La necesidad de garantizar la confianza y la demanda de protección de los datos personales no se limitan en modo alguno a la UE. Las personas de todo el mundo valoran cada vez más la privacidad y la seguridad de sus datos. Como muestra un reciente sondeo global, consideran que es un factor importante que influye en sus decisiones de compra y en su comportamiento en línea. Un número cada vez mayor de empresas han respondido a esta demanda de privacidad, en particular mediante la ampliación voluntaria de algunos de los derechos y salvaguardias previstos en el RGPD a sus clientes de fuera de la UE. Muchas empresas también promueven el respeto de los datos personales como factor competitivo diferenciador y reclamo en el mercado mundial, al ofrecer productos y servicios innovadores con soluciones novedosas en materia de privacidad o de seguridad de los datos. Por otra parte, el aumento de la capacidad de los actores de los sectores público y privado para recopilar y procesar datos a gran escala plantea cuestiones importantes y complejas que confieren a la privacidad un lugar cada vez más central en el debate público en distintas partes del mundo.

El RGPD establece un enfoque coherente para las normas de protección de datos en toda la UE. Sin embargo, obliga a los Estados miembros a legislar en algunos ámbitos y les ofrece la posibilidad de especificar más el RGPD en otros. Como consecuencia de ello, sigue existiendo un cierto grado de fragmentación que se debe sobre todo al uso generalizado de cláusulas de especificación facultativas. Por ejemplo, las diferencias entre Estados miembros en cuanto a la edad de consentimiento de los niños en relación con los servicios de la sociedad de la información crea incertidumbre para los niños y sus padres en cuanto a la aplicación de sus derechos de protección de datos en el mercado único. Esta fragmentación plantea también una serie de retos para la realización de actividades empresariales transfronterizas, la innovación —en particular por lo que respecta a los nuevos avances tecnológicos— y las soluciones en materia de ciberseguridad. Para el funcionamiento eficaz del mercado interior y para evitar cargas innecesarias a las empresas, también es esencial que la legislación nacional no vaya más allá de los márgenes establecidos por el RGPD ni introduzca requisitos adicionales cuando no exista margen para ello.

La Comisión ha subrayado sistemáticamente la obligación de los Estados miembros de asignar suficientes recursos humanos, financieros y técnicos a las autoridades nacionales de protección de datos. La mayor parte de las autoridades se beneficiaron de un aumento de personal y de presupuesto entre 2016 y 2019; las autoridades irlandesas, neerlandesas, islandesas, luxemburguesas y finlandesas son las que se beneficiaron de los mayores aumentos relativos de personal. Dado que las multinacionales tecnológicas de mayor tamaño están establecidas en Irlanda y Luxemburgo, las autoridades de protección de datos de estos países actúan como autoridades principales en muchos casos transfronterizos importantes y pueden necesitar más recursos de los que cabría esperar atendiendo a su población. Sin embargo, la situación sigue siendo desigual en función de los Estados miembros y todavía no es satisfactoria en términos generales. Las autoridades de protección de datos desempeñan un papel esencial a la hora de garantizar que el RGPD se aplique a nivel nacional y que los mecanismos de cooperación y coherencia en el seno del Comité funcionen de manera eficaz, incluido, en particular, el mecanismo de ventanilla única para los casos transfronterizos. Por consiguiente, se insta a los Estados miembros a proporcionarles recursos suficientes, tal como exige el RGPD.

No obstante, el desarrollo de una cultura europea de protección de datos verdaderamente común entre las autoridades de protección de datos sigue siendo un proceso en curso. Las autoridades de protección de datos no han hecho aún pleno uso de los instrumentos que ofrece el RGPD, como las operaciones conjuntas que podrían llevar a investigaciones conjuntas. En ocasiones, la búsqueda de un enfoque común se tradujo en la adopción del mínimo común denominador y, como consecuencia de ello, se desaprovecharon las oportunidades de fomentar una mayor armonización.

La estrategia de datos puso de relieve la necesidad de abordar dificultades como la falta de estándares que permitan el suministro de datos en un formato legible por máquina y de aumentar el uso efectivo del derecho a la portabilidad de los datos, que actualmente se limita a unos pocos sectores (por ejemplo, la banca y las telecomunicaciones). Esto podría hacerse, en particular, mediante el diseño de las herramientas, el formato normalizado y las interfaces adecuados. Este mayor uso también podría conseguirse haciendo obligatoria la utilización de interfaces técnicas y formatos legibles por máquina que permitan la portabilidad de los datos en tiempo real. Una mayor utilización del derecho a la portabilidad podría, entre otras cosas, hacer más fácil para las personas permitir la utilización de sus datos para el bien común (por ejemplo, para fomentar la investigación en el sector de la salud), en caso de que deseen hacerlo («altruismo en los datos»). En preparación del paquete normativo sobre servicios digitales, la Comisión examinará de forma más amplia el papel de los datos y de las prácticas relacionadas con los datos en el ecosistema de plataformas.





