ES Diario Oficial de la Unión Europea C 220/1

Dictamen del Supervisor Europeo de Protección de Datos sobre la propuesta de Directiva del Parlamento Europeo y del Consejo por la que se modifican las Directivas 89/666/CEE, 2005/56/CE y 2009/101/CE en lo que respecta a la interconexión de los registros centrales, mercantiles y de sociedades

2011/C 220/01

EL SUPERVISOR EUROPEO DE PROTECCIÓN DE DATOS,

Visto el Tratado de Funcionamiento de la Unión Europea y, en particular, su artículo 16,

Vista la Carta de los Derechos Fundamentales de la Unión Europea y, en particular, sus artículos 7 y 8,

Vista la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (1),

Vista la solicitud de dictamen, hecha de conformidad con el artículo 28, apartado 2, del Reglamento (CE) no 45/2001 del Parlamento Europeo y del Consejo, de 18 de diciembre de 2000, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones y los organismos comunitarios y a la libre circulación de estos datos (2),

HA ADOPTADO EL SIGUIENTE DICTAMEN:

I. INTRODUCCIÓN

1. El 24 de febrero de 2011, la Comisión adoptó una propuesta de Directiva del Parlamento Europeo y del Consejo por la que se modifican las Directivas 89/666/CEE, 2005/56/CE y 2009/101/CE en lo que respecta a la interconexión de los registros centrales, mercantiles y de sociedades (3) (en lo sucesivo, la «propuesta») y a continuación consultó al SEPD.

2. Al SEPD le complace haber sido consultado con arreglo a lo establecido en el artículo 28, apartado 2, del Reglamento (CE) no 45/2001 y que se haya incluido una referencia al presente dictamen en el preámbulo de la propuesta.

1.1. Objetivos de la propuesta

3. El objetivo de la propuesta es facilitar e intensificar la cooperación transfronteriza y el intercambio de información entre los registros mercantiles del Espacio Económico Europeo y, de este modo, aumentar tanto la transparencia como la fiabilidad de la información disponible con carácter transfronterizo. Unos procedimientos de cooperación administrativa eficientes en lo que respecta a los registros mercantiles son vitales para incrementar la confianza en el mercado único europeo, mediante la garantía de un entorno empresarial más seguro para los consumidores, los acreedores y otros interlocutores de las empresas, la reducción de las cargas administrativas y el aumento de la seguridad jurídica. Intensificar los procedimientos de cooperación administrativa relacionados con los registros mercantiles de Europa resulta especialmente importante en los procedimientos de fusión transfronteriza, traslado de domicilio social y actualización de los registros de empresas extranjeras, casos en que los mecanismos de cooperación son actualmente limitados o inexistentes.

4. Con esta finalidad, la propuesta tiene por objeto modificar las siguientes Directivas: — las modificaciones de la Directiva 2009/101/CE (4) tienen por objeto facilitar el acceso transfronterizo a información oficial sobre las empresas mediante i) la creación de una red electrónica de registros mercantiles, y ii) la determinación de un conjunto mínimo común de información actualizada que cada Estado miembro deba tener a disposición de terceros por vía electrónica, a través de un punto de acceso o plataforma multilingüe europea común, — las modificaciones de la Directiva 89/666/CEE (5) buscan garantizar que el registro mercantil de una empresa proporcione información actualizada sobre la situación legal de esa empresa a los registros mercantiles de sucursales extranjeras en toda Europa; y por último, — las modificaciones de la Directiva 2005/56/CE (6) tienen por objeto mejorar los procedimientos de cooperación entre los registros mercantiles en los procedimientos de fusiones transfronterizas.

1.2. Contexto de la propuesta

5. Los registros mercantiles existen en todos los Estados miembros y están organizados a nivel nacional, regional o local. En 1968 se adoptaron normas comunes para establecer las condiciones mínimas para la publicidad (registro y publicación) de información sobre las empresas (7). Desde el 1 de enero de 2007, los Estados miembros también deben mantener registros mercantiles electrónicos (8) y permitir el acceso por parte de terceros al contenido de dicho registro electrónico.

6. La cooperación relativa a los registros mercantiles de diferentes Estados miembros es exigida explícitamente por algunos instrumentos jurídicos europeos a fin de facilitar las fusiones transfronterizas de las sociedades de capital (9) y el traslado transfronterizo de domicilio social de una Sociedad Europea (SE) (10) y de una Sociedad Cooperativa Europea (SCE) (11).

7. En 1992, se creó un mecanismo de cooperación voluntaria en relación con los registros mercantiles de Europa. Actualmente, el Registro Europeo de Empresas (en lo sucesivo, el «EBR» por sus siglas en inglés) (12) reúne a los registros mercantiles oficiales de 19 Estados miembros y de otros 6 países europeos. Entre 2006 y 2009, el EBR participó en BRITE (13), un proyecto de investigación cuyo objetivo era crear una plataforma tecnológica que permitiera la interoperabilidad de los registros mercantiles de toda Europa. La evaluación de impacto que acompaña a la propuesta explica, no obstante, que el EBR afronta importantes retos en lo que atañe a su expansión, financiación y gobernanza. Según dicho documento, el actual mecanismo de cooperación no resulta satisfactorio para los usuarios potenciales.

1.3. Sinergias con otras iniciativas

8. La exposición de motivos que acompaña a la propuesta señala que el Portal Europeo de e-Justicia (14) está destinado a convertirse en el principal punto de acceso a información jurídica, y a las instituciones, los registros, las bases de datos y otros servicios jurídicos y administrativos de la UE. Asimismo confirma que la propuesta es complementaria al proyecto de justicia en red y se considera que contribuirá a facilitar la obtención de información a través del portal.

9. Con arreglo a lo indicado en la evaluación de impacto, otro proyecto destacable con sinergias potenciales, es el Sistema de Información del Mercado Interior (IMI) (15), herramienta electrónica cuya finalidad es sustentar la cooperación administrativa cotidiana entre las Administraciones públicas, en el contexto de la Directiva de servicios (2006/123/CE) y la Directiva relativa a cualificaciones profesionales (2005/36/CE). El IMI está actualmente en proceso expansión y, según la evaluación de impacto, podría servir también de apoyo en la aplicación de otras directivas, incluido el ámbito del Derecho de sociedades.

II. DISPOSICIONES DESTACABLES DE LA PROPUESTA

10. El artículo 3 de la propuesta modifica varios aspectos de la Directiva 2009/101/CE, de los cuales dos poseen una relevancia significativa en materia de protección de datos.

