El Reglamento es directamente aplicable en todos los Estados miembros. Esto significa que entra en vigor y se aplica con independencia de cualquier medida legislativa nacional: por lo general, el Reglamento puede ser invocado directamente por los ciudadanos, empresas, administraciones públicas y otras organizaciones que tratan datos personales. No obstante, de conformidad con el Reglamento, los Estados miembros han de adoptar las medidas necesarias para adaptar su legislación mediante la derogación y modificación de las leyes existentes, así como implantando autoridades nacionales de protección de datos, eligiendo un organismo de acreditación y estableciendo las normas para la conciliación de la libertad de expresión y la protección de los datos.

Asimismo, el Reglamento ofrece a los Estados miembros la posibilidad de precisar aún más la aplicación de las normas de protección de datos en sectores específicos: sector público, empleo y seguridad social, medicina preventiva y medicina laboral, sanidad pública, archivo con fines de interés público, investigación científica o histórica o con fines estadísticos, número nacional de identificación, acceso público a los documentos oficiales y obligaciones de secreto. Además, en el caso de los datos genéticos, datos biométricos y datos relativos a la salud, el Reglamento autoriza a los Estados miembros a mantener o introducir condiciones adicionales, inclusive limitaciones.

Las acciones de los Estados miembros en este contexto quedan enmarcadas por dos elementos:

1.el artículo 8 de la Carta, lo que significa que cualquier ley de especificación nacional debe cumplir los requisitos del artículo 8 de la Carta (y del Reglamento que se basa en el artículo 8 de la Carta), y

2.el artículo 16, apartado 2, del TFUE, en virtud del cual la legislación nacional no puede vulnerar la libre circulación de datos personales dentro de la UE.

El Reglamento supone la oportunidad para simplificar el entorno jurídico y, en consecuencia, tener un menor número de normas nacionales y una mayor claridad para los operadores.

Al adaptar su legislación nacional, los Estados miembros deben tener en cuenta que cualquier medida nacional que pueda obstaculizar la aplicabilidad directa del Reglamento y poner en peligro su aplicación simultánea y uniforme en el conjunto de la UE es contraria a los Tratados.

Asimismo, está prohibida la repetición del texto de los reglamentos en el Derecho nacional (por ejemplo, la repetición de las definiciones o los derechos de los individuos), salvo que sea estrictamente necesario por razones de coherencia y para que las disposiciones nacionales sean comprensibles para sus destinatarios. La reproducción literal del texto del Reglamento en la ley de especificación nacional debe ser excepcional y estar justificada, y no puede emplearse para añadir condiciones adicionales o interpretaciones al texto del Reglamento.

La interpretación del Reglamento compete a los órganos jurisdiccionales europeos (los tribunales nacionales y, en última instancia, el Tribunal de Justicia Europeo) y no a los legisladores de los Estados miembros. Por lo tanto, los legisladores nacionales no pueden ni copiar el texto del Reglamento cuando no sea necesario a la luz de los criterios establecidos por la jurisprudencia, ni interpretarlo o añadir condiciones adicionales a las normas directamente aplicables en virtud del Reglamento. Si lo hicieran, los operadores de toda la Unión se enfrentarían de nuevo a una situación de fragmentación y no sabrían qué normas deben cumplir.

En la fase actual, solo dos Estados miembros han adoptado ya la legislación nacional pertinente; los demás Estados miembros se encuentran en distintas etapas de sus procedimientos legislativos y tienen programado adoptar la legislación antes del 25 de mayo de 2018. Es importante dar a los operadores tiempo suficiente para prepararse para todas las disposiciones que deben cumplir.

En caso de que los Estados miembros no adopten las medidas necesarias requeridas en virtud del Reglamento, se retrasen en su adopción o hagan uso de las cláusulas de especificación previstas en el Reglamento de manera contraria a lo dispuesto en él, la Comisión hará uso de todos los instrumentos que tiene a su disposición, incluido el recurso al procedimiento de infracción.

3.2. Las autoridades de protección de datos deben garantizar que el nuevo Comité Europeo de Protección de Datos independiente sea plenamente operativo

Es esencial que el nuevo organismo establecido por el Reglamento, el Comité Europeo de Protección de Datos, sucesor del Grupo de trabajo del artículo 29, sea plenamente operativo para el 25 de mayo de 2018.

