La normativa española debe adaptarse al nuevo Reglamento Europeo en aquellos preceptos en los que este deje margen o bien en todo aquello que lo contravenga. Para ello se aprobó el pasado 24 de noviembre de 2017 el Proyecto de Ley Orgánica de Protección de Datos de Carácter Personal.
Dicho Proyecto está en fase de enmiendas y aprobación parlamentaria y, mientras llega su aprobación definitiva, se ha hecho necesaria la aprobación de este Decreto-Ley para regular algunas materias que por razones de urgencia no pueden esperar a que el Proyecto de ley esté definitivamente aprobado. De hecho, no se espera dicha aprobación definitiva hasta al menos principios del año 2019.
Esta norma entrará en vigor al día siguiente de su publicación en el BOE y permanecerá vigente hasta la entrada en vigor de la nueva legislación orgánica de protección de datos.
En concreto, regula la inspección y el régimen sancionador en materia de protección de datos y los procedimientos en caso de una posible vulneración del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de sus datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE.
Asimismo, el Real Decreto Ley deroga el artículo 40 y el Título VII (a excepción del artículo 46, relativo a las infracciones de las Administraciones públicas) de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, que acoge infracciones y sanciones y carece de carácter orgánico.
Entre otras medidas contenidas en el Real Decreto Ley (RDL), destacan las siguientes:
1- La delimitación de los sujetos responsables de los tratamientos a los que les es aplicable el régimen sancionador (los encargados de los tratamientos; los representantes de los responsables o encargados de los tratamientos no establecidos en el territorio de la Unión Europea; las entidades de certificación; las entidades acreditadas de supervisión de los códigos de conducta). El RDL sigue las consideraciones del Reglamento Europeo (GDPR) y excluye a los Delegados de Protección de Datos de responsabilidad.
2- La determinación de los plazos de prescripción de las infracciones y sanciones previstas en la norma europea. El RDL indica que el plazo de prescripción para las infracciones previstas en el artículo 83.4 del GDPR será de 2 años y para las infracciones previstas en el artículo 83.5 y 83.6 de 3 años.
El plazo de prescripción de las sanciones será el siguiente:
- Sanciones superiores a 300.000 €: 3 años
- Sanciones entre 40.001 y 300.000 €: 2 años
- Sanciones iguales o inferiores a 40.000 €: 1 año
3- Peculiaridades de los procedimientos:
- En caso de posible vulneración de la normativa de protección de datos se distinguen: Aquellos procedimientos tramitados por la Agencia Española de Protección de Datos en los supuestos en los que un afectado reclame que no ha sido atendida su solicitud de ejercicio de los derechos reconocidos en los artículos 15 a 22 del Reglamento. Aquellos en los que aquélla investigue la existencia de una posible infracción de lo dispuesto en el mencionado reglamento y la normativa española de protección de datos.
- Suspensión automática de los plazos de tramitación cuando deba recabarse información, consulta, solicitud de asistencia o pronunciamiento preceptivo de un órgano u organismo de la UE o de una o varias autoridades de control de los Estados miembros conforme con lo establecido en el Reglamento General de Protección de Datos, por el tiempo que medie entre la solicitud y la notificación del pronunciamiento a la Agencia Española de Protección de Datos, con el fin de evitar la caducidad del mismo.
- Actuaciones previas de investigación: Antes de la adopción del acuerdo de inicio de procedimiento, y una vez admitida a trámite la reclamación si la hubiese, la Agencia Española de Protección de Datos podrá llevar a cabo actuaciones previas de investigación a fin de lograr una mejor determinación de los hechos y las circunstancias que justifican la tramitación del procedimiento.
4- La representación española en el Comité Europeo de Protección de Datos a través de la Agencia Española de Protección de Datos.
5- Por último, los contratos de encargado del tratamiento suscritos con anterioridad al 25 de mayo de 2018 sujetos al artículo 12 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal mantendrán su vigencia hasta la fecha de vencimiento señalada en los mismos y en caso de haberse pactado de forma indefinida, hasta el 25 de mayo de 2022. No obstante, durante los mencionados plazos cualquiera de las partes podrá exigir a la otra la modificación del contrato a fin de que el mismo resulte conforme a las nuevas exigencias del GDPR.