2.1. Publicación de información a través del punto de acceso/plataforma electrónica europea común

11. El artículo 2 de la Directiva 2009/101/CE actualmente vigente ya exige que en el registro mercantil de cada Estado miembro se publique determinada información mínima para permitir que los terceros conozcan indicaciones relativas a las sociedades. Tal como se ha explicado en el apartado 1.2, los Estados miembros también deben mantener registros mercantiles electrónicos y permitir el acceso electrónico al contenido de dichos registros por parte de terceros.

12. El artículo 2 incluye una lista de once elementos de información básica de la sociedad que debe publicarse, incluidos los siguientes: — la escritura de constitución y los estatutos, y las modificaciones de los mismos, — capital suscrito, — documentos contables, — cambio de domicilio social, — disolución, resolución que declare la nulidad, nombramiento de los liquidadores, cierre de la liquidación, cancelación del registro.

13. Desde el punto de vista de la protección de datos, es importante que el artículo 2 exija la publicidad del «nombramiento, el cese de funciones, así como la identidad» (el subrayado es nuestro) de las personas que i) que tengan poder de obligar a la sociedad y/o ii) que estén implicados de cualquier otro modo en la «administración, la vigilancia o el control» de la sociedad.

14. La lista de elementos de los que se exige su publicidad con arreglo al artículo 2 no ha sido modificada por la propuesta, ni tampoco resulta una exigencia nueva el hecho de que los Estados miembros deban poner a disposición del público de manera electrónica esta información. La novedad de la propuesta es que la información que hasta el momento ha estado disponible de forma fragmentada, con frecuencia únicamente en los idiomas locales y a través de sitios web locales, ahora se puede conseguir con facilidad a través de un punto de acceso o plataforma europea común, en un entorno multilingüe.

15. A estos efectos, la propuesta introduciría un nuevo artículo 3 bis en la Directiva, para establecer que «los Estados miembros velarán por que los actos e indicaciones a que se refiere el artículo 2 contenidos en sus registros puedan facilitarse, a solicitud de cualquier persona, por medios electrónicos, a través de una plataforma electrónica europea única accesible desde cualquier Estado miembro.». La propuesta remite a actos delegados para una mayor especificación.

2.2. Interoperabilidad e interconexión de los registros mercantiles: establecimiento de una red electrónica

16. La propuesta también introduciría un nuevo artículo 4 bis en la misma Directiva 2009/101/CE, para establecer que «los Estados miembros adoptarán las medidas necesarias para garantizar que los [registros mercantiles] sean interoperables y formen una red electrónica». Una vez más, la propuesta remite a actos delegados para una mayor especificación.

2.3. Disposiciones en materia de protección de datos

17. Para tratar las cuestiones de protección de datos, la propuesta introduciría en el texto de las tres directivas que deben modificarse un artículo específico sobre la protección de datos que exige que «[e]l tratamiento de datos personales que se efectúe en el contexto de [la] Directiva se hará conforme a lo dispuesto en la Directiva 95/46/CE».

III. COMENTARIOS Y RECOMENDACIONES DEL SEPD

3.1. Introducción: satisfacción de las necesidades de transparencia e intimidad

18. El SEPD comparte la visión de la Comisión de que i) el uso de las tecnologías de la información y la comunicación pueden contribuir a aumentar la eficiencia de la cooperación en lo que a los registros mercantiles se refiere, y ii) que el aumento de la accesibilidad a la información de los registros mercantiles puede contribuir a aumentar la transparencia. Por ello, el SEPD apoya los objetivos de la propuesta y sus observaciones deben evaluarse desde este enfoque constructivo.

19. Al mismo tiempo, el SEPD también destaca que el incremento de la accesibilidad de los datos personales también conlleva un aumento de los riesgos para los mismos. Por ejemplo, mientras que la divulgación del domicilio privado de un representante de una sociedad puede contribuir a una correcta identificación de dicho representante, esta divulgación también podría tener un impacto negativo sobre su derecho como persona física a la protección de los datos personales. Esto se observa especialmente en relación con los datos personales que se ponen ampliamente a disposición del público de forma digital en múltiples idiomas en internet, a través de una plataforma o punto de acceso europeo de fácil acceso.

20. No hace mucho tiempo, los datos personales de los registros mercantiles (por ejemplo, el nombre, dirección y el modelo de la firma del director) se publicaban en papel y en la lengua local, a lo que únicamente seguía una visita personal del solicitante a la oficina del registro local. Es importante reconocer que esta situación es distinta en términos cualitativos de la publicación de los datos de forma digital a través de un punto de acceso electrónico nacional. La publicación de los datos personales a través de una plataforma o puntos de acceso europeos de fácil acceso supone un paso aún mayor, que aumenta tanto la accesibilidad de la información como los riesgos de la protección de los datos personales de las personas afectadas.

21. Entre los riesgos respecto de la intimidad que existen (debido a la fácil disponibilidad de los datos en formato digital a través de un punto de acceso electrónico común) se encuentra la usurpación de la identidad y otras actividades delictivas, así como el riesgo de que la información difundida pueda ser obtenida de manera ilícita y que las sociedades la utilicen para fines comerciales que no fueron previstos inicialmente, tras haber clasificado a las personas afectadas. Sin las adecuadas garantías, la información también podrá venderse a otras personas, o combinarse con otra información y venderla de nuevo a los gobiernos para su uso para fines no relacionados y no divulgados (por ejemplo, para la aplicación de la legislación tributaria u otras investigaciones penales o administrativas) sin una base jurídica adecuada (16).

22. Por todo lo anterior, debe valorarse cuidadosamente qué información personal debería estar disponible a través del punto de acceso o plataforma europea común y qué otras garantías de la protección de datos —incluidas las medidas técnicas que limitan las capacidades de búsqueda o descarga y de extracción automática de información— deberían aplicarse.

3.2. Deben establecerse garantías esenciales de protección de datos en la propia propuesta y no remitir esta tarea a actos delegados

23. Tal como se ha indicado en los apartados 2.1 y 2.2 supra, los artículos 3 bis y 4 bis propuestos de la Directiva 2009/101/CE son muy generales y el tratamiento de muchas cuestiones clave se deja a actos delegados.

24. A pesar de que el SEPD reconoce la necesidad de ser flexibles y, por lo tanto, la necesidad de la existencia de actos delegados, destaca que las garantías de protección de datos son elementos esenciales que deberían estar clara y específicamente establecidos directamente en el texto de la propia propuesta de Directiva. En este sentido, no pueden considerarse «elementos no esenciales» que pueden incluirse en posteriores actos delegados, adoptados con arreglo al artículo 290 del Tratado de Funcionamiento de la Unión Europea.

