ES Diario Oficial de la Unión Europea C 175/1

Dictamen del Supervisor Europeo de Protección de Datos sobre las propuestas de la Comisión a favor de una Directiva relativa al acceso a la actividad de las entidades de crédito y a la supervisión prudencial de las entidades de crédito y las empresas de inversión, y de Reglamento sobre los requisitos prudenciales de las entidades de crédito y las empresas de inversión

(2012/C 175/01)

EL SUPERVISOR EUROPEO DE PROTECCIÓN DE DATOS,

Visto el Tratado de Funcionamiento de la Unión Europea y, en particular, el artículo 16,

Vista la Carta de los Derechos Fundamentales de la Unión Europea y, en particular, sus artículos 7 y 8,

Vista la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (1),

Visto el Reglamento (CE) no 45/2001 del Parlamento Europeo y del Consejo, de 18 de diciembre de 2000, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones y los organismos comunitarios y a la libre circulación de estos datos (2), y en particular el artículo 28, apartado 2,

HA ADOPTADO EL SIGUIENTE DICTAMEN:

1. INTRODUCCIÓN

1.1. Consulta al Supervisor Europeo de Protección de Datos

1. El presente dictamen es parte de un paquete de 4 dictámenes del SEPD relacionados con el sector financiero, todos adoptados el mismo día (3).

2. El 20 de julio de 2011, la Comisión adoptó dos propuestas relativas a la revisión de la legislación bancaria. La primera propuesta se refiere a la Directiva relativa al acceso a la actividad de las entidades de crédito y a la supervisión prudencial de las entidades de crédito (en adelante, la «Directiva propuesta») (4). La segunda propuesta se refiere a un Reglamento sobre los requisitos prudenciales de las entidades de crédito y las empresas de inversión (en adelante, el «Reglamento propuesto») (5). Ese mismo día, estas propuestas se trasladaron para consulta al SEPD. El 18 de noviembre de 2011, el Consejo de la Unión Europea consultó al SEPD sobre la Directiva propuesta.

3. Antes de la adopción del Reglamento propuesto, el SEPD fue consultado de manera informal. El SEPD destaca que varias de sus observaciones se han tenido en cuenta en la propuesta.

4. El SEPD recibe con agrado el hecho de haber sido consultado de manera informal por la Comisión y el Consejo, y recomienda que se incluya una referencia al presente dictamen en los instrumentos adoptados.

1.2. Objetivos y ámbito de aplicación de las propuestas

5. La legislación propuesta incluye dos instrumentos jurídicos: una Directiva relativa al acceso a la actividad de las entidades de crédito y a la supervisión prudencial de las entidades de crédito y las empresas de inversión, y un Reglamento sobre los requisitos prudenciales de las entidades de crédito y las empresas de inversión. Los objetivos políticos de la revisión propuesta son, en resumen, garantizar el funcionamiento armonioso del sector bancario y restaurar la confianza de los operadores y del público. Los instrumentos propuestos sustituirán la Directiva 2006/48/CE y a la Directiva 2006/49/CE, las cuales quedarán, por consiguiente, derogadas.

6. Las principales novedades de la Directiva propuesta son disposiciones relativas a sanciones y a un gobierno corporativo eficaz, y disposiciones destinadas a evitar una dependencia excesiva de las calificaciones crediticias externas. En particular, la Directiva propuesta tiene por objeto introducir un régimen de sanciones eficaces y proporcionadas, un ámbito de aplicación personal adecuado de las sanciones administrativas, la publicación de las sanciones y la introducción de mecanismos que favorezcan la notificación de las infracciones. Asimismo, tiene por objeto fortalecer el marco legislativo relativo al gobierno corporativo y reducir la dependencia excesiva de las calificaciones externas (6).

7. El Reglamento propuesto completa la Directiva propuesta, estableciendo requisitos prudenciales uniformes y directamente aplicables a las entidades de crédito y a las empresas de inversión. Tal como se establece en la exposición de motivos, el objetivo global de la iniciativa es reforzar la eficacia de la regulación del capital de las entidades en la UE y limitar las repercusiones adversas sobre el sistema financiero (7).

