Resumen del dictamen del Supervisor Europeo de Protección de Datos sobre la propuesta de Reglamento relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones, órganos y organismos de la Unión y a la libre circulación de estos datos, y por el que se deroga el Reglamento (CE) n.o 45/2001 y la Decisión n.o 1247/2002/CE

• Section: Summary

24.5.2017 ES Diario Oficial de la Unión Europea C 164/2

La Unión Europea está promulgando una nueva generación de normas en materia de protección de datos. La adopción hace casi un año del Reglamento general de protección de datos (RGPD) y de la Directiva para los sectores policial y judicial representó el esfuerzo más ambicioso hasta ahora del legislador de la UE para proteger los derechos fundamentales de las personas en la era digital. Ha llegado el momento de que las propias instituciones de la UE den ejemplo mediante las normas que se aplican a sí mismas en tanto que responsables del tratamiento de datos. En los últimos 18 meses, el SEPD ha iniciado un diálogo al más alto nivel con las instituciones de la UE para prepararlas para los nuevos retos que plantea la legislación en materia de protección de datos, haciendo hincapié en el nuevo principio de rendición de cuentas sobre la forma en que se procesan los datos. Mediante el presente dictamen, el SEPD pretende ofrecer sus doce años de experiencia en la supervisión independiente, el asesoramiento y la promoción de políticas para proponer mejoras a la propuesta de Reglamento sobre tratamiento de datos personales por las instituciones y órganos de la UE.

El Reglamento (CE) n.o 45/2001 fue el primero en establecer obligaciones directamente aplicables a los responsables del tratamiento, derechos para los interesados y un órgano de supervisión claramente independiente. Ahora, la UE debe garantizar la congruencia con el RGPD haciendo hincapié en la rendición de cuentas y garantías para las personas y no tanto en los procedimientos. Ciertas divergencias de las normas aplicables al tratamiento de datos por parte de las instituciones de la UE resultan justificables, del mismo modo que en el RGPD se han incluido algunas excepciones para el sector público, pero estas deben mantenerse al mínimo.

Sin embargo, lo esencial desde la perspectiva de la persona, es que los principios comunes de todo el marco de protección de datos de la UE se apliquen de forma coherente, independientemente de quien sea el responsable del tratamiento. También es esencial que todo el marco se aplique al mismo tiempo, es decir, en mayo de 2018, mes en el que el RGPD será de plena aplicación.

La Comisión consultó al SEPD acerca de la propuesta de conformidad con el acuerdo que ambas instituciones mantienen de larga data. Consideramos que, en general, la Comisión ha logrado un buen equilibrio entre los diversos intereses en juego. En el presente dictamen se destacan varios ámbitos en los que la propuesta podría mejorarse. Sugerimos mejoras a la propuesta, en particular en lo que se refiere a las restricciones de los derechos de los interesados y el uso de mecanismos de certificación por parte de las instituciones de la UE en determinados contextos. En cuanto a nuestras tareas y competencias en calidad de órgano independiente, la propuesta parece establecer un equilibrio razonable y reflejar las funciones normales de una autoridad independiente de protección de datos con arreglo a la Carta de los Derechos Fundamentales y reafirmadas en la jurisprudencia reciente del Tribunal de Justicia, ya sea en calidad de órgano ejecutor, encargado de la tramitación de reclamaciones y asesor del legislador sobre políticas que afectan a la protección de datos y la privacidad.

Recomendamos al legislador de la UE que llegue a un acuerdo sobre la propuesta lo antes posible a fin de que las instituciones de la UE puedan beneficiarse de un período transitorio razonable antes de que sea aplicable el nuevo Reglamento.

1. El 10 de enero de 2017, la Comisión Europea adoptó una propuesta de Reglamento del Parlamento Europeo y del Consejo relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones, órganos y organismos de la Unión y a la libre circulación de estos datos, y por el que se deroga el Reglamento (CE) n.o 45/2001 y la Decisión n.o 1247/2002/CE (1) (en lo sucesivo, «propuesta»).

2. El derecho fundamental a la protección de los datos personales está consagrado en el artículo 8 de la Carta de los Derechos Fundamentales de la Unión Europea (en lo sucesivo, «Carta») y el artículo 16 del Tratado del funcionamiento de la Unión Europea (en lo sucesivo, «TFUE»).

3. El Supervisor Europeo de Protección de datos (en lo sucesivo, «SEPD») es la autoridad de supervisión independiente encargada de que las instituciones, órganos, oficinas y agencias (en lo sucesivo, «instituciones de la UE») cumplan la legislación en materia de protección de datos durante el tratamiento de datos personales (2). La obligación de llevar a cabo un control independiente del sistema de protección de datos de la UE está consagrada en el Derecho primario, tanto en el artículo 16, apartado 2, del TFUE, como en el artículo 8, apartado 3, de la Carta. El Tribunal de Justicia siempre ha hecho hincapié en que el control por parte de una autoridad independiente es un componente esencial del derecho a la protección de datos y ha establecido criterios para dicha independencia (3). En particular, la autoridad de supervisión debe actuar con total independencia, lo que implica un poder decisorio independiente de cualquier influencia externa directa o indirecta (4) y estar libre de cualquier sospecha de parcialidad (5).

4. El principal instrumento legal aplicable al tratamiento de datos personales por las instituciones europeas es el Reglamento (CE) n.o 45/2001 (6) (en lo sucesivo el «Reglamento 45/2001»), complementado por la Decisión 1247/2002/CE (7).

5. Tras la conclusión, el 27 de abril de 2016, de las largas negociaciones sobre el nuevo marco de protección de datos de la UE —el Reglamento General de Protección de Datos (en lo sucesivo, «RGPD») y la Directiva para los sectores policial y judicial—, la presente propuesta [junto con la propuesta de Reglamento sobre la privacidad y las comunicaciones electrónicas (8)] marca el inicio de una fase crucial para completar dicho marco. La finalidad es alinear las disposiciones del Reglamento 45/2001 con las normas establecidas en el RGPD a fin de crear en la Unión un marco de protección de datos más sólido y coherente, y para permitir que ambos instrumentos puedan aplicarse al mismo tiempo (9). Por otra parte, la propuesta también...