25. Por tanto, el SEPD recomienda que las disposiciones relativas a la protección de datos de la propuesta sean más específicas y vayan más allá de hacer una simple referencia a la Directiva 95/46/CE (véanse los apartados 3.4 a 3.13). Por tanto, en los actos delegados podrán incluirse disposiciones adicionales relativas a la aplicación de garantías específicas, sobre la base de una consulta al SEPD y, cuando sea necesario, de las autoridades nacionales de protección de datos (véanse los apartados 3.5, 3.6, 3.8, 3.9, 3.10, 3.12 y 3.13 infra).

3.3. La propia propuesta debería aclarar también otros elementos esenciales de las medidas propuestas

26. La propuesta no solo guarda silencio en relación con las garantías clave de protección de datos sino que también hay otras muchas cuestiones que quedan indefinidas. En particular, también remite a actos delegados para determinar los elementos esenciales sobre cómo desea llevar a cabo la i) interconexión de registros mercantiles y ii) la publicación de datos que se proponen.

27. La claridad en relación con estos otros elementos esenciales de la propuesta es una condición previa necesaria para adoptar garantías de protección de datos adecuadas. Por lo tanto, el SEPD recomienda que estos elementos esenciales deben establecerse en la propia Directiva propuesta (véanse los apartados 3.4 y 3.5 infra).

3.4. Gobernanza: las funciones, competencias y responsabilidades deberían ser aclaradas en la Directiva propuesta

28. Por el momento, la propuesta remite a los actos delegados para determinar las normas relativas a la gobernanza, gestión, funcionamiento y representación de la red electrónica (17).

29. Mientras que la evaluación de impacto y la exposición de motivos identifican algunas sinergias con el IMI y el Portal Europeo de e-Justicia, el texto de la Directiva propuesta deja la puerta abierta a diversas opciones que permiten que cualquier sinergia pueda llegar a materializarse, incluso un rediseño del EBR, el uso del IMI para determinados intercambios de datos y/o la utilización del Portal Europeo de e-Justicia como punto de acceso o plataforma para proporcionar información al público de los registros mercantiles.

30. Tampoco quedan excluidas otras opciones, como publicar una licitación para adjudicar el derecho de diseñar y operar la red electrónica o que la Comisión adopte un rol activo en el diseño y funcionamiento del sistema. Los representantes de los Estados miembros también podrían implicarse en la estructura de gobierno de la red electrónica.

31. Además, a pesar de que la propuesta en su redacción actual prevé una «plataforma electrónica europea única» (el subrayado es nuestro), no se excluye que el texto pueda ser modificado posteriormente en el procedimiento legislativo para ofrecer una estructura más descentralizada.

32. El SEPD señala asimismo que a pesar de que la propuesta actual no trata de manera específica la cuestión de la interconexión de los registros mercantiles con otras bases de datos (como, por ejemplo, los registros de la propiedad o los registros civiles), dicha situación es técnicamente posible y ya se da en algunos Estados miembros (18).

33. La elección de una u otra opción podrá conducir a estructuras de gobernanza de la red electrónica y de la herramienta electrónica que se utilizará para la difusión pública totalmente distintas, lo cual, a su vez, implica distintas funciones y responsabilidades de las partes implicadas, y también distintas funciones y responsabilidades desde el punto de vista de la protección de datos.

34. A este respecto, el SEPD hace hincapié en que las situaciones en que se traten datos personales, resulta fundamental identificar correctamente quién es el «responsable del tratamiento». Esto también fue destacado por el Grupo de Trabajo sobre protección del artículo 29 en su Dictamen 1/2010 sobre los conceptos de «responsable del tratamiento» y «encargado del tratamiento» (19). La principal razón por la que resulta fundamental identificar de clara e inequívoca al responsable del tratamiento es que dicha identificación determina quién debe ser responsable del cumplimiento de las normas de protección de datos, y es también importante para identificar la legislación aplicable (20).

35. Tal como señaló el dictamen del Grupo de Trabajo del artículo 29, «[s]i no está lo suficientemente claro qué es lo que se exige y a quién —por ejemplo, nadie es responsable o son varios los responsables posibles del tratamiento—, hay un riesgo evidente de que poco o nada ocurra y las disposiciones legales resulten ineficaces.».

36. El SEPD destaca que la claridad resulta especialmente necesaria cuando están implicados múltiples actores en una relación de cooperación, como suele ocurrir en los sistemas de información de la UE utilizados para fines públicos en que la finalidad del tratamiento está definida en la legislación europea.

37. Por estos motivos, el SEPD recomienda establecer, en el propio texto de la Directiva propuesta, y de una forma específica, clara e inequívoca: — si la red electrónica será operada por la Comisión o por un tercero y si tendrá una estructura centralizada o descentralizada, — las funciones y responsabilidades de cada parte implicada en el tratamiento de datos y la gobernanza de la red electrónica, incluida la Comisión, los representantes de los Estados miembros, los titulares de los registros mercantiles de los Estados miembros y los terceros, y — la relación entre el sistema electrónico previsto en la propuesta y otras iniciativas como el IMI, el Portal Europeo de e-Justicia y el EBR.

38. Desde el punto de vista de la protección de datos, estas aclaraciones deben ser específicas e inequívocas, a fin de establecer, sobre la base de la propia Directiva propuesta, si un determinado actor debe considerarse «responsable del tratamiento» o «encargado del tratamiento».

39. En principio, la propuesta debería contribuir de manera explícita a establecer, tal como parece derivarse de todo el proyecto en su conjunto, que tanto los titulares de los registros mercantiles como los operadores del sistema deberían ser considerados responsables del tratamiento en cuanto a sus propias actividades. Dicho esto, teniendo en cuenta que actualmente la propuesta no describe la estructura de gobernanza ni define quiénes serán los operadores del sistema electrónico, no puede descartarse que algunas de las entidades que finalmente operarán el sistema en un plano práctico, actuarán más como encargados del tratamiento que como responsables del mismo. Éste será el caso, en especial, si esta actividad se externaliza a un tercero que actúe estrictamente según las instrucciones. En cualquier caso, parece que seguirán existiendo múltiples responsables del tratamiento, al menos uno en cada Estado miembro, que son las entidades que mantienen los registros mercantiles. El hecho de que puedan haber otras entidades (privadas) implicadas como operadores, «distribuidores» o de cualquier otro modo, no cambia nada al respecto. En cualquier caso, esto debería estar especificado en la Directiva propuesta en aras de garantizar la claridad y la seguridad jurídica.

