• Ayer, poco más de dos años después de su entrada en vigor, la Comisión Europea ha publicado un informe de evaluación sobre el Reglamento general de protección de datos (RGPD). 

El informe muestra que el RGPD ha cumplido la mayoría de sus objetivos, fundamentalmente porque ofrece a los ciudadanos un conjunto sólido de derechos exigibles y ha creado un nuevo sistema europeo de gobernanza y control del cumplimiento. El RGPD ha demostrado su flexibilidad para apoyar soluciones digitales en circunstancias imprevistas, como la crisis de la COVID-19. El informe concluye asimismo que aumenta la armonización en todos los Estados miembros, aunque existe cierto nivel de fragmentación que debe ser supervisado de forma continua. También señala que las empresas están desarrollando una cultura del cumplimiento y recurren cada vez más a una sólida protección de datos como ventaja competitiva. El informe incluye una lista de medidas destinadas a facilitar aún más la aplicación del RGPD a todas las partes interesadas, especialmente a las pequeñas y medianas empresas, así como a promover y desarrollar una cultura de protección de datos verdaderamente europea y un control riguroso de su aplicación.

Věra Jourová, vicepresidenta responsable de Valores y Transparencia, ha declarado: «El régimen europeo de protección de datos nos orienta como una brújula a través de la transición digital centrada en el ser humano y es un pilar importante sobre el que se construyen otras políticas, como la estrategia de datos o nuestro enfoque de la inteligencia artificial. El RGPD es el ejemplo perfecto de cómo la Unión Europea, basándose en los derechos fundamentales, empodera a sus ciudadanos y ofrece a las empresas oportunidades para aprovechar al máximo la revolución digital. Sin embargo, todos debemos seguir trabajando para que el Reglamento general de protección de datos pueda desarrollar su pleno potencial».

Didier Reynders, comisario de Justicia, ha declarado lo siguiente: «El RGPD ha cumplido con éxito sus objetivos y es ahora un punto de referencia en todo el mundo para los países que quieren garantizar un elevado nivel de protección a sus ciudadanos. No obstante, tal como se desprende del informe de hoy, todavía es posible mejorar. Por ejemplo, la aplicación de las normas en toda la Unión debe ser más uniforme: es importante para los ciudadanos y las empresas, sobre todo para las pymes. También debemos garantizar que los ciudadanos puedan ejercer plenamente sus derechos. La Comisión supervisará los avances, en estrecha colaboración con el Comité Europeo de Protección de Datos y en sus intercambios periódicos con los Estados miembros, para que el RGPD pueda desarrollar todo su potencial.»

Principales conclusiones de la revisión del RGPD

Los ciudadanos están más empoderados y son más conscientes de sus derechos: el RGPD mejora la transparencia y concede a las personas derechos exigibles, como el derecho de acceso, rectificación o supresión, el derecho de oposición y el derecho a la portabilidad de los datos. Según los resultados publicados la semana pasada en una encuesta de la Agencia de los Derechos Fundamentales de la Unión Europea, actualmente el 69 % de la población de la UE de más de 16 años ha oído hablar del RGPD y el 71 % de los ciudadanos tiene conocimiento de la existencia de su autoridad nacional de protección de datos. No obstante, aún pueden hacerse más esfuerzos para ayudar a los ciudadanos a ejercer sus derechos, en particular el derecho a la portabilidad de los datos.

