y cumplimiento normativo, incluyendo, con las debidas garantías, a aquellas que se realicen con autoridades fuera del ámbito de la Unión.
• Extender el ámbito de actuación de las autoridades de control a otros Estados miembros cuando los hechos objeto de investigación así lo justifiquen.