40. Por último, sin que ello sea menos importante, la propuesta debería también describir de manera más específica y más global las responsabilidades derivadas de estas funciones. Por ejemplo, la función de los operadores de garantizar que el sistema esté diseñado de un modo que facilite la privacidad así como su papel de coordinador en relación con las cuestiones en materia de protección de datos deberían estar incluidos en la propuesta.

41. El SEPD señala que todas estas aclaraciones serán asimismo relevantes para establecer quiénes son las autoridades de control de protección de datos competentes y respecto de qué tratamientos de datos personales.

3.5. Debe definirse en la Directiva propuesta el marco y el fundamento jurídico de los procedimientos de cooperación administrativa y de los flujos de datos

42. Parece que en su redacción actual, la red electrónica no está prevista para hacer que toda la información contenida en cada registro mercantil se ponga automáticamente a disposición del público para los otros registros mercantiles en el resto de Estados miembros. La propuesta simplemente exige la interconexión y la interoperabilidad de los registros mercantiles y proporciona, de este modo, las condiciones que permitan los intercambios de información y el acceso en un futuro. Con el fin de garantizar la seguridad jurídica, la propuesta debería aclarar si esta conclusión es correcta.

43. Además, la propuesta tampoco especifica cuáles son los flujos de datos o procedimientos administrativos que podrán establecerse a través de los registros mercantiles interconectados (21). El SEPD entiende que podrá ser necesaria cierta flexibilidad para garantizar que pueden solucionarse las necesidades que puedan surgir en el futuro. Una vez dicho esto, el SEPD considera que resulta fundamental que la propuesta especifique el marco para los flujos de datos y los procedimientos de cooperación administrativa que puedan tener lugar en el futuro, utilizando la red electrónica. Lo anterior es especialmente importante para garantizar que i) los intercambios de datos se hacen sobre la base de un fundamento jurídico sólido y que ii) se ofrecen las garantías de protección de datos adecuadas.

44. En opinión del SEPD, los intercambios de datos u otras actividades de tratamiento de datos que utilicen la red electrónica (por ejemplo, la publicación de datos personales a través de un punto de acceso o plataforma común) deberían estar basados en un acto vinculante de la Unión Europea, adoptado sobre una base jurídica sólida. Esto debería quedar establecido de manera clara en la Directiva propuesta (22).

3.6. En la Directiva propuesta, también deberían discutirse otras cuestiones clave cuyo tratamiento se deja a actos delegados

45. Asimismo, la propuesta establece que los actos delegados determinarán las siguientes cuestiones (23): — las condiciones en las que los países no integrantes del Espacio Económico Europeo puedan participar en la red electrónica, — los criterios mínimos de seguridad para la red electrónica, y — la definición de normas técnicas sobre formatos, contenidos y límites para el almacenamiento y recuperación de los actos e indicaciones que permitan el intercambio automático de datos.

46. Respecto del primer y segundo incisos, el SEPD considera que deberían establecerse determinadas garantías fundamentales en la propia Directiva propuesta (véanse los apartados 3.12 y 3.13 infra), pudiéndose establecer más detalles en actos delegados.

47. En relación con los intercambios automáticos de datos, al SEPD le complace que la propuesta exija que los actos delegados establezcan «la definición de normas técnicas sobre formatos, contenidos y límites para el almacenamiento y recuperación de los actos e indicaciones que permitan el intercambio automático de datos».

48. Para ofrecer una mayor claridad a este respecto, el SEPD recomienda que la propia Directiva propuesta especifique de manera clara que la red electrónica permite i) intercambios manuales de datos específicos e individualizados entre los registros mercantiles (tal como se establece en un acto de la Unión, como en el caso de una fusión o un traslado de domicilio), y ii) transmisiones automáticas de datos (tal como se establece en un acto de la Unión como en el caso de la actualización de información en el registro de sucursales extranjeras).

49. En aras de una mayor claridad, el SEPD también recomienda que el texto propuesto para el correspondiente artículo 4 bis, apartado 3, letra i), de la Directiva 2009/101/CE sea modificado para garantizar que i) los actos delegados cubrirán de manera general tanto los intercambios de datos manuales como los automáticos y que ii) se cubren todas las operaciones de tratamiento que puedan implicar datos personales (no solo el almacenamiento y la recuperación, y que iii) la aplicación práctica de las pertinentes garantías de protección de datos se garantizará mediante disposiciones específicas en materia de protección de datos.

50. Para ilustrar lo anterior, el artículo 4 bis, apartado 3, letra i), podría quedar modificado, por ejemplo, del siguiente modo: «i) formatos, contenidos y límites para las operaciones manuales o automáticas de tratamiento de datos que tengan lugar mediante el uso de la red, incluidas la transmisión, el almacenamiento y la recuperación de información; así como las medidas específicas que puedan ser necesarias para garantizar la aplicación práctica de las correspondientes garantías de protección de datos».

3.7. Debería proporcionarse una mayor aclaración sobre las categorías de datos personales tratados en la Directiva propuesta

51. A modo de observación preliminar, el SEPD destaca que mientras que los nombres (y posiblemente otros detalles, como los domicilios privados) de los representantes de las empresas (y de otras personas implicadas en el gobierno de las empresas) constituyen, sin lugar a dudas, los datos personales más obvios que pueden ser procesados por la red electrónica y/o publicados a través del punto de acceso/plataforma electrónica común, estos no son de ningún modo la única información personal que se conserva en los registros mercantiles.

52. En primer lugar, algunos de los documentos incluidos en el artículo 2 de la Directiva 2009/101/CE (por ejemplo, la escritura de constitución, los estatutos y los documentos contables) también pueden incluir datos personales de otras personas. Estos datos pueden incluir, entre otros, nombres, direcciones, posiblemente números de identificación y fechas de nacimiento, y hasta digitalizaciones de firmas manuscritas, de diversas personas físicas, incluidos los fundadores de la empresa, accionistas, abogados, contables, empleados o notarios públicos.

53. En segundo lugar, los datos de la empresa, cuando están relacionados con el nombre de una persona física (como el director) también podrían ser considerados datos personales relativos a dicha persona. Por ejemplo, si los datos del registro mercantil muestran que una determinada persona física está en el consejo de administración de una sociedad que está en liquidación, esta información también es relevante para dicha persona.