1.3. Finalidad del dictamen del SEPD

8. Mientras que la mayoría de las disposiciones de los instrumentos propuestos se refieren al ejercicio de las actividades de las entidades de crédito, la ejecución y aplicación del marco jurídico puede afectar en determinados casos a los derechos de las personas relativos al tratamiento de sus datos personales.

9. Diversas disposiciones de la Directiva propuesta permiten el intercambio de información entre las autoridades de los Estados miembros y, posiblemente, terceros países (8). Dicha información también pueden referirse a personas, como los miembros del órgano de dirección de las entidades de crédito, sus empleados y accionistas. Asimismo, de acuerdo con lo dispuesto en la Directiva propuesta, las autoridades competentes podrán imponer sanciones directamente sobre las personas y están obligadas a publicar las sanciones impuestas, incluyendo la identidad de las personas responsables (9). A fin de facilitar la detección de infracciones, la propuesta introduce la obligación para las autoridades competentes de instaurar mecanismos para alentar la notificación de las infracciones (10). Además, el Reglamento propuesto obliga a las instituciones de crédito y empresas de inversión a que publiquen la información relativa a sus políticas de remuneración, incluidos los importes abonados, separados por categorías de personal y por niveles salariales (11). Todas estas disposiciones pueden tener repercusiones en materia de protección de datos para las personas afectadas.

10. A la luz de lo anterior, el presente dictamen se centrará en los siguientes aspectos del paquete relacionados con la protección de datos y la intimidad: 1) aplicabilidad de la legislación en materia de protección de datos; 2) transferencias de datos a terceros países; 3) secreto profesional y uso de la información confidencial; 4) publicación obligatoria de las sanciones; 5) mecanismos de notificación de las infracciones; 6) obligaciones de divulgación relativas a las políticas de remuneración.

2. ANÁLISIS DE LAS PROPUESTAS

2.1. Aplicabilidad de la legislación en materia de protección de datos

11. El considerando 74 de la Directiva propuesta incluye una referencia a la plena aplicabilidad de la legislación en materia de protección de datos. Sin embargo, debería incluirse en un artículo de la parte dispositiva de las propuestas una referencia a la legislación aplicable en materia de protección datos. Un buen ejemplo de tal disposición sustantiva puede encontrarse en el artículo 22 de la propuesta de Reglamento del Parlamento Europeo y del Consejo sobre las operaciones con información privilegiada y la manipulación del mercado (12), que establece de manera expresa una norma general de que la Directiva 95/46/CE y el Reglamento (CE) no 45/2001 son aplicables al tratamiento de los datos personales en el marco de la propuesta.

12. Esto es de especial relevancia, por ejemplo, en relación con las diversas disposiciones relativas a los intercambios de información personal. Estas disposiciones son perfectamente legítimas pero necesitan ser aplicadas de un modo coherente con la legislación en materia de protección de datos. El riesgo que debe evitarse en particular es que podrían ser interpretadas como una autorización global para intercambiar todo tipo de datos personales. Una referencia a la legislación en materia de protección de datos, también en las disposiciones sustantivas, reduciría de manera significativa dicho riesgo.

13. Por lo tanto, el SEPD sugiere introducir una disposición sustantiva similar a la del artículo 22 de la propuesta de Reglamento del Parlamento Europeo y del Consejo sobre las operaciones con información privilegiada y la manipulación del mercado (13), sin perjuicio de las sugerencias que haga en relación con la presente propuesta (14), es decir, que haga hincapié en la aplicabilidad de la legislación existente en materia de protección de datos y aclara la referencia a la Directiva 95/46/CE, especificando que las disposiciones se aplicarán de conformidad con las normas nacionales de aplicación de la Directiva 95/46/CE.

2.2. Transferencias a terceros países

14. El artículo 48 de la Directiva propuesta establece que la Comisión podrá presentar propuestas al Consejo con vistas a negociar acuerdos con terceros países que tengan por objeto garantizar que las autoridades competentes de terceros países pueden obtener la información necesaria para la supervisión de las empresas matrices cuya sede social esté situada en su territorio y que tengan una filial en uno o varios Estados miembros.

