COMISIÓN EUROPEA Bruselas, 25.7.2022 COM(2022) 364 final COMUNICACIÓN DE LA COMISIÓN AL PARLAMENTO EUROPEO Y AL CONSEJO Primer informe sobre la aplicación y el funcionamiento de la Directiva (UE) 2016/680 sobre protección de datos en el ámbito penal («DAP»)















COMUNICACIÓN DE LA COMISIÓN AL PARLAMENTO EUROPEO Y AL CONSEJO Primer informe sobre la aplicación y el funcionamiento de la Directiva (UE) 2016/680 sobre protección de datos en el ámbito penal («DAP») Índice 1 La DAP como el instrumento principal para garantizar la protección de datos en la política de seguridad de la Unión Europea 1.1 Un elemento clave de un marco coherente de protección de datos de la Unión Europea 1.2 Una contribución esencial para garantizar una política de seguridad sólida en la Unión Europea 1.3 Consideraciones importantes en relación con la preparación del informe 2 Una transposición satisfactoria, pero sigue habiendo una serie de cuestiones pendientes 2.1 Una transposición completa en general, pero con algunos problemas relacionados con disposiciones específicas 2.2 Prioridades para evaluar la conformidad 2.2.1 Ámbito de aplicación de la DAP 2.2.2 Gobernanza y poderes de las autoridades de control de la protección de datos 2.2.3 Recursos 2.2.4 Plazos de conservación y revisión 2.2.5 Base jurídica para el tratamiento, incluidas las categorías especiales de datos personales 2.2.6 Decisiones automatizadas 2.2.7 Derechos del interesado

2.2.8 Algunas disposiciones importantes específicas de la DAP 3 Primeras enseñanzas extraídas de la aplicación y el funcionamiento de la DAP 3.1 Reclamaciones y repercusión positiva sobre los derechos de los interesados 3.2 Mejora de la sensibilización de las autoridades competentes sobre la protección de datos 3.3 Refuerzo de la seguridad de los datos, pero existen divergencias en las notificaciones de violación de la seguridad de los datos 3.4 Supervisión por parte de las autoridades de control de la protección de datos 3.4.1 Recursos de las autoridades de control de la protección de datos 3.4.2 Uso de poderes 3.4.3 Control judicial de las acciones de las autoridades de control de la protección de datos 3.4.4 Directrices del CEPD 3.4.5 Asistencia mutua 3.5 Instrumento flexible para las transferencias internacionales de datos 3.5.1 Decisiones de adecuación 3.5.2 Garantías apropiadas 3.5.3 Uso de excepciones 3.5.4 Cooperación policial y judicial eficaz a través de las fronteras 4 El camino a seguir



1La DAP como el instrumento principal para garantizar la protección de datos en la política de seguridad de la Unión Europea

La presente Comunicación constituye el primer informe de la Comisión Europea sobre la evaluación y revisión de la Directiva (UE) 2016/680 sobre protección de datos en el ámbito penal («DAP»), de conformidad con el artículo 62, apartado 1, de dicha Directiva. El informe examina, en particular, la aplicación y el funcionamiento de las normas establecidas en la DAP relativas la transferencia de datos personales a terceros países y organizaciones internacionales, tal como exige dicha Directiva, pero también adopta un enfoque más amplio. Sitúa la DAP en los marcos de la legislación de la Unión sobre la protección de datos personales y de la legislación de la Unión que regula el tratamiento de datos personales para fines de prevención, investigación, detección o enjuiciamiento de infracciones penales y de ejecución de sanciones penales, incluidas la protección y la prevención frente a las amenazas contra la seguridad pública («aplicación del Derecho penal») . El informe ofrece una visión general de la transposición de la DAP por parte de los Estados miembros a sus ordenamientos jurídicos, presenta las primeras enseñanzas extraídas de la aplicación y el funcionamiento de dicha Directiva y traza el camino a seguir. 1.1Un elemento clave de un marco coherente de protección de datos de la Unión Europea La DAP es uno de los tres pilares del marco de la UE para garantizar el derecho fundamental a la protección de los datos personales. Los otros dos son el Reglamento General de Protección de Datos («RGPD») y el Reglamento relativo a la protección de datos por las instituciones y los organismos de la UE («RPDUE») . El derecho fundamental a la protección de datos está consagrado en el artículo 8 de la Carta de los Derechos Fundamentales de la Unión Europea («la Carta») y en el artículo 16 del Tratado de Funcionamiento de la Unión Europea («TFUE»). La DAP entró en vigor el 6 de mayo de 2016 y los Estados miembros debían transponerla a más tardar el 6 de mayo de 2018 . La DAP es el primer acto legislativo de la UE que adopta un enfoque global de la protección de los datos personales por parte de las autoridades competentes (es decir, las autoridades judiciales, la policía y otras autoridades encargadas de garantizar el cumplimiento del Derecho penal, tal como se establece en el artículo 3, punto 7, de la DAP) a efectos de control de la aplicación del Derecho penal. En comparación con la Decisión Marco 2008/977/JAI del Consejo, la cual derogó y sustituyó, la DAP es un avance importante para garantizar la aplicación coherente de las normas de protección de datos en toda la UE. En primer lugar, la DAP proporciona un conjunto completo de normas para el tratamiento, tanto transfronterizo como nacional, de datos personales a efectos de control de la aplicación del Derecho penal, mientras que la Decisión marco del Consejo solo abarcaba el tratamiento transfronterizo. En segundo lugar, la DAP proporciona un conjunto exhaustivo y horizontal de normas, mientras que en el enfoque anterior, cada acto sectorial de la Unión que contemplaba el tratamiento de datos personales en el contexto de la aplicación del Derecho penal se regía por sus propias normas de protección de datos. El RGPD, el RPDUE y la DAP se basan en conceptos y principios similares, lo que conduce a una interpretación y aplicación coherentes de las normas de protección de datos de la UE. Comparten definiciones comunes y contienen obligaciones similares para los responsables y los encargados del tratamiento de datos. Sin embargo, la DAP también aborda específicamente los riesgos relacionados con el tratamiento de datos personales en el contexto de la aplicación del Derecho penal. Las disposiciones correspondientes incluyen las obligaciones de i) distinguir entre diferentes categorías de interesados, ii) distinguir entre los datos personales basados en hechos y los datos basados en apreciaciones personales, iii) llevar un registro sobre el uso de los datos personales y cumplir requisitos específicos de seguridad. Dada la naturaleza específica de los ámbitos de la cooperación judicial en materia penal y de la cooperación policial, se consideró necesario adoptar normas específicas en estos ámbitos para la protección de los datos personales y la libre circulación de estos datos. La sensibilidad del ámbito de la cooperación judicial en materia penal y de la cooperación policial, junto con la complejidad de los marcos jurídicos nacionales que regulan la aplicación del Derecho penal, llevó a considerar que una Directiva era el mejor instrumento para lograr un elevado nivel de protección de datos en este ámbito. Asimismo, una Directiva deja a los Estados miembros la flexibilidad necesaria a la hora de aplicar los principios, las normas y sus exenciones a nivel nacional. El 24 de junio de 2020, la Comisión publicó su primer informe sobre la aplicación del RGPD. Concluyó que la opinión general era que el RGPD cumplía sus objetivos, en particular al proporcionar a los ciudadanos un sólido conjunto de derechos exigibles y crear un nuevo sistema de gobernanza y aplicación de la UE. El informe establece una lista de medidas que deben adoptarse para facilitar aún más la aplicación del RGPD por parte de todas las partes interesadas y para promover y seguir desarrollando una cultura de protección de datos en la UE, junto con una aplicación enérgica. El presente informe se desprende de la revisión de los actos jurídicos adoptados por la UE que regulan el tratamiento de datos por parte de las autoridades competentes para fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales. La finalidad de dicha revisión era evaluar la necesidad de aproximar los actos jurídicos en cuestión a las disposiciones de la DAP . El 24 de junio de 2020, la Comisión cumplió esta obligación mediante la adopción de una Comunicación sobre la manera de avanzar en la alineación del acervo del antiguo tercer pilar con las normas en materia de protección de datos. Señaló diez actos jurídicos que debían alinearse con la DAP y estableció un calendario para realizar esta labor. Por último, el presente informe se elaboró en paralelo al informe de la Comisión sobre la aplicación del RPDUE. Un elemento importante de este último es la revisión de sus normas, establecidas en el capítulo IX, sobre el tratamiento de datos personales operativos por parte de los órganos y organismos de la UE cuando lleven a cabo actividades comprendidas en el ámbito de la cooperación policial y judicial en materia penal («agencias JAI»). Las normas en cuestión se basan en gran medida en la DAP. El artículo 98 del RPDUE exige a la Comisión que revise los actos jurídicos que regulan el tratamiento de datos personales operativos por parte de las agencias JAI y le permite presentar las propuestas legislativas oportunas, en particular a efectos de la aplicación de las normas del capítulo IX a Europol y a la Fiscalía Europea, así como proponer cualquier cambio necesario de este capítulo. 1.2Una contribución esencial para garantizar una política de seguridad sólida en la Unión Europea La Comisión ha subrayado en numerosas ocasiones que una UE eficaz y verdaderamente segura solo puede construirse sobre la base del pleno respeto de los derechos fundamentales consagrados en la Carta y en el Derecho derivado de la UE. La DAP constituye una contribución clave a la política de seguridad de la UE al garantizar la debida protección de los datos personales de las víctimas, los testigos y los sospechosos de delitos. Además, al armonizar las normas sobre la protección de datos personales tratados por las autoridades competentes de los países de la UE y de Schengen, la DAP contribuye a aumentar la confianza y la seguridad de los datos intercambiados entre las autoridades a efectos de control de la aplicación del Derecho penal, facilitando así la cooperación transfronteriza en la lucha contra la delincuencia y el terrorismo. Asimismo, la DAP desempeña un papel clave en la promoción de una cultura de cumplimiento de las normas en materia de protección de datos entre las autoridades competentes. La Estrategia para una Unión de la Seguridad subraya, además, que las nuevas tecnologías, como la inteligencia artificial, podrían utilizarse como un potente instrumento para luchar contra la delincuencia. El aprovechamiento efectivo de este potencial también implica garantizar las normas más exigentes en materia de respeto de los derechos fundamentales. La legislación en materia de protección de datos, en particular la DAP, proporciona la base sobre la que puede formularse la legislación sectorial. Por ejemplo, la propuesta de Ley de IA encuadraría aún más el uso de datos personales para la identificación biométrica remota en espacios de acceso público con fines de aplicación de la ley. Por último, en un mundo interconectado, la delincuencia (y, en particular, la ciberdelincuencia y otros delitos facilitados por el ciberespacio) tiene un carácter cada vez más transfronterizo. Incluso cuando investigan asuntos nacionales, las autoridades competentes se encuentran con cada vez mayor frecuencia en situaciones transfronterizas porque la información se conserva electrónicamente en un tercer país. Esto aumenta la necesidad de cooperación internacional en las investigaciones penales, tanto por parte de las autoridades de los Estados miembros como por parte de los organismos de la UE, tales como Europol y Eurojust. Dicha cooperación, y en particular la recogida y el intercambio de pruebas electrónicas, suele implicar la transferencia de datos personales. Por consiguiente, es fundamental contar con salvaguardias efectivas en materia de protección de datos. Estas salvaguardias también contribuyen a generar confianza entre las autoridades con funciones coercitivas, al garantizar un intercambio de información más rápido y eficaz y reforzar la seguridad jurídica cuando la información se utilice en procesos penales. A este respecto, la DAP proporciona un conjunto actualizado de herramientas para facilitar dichas transferencias de datos personales desde la UE a un tercer país o una organización internacional (por ejemplo, Interpol), al tiempo que garantiza que los datos personales sigan gozando de un elevado nivel de protección. La Comisión y los Estados miembros han hecho uso de toda la gama de herramientas de la DAP desde su entrada en vigor, lo que confirma que es lo suficientemente amplia y flexible como para hacer posible una cooperación policial y judicial internacional eficaz. 