ES Diario Oficial de la Unión Europea C 177/1

Dictamen del Supervisor Europeo de Protección de Datos sobre las propuestas de la Comisión de Reglamento del Parlamento Europeo y del Consejo sobre las operaciones con información privilegiada y de Directiva del Parlamento Europeo y del Consejo sobre las sanciones penales para las operaciones con información privilegiada y la manipulación del mercado

2012/C 177/01

EL SUPERVISOR EUROPEO DE PROTECCIÓN DE DATOS,

Visto el Tratado de Funcionamiento de la Unión Europea y, en particular, el artículo 16,

Vista la Carta de los Derechos Fundamentales de la Unión Europea y, en particular, sus artículos 7 y 8,

Vista la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (1),

Visto el Reglamento (CE) no 45/2001 del Parlamento Europeo y del Consejo, de 18 de diciembre de 2000, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones y los organismos comunitarios y a la libre circulación de estos datos (2), y en particular el artículo 28, apartado 2,

HA ADOPTADO EL SIGUIENTE DICTAMEN:

1. INTRODUCCIÓN

1.1. Consulta al Supervisor Europeo de Protección de Datos

1. El presente dictamen forma parte de un paquete de 4 dictámenes del SEPD relacionados con el sector financiero, todos adoptados el mismo día (3).

2. El 20 de octubre de 2011, la Comisión adoptó una propuesta de Reglamento del Parlamento Europeo y del Consejo sobre las operaciones con información privilegiada y la manipulación del mercado (en adelante, el «Reglamento propuesto») y de Directiva del Parlamento Europeo y del Consejo sobre las sanciones penales para las operaciones con información privilegiada y la manipulación del mercado (en adelante, la «Directiva propuesta»). El Reglamento y la Directiva propuestos (en adelante denominados conjuntamente las «propuestas») se trasladaron para consulta al SEPD y fueron recibidas el 31 de octubre de 2011. El 6 de diciembre de 2011, el Consejo de la Unión Europea consultó al SEPD sobre las propuestas.

3. Antes de la adopción del Reglamento propuesto, el SEPD fue consultado de manera informal. El SEPD señala que varias de sus observaciones han sido tenidas en cuenta en la propuesta.

4. El SEPD recibe con satisfacción el hecho de ser consultado por la Comisión y el Consejo.

1.2. Objetivos y ámbito de aplicación de las propuestas

5. La Directiva sobre abuso del mercado (en adelante, la «DAM») (4), adoptada a primeros de 2003, ha introducido un marco jurídico común para prevenir, detectar e imponer sanciones tanto los casos de información privilegiada como la manipulación del mercado.

6. Después de estar varios años vigente, la Comisión ha evaluado la aplicación de la DAM y ha identificado una serie de problemas, como lagunas en la regulación de determinados instrumentos y mercados, falta de una ejecución eficaz (los reguladores carecen de determinadas informaciones y facultades, y las sanciones o bien no existen o no son suficientemente disuasorias), falta de claridad de determinados conceptos clave y cargas administrativas a los emisores.

7. A la luz de estos problemas y de los importantes cambios del panorama financiero por medio de los cambios legislativos, de los mercados y las tecnologías, la Comisión ha adoptado propuestas legislativas para reformar la MAD que consiste en el Reglamento propuesto y en la Directiva propuesta. Los objetivos políticos de la revisión propuesta son mejorar la confianza de los inversores y la integridad del mercado y seguir el ritmo de los nuevos desarrollos en el sector de los servicios financieros.

8. El Reglamento propuesto, en particular, amplía el alcance del ámbito del abuso de mercado, califica como delitos específicos los intentos de manipulación del mercado y las operaciones con información privilegiada en grado de tentativa, fortalece las facultades de investigación concedidas a las autoridades competentes e introduce normas mínimas en materia de medidas, sanciones y multas administrativas.

9. La Directiva propuesta exige a los Estados miembros introducir sanciones penales para las operaciones intencionadas con información privilegiada o la manipulación del mercado y por la incitación a cometer las infracciones penales, así como la tentativa de cometerlas o la complicidad en ellas. También amplía la responsabilidad a las personas jurídicas, incluida, siempre que sea posible, la responsabilidad penal de las mismas.

1.3. Finalidad del dictamen del SEPD

10. Varias de las medidas planificadas en las propuestas para lograr aumentar la integridad del mercado y la protección de los inversores repercuten en los derechos de las personas relativos al tratamiento de sus datos personales.

11. En particular, cuando las autoridades competentes investiguen o cooperen para detectar, notificar y/o sancionar operaciones con información privilegiada o abusos del mercado, se recogerán, procesarán e intercambiarán datos personales. Asimismo, el mecanismo para alentar a las personas a denunciar las infracciones también implicará el tratamiento de datos personales que afectan tanto a la persona que denuncia como a la persona «presuntamente responsable». Por último, el régimen sancionador afectará al derecho de protección de los datos personales en la medida en que sean publicadas las sanciones que mencionen la identidad de la persona responsable de la infracción del Reglamento propuesto.

12. Mientras que el Reglamento propuesto incluye diversas disposiciones que pueden afectar al derecho de protección de los datos personales de las personas, la Directiva propuesta no implica en sí misma el tratamiento de datos personales. El presente dictamen, por tanto, se centrará en el Reglamento propuesto y, en particular, en las siguientes cuestiones: 1) la aplicabilidad de la legislación en materia de protección de datos; 2) las listas de personas con acceso a información privilegiada; 3) las facultades de las autoridades competentes; 4) los sistemas dirigidos a detectar y notificar las transacciones sospechosas; 5) los intercambios de información con terceros países; 6) la publicación de las sanciones y la notificación de las infracciones.

