En abril de este año, el Supervisor Europeo de Protección de Datos (“SEPD”) publicó a solicitud de la Comisión Europea su dictamen sobre la propuesta de Reglamento del parlamento europeo y del consejo sobre el respeto de la vida privada y la protección de los datos personales en el sector de las comunicaciones comerciales y por el que se deroga la Directiva 2002/58/CE (la Propuesta de Reglamento sobre la privacidad y las comunicaciones electrónicas, en adelante, la “Propuesta de Reglamento”), publicada en enero de 2017, en el cual ya manifestaba sus dudas respecto a si el texto de la Propuesta de Reglamento garantizaba, de hecho, un alto nivel de protección de la intimidad en las comunicaciones electrónicas y era, por lo tanto, adecuada para cumplir el objetivo de reforzar la confianza y la seguridad en los servicios digitales en la UE.
Ahora, el SEPD ha decidido publicar una serie de recomendaciones a la Propuesta de Reglamento – la cual constituye de hecho una de las principales iniciativas de la Estrategia para un Mercado Único Digital-, dirigidas a garantizar la seguridad jurídica y un elevado nivel de protección de los derechos fundamentales de privacidad y protección de los datos personales. Por medio de estas recomendaciones, expresa de nuevo su opinión sobre la Propuesta de Reglamento (esta vez, más detallada) y plantea ciertos cambios al texto. Entre los cambios propuestos, destacan los siguientes:
- La necesidad de clarificar que los proveedores de redes y servicios de comunicaciones electrónicas únicamente podrán tratar datos de comunicaciones electrónicas cuando exista una base jurídica para este tratamiento.
- Entiende el SEPD que la Propuesta de Reglamento debería reflejar de manera apropiada la importancia del principio de confidencialidad de las comunicaciones, que deberá garantizarse respecto de cualquier tipo de comunicación, incluida la comunicación entre dos máquinas (M2M). En este sentido, el SEPD recomienda clarificar que, además de proteger las comunicaciones “en tránsito”, se debe garantizar sin lugar a dudas la confidencialidad y seguridad de los datos alojados en los equipos terminales de los usuarios finales y en la nube.
- El SEPD considera que la Propuesta de Reglamento debería garantizar que las normas relativas a la privacidad y las comunicaciones electrónicas no diesen lugar a un menor grado de protección que el recogido en el Reglamento (EU) 2016/679 general de protección de datos (“RGPD”). En su lugar, aboga por reclamar un mayor nivel de protección que el ofrecido por el RGPD.
- En este sentido, considera asimismo necesario que determinados conceptos (como el de “consentimiento”) tengan el mismo significado que el previsto en el RGPD y establecer, por lo tanto, que este debe ser genuino y libremente otorgado por los usuarios. De igual manera, hace hincapié en la necesidad de que las comunicaciones automáticas solo sean permitidas si media consentimiento del usuario. La Propuesta de Reglamento contiene la posibilidad de permitir el tratamiento y almacenamiento de los equipos terminales de los usuarios finales y la recopilación de información de los mismos siempre que exista el consentimiento del usuario, o cuando se muestre una advertencia clara y destacada al usuario. Entiende el SEPD que la información al usuario final debería constituir un requisito en línea con el principio de transparencia, y no la base legal para permitir esta recopilación de información. Lo contrario eliminaría parte de la protección proporcionada por el RGPD respecto a la confidencialidad de las comunicaciones.
- Además, considera que, aunque la Propuesta de Reglamento establece que los navegadores deberán proporcionar información respecto a los métodos utilizados para impedir a terceros almacenar información sobre el equipo terminal de un usuario final, sería más adecuado imponer a dichos navegadores la obligación de establecer estos ajustes de protección de la seguridad por defecto.
- Por último, el SEPD establece la importancia de que el futuro reglamento de privacidad y comunicaciones electrónica se encuentre bajo la supervisión de las autoridades nacionales de protección de datos, y de que dichas autoridades dispongan de los recursos necesarios para cumplir este papel. Como encargadas del cumplimiento del RGPD, son las más cualificadas para garantizar la seguridad jurídica y la congruencia entre ambos instrumentos.
Es importante destacar que, una vez publicado, el Reglamento se convertirá en la hoja de ruta de la privacidad y las comunicaciones electrónicas. Por lo tanto, el supervisor europeo considera que es necesario modernizar los principios actualmente vigentes para adaptarlos a la realidad, y asegurar que exista seguridad jurídica y un elevado nivel de protección de los derechos fundamentales de privacidad y protección de los datos personales.
Autoras: Elisa Lorenzo y Adaya Esteban
