Las nuevas reglas europeas en materia de protección de datos han recibido este jueves, 14  de abril, el visto bueno definitivo del Parlamento Europeo. La reforma pretende devolver a los ciudadanos el control de sus datos personales y garantizar en toda la UE unos estándares de protección elevados y adaptados al entorno digital. También incluye nuevas normas mínimas sobre el uso de datos para fines judiciales y policiales.

La aprobación de este Reglamento pone fin a más de cuatro años de trabajo para reformar drásticamente la normativa comunitaria sobre protección de datos. Las nuevas reglas sustituyen a una directiva de 1995, cuando el uso de internet no estaba tan extendido. El objetivo del nuevo reglamento general es dar más control a los ciudadanos sobre su información privada en un mundo de teléfonos inteligentes, redes sociales, banca por internet y transferencias globales.

Las medidas aprobadas por el Parlamento incluyen por un lado, el Reglamento y, por otro, la Directiva sobre protección de datos de carácter personal tratados a efectos policiales y judiciales, una reforma a la que se dio prioridad en su tramitación a raíz de los atentados terroristas de París el pasado mes de noviembre.

Un sí claro al derecho de los consumidores

 “Con este reglamento de protección de datos conseguimos un nivel uniforme de protección en toda la UE. Es un gran éxito para el Parlamento y un “sí” claro a los derechos de los consumidores y a la competencia en la era digital. Los ciudadanos podrán decidir por sí mismos qué información quieren compartir”, subrayó Jan Albrecht (Verdes, Alemania), responsable de la tramitación parlamentaria del texto.

 “También se ofrece más claridad a las empresas, con una norma única para toda la UE que refuerza la confianza y la seguridad jurídica e impulsa la competencia justa”, añadió Albrecht.

¿Qué incluyen las nuevas reglas de protección de datos?

Entre otras disposiciones, las nuevas reglas incluyen:

- el derecho al “olvido”, mediante la rectificación o supresión de datos personales,

- la necesidad de “consentimiento claro y afirmativo” de la persona concernida al tratamiento de sus datos personales,

- la “portabilidad”, o el derecho a trasladar los datos a otro proveedor de servicios,

- el derecho a ser informado si los datos personales han sido pirateados,

- lenguaje claro y comprensible sobre las cláusulas de privacidad, y

- multas de hasta el 4% de la facturación global de las empresas en caso de infracción.

 Nuevas normas sobre transmisión de datos para garantizar una cooperación policial efectiva

El nuevo paquete de protección de datos también incluye una directiva sobre transmisión de datos para cuestiones judiciales y policiales. Se aplicará al intercambio de datos transfronterizos dentro de la UE y establecerá estándares mínimos para el tratamiento de datos en cada país.

La intención es proteger a las personas implicadas en investigaciones policiales o procesos judiciales, sea como víctimas, acusados o testigos, mediante la clarificación de sus derechos y el establecimiento de límites en la transmisión de datos para prevención, investigación, detección y enjuiciamiento de delitos o la imposición de penas. Se han incluido salvaguardas para evitar riesgos para la seguridad pública, al tiempo que se facilita una cooperación más rápida y efectiva entre las autoridades policiales y judiciales.

 “El principal problema ante los ataques terroristas y otros crímenes trasnacionales es que los cuerpos judiciales y de seguridad son reacios a compartir información valiosa”, explicó la ponente de la directiva, Marju Lauristin (S&D, Estonia). “Al fijar estándares europeos para el intercambio de información, esta norma se convertirá en una herramienta útil para ayudar a las autoridades a trasladar datos personales de manera sencilla y efectiva, asegurando el respeto al derecho fundamental a la privacidad”, agregó.

Entrada en vigor y aplicación efectiva del Reglamento: próximos pasos

Tal como se había avanzado al darse a conocer el borrador, la aplicación del nuevo texto no será efectiva hasta el año 2018. El Reglamento establece un período transitorio y está previsto que no sea aplicable hasta dos años después de la fecha de entrada en vigor (que se produce a los 20 días de su publicación en el Diario Oficial de la Unión Europea). Esto significa que el texto no será ejecutivo antes del segundo semestre de 2018.

Los países comunitarios disponen de un plazo de dos años para trasladar los cambios de la directiva a la legislación nacional.

En el caso de Reino Unido e Irlanda, la directiva sobre intercambio de datos para fines policiales y judiciales sólo se aplicará de manera limitada. Dinamarca podrá decidir en seis meses tras su adopción definitiva si quiere trasladar la directiva a la ley nacional.

Registro de datos de pasajeros aéreos para vigilar la entrada de terroristas en la UE

Otra de las medidas adoptadas por el pleno del Parlamento Europeo ha sido dar luz verde a la creación de un registro europeo de datos de los pasajeros de transporte aéreo (PNR, por sus siglas en inglés), una medida aplazada durante años por las dudas que plantea sobre la privacidad de los pasajeros, pero que finalmente se ha desbloqueado por la presión de los gobiernos para contar con ella en la lucha contra el terrorismo yihadista.

Esta medida obligará a las compañías aéreas a entregar a las autoridades nacionales los datos de los pasajeros de sus rutas a terceros países con salida o llegada desde un Estado miembro, pero no la de los vuelos intracomunitarios.

 Entre las salvaguardas introducidas para proteger la privacidad de los pasajeros y asegurar la protección de datos destaca que aunque las autoridades puedan conservar la información hasta cinco años, ésta deberá quedar "enmascarada" tras los primeros seis meses.

Ello garantizará que los datos que servirían para identificar directamente al pasajero, como su nombre o los datos de pago, deben quedar ocultados. Para asegurar que se respetan los cortafuegos para proteger la privacidad de los pasajeros, los países contarán con unidades de información específicas con un responsable encargado de "controlar" el tratamiento de los datos y con un registro de todas las operaciones de recogida, consulta, divulgación y suspensión de información obtenida del PNR.

N. de la R.: El Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos), fue publicado en el DOUE del 4 de mayo de 2016.

Puede consultarse un resumen de su contenido en este enlace.