1.3Consideraciones importantes en relación con la preparación del informe En la preparación del presente informe, la Comisión recopiló información y opiniones de distintas fuentes y actividades de consulta específicas. Además del artículo 62 de la DAP, la Comisión tuvo en cuenta las contribuciones y posiciones del Parlamento Europeo, el Consejo, el Comité Europeo de Protección de Datos («CEPD») y las autoridades nacionales de control de la protección de datos. Se obtuvo información adicional a través de un cuestionario dirigido a las organizaciones de la sociedad civil (a través de la Agencia de los Derechos Fundamentales de la Unión Europea) y de las respuestas a una convocatoria de datos pública . La Comisión también tuvo en cuenta las observaciones del grupo de expertos de los Estados miembros sobre el RGPD y la DAP, así como las observaciones de la Presidencia alemana del Consejo. También tuvo en cuenta el análisis de las medidas nacionales de transposición y un pequeño número de denuncias recibidas a este respecto. Si bien la DAP se aplica a todos los Estados miembros y a todos los países de Schengen (debido a que constituye un desarrollo del acervo de Schengen ), el presente informe solo abarca a los Estados miembros de la UE. Tres factores afectaron a la preparación del presente informe. En primer lugar, dos tercios de los Estados miembros no cumplieron el plazo de mayo de 2018 para transponer la DAP a sus ordenamientos jurídicos. No obstante, la mayoría de los Estados miembros la transpuso para 2019, después de que la Comisión incoara procedimientos de infracción. Por consiguiente, la experiencia relativa a su aplicación es bastante limitada, aspecto que el CEPD y el Consejo también subrayan. En segundo lugar, resultó más difícil compilar estadísticas sobre la aplicación de la DAP en comparación con el RGPD. Algunas autoridades de control de la protección de datos no recopilan estadísticas sobre sus actividades de control de la DAP y el RGPD por separado. Tal es el caso, por ejemplo, de las notificaciones de violación de la seguridad de los datos y de las denuncias presentadas en el marco de la DAP, lo que a veces dificulta la obtención de una visión de conjunto precisa de estas disposiciones establecidas en la Directiva . En tercer lugar, es importante tener en cuenta que la jurisprudencia apenas está empezando a desarrollarse en relación con la aplicación de la DAP. Actualmente hay varios asuntos pendientes ante el Tribunal de Justicia de la Unión Europea (en lo sucesivo, «TJUE») relativos a la interpretación de disposiciones clave de la DAP, tales como el derecho de acceso de los interesados y el derecho a la tutela judicial efectiva. Estas sentencias aportarán mayor claridad y contribuirán a un enfoque más armonizado entre los Estados miembros.

2Una transposición satisfactoria, pero sigue habiendo una serie de cuestiones pendientes La Comisión ha creado un grupo de expertos de los Estados miembros para ayudar a los Estados miembros a incorporar la DAP a sus ordenamientos jurídicos interno. El grupo facilita debates y el intercambio de experiencias entre los Estados miembros y la Comisión en materia de normas de protección de datos. Se reunió periódicamente entre la adopción de la DAP en 2016 y el plazo de transposición de mayo de 2018, y reanudó su labor en 2021. La visión general de la transposición que se presenta a continuación se centra en los principales problemas detectados hasta la fecha. Se basa principalmente en el análisis de la Comisión de la información facilitada por los Estados miembros a la hora de notificar a la Comisión las medidas nacionales que han adoptado para transponer la DAP a sus ordenamientos jurídicos. Este análisis se vio respaldado por un estudio externo realizado por un contratista externo. La Comisión también participó en intercambios bilaterales con varios Estados miembros. 2.1Una transposición completa en general, pero con algunos problemas relacionados con disposiciones específicas La Comisión incoó procedimientos de infracción contra diecinueve Estados miembros en julio de 2018 por no haber adoptado leyes nacionales de transposición de la DAP en el plazo de mayo de 2018 y por no haber notificado debidamente su transposición a la Comisión. En julio de 2019 se incoó otro procedimiento contra otro Estado miembro por la no transposición parcial. Como consecuencia de ello, la mayoría de los Estados miembros notificó posteriormente a la Comisión sus disposiciones nacionales de transposición y la Comisión cerró gradualmente los procedimientos de infracción contra ellos en 2019 (2020 en el caso de un Estado miembro). En 2021, la Comisión remitió al TJUE su procedimiento de infracción contra España porque aún no había transpuesto la DAP ni había notificado a la Comisión sus medidas de transposición. Dada la gravedad y duración de la infracción, el TJUE impuso, por primera vez, tanto el pago de una cantidad a tanto alzado como una multa coercitiva a España . En abril de 2022, La Comisión también incoó un procedimiento de infracción contra Alemania tras detectar una laguna en la transposición de la DAP en relación con las actividades de la policía federal alemana. La Comisión seguirá evaluando la transposición de la DAP en los Estados miembros y adoptará las medidas necesarias para subsanar cualquier laguna. 2.2Prioridades para evaluar la conformidad La Comisión también está comprobando que las disposiciones nacionales de los Estados miembros hayan transpuesto correctamente los requisitos de la DAP (control de conformidad). Al transponer la DAP, los Estados miembros modificaron su legislación anterior en materia de protección de datos o la derogaron y la sustituyeron por uno o varios actos horizontales nuevos en materia de protección de datos. En muchos casos, la legislación nacional transpone la DAP haciendo referencia a la misma disposición o a una disposición equivalente del RGPD (por ejemplo, en lo que respecta a las definiciones, las notificaciones de violaciones de la seguridad de los datos, el nombramiento del delegado de protección de datos y las disposiciones sobre la organización, el estatuto, las competencias, las funciones y los poderes de las autoridades nacionales de control de la protección de datos). Algunas de las disposiciones de la DAP también se transpusieron mediante nuevas disposiciones, por ejemplo, en el Derecho administrativo general, el Derecho procesal administrativo o el Derecho procesal penal. Algunos Estados miembros también transpusieron una serie de disposiciones de la DAP mediante legislación sectorial que regula el funcionamiento y las competencias de determinadas autoridades competentes. Por consiguiente, puede resultar necesario tener en cuenta diversos actos jurídicos nacionales a la hora de determinar si la DAP se ha transpuesto correctamente en un Estado miembro determinado. En general, las legislaciones nacionales reflejan en gran medida los principios y las disposiciones básicas de la DAP. Sin embargo, se ha detectado una serie de problemas, los más importantes de los cuales se exponen en las secciones siguientes. La Comisión ya ha incoado una serie de procedimientos de infracción contra los Estados miembros . El proceso de revisión sigue en curso y la Comisión seguirá utilizando todas las herramientas disponibles, en particular los procedimientos de infracción, cuando una medida nacional de transposición no sea conforme con la DAP. La jurisprudencia sobre la DAP aún se encuentra en una fase muy temprana. El TJUE ha empezado a dictar sentencias sobre la interpretación de la DAP, en particular en los asuntos Bundesrepublik Deutschland y Latvijas Republikas Saeima. En el momento de redactar el presente informe, están pendientes varias decisiones prejudiciales ante el TJUE (como se indica en las siguientes secciones). 2.2.1Ámbito de aplicación de la DAP Tanto el grupo de expertos de los Estados miembros sobre el RGPD y la DAP como el CEPD plantearon la dificultad de delimitar entre el ámbito de aplicación de la DAP y el del RGPD como una cuestión preocupante. Algunas autoridades de control de la protección de datos también han señalado que esto puede resultar difícil para las autoridades competentes . El ámbito de aplicación de la DAP se define por dos elementos clave: el concepto de autoridad competente (ámbito de aplicación personal) y el concepto de infracción penal (ámbito de aplicación material). Por lo que se refiere al ámbito de aplicación personal, el tratamiento de datos entra dentro del ámbito de aplicación de la DAP cuando, en primer lugar, lo lleva a cabo una autoridad competente y, en segundo lugar, cuando los datos personales se tratan a efectos de la DAP (es decir, la prevención, investigación, detección o enjuiciamiento de infracciones penales o la ejecución de sanciones penales, incluidas la protección y la prevención frente a las amenazas contra la seguridad pública). En la opinión de la Comisión, las «autoridades competentes», tal como se definen en la DAP, son órganos del Estado u organismos privados a los que la ley confiere poderes especiales que van más allá de los derivados de las normas habituales aplicables en las relaciones entre particulares o mediante la posibilidad de ejercer poderes coercitivos. Estas autoridades son autoridades competentes en virtud de la DAP cuando (aunque solo sea de forma esporádica o en casos aislados) tratan datos con el fin de prevenir, investigar, detectar o enjuiciar infracciones penales o de ejecutar sanciones penales (incluidas la protección y la prevención frente a las amenazas contra la seguridad pública). Esto significa, por ejemplo, que el tratamiento de datos personales por parte de dichos organismos con fines distintos a los de la DAP [por ejemplo, recursos humanos u otros fines administrativos, como el tratamiento de datos personales por parte de las Unidades de Información Financiera (UIF) en virtud del acervo en materia de lucha contra el blanqueo de capitales] entra en el ámbito de aplicación del RGPD y no en el de la DAP. El concepto de «infracción penal» reviste una importancia fundamental a la hora de determinar si el tratamiento de datos entra o no en el ámbito de aplicación de la DAP. Según el TJUE, tres criterios son