“En nuestro país podrían ser las Diputaciones quienes pudieran financiar la figura del DPO en los Ayuntamientos, nadie duda que su papel es clave en el desarrollo de las medidas de seguridad como a la hora de señalar cualquier fuga que exista a terceros”

“Habrá que ver como se conjuga la actividad del Comité Europeo en el que estarán todos los reguladores presentes con cada una de las Agencias que ya configuraba el grupo del artículo 29. Otro esfuerzo de negociación y diálogo para que no se interfieran”.

Ponencia magistral la que impartió José Luis Piñar, uno de nuestros mejores expertos en privacidad para analizar, en el seno de una jornada organizada por ENATIC, las novedades principales de Reglamento Europeo de Protección de Datos aprobado el pasado 14 de abril. Desde su punto de vista esta norma europea que entrará en vigor dentro de dos años hay que verla más como oportunidad que como amenaza. “Hay que verlo como una oportunidad que permite esté en la agenda internacional la protección de datos. Tenemos que seguir hablando y mentalizándonos de la importancia de la protección de datos como derecho fundamental”.

A su juicio hay que darse cuenta de la importancia que la UE da a la privacidad en el marco de la libre circulación de los datos. AL mismo tiempo reconoce que el Reglamento tiene diferentes puntos que generarán dudas en cuanto a su aplicación o alcance. “El principio de lealtad comunitaria señala que ya aprobado, los Estados Miembros no aprobarán en este periodo de dos años antes de su entrada en vigor, normas que vayan en contra del citado Reglamento”, apunta Piñar.  

En opinión de este experto jurista, se abre una oportunidad importante para el abogado digital y su especialización como DPO, encargado de privacidad, figura que es obligatoria en determinadas empresas y administraciones públicas.  “En el campo de la privacidad todo está cambiando, eso hará que el abogado tenga que formarse continuamente para dar respuesta a esas necesidades que surjan sobre el tratamiento de datos y al mismo tiempo conocer a fondo las innovaciones que llegan desde el punto de vista técnico”. Como nuevo presidente de la sección V de Derecho Público de la Comisión de Codificación anuncia que su entidad estudiará “por encargo del Ministro de Justicia, como el citado Reglamento va a afectar a nuestra LOPD y en su caso hacer propuestas normativas”, subraya José Luis Piñar.

Su aplicación va a ser más directa

Aforo completo a lo largo de esta jornada de ENATIC para conocer la repercusión del flamante Reglamento Europeo de Protección de Datos y sus repercusiones desde diferentes puntos de vista, en esta norma que pretende uniformizar la privacidad a nivel de los 28 estados miembros de la UE desde junio del 2018 que entrará en vigor. Como ponente principal para analizar sus aportaciones fue José Luis Piñar, un profesional de indudable prestigio quien ahondó en los cambios más importantes. “Esta es una norma que regula el tratamiento de la información y la propia circulación de los datos, de ahí su importancia notable. Que sea un Reglamento implica que su aplicación va a ser más directa que con cualquier directiva”. Para este ponente el citado Reglamento es continuista porque sigue la estela de la última Directiva de 1995. “Al mismo tiempo deja mucho margen al derecho local, con lo cual habrá que ver normativas como nuestra LOPD como va a quedar a corto y medio plazo”, indicó.

A lo largo de su intervención, Piñar fue destacando lo más importante de los 173 considerandos y 99 artículos de este Reglamento Europeo.  “El articulo 1.1 consagra la privacidad de los datos por parte del ciudadano y la libre circulación de los datos". En su opinión esta segunda parte del enunciado es una de las cuestiones que más ha tenido que negociarse para la aprobación del texto final.  Y recuerda que hubo un texto del 2012, el primero que se conoce que se fue adaptando a todas las situaciones que se planteaban. “Es el caso de la extraterritorialidad, del artículo 3,2 que sujeta al mismo Reglamento a empresas que traten datos de ciudadanos europeos, aunque o estén en territorio de la UE". Al mismo tiempo se habla en este Reglamento de un nuevo consentimiento “inequívoco y afirmativo” reflejado en el artículo 4-11 del texto final.  Sobre los menores, hay una referencia en el artículo 8 donde se insiste en una protección especial y más elevada de sus datos.

