Nº 13/2016. El nuevo Reglamento europeo de protección de datos: hacia un mayor control sobre el tratamiento de la información personal

En el Diario Oficial de la Unión Europea del pasado 4 de mayo, se publicó el Reglamento UE 2016/679, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE. Se culmina así un proceso de más de cuatro años de trabajo, que ha sido necesario para dotar de nuevos principios a una regulación fijada por la Directiva 95/46/CE, en un momento en el que el acceso a Internet, el uso de redes sociales o las transferencias en la nube distaba mucho del escenario actual.

Pese a que la aplicación directa del Reglamento no se producirá hasta dentro de dos años, su entrada en vigor tendrá lugar a los veinte días de su publicación, por lo que resulta útil realizar una breve aproximación a las novedades más significativas del Reglamento, ya que un texto de 99 artículos no puede ser abordado en un flash informativo.

Especial mención merecen los derechos de los ciudadanos, que la nueva norma cifra en: transparencia, información, acceso, rectificación, supresión o derecho al olvido, limitación del tratamiento, portabilidad de datos y oposición.

Su simple comparación con los hasta ahora existentes derechos ARCO (acceso, rectificación, cancelación y oposición) pone de manifiesto el refuerzo del control efectivo de los ciudadanos sobre el tratamiento, uso y destino de sus datos de carácter personal, lo que el Tribunal Constitucional calificó en su Sentencia 292/2000, como “haz de facultades consistentes en diversos poderes jurídicos cuyo ejercicio impone a terceros deberes jurídicos.”

Se refuerza el deber de información al interesado con sustento en el principio de transparencia, tanto cuando los datos personales se hayan obtenido directamente de él como cuando no sea así.

Mención especial merece el derecho al olvido, consistente en el “derecho a obtener sin dilación indebida del responsable del tratamiento la supresión de los datos personales que le conciernan”, cuando concurra alguna de las circunstancias previstas en el Reglamento, contando también este derecho con ciertas limitaciones fijadas por la Norma.

Además del refuerzo de los derechos de los ciudadanos, también se determinan en detalle las condiciones para entender válidamente emitido el consentimiento, debiendo el responsable ser capaz de demostrar que el interesado consintió en el tratamiento de sus datos personales, y se hace referencia al deber del responsable de notificar a los interesados las violaciones de seguridad.

El Reglamento crea la figura del delegado de protección de datos, debiendo ser nombrado por los organismos públicos (salvo tribunales en aplicación de la función judicial) y las entidades privadas, ya sean responsables o encargados del tratamiento, cuando sus actividades principales conlleven operaciones de tratamiento que requieran la observación habitual y sistemática del interesado o el tratamiento a gran escala de categorías especiales de datos.

Junto con lo hasta ahora mencionado, el Reglamento amplia considerablemente el ámbito de aplicación territorial de la Directiva 95/46/CE; establece un estricto régimen sancionador (pudiendo llegar las sanciones hasta 20 millones de euros o el 4% del volumen de negocio total anual global del ejercicio financiero anterior, lo que resulte más elevado); se refuerza la cooperación entre las autoridades de control y el principio de seguridad en el tratamiento de datos personales.

Lo hasta ahora expuesto no es más que un esbozo de las novedades que conlleva el Reglamento, que además abre el debate sobre su convivencia con la legislación española de protección de datos, configurada por la LOPD y su Reglamento de desarrollo; todo lo cual, sin duda, apunta futuras novedades en nuestro marco regulador del derecho a la protección de datos de carácter personal.

Noelia de Miguel Sánchez
Abogado

17 de mayo 2016