El Supervisor Europeo de Protección de Datos, que es la autoridad de protección de datos responsable de la supervisión de las instituciones y organismos de la UE, asumirá la secretaría del Comité Europeo de Protección de Datos, con el fin de mejorar las sinergias y la eficacia. En los últimos meses, el Supervisor Europeo de Protección de Datos ha comenzado los preparativos necesarios a tal efecto.

El Comité Europeo de Protección de Datos será el punto de referencia de la protección de datos en Europa. Contribuirá a una aplicación coherente de la legislación en materia de protección de datos y proporcionará una base sólida para la cooperación entre las autoridades de protección de datos, incluido el Supervisor Europeo de Protección de Datos. El Comité Europeo de Protección de Datos no solo publicará orientaciones sobre cómo interpretar los conceptos básicos del Reglamento, sino que también se le pedirá que emita decisiones vinculantes sobre conflictos relativos al tratamiento transfronterizo. Esto garantizará la aplicación uniforme de las normas de la UE y evitará que el mismo caso se trate de forma diferente en los distintos Estados miembros.

Así pues, el funcionamiento eficiente y fluido del Comité Europeo de Protección de Datos es requisito para que el sistema en su conjunto funcione correctamente. Ahora más que nunca, el Comité Europeo de Protección de Datos deberá crear una cultura común de protección de datos entre todas las autoridades nacionales de protección de datos para garantizar que las disposiciones del Reglamento se interpretan de manera coherente. El Reglamento fomenta la cooperación entre las autoridades de protección de datos, dándoles las herramientas para cooperar de manera eficaz y eficiente: concretamente, podrán realizar operaciones conjuntas, adoptar decisiones de común acuerdo y subsanar las divergencias que pudieran tener en relación con la interpretación del Reglamento en el seno del Comité por medio de dictámenes y decisiones vinculantes. La Comisión anima a las autoridades de protección de datos a adoptar estos cambios y a adaptar su funcionamiento, su financiación y su cultura de trabajo para poder cumplir con los nuevos derechos y obligaciones.

3.3. Los Estados miembros deben facilitar los recursos financieros y humanos necesarios a las autoridades nacionales de protección de datos

La creación de autoridades de control totalmente independientes en cada Estado miembro es fundamental para garantizar la protección de las personas físicas en lo que respecta al tratamiento de sus datos personales en la UE. Las autoridades de control no pueden salvaguardar de manera efectiva los derechos y libertades individuales a menos que actúen con total independencia. Cualquier fallo a la hora de garantizar su independencia y el ejercicio efectivo de sus competencias tiene una gran repercusión negativa sobre la aplicación de la legislación en materia de protección de datos.

El Reglamento codifica el requisito de que toda autoridad de protección de datos actúe de forma completamente independiente. Refuerza la independencia de las autoridades nacionales de protección de datos y les otorga competencias uniformes en toda la UE, a fin de que estén adecuadamente equipadas para tratar de manera efectiva las reclamaciones, llevar a cabo investigaciones eficaces, tomar decisiones vinculantes e imponer sanciones efectivas y disuasorias. También les confiere la facultad de aplicar multas administrativas a los responsables del tratamiento o a los encargados de hasta 20 millones EUR o, en el caso de una empresa, de hasta el 4 % del volumen de negocios total a nivel mundial del ejercicio fiscal anterior, la cifra que resulte más elevada.

Las autoridades de protección de datos son los interlocutores naturales y el primer punto de contacto para los ciudadanos, las empresas y las administraciones públicas en cuanto a consultas relacionadas con el Reglamento. El papel de las autoridades de protección de datos incluye informar a los responsables y a los encargados del tratamiento sobre sus obligaciones y aumentar la sensibilización del público en general y su comprensión de los riesgos, normas, garantías y derechos en relación con el tratamiento de los datos. No obstante, esto no significa que los responsables y los encargados del tratamiento deban esperar que las autoridades de protección de datos les proporcionen el tipo de asesoramiento jurídico personalizado e individualizado que solo un abogado o un responsable de la protección de datos puede ofrecer.