• Las normas de protección de datos están adaptadas a la era digital: el RGPD ha empoderado a los individuos para que desempeñen un papel más activo en relación con sus datos en la transición digital. También contribuye a impulsar una innovación fiable, sobre todo mediante un enfoque basado en el riesgo, y principios como la protección de datos desde el diseño y por defecto.
• Las autoridades de protección de datos están utilizando sus competencias reforzadas para adoptar medidas correctivas: desde advertencias y amonestaciones a multas administrativas, el RGPD proporciona a las autoridades nacionales de protección de datos las herramientas adecuadas para hacer cumplir las normas. No obstante, deben recibir el apoyo adecuado en forma de recursos humanos, técnicos y financieros. Muchos Estados miembros están haciéndolo así y han incrementado notablemente las dotaciones presupuestarias y de personal. En general, se ha registrado un aumento del 42 % en el personal y del 49 % en el presupuesto en el conjunto de las autoridades nacionales de protección de datos de la UE entre 2016 y 2019. Sin embargo, existen todavía diferencias radicales entre los Estados miembros.
• Las autoridades de protección de datos colaboran en el contexto del Comité Europeo de Protección de Datos (CEPD), pero todavía hay margen de mejora: el RGPD creó un régimen de gobernanza innovador, destinado a garantizar la aplicación coherente y eficaz del Reglamento mediante la denominada «ventanilla única», que establece que las empresas que efectúen operaciones transfronterizas de tratamiento de datos tengan como interlocutor a una única autoridad de protección de datos, concretamente la autoridad del Estado miembro donde tenga su sede principal dicha empresa. Entre el 25 de mayo de 2018 y el 31 de diciembre de 2019, se presentaron 141 proyectos de decisiones a través de la «ventanilla única», 79 de los cuales fueron decisiones definitivas. Sin embargo, todavía se puede hacer más para desarrollar una verdadera cultura común de protección de datos. En particular, el tratamiento de los casos transfronterizos exige un enfoque más eficiente y armonizado y una utilización eficaz de todos los instrumentos previstos en el RGPD para que las autoridades de protección de datos cooperen.

• Asesoramiento y directrices de las autoridades de protección de datos: el CEPD emite directrices sobre aspectos esenciales del Reglamento y sobre temas nuevos. Varias autoridades de protección de datos han creado nuevos instrumentos, como líneas telefónicas de ayuda para particulares y empresas, y conjuntos de herramientas para pequeñas empresas y microempresas. Es fundamental garantizar que las orientaciones facilitadas a nivel nacional sean plenamente coherentes con las directrices adoptadas por el Consejo Europeo de Protección de Datos.
• Aprovechar plenamente el potencial de las transferencias internacionales de datos: a lo largo de los dos últimos años, el compromiso internacional de la Comisión sobre transferencias de datos libres y seguras ha dado resultados destacables. Un ejemplo lo constituye Japón, país con el que la UE comparte ahora el mayor espacio mundial de circulación libre y segura de datos. La Comisión proseguirá su labor de adecuación con sus socios de todo el mundo. Además, y en colaboración con el CEPD, la Comisión está considerando modernizar otros mecanismos de transferencia de datos, incluidas las cláusulas contractuales tipo, que es la herramienta de transferencia de datos más utilizada. El CEPD está elaborando orientaciones específicas sobre el uso de la certificación y los códigos de conducta para transferir datos fuera de la UE que deben finalizarse lo antes posible. Teniendo en cuenta que el Tribunal de Justicia de la Unión Europea puede aportar aclaraciones en una sentencia que se dictará el 16 de julio y que podría ser pertinente para determinados elementos del nivel de adecuación, la Comisión presentará un informe aparte sobre las decisiones de adecuación vigentes después de que el Tribunal de Justicia dicte sentencia.
• Promover la cooperación internacional: a lo largo de los dos últimos años, la Comisión ha intensificado el diálogo bilateral, regional y multilateral, fomentando una cultura global del respeto de la privacidad y la convergencia entre los distintos sistemas de privacidad, en beneficio tanto de los ciudadanos como de las empresas. La Comisión se ha comprometido a continuar este trabajo como parte de una acción exterior más amplia, por ejemplo en el contexto de la Asociación África-UE, y en su apoyo a iniciativas internacionales, como la «Libre circulación de datos basada en la confianza» (Data Free Flow with Trust). En un momento en el que las infracciones de las normas de privacidad pueden afectar a un gran número de personas simultáneamente en varias partes del mundo, es hora de intensificar la cooperación internacional entre los responsables del cumplimiento de las normas de protección de datos. Por esta razón la Comisión solicitará la autorización del Consejo para entablar negociaciones con vistas a la celebración de acuerdos de asistencia mutua y cooperación policial con los terceros países pertinentes.

Alinear el Derecho de la UE con la Directiva sobre protección de datos en el ámbito penal

Por otra parte, la Comisión también ha publicado hoy una Comunicación en la que se identifican diez actos jurídicos que regulan el tratamiento de datos personales por parte de las autoridades competentes para la prevención, investigación, detección o enjuiciamiento de infracciones penales, que deben alinearse con la Directiva sobre protección de datos en el ámbito penal. Este alineamiento aportará seguridad jurídica y aclarará cuestiones tales como los fines del tratamiento de datos personales por las autoridades competentes y los tipos de datos que pueden estar sujetos a dicho tratamiento.