Oportunidades y retos para las organizaciones, en particular para las pymes

El RGPD, junto con el Reglamento relativo a la libre circulación de datos no personales, ofrece oportunidades a las empresas mediante el fomento de la competencia y la innovación, garantizando la libre circulación de datos dentro de la UE y creando condiciones de competencia equitativas con las empresas establecidas fuera de la UE. El derecho a la portabilidad, unido al incremento del número de personas en busca de soluciones más respetuosas de la privacidad, puede reducir las barreras de entrada para las empresas y permitir aprovechar las posibilidades de crecimiento basadas en la confianza y la innovación. Algunas partes interesadas informaron de que la aplicación del RGPD plantea algunos retos, especialmente para las pymes. Según el enfoque basado en el riesgo, no sería apropiado establecer excepciones en función del tamaño de los operadores, ya que su tamaño no constituye en sí mismo un indicador de los riesgos que el tratamiento de datos personales que realiza puede crear para los particulares. Varias autoridades de protección de datos han proporcionado instrumentos prácticos para facilitar la aplicación del RGPD por parte de las pymes con actividades de tratamiento de bajo riesgo. Estos esfuerzos deben intensificarse y extenderse, preferiblemente en el marco de un enfoque europeo común a fin de no crear obstáculos al mercado único.

Las autoridades de protección de datos han desarrollado una serie de actividades para ayudar a las pymes a cumplir lo dispuesto en el RGPD mediante, por ejemplo, el suministro de modelos de contratos de tratamiento y de registros para las actividades de tratamiento, así como los seminarios y las líneas directas de consulta. Algunas de estas iniciativas contaron con financiación de la UE. Se deben considerar más actividades para facilitar la aplicación del RGPD a las pymes.

El RGPD ofrece un conjunto de instrumentos a todo tipo de empresas y organizaciones para ayudarles a acreditar el cumplimiento, como los códigos de conducta, los mecanismos de certificación y la cláusula contractual tipo. Este conjunto de instrumentos debe aprovecharse al máximo. Las pymes insisten, en particular, en la importancia y la utilidad de los códigos de conducta adaptados a su situación y que no conlleven costes desproporcionados. Por lo que se refiere a los regímenes de certificación, la seguridad (incluida la ciberseguridad) y la protección de datos desde el diseño son elementos clave que deben tenerse en cuenta en el RGPD, y que se verán reforzados por un enfoque común y ambicioso en toda la UE. La Comisión está trabajando actualmente en las cláusulas contractuales tipo entre los responsables y los encargados del tratamiento, basándose en los trabajos en curso para la modernización de las cláusulas contractuales tipo para las transferencias internacionales.

Aplicación del RGPD a las nuevas tecnologías

Al haber sido concebido de manera tecnológicamente neutra, el RPGD se basa en principios y, por lo tanto, está diseñado para cubrir nuevas tecnologías a medida que estas vayan desarrollándose.

Es considerado como un instrumento esencial y flexible para garantizar que el desarrollo de nuevas tecnologías respete los derechos fundamentales. El marco normativo sobre protección de datos y privacidad demostró su importancia y flexibilidad durante la crisis de la COVID-19, especialmente en relación con el diseño de las aplicaciones de rastreo y otras soluciones tecnológicas para luchar contra la pandemia. En el futuro, se plantearán nuevos desafíos a la hora de ver cómo aplicar los principios probados a tecnologías específicas como la inteligencia artificial, la cadena de bloques, el internet de las cosas o el reconocimiento facial, que requieren un seguimiento continuo. El Libro Blanco de la Comisión sobre la Inteligencia Artificial, por ejemplo, impulsó un debate público sobre las circunstancias específicas —en caso de haberlas— que podrían justificar el uso de inteligencia artificial para fines de identificación biométrica remota (como el reconocimiento facial) en lugares públicos, y sobre salvaguardias comunes. A este respecto, las autoridades de protección de datos deben estar preparadas para llevar a cabo un seguimiento de los procesos de diseño técnico desde una fase temprana.

Por otra parte, una aplicación estricta y eficaz del RGPD con respecto a las grandes plataformas digitales y las empresas integradas, incluido en ámbitos como la publicidad en línea y la microsegmentación, es un elemento esencial para proteger a los particulares.

Desarrollo de un conjunto de instrumentos moderno para la transferencia internacional de datos

El RGPD ofrece un conjunto de instrumentos modernizado para facilitar la transferencia de datos personales desde la UE a un tercer país u organización internacional, garantizando al mismo tiempo que los datos sigan gozando de un elevado nivel de protección. En los dos últimos años, la Comisión ha intensificado su trabajo para aprovechar plenamente el potencial de los instrumentos disponibles en el marco del RGPD.

