Reglamento General de Protección de Datos en el derecho español

El pasado 30 de julio se publicó en  el BOE el Real Decreto Ley 5/2018 para adaptar el derecho español al Reglamento General de Protección, entró en vigor al día siguiente de su publicación.

El Reglamento General de Protección de Datos de la Unión Europea, desde su aplicación el 25 de mayo de 2018, impuso profundas modificaciones en la legislación española, estas modificaciones se incorporaron a una nueva Ley Orgánica de Protección de Datos que aún no ha superado su tramitación parlamentaria y cuenta con más de trescientas enmiendas.

El Reglamento General de Protección de Datos, a lo largo de su articulado, encarga a los Estados miembros el desarrollo, obligatorio o potestativo, de aspectos concretos que en ocasiones exige una adecuación del ordenamiento jurídico nacional.

El RD-Ley tiene por objeto regular determinadas materias en protección de datos que no están reservadas a la ley orgánica. Regula en concreto, la inspección, el régimen sancionador y los procedimientos en caso de una posible vulneración del RGPD.

La finalidad del RD-Ley es adecuar nuestro ordenamiento jurídico al RGPD en aquellos aspectos concretos que no admiten demora.

Las medidas contenidas en el Real Decreto Ley son las siguientes:

1. Identificar al personal competente para el ejercicio de los poderes de investigación que el RGPD otorga a las autoridades de control.

2. Articula el régimen sancionador establecido en el RGPD, no realiza ninguna concreción respecto a lo establecido en el RGPD.

3. Reemplaza los tipos infractores contenidos en la LOPD. Tipifica las infracciones en graves y muy graves.

4. Delimita los sujetos que pueden incurrir en responsabilidad derivada de la aplicación del régimen sancionador. Se consideran sujetos al régimen sancionador: Responsables y encargados del tratamiento, Organismos de certificación, Organismos de supervisión de códigos de conducta y también los responsables y encargados de los tratamientos no establecidos en el territorio de la UE. Los Delegados de Protección de Datos quedan excluidos del régimen de responsabilidad.

5. Regula los plazos de prescripción de las infracciones y sanciones previstas en el RGPD.

Prescripción de infracciones:

• Las infracciones previstas en el art. 83.5 y 6 del RGPD prescribirán a los 3 años, las previstas en el art. 83.4 prescribirán a los 2 años.

Prescripción de sanciones:

• Sanciones por importe igual o inferior a 40.000€, 1 año.
• Sanciones por importe comprendido entre 40.001 y 300.000€, dos años.
• Sanciones por importe superior a 300.000€, 3 años.

6. Regula el procedimiento en caso de que exista una posible vulneración del RGPD. Tiene como objetivo hacer posible la aplicación de las especialidades del régimen procedimental del RGPD, en un contexto en el que siendo la norma aplicable directamente, ya se han puesto en marcha procedimientos de especial trascendencia al amparo de este régimen.

Entre los procedimientos tramitados ante la AEPD distingue:

• Reclamación por falta de atención de la solicitud del ejercicio de derechos por el afectado. Se inicia por cuerdo de admisión a trámite. El plazo para resolver es de 6 meses desde la notificación de acuerdo, cabe la resolución por silencio positivo.
• Investigación de infracción del RGPD o la normativa española en materia de protección de datos. Se inicia por acuerdo de inicio adoptado por iniciativa propia, tras una reclamación comunicación a la AEPD por parte de la autoridad de control de otro Estado miembro cuando la agencia tuviese condición de autoridad de control principal. El plazo para resolver es de 9 meses desde el acuerdo de inicio o del proyecto de acuerdo de inicio en su caso, transcurrido este plazo producirá caducidad y el archivo de actuaciones.
• La AEPD inadmitirá una reclamación en los siguientes casos:

1. Cuando no verse sobre cuestiones de protección de datos de carácter personal.
2. Carezcan manifiestamente de fundamento.
3. Sean abusivas.
4. No aporten indicios racionales de la existencia de una infracción.
5. Cuando previa advertencia de la Agencia el responsable o encargado del tratamiento hubiera adoptado medidas correctivas encaminadas a poner fin al posible incumplimiento de la legislación de protección de datos, siempre que el derechos del afectado quede garantizado y no haya causado perjuicio al interesado.

7. Regula las actuaciones de inspección, con el fin de lograr una mejor determinación de los hechos y las circunstancias que justifican la tramitación del procedimiento, la AEPD podrá llevar a cabo actuaciones de investigación. No podrán tener una duración superior 12 meses desde la fechas de acurdo de admisión o de la fecha de acuerdo de iniciación.

8. Designa como representante de España en el Comité Europeo a la Agencia Española de protección de Datos, encargada de informar a las autoridades autonómicas de las decisiones tomadas en dicho organismo

9. Contiene previsiones en lo relativo a las resoluciones de la Agencia Española de Protección de Datos con la finalidad de garantizar la transparencia en su actuación ante el nuevo marco procedimental.

Los procedimientos ya iniciados a la entrada en vigor de este RD-Ley se regirán por la normativa anterior, salvo que el nuevo régimen sancionador sea más favorable para el interesado.

Este Real Decreto estará en vigor hasta la publicación de la nueva Ley Orgánica de Protección de Datos que adapte el ordenamiento jurídico español al RGPD.