15. En la medida en que dicha información incluya datos personales, la Directiva 95/46/CE y el Reglamento (CE) no 45/2001 serán plenamente aplicables respecto de las transferencias de datos a terceros países. El SEPD sugiere que se aclare en el artículo 48 si en dichos casos los acuerdos deben cumplir las condiciones de las transferencias de datos personales a terceros países establecidas en el capítulo IV de la Directiva 95/46/CE y del Reglamento (CE) no 45/2001. Lo mismo debería preverse en relación con el artículo 56 que hace referencia a la cooperación entre las autoridades competentes de los acuerdos de terceros países celebrados entre los Estados miembros y la ABE.

16. Además, en vista de los riesgos afectados por dichas transferencias, el SEPD recomienda añadir garantías específicas, tal como se ha llevado a cabo en el artículo 23 de la propuesta de Reglamento del Parlamento Europeo y del Consejo sobre las operaciones con información privilegiada y la manipulación del mercado. En el dictamen del SEPD sobre dicha propuesta, el SEPD recibe con agrado el uso de una disposición que incluye garantías adecuadas, como la evaluación caso por caso, y que garantiza la necesidad de la transferencia y la existencia de un nivel de protección adecuado de los datos personales en el tercer país receptor de dichos datos.

2.3. Secreto profesional y uso de información confidencial

17. El artículo 54 de la Directiva propuesta establece que el personal de las autoridades competentes deben respetar el secreto profesional. El párrafo segundo del apartado 1 del artículo 54 prohíbe la publicación de información confidencial, «salvo en forma sumaria o agregada, de manera que las entidades de crédito individuales no puedan ser identificadas, […].». Tal como está formulada esta disposición, no queda claro si la prohibición también afecta a la divulgación de información personal.

18. El SEPD recomienda ampliar la prohibición de divulgar la información confidencial incluida en el artículo 54, apartado 1, párrafo segundo, a los casos en que las personas sean identificables (es decir, no solo respecto de las «entidades de crédito individuales»). Dicho de otro modo, debería reformularse la disposición de forma que prohibiera la divulgación de información confidencial, «salvo en forma sumaria o agregada, de manera que las entidades de crédito individuales y las personas no puedan ser identificadas» (el subrayado es nuestro).

2.4. Disposiciones relativas a la publicación de sanciones

2.4.1. Publicación obligatoria de las sanciones

19. Uno de los objetivos principales del paquete propuesto es reforzar y aproximar el marco jurídico de los Estados miembros en materia de sanciones y medidas administrativas. La Directiva propuesta establece la facultad de las autoridades competentes de imponer sanciones, no solo a las entidades de crédito sino también a las personas materialmente responsables de la infracción (15). El artículo 68 obliga a los Estados miembros a que velen porque toda sanción o medida que las autoridades competentes impongan por el incumplimiento del Reglamento propuesto o de las disposiciones nacionales adoptadas para cumplir lo dispuesto en la Directiva propuesta se publique sin demora injustificada, en particular información sobre el tipo y la naturaleza del incumplimiento y la identidad de las personas responsables del mismo.

20. La publicación de sanciones contribuirá a aumentar el efecto disuasorio, ya que se disuadiría a los autores reales y potenciales de cometer delitos para evitar un daño significativo en su reputación. Del mismo modo, esto aumentaría la transparencia, ya que los operadores del mercado serían conscientes de que una determinada persona ha cometido una infracción (16). Esta obligación únicamente queda atenuada cuando la publicación cause un daño desproporcionado a las partes implicadas, en cuyo caso las autoridades competentes publicarán las sanciones de forma anónima.

21. El SEPD no está convencido de que la publicación obligatoria de las sanciones, tal como está formulada en la actualidad, cumpla los requisitos de la legislación en materia de protección de datos, tal como ha sido aclarada por el Tribunal de Justicia en la sentencia Schecke (17). Considera que no se establece de manera suficiente la finalidad, la necesidad y la proporcionalidad de la medida y que, en cualquier caso, deberían preverse garantías adecuadas para los derechos de las personas.