Parte de este trabajo ha consistido en la colaboración activa con socios clave a fin de alcanzar una «decisión de adecuación». El efecto de dicha decisión es permitir la circulación segura y libre de datos personales al tercer país de que se trate sin necesidad de que el exportador de datos ofrezca más garantías u obtenga una autorización. En particular, las decisiones de adecuación mutua UE-Japón, que entraron en vigor en febrero de 2019, han creado la mayor zona mundial de circulación libre y segura de datos. Además, el proceso de adecuación con la República de Corea se encuentra en una fase avanzada y continúan las conversaciones exploratorias con otros socios importantes en Asia y América Latina.

La adecuación también desempeña un papel importante en el contexto de la futura relación con el Reino Unido, siempre que se cumplan las condiciones aplicables. Constituye un factor favorecedor del comercio, incluido el comercio digital, y un requisito previo esencial para una cooperación estrecha y ambiciosa en el ámbito de la seguridad y la aplicación de la ley. Además, un alto grado de convergencia en la protección de datos constituye un elemento importante para garantizar unas condiciones de competencia equitativas entre dos economías tan estrechamente integradas. En consonancia con la Declaración política sobre las relaciones futuras entre la UE y el Reino Unido, la Comisión está llevando a cabo una evaluación de adecuación tanto con arreglo al RGPD como a la Directiva sobre protección de datos.

Como parte de la primera evaluación del RGPD, la Comisión también está obligada a revisar las decisiones de adecuación adoptadas con arreglo a las anteriores normas. Los servicios de la Comisión han entablado un intenso diálogo con cada uno de los 11 terceros países y territorios afectados a fin de evaluar la manera en que han evolucionado sus sistemas de protección de datos desde la adopción de la decisión de adecuación y si se ajustan a los estándares fijados por el RGPD. La necesidad de garantizar la continuidad de estas decisiones como instrumento clave para el comercio y la cooperación internacional es uno de los factores que han llevado a varios de estos países y territorios a modernizar y reforzar su normativa en materia de privacidad. Se están debatiendo salvaguardias adicionales con algunos de estos países y territorios para abordar las diferencias pertinentes en materia de protección. No obstante, dado que el Tribunal de Justicia, en una sentencia que se espera para el 16 de julio, podría aportar aclaraciones potencialmente pertinentes para determinados elementos de la norma de adecuación, la Comisión informará por separado sobre la evaluación de las decisiones de adecuación existentes una vez que el Tribunal de Justicia haya dictado su sentencia en dicho asunto.

Además de su trabajo en materia de adecuación, la Comisión está llevando a cabo una modernización completa de las cláusulas contractuales tipo a fin de actualizarlas a la luz de los nuevos requisitos introducidos por el RGPD. El objetivo es reflejar mejor la realidad de las operaciones de tratamiento en la economía digital moderna y considerar la posible necesidad, en función también de la jurisprudencia que sentará próximamente el Tribunal de Justicia, de aclarar más determinadas garantías. Estas cláusulas representan, con mucho, el mecanismo de transferencia de datos más utilizado, al existir miles de empresas de la UE que dependen de ellas para ofrecer una amplia gama de servicios a sus clientes, proveedores, socios y empleados.

El Comité también ha desempeñado un papel activo en el desarrollo de los aspectos internacionales del RGPD. Esto incluye la actualización de las directrices sobre los mecanismos de transferencia existentes, tales como las normas corporativas vinculantes y las denominadas «excepciones», así como el desarrollo de la infraestructura jurídica para la utilización de los nuevos instrumentos introducidos por el RGPD, a saber, los códigos de conducta y certificación.

Para que las partes interesadas puedan hacer pleno uso del conjunto de instrumentos de transferencia del RGPD, es importante que el Comité intensifique sus trabajos en curso sobre los distintos mecanismos de transferencia, en particular mediante una mayor racionalización del proceso de aprobación de normas corporativas vinculantes, la finalización de las directrices sobre códigos de conducta y certificación como instrumentos para las transferencias, y la aclaración de la interacción entre las normas sobre transferencias internacionales de datos (capítulo V) y el ámbito de aplicación territorial del RGPD (artículo 3).

Otro aspecto importante de la dimensión internacional de las normas de protección de datos de la UE es el ámbito territorial ampliado del RGPD, que abarca también las actividades de tratamiento de los operadores extranjeros activos en el mercado de la UE. A fin de garantizar el cumplimiento efectivo del RGPD y unas condiciones de competencia verdaderamente equitativas, es esencial que esta ampliación se refleje adecuadamente en las medidas de aplicación de la normativa por parte de las autoridades de protección de datos. En particular, estas deben velar por la participación, en caso necesario, del representante en la UE del responsable o del encargado del tratamiento, y debe ser posible dirigirse a dicho representante además de —o en lugar de— a la empresa establecida fuera de la UE. Este enfoque debe seguirse más vigorosamente para que quede claro que la falta de establecimiento en la UE no exime a los operadores extranjeros de sus responsabilidades con arreglo al RGPD.

Promover la convergencia y la cooperación internacional en el ámbito de la protección de datos