Una de las cuestiones más relevantes que plantea el nuevo Reglamento General de Protección de Datos comunitario es cómo interpretar muchas de sus disposiciones a fin de asegurar una plena adecuación al nuevo régimen que dicha norma establece y que entrará en vigor el 25 de mayo de 2018. A la espera de que las autoridades comunitarias emitan directrices sobre dicho reglamento, empiezan a publicarse interpretaciones por parte de autoridades nacionales (o incluso regionales) de algunos de los aspectos más relevantes -e indefinidos- del nuevo marco regulatorio en este ámbito.
En este sentido, la Agencia Española de Protección de Datos ya publicó hace un tiempo una guía introductoria al nuevo reglamento, dando respuesta a 12 cuestiones referidas a esta nueva normativa. En un sentido parecido, la autoridad belga de protección de datos (Commission de la Protection de la Vie Privée) ha dado a conocer recientemente una guía de adaptación al nuevo reglamento. En dicha guía se adelantan las acciones más relevantes que los responsable de ficheros deberán adoptar a fin de asegurar el cumplimiento del nuevo marco regulatorio cuando éste entre en vigor, en mayo de 2015.
Así, se hace referencia a la necesidad de que cada responsable realice un inventario de ficheros que contengan datos personal a fin de asegurar un pleno control sobre los correspondientes tratamientos de datos. En este sentido, se llega a recomendar la realización de una auditoría a fin de confirmar la situación real de cumplimiento tanto respecto a la normativa nacional (actualmente vigente) como a las medidas a adoptar para asegurar el cumplimiento del reglamento una vez entre en vigor. Así, se pone de manifiesto la necesidad de adaptar las cláusulas informativas para la recogida de datos al nuevo marco (si bien dicha adaptación deberá esperar a la publicación de directrices interpretativas claras por parte de las autoridades comunitarias), así como a revisar los contratos con proveedores que puedan actuar como encargados de tratamiento. Se hace referencia igualmente a la necesidad de prepararse para cumplir con los nuevos derechos que el reglamento otorga a los ciudadanos (por ejemplo, el derecho a la portabilidad) además de definir los procedimientos y medidas organizativas y técnicas requeridas bajo el nuevo marco normativo (incluyendo, entre otras, el nombramiento de un responsable de protección de datos -si es preciso-, los procedimientos a seguir en caso de crisis de seguridad o las adaptaciones a realizar a fin de asegurar la adecuación de las transferencias internacionales de datos al reglamento).
La autoridad bávara de protección de datos (Bayerischen Landesamt für Datenschutzaufsicht) ha ido más allá, anunciando unos criterios aplicables a la gradación de sanciones bajo el nuevo reglamento. Ésta es una de las cuestiones más controvertidas del nuevo marco comunitario, al haberse introducido un aumento significativo a la potencial cuantía de las multas que pueden derivarse del incumplimiento del reglamento. A tal efecto, la autoridad bávara interpreta que la referencia al porcentaje del volumen de negocios a tener en cuenta para establecer la cuantía de una multa debe referirse no a la entidad infractora, sino al volumen global del grupo al que pertenezca dicha entidad infractora. Asimismo, se indica que, a fin de graduar las sanciones en este ámbito, la autoridad tendrá en cuenta tanto los antecedentes del infractor como el grado de cooperación que el mismo haya mostrado con la autoridad en cuestión.
Estos criterios se alinean significativamente con los que la Comisión Europea viene aplicando desde hace años en el ámbito. No obstante, no deja de sorprender el impacto que implicaría una multa cuya cuantía se calculara atendiendo al volumen global (y no local) de negocios del grupo empresarial en el que se encuadre una determinada sociedad que incumpla el nuevo reglamento.
Se tratan de unas primeras interpretaciones que deberán evaluarse a la luz de los criterios que las autoridades comunitarias publiquen respecto al nuevo Reglamento General de Protección de Datos. Sin embargo, es interesante contar ya con la opinión formal de algunas autoridades que terminarán aplicando esta nueva normativa.
Autor: Albert Agustinoy