2.4.2. Necesidad y proporcionalidad de la publicación

22. En la sentencia Schecke, el Tribunal de Justicia anuló las disposiciones de un Reglamento del Consejo y de un Reglamento de la Comisión que establecían la publicación obligatoria de la información relativa a los beneficiarios de los fondos agrícolas, incluida la identidad de los beneficiarios y los importes recibidos. El Tribunal resolvió que dicha publicación constituía el tratamiento de datos personales contemplado en el artículo 8, apartado 2, de la Carta de los Derechos Fundamentales de la Unión Europea (en adelante, la «Carta») y, por tanto, una interferencia de los derechos reconocidos en los artículos 7 y 8 de la Carta.

23. Tras analizar que «las excepciones a la protección de los datos de carácter personal y las limitaciones de dicha protección deben establecerse sin sobrepasar los límites de lo estrictamente necesario», el Tribunal continuó analizando la finalidad de la publicación y la proporcionalidad de las mismas. El Tribunal concluyó que en dicho caso nada indicaba que, al adoptar la legislación afectada, el Consejo y la Comisión hubieran tomado en consideración otras formas de publicación de la información que respetase el objetivo perseguido por dicha publicación y, al mismo tiempo, fueran menos lesivas para tales beneficiarios.

24. El artículo 68 de la Directiva propuesta parece estar afectado por las mismas carencias que fueron destacadas por el TJE en la sentencia Schecke. Debe recordarse que al evaluar el cumplimiento de los requisitos de protección de datos por parte de una disposición que exija la divulgación pública de datos personales, es de vital importancia tener una finalidad clara y bien definida para la que la publicación prevista pretende servir. Únicamente con una finalidad clara y bien definida puede valorarse si la publicación de los datos personales implicados es realmente necesaria y proporcionada (18).

25. Tras leer la propuesta y los documentos que la acompañan (es decir, el informe de evaluación de impacto), el SEPD tiene la impresión de que la finalidad y, por consiguiente, la necesidad de dicha medida no ha sido establecida de manera clara. Mientras que los considerandos de la propuesta guardan silencio sobre estas cuestiones, el informe de evaluación de impacto únicamente establece que la «publicación de las sanciones es un elemento importante a la hora de garantizar que las sanciones tienen un efecto disuasorio en los destinatarios y es necesaria para garantizar que las sanciones tienen un efecto disuasorio en el público en general.». Sin embargo, el informe no considera si formas menos intrusivas hubieran garantizado el mismo resultado en cuanto al efecto disuasorio, sin interferir en los derechos a la intimidad de las personas afectadas. No explica, en particular, porqué no serían suficientes las sanciones financieras u otros tipos de sanciones que no afectan a la intimidad.

26. Asimismo, el informe de evaluación de impacto no parece tomar en cuenta de manera suficiente formas de publicación de la información menos intrusivas, como limitar la publicación de la identidad de las entidades de crédito o incluso que la necesidad de publicación sea considerada caso por caso. En particular, la última opción parecería a priori una solución más proporcionada, en especial si se considera que la publicación es en sí misma una sanción, de conformidad con el artículo 67, apartado 2, letra a), y que el artículo 69 establece que, a la hora de determinar la aplicación de las sanciones, las autoridades competentes deben tener en cuenta las circunstancias pertinentes (es decir, una evaluación caso por caso), tales como la gravedad de la infracción, el grado de responsabilidad de la persona, la reincidencia, las pérdidas para terceros, etc. La publicación obligatoria de las sanciones en todos los casos, de acuerdo con el artículo 68, no es conforme con el régimen sancionador establecido en los artículos 67 y 69.

27. El informe de evaluación de impacto sólo dedica unos pocos párrafos a explicar el motivo por el que la publicación caso por caso no supone una opción suficiente. Establece que dejar a las autoridades competentes decidir «si la publicación es adecuada» reduciría el efecto disuasorio de la publicación (19). Sin embargo, en opinión del SEPD, es exactamente este aspecto — es decir, la posibilidad de evaluar el asunto a la luz de las circunstancias específicas — lo que hace que esta solución sea una opción más proporcionada y, por tanto, sea preferible, en comparación con la publicación obligatoria en todos los casos. Esta discrecionalidad permitiría, por ejemplo, que la autoridad competente evitase la publicación en casos de infracciones menos graves, en que la infracción no cause un daño significativo, cuando la parte muestre una actitud de colaboración, etc.

2.4.3. La necesidad de garantías adecuadas

28. La Directiva propuesta debería prever garantías adecuadas para garantizar un justo equilibrio entre los diferentes intereses en juego. En primer lugar, las garantías son necesarias respecto del derecho de impugnación judicial de la resolución por parte de los denunciados y del derecho de presunción de inocencia. La redacción del artículo 68 debería incluir un lenguaje específico en este sentido, de manera que se obligue a las autoridades competentes a adoptar medidas adecuadas respecto de ambas situaciones cuando la resolución puede ser recurrida y cuando sea finalmente anulada por un tribunal (20).

29. En segundo lugar, la Directiva propuesta debería garantizar que se respetan los derechos de los interesados de manera proactiva. El SEPD valora el hecho de que la versión final de la propuesta prevea la posibilidad de excluir la publicación en los casos en que esto pudiera causar un daño desproporcionado. Sin embargo, un enfoque proactivo debería implicar que se informa de manera previa a los interesados del hecho de que la decisión sancionadora será publicada, y de que se les concede el derecho de oposición, conforme al artículo 14 de la Directiva 95/46/CE en virtud de motivos fundados y legítimos (21).

30. En tercer lugar, mientras que la Directiva propuesta no especifica el medio en que la información debería ser publicada, en la práctica cabe imaginar que, en la mayoría de los Estados miembros, la publicación se llevará a cabo a través de Internet. Las publicaciones en Internet plantean cuestiones y riesgos específicos relacionados, en particular, con la necesidad de garantizar que la información se conserva en línea durante un período que no podrá exceder al necesario y que los datos no pueden ser manipulados ni alterados. El uso de motores de búsqueda externos también puede implicar el riesgo de que la información pueda ser sacada de contexto y canalizada a través de la red y fuera de la misma de forma que no puedan controlarse con facilidad (22).

31. A la luz de lo anterior, es necesario obligar a los Estados miembros a que garanticen que los datos personales de las personas afectadas se conservan en línea únicamente durante un período razonable, tras el cual serán suprimidos de manera sistemática (23). Además, debe exigirse a los Estados miembros que garanticen que se aplican las medidas de seguridad y las garantías adecuadas, en especial para la protección frente a los riesgos del uso de motores de búsqueda externos (24).

2.4.4. Conclusiones sobre la publicación

32. El SEPD opina que la disposición sobre la publicación obligatoria de las sanciones — tal como está formulada actualmente — no cumple con el derecho fundamental a la protección de datos y la intimidad. El legislador debería valorar detenidamente la necesidad del sistema propuesto y verificar si la obligación de publicación excede lo que es necesario para obtener el objetivo del interés público que se persigue y si existen medidas menos restrictivas para alcanzar el mismo objetivo. En función del resultado de la prueba de proporcionalidad, la obligación de publicación en cualquier caso debería contar con el apoyo de garantías adecuadas para asegurar el respeto de la presunción de inocencia, el derecho de oposición de las personas afectadas, la seguridad y exactitud de los datos, así como la supresión de los mismos tras un período adecuado.

2.5. Notificación de las infracciones

33. El artículo 70 de la Directiva propuesta aborda los mecanismos de notificación de incumplimientos, también conocidos como sistemas de denuncia de irregularidades. Aunque dichos mecanismos pueden ser utilizados como un instrumento de cumplimiento efectivo, estos sistemas plantean cuestiones significativas desde la perspectiva de la protección de datos (25). El SEPD recibe con agrado el hecho de que la propuesta incluya garantías específicas, que deberán ser desarrolladas a escala nacional, respecto de la protección de las personas que han denunciado el supuesto incumplimiento y, de manera más general, la protección de datos de carácter personal. El SEPD es consciente del hecho de que la Directiva propuesta únicamente establece los elementos principales del régimen que debe ser implantado por los Estados miembros. Sin embargo, desearía llamar la atención sobre los puntos adicionales siguientes.