pertinentes para apreciar el carácter penal de una infracción: si la infracción está calificada como penal en el Derecho interno, la propia naturaleza de la infracción y la gravedad de la sanción que puede imponerse al interesado . El carácter autónomo del concepto de infracción penal a que se refiere el considerando 13 de la DAP implica, entre otras cosas, que el Derecho del Estado miembro no puede determinar la naturaleza de una infracción como «penal» únicamente a efectos de la aplicación de la DAP. La cuestión de la delimitación entre los ámbitos de aplicación del RGPD y de la DAP se plantea en algunos Estados miembros en lo que respecta a la delimitación entre los ámbitos de las infracciones penales y las administrativas. En particular, algunas disposiciones nacionales de transposición se refieren a fines de tratamiento de datos personales que no figuran en el artículo 1 de la DAP (por ejemplo, amenazas para el orden público o la seguridad pública). La cuestión también se plantea porque algunos Estados miembros consideran que una serie de organismos administrativos (por ejemplo, las UIF, como se ha mencionado anteriormente) desempeñan funciones que entran en el ámbito de aplicación de la DAP. La mayoría de las legislaciones de los Estados miembros abarcan de forma exhaustiva cualquier tratamiento de datos por parte de las autoridades competentes a efectos de la DAP. En cambio, algunos Estados miembros han optado por enumerar de forma exhaustiva las autoridades competentes en virtud de la DAP en su legislación nacional. Algunos Estados miembros también han previsto una excepción para el tratamiento por parte de determinados tipos de autoridades competentes o para determinados tipos de datos. La cuestión del ámbito de aplicación de la DAP es objeto de una cuestión prejudicial ante el TJUE. El Landesverwaltungsgericht Tirol (Austria) planteó la cuestión del ámbito de aplicación de la DAP cuando una autoridad competente intentó sin éxito acceder a los datos de un teléfono incautado (interpretación del artículo 2 de la DAP). El asunto también se refiere a las condiciones de dicho acceso. 2.2.2Gobernanza y poderes de las autoridades de control de la protección de datos

Todos los Estados miembros, excepto dos (Bélgica y Suecia), han confiado la aplicación de la DAP a la autoridad de control que también es responsable de la aplicación del RGPD. Bélgica ha confiado la supervisión de la policía a efectos de la DAP a una autoridad de control diferente. En Suecia, la supervisión de determinadas autoridades competentes, incluida la policía, es compartida por la autoridad de control competente para el RGPD y otra autoridad de control. Además, de conformidad con la DAP, ninguna autoridad de control de la protección de datos es competente para supervisar a los órganos jurisdiccionales cuando actúan en ejercicio de su función judicial. Por lo que se refiere a las disposiciones de la DAP sobre la independencia de las autoridades de control de la protección de datos, todos los Estados miembros han establecido en su legislación de transposición que estas autoridades actuarán de forma independiente en el desempeño de sus funciones. También exigen que los miembros de sus autoridades de control de la protección de datos actúen sin influencia externa y no acepten ni soliciten instrucciones de nadie. La supervisión del cumplimiento por parte de las autoridades de control de la protección de datos es fundamental y está consagrada en el artículo 8, apartado 3, de la Carta. La DAP exige que los Estados miembros doten a las autoridades de control de la protección de datos de poderes de investigación, poderes de corrección y poderes consultivos, que deben ser efectivos. Este es un requisito previo para aplicar adecuadamente las normas de protección de datos y alcanzar así el objetivo de la DAP de un alto nivel de protección de los derechos fundamentales, en particular en lo que respecta al derecho a la protección de los datos personales, y para garantizar la libre circulación de datos dentro de la UE. Las autoridades de control de la protección de datos deben tener poderes equivalentes en toda la UE, a fin de que puedan desempeñar sus funciones con arreglo a lo dispuesto en la DAP. Todos los Estados miembros han dotado a sus autoridades de los poderes de investigación especificados en la DAP y la mayoría de los Estados miembros también les han conferido otros poderes (por ejemplo, llevar a cabo auditorías, entrar en instalaciones, hacer copias de los datos e incautar objetos). Como consecuencia de ello, casi todas las autoridades de control de la protección de datos consideraron que tienen poderes de investigación efectivos. Casi todos los Estados miembros han previsto los poderes correctivos especificados en la DAP. Muchos lo han hecho siguiendo de cerca la redacción de la DAP, mientras que varios han utilizado una redacción de carácter muy general que podría interpretarse razonablemente en el sentido de que abarca todos los poderes establecidos en la DAP. Además, la mayoría de las legislaciones de los Estados miembros otorgan a las autoridades de control de la protección de datos la facultad de imponer multas administrativas. No todos los Estados miembros han facultado a sus autoridades de control de la protección de datos para poner en conocimiento de las autoridades judiciales las infracciones de las leyes nacionales adoptadas para transponer la DAP y para iniciar o ejercitar de otro modo acciones judiciales. Esta facultad es importante y complementa los demás medios de que disponen las autoridades de control de la protección de datos para garantizar de forma efectiva un alto nivel de protección de los derechos fundamentales de las personas y, en particular, su derecho a la protección de sus datos personales. 2.2.3Recursos Todos los Estados miembros han previsto el derecho a presentar una reclamación ante la autoridad de control pertinente. La mayoría de las legislaciones nacionales establecen un plazo para presentar dicha reclamación. Es importante que este plazo no impida a los interesados ejercer su derecho a este respecto. En consonancia con la DAP, todos los Estados miembros prevén la tutela judicial contra las decisiones de la autoridad de control, sin perjuicio de cualquier otro recurso administrativo o extrajudicial disponible en sus ordenamientos jurídicos. Se dispone de la tutela judicial en todos los Estados miembros, excepto dos, cuando una autoridad de control no dé curso a una reclamación o no informe al interesado en el plazo de tres meses sobre el curso o el resultado de la reclamación. La mayoría de los Estados miembros también prevén la tutela judicial contra el responsable y el encargado del tratamiento en caso de supuesta violación de la DAP. Sin embargo, varias disposiciones nacionales de transposición no prevén el derecho del interesado a dar mandato a entidades, organizaciones y asociaciones sin ánimo de lucro para que presenten una reclamación ante una autoridad de control o para que interpongan un recurso judicial en su nombre. 2.2.4Plazos de conservación y revisión Los enfoques de los Estados miembros para transponer los plazos de conservación y revisión de los datos personales en virtud de la DAP varían considerablemente. La mayoría de los actos nacionales relativos a la protección de datos que transponen la DAP solo cumplen el requisito general del artículo 5 de dicha Directiva. Esto significa que corresponde a la legislación sectorial fijar realmente los plazos para la supresión de los datos personales o para una revisión periódica de la necesidad de conservación de los datos personales. Algunos Estados miembros transponen la disposición mediante el establecimiento de plazos en la legislación sectorial. Sin embargo, en algunos Estados miembros, la legislación deja que la autoridad competente establezca los plazos. En algunos casos, la legislación no establece ningún criterio para la revisión periódica ni exige que tales criterios se prevean en otras leyes o no prevé que los procedimientos para garantizar el cumplimiento de los plazos también deban establecerse en la legislación nacional. Cabe señalar que el Tribunal Supremo Administrativo de Bulgaria ha solicitado recientemente al TJUE que responda a su petición de decisión prejudicial sobre la interpretación del artículo 5 de la DAP en relación con los plazos de conservación de datos . 2.2.5Base jurídica para el tratamiento, incluidas las categorías especiales de datos personales La mayoría de los Estados miembros dispone, utilizando una redacción que a menudo se aproxima mucho al artículo 8 de la DAP, que la base jurídica para el tratamiento debe establecerse en el Derecho de la Unión o del Estado miembro. Sin embargo, algunos actos nacionales relativos a la protección de datos que transponen la DAP no reflejan el requisito de que los datos personales que vayan a tratarse y las finalidades del tratamiento deben establecerse en la legislación. Otros actos nacionales relativos a la protección de datos que transponen la DAP no contienen todas las disposiciones correspondientes al artículo 8. La legislación nacional debe establecer la base del tratamiento y cumplir los requisitos del artículo 8. Además, la mera repetición de los requisitos generales del artículo 8 de la DAP en el Derecho interno no puede considerarse una base jurídica suficiente para una operación de tratamiento específica: el Derecho interno debe especificar qué autoridad es competente para tratar los datos personales, las funciones públicas que desempeña y que justifican dicho tratamiento, y la finalidad del tratamiento. Por lo que se refiere al tratamiento de categorías especiales de datos personales, la mayoría de los Estados miembros exige una necesidad estricta como requisito previo para el tratamiento. La mayoría de los Estados miembros también prevé los mismos fundamentos jurídicos para el tratamiento de los datos sensibles establecidos en el artículo 10 de la DAP (tratamiento autorizado por la ley; cuando sea necesario para proteger los intereses vitales del interesado o de otra persona física; o cuando se refiera a datos que el interesado haya hecho manifiestamente públicos). En algunos Estados miembros, las disposiciones de transposición prevén algunos motivos adicionales para el tratamiento de datos (por ejemplo, cuando el tratamiento de dichos datos es necesario para evitar o prevenir un peligro que amenace directamente la vida, la integridad física o el patrimonio de las personas, o para proteger la salud o los intereses del interesado o de otra persona). Cuando el acto nacional relativo a la protección de datos que transpone la DAP no proporcione las salvaguardias necesarias para los derechos y las libertades de los interesados (como ocurre en algunos Estados miembros), dichas salvaguardias deben establecerse en las leyes sectoriales. Algunas disposiciones nacionales de transposición hacen referencia al consentimiento en relación con el tratamiento de datos personales, en particular el tratamiento de categorías especiales de datos personales. Es importante recordar que, si bien no se impide a los Estados miembros establecer en su Derecho interno que el interesado puede aceptar el tratamiento de sus datos personales a efectos de la DAP, este consentimiento solo puede servir de salvaguardia y no puede constituir la base jurídica para dicho tratamiento. Los debates sobre esta cuestión indican que sería útil disponer de más directrices sobre el papel del consentimiento en el contexto del tratamiento de datos personales a efectos de control de la aplicación del Derecho penal. 2.2.6Decisiones automatizadas