2. ANÁLISIS DE LAS PROPUESTAS

2.1. Aplicabilidad de la legislación en materia de protección de datos

13. Tanto los considerandos (5) como las disposiciones (6) del Reglamento propuesto hacen mención a la Carta de los Derechos Fundamentales, la Directiva 95/46/CE y el Reglamento (CE) no 45/2001. En particular, el artículo 22 del Reglamento propuesto establece de manera expresa como norma general que «en relación con el tratamiento de datos de carácter personal realizado por los Estados miembros con arreglo al presente Reglamento, las autoridades competentes se ajustarán a las disposiciones de la Directiva 95/46/CE. En lo que atañe al tratamiento de datos de carácter personal por la AEVM con arreglo al presente Reglamento, la Autoridad deberá ajustarse a las disposiciones del Reglamento (CE) no 45/2001». Asimismo, la disposición establece un período máximo de conservación de cinco años para los datos de carácter personal.

14. El SEPD aprueba sin reservas esta disposición global y valora en general la atención que el Reglamento propuesto presta en especial a la legislación en materia de protección de datos. Sin embargo, el SEPD sugiere que la disposición debería reformularse haciendo hincapié en la aplicabilidad de la legislación vigente en materia de protección de datos. Asimismo, debería aclararse la referencia a la Directiva 95/46/CE, especificando que las disposiciones se aplicarán de acuerdo con las normas nacionales por las que se transpone dicha Directiva. El SEPD destaca que algunas de las disposiciones del Reglamento propuesto hacen referencia de manera explícita a la Directiva 95/46/CE y/o al Reglamento (CE) no 45/2001, lo cual destaca la aplicación de las normas pertinentes en materia de protección de datos en casos específicos, pero no implica que las normas no sean aplicables cuando no están expresamente mencionadas en cada disposición que implique (de manera potencial) el tratamiento de datos personales.

15. Como en el considerando 33, otros considerandos deberían indicar de manera coherente que los Estados miembros «deberán» y no sólo que «deberían» ajustarse a la legislación pertinente en materia de protección de datos, ya que esta última está vigente y no existe discrecionalidad en relación con su aplicabilidad.

2.2. Listas de personas con acceso a información privilegiada

16. El Reglamento propuesto incluye la obligación para los emisores de instrumentos financieros u operadores del mercado de derechos de emisión de elaborar una lista de las personas que trabajan para ellas, en virtud de un contrato laboral o de otra relación, y que tienen acceso a información privilegiada (artículo 13, apartado 1). Los emisores de instrumentos financieros admitidos a negociación en un mercado destinado a financiar el crecimiento de las PYME estarán exentos de dicha obligación salvo cuando sean requeridos para ello por la autoridad competente (artículo 13, apartado 2).

17. El SEPD reconoce la necesidad de dicha lista como un instrumento importante para las autoridades competentes cuando investigan posibles operaciones con información privilegiada o abusos del mercado. Sin embargo, en la medida en que dichas listas impliquen el tratamiento de datos personales, la ley básica debe establecer las principales normas y garantías de protección de datos. Por ello, el SEPD recomienda incluir una referencia expresa a la finalidad de dicha lista en una disposición sustantiva del Reglamento propuesto. La finalidad es, de hecho, uno de los elementos esenciales de cualquier tratamiento, con arreglo a lo dispuesto en el artículo 6 de la Directiva 95/46/CE.

18. De acuerdo con el artículo 13, apartado 4, del Reglamento propuesto, la Comisión adoptará, mediante actos delegados, medidas encaminadas a determinar el contenido de la lista (incluyendo información como la identidad y los motivos de inclusión en ella de cualesquiera personas) y las condiciones en que se elaborarán dicha lista (incluyendo las condiciones en que debe actualizarse, el plazo durante el que debe conservarse y las responsabilidades de las personas incluidas en la misma). Sin embargo, el SEPD recomienda: — incluir los principales elementos de la lista (en cualquier caso, los motivos de inclusión en ella de cualesquiera personas) en el propio Reglamento propuesto; — incluir una referencia a la necesidad de consultar al SEPD en la medida en que los actos delegados afecten al tratamiento de datos personales.

2.3. Facultades de las autoridades competentes

19. El artículo 17, apartado 2, incluye una lista de las facultades en materia de supervisión e investigación con las que se deberá dotar a las autoridades competentes, al menos para el ejercicio de las funciones previstas en el Reglamento propuesto.

20. Debe prestarse una atención especial a dos facultades, debido a su interferencia con los derechos de protección de datos y a la intimidad: la facultad de acceder a locales privados con el fin de proceder a la incautación de documentos bajo cualquier forma y la facultad de solicitar los registros existentes sobre tráfico de datos y sobre datos telefónicos.

2.3.1. La facultad de acceso a locales privados

21. La facultad de acceder a locales privados con el fin de proceder a la incautación de documentos bajo cualquier forma es una facultad altamente intrusiva y que interfiere con el derecho a la intimidad, por lo que debe quedar sujeta a condiciones estrictas y rodeada de las garantías apropiadas (7). El artículo 17, apartado 2, letra e), exige que el acceso a los locales privados quede sujeto a una autorización previa por parte de una autoridad judicial, concedida de conformidad con la legislación nacional, y a que haya una sospecha razonable de la existencia de documentos relativos al asunto de la inspección que puedan ser relevantes para probar un caso de operación con información privilegiada o de manipulación del mercado. El SEPD celebra que el texto califique a las facultades de las autoridades competentes, al exigir como condiciones de acceso a locales privados la sospecha razonable de un incumplimiento del Reglamento o de la Directiva propuestos y la previa autorización judicial. Sin embargo, el SEPD considera que una obligación general de mandamiento judicial previo, con independencia de si el Derecho nacional lo exige, debe estar justificada y quedar exigida a la luz del carácter potencialmente intrusivo de la facultad en cuestión.

22. El considerando 30 del Reglamento propuesto especifica los casos en que es necesario acceder a locales privados, es decir, cuando la persona a la que se ha dirigido una solicitud de información no la atiende (en todo o en parte), hay motivos razonables para creer que, si se le dirigiera esa solicitud, no la atendería, o que el documento o información contemplado en la solicitud sería retirado, alterado o destruido. El SEPD recibe con agrado estas especificaciones. Sin embargo, considera que existen garantías adicionales que son necesarias para garantizar su conformidad con el derecho a la intimidad y que, por tanto, deberían introducirse en una disposición sustantiva como condición para acceder a locales privados.

2.3.2. La facultad de requerir los registros existentes sobre tráfico de datos y sobre datos telefónicos

23. El artículo 17, apartado 2, letra f), faculta a las autoridades competentes a «solicitar los registros existentes sobre tráfico de datos y sobre datos telefónicos que mantenga una empresa de telecomunicaciones o una empresa de inversión», sin embargo aclara que la solicitud queda sujeta a la existencia de una «sospecha razonable» de que dichos registros «puedan ser relevantes para probar un caso de operación con información privilegiada o de manipulación del mercado», con arreglo al Reglamento propuesto o a la Directiva propuesta. Estos registros no podrán incluir «el contenido de la comunicación con la que guardan relación». Asimismo, el apartado 3 del artículo 17 establece que el ejercicio de las facultades mencionadas en el apartado 2 se llevará a cabo de conformidad con la legislación nacional.

24. Los datos relativos al uso de medios de comunicación electrónica pueden implicar una amplia serie de información personal, como la identidad de las personas que realizan y reciben la llamada, el tiempo y la duración de la misma, la red utilizada, la ubicación geográfica del usuario en caso de dispositivos portátiles, etc. Algunos datos relativos al tráfico sobre el uso de Internet y del correo electrónico (por ejemplo, la lista de sitios web que se han visitado) pueden revelar, asimismo, detalles importantes del contenido de la comunicación. Además, el tratamiento de datos relativos al tráfico entra en conflicto con el secreto de la correspondencia. A la luz de lo anterior, la Directiva 2002/58/CE (8) (Directiva sobre privacidad electrónica) estableció el principio de que los datos del tráfico deberán eliminarse o hacerse anónimos cuando ya no sean necesarios a los efectos de la transmisión de una comunicación (9). Con arreglo al artículo 15, apartado 1, de dicha Directiva, los Estados miembros podrán incluir excepciones en la legislación nacional para fines legítimos específicos, aunque tales medidas deberán ser necesarias, proporcionadas y apropiadas en una sociedad democrática para la obtención de dichos fines (10).

25. El SEPD reconoce que los objetivos que persigue la Comisión en el Reglamento propuesto son legítimos y comprende la necesidad de iniciativas que tengan por objeto reforzar la supervisión de los mercados financieros con el fin de preservar su solidez y ofrecer una mejor protección a los inversores y a la economía en general. Sin embargo, los poderes de investigación directamente relacionados con los datos del tráfico, dada su índole potencialmente invasiva, deben cumplir los requisitos de necesidad y proporcionalidad, es decir, deben limitarse a permitir alcanzar el objetivo que se persigue y no ir más allá de lo que es necesario para alcanzarlo (11). Desde esta perspectiva, resulta pues esencial que las disposiciones estén formuladas de manera clara en relación con el ámbito de aplicación personal y material, así como respecto de las circunstancias y las condiciones en que podrán ser utilizadas. Además, deben establecerse las salvaguardias apropiadas contra el riesgo de abusos.

26. Los registros sobre tráfico de datos y sobre datos telefónicos afectados obviamente implicarán datos de carácter personal en el sentido de la Directiva 95/46/CE, la Directiva 2002/58/CE y el Reglamento (CE) no 45/2001. El considerando 31 del Reglamento propuesto menciona que: «pueden servir para determinar la identidad de una persona responsable de la difusión de información falsa o engañosa, determinar que las personas de que se trate han estado en contacto durante un cierto tiempo, o la existencia de una relación entre dos o más personas (12).» Por lo tanto, debería garantizarse que se respetan totalmente las condiciones para un tratamiento leal y legítimo de los datos personales, tal como se establece en las Directivas y en el Reglamento.

2.3.3. Obligación de la autorización judicial

27. El SEPD destaca que, de conformidad con el artículo 17, apartado 3, esta facultad se ejercerá de conformidad con la legislación nacional, sin referirse de forma expresa a una autorización judicial previa, como es el caso respecto de la facultad de entrar en locales privados. Sin embargo, el SEPD considera que una obligación general de autorización judicial previa en todos los casos — con independencia de si el Derecho nacional lo exige o no — quedaría justificada a la luz del carácter potencialmente intrusivo de la facultad en cuestión, así como en interés de la aplicación armonizada de la legislación en todos los Estados miembros de la UE. También debería considerarse que varias de las legislaciones de los Estados miembros establecen garantías especiales sobre la inviolabilidad del domicilio contra las inspecciones, registros o incautaciones desproporcionados y no regulados cuidadosamente cuando estos son llevados a cabo por instituciones de carácter administrativo.

28. Asimismo, el SEPD recomienda introducir la obligación para los casos en que las autoridades competentes soliciten una relación de comunicaciones telefónicas y tráfico de datos mediante una decisión formal, en la que se especifique el fundamento jurídico y el fin de dicha solicitud, así como la información que se solicita, el plazo en que debe facilitarse dicha información, y el derecho del destinatario a que la decisión sea revisada por el Tribunal de Justicia.

2.3.4. La definición de registros sobre tráfico de datos y sobre datos telefónicos

29. En el Reglamento propuesto, no queda definido el concepto de «registros sobre tráfico de datos y sobre datos telefónicos». La Directiva 2002/58/CE (Directiva sobre privacidad) solo hace referencia a los «datos del tráfico» pero no a los «registros sobre tráfico de datos y sobre datos telefónicos». Ni que decir tiene que el significado exacto de dicho concepto determina el impacto que la facultad de investigación podrá tener sobre la protección de datos y la intimidad de las personas afectadas. El SEPD sugiere utilizar la terminología ya aplicable en la definición de «datos del tráfico» de la Directiva 2002/58/CE.

30. El artículo 17, apartado 2, letra f), hace referencia a los «registros existentes sobre tráfico de datos y sobre datos telefónicos que mantenga una empresa de telecomunicaciones». La Directiva sobre privacidad electrónica establece el principio de que los datos del tráfico deberán eliminarse cuando ya no sean necesarios para el fin comercial para el que fueron obtenidos. Sin embargo, sobre la base del artículo 15, apartado 1, de la Directiva sobre privacidad electrónica, los Estados miembros pueden derogar esta obligación para fines represivos. La Directiva de conservación de datos pretende aproximar las iniciativas de los Estados miembros en virtud del artículo 15, apartado 1, de la Directiva sobre privacidad electrónica en la medida en que afecten a la conservación de datos para la investigación, detección y enjuiciamiento de delitos «graves».

31. La cuestión es si los registros sobre tráfico de datos y sobre datos telefónicos mencionados en el artículo 17, apartado 2, letra f), hacen referencia a los datos disponibles a través del almacenamiento de los datos del tráfico y de posición de la Directiva sobre la privacidad electrónica o de los datos adicionales exigidos por la Directiva de conservación de datos. La última opción plantearía graves problemas ya que las excepciones previstas en el artículo 15, apartado 1, de la Directiva sobre privacidad electrónica (es decir, la prevención, investigación, detección y enjuiciamiento de delitos) podría ser utilizadas para ampliar los fines para los que los datos se conservan con arreglo a la Directiva de conservación de datos (es decir, la investigación, detección y enjuiciamiento de delitos «graves»). Dicho de otro modo, los datos que se conservan con arreglo a la Directiva de conservación de datos estarían siendo utilizados de este modo para fines que no están previstos en dicha Directiva. Esto implicaría una incitación europea para utilizar el «vacío legal» que representa uno de los principales vicios de la Directiva de conservación de datos (13).

32. El SEPD recomienda encarecidamente, por tanto, que se especifiquen las categorías de registros sobre tráfico de datos y sobre datos telefónicos que las autoridades competentes pueden requerir. Dichos datos deben ser adecuados, pertinentes y no excesivos en relación con el fin para el que se tratan o se acceden a los mismos. Asimismo, el SEPD recomienda limitar el artículo 17, apartado 2, letra f), a los datos que normalmente traten («mantengan») las empresas de telecomunicaciones con arreglo a la Directiva 2002/58/CE sobre privacidad electrónica. Esto excluye, en principio, el acceso a los datos conservados para fines de la Directiva sobre conservación de datos, en la medida en que dicho acceso no sea para los fines de investigación, detección y enjuiciamiento de delitos «graves» (14).

33. El artículo 17, apartado 2, letra f), establece el acceso a los «registros existentes sobre tráfico de datos y sobre datos telefónicos que mantenga una empresa de inversión». El texto debería especificar las categorías de registros y aclarar las empresas a las que la disposición hace referencia. El SEPD asume que los registros coincidirán con los que menciona la propuesta de Directiva del Parlamento Europeo y del Consejo relativa a los mercados de instrumentos financieros (en adelante, la «Directiva MiFID propuesta»). Remarca que emitió algunas observaciones sobre dicha propuesta, con arreglo a las cuales el SEPD recomendó aclarar también estos conceptos (15). Además, respecto de las comunicaciones telefónicas y tráfico de datos mencionados en el artículo 16, apartado 7, de la MiFID propuesta, el SEPD recomendó que se definiera la finalidad de la grabación de dichas comunicaciones y se especificara el tipo de comunicaciones y las categorías de datos de las comunicaciones que se grabarán (16).

34. Por último, al SEPD le complace observar que el texto exige como condición de acceso a los registros la sospecha razonable de un incumplimiento del Reglamento propuesto o de la Directiva propuesta y que excluye de manera expresa el acceso al contenido de las comunicaciones por parte de las autoridades competentes.

2.4. Sistemas dirigidos a detectar y notificar las transacciones sospechosas

35. En el artículo 11, apartado 1, del Reglamento propuesto prevé que cualquier persona que gestione un centro de negociación deberá adoptar y mantener mecanismos y procedimientos eficaces para prevenir y detectar el abuso de mercado. Además, el apartado 2 exige que cualquier persona que tramite o ejecute transacciones con instrumentos financieros deberá disponer de sistemas para detectar y notificar las órdenes y transacciones que puedan constituir operaciones con información privilegiada o manipulación del mercado, o bien intentos de operar con información privilegiada o de manipular el mercado. En caso de sospecha, la autoridad competente deberá ser notificada sin demora. La Comisión adoptará las normas técnicas de regulación que determinen los mecanismos y procedimientos apropiados mencionados en el apartado 1 y los sistemas y modelos de notificación mencionados en el apartado 2 (artículo 11, apartado 3, última frase).

36. Por lo que respecta a estos sistemas es muy probable que impliquen datos personales (es decir, el seguimiento de las transacciones realizadas por las personas mencionadas en la lista de personas con acceso a información privilegiada), el SEPD subrayaría que estas normas deberían ser desarrolladas en función del principio de «intimidad mediante el diseño», es decir, la integración de la protección de datos y la privacidad desde el inicio mismo de nuevos productos, servicios y procedimientos que implican el tratamiento de datos personales (17). Además, el SEPD recomienda incluir una referencia a la necesidad de consultar al SEPD en la medida en que estas normas técnicas reglamentarias afecten al tratamiento de datos personales.

2.5. Intercambios de información con terceros países

37. El SEPD destaca la referencia a la Directiva 95/46/CE, en particular a los artículos 25 o 26 y a las garantías específicas mencionadas en el artículo 23 del Reglamento propuesto relacionadas con la comunicación de datos personales a terceros países. De manera específica, en vista de los riesgos afectados por dichas transferencias, se consideran garantías adecuadas la evaluación caso por caso, la garantía de la necesidad de la transferencia, la obligación de una autorización expresa previa de la autoridad competente para una transferencia de datos posterior a un tercer país y la existencia de un nivel de protección de datos adecuado de los datos personales en el tercer país receptor de dichos datos.

2.6. Publicación de las sanciones

2.6.1. Publicación obligatoria de las sanciones

38. El artículo 26, apartado 3, del Reglamento propuesto obliga a los Estados miembros a garantizar que las autoridades competentes publique sin demora indebida cada sanción y medida administrativa por las infracciones del Reglamento propuesto, incluyendo al menos información sobre el tipo y carácter de la infracción y sobre la identidad de las personas responsables de la misma, salvo que dicha publicación pueda perjudicar gravemente la estabilidad de los mercados financieros.

39. La publicación de las sanciones contribuirá a aumentar el efecto disuasorio, ya que se disuadiría a los autores reales y potenciales de cometer delitos para evitar un daño significativo en su reputación. Aumentaría, además, la transparencia, ya que los operadores del mercado serían conscientes de que una determinada persona ha cometido una infracción. Esta obligación únicamente queda atenuada cuando la publicación cause un daño desproporcionado a las partes implicadas, en cuyo caso las autoridades competentes publicarán las sanciones de forma anónima.

40. El SEPD recibe con agrado la referencia en el considerando 35 a la Carta de los Derechos Fundamentales y, en particular, el derecho a la protección de los datos personales. Sin embargo, no está convencido de que la publicación obligatoria de las sanciones, tal como está formulada en la actualidad, cumpla los requisitos de la legislación en materia de protección de datos, tal como han sido aclarados por el Tribunal de Justicia en la sentencia Schecke (18). Considera que no se establece de manera suficiente la finalidad, la necesidad y la proporcionalidad de la medida y que, en cualquier caso, deberían ser previstas garantías adecuadas contra los riesgos para los derechos de las personas.

2.6.2. Necesidad y proporcionalidad de la publicación

41. En la sentencia Schecke, el Tribunal de Justicia anuló las disposiciones de un Reglamento del Consejo y de un Reglamento de la Comisión que establecían la publicación obligatoria de la información relativa a los beneficiarios de los fondos agrícolas, incluida la identidad de los beneficiarios y los importes recibidos. El Tribunal resolvió que dicha publicación constituía el tratamiento de datos personales contemplado en el artículo 8, apartado 2, de la Carta de los Derechos Fundamentales de la Unión Europea (en adelante, la «Carta») y, por tanto, una interferencia de los derechos reconocidos en los artículos 7 y 8 de la Carta.

42. Tras analizar que «las excepciones a la protección de los datos de carácter personal y las limitaciones de dicha protección deben establecerse sin sobrepasar los límites de lo estrictamente necesario», el Tribunal continuó analizando la finalidad de la publicación y la proporcionalidad de las mismas. El Tribunal concluyó que nada indicaba que, al adoptar la legislación afectada, el Consejo y la Comisión hubieran tomado en consideración otras formas de publicación de la información que respetase el objetivo perseguido por dicha publicación y, al mismo tiempo, fueran menos lesivas para tales beneficiarios.

43. El artículo 26, apartado 3, del Reglamento propuesto parece estar afectado de las mismas carencias que fueron destacadas por el TJE en la sentencia Schecke. Debe recordarse que al evaluar el cumplimiento de los requisitos de protección de datos por parte de una disposición que exija la divulgación pública de datos personales, es de vital importancia tener una finalidad clara y bien definida para la que la publicación prevista pretende servir. Únicamente con una finalidad clara y bien definida puede valorarse si la publicación de los datos personales implicados es realmente necesaria y proporcionada (19).

44. Tras leer la propuesta y los documentos que la acompañan (es decir, el informe de evaluación de impacto), el SEPD tiene la impresión de que la finalidad y, por consiguiente, la necesidad de dicha medida no ha sido establecida de manera clara. Mientras que los considerandos de la propuesta guardan silencio sobre estas cuestiones, la evaluación de impacto solo hace referencia a las repercusiones generales positivas (es decir, el efecto disuasorio del abuso del mercado, la contribución a la protección de los inversores, la igualdad de trato entre los emisores, la mejora de la aplicación) y simplemente menciona que «la publicación de las sanciones es de gran importancia para mejorar la transparencia y mantener la confianza en el mercado financiero» y que «la publicación de las sanciones impuestas contribuirá al objetivo disuasorio y mejora la integridad del mercado y la protección de los inversores» (20). Dicha declaración general no parece suficiente para demostrar la necesidad de la medida propuesta. Si la finalidad general es aumentar el efecto disuasorio, parece que la Comisión debería haber explicado, en particular, el motivo por el que unas sanciones económicas más duras (u otro tipo de sanciones que no impliquen el recurso a la denuncia pública) no serían suficientes.

45. Asimismo, el informe de evaluación de impacto no parece tener en cuenta formas menos intrusivas, como decidir la publicación caso por caso. En particular, la última opción parecería a priori una solución más proporcionada, en especial si se considera que — tal como reconoce el artículo 26, apartado 1, letra d) — la publicación es en sí misma una sanción, que deberá, por tanto, ser evaluada caso por caso, teniendo en cuenta las circunstancias pertinentes, como la gravedad de la infracción, el grado de responsabilidad de la persona, la reincidencia, las pérdidas para terceros, etc. (21).

46. El informe de evaluación de impacto no explica el motivo por el que la publicación caso por caso no supone una opción suficiente, sino que solo menciona que la publicación de las sanciones impuestas «contribuirá al objetivo de la eliminación de opciones y facultades en lo posible, mediante la supresión de la discrecionalidad actual de los Estados miembros de no exigir la publicación» (22). En opinión del SEPD, la posibilidad de evaluar el asunto a la luz de las circunstancias específicas es lo que hace que esta opción sea más proporcionada y, por tanto, preferible, en comparación con la publicación obligatoria en todos los casos. Esta discrecionalidad permitiría, por ejemplo, que la autoridad competente evitase la publicación en casos de infracciones menos graves, en que la infracción no cause un daño significativo, cuando la parte muestre una actitud de colaboración, etc. La valoración llevada a cabo en la evaluación de impacto no disiparía las dudas en cuanto a la necesidad y la proporcionalidad de la medida.

2.6.3. La necesidad de garantías adecuadas

47. El Reglamento propuesto debería prever garantías adecuadas para garantizar un justo equilibrio entre los diferentes intereses en juego. En primer lugar, las garantías son necesarias respecto del derecho de impugnación judicial de la resolución por parte de los denunciados y del derecho de presunción de inocencia. La redacción del artículo 26, apartado 3, debería incluir un lenguaje específico en este sentido, de manera que se obligue a las autoridades competentes a adoptar medidas adecuadas respecto de ambas situaciones cuando la resolución puede ser recurrida y cuando sea finalmente anulada por un tribunal (23).

48. En segundo lugar, el Reglamento propuesto debería garantizar que se respetan los derechos de los interesados de manera proactiva. El SEPD valora el hecho de que la versión final de la propuesta prevea la posibilidad de excluir la publicación en los casos en que esto pudiera causar un daño desproporcionado. Sin embargo, un enfoque proactivo debería implicar que se informa de manera previa a los interesados del hecho de que la decisión sancionadora será publicada, y de que se les concede el derecho de oposición, conforme al artículo 14 de la Directiva 95/46/CE en virtud de motivos fundados y legítimos (24).

49. En tercer lugar, mientras que el Reglamento propuesto no especifica el medio en que la información debería ser publicada, en la práctica cabe imaginar que, en la mayoría de los Estados miembros, la publicación se llevará a cabo a través de Internet. Las publicaciones en Internet plantean cuestiones y riesgos específicos relacionados, en particular, con la necesidad de garantizar que la información se conserva en línea durante un período que no podrá exceder al necesario y que los datos no pueden ser manipulados ni alterados. El uso de motores de búsqueda externos también puede implicar el riesgo de que la información pueda ser sacada de contexto y canalizada a través de la red y fuera de la misma de formas que no puedan controlarse con facilidad (25).

50. A la luz de lo anterior, es necesario obligar a los Estados miembros a que garanticen que los datos personales de las personas afectadas se conservan en línea únicamente durante un período razonable, tras el cual serán suprimidos de manera sistemática (26). Además, debe exigirse a los Estados miembros que garanticen que se aplican las medidas de seguridad y las garantías adecuadas, en especial para la protección frente a los riesgos del uso de motores de búsqueda externos (27).

2.6.4. Conclusión

51. El SEPD opina que la disposición sobre la publicación obligatoria de las sanciones — tal como está formulada actualmente — no cumple con el derecho fundamental a la protección de datos y la intimidad. El legislador debería valorar detenidamente la necesidad del sistema propuesto y verificar si la obligación de publicación excede lo que es necesario para obtener el objetivo del interés público que se persigue y si existen medidas menos restrictivas para alcanzar el mismo objetivo. En función del resultado de la prueba de proporcionalidad, la obligación de publicación en cualquier caso debería contar con el apoyo de garantías adecuadas para asegurar el respeto de la presunción de inocencia, el derecho de oposición de las personas afectadas, la seguridad y exactitud de los datos, así como la supresión de los mismos tras un período adecuado.

2.7. Notificación de las infracciones

52. El artículo 29 del Reglamento propuesto exige a los Estados miembros que apliquen los mecanismos de denuncia de las infracciones, también conocidos como sistemas de denuncia de irregularidades. Aunque dichos mecanismos pueden ser utilizados como un instrumento de cumplimiento efectivo, estos sistemas plantean cuestiones significativas desde la perspectiva de la protección de datos (28).

53. El SEPD recibe con agrado el hecho de que el Reglamento propuesto incluya garantías específicas, que deberán ser desarrolladas a escala nacional, respecto de la protección de las personas que han denunciado el supuesto incumplimiento y, de manera más general, la protección de datos de carácter personal. El SEPD es consciente del hecho de que el Reglamento propuesto únicamente establece los elementos principales del régimen que debe ser implantado por los Estados miembros. Sin embargo, desearía llamar la atención sobre los puntos adicionales siguientes.

54. El SEPD destaca, tal como en el caso de otros dictámenes (29), la necesidad de introducir una disposición específica que garantice la confidencialidad de la identidad de los denunciantes y de los informadores. El SEPD subraya el hecho de que los denunciantes están en una posición delicada. A las personas que facilitan la información se les debe garantizar que se mantendrá la confidencialidad de su identidad, en particular respecto de la persona a quien se imputa la irregularidad (30). La confidencialidad de la identidad de los denunciantes debería quedar garantizada en todas las fases del procedimiento, siempre que esto no sea contrario a las normas nacionales que regulan los procedimientos judiciales. En particular, la identidad podrá divulgarse en el contexto de una investigación o de un procedimiento judicial posterior, iniciado como resultado de la investigación (incluso si ha quedado acreditado que se ha presentado maliciosamente una declaración falsa contra la persona denunciada) (31). A la luz de lo anterior, el SEPD recomienda añadir en la letra b) del artículo 29, apartado 1, la siguiente disposición: «la identidad de estas personas debe quedar garantizada en todas las fases del procedimiento, salvo si la legislación nacional exige su divulgación en el contexto de una investigación o actuaciones judiciales posteriores».

55. Al SEPD le complace observar que el artículo 29, apartado 1, letra c), exige a los Estados miembros que garanticen la protección de los datos personales tanto de la persona denunciada como de la persona denunciante, de acuerdo con los principios previstos en la Directiva 95/46/CE. Sugiere, sin embargo, eliminar la expresión «los principios previstos en» para hacer que la referencia a la Directiva sea más general y vinculante. Respecto de la necesidad de respetar la legislación en materia de protección de datos en la aplicación práctica de los sistemas, el SEPD desea subrayar en particular las recomendaciones efectuadas por el Grupo de Trabajo del Artículo 29 en su Dictamen de 2006 sobre las denuncias de irregularidades. Entre otros, en los sistemas nacionales de aplicación, las entidades afectadas deberían tener en cuenta la necesidad de respetar la proporcionalidad limitando, en la medida de lo posible, las categorías de personas autorizadas a denunciar, las categorías de personas que pueden ser incriminadas y los incumplimientos por los que pueden ser incriminadas; la necesidad de fomentar denuncias identificadas y confidenciales frente a denuncias anónimas; la necesidad de divulgar la identidad de los denunciantes cuando hayan realizado maliciosamente una declaración; y la necesidad de respetar períodos estrictos de conservación de datos.

3. CONCLUSIONES

56. El SEPD recibe con agrado la atención que el Reglamento propuesto presta en especial a la protección de datos.

57. El SEPD realiza las siguientes recomendaciones: — especificar en el artículo 13 la finalidad de la lista de personas con acceso a información privilegiada; — introducir en el artículo 17, apartado 2, letra e), respecto de la facultad de entrar en locales privados, la obligación general de una autorización judicial previa; — introducir en el artículo 17, apartado 2, letra f), relativa a la facultad de solicitar los registros sobre tráfico de datos y sobre datos telefónicos, la obligación general de una autorización judicial previa y la obligación de una decisión formal que especifique: i) el fundamento jurídico ii) la finalidad de la solicitud iii) qué información se solicita iv) el plazo en que debe facilitarse dicha información y v) el derecho del destinatario a que la decisión sea revisada por el Tribunal de Justicia; — especificar las categorías de registros sobre tráfico de datos y sobre datos telefónicos que mantengan una empresa de telecomunicaciones o una empresa de inversión que las autoridades competentes pueden requerir y limitar el artículo 17, apartado 2, letra f), a los datos que normalmente traten («mantengan») las empresas de telecomunicaciones con arreglo a la Directiva 2002/58/CE; — añadir en el artículo 29, apartado 1, letra b), una disposición que establezca que: «la identidad de estas personas debe quedar garantizada en todas las fases del procedimiento, salvo si la legislación nacional exige su divulgación en el contexto de una investigación o actuaciones judiciales posteriores»; — a raíz de las dudas expresadas en el presente dictamen, valorar la necesidad y la proporcionalidad del sistema propuesto de publicación obligatoria de las sanciones. En función del resultado de la prueba de necesidad y proporcionalidad, proporcionar en cualquier caso las garantías adecuadas para asegurar el respeto de la presunción de inocencia, el derecho de oposición de las personas afectadas, la seguridad y exactitud de los datos, así como la supresión de los mismos tras un período adecuado.

Hecho en Bruselas, el 10 de febrero de 2012. Giovanni BUTTARELLI Asistente del Supervisor Europeo de Protección de Datos

(1) DO L 281 de 23.11.1995, p. 12.

(2) DO L 8 de 12.1.2001, p. 12.

(3) Dictámenes del SEPD de 10 de febrero de 2012 relativos el paquete legislativo sobre la revisión de la legislación bancaria, agencias de calificación crediticia, mercados de instrumentos financieros (MiFID/MIFIR) y abuso del mercado.

(4) Directiva 2003/6/CE del Parlamento Europeo y del Consejo, de 28 de enero de 2003, sobre las operaciones con información privilegiada y la manipulación del mercado (abuso del mercado), DO L 96 de 12.4.2003, p. 16.

(5) Véanse los considerandos 33, 35, 39 y 40, del Reglamento propuesto.

(6) Véanse el artículo 17, apartado 4, los artículos 22, 23, y el artículo 29, apartado 1, letra c), del Reglamento propuesto.

(7) Véase en particular la Sentencia del TEDH de 23 de febrero de 1993, Funcke/Francia, 10828/84.

(8) Directiva 2002/58/CE del Parlamento Europeo y del Consejo, de 12 de julio de 2002, relativa al tratamiento de los datos personales y a la protección de la intimidad en el sector de las comunicaciones electrónicas (DO L 201 de 31.7.2002, p. 37).

(9) Véase el artículo 6, apartado 1, de la Directiva 2002/58/CE (DO L 201 de 31.7.2002, p. 37).

(10) El artículo 15, apartado 1, de la Directiva 2002/58/CE establece que dichas limitaciones deberán «constituir una medida necesaria, proporcionada y apropiada en una sociedad democrática para proteger la seguridad nacional (es decir, la seguridad del Estado), la defensa, la seguridad pública, o la prevención, investigación, descubrimiento y persecución de delitos o la utilización no autorizada del sistema de comunicaciones electrónicas a que se hace referencia en el apartado 1 del artículo 13 de la Directiva 95/46/CE. Para ello, los Estados miembros podrán adoptar, entre otras, medidas legislativas en virtud de las cuales los datos se conserven durante un plazo limitado justificado por los motivos establecidos en el presente apartado (…)».

(11) Véanse, por ejemplo, los asuntos acumulados C-92/09 y C-93/09, Volker und Markus Schecke GbR (C-92/09), Hartmut Eifert (C-92/09)/Land Hessen, todavía no publicados en la Recopilación, apartado 74.

(12) Véase asimismo el punto 12 de la exposición de motivos del Reglamento propuesto.

(13) Véase en este sentido, el Dictamen del SEPD, de 31 de mayo de 2011, relativo al Informe de evaluación de la Comisión al Consejo y al Parlamento Europeo sobre la Directiva de conservación de datos (Directiva 2006/24/CE), por ejemplo, el apartado 24.

(14) El SEPD desearía recordar los problemas vinculados a la falta de una definición europea de «delitos graves». De hecho, el SEPD destacó que el informe de evaluación de la Comisión sobre la Directiva de conservación de datos muestra que la opción de dejar la definición precisa de lo que constituye un «delito grave» a juicio de los Estados miembros, ha derivado en una gran variedad de fines para los que se han utilizado los datos. La Comisión ha establecido que «la mayoría de los Estados miembros que han transpuesto la Directiva, de conformidad con su legislación, permiten el acceso y uso de los datos conservados con fines que van más allá de los cubiertos por la Directiva, incluida la prevención y la lucha contra la delincuencia en general y el riesgo para la vida y la integridad física». Véase el Dictamen de 31 de mayo de 2011 relativo al Informe de evaluación de la Comisión al Consejo y al Parlamento Europeo sobre la Directiva de conservación de datos (Directiva 2006/24/CE), apartados 24, 71 y 72.

(15) Con arreglo al artículo 71, apartado 2, letra d), la autoridad competente con arreglo la MiFID propuesta puede exigir los registros existentes sobre tráfico de datos y sobre datos telefónicos mantenidos por empresas de inversión cuando existan sospechas razonables de infracción de la MiFID propuesta.

(16) Véase el Dictamen del SEPD de 10 de febrero de 2012 sobre la propuesta de Directiva del Parlamento Europeo y del Consejo relativa a los mercados de instrumentos financieros, por la que se deroga la Directiva 2004/39/CE del Parlamento Europeo y del Consejo (Refundición) y una propuesta de Reglamento del Parlamento Europeo y del Consejo relativo a los mercados de instrumentos financieros y por el que se modifica el Reglamento [EMIR] relativo a los derivados OTC, las entidades de contrapartida central y los registros de operaciones.

(17) Véase el Dictamen del SEPD de 14 de enero de 2011 sobre la Comunicación de la Comisión al Parlamento Europeo, al Consejo, al Comité Económico y Social Europeo y al Comité de las Regiones — «Un enfoque global de la protección de los datos personales en la Unión Europea» (DO C 181 de 22.6.2011, p. 1), apartados 108 a 115.

(18) Asuntos acumulados C-92/09 y C-93/09, Schecke, apartados 56 a 64.

(19) Véase asimismo en este sentido, el Dictamen del SEPD de 15 de abril de 2011 sobre las normas financieras aplicables al presupuesto anual de la Unión (DO C 215 de 21.7.2011, p. 13).

(20) Véase la evaluación de impacto, p. 166.

(21) Es decir, de conformidad con el artículo 27 del Reglamento propuesto que establece los criterios para la determinación de las sanciones.

(22) Véase la evaluación de impacto, p. 167.

(23) Por ejemplo, las autoridades nacionales podrían considerar las siguientes medidas: retrasar la publicación hasta que el recurso sea desestimado o, tal como sugiere el informe de evaluación de impacto, indicar de manera clara que la decisión puede ser recurrida y de que la persona será considerada inocente hasta que la resolución sea definitiva, o publicar una rectificación en los casos en que la decisión sea anulada por un tribunal.

(24) Véase el Dictamen del SEPD, de 10 de abril de 2007, sobre la financiación de la política agrícola común (DO C 134 de 16.6.2007, p. 1).

(25) Véase en este sentido el documento publicado por la Autoridad de Protección de Datos (APD) italiana «Personal Data As Also Contained in Records and Documents by Public Administrative Bodies: Guidelines for Their Processing by Public Bodies in Connection with Web-Based Communication and Dissemination», disponible en el sitio web de la APD italiana: http://www.garanteprivacy.it/garante/doc.jsp?ID=1803707

(26) Estas preocupaciones también están relacionadas con el derecho más general a ser olvidado, la inclusión del cual en el nuevo marco legislativo para la protección de datos personales está en fase de debate.

(27) Estas medidas y garantías pueden consistir, por ejemplo, en la exclusión de la indexación de datos a través de motores de búsqueda externos.

(28) El Grupo de Trabajo del Artículo 29 publicó en 2006 un dictamen sobre dichos sistemas, en el que abordaba los aspectos relacionados con la protección de datos de este fenómeno: Dictamen 1/2006 relativo a la aplicación de las normas sobre protección de datos de la UE a los sistemas internos de denuncia de irregularidades en los ámbitos de la contabilidad, controles de auditoría internos, cuestiones de auditoría, lucha contra la corrupción y delitos financieros y bancarios (Dictamen del Grupo de Trabajo sobre las denuncias de irregularidades). El dictamen puede ser consultado en la página web del Grupo de Trabajo del Artículo 29: http://ec.europa.eu/justice/policies/privacy/workinggroup/index_en.htm

(29) Véanse, por ejemplo, el Dictamen del SEPD, de 15 de abril de 2011, relativo a las normas financieras aplicables al presupuesto anual de la Unión, y el Dictamen de 1 de junio de 2011 relativo a las investigaciones efectuadas por la Oficina Europea de Lucha contra el Fraude, ambos disponibles en http://www.edps.europa.eu

(30) El SEPD ya subrayó la importancia de conservar la confidencialidad de la identidad del denunciante en una carta enviada al Defensor del Pueblo Europeo el 30 de julio de 2010, en el expediente 2010-0458, que puede consultarse en el sitio web del SEPD (http://www.edps.europa.eu). Véanse asimismo los Dictámenes de Control Previo del SEPD de 3 de febrero de 2012 y de 23 de junio de 2006, relativos a las investigaciones internas de la OLAF (expediente 2005-0418), y el Dictamen de Control Previo, de 4 de octubre de 2007, relativo a las investigaciones externas de la OLAF (expedientes 2007-47, 2007-48, 2007-49, 2007-50, 2007-72).

(31) Véase el Dictamen de 15 de abril de 2011 relativo a las normas financieras aplicables al presupuesto anual de la Unión, disponible en http://www.edps.europa.eu