El Gobierno ha aprobado por vía de urgencia, mediante el Real Decreto-Ley 5/2018, una serie de medidas destinadas a ajustar nuestra legislación al nuevo Reglamento General de Protección de Datos (RGPD).
Se trata de medidas de carácter provisional, que estarán vigentes sólo hasta que entre en vigor la futura y esperada nueva Ley Orgánica de Protección de Datos (LOPD). La próxima LOPD, que debería haber entrado en vigor junto con el RGPD, el pasado 25 de mayo, se halla todavía en fase de tramitación parlamentaria, lo que provoca una incómoda situación, ya que, si bien el RGPD es de aplicación directa, sus múltiples remisiones a la normativa nacional exigen una regulación interna perfectamente ajustada a la norma europea.
El Real Decreto-Ley 5/2018, publicado ayer en el BOE, y en vigor desde hoy, 31 de julio, busca suplir parcialmente la ausencia de una LOPD adaptada al RGPD, regulando aspectos que considera ajenos a la reserva de ley orgánica. En particular, dicta normas sobre los procedimientos sancionadores por infracción, de modo que puedan instruirse de conformidad con las previsiones del Reglamento europeo.
Entre otros puntos, el RDLey determina quienes pueden ser responsables de las infracciones, excluyendo de la aplicación del régimen sancionador al Delegado de Protección de Datos (DPO); remite al RGPD para la tipificación de las infracciones; establece un plazo de prescripción de tres años para las infracciones sancionables con importes más elevados (las de los apartados 5 y 6 del art. 83 RGPD), y de dos años para las de importe menor (art. 83.4 RGPD). A su vez, fija plazos de prescripción para las sanciones ya impuestas, distinguiendo tres grupos según su importe (igual o menor de 40.000 euros; entre 40.001 y 300.000 euros; y superiores a esta última cifra). Regula también los procedimientos con participación de autoridades de otros Estados miembros de la UE y remite a la legislación anterior para la tramitación de los procedimientos en curso.
La norma trata también de las medidas provisionales y de la actividad de investigación, y deroga expresamente los preceptos de la LOPD sobre infracciones y sanciones, a excepción del art. 46, referido a las Administraciones Públicas.
Entre otras previsiones, el RDLey recoge la medida ya prevista en el proyecto de LOPD, consistente en que los contratos de encargo de tratamiento suscritos al amparo de la LOPD antes del 25 de mayo de 2018 conservarán su vigencia hasta su fecha de vencimiento, y si fueran por período indefinido, hasta el 25 de mayo de 2022.
En el siguiente enlace se puede acceder al Legal Flash que ha elaborado el despacho con una sucinta exposición de algunos de los principales aspectos del Real Decreto-Ley.
Miquel Peguera Consultor