Todas las leyes de transposición de los Estados miembros contienen disposiciones que prohíben las decisiones basadas únicamente en un tratamiento automatizado, salvo que estén previstas por ley. La mayoría de las disposiciones nacionales de transposición de los Estados miembros exigen que tales decisiones no se basen en categorías especiales de datos personales, salvo que se proporcionen las salvaguardias adecuadas. También prohíben la elaboración de perfiles que dé lugar a una discriminación. Sin embargo, algunas legislaciones nacionales no hacen referencia a salvaguardias adecuadas para los derechos y libertades del interesado en los casos en que las decisiones automatizadas estén autorizadas por ley. Más concretamente, no todos los Estados miembros prevén el derecho a obtener la intervención humana por parte del responsable del tratamiento o no exigen medidas adecuadas para salvaguardar los derechos y libertades, y los intereses legítimos del interesado. 2.2.7Derechos del interesado Todos los Estados miembros han optado por aprovechar la posibilidad que ofrece la DAP de restringir el derecho de acceso de los interesados a sus datos personales. La mayoría de los Estados miembros también prevé restricciones de otros derechos de los interesados. Los actos nacionales relativos a la protección de datos que transponen la DAP a menudo solo siguen la redacción general de dicha Directiva, sin especificar más pormenorizadamente las circunstancias o las condiciones en las que deben aplicarse las restricciones. En tales casos, estas circunstancias y condiciones deben especificarse en la legislación sectorial, ya que de lo contrario se concedería a los responsables del tratamiento de datos un margen discrecional a la hora de aplicar estas restricciones. La mayoría de los Estados miembros cumple el requisito de la DAP para que los interesados puedan ejercer sus derechos a través de la autoridad de control de la protección de datos. La mayoría de los Estados miembros ha utilizado la opción de estipular que los derechos de los interesados se ejerzan de conformidad con el Derecho interno en el marco de investigaciones y procedimientos penales nacionales. Las disposiciones de transposición de varios Estados miembros no reflejan todos los requisitos específicos de la DAP relativos a la manera en que deben ejercerse los derechos de los interesados (por ejemplo, el formato y los medios de comunicación de las respuestas, la ausencia de cargos). Está pendiente una cuestión prejudicial planteada por un órgano jurisdiccional alemán sobre la interpretación de las restricciones al derecho de acceso de los interesados a sus datos (artículo 15 de la DAP a la luz del artículo 54 de dicha Directiva) y el derecho a la tutela judicial efectiva con arreglo al artículo 47 de la Carta y la libertad profesional con arreglo al artículo 15 de la Carta. 2.2.8Algunas disposiciones importantes específicas de la DAP Algunas disposiciones de la DAP son específicas del contexto de la aplicación del Derecho penal y no tienen equivalente en el RGPD. Categorías de interesados La DAP obliga a los Estados miembros a exigir al responsable del tratamiento que, cuando corresponda y en la medida de lo posible, establezca una distinción entre los datos de las distintas categorías de interesados y a proporcionar ejemplos de esas categorías [por ejemplo, una persona respecto de la cual existan motivos fundados para presumir que ha cometido o va a cometer una infracción penal (un «sospechoso»)]. La legislación de algunos Estados miembros no especifica (en cierta medida o en absoluto) las categorías que figuran en la DAP. A la hora de especificar la categoría de «sospechosos», algunas legislaciones nacionales no exigen que existan «motivos fundados para presumir que las personas han cometido o van a cometer una infracción penal». La futura sentencia del TJUE en el asunto pendiente Ministerstvo na vatreshnite raboti aclarará en mayor medida la interpretación de la DAP con respecto a las categorías de interesados, en particular el requisito de que la clasificación de un interesado como sospechoso esté supeditada a la existencia de «motivos fundados para presumir que ha cometido o va a cometer una infracción penal» . Distinción entre clases de datos personales y verificación de su calidad Los Estados miembros deben disponer que los datos personales basados en hechos se distingan, en la medida de lo posible, de los datos personales basados en apreciaciones personales. Asimismo, deben adoptar medidas para garantizar que los datos personales que sean inexactos, incompletos o que no estén actualizados no se transmitan ni se pongan a disposición de terceros. Si se hubieran transmitido datos incorrectos, el hecho debe ponerse en conocimiento de los destinatarios sin dilación y, en tales casos, los datos personales deben rectificarse o suprimirse, o el tratamiento debe limitarse. Si bien la mayoría de los Estados miembros ha transpuesto este requisito, algunas de las medidas específicas exigidas no están previstas explícitamente en varias disposiciones nacionales de transposición. Registro de operaciones Un total de doce Estados miembros ha utilizado la opción de aplazar hasta mayo de 2023 la adaptación de su sistema de tratamiento automatizado a los requisitos de registro. Los Estados miembros velan por que se conserven registros de las operaciones de tratamiento en sistemas de tratamiento automatizados. Algunas legislaciones nacionales no exigen que se registren todos los tipos de operaciones. La DAP establece los tipos mínimos de información que deben contener los registros. Algunas legislaciones nacionales no contienen todos los tipos de información exigidos (por ejemplo, el motivo de la consulta o la divulgación de los datos personales). 3Primeras enseñanzas extraídas de la aplicación y el funcionamiento de la DAP 3.1Reclamaciones y repercusión positiva sobre los derechos de los interesados La DAP garantiza la protección de los derechos y las libertades fundamentales de las personas y, en particular, el derecho a la protección de datos. Proporciona un marco global para los derechos del interesado y la forma de ejercerlos, en particular su derecho de información, acceso a los datos personales, o rectificación o supresión de estos, y prevé la limitación de su tratamiento. La DAP ha mejorado la comprensión por parte de los interesados de sus derechos y de la manera en que pueden ejercerlos, lo que se refleja en un aumento del número de solicitudes presentadas a las autoridades competentes. La práctica ha demostrado que, entre los derechos conferidos a los interesados en virtud de la Directiva, el derecho de acceso y supresión es el que se invoca con mayor frecuencia ante las autoridades competentes . La DAP permite imponer limitaciones a determinados derechos (el derecho de acceso y el derecho de rectificación o supresión) y a la información que el responsable del tratamiento debe facilitar al interesado en relación con los datos personales tratados. Los interesados pueden solicitar a las autoridades de control de la protección de datos que revisen la limitación del derecho en cuestión impuesta por una autoridad competente o pedirles que verifiquen si la limitación se ha impuesto de conformidad con la DAP (ejercicio indirecto del derecho) . Aproximadamente la mitad de las autoridades de control de la protección de datos comunican que habían recibido este tipo de solicitud. La práctica demuestra que el número de solicitudes recibidas puede variar considerablemente (por ejemplo, en Croacia se recibió una solicitud de este tipo, pero en Francia se recibieron más de 1 500). Si bien las autoridades de control de la protección de datos determinaron, tras una verificación o revisión de estas reclamaciones, que la mayoría de las solicitudes eran inadmisibles, en varios casos se ordenó al responsable del tratamiento que rectificara o suprimiera los datos personales o que limitara su tratamiento, garantizando así la correcta aplicación de las limitaciones. La DAP prevé que una entidad, organización o asociación sin ánimo de lucro puede presentar una reclamación en nombre de un interesado. Sin embargo, esta opción parece estar infrautilizada (solo cuatro autoridades de control de la protección de datos comunicaron que habían recibido este tipo de reclamaciones de un organismo de representación). Del mismo modo, las organizaciones de la sociedad civil solo comunicaron un número reducido de solicitudes para presentar una reclamación de este tipo.

Las personas también ejercen cada vez con mayor frecuencia su derecho a presentar reclamaciones ante las autoridades de control de la protección de datos, incluso en los casos en que las autoridades competentes limitan el ejercicio de los derechos de los interesados. Más de un tercio de las autoridades de control de la protección de datos comunicaron un aumento del número de reclamaciones recibidas tras la transposición de la DAP en sus Estados miembros . Algunas de las reclamaciones más frecuentes recibidas por las autoridades de control de la protección de datos se referían a la limitación del derecho de acceso , el derecho de rectificación o supresión y el derecho de información y sus limitaciones . A estas les siguieron las reclamaciones relacionadas con el principio de limitación del plazo de conservación, que exige que las autoridades competentes conserven los datos personales durante un período no superior al necesario, y con el derecho de información. 3.2Mejora de la sensibilización de las autoridades competentes sobre la protección de datos Los Estados miembros comunican que la introducción de la DAP ha tenido y sigue teniendo una gran repercusión sobre la sensibilización de las autoridades competentes sobre la importancia de la protección de datos. Varias autoridades de control de la protección de datos expresaron su opinión de que la mayor repercusión de la DAP ha sido la mejora de la sensibilización sobre las cuestiones relativas a la protección de datos y los derechos de los interesados y prestarles más atención . Esto también quedó demostrado por los intercambios realizados entre las autoridades de control de la protección de datos y las autoridades competentes sobre los derechos de los interesados y las modalidades para ejercer dichos derechos . Algunas autoridades competentes comunicaron que, como consecuencia de ello, habían asignado más recursos a la protección de datos . Esto incluyó la inversión en la incorporación del principio de protección de la privacidad desde el diseño y por defecto en sus sistemas informáticos, el establecimiento de períodos de conservación de los datos, la aplicación del principio de minimización de datos y la denuncia de infracciones. Por consiguiente, se comunica que la seguridad general de los datos tratados ha mejorado . Las actividades de formación y sensibilización realizadas por las autoridades de control de la protección de datos también contribuyen a la correcta aplicación de la DAP y las autoridades de control se encargan de sensibilizar a los responsables y encargados del tratamiento acerca de las obligaciones que les incumben en virtud de la DAP. Muchas autoridades de control de la protección de datos sensibilizan mediante la publicación de directrices. Algunos de los temas tratados por las distintas autoridades de control de la protección de datos son: la asistencia al poder judicial, a las fiscalías y a las autoridades policiales en el cumplimiento del principio de responsabilidad proactiva; el intercambio de datos personales con la policía; el nombramiento de un delegado de protección de datos; la realización de una evaluación de impacto relativa a la protección de datos; el tratamiento de datos en ámbitos delictivos como la delincuencia organizada y el terrorismo; el mantenimiento de registros de las actividades de tratamiento y de las operaciones; la realización de actividades de videovigilancia; la facilitación de información a los interesados; la notificación de violaciones de la seguridad de los datos; las obligaciones de los responsables del tratamiento; y el ejercicio de derechos por parte de particulares. Sin embargo, ocho autoridades de control de la protección de datos aún no han publicado orientaciones o herramientas prácticas para ayudar a las autoridades competentes y a los encargados del tratamiento a cumplir sus obligaciones. Además, doce autoridades de control de la protección de datos no han impartido formación ni llevado a cabo actividades de sensibilización para las autoridades competentes o los encargados del tratamiento en virtud de la DAP. Entre las autoridades de control de la protección de datos que llevaron a cabo estas actividades, los temas más frecuentes fueron, entre otros: el tratamiento de datos por parte de la policía, las fiscalías y las autoridades judiciales y penitenciarias; la definición de los respectivos ámbitos de aplicación del RGPD y de la DAP; el uso de datos personales procedentes de redes sociales; el tratamiento de datos en expedientes policiales; las técnicas de videovigilancia y los macrodatos; la gestión de los derechos de los interesados; y el tratamiento de los datos personales de los presos . Otra innovación de la DAP es el requisito de que los responsables del tratamiento designen a un delegado de protección de datos (DPD) cuyas funciones abarquen, entre otras, informar y asesorar sobre los requisitos de protección de datos, supervisar el cumplimiento de lo dispuesto en la DAP, ofrecer asesoramiento acerca de las evaluaciones de impacto relativas a la protección de datos y supervisar su realización. Esto ha llevado a que las autoridades competentes sean más conscientes de sus obligaciones en materia de protección de datos y ha tenido una repercusión positiva sobre el cumplimiento de las normas de protección de datos por parte de las autoridades competentes, como también ha reconocido el Consejo . Es importante invertir en el desarrollo y la maximización de la experiencia y los conocimientos de los DPD para ayudar a las autoridades competentes a aplicar la DAP de forma coherente. Por consiguiente, la Comisión ha creado y facilita la Red de Delegados de Protección de Datos de las autoridades competentes, las agencias de Justicia y Asuntos de Interior y la Fiscalía Europea. La Red es una iniciativa permanente que se centra en la aplicación de la DAP por parte de las autoridades competentes de los Estados miembros. Su objetivo es proporcionar una plataforma para la cooperación y el intercambio de conocimientos especializados entre los DPD de los Estados miembros. La Red de Expertos en Protección de Datos de Europol (EDEN) y las redes nacionales de DPD de las autoridades competentes son iniciativas importantes que ayudan a los DPD de las autoridades competentes a promover el intercambio de mejores prácticas e información sobre la aplicación de la DAP. 3.3Refuerzo de la seguridad de los datos, pero existen divergencias en las notificaciones de violación de la seguridad de los datos La DAP ha reforzado la seguridad de los datos personales al exigir a las autoridades competentes que adopten medidas para alcanzar objetivos de seguridad específicos. Por ejemplo, exige a las autoridades competentes que realicen evaluaciones de impacto relativas a la protección de datos cuando exista la probabilidad de que una actividad de tratamiento de datos entrañe un alto riesgo para los derechos y libertades de los interesados. Las evaluaciones de impacto implican detectar los riesgos y las medidas para mitigarlos. Este requisito, así como el cumplimiento estricto del principio de protección de datos desde el diseño y por defecto y de los requisitos de notificación de las violaciones de la seguridad de los datos, ha permitido mejorar la seguridad del tratamiento de datos personales . El Consejo también lo ha reconocido y ha constatado que la DAP ha mejorado el nivel de seguridad de los datos, en particular a través de planes de seguridad; la actualización de los sistemas informáticos y las medidas organizativas; evaluaciones de impacto relativas a la protección de los datos; y la exigencia a las autoridades competentes de que mantengan registros de determinadas operaciones de tratamiento. La DAP establece las circunstancias en las que los responsables del tratamiento deben notificar una violación de la seguridad de los datos personales a su autoridad de control de la protección de datos y al interesado afectado. A pesar de esta obligación, existe una gran disparidad en el número de violaciones de la seguridad de los datos que se han notificado a las autoridades de control de la protección de datos desde la introducción de la DAP . Seis autoridades de control de la protección de datos comunicaron que no habían recibido ninguna notificación de violación de la seguridad de los datos y otras comunicaron que habían recibido muy pocas notificaciones de este tipo. Por ejemplo, la autoridad italiana comunicó solo tres notificaciones de violación de la seguridad de los datos y la autoridad francesa, ocho, pero la autoridad neerlandesa comunicó más de 500. Esta diferencia en el número de notificaciones de violaciones de la seguridad de los datos indica (después de tener en cuenta factores como el tamaño de la población) que parece haber prácticas divergentes entre las autoridades competentes de los Estados miembros en cuanto a lo que se considera una violación de la seguridad y cuándo debe notificarse a una autoridad de control de la protección de datos. La Comisión también lo señaló en su informe sobre el RGPD. Recientemente, el CEPD ha publicado directrices sobre las violaciones de la seguridad en virtud del RGPD . Estas directrices, aunque no son directamente aplicables, también son pertinentes para las violaciones de la seguridad de los datos en virtud de la DAP. Por consiguiente, deben contribuir a un enfoque más uniforme del tratamiento de las violaciones de la seguridad de los datos en virtud de la DAP en todos los Estados miembros. 3.4Supervisión por parte de las autoridades de control de la protección de datos 3.4.1Recursos de las autoridades de control de la protección de datos Dotar a cada autoridad de protección de datos de los recursos humanos, técnicos y financieros, los locales y las infraestructuras necesarios es un requisito previo para el cumplimiento efectivo de sus funciones y el ejercicio de sus poderes y, por tanto, una condición esencial para su independencia. La Comisión ha subrayado sistemáticamente el hecho de que los Estados miembros están obligados a asignar recursos humanos, financieros y técnicos suficientes a las autoridades de control de la protección de datos. El Consejo también ha pedido específicamente a los Estados miembros que asignen recursos humanos, técnicos y financieros suficientes a las autoridades de control de la protección de datos. Sin embargo, el aumento general del personal de las autoridades de control de la protección de datos en los últimos años no parece incidir en las funciones relacionadas con la DAP. El volumen de personal que trabaja en la DAP ha seguido siendo el mismo o incluso ha disminuido en la mitad de las autoridades de control de la protección de datos. Cualquier aumento ha sido muy modesto, con menos de dos personas en equivalentes a jornada completa (EJC) por término medio. En casi la mitad de las autoridades de control de la protección de datos (incluidas aquellas con un número total de empleados de más de 100 EJC), entre menos del 1 % y el 7 % de la plantilla total trabaja en la DAP. En cifras absolutas, alrededor de la mitad de las autoridades de control de la protección de datos asignan entre uno y cuatro EJC a tareas relacionadas con la DAP y ocho autoridades de control de la protección de datos asignan entre siete y quince EJC a tareas relacionadas con la DAP. Sin embargo, una autoridad de control de la protección de datos cuenta con cincuenta y tres EJC que trabajan en la DAP. Del mismo modo, la Secretaría del CEPD ha dedicado menos de 1,5 EJC a cuestiones completamente relacionadas con la DAP. Esta situación no es satisfactoria, aunque diez autoridades de control de la protección de datos hayan indicado que disponen de recursos financieros, humanos y técnicos suficientes. Por otra parte, dieciséis autoridades de control de la protección de datos consideraron que no disponían de recursos suficientes. De estas autoridades, algunas señalaron que esto afectó negativamente a sus investigaciones por iniciativa propia, su tramitación de las reclamaciones, la inspección de los sistemas informáticos de gran magnitud (SIS, VIS) y la emisión de dictámenes por iniciativa propia. De hecho, las características específicas del sector implican que la aplicación efectiva de la DAP requiere una inspección sistemática de las actividades de tratamiento, que a menudo son complejas, y que no basta con basarse en reclamaciones individuales (que son mucho menos numerosas que en el caso del RGPD). Además, las autoridades de control de la protección de datos han señalado la falta de conocimientos informáticos para abordar la complejidad cada vez mayor de las tecnologías informáticas utilizadas en el ámbito de la aplicación de la ley.

3.4.2Uso de poderes Uso de poderes correctivos Un total de diecinueve autoridades de control de la protección de datos aplicaron sus poderes de investigación, ya sea por iniciativa propia o sobre la base de una reclamación. Las autoridades de control de la protección de datos comunicaron dificultades en muy pocos casos (por ejemplo, cuando un responsable del tratamiento no facilitó toda la información pertinente o denegó el acceso a la información). Las mismas diecinueve autoridades de control de la protección de datos también aplicaron sus poderes correctivos. Con diferencia, el poder más utilizado fue el de emisión de órdenes para que el tratamiento se ajustara a la ley, en particular órdenes para rectificar o suprimir datos personales o para limitar su tratamiento. Las autoridades de control de la protección de datos utilizaron este poder en 114 casos. El hecho de que este poder de ordenar una limitación temporal o definitiva (incluida una prohibición) del tratamiento solo se haya utilizado en cuatro casos demuestra que las autoridades de control de la protección de datos han hecho un uso cuidadoso de estos poderes. Uso de poderes consultivos Llevar a cabo sistemáticamente consultas previas y solicitar el dictamen de las autoridades de control de la protección de datos sobre los proyectos de medidas legislativas y administrativas es un medio eficaz para garantizar un elevado nivel de protección del derecho a la protección de los datos personales y reducir el número de reclamaciones posteriores. La consulta previa a las autoridades de control de la protección de datos reviste especial importancia cuando se utilizan nuevas tecnologías que pueden tener una repercusión significativa sobre los derechos fundamentales. La mitad de las autoridades de control de la protección de datos comunicaron que habían sido consultadas sobre las evaluaciones de impacto relativas a la protección de datos. El número de consultas previas varía de un Estado miembro a otro. Algunas autoridades solo fueron consultadas una vez, mientras que otra autoridad recibió cincuenta y nueve consultas previas. En la mayoría de estos casos, las autoridades de control de la protección de datos proporcionaron asesoramiento por escrito y, en algunos casos, utilizaron sus poderes correctivos en relación con el tratamiento; en particular, emitieron advertencias u ordenaron medidas para que el tratamiento de datos fuera conforme a la ley. En un caso, la autoridad de control de la protección de datos emitió un dictamen negativo que parece haber tenido el mismo efecto que una prohibición de tratamiento. Además, parece que las autoridades de control de la protección de datos también tratan solicitudes de asesoramiento, al margen del procedimiento de consulta previa. El tipo de cuestión más común respecto del cual las autoridades competentes se dirigieron a las autoridades de control de la protección de datos para obtener asesoramiento estuvo relacionado con los tipos específicos de tratamiento (en particular, el uso de nuevas tecnologías, mecanismos o procedimientos, seguido de cerca por las medidas de seguridad adecuadas, el tratamiento de categorías especiales de datos personales, la determinación de la base jurídica para el tratamiento, el principio de limitación del plazo de conservación y los plazos adecuados). Además, veintidós autoridades de control de la protección de datos emitieron dictámenes dirigidos a sus Parlamentos y Gobiernos nacionales sobre medidas legislativas y administrativas relativas al tratamiento de datos personales. Varias indicaron que se les consulta ocasionalmente. 3.4.3Control judicial de las acciones de las autoridades de control de la protección de datos Casi la mitad de las autoridades de control de la protección de datos indicaron que, en un número reducido de casos, se enfrentaron a procedimientos judiciales en relación con sus decisiones o su inacción. Los procedimientos fueron incoados principalmente por los interesados y, en algunos casos, por las autoridades competentes. Varios asuntos habían sido declarados inadmisibles por los órganos jurisdiccionales o habían sido retirados por los demandantes. El órgano jurisdiccional confirmó la decisión de la autoridad de control de la protección de datos en la mayoría de los casos restantes, pero la revocó en algunos casos (y otros aún estaban pendientes). El reducido número de sentencias hasta la fecha implica que aún no es posible detectar una tendencia clara. 3.4.4Directrices del CEPD Para garantizar la eficacia de la cooperación judicial en materia penal y de la cooperación policial, es esencial asegurar un nivel uniforme y elevado de protección entre los Estados miembros. La DAP prevé que el CEPD emita directrices, recomendaciones y buenas prácticas (por iniciativa propia o a petición de la Comisión), a fin de garantizar que los Estados miembros apliquen la Directiva de manera coherente. El CEPD ha elaborado orientaciones específicas de la DAP pertinentes para el capítulo V (transferencias internacionales); directrices sobre el uso de tecnologías de reconocimiento facial; y (en su calidad anterior de grupo de trabajo del artículo 29) un dictamen sobre algunas cuestiones fundamentales de la DAP. Muchas de las directrices del CEPD sobre el RGPD también son pertinentes para la DAP en la medida en que se basan en conceptos o tecnologías comunes. Estas directrices abarcan las relativas al concepto de responsable y encargado del tratamiento, a los derechos de los interesados, a la notificación de violaciones de la seguridad de los datos personales, a la evaluación de impacto relativa a la protección de datos, a la protección de datos desde el diseño y por defecto y al mecanismo de decisión individual automatizado. La elaboración de directrices exhaustivas y prácticas requiere una labor y unos recursos considerables, pero la orientación es fundamental (como también ha señalado el Consejo). Por consiguiente, es muy positivo que el CEPD haya indicado que pronto proporcionará orientaciones adicionales, en particular sobre el concepto de los poderes correctivos y de investigación efectivos de las autoridades de control de la protección de datos y sobre las transferencias internacionales sujetas a garantías adecuadas. Las directrices del CEPD también pueden reducir la carga de trabajo de las autoridades de control de la protección de datos (por ejemplo, funciones como asesorar a los responsables del tratamiento de datos o tratar las reclamaciones). Por ejemplo, varias de las cuestiones abordadas en el dictamen del grupo de trabajo del artículo 29 sobre algunas cuestiones fundamentales de la DAP (como los plazos adecuados, la base jurídica del tratamiento y las condiciones para el tratamiento de categorías especiales de datos) son también algunas de las cuestiones más frecuentes sobre las que las autoridades competentes han solicitado asesoramiento a las autoridades de control de la protección de datos. 3.4.5Asistencia mutua Para garantizar la aplicación coherente de la DAP, las autoridades de control de la protección de datos deben prestarse asistencia mutua. Esto abarca la asistencia en forma de solicitudes de información y solicitudes para llevar a cabo consultas, inspecciones e investigaciones. Sin embargo, la asistencia mutua se ha utilizado muy poco hasta la fecha. Solo seis autoridades de control de la protección de datos han recurrido a ella, principalmente en respuesta a solicitudes de información recibidas de otras autoridades de control de la protección de datos. La mayoría de las autoridades de control de la protección de datos indicaron que solo habían recibido una solicitud de información. Todas estas autoridades de control de la protección de datos comunicaron que habían accedido a la solicitud recibida. Tampoco se ha utilizado el intercambio voluntario de asistencia mutua, que no tiene un plazo legal ni una obligación estricta de responder. El CEPD ha declarado que publicará directrices sobre el marco de asistencia mutua en el marco del RGPD y la DAP. 3.5Instrumento flexible para las transferencias internacionales de datos

El capítulo V de la DAP abarca las transferencias de datos personales a las autoridades competentes de terceros países y a organizaciones internacionales. Este capítulo garantiza esencialmente una continuidad de la protección cuando los datos personales se transfieren de un Estado miembro a un tercer país o a una organización internacional a efectos de aplicación de la ley. Como se ha señalado anteriormente, esta continuidad de la protección es una condición importante para una cooperación policial rápida, efectiva y jurídicamente segura entre socios de confianza. En particular, con arreglo a las normas pertinentes de la DAP , las transferencias internacionales entre autoridades competentes en el sentido de la DAP deben basarse en una de las diversas herramientas de transferencia establecidas en los artículos 36 a 38 de la DAP (cuando los datos procedan de otro Estado miembro, la transferencia también requiere la autorización previa de dicho Estado miembro). Estas herramientas abarcan las decisiones de adecuación, las transferencias basadas en garantías apropiadas y el uso de excepciones en situaciones específicas. El artículo 39 de la DAP también permite las transferencias directas a destinatarios que no sean autoridades encargadas de garantizar el cumplimiento del Derecho penal, que estén establecidas en terceros países, en casos individuales y específicos y con sujeción a varias condiciones. 3.5.1Decisiones de adecuación La Comisión ha acelerado su labor para aprovechar todo el potencial de las herramientas disponibles en el marco de la DAP. Esto comprendió la adopción, por primera vez, de una «decisión de adecuación» que abarcaba las actividades de tratamiento de datos con fines de aplicación de la ley con arreglo al artículo 36 de la DAP, con el Reino Unido, en junio de 2021 . Esta decisión de adecuación permite el flujo seguro y libre de datos personales a las autoridades competentes del tercer país en cuestión, sin necesidad de ninguna otra garantía o autorización específica (salvo que otro Estado miembro del que se hayan obtenido los datos deba autorizar la transferencia ). La decisión de adecuación para el Reino Unido, de junio de 2021, es una base fundamental para la cooperación policial y judicial tras el Brexit, que, de conformidad con el Acuerdo de Comercio y Cooperación entre la UE y el Reino Unido, se basa en «el compromiso histórico de las Partes de garantizar un alto nivel de protección de los datos personales» . De conformidad con el artículo 36, apartado 4, de la DAP, la Comisión supervisa los cambios en el marco jurídico del Reino Unido que puedan afectar a esta decisión de adecuación. Se prevé que esta decisión de adecuación con el Reino Unido se aplique durante un período de cuatro años a partir de su entrada en vigor, prorrogable, en principio, por otros cuatro años si la supervisión por parte de la Comisión confirma que el Reino Unido sigue manteniendo un nivel de protección adecuado . Además, el CEPD también ha contribuido al desarrollo de este instrumento al aclarar la norma jurídica a través de orientaciones sobre los elementos que deben tenerse en cuenta a la hora de evaluar la adecuación en el contexto penal, con la emisión de sus referencias sobre adecuación en el marco de la DAP . En particular, el tercer país debe garantizar los derechos individuales exigibles, la tutela judicial efectiva y la supervisión independiente. La Comisión promueve activamente la posibilidad de adoptar decisiones de adecuación con otros socios internacionales clave, en particular con aquellos países con los que sea preciso mantener una cooperación estrecha y rápida en el contexto de la lucha contra la delincuencia y el terrorismo y con los que ya se estén llevando a cabo intercambios significativos de datos personales. Si bien hasta ahora no se han adoptado otras decisiones de adecuación, esto se debe sobre todo a que este instrumento se ha introducido recientemente. Además, y a diferencia de lo que ocurre con el tratamiento de datos por parte de los operadores comerciales, la convergencia mundial de las normas de protección de datos en el ámbito penal apenas está empezando a desarrollarse (impulsada, por ejemplo, por acuerdos multilaterales como el Convenio 108 del Consejo de Europa modernizado o el Protocolo adicional segundo al Convenio sobre la Ciberdelincuencia). No obstante, la experiencia adquirida con la adopción de la decisión de adecuación con el Reino Unido contribuirá a allanar el camino para iniciativas similares en los próximos años. La Comisión, como parte de su estrategia internacional, estudiará otros posibles candidatos para futuras decisiones de adecuación en el marco de la DAP y lo hará en contacto directo con las demás instituciones y organismos pertinentes de la UE. A tal fin, y de conformidad con el considerando 68 de la DAP, la Comisión prestará especial atención a los compromisos internacionales de los países evaluados relativos a la protección de los datos personales, incluida la adhesión a los acuerdos multilaterales mencionados anteriormente o a otros instrumentos para la aplicación de la ley que ofrezcan garantías adecuadas con respecto a la protección de datos. 3.5.2Garantías apropiadas La DAP contiene otros instrumentos de transferencia además de la solución integral de una decisión de adecuación. La flexibilidad de este «conjunto de herramientas» se refleja en el artículo 37 de la DAP, que regula las transferencias de datos sobre la base de «garantías apropiadas» con respecto a la protección de los datos personales. Estas garantías apropiadas pueden aportarse mediante un instrumento jurídicamente vinculante o cuando el responsable del tratamiento, sobre la base de una evaluación de todas las circunstancias que concurren en la transferencia, llegue a la conclusión de que existen garantías apropiadas (la denominada «autoevaluación» para las transferencias). En los primeros años de aplicación de la DAP, la Comisión trabajó, en particular, en la elaboración de instrumentos jurídicos vinculantes en forma de acuerdos internacionales que ofrecen garantías apropiadas. Estos acuerdos desempeñan un papel importante tanto en el contexto de la cooperación policial «tradicional» (es decir, entre las autoridades competentes) como en otras formas de cooperación policial (es decir, la cooperación con terceros, como las empresas privadas). También pueden servir de base para las transferencias de datos por parte de Europol y Eurojust con arreglo a sus respectivos marcos jurídicos, cuyas normas sobre transferencias internacionales son muy similares a las establecidas en la DAP. En cuanto a las formas tradicionales de cooperación policial, la Comisión está revisando los acuerdos internacionales adoptados antes de la entrada en vigor de la DAP, con el fin de garantizar la coherencia con el régimen modernizado de protección de datos de la UE . En primer lugar, la Comisión está evaluando las disposiciones en materia de protección de datos contenidas en los acuerdos de cooperación vigentes de Europol con terceros países celebrados antes del 1 de mayo de 2017, según lo dispuesto en el Reglamento (UE) 2016/794 relativo a la Agencia de la Unión Europea para la Cooperación Policial (en lo sucesivo, «el Reglamento de Europol») . De conformidad con el artículo 9 del Protocolo n.º 36 del Tratado de la Unión Europea y el TFUE (sobre las disposiciones transitorias), se han mantenido los efectos jurídicos de estos acuerdos en tanto no hayan sido derogados, anulados o modificados . La Comisión informará al Parlamento Europeo y al Consejo del resultado de esta evaluación y, si procede, someterá al Consejo una recomendación de decisión por la que se autorice el inicio de negociaciones para modificar los respectivos acuerdos de conformidad con el artículo 218 del TFUE. Esta es una tarea compleja que implica la evaluación de dieciocho acuerdos y se retrasó debido a las perturbaciones causadas por la pandemia de COVID-19. La Comisión espera completar su evaluación en el segundo semestre de 2022. La coherencia de todos los mecanismos de cooperación policial con las normas de la DAP es un principio rector que la Comisión también sigue a la hora de negociar nuevos acuerdos para la transferencia de datos personales por parte de Europol a terceros países u organizaciones internacionales. Desde la entrada en vigor del actual Reglamento de Europol en 2017, el artículo 218 del TFUE ha sido la base jurídica para dichos acuerdos internacionales que aseguran las garantías apropiadas. En 2018 y 2019, el Consejo adoptó nueve mandatos para que la Comisión iniciara negociaciones con terceros países en nombre de la Unión. La Comisión también ha sido autorizada a iniciar negociaciones sobre un acuerdo de cooperación con Interpol para abarcar el intercambio de datos con varios organismos y agencias de la UE. En todos estos casos, el Consejo ha dirigido directrices de negociación a la Comisión con el fin de garantizar que se incluyan las garantías necesarias para la protección de los datos personales y otros derechos y libertades fundamentales de las personas. Sobre esta base, la Comisión ya ha concluido las negociaciones con Nueva Zelanda, que condujeron a la firma de un acuerdo de cooperación el 30 de junio de 2022. Además, se han logrado avances en las negociaciones con Israel. Por lo que se refiere a Turquía, las negociaciones se encuentran en una fase avanzada, pero no pueden concluirse hasta que Turquía adopte las reformas necesarias en su legislación en materia de protección de datos. En marzo de 2021 se concedieron autorizaciones similares para la negociación de acuerdos de cooperación para permitir el intercambio de datos por parte de Eurojust con trece terceros países. En segundo lugar, La Comisión está realizando la primera revisión conjunta del Acuerdo entre los Estados Unidos de América y la Unión Europea sobre la protección de los datos personales en relación con la prevención, la investigación, la detección y el enjuiciamiento de infracciones penales («el Acuerdo marco»). El Acuerdo marco, que entró en vigor en febrero de 2017, contiene un conjunto completo y armonizado de normas de protección de datos que se aplican a todos los intercambios transatlánticos entre autoridades competentes. Complementa los acuerdos existentes UE-EE. UU. y Estados miembros de la UE-EE. UU. entre las autoridades con funciones coercitivas, establece un nivel elevado de protección para futuros acuerdos en este ámbito y refuerza la cooperación policial al facilitar el intercambio de información. La revisión conjunta tiene por objeto evaluar la aplicación efectiva del Acuerdo marco, en particular en lo que se refiere a las disposiciones sobre la transferencia ulterior, los derechos individuales y la tutela judicial. El calendario de la revisión conjunta se vio afectado por las perturbaciones relacionadas con la pandemia de COVID-19, así como por las negociaciones paralelas sobre el Protocolo adicional segundo al Convenio del Consejo de Europa sobre la Ciberdelincuencia (Convenio de Budapest) del Consejo de Europa . La Comisión espera completarla en el segundo semestre de 2022. Como primer acuerdo internacional bilateral con un catálogo exhaustivo de derechos y obligaciones en materia de protección de datos, el Acuerdo marco es un punto de referencia para la negociación de acuerdos marco similares con importantes socios encargados de la aplicación del Derecho penal. Al hacerlo, la Comisión también tendrá en cuenta los avances pertinentes, en particular las orientaciones del CEPD, la jurisprudencia del TJUE y el resultado de las negociaciones internacionales sobre garantías de protección de datos en este ámbito (como, por ejemplo, el Protocolo adicional segundo al Convenio sobre la Ciberdelincuencia o el acuerdo de Europol con Nueva Zelanda). En tercer lugar, la Comisión considera que el Acuerdo entre la Unión Europea y Japón sobre cooperación judicial en materia penal es un acto de la UE que regula el tratamiento de datos (transferencias) a efectos de control de la aplicación del Derecho penal y que debe modificarse para asegurar las garantías apropiadas en materia de protección de datos en consonancia con la DAP. Tras la adopción por el Consejo de una decisión por la que se autoriza la apertura de negociaciones para modificar dicho acuerdo UE-Japón, la Comisión sigue en contacto con las autoridades japonesas con vistas a iniciar las negociaciones lo antes posible. Además, ahora también se recurre cada vez más a otras formas de cooperación adaptadas a los retos y necesidades específicos de las investigaciones penales en la economía digital actual. Se trata principalmente de una cooperación reforzada en el ámbito de la ciberdelincuencia y para la recogida de pruebas en formato electrónico en relación con infracciones penales. Esta cooperación incluye la cooperación directa con partes privadas para el acceso a pruebas electrónicas. La Comisión también ha colaborado con socios internacionales, con el fin de asegurar que estas otras formas (importantes) de cooperación puedan tener lugar sobre la base de garantías apropiadas en materia de protección de datos. En primer lugar, la Comisión representó a la UE durante las negociaciones en el marco del Consejo de Europa sobre un Protocolo adicional segundo al Convenio sobre la Ciberdelincuencia . El Protocolo, aprobado por el Comité de Ministros del Consejo de Europa el 17 de noviembre de 2021, contiene garantías sólidas para la protección de los derechos fundamentales, en particular un artículo que contiene disposiciones detalladas sobre la protección de los datos personales transferidos en virtud del Protocolo. Estas disposiciones abarcan todos los principios, los derechos y las obligaciones esenciales en materia de protección de datos reconocidos en el Derecho de la Unión. Estas garantías se complementan con una disposición relativa a la supervisión y con la posibilidad de suspender las transferencias en caso de incumplimiento sistemático o grave de las garantías contenidas en el Protocolo, por ejemplo, la ausencia de tutela judicial efectiva. A través de estas disposiciones, ofrece garantías apropiadas en consonancia con los requisitos del artículo 37, apartado 1, letra a), de la DAP . Este es un logro significativo, habida cuenta de la diversidad de miembros del Convenio de Budapest, que actualmente cuenta con sesenta y seis Estados Partes que representan contextos y tradiciones jurídicos diferentes. Permitirá a las autoridades competentes de los Estados miembros beneficiarse de una cooperación transfronteriza efectiva en la lucha contra la ciberdelincuencia, al tiempo que garantizará el respeto de los valores de la UE reflejados en la Carta de los Derechos Fundamentales de la UE, los Tratados de la UE y el Derecho derivado de la UE. Dado el gran número de Partes en el Convenio de Budapest, que actualmente comprende países de todo el mundo, el Protocolo también contribuirá a promover normas estrictas de protección de datos para el tratamiento de datos en el ámbito penal a escala mundial. El Protocolo se abrió a la firma el 12 de mayo de 2022 y un total de veintidós Partes en el Convenio de Budapest (incluidos trece Estados miembros de la UE) ya lo han firmado. En segundo lugar, la Comisión ha iniciado negociaciones sobre un acuerdo bilateral con los Estados Unidos sobre el acceso transfronterizo a pruebas electrónicas para la cooperación judicial en materia penal. Este acuerdo pretende abarcar las pruebas electrónicas en forma de datos tanto personales como no personales, incluidos los datos de tráfico y de contenido. Es importante señalar que las negociaciones también tienen como objetivo la inclusión de garantías adicionales en materia de protección de datos que complementarían las del Acuerdo marco, teniendo en cuenta, en particular, la sensibilidad de las categorías de datos en cuestión, así como los requisitos de la transferencia directa de pruebas electrónicas por parte de los proveedores de servicios. Los avances en estas negociaciones dependerán en gran medida del avance del proceso legislativo en curso sobre el paquete de pruebas electrónicas de la UE . Estas distintas iniciativas de la Comisión para desarrollar instrumentos internacionales que faciliten la cooperación policial con socios internacionales, al tiempo que aseguren las garantías apropiadas en materia de protección de datos, se han visto respaldadas por la labor del CEPD y del SEPD. Esta labor abarca la declaración del CEPD sobre el proyecto de Protocolo adicional segundo al Convenio sobre la Ciberdelincuencia y los dictámenes del SEPD sobre los proyectos de mandatos de negociación para acuerdos internacionales en virtud del artículo 218 del TFUE que permitirían a Europol y Eurojust intercambiar datos personales con terceros países u organizaciones internacionales . El CEPD también emitió una declaración en la que invitaba a los Estados miembros a evaluar y, en caso necesario, revisar los acuerdos internacionales que impliquen transferencias internacionales de datos personales . Esta declaración se refiere a los acuerdos celebrados antes del 6 de mayo de 2016, también en el ámbito penal, e invita a los Estados miembros a determinar si es necesaria una mayor armonización con la legislación y la jurisprudencia de la UE en materia de protección de datos.

El artículo 37 de la DAP también permite las transferencias internacionales de datos basadas en una autoevaluación por parte de una autoridad competente de si un tercer país (o una organización internacional) cuenta con garantías apropiadas con respecto a la protección de datos. En estos casos, la autoridad debe documentar la transferencia (con inclusión de su fecha y hora, información sobre la autoridad destinataria, la justificación de la transferencia y los datos personales transferidos) y la documentación debe ponerse a disposición de la autoridad de control previa solicitud (artículo 37, apartado 3, de la DAP). La información facilitada por los Estados miembros indica que esta herramienta rara vez se ha utilizado. Para que los Estados miembros puedan aprovechar plenamente el conjunto de herramientas de transferencia que ofrece la DAP, es importante que el CEPD intensifique su trabajo en curso sobre los diversos mecanismos de transferencia. Entre otras cosas, debe proporcionar orientación sobre los mecanismos incluidos en el artículo 37, apartado 1, de la DAP, en particular sobre las transferencias basadas en autoevaluaciones por parte de las autoridades competentes. El Consejo también ha subrayado esta necesidad. 3.5.3Uso de excepciones Por último, las denominadas «excepciones» permiten justificar las transferencias en determinadas condiciones, establecidas en el artículo 38 de la DAP. Estas condiciones logran un equilibrio entre las consideraciones de privacidad y las necesidades operativas de las autoridades competentes. En particular, el artículo 38, apartado 1, permite las transferencias, e incluso categorías de transferencias, de datos personales cuando sea necesario para prevenir una amenaza grave e inmediata para la seguridad pública o, en casos individuales, para la prevención, investigación, detección o enjuiciamiento de infracciones penales. A diferencia de las excepciones previstas en el artículo 49 del RGPD, actualmente no existen orientaciones relativas a las excepciones en virtud del artículo 38 de la DAP. 3.5.4Cooperación policial y judicial eficaz a través de las fronteras La DAP se ha convertido en un punto de referencia internacional para la protección de datos en el contexto penal y ha servido de catalizador para que los países de todo el mundo consideren la posibilidad de introducir normas modernas de privacidad en este ámbito. Se trata de un avance muy positivo que brinda nuevas oportunidades para proteger mejor a las personas en la UE cuando sus datos se transfieren al extranjero con fines de aplicación de la ley, al tiempo que se facilitan los flujos de datos que pueden ayudar a luchar contra la delincuencia. En términos más generales, es importante garantizar que, cuando las empresas que operan en el mercado europeo reciban solicitudes directas de cooperación para compartir datos con fines de aplicación de la ley, puedan hacerlo sin enfrentarse a conflictos de leyes y en pleno respeto de los derechos fundamentales de la UE . A fin de mejorar estas transferencias, la Comisión se ha comprometido a desarrollar marcos jurídicos adecuados con sus socios internacionales para evitar conflictos de leyes y apoyar formas eficaces de cooperación, en particular mediante el establecimiento de las garantías necesarias en materia de protección de datos y la consiguiente contribución a una lucha más eficaz contra la delincuencia. En este contexto, la Comisión ha participado en foros bilaterales, regionales y multilaterales para promover activamente la convergencia internacional de las normas de protección de datos para la cooperación policial en materia penal. Durante sus diálogos con varios países socios extranjeros sobre las reformas en curso de la legislación en materia de protección de datos, los servicios de la Comisión han participado de diferentes maneras (por ejemplo, contribuciones en respuesta a consultas públicas, participación en audiencias parlamentarias y reuniones específicas con representantes gubernamentales y responsables políticos) en el desarrollo de normas sobre el tratamiento de datos personales por parte de las autoridades competentes. En un contexto regional y multilateral, la Comisión, por ejemplo, apoya proyectos de desarrollo de capacidades en el marco de la aplicación del Convenio del Consejo de Europa sobre la Ciberdelincuencia (Convenio de Budapest) . Entre estos proyectos figura el programa GLACY+, destinado a reforzar la capacidad de los Estados para aplicar la legislación en materia de ciberdelincuencia y mejorar su capacidad para una cooperación internacional eficaz en consonancia con el Convenio de Budapest y sus protocolos adicionales. Esto también implica desarrollar legislación en materia de protección de datos para el tratamiento de datos en este ámbito. El programa apoya actualmente a diecisiete países prioritarios y centrales de África, Asia y el Pacífico, América Latina y la región del Caribe. La Comisión también ha colaborado con Ameripol, una organización de cooperación policial que reúne a dieciocho países de América Latina, en el contexto del desarrollo de un marco de protección de datos para el intercambio de información entre Ameripol y sus Estados miembros. Esta colaboración se está llevando a cabo a través de EL PAcCTO: Apoyo a Ameripol, un proyecto cuyo objetivo es mejorar el nivel de cooperación internacional entre los organismos policiales, judiciales y de acusación de los países socios en la lucha contra la delincuencia organizada. La Comisión promueve asimismo el Convenio 108 modernizado (conocido como Convenio 108+), que también es aplicable a las actividades de tratamiento de datos a efectos de control de la aplicación del Derecho penal. Este Convenio, que también está abierto a los no miembros del Consejo de Europa, es importante no solo porque es el único acuerdo multilateral vinculante sobre protección de datos, sino también porque, a través de su Comité del Convenio, proporciona un foro para el intercambio de mejores prácticas y el establecimiento de normas mundiales . En el marco de su estrategia internacional sobre los flujos de datos, la Comisión fomenta la adhesión de terceros países al Convenio 108+. Por último, la Comisión fomenta una mayor convergencia a escala internacional al compartir su experiencia con los socios sobre los aspectos de protección de datos de la cooperación policial en materia penal. La «Academia de Protección de Datos» de la Comisión, que forma parte del proyecto «Cooperación digital internacional - Mejora de la protección de datos y flujos de datos», financiado por el Servicio de Instrumentos de Política Exterior, es una herramienta clave en este esfuerzo. La Academia se creó para fomentar los intercambios entre los reguladores europeos y de terceros países y mejorar la cooperación sobre el terreno. Las actividades de la Academia abarcan todos los aspectos de la supervisión de la protección de datos, en particular el ámbito de la aplicación de la ley. 4El camino a seguir A fin de garantizar una política eficaz de seguridad de la UE que respete plenamente el derecho fundamental a la protección de los datos personales, la Comisión seguirá comprobando que los Estados miembros hayan transpuesto correctamente la DAP y supervisando la aplicación de sus disposiciones. La DAP ha contribuido de manera significativa a lograr un nivel más armonizado y más elevado de protección de los derechos de las personas y a un marco jurídico más coherente para las autoridades competentes. En general, la DAP se ha transpuesto de manera satisfactoria, pero se ha detectado una serie de problemas. La Comisión ya ha incoado procedimientos de infracción tanto por la no transposición como por la no conformidad de las distintas legislaciones nacionales con la DAP. Seguirá trabajando para garantizar la plena y correcta transposición. La DAP ha dado lugar a un nivel más elevado de sensibilización sobre las cuestiones relativas a la protección de datos y su atención por parte de las autoridades nacionales competentes, también en lo que respecta a la seguridad del tratamiento. La supervisión activa por parte de las autoridades de control de la protección de datos es fundamental para garantizar la consecución de los objetivos de la DAP en la práctica. Por consiguiente, es necesario dotar a las autoridades de todos los tipos de poderes que exige la DAP, junto con los recursos adecuados. En esta fase, la atención debe centrarse en aprovechar todo el potencial de la DAP. En este contexto, y dada la escasa experiencia con estas nuevas normas, la Comisión considera que es demasiado pronto para considerar la revisión de la DAP. La Comisión seguirá trabajando activamente con todas las partes pertinentes en la perspectiva de la próxima evaluación prevista para 2026. Mientras tanto, seguirá trabajando para garantizar la coherencia con otros actos legislativos de la UE que sean pertinentes para el tratamiento de datos personales a efectos de control de la aplicación del Derecho penal.

Marco jurídico La Comisión: -seguirá evaluando la transposición de la DAP por parte de los Estados miembros y adoptará las medidas adecuadas cuando sea necesario (entre ellas, la incoación de procedimientos de infracción); -proseguirá los intercambios bilaterales con los Estados miembros; -garantizará que las futuras propuestas legislativas sean coherentes con la DAP. Los Estados miembros: -garantizarán la plena y correcta transposición de la DAP a escala nacional, en particular mediante la especificación de los requisitos necesarios de la DAP cuando los actos nacionales relativos a la protección de datos que transponen dicha Directiva no lo hagan. Supervisión por parte de las autoridades de control de la protección de datos Los Estados miembros: -proporcionarán a las autoridades de control de la protección de datos recursos suficientes para desempeñar sus funciones relacionadas con la aplicación de la DAP; -garantizarán que las autoridades de control de la protección de datos puedan ejercer todos los tipos de poderes establecidos en la DAP; -consultarán sistemáticamente a sus autoridades de control de la protección de datos sobre los proyectos de medidas legislativas y administrativas de aplicación general relacionadas con la protección de datos personales y tendrán debidamente en cuenta sus dictámenes (especialmente en el caso de las nuevas tecnologías). Se invita a las autoridades de control de la protección de datos a: -hacer pleno uso de sus poderes de investigación, en particular mediante la realización de inspecciones por iniciativa propia; -recopilar estadísticas específicas relativas a sus actividades de supervisión en el marco de la DAP; -hacer uso de los instrumentos de asistencia mutua y desarrollar medidas prácticas para facilitar las solicitudes de asistencia, en particular a través de las directrices previstas del CEPD. Se invita al CEPD a: -ampliar el grupo de expertos de apoyo para incluir las tareas relacionadas con la DAP. Apoyo a las autoridades competentes La Comisión:

-facilitará los debates y el intercambio de experiencias entre los Estados miembros y la Comisión en el grupo de expertos de los Estados miembros sobre la DAP; -facilitará el intercambio de puntos de vista entre los delegados de protección de datos a través de la Red de Delegados de Protección de Datos. Se invita a los Estados miembros a: -proseguir los esfuerzos para impartir formación sobre los requisitos de protección de datos a las autoridades competentes, también en relación con las nuevas tecnologías. Se invita al CEPD y a las autoridades de control de la protección de datos a: -redoblar sus esfuerzos para adoptar directrices pertinentes (por ejemplo, sobre el papel del consentimiento en el contexto del tratamiento de datos personales a efectos de control de la aplicación del Derecho penal y sobre los derechos de los interesados, incluidas sus posibles limitaciones), ya sea mediante la adopción de nuevas directrices independientes o la complementación de las directrices ya adoptadas para el RGPD. Transferencias de datos transfronterizas La Comisión tiene la intención de: -promover activamente posibles nuevas decisiones de adecuación con socios internacionales clave; -negociar nuevos acuerdos de cooperación entre Europol y Eurojust, por una parte, y terceros países, por otra. En caso necesario, tratará de renegociar los acuerdos de cooperación vigentes de Europol para garantizar que incluyan garantías apropiadas en materia de protección de datos; -entablar negociaciones con Japón con vistas a modificar el actual Acuerdo entre la Unión Europea y Japón sobre cooperación judicial en materia penal para asegurar las garantías apropiadas en materia de protección de datos; -proseguir y concluir la negociación de un acuerdo bilateral con los Estados Unidos sobre el acceso transfronterizo a pruebas electrónicas para la cooperación judicial en materia penal, en particular mediante la complementación de las garantías de protección de datos aseguradas por el Acuerdo marco UE-EE. UU. para reflejar el contexto específico de la cooperación directa entre las autoridades con funciones coercitivas y los proveedores de servicios; -estudiar la posibilidad de celebrar acuerdos marco de protección de datos para el tratamiento de datos en el ámbito penal con importantes socios encargados de la aplicación del Derecho penal, basándose en el ejemplo del Acuerdo marco UE-EE. UU. Se invita al CEPD a: -adoptar directrices para aclarar en mayor medida el concepto y el contenido de las «garantías apropiadas» (artículo 37 de la DAP), así como el uso de excepciones (artículo 38 de la DAP). Fomento de la convergencia y desarrollo de la cooperación internacional La Comisión: -intensificará su colaboración con socios internacionales con vistas a reforzar la convergencia de las normas de protección de datos en el ámbito penal, en particular mediante la promoción de la adhesión al Convenio 108+ como único acuerdo mundial vinculante en materia de protección de datos; -promoverá la cooperación bilateral, regional y multilateral, y apoyará proyectos de desarrollo de capacidades en el ámbito de la protección de datos y la cooperación policial. Esto abarcará la formación y el intercambio de conocimientos y mejores prácticas a través de la Academia de Protección de Datos. Se invita a los Estados miembros a: