Source: EURLEX
Language: es
Format: md

|  |  |  |  |
| --- | --- | --- | --- |
| 31.8.2017 | ES | Diario Oficial de la Unión Europea | C 288/107 |

---

Dictamen del Comité Económico y Social Europeo sobre la propuesta de Reglamento del Parlamento Europeo y del Consejo relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones, órganos y organismos de la Unión y a la libre circulación de estos datos, y por el que se deroga el Reglamento (CE) n.o 45/2001 y la Decisión n.o 1247/2002/CE

[COM(2017) 8 final – 2017/0002 (COD)]

(2017/C 288/15)

|  |  |
| --- | --- |
| Ponente: | Jorge PEGADO LIZ |

|  |  |
| --- | --- |
| Consulta | Comisión Europea, 26.4.2017 |
| Fundamento jurídico | Artículo 16, apartado 2, del TFUE |
|  |  |
| Sección competente | Transportes, Energía, Infraestructuras y Sociedad de la Información |
| Aprobado en sección | 16.5.2017 |
| Aprobado en el pleno | 31.5.2017 |
| Pleno n.o | 526 |
| Resultado de la votación  (a favor/en contra/abstenciones) | 161/0/2 |

1.   Conclusiones y recomendaciones

|  |  |  |
| --- | --- | --- |
|  | 1.1 | Con la propuesta objeto de análisis, la Comisión da cumplimiento efectivo, de forma por lo general correcta y adecuada desde un punto de vista estrictamente técnico-jurídico, a la adaptación necesaria del actual régimen del Reglamento (CE) n.o 45/2001 del Parlamento Europeo y del Consejo [(1)](#ntr1-C_2017288ES.01010701-E0001) y la Decisión n.o 1247/2002/CE del Parlamento Europeo, del Consejo y de la Comisión [(2)](#ntr2-C_2017288ES.01010701-E0002) relativos a la protección de los datos de carácter personal por las instituciones y los organismos de la Unión al nuevo Reglamento general de protección de datos (RGPD)[(3)](#ntr3-C_2017288ES.01010701-E0003), que será aplicable en toda la UE a partir del 25 de mayo de 2018. |

|  |  |  |
| --- | --- | --- |
|  | 1.2 | Ello no es óbice para que el CESE recuerde el contenido de sus observaciones y recomendaciones relativas a la propuesta de RGPD, ahora transformada en el actual RGPD, y lamente que la versión final no las haya tenido en cuenta íntegramente, además de expresar su temor por que su aprobación y entrada en vigor tardías, dada la rápida evolución tecnológica en este ámbito, aumenten los riesgos de apropiación indebida de datos y el abuso de su tratamiento y comercialización, de manera que el Reglamento quede obsoleto incluso antes de su aplicación. En la medida en que la propuesta objeto de examen es una adaptación de ese RGPD al funcionamiento de las instituciones europeas, estos temores se aplican, mutatis mutandis, al texto en cuestión, en particular por lo que se refiere a la opacidad de su lenguaje, de difícil comprensión para el ciudadano medio. |

|  |  |  |
| --- | --- | --- |
|  | 1.3 | Por otro lado, el CESE considera que lo que ocurre en las instituciones de la UE debe tomarse como ejemplo para los procedimientos a nivel nacional, por lo que considera necesario tener un cuidado especial en la redacción de la propuesta sometida a examen. |

|  |  |  |
| --- | --- | --- |
|  | 1.4 | En este sentido, al CESE le gustaría que se hubiesen tratado de forma explícita aspectos como la articulación de la propuesta con el Estatuto de los funcionarios de la Unión Europea, el tratamiento de las situaciones de acoso, ciberacoso y denuncia de irregularidades dentro de las instituciones de la UE, su aplicación en lo que respecta a la internet de las cosas, los macrodatos y la utilización de motores de búsqueda con fines de acceso, creación o utilización de datos personales, así como la información personal publicada en las páginas de las instituciones en las redes sociales (Facebook, Twitter, Instagram, LinkedIn, etc.). |

|  |  |  |
| --- | --- | --- |
|  | 1.5 | Asimismo, el CESE valoraría que la propuesta se hubiese preocupado por enunciar los términos relativos a la seguridad de los sistemas informáticos que darán soporte a los tratamientos de datos y las garantías contra ciberataques y la violación o fugas de dichos dados, asegurando su neutralidad tecnológica, sin relegarlas únicamente a normas internas específicas de cada servicio, y aclarar así mejor la relación entre la protección de datos y la lucha contra la delincuencia y el terrorismo, sin que ello signifique la adopción de medidas desproporcionadas o excesivas de vigilancia y en cualquier caso siempre sujetas al control del Supervisor Europeo de Protección de Datos (SEPD). |

|  |  |  |
| --- | --- | --- |
|  | 1.6 | Valoraría también que la propuesta hubiese definido las competencias y las características de formación e idoneidad exigibles para la designación como delegado de protección de datos, responsable del tratamiento de datos y encargado del tratamiento en las instituciones de la UE, sometidas al control y seguimiento del SEPD. |

|  |  |  |
| --- | --- | --- |
|  | 1.7 | El CESE apreciaría también que, dada la especificidad de los datos recogidos que se refieren directamente a la vida privada de los interesados, en particular en términos de salud y datos fiscales y sociales, estos se limitasen a lo estrictamente necesario para los fines a los que se destinan y se garantizase la máxima protección y las máximas garantías en el tratamiento de dichos datos personales especialmente delicados, basándose en las normas internacionales y las legislaciones nacionales más avanzadas y en la mejores prácticas de algunos Estados miembros. |

|  |  |  |
| --- | --- | --- |
|  | 1.8 | El CESE destaca la necesidad de que la propuesta prevea expresamente el refuerzo de los medios del SEPD y la asignación de personal suficiente y elevados conocimientos y competencia técnica al ámbito de protección de datos. |

|  |  |  |
| --- | --- | --- |
|  | 1.9 | El CESE reafirma, una vez más, la necesidad de que los datos de las personas jurídicas (empresas, ONG, sociedades mercantiles, etc.) legalmente constituidas sean también objeto de protección en el ámbito de la recogida y tratamiento. |

|  |  |  |
| --- | --- | --- |
|  | 1.10 | Por último, el CESE señala en su análisis específico una serie de modificaciones en varios requisitos que, si se adoptan, contribuirán a una protección más eficaz de los datos personales en las instituciones de la UE, no solo en relación con sus funcionarios, sino también con miles de ciudadanos europeos que se ponen en contacto con ellas, por lo que insta a la Comisión, pero también al Parlamento Europeo y al Consejo, a que las tengan en cuenta en la redacción final de la propuesta. |

2.   Razones y objetivos de la propuesta

|  |  |  |  |  |  |  |
| --- | --- | --- | --- | --- | --- | --- |
|  | 2.1 | Según ha señalado la Comisión en la correspondiente exposición de motivos, el objetivo de su propuesta es  derogar el Reglamento (CE) n.o 45/2001 [(4)](#ntr4-C_2017288ES.01010701-E0004)  y la Decisión n.o 1247/2002/CE  relativos a la protección de los datos de carácter personal por las instituciones, órganos y organismos de la Unión, con dos objetivos:   |  |  | | --- | --- | | — | proteger el derecho fundamental a la protección de datos, y |  |  |  | | --- | --- | | — | garantizar la libre circulación de los datos personales dentro de la UE. | |

|  |  |  |
| --- | --- | --- |
|  | 2.2 | Tras una larga y atribulada gestación, el Consejo y el Parlamento aprobaron el Reglamento general sobre protección de datos (RGPD)[(5)](#ntr5-C_2017288ES.01010701-E0005), que será aplicable en toda la UE a partir del 25 de mayo de 2018; este Reglamento implica una adaptación de varios instrumentos legislativos[(6)](#ntr6-C_2017288ES.01010701-E0006), entre los que destacan el Reglamento (CE) n.o 45/2001 y la Decisión n.o 1247/2002/CE mencionados. |

|  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |
| --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- |
|  | 2.3 | Teniendo en cuenta los resultados de las investigaciones y las consultas a las partes interesadas y el estudio de evaluación de su aplicación a lo largo de los últimos quince años, de los que la Comisión da cuenta ampliamente, esta concluyó, en particular, que:   |  |  | | --- | --- | | — | el Reglamento (CE) n.o 45/2001 podría aplicarse de forma más rigurosa recurriendo a sanciones por parte del Supervisor Europeo de Protección de Datos (SEPD); |  |  |  | | --- | --- | | — | un uso más decidido de las competencias de la correspondiente autoridad de control podría dar lugar a una mejor aplicación de las normas de protección de datos; |  |  |  | | --- | --- | | — | es necesario simplificar el régimen de notificaciones y controles previos para aumentar la eficacia y reducir las cargas administrativas; |  |  |  | | --- | --- | | — | los responsables de los datos deben adoptar un método de gestión de riesgos y realizar evaluaciones de riesgos antes de llevar a cabo operaciones de tratamiento, con el fin de aplicar de la mejor forma los requisitos de conservación de datos y seguridad; |  |  |  | | --- | --- | | — | las normas sobre el sector de las telecomunicaciones están obsoletas y es necesario armonizar ese capítulo con la Directiva sobre la privacidad y las comunicaciones electrónicas; |  |  |  | | --- | --- | | — | es necesario aclarar algunas definiciones esenciales del Reglamento, como las relativas a la identificación de los responsables del tratamiento de datos en las instituciones, órganos y organismos de la Unión, la definición de los destinatarios y la ampliación de la obligación de confidencialidad a los encargados del tratamiento externos. | |

|  |  |  |
| --- | --- | --- |
|  | 2.4 | Teniendo en cuenta la naturaleza y la magnitud de las modificaciones que deben incorporarse en los anteriores instrumentos jurídicos, la Comisión decidió su derogación in totum y su sustitución por el Reglamento objeto de examen, de conformidad con las demás disposiciones citadas, para que entren en vigor simultáneamente con el Reglamento (UE) 2016/679 y con arreglo a lo dispuesto en su artículo 98. |

3.   Observaciones generales

|  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |  |
| --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- |
|  | 3.1 | Desde un punto de vista estrictamente técnico-jurídico, el CESE da su acuerdo de principio en cuanto a:   |  |  | | --- | --- | | — | la necesidad y la oportunidad de la iniciativa sometida a análisis; |  |  |  | | --- | --- | | — | el instrumento jurídico escogido: un reglamento; |  |  |  | | --- | --- | | — | la opción de derogar in totum los instrumentos existentes; |  |  |  | | --- | --- | | — | la base jurídica escogida para su aprobación; |  |  |  | | --- | --- | | — | el cumplimiento patente de los criterios de proporcionalidad, subsidiariedad y responsabilidad (accountability); |  |  |  | | --- | --- | | — | la claridad y la estructura de sus artículos; |  |  |  | | --- | --- | | — | una mejor definición de determinados conceptos como el del consentimiento válido; |  |  |  | | --- | --- | | — | la coherencia demostrada con los demás instrumentos jurídicos con los que está vinculado, en especial el Reglamento (UE) 2016/679, la propuesta de Reglamento COM(2017) 10 final y la propia Comunicación de la Comisión titulada «La construcción de una economía de los datos europea»[(7)](#ntr7-C_2017288ES.01010701-E0007); |  |  |  | | --- | --- | | — | la opción de haber incluido, por primera vez, multas expresas para los posibles incumplimientos e infracciones; |  |  |  | | --- | --- | | — | el refuerzo de los poderes del SEPD; |  |  |  | | --- | --- | | — | la no inclusión de esta iniciativa en el Programa REFIT; |  |  |  | | --- | --- | | — | el esfuerzo manifiesto de compatibilización con otros derechos fundamentales, en particular los consagrados en la Carta de los Derechos Fundamentales de la Unión Europea relativos a la libertad de expresión (artículo 11), la protección de la propiedad intelectual (artículo 17, apartado 2), la prohibición de la discriminación por razón de raza, origen étnico, características genéticas, religión o convicciones, opiniones políticas o de cualquier tipo, discapacidad u orientación sexual (artículo 21), los derechos del menor (artículo 24), el derecho a un elevado nivel de protección de la salud humana (artículo 35), el derecho de acceso a los documentos (artículo 42) y el derecho a la tutela judicial efectiva y a un juez imparcial (artículo 47). | |

|  |  |  |
| --- | --- | --- |
|  | 3.2 | Esto no afecta al contenido de sus observaciones y recomendaciones relativas a la propuesta de RGPD[(8)](#ntr8-C_2017288ES.01010701-E0008), ahora transformada en el actual RGPD[(9)](#ntr9-C_2017288ES.01010701-E0009), que la versión final no incluye íntegramente y cuya adopción y entrada en vigor tardías resultarán aún más perjudiciales, dada la rápida evolución tecnológica en este ámbito, que aumenta los riesgos de apropiación indebida de datos y el abuso de su tratamiento y comercialización, por lo que se teme que quede obsoleta incluso antes de su aplicación. En la medida en que la propuesta objeto de examen es una adaptación de ese RGPD al funcionamiento de las instituciones europeas, estos temores se aplican, mutatis mutandis, al texto en cuestión, en particular por lo que se refiere a la opacidad de su lenguaje, de difícil comprensión para el ciudadano medio, que idealmente tendría que haberse presentado y debatido de forma simultánea a esa propuesta. |

|  |  |  |
| --- | --- | --- |
|  | 3.3 | Por otro lado, habida cuenta de que lo que ocurre en las instituciones de la UE debe considerarse como ejemplo para los procedimientos a nivel nacional, al CESE le gustaría que se hubiesen abordado ciