El respeto de la privacidad constituye un requisito para garantizar la estabilidad, seguridad y competitividad de los flujos comerciales mundiales. La privacidad no es un producto con el que se pueda negociar. Internet y la digitalización de bienes y servicios han transformado la economía mundial, y la transferencia transfronteriza de datos, incluidos los de carácter personal, figura entre las actividades cotidianas de las empresas europeas de todos los tamaños y ámbitos. Puesto que los intercambios comerciales dependen cada vez más de la circulación de datos personales, la protección y seguridad de estos últimos se ha convertido en un factor fundamental de la confianza de los consumidores. Por ejemplo, dos terceras partes de los ciudadanos europeos afirman que les preocupa no tener control sobre la información que facilitan en línea, mientras que la mitad de los encuestados temen convertirse en víctimas de fraude. Al mismo tiempo, las empresas europeas que operan en determinados terceros países se enfrentan cada vez más a medidas proteccionistas que no pueden justificarse por motivos legítimos de privacidad.

La reforma introduce también nuevos instrumentos de transferencia internacional. En este sentido, los responsables y encargados del tratamiento podrán utilizar, en determinadas condiciones, códigos de conducta o mecanismos de certificación aprobados (como sellos y marcas de privacidad) para proporcionar las «garantías adecuadas», lo que debería permitir el desarrollo de soluciones mejor adaptadas a las exigencias de las transferencias internacionales, que reflejen, por ejemplo, las características y necesidades específicas de un determinado ámbito o sector industrial, o de flujos de datos concretos. Asimismo, se contempla la posibilidad de aportar garantías adecuadas para las transferencias de datos entre autoridades u organismos públicos sobre la base de acuerdos internacionales o administrativos. Por último, el RGPD expone las condiciones de aplicación de las denominadas «excepciones» (por ejemplo, la prestación de consentimiento, la ejecución de un contrato o razones importantes de interés público) en las que las entidades pueden basar sus transferencias de datos en situaciones específicas, cuando no se haya adoptado una decisión de adecuación e independientemente de la utilización de alguno de los instrumentos mencionados anteriormente. En particular, contiene una nueva, aunque limitada, excepción con respecto a las transferencias que puedan tener lugar en aras de los intereses legítimos de una determinada empresa.

La Comisión: colaborará con las partes interesadas para crear mecanismos alternativos de transferencia de datos personales adaptados a las necesidades o condiciones particulares de determinados sectores industriales, modelos de negocio u operadores.

3.3. Cooperación internacional en el ámbito de la protección de datos personales

3.3.1. Promoción de las normas de protección de datos a través de instrumentos y foros multilaterales

El marco jurídico de la UE en materia de protección de datos ha servido con frecuencia de ejemplo a terceros países para legislar en este ámbito. La UE seguirá participando activamente en diálogos, tanto bilaterales como multilaterales, con sus socios internacionales al objeto de fomentar la convergencia mediante la elaboración de normas de protección de datos personales estrictas y compatibles entre sí a escala mundial. Ello contribuirá a mejorar la eficacia de la protección de los derechos de las personas físicas, al tiempo que reducirá los obstáculos a la circulación transfronteriza de los datos como elemento primordial del libre comercio.

La Comisión hace especial hincapié en la adhesión de los terceros países al Convenio n.º 108 del Consejo y a su Protocolo adicional. El Convenio, cuya firma no está supeditada a la pertenencia al Consejo de Europa y que ya ha sido ratificado por 50 países, inclusive de África y Sudamérica, es el único instrumento multilateral de carácter vinculante en materia de protección de datos. En la actualidad, se encuentra en proceso de revisión y la Comisión promoverá activamente la rápida aprobación del texto modificado con vistas a la adhesión de la UE. El texto plasmará los mismos principios que se consagran en la nueva normativa de la UE en materia de protección de datos, contribuyendo así a la convergencia hacia un conjunto de normas estrictas de protección de datos.

La reunión del G-20 en 2017 brindará a la UE una nueva oportunidad de intentar lograr la convergencia en torno al principio de esencialidad de unas estrictas normas de protección de datos para el desarrollo futuro de una sociedad mundial de la información capaz de promover la innovación, el crecimiento y la prosperidad social.

La Comisión espera asimismo poder colaborar con nuevos agentes destacados, como el Relator Especial de las Naciones Unidas sobre el derecho a la privacidad y seguir profundizando en sus relaciones de trabajo con organizaciones regionales como el APEC, a fin de fomentar una cultura mundial de respeto de los derechos de privacidad y protección de los datos personales.

Dentro de su labor más amplia de sensibilización en materia de privacidad y constitución de garantías de protección de datos a escala internacional, el 15 de noviembre de 2016 la Comisión Europea aprobó un proyecto en el marco del Instrumento de Colaboración con objeto de reforzar la cooperación con sus países socios en este ámbito. Dicho proyecto contempla la financiación de actividades de formación y sensibilización, entre otros. A su vez, en el contexto de la aplicación de la reforma, la UE puede beneficiarse del intercambio de buenas prácticas y de las experiencias de otros ordenamientos con nuevos desafíos en materia de protección de la privacidad y soluciones jurídicas o técnicas innovadoras, inclusive en lo concerniente a instrumentos de ejecución y cumplimiento (como los mecanismos de certificación y las evaluaciones de impacto relativas a la protección de datos) o medidas de protección centradas en determinados conjuntos de datos (por ejemplo, los datos relativos a niños).

3.3.2. Cooperación en materia de aplicación de la ley

Habida cuenta del alcance mundial de las empresas multinacionales que tratan ingentes cantidades de datos personales en un gran número de países, es cada vez más necesario reforzar la cooperación con las autoridades de control y los servicios con funciones coercitivas competentes en materia de privacidad en terceros países. A menudo, los problemas de incumplimiento de las normas de protección de datos o las violaciones de la seguridad de estos afectan simultáneamente a personas de más de una jurisdicción. En estos casos, se podría mejorar la eficacia de la protección de los interesados por medio de una actuación común. Al mismo tiempo, los agentes económicos se beneficiarían de un marco jurídico más claro en el que se desarrollaran instrumentos de interpretación y prácticas de aplicación de la ley comunes a escala mundial.

Así pues, es preciso que en el mundo conectado y sin fronteras de la circulación de datos se fortalezca la cooperación entre los servicios con funciones coercitivas. La UE está dispuesta a contribuir a ello. Como ya se ha recordado anteriormente, el RGPD faculta a la Comisión para crear mecanismos de cooperación internacional que faciliten la aplicación eficaz de la legislación relativa a la protección de datos, inclusive mediante acuerdos de asistencia mutua. En este contexto, conviene estudiar la posibilidad de confeccionar un acuerdo marco de cooperación entre las autoridades de protección de datos de la UE y los servicios con funciones coercitivas de determinados terceros países, tomando también como base la experiencia adquirida por la Comisión en otros ámbitos de aplicación de la legislación, como la competencia y la protección de los consumidores.

La Comisión: promoverá la rápida aprobación del texto modificado del Convenio n.º 108 del Consejo de Europa con vistas a la adhesión de la UE y fomentará también la adhesión de terceros países; recurrirá a foros multilaterales, como las Naciones Unidas, el G-20 o el APEC, a fin de favorecer una cultura mundial de respeto de los derechos de protección de datos; creará mecanismos de cooperación internacional con los principales socios internacionales al objeto de facilitar la aplicación efectiva de la legislación.

4. Una cooperación más eficaz en materia de aplicación de la ley con sólidas garantías de protección de datos

Los intercambios de datos personales constituyen una parte integrante de la prevención, la investigación y el enjuiciamiento de las infracciones penales. En un mundo interconectado en el que la delincuencia rara vez se detiene en las fronteras nacionales, la rapidez de los intercambios de datos personales resulta fundamental para garantizar la eficacia tanto de la cooperación en materia de aplicación de la ley como de la lucha contra la delincuencia. Estos intercambios deben fundamentarse en unas sólidas garantías de protección de datos, lo que también contribuye a fomentar la confianza entre los servicios con funciones coercitivas y a reforzar la seguridad jurídica cuando se recopila o intercambia información.

Las normas previstas en la Directiva de policía en relación con las transferencias internacionales rigen los intercambios de datos entre los servicios con funciones coercitivas de la UE y de terceros países, así como, en determinadas situaciones, las transferencias de dichos servicios a otras entidades. La Directiva introduce la posibilidad de adoptar decisiones de adecuación en el ámbito de la aplicación del Derecho penal. La Comisión promoverá esta posibilidad con respecto a terceros países que reúnan los requisitos pertinentes, a saber, aquellos países con los que sea preciso mantener una cooperación estrecha y rápida en el contexto de la lucha contra la delincuencia y el terrorismo, y con los que ya se estén llevando a cabo intercambios significativos de datos personales. Sobre esta base, la Comisión dará prioridad a los debates sobre decisiones de adecuación con terceros países que constituyan socios importantes a este respecto.

Por otro lado, el acuerdo marco sobre la protección de datos UE-EE. UU. celebrado en diciembre de 2016 es un buen ejemplo de cómo la cooperación en materia de aplicación de la ley con un importante socio internacional puede reforzarse mediante la negociación de un sólido conjunto de garantías de protección de datos. Al complementar de forma automática los instrumentos jurídicos vigentes que sirven de base a los intercambios de datos (en particular, los acuerdos bilaterales tanto a escala de la UE como de los Estados miembros), este acuerdo marco reporta beneficios directos e inmediatos a los ciudadanos y refuerza la cooperación en materia de aplicación de la ley mediante la facilitación del intercambio de información. Asimismo, al constituir un referente para futuros acuerdos de transferencia de datos con los Estados Unidos, elimina la necesidad de renegociar una y otra vez las mismas garantías. Dicho acuerdo marco es el primer acuerdo bilateral internacional que contiene un catálogo exhaustivo de los derechos y obligaciones de protección de datos con arreglo al acervo de la UE, por lo que puede servir de base para negociar acuerdos similares con terceros países, no solo en el ámbito de la cooperación judicial y policial, sino también en otros ámbitos de la aplicación de la legislación por parte de las autoridades públicas (como la política de competencia y la protección de los consumidores), abarcando tanto los intercambios intergubernamentales como las transferencias de datos entre empresas privadas y servicios con funciones coercitivas. Asimismo, podría facilitar la celebración por la Unión de acuerdos relativos al intercambio de datos entre las agencias pertinentes de la UE (a saber, Europol y Eurojust) y terceros países. Por consiguiente, la Comisión estudiará la posibilidad de celebrar acuerdos marco similares con sus principales socios en materia de aplicación de la ley.

La Directiva de policía contempla asimismo la posibilidad de que, en determinadas condiciones y con sujeción a rigurosas garantías, los servicios con funciones coercitivas de la UE soliciten información directamente a empresas privadas de terceros países y transmitan datos personales (normalmente un nombre o una dirección IP) en dicha solicitud. En cambio, el RGPD aborda expresamente los casos en los que entidades privadas establecidas en la UE transmiten datos personales a los servicios con funciones coercitivas de un tercer país a raíz de una solicitud: tales transferencias fuera de la UE solo se autorizarán en determinadas condiciones, por ejemplo si se basan en un acuerdo internacional o cuando la comunicación sea necesaria por una razón importante de interés público reconocida por el Derecho de la Unión o de los Estados miembros.

Esta cooperación, que está resultando fundamental para la eficacia de la investigación y enjuiciamiento de los delitos, incluido el terrorismo, ha sido puesta de relieve por el Consejo en sus conclusiones sobre la mejora de la justicia penal en el ciberespacio. El Consejo ha pedido a la Comisión que tome medidas concretas, basadas en un planteamiento común de la UE, a fin de reforzar la cooperación con los proveedores de servicios, mejorar la eficiencia de los procedimientos de asistencia judicial y proponer soluciones a los problemas de determinación de la jurisdicción de ejecución en el ciberespacio. Estas acciones abarcan tanto los intercambios entre los servicios con funciones coercitivas y los proveedores de servicios radicados en la UE como los intercambios con las administraciones públicas y las empresas no pertenecientes a la UE. La Comisión esbozará las distintas opciones para el acceso a las pruebas electrónicas en junio de 2017, teniendo en cuenta la necesidad de una cooperación rápida y segura que se deriva de las estrictas normas sobre protección de datos de la Directiva de policía y el RGPD, tanto por lo que se refiere a las situaciones internas de la UE como por lo que se refiere a las transferencias internacionales.

Por último, de conformidad con la nueva base jurídica de Europol, la Comisión evaluará las disposiciones contenidas en los citados acuerdos de cooperación operativa de Europol con terceros, celebrados en virtud de la Decisión 2009/371/JAI del Consejo, en particular las relativas a la protección de datos. Además, con arreglo a lo dispuesto en la Agenda Europea de Seguridad de 2015, el futuro enfoque de la Unión sobre el intercambio de datos RNP con terceros países tendrá en cuenta la necesidad de aplicar normas coherentes y salvaguardas de derechos fundamentales específicos. La Comisión seguirá explorando soluciones jurídicamente sólidas y viables para el intercambio de datos del registro de nombres de los pasajeros (RNP) con terceros países, y contemplando, en particular, la posibilidad de crear un modelo de acuerdo sobre RNP que establezca los requisitos que deben cumplir los terceros países para recibir datos RNP de la UE. No obstante, toda futura política en este ámbito dependerá, en particular, del próximo dictamen del Tribunal de Justicia de la Unión Europea referente al acuerdo previsto entre Canadá y la Unión Europea sobre el registro de nombres de los pasajeros.