El propio Reglamento se apoya en una serie de principios que a juicio de nuestro interlocutor se podrían haber trabajado mejor. Son los que se derivan de conceptos como Responsabilidad; Privacy By Design; o Nuevos Derechos.  Respecto a la Responsabilidad Piñar explico que se encuentra en el artículo 24 de este texto nuevo “se ha buscado un modelo similar al anglosajón, aunque sabemos que, en países como México, su modelo recoge cuestiones europeas y otras norteamericanas”, destacó.   Sobre el Privacy by design que viene reflejado en el artículo 25.1 destaca el ponente que “se trata de buscar la privacidad desde el primer momento de concepción de un bien o servicio y no a posteriori como ahora hacen muchas empresas de todo tipo. Es evidente que supondrá un cambio cultural muy importante pero necesario para que la privacidad sea estratégica en la empresa”, recordó.

Nuevos Derechos y derecho al olvido

A juicio del responsable de la Cátedra Google en España, la entrada en vigor del Reglamento hará que se modifiquen los tradicionales derechos ARCO que tiene el ciudadano. Ahora se puede hablar también portabilidad (art 20) y Supresión (Art 17).  “Este nuevo texto respalda lo que ya conocíamos desde hace dos años como derecho al olvido. En el texto se habla que el editor de la publicación y el propio buscador son responsables al mismo tiempo de que se satisfaga ese derecho al olvido con la mayor prontitud posible”, apunta Piñar. Sobre las violaciones de seguridad que existan en la empresa, otro elemento anglosajón que se introduce en este Reglamento hay obligatoriedad de comunicarlas a las 72h so pena de multas importantes. “En nuestro país, hasta el momento esta práctica no ha cuajado, pero ahora al ser obligatoria habrá que facilitar canales para que las empresas revelen esas fugas de información que puedan tener”, destaca nuestro interlocutor.

Otro de los elementos clave de este Reglamento es que la inscripción de los ficheros de datos ya no será suficiente para cumplir la política de privacidad que se le pide a la empresa. “Ahora el enfoque es mucho más proactivo, la empresa debe estar encima de su mapa de riesgos, tener un registro de incidencias y hacer evaluaciones periódicas del impacto que ha generado esos mismos riesgos en la empresa” señala José Luis Piñar. En este contexto, la figura del DPO; responsable de protección de datos, muy parecida en cuanto a su configuración a la que ya conocemos del Compliance Officer en materia penal, se aprobó finalmente en el último texto específicamente para empresas que manejen muchos datos, tanto a nivel público como privado.  “En nuestro país podrían ser las Diputaciones quienes pudieran financiar la figura del DPO en los Ayuntamientos, nadie duda que su papel es clave en el desarrollo de las medidas de seguridad como a la hora de señalar cualquier fuga que exista a terceros”

Para Piñar es fundamental que estos profesionales se encuentren formados de manera conveniente. “Hay que evitar que surja una burbuja informativa en materia de privacidad como pasó hace años en materia de calidad y ahora está sucediendo en el campo de la mediación. Las entidades que estén detrás de los certificados que acrediten el trabajo de los DPO deben ser de primera fila, como son ENATIC, APEP, ISMS Forum o Data Privacy Institute quienes ya están trabajando en esta cuestión.  Es evidente que a corto y medio plazo se abre un escenario importante para cubrir alguna de esas 59.000 plazas de DPO que se estima harán falta en la UE. “Otro elemento que aparece por vez primera, explica Piñar y viene reflejado en el artículo 82 del citado Reglamento es que ciudadanos podrán pedir una indemnización por los daños ocasionados por ese mal uso de los datos personales. Habrá que ver cómo queda dicho resarcimiento porque las sanciones ya vienen estipuladas en los artículos 83 a 85 de este nuevo Reglamento”; advierte nuestro interlocutor.  Sobre el futuro de la AEPD y el resto de los reguladores europeos, Piñar destaca que habrá una transición hasta la entrada en vigor del citado Reglamento, “luego se crea un Comité Europeo en el que estarán integrados todos los reguladores. Habrá que ver como se conjuga la actividad de este macroorganismo con el de cada uno de las Agencias que ya configuraba el grupo del artículo 29. Como todo en este Reglamento, habrá que leer muy bien todo el texto y sobre todo su letra pequeña para darnos cuenta de la repercusión de este texto normativo.