54. Para asegurar la claridad respecto de qué datos personales se tratan y garantizar que el conjunto de datos procesados es proporcional con los objetivos de la propuesta, el SEPD recomienda que se proceda a realizar las aclaraciones establecidas en el presente apartado 3.7.

La expresión «la identidad de las personas» debería aclararse en la Directiva propuesta

55. El artículo 2 de la Directiva 2009/101/CE no define qué «identidad» de las personas afectadas (representantes de empresas y otras personas implicadas en el gobierno corporativo) es necesario publicar.

56. De hecho, las diversas versiones lingüísticas de la propuesta muestran diferencias significativas incluso respecto de la traducción de la frase «identidad de las personas». Por ejemplo, la frase en francés es «l’identité des personnes» (es decir, la identidad de las personas), en italiano es «le generalità delle persone« (es decir, los detalles personales como el nombre y el apellido), en húngaro, «személyek adatai» (es decir, datos de las personas físicas), en neerlandés, «de identiteit van de personen» (es decir, la identidad de las personas) y en rumano, «identitatea persoanelor» (es decir, la identidad de las personas).

57. Además, en algunos Estados miembros, los domicilios privados de los administradores de la empresa y/o de otras personas físicas como los accionistas se publican de forma rutinaria en internet. En otros Estados miembros, por motivos de confidencialidad e, incluso por el miedo a que exista una usurpación de la identidad, los registros mercantiles mantienen de manera confidencial esta información.

58. El SEPD recomienda modificar el artículo 2 de la Directiva 2009/101/CE para que aclare qué datos personales, además de los nombres de las personas físicas afectadas (representantes de empresas y otras personas implicadas en el gobierno corporativo), es necesario que se publiquen. Para ello, debería considerarse detenidamente la necesidad de transparencia y la identificación precisa de dichas personas físicas aunque esto debe ponderarse con otras preocupaciones contradictorias, como la necesidad de proteger la privacidad de las personas físicas afectadas (24).

59. Si no se alcanza un acuerdo debido a las diferencias en las prácticas nacionales, el artículo 2 debería al menos modificarse para que exija que se publique «el nombre completo de las personas físicas afectadas y, si la legislación nacional lo exige específicamente, otros datos necesarios para su identificación». De ese modo, quedará claro que no se deja decidir a cada Estado miembro, en la legislación nacional qué «identidad», en su caso, además de los nombres, van a publicarse y que únicamente se exigirá la publicación de los datos personales adicionales si esto es necesario para identificar a las personas físicas afectadas.

60. Como alternativa, y teniendo en cuenta que el artículo 2 indica una «información mínima» en lugar de armonizar completamente el contenido de los registros mercantiles en toda Europa, la frase «identidad de las personas» podría ser sustituida simplemente por la frase «nombres completos de las personas». Restaría entonces también a cada Estado miembro decidir qué información adicional, en su caso, desea publicar.

Debería aclararse la expresión «la administración, la vigilancia o el control»

61. El artículo 2 de la Directiva 2009/101/CE también exige la publicación de la información sobre las personas que participen en la «administración, la supervisión o el control» de la sociedad. Con esta amplia formulación, no queda en absoluto claro si es necesario publicar la información relativa a los accionistas, en particular, la información sobre los accionistas que posean i) acciones significativas, influyentes o de control por encima de un determinado umbral, o ii) que mediante acciones de oro, acuerdos contractuales específicos o de otro modo ejerzan un control o influencia efectiva sobre la sociedad.

62. El SEPD entiende que esta amplia formulación es necesaria para cubrir la gran variedad de estructuras de gobierno corporativo que existen actualmente para las sociedades de capital en los distintos Estados miembros. Una vez dicho esto, desde el punto de vista de la protección de datos resulta esencial que exista seguridad jurídica sobre las categorías de personas físicas cuyos datos pueden publicarse. Por tanto, el SEPD recomienda modificar el artículo 2 de la Directiva 2009/101/CE para aclarar, en su caso, qué datos personales relativos a los accionistas es necesario publicar. Para ello, deberá realizarse un análisis de la proporcionalidad con arreglo a lo establecido en la sentencia Schecke (tal como se ha indicado anteriormente).

Publicación de información más allá del mínimo exigido; listas negras

63. A pesar de que la propuesta no exige el intercambio o la publicación de datos personales más allá de los requisitos mínimos establecidos en el artículo 2 de la Directiva 2009/101/CE, no excluye que los Estados miembros, si así lo desean, puedan exigir que los registros mercantiles procesen o publiquen más datos personales y que los publiquen también a través del punto de acceso o plataforma europea común ni que los intercambien con los registros mercantiles de otros Estados miembros.

64. Esta cuestión es especialmente sensible en relación con las «listas negras». En algunos países, el registro electrónico también funciona en realidad como una especie de «lista negra» y puede ser consultado por terceros a través de un portal electrónico para la información sobre los representantes de la sociedad a quienes se les ha prohibido ejercer sus funciones.

65. Para tratar esta cuestión, el SEPD recomienda que la propuesta aclare si y en qué medida los Estados miembros podrán eventualmente publicar más información a través del portal común y/o podrán eventualmente intercambiar más información entre ellos si así lo deciden, sobre la base de sus propias legislaciones nacionales. En este caso, una evaluación de la proporcionalidad estricta (véase la sentencia Schecke, citada anteriormente) debería estar basada en la legislación nacional y debería tener en cuenta, asimismo, los objetivos del mercado interior.

66. Además, el SEPD sugiere vincular el uso de estas competencias al papel que deben tener las autoridades nacionales de protección de datos, por ejemplo, a través del mecanismo de consulta.

67. Por último, el SEPD destaca que si se prevé un régimen europeo para exigir de manera específica dichas «listas negras», esto deberá establecerse específicamente en la Directiva propuesta (25).

3.8. Garantías para asegurar la limitación a una finalidad específica; garantías contra la recolección de datos, la extracción de datos, la combinación de datos y las búsquedas de descarga

68. El SEPD recomienda que la Directiva propuesta debería establecer de manera específica que en todos los casos en que los datos personales se publiquen o se compartan de cualquier otro modo entre los registros mercantiles, deberán establecerse las garantías adecuadas contra la recolección de datos, la extracción de datos, la combinación de datos y las búsquedas de descarga, a fin de garantizar que los datos personales que se han puesto a disposición para los fines de transparencia no se utilicen de manera incorrecta para otros fines no relacionados (26).

69. El SEPD destaca especialmente la necesidad de considerar medidas tecnológicas y organizativas que sigan el principio de intimidad mediante el diseño (véase el apartado 3.14 infra). La aplicación práctica de estas garantías podrá dejarse a actos delegados. Sin embargo, los principios deberían establecerse en la propia Directiva propuesta.

3.9. Transparencia e información a los interesados

70. El SEPD recomienda que la Directiva propuesta incluya una disposición específica que exija que la información con arreglo a los artículos 10 y 11 de la Directiva 95/46/CE [y las correspondientes medidas del Reglamento (CE) no 45/2001, en su caso] deberá proporcionarse a los interesados de un modo eficaz y global. Además, y en función de la estructura de gobierno que se acuerde y las funciones y responsabilidades de las distintas partes implicadas, la Directiva propuesta podrá exigir específicamente que el operador del sistema adopte un papel proactivo a la hora de proporcionar a los interesados avisos y otra información en su página web, también «en nombre de» los registros mercantiles. Los actos delegados podrán incluir más detalles, en caso necesario, o estos podrán establecerse en una política de protección de datos.

3.10. Derechos de acceso, rectificación y supresión

71. La propuesta debería al menos incluir una referencia a la exigencia de desarrollo de las modalidades de una medida (en actos delegados) para permitir a los interesados utilizar sus derechos. También debería hacerse referencia a la posibilidad de construir un módulo de protección de datos y a la posibilidad de incluir soluciones de intimidad mediante el diseño para la cooperación entre las autoridades en relación con los derechos de acceso, así como la «capacitación de los interesados» cuando sea preciso.

3.11. Legislación aplicable

72. Teniendo en cuenta que es posible que la Comisión o cualquier otra institución u organismo europeo también pueda procesar datos personales en la red electrónica (por ejemplo, si actúa como operador de la red o si recupera datos personales de la misma), debería asimismo incluirse una referencia al Reglamento (CE) no 45/2001.

73. También debería aclararse que la Directiva 95/46/CE resulta aplicable tanto a los registros mercantiles como a las otras partes que actúen con arreglo a las legislaciones nacionales de los Estados miembros, mientras que el Reglamento (CE) no 45/2001 es aplicable a la Comisión y a otras instituciones y organismos comunitarios.

3.12. Transmisiones de datos personales a terceros países

74. Respecto de las transmisiones de datos personales por el titular de un registro mercantil de la Unión Europea al titular de un registro mercantil de un país tercero que no proporciona un nivel de protección adecuado de los datos personales, el SEPD desea destacar, en primer lugar, que es importante diferenciar dos situaciones: — los casos en que los datos personales ya están disponibles en el registro público (como a través del punto de acceso o plataforma europea común), y — los casos en que los datos personales no están disponibles públicamente.

75. En el primer caso, el artículo 26, apartado 1, letra f), de la Directiva 95/46/CE permite una excepción cuando la «transferencia tenga lugar desde un registro público», sujeta al cumplimiento de determinadas condiciones. Por ejemplo, si el titular de un registro comercial de un país europeo desea transferir un conjunto determinado de datos personales (por ejemplo, vinculados al registro de sucursales extranjeras) al titular de un registro mercantil de un país tercero, y los mismos datos ya están disponibles públicamente, la transferencia sería posible en todo caso incluso si el país tercero en cuestión no ofrece un nivel de protección adecuado.

76. En el segundo caso, el SEPD recomienda que la propuesta aclare que las transferencias de datos que no están disponibles públicamente podrán realizarse únicamente a entidades o personas físicas de un país tercero que no ofrecen una protección adecuada si el responsable del tratamiento alega las garantías adecuadas en relación con la protección de la privacidad y los derechos fundamentales, así como de las libertades de las personas físicas y respecto del ejercicio de los derechos correspondientes. Dichas garantías podrán, en particular, derivar de cláusulas contractuales vigentes con arreglo al artículo 26, apartado 2, de la Directiva 95/46/CE (27). En los casos en que dichas transferencias de datos impliquen sistemáticamente que los registros mercantiles compartan datos en dos o más países de la Unión, o en los casos en que es deseable una acción a nivel europeo, también podrá tener lugar una negociación de cláusulas contractuales a escala de la Unión (artículo 26, apartado 4).

77. El SEPD destaca que otras excepciones como la que establece que [artículo 26, letra d)] «la transferencia sea necesaria o legalmente exigida para la salvaguardia de un interés público importante, o para el reconocimiento, ejercicio o defensa de un derecho en un procedimiento legal», no deberían utilizarse para justificar las transferencias de datos sistemáticas a terceros países a través de la red electrónica.

3.13. Rendición de cuentas e intimidad mediante el diseño

78. El SEPD recomienda que la propuesta haga referencia de manera específica y luche por aplicar el principio de rendición de cuentas (28) y establezca un marco claro para los mecanismos internos y los sistemas de control adecuados con el fin de garantizar el cumplimiento de la protección de datos y aportar pruebas de ello, como: — realizar una evaluación de impacto sobre la privacidad (incluyendo asimismo un análisis del riesgo para la seguridad) antes de diseñar el sistema, — adoptar y actualizar, en su caso, una política de protección de datos formal (normas de aplicación), también en relación con el plan de seguridad, — realizar auditorías periódicas para valorar la adecuación y el cumplimiento continuado de la política de protección de datos y la política de seguridad, — publicar (al menos parcialmente) los resultados de dichas auditorías para garantizar a las partes interesadas el cumplimiento de la legislación sobre protección de datos, y — notificar las violaciones de datos y otros incidentes de seguridad.

79. En cuanto a la intimidad mediante el diseño (29), la propuesta debería hacer referencia específicamente a este principio y este compromiso debería materializarse en acciones concretas. En particular, la propuesta debería establecer que la red electrónica debe construirse de manera segura y sólida y que posee, de manera predeterminada, una amplia gama de garantías para la privacidad. Entre los posibles ejemplos de las garantías de la intimidad mediante el diseño se incluyen los siguientes: — un enfoque descentralizado en que los datos únicamente se almacenan en una fuente «maestra» y en la que cada «distribuidor» únicamente recupera datos desde dicha fuente (para garantizar que los datos están actualizados), — procesos automáticos que buscan incoherencias e imprecisiones de la información, — capacidades de búsqueda limitadas para indexar únicamente datos que son proporcionales y adecuados para la finalidad, — otras garantías para evitar/limitar las grandes descargas, la extracción de datos, las búsquedas de descarga y garantizar la limitación a una finalidad específica adecuada; garantías para evitar o limitar la posibilidad del uso de la interfaz de búsqueda por parte de terceros para obtener datos y clasificar por perfiles a las personas físicas (por ejemplo, a través de las palabras «captcha» (30) o un requisito de registro para pagos), — funcionalidad del sistema incorporada para facilitar que los interesados ejerzan sus derechos de manera eficaz; las funcionalidades incorporadas para que los registros mercantiles se coordinen entre sí en relación con las solicitudes de acceso de los interesados, — procedimientos para tratar la información sobre los solicitantes que han descargado información desde un registro público de un modo seguro y que respete la privacidad, y — mecanismos de auditoría y pistas.

IV. CONCLUSIONES

80. El SEPD apoya los objetivos de la propuesta y sus observaciones deben evaluarse desde este enfoque constructivo.

81. El SEPD destaca que las garantías de protección de datos necesarias deberían establecerse de manera clara y específica directamente en el texto de la propia Directiva, ya que considera que son elementos esenciales. En actos delegados, podrán establecerse disposiciones adicionales relativas a la aplicación de garantías específicas.

82. Es necesario que la Directiva propuesta trate las cuestiones relativas al gobierno, las funciones, las competencias y las responsabilidades. A este fin, la Directiva propuesta debería establecer: — si la red electrónica será operada por la Comisión o por un tercero y si tendrá una estructura centralizada o descentralizada, — las funciones y responsabilidades de cada parte implicada en el tratamiento de datos y la gobernanza de la red electrónica, incluida la Comisión, los representantes de los Estados miembros, los titulares de los registros mercantiles de los Estados miembros y los terceros, — la relación entre el sistema electrónico previsto en la propuesta y otras iniciativas como el IMI, el Portal Europeo de e-Justicia y el EBR, y — elementos específicos e inequívocos para determinar si un determinado actor debería ser considerado un «responsable del tratamiento» o un «encargado del tratamiento».

83. Todas las actividades de tratamiento de datos que utilicen la red electrónica deberían estar basadas en un instrumento jurídico vinculante como un acto específico de la Unión, adoptado sobre la base de un fundamento jurídico sólido. Esto debería establecerse de manera clara en la Directiva propuesta.

84. Las disposiciones sobre la legislación aplicable deberían aclararse y se debería incluir una referencia al Reglamento (CE) no 45/2001.

85. Respecto de las transferencias de datos personales a terceros países, la propuesta debería aclarar que, en principio, y a excepción de los casos contemplados en el artículo 26, apartado 1, letra f), de la Directiva 95/46/CE, las transferencias podrán realizarse únicamente a entidades o personas físicas de un país tercero que no ofrecen una protección adecuada si el responsable del tratamiento alega las garantías adecuadas en relación con la protección de la privacidad y los derechos fundamentales, así como de las libertades de las personas físicas y del ejercicio de los correspondientes derechos. Dichas garantías podrán, en particular, derivar de cláusulas contractuales vigentes con arreglo a lo dispuesto en el artículo 26 de la Directiva 95/46/CE.

86. Asimismo, la Comisión debería evaluar con detenimiento qué medidas técnicas y organizativas debería adoptar para garantizar que la protección de datos y la intimidad están «diseñadas» en la arquitectura de la red electrónica («intimidad mediante el diseño») y qué controles adecuados existen para garantizar el cumplimiento de la protección de datos y aportar pruebas de ello («rendición de cuentas»).

87. Otras recomendaciones del SEPD incluyen: — que la Directiva propuesta debería especificar de manera clara que la red electrónica debería permitir i) por un lado, intercambios manuales de datos específicos entre los registros mercantiles, y, ii) por otro, transferencias automáticas de datos; que la propuesta debería también modificarse para garantizar que i) los actos delegados cubrirán totalmente tanto los intercambios automáticos de datos como los manuales, y ii) todas las operaciones de tratamiento que puedan afectar a datos personales (no sólo el almacenamiento y la recuperación), y que iii) las disposiciones específicas en materia de protección de datos de los actos delegados garantizarán la aplicación práctica de las correspondientes garantías de protección de datos, — la propuesta debería modificar el artículo 2 de la Directiva 2009/101/CE para que aclare qué datos personales, en su caso, además de los nombres de las personas físicas afectadas, son necesarios que se publiquen. También debería aclararse si es necesario publicar los datos relativos a los accionistas. Para ello, debería considerarse detenidamente la necesidad de transparencia y la identificación precisa de dichas personas físicas aunque esto debe ponderarse con otras preocupaciones contradictorias, como la necesidad de garantizar el derecho a la protección de los datos personales de las personas físicas afectadas, — en la propuesta debería aclararse si los Estados miembros pueden eventualmente publicar más información a través del portal común (y/o intercambiar más información entre sí) sobre la base de sus propias legislaciones nacionales, con sujeción a otras garantías de protección de datos, — la Directiva propuesta debería establecer de manera específica que los datos personales que están disponibles a efectos de la transparencia no se utilizan de manera incorrecta para otros fines no relacionados y que, a estos efectos, deberían aplicarse medidas tecnológicas y organizativas, siguiendo el principio de intimidad mediante el diseño, — la propuesta también debería incluir garantías específicas relativas a la disposición de comunicaciones a los interesados, así como al requisito de desarrollo de las modalidades de una medida que permita a los interesados hacer uso de sus derechos en actos delegados.

Hecho en Bruselas, el 6 de mayo de 2011. Giovanni BUTTARELLI Asistente del Supervisor Europeo de Protección de Datos

(1) DO L 281 de 23.11.1995, p. 31.

(2) DO L 8 de 12.1.2001, p. 1.

(3) Por razones de brevedad, en el presente dictamen los «registros centrales, mercantiles y de sociedades» se denominan «registros mercantiles».

(4) Directiva 2009/101/CE del Parlamento Europeo y del Consejo, de 16 de septiembre de 2009, tendente a coordinar, para hacerlas equivalentes, las garantías exigidas en los Estados miembros a las sociedades definidas en el artículo 48, párrafo segundo, del Tratado, para proteger los intereses de socios y terceros (DO L 258 de 1.10.2009, p. 11).

(5) Undécima Directiva 89/666/CEE del Consejo, de 21 de diciembre de 1989, relativa a la publicidad de las sucursales constituidas en un Estado miembro por determinadas formas de sociedades sometidas al Derecho de otro Estado (DO L 395 de 30.12.1989, p. 36).

(6) Directiva 2005/56/CE del Parlamento Europeo y del Consejo, de 26 de octubre de 2005, relativa a las fusiones transfronterizas de las sociedades de capital (DO L 310 de 25.11.2005, p. 1).

(7) Directiva 2009/101/CE, citada in extenso anteriormente. El artículo 1 de la Directiva limita el ámbito de aplicación de las disposiciones de la Directiva a «la sociedad anónima, la sociedad comanditaria por acciones, la sociedad de responsabilidad limitada».

(8) Directiva 2003/58/CE del Parlamento Europeo y del Consejo, de 15 de julio de 2003, por la que se modifica la Directiva 68/151/CEE del Consejo en lo relativo a los requisitos de información con respecto a ciertos tipos de empresas (DO L 221 de 4.9.2003, p. 13).

(9) Directiva 2005/56/CE, citada in extenso anteriormente.

(10) Reglamento (CE) no 2157/2001, de 8 de octubre de 2001, por el que se aprueba el Estatuto de la Sociedad Anónima Europea (SAE) (DO L 294 de 10.11.2001, p. 1).

(11) Reglamento (CE) no 1435/2003, de 18 de agosto de 2003, relativo al Estatuto de la Sociedad Cooperativa Europea (SCE) (DO L 207 de 18.8.2003, p. 1).

(12) http://www.ebr.org/

(13) http://www.briteproject.eu

(14) https://e-justice.europa.eu/home.do

(15) http://ec.europa.eu/internal_market/imi-net/index_en.html

(16) De hecho, existe un mercado en desarrollo que consiste en la venta de este tipo de información sobre las empresas, en que los proveedores de servicio de este mercado puntúan la fiabilidad de las empresas o de las personas físicas sobre la base de la información obtenida de muchos lugares, incluidos los registros mercantiles, los registros judiciales, los registros de insolvencia, etc.

(17) Véase el texto propuesto para el artículo 4 bis, apartado 3, letra a), de la Directiva 2009/101/CE.

(18) Teniendo en cuenta que la interconexión no está prevista actualmente en la propuesta, el SEPD no analizará más detalladamente esta cuestión en el presente dictamen en esta fase. Sin embargo, llama la atención sobre el hecho de que, en caso de que se contemplase la cuestión de la interconexión, sería necesario un análisis de la proporcionalidad independiente y la adopción de otras garantías de protección de datos adecuadas.

(19) Véase el artículo 2, letras d) y e), tanto de la Directiva 95/46/CE como del Reglamento (CE) no 45/2001; así como el Dictamen 1/2010 de 16 de febrero de 2010 del Grupo de Trabajo sobre protección del artículo 29 sobre los conceptos de «responsable del tratamiento» y «encargado del tratamiento» (WP169).

(20) Teniendo en cuenta que las legislaciones de protección de datos no están completamente armonizadas en Europa, la identidad del responsable del tratamiento resulta relevante para determinar cuál es la legislación nacional aplicable. Asimismo, también resulta importante para determinar si es aplicable la Directiva 95/46/CE o el Reglamento (CE) no 45/2001, ya que si la Comisión es (también) responsable del tratamiento, será (también) aplicable el Reglamento (CE) no 45/2001, tal como se explica en el apartado 3.11 infra.

(21) Esto es a excepción de, hasta cierta medida, los intercambios de datos en los casos de fusiones transfronterizas, traslado de domicilio social y actualización de la información de la sucursal, de los cuales se habla de manera específica en la propuesta.

(22) En este sentido, si existe una necesidad potencial del tratamiento de datos en el Mercado Interior, que no esté cubierta por un acto de la Unión Europea específico, el SEPD requiere que se consideren las modalidades de un marco jurídico que permitiría, quizás combinado con las disposiciones generales del Tratado, las disposiciones específicas en la Directiva propuesta y en los actos delegados posteriores, proporcionar una base jurídica adecuada desde el punto de vista de la protección de datos. Debe también especificarse en la Directiva propuesta si los registros mercantiles podrán utilizar la red electrónica y el punto de acceso común para intercambiar o publicar datos personales no previstos en un acto de la Unión pero permitido o exigido por la legislación nacional.

(23) Véase el texto propuesto para el artículo 4 bis, apartado 3, de la Directiva 2009/101/CE.

(24) Debería realizarse una evaluación de la proporcionalidad, en particular, tener en cuenta los criterios establecidos por el Tribunal de Justicia Europeo en la sentencia Schecke y Eifert (TJE de 9 de noviembre de 2010, asuntos acumulados C-92/09 y C-93/09; véanse en particular los apartados 81, 65 y 86). En la sentencia Schecke, el TJE subraya que las excepciones y las limitaciones en relación con la protección de datos personales deben aplicarse solo en la medida en que sea estrictamente necesario. El TJE consideró además que las instituciones deberían estudiar distintas formas de publicación para encontrar una que respetase el objetivo perseguido por dicha publicación y, al mismo tiempo, fuera menos lesiva para el derecho de los beneficiarios al respeto a la vida privada, en general, y a la protección de los datos de carácter personal, en particular.

(25) Teniendo en cuenta que esto no está previsto actualmente en la propuesta, el SEPD no analizará más detalladamente esta cuestión en el presente dictamen en esta fase. Sin embargo, llama la atención sobre el hecho de que, en caso de que se contemplase esta cuestión, sería necesario un análisis de la proporcionalidad independiente y la adopción de otras garantías de protección de datos adecuadas.

(26) Véase el artículo 6, letra b), de la Directiva 95/46/CE y el artículo 6, letra b), del Reglamento (CE) no 45/2001.

(27) Si es posible que en algunos casos la Comisión pueda estar entre los actores que pueden transferir los datos a terceros países, debería incluirse una referencia al artículo 9, apartados 1 y 7, del Reglamento (CE) no 45/2001.

(28) Véase el apartado 7 del Dictamen del SEPD sobre la Comunicación de la Comisión al Parlamento Europeo, al Consejo, al Comité Económico y Social Europeo y al Comité de las Regiones — «Un enfoque global de la protección de los datos personales en la Unión Europea», emitido el 14 de enero de 2011 en http://www.edps.europa.eu/EDPSWEB/webdav/site/mySite/shared/Documents/Consultation/Opinions/2011/11-01-14_Personal_Data_Protection_EN.pdf

(29) Ídem.

(30) Una palabra «captcha» es un tipo de prueba de desafío-respuesta utilizada en informática para intentar garantizar que la respuesta no ha sido generada por un ordenador.