34. El SEPD destaca, tal como en el caso de otros dictámenes (26), la necesidad de introducir una disposición específica que garantice la confidencialidad de la identidad de los denunciantes y de los informadores. El SEPD subraya el hecho de que los denunciantes están en una posición delicada. A las personas que facilitan la información se les debe garantizar que los datos relativos a su identidad serán tratados en condiciones de confidencialidad, en particular respecto de la persona a quien se imputa la irregularidad (27). La confidencialidad de la identidad de los denunciantes debería ser garantizada en todas las fases del procedimiento, siempre que esto no sea contrario a las normas nacionales que regulan los procedimientos judiciales. En particular, la identidad podrá divulgarse en el contexto de una investigación o de un procedimiento judicial posterior, iniciado como resultado de la investigación (incluso si ha quedado acreditado que se ha presentado maliciosamente una declaración falsa contra la persona denunciada) (28). A la luz de lo anterior, el SEPD recomienda añadir en la letra b) del artículo 70 la siguiente disposición: «la identidad de estas personas debe quedar garantizada en todas las fases del procedimiento, salvo si la legislación nacional exige su divulgación en el contexto de una investigación o actuaciones judiciales posteriores».

35. El SEPD destaca asimismo la importancia de proporcionar normas adecuadas que garanticen los derechos de acceso de las personas denunciadas, los cuales están estrechamente relacionados con los derechos de defensa (29). Los procedimientos de recepción del informe y de su seguimiento mencionados en el artículo 70, apartado 2, letra a), deberían garantizar que se respeta de manera adecuada los derechos de defensa de las personas denunciadas, tales como el derecho a ser informado, el derecho de acceso al expediente de la investigación y la presunción de inocencia, y que quedan limitados solamente en la medida necesaria (30). El SEPD sugiere en este sentido añadir asimismo en la Directiva propuesta la disposición del artículo 29, letra d), de la propuesta de la Comisión de Reglamento del Parlamento Europeo y del Consejo sobre las operaciones con información privilegiada y la manipulación del mercado, que exige a los Estados miembros que apliquen «procedimientos apropiados para garantizar a la persona presuntamente responsable el derecho a defenderse y a ser oída antes de que se adopte una decisión sobre ella y el derecho a la tutela judicial eficaz contra cualquier decisión o medida relativas a ella.».

36. Por último, en relación con la letra c) del apartado 2, al SEPD le complace observar que esta disposición exige a los Estados miembros que garanticen la protección de los datos personales tanto de la persona denunciada como de la persona denunciante, de acuerdo con los principios previstos en la Directiva 95/46/CE. Sugiere, sin embargo, eliminar la expresión «los principios previstos en» para hacer que la referencia a la Directiva sea más general y vinculante. Respecto de la necesidad de respetar la legislación en materia de protección de datos en la aplicación práctica de los sistemas, el SEPD desea subrayar en particular las recomendaciones efectuadas por el Grupo de Trabajo del Artículo 29 en su Dictamen de 2006 sobre las denuncias de irregularidades. Entre otros, en los sistemas nacionales de aplicación, las entidades afectadas deberían tener en cuenta la necesidad de respetar la proporcionalidad limitando, en la medida de lo posible, las categorías de personas autorizadas a denunciar, las categorías de personas que pueden ser incriminadas y los incumplimientos por los que pueden ser incriminadas; la necesidad de fomentar denuncias identificadas y confidenciales frente a denuncias anónimas; la necesidad de divulgar la identidad de los denunciantes cuando hayan realizado maliciosamente una declaración; y la necesidad de respetar períodos estrictos de conservación de datos.

3. CONCLUSIONES

37. El SEPD realiza las siguientes recomendaciones: — introducir una disposición sustantiva en las propuestas con la siguiente redacción: «En relación con el tratamiento de datos personales llevado a cabo por los Estados miembros en el marco del presente Reglamento, las autoridades competentes aplicarán las disposiciones de las normas nacionales de aplicación de la Directiva 95/46/CE. En lo que atañe al tratamiento de datos de carácter personal por la ABE con arreglo al presente Reglamento, la Autoridad deberá ajustarse a las disposiciones del Reglamento (CE) no 45/2001»; — modificar el párrafo segundo del apartado 1 del artículo 54, de modo que permita la divulgación de la información confidencial únicamente en forma sumaria o agregada, «de manera que las entidades de crédito individuales y las personas no puedan ser identificadas» (la cursiva es nuestra); — aclarar en los artículos 48 y 56 que los acuerdos con terceros países o las autoridades de los terceros países que establezcan la transferencia de datos personales deberán cumplir las condiciones de las transferencias de datos personales a terceros países previstos en el capítulo IV de la Directiva 95/46/CE y del Reglamento (CE) no 45/2001 e introducir asimismo en la Directiva propuesta una disposición similar a la del artículo 23 de la propuesta de Reglamento del Parlamento Europeo y del Consejo sobre las operaciones con información privilegiada y la manipulación del mercado (31); — a raíz de las dudas expresadas en el presente dictamen, valorar la necesidad y la proporcionalidad del sistema propuesto de publicación obligatoria de sanciones. En función del resultado de la prueba de necesidad y proporcionalidad, proporcionar en cualquier caso las garantías adecuadas para asegurar el respeto de la presunción de inocencia, el derecho de oposición de las personas afectadas, la seguridad y exactitud de los datos, así como la supresión de los mismos tras un período adecuado; — en cuanto al artículo 70, 1) añadir en la letra b) del artículo 70 una disposición que establezca que: «la identidad de estas personas debe quedar garantizada en todas las fases del procedimiento, salvo si la legislación nacional exige su divulgación en el contexto de una investigación o actuaciones judiciales posteriores»; 2) añadir la letra d) que exija a los Estados miembros que apliquen «procedimientos apropiados para garantizar a la persona presuntamente responsable el derecho a defenderse y a ser oída antes de que se adopte una decisión sobre ella y el derecho a la tutela judicial eficaz contra cualquier decisión o medida relativas a ella»; 3) eliminar la expresión «los principios previstos» de la letra c) de la disposición.

Hecho en Bruselas, el 10 de febrero de 2012. Giovanni BUTTARELLI Asistente del Supervisor Europeo de Protección de Datos

(1) DO L 281 de 23.11.1995, p. 31.

(2) DO L 8 de 12.1.2001, p. 1.

(3) Dictámenes del SEPD de 10 de febrero de 2012 relativo el paquete legislativo sobre la revisión de la legislación bancaria, agencias de calificación crediticia, mercados de instrumentos financieros (MIFID/MIFIR) y abuso del mercado.

(4) COM(2011) 453.

(5) COM(2011) 452.

(6) Exposición de motivos de la Directiva propuesta, p. 2-3.

(7) Exposición de motivos del Reglamento propuesto, p. 2-3.

(8) Véanse en particular los artículos 24, 48 y 51, de la Directiva propuesta.

(9) Artículo 65, apartado 2, y artículo 68, de la Directiva propuesta.

(10) Artículo 70 de la Directiva propuesta.

(11) Artículo 435 del Reglamento propuesto.

(12) Propuesta de Reglamento del Parlamento Europeo y del Consejo sobre las operaciones con información privilegiada y la manipulación del mercado, COM(2011) 651 final.

(13) Véase la nota a pie de página 12.

(14) Véase el Dictamen de 10 de febrero de 2012 sobre las propuestas de la Comisión de Reglamento del Parlamento Europeo y del Consejo sobre las operaciones con información privilegiada y de Directiva del Parlamento Europeo y del Consejo sobre las sanciones penales para las operaciones con información privilegiada y la manipulación del mercado, COM(2011) 651 final.

(15) El ámbito de aplicación personal de las sanciones se aclara en el artículo 65 de la Directiva propuesta en el que se establece que los Estados miembros velarán por que cuando sean aplicables obligaciones a las entidades, a las sociedades financieras de cartera, a las sociedades financieras mixtas de cartera, puedan aplicarse sanciones, en caso de incumplimiento, a los miembros del órgano de dirección de las entidades y a las demás personas físicas responsables de la infracción con arreglo al Derecho nacional.

(16) Véase el informe de la evaluación de impacto, p. 42 y ss.

(17) Asuntos acumulados C-92/09 y C-93/09, Schecke, apartados 56 a 64.

(18) Véase asimismo en este sentido, el Dictamen del SEPD de 15 de abril de 2011 sobre las normas financieras aplicables al presupuesto anual de la Unión (DO C 215 de 21.7.2011, p. 13).

(19) Véanse las p. 44-45.

(20) Por ejemplo, las autoridades nacionales podrían considerar las siguientes medidas: retrasar la publicación hasta que el recurso sea desestimado o, tal como sugiere el informe de evaluación de impacto, indicar de manera clara que la decisión puede ser recurrida y de que la persona será considerada inocente hasta que la resolución sea definitiva, o publicar una rectificación en los casos en que la decisión sea anulada por un tribunal.

(21) Véase el Dictamen del SEPD, de 10 de abril de 2007, sobre la financiación de la política agrícola común (DO C 134 de 16.6.2007, p. 1).

(22) Véase en este sentido el documento publicado por la Autoridad de Protección de Datos (APD) italiana «Personal Data As Also Contained in Records and Documents by Public Administrative Bodies: Guidelines for Their Processing by Public Bodies in Connection with Web-Based Communication and Dissemination», disponible en el sitio web de la APD italiana: http://www.garanteprivacy.it/garante/doc.jsp?ID=1803707

(23) Estas preocupaciones también están relacionadas con el derecho más general a ser olvidado, la inclusión del cual en el nuevo marco legislativo para la protección de datos personales está en fase de debate.

(24) Estas medidas y garantías pueden consistir, por ejemplo, en la exclusión de la indexación de datos a través de motores de búsqueda externos.

(25) El Grupo de Trabajo del Artículo 29 publicó en 2006 un dictamen sobre dichos sistemas, en el que abordaba los aspectos relacionados con la protección de datos de este fenómeno: Dictamen 1/2006 relativo a la aplicación de las normas sobre protección de datos de la UE a los sistemas internos de denuncia de irregularidades en los ámbitos de la contabilidad, controles de auditoría internos, cuestiones de auditoría, lucha contra la corrupción y delitos financieros y bancarios (Dictamen del Grupo de Trabajo sobre las denuncias de irregularidades). El dictamen puede ser consultado en la página web del Grupo de Trabajo del Artículo 29: http://ec.europa.eu/justice/policies/privacy/workinggroup/index_en.htm

(26) Véanse, por ejemplo, el Dictamen del SEPD, de 15 de abril de 2011, relativo a las normas financieras aplicables al presupuesto anual de la Unión (DO C 215 de 21.7.2011, p. 13), y el Dictamen, de 1 de junio de 2011, relativo a las investigaciones efectuadas por la Oficina Europea de Lucha contra el Fraude (DO C 279 de 23.9.2011, p. 11).

(27) El SEPD ya subrayó la importancia de conservar la confidencialidad de la identidad del denunciante en una carta enviada al Defensor del Pueblo Europeo el 30 de julio de 2010, en el expediente 2010-0458, que puede consultarse en el sitio web del SEPD (http://www.edps.europa.eu). Véanse también el Dictamen de Control Previo del SEPD, de 23 de junio de 2006, relativo a las investigaciones internas de la OLAF (expediente 2005-0418), y el Dictamen de Control Previo, de 4 de octubre de 2007, relativo a las investigaciones externas de la OLAF (expedientes 2007-47, 2007-48, 2007-49, 2007-50, 2007-72).

(28) Véase el Dictamen relativo a las normas financieras aplicables al presupuesto anual de la Unión, de 15 de abril de 2011, disponible en http://www.edps.europa.eu

(29) Véanse en este sentido, las Líneas directrices del SEPD relativas al tratamiento de datos personales en las investigaciones administrativas y los procedimientos disciplinarios por parte de las instituciones y organismos europeos, en las que se destaca la estrecha relación entre el derecho de acceso de los interesados y el derecho de defensa de las personas acusadas (véanse las p. 8 y 9) http://www.edps.europa.eu/EDPSWEB/webdav/site/mySite/shared/Documents/Supervision/Guidelines/10-04-23_Guidelines_inquiries_EN.pdf

(30) Véase el Dictamen del Grupo de Trabajo del Artículo 29 sobre denuncia de irregularidades, p. 13-14.

(31) Véase la nota a pie de página 12.