Desde que el pasado 4 de mayo de 2016 se publicó el Reglamento Europeo de protección de datos (Reglamento UE 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016), numerosos expertos han manifestado sus dudas sobre la convivencia entre la actual legislación española (principalmente la LOPD y su reglamento de aplicación) y la nueva normativa europea.
Por un lado, el largo periodo de vacatio legis otorgado al Reglamento UE, que no entrará en vigor hasta el 25 de mayo de 2018, plantea como primera consecuencia que, como ha señalado José Luis Piñar en una jornada organizada por ENATIC ya el pasado mes de abril, que hasta ese momento las autoridades españolas (ni de ningún otro Estado miembro), no pueden adoptar ninguna medida contraria a la efectividad de dicha norma.
Por otra parte, según informa Carlos Fernández, el propio Reglamento efectúa numerosas remisiones la normativa interna de cada país, lo que quiere decir que la normativa nacional de cada estado, en el caso español la LOPD, será de aplicación en lo que no le contradiga o se oponga a la efectividad del Reglamento.
De hecho, como apuntó Pablo García Mexía en la misma jornada, el Reglamento da por sentado que tras su entrada en vigor, sigue perviviendo un acervo normativo nacional en materia de protección de datos. Por ejemplo en materias que el Reglamento parece no querer abordar, como tratamiento de datos por los poderes públicos o determinadas situaciones específicas de tratamiento, como es el derecho laboral.
Por ello, en opinión de este experto, el legislador interno va a tener que adaptar el derecho español a lo que establece el Reglamento en materias contradictorias, por ejemplo, el registro de ficheros, que el Reglamento no exige, pero la LOPD sí.
En este sentido también se han planteado dudas sobre si una normativa estatal puede, por ejemplo, imponer en algún aspecto condiciones más exigentes que el propio Reglamento. Téngase en cuenta a este respecto que según el José Luis Piñar, la Agencia Española ha sido la más rigurosa y exigente en materia de protección de datos en el ámbito europeo.
El gobierno presentará el proyecto en los primeros meses de 2017
Pues bien, según ha anunciado hace pocas fechas la Directora de la AEPD Mar España, en el IV Congreso de regulación publicitaria digital, en los primeros meses de 2017 el Gobierno presentará el proyecto de Ley de adaptación de la LOPD al Reglamento europeo.
Si bien España no ofreció información sobre los aspectos concretos que serán objeto de modificación, sí mencionó determinados “temas” que considera relevantes, por lo que no parece improbable que la reforma tenga que ver con ellos. En estos temas se encuentran:
- La necesidad de consentimiento del titular de los datos para su tratamiento
De acuerdo con el Reglamento este consentimiento no puede ser tácito ni por omisión, por lo que las empresas deberán adaptarse y usar nuevas formas de recepción de dicho consentimiento.
- Los modelos sobre la información el responsable de tratamiento debe facilitar al interesado en los supuestos previstos en los arts. 13 y 14 del Reglamento UE, según que los datos a tratar hayan sido obtenidos o no de dicho interesado.
- Los criterios de certificación para el ejercicio del cargo de Delegado de protección de datos (DPO)
Reforma de la Directiva sobre e-privacidad
Por otra parte y en el mismo acto, Mar España informó de que se espera que a comienzos del próximo año se presente el proyecto de reforma de la Directiva sobre e-privacidad (Directiva 2002/58/EC de 12 de julio de 2002).
Esta reforma, enmarcada en el ámbito de la estrategia sobre Mercado Único Digital presentada a comienzos de mayo pasado, ha sido sometida a información pública a lo largo de esta primavera, con excelente participación.
Según la Comisión, las principales sugerencias recibidas apuntan al interés de los ciudadanos y entidades por aspectos como: la garantía de confidencialidad en las comunicaciones electrónicas, en especial en lo relativo al tráfico y localización de los datos; el limitado ámbito de la actual Directiva, que no incluye aspectos como la mensajería instantánea, las comunicaciones por voz IP o los correos electrónicos; el carácter demasiado vago de sus preceptos y su bajo nivel de ejecutividad; la regulación de las cookies y el régimen del consentimiento para el tratamiento de los datos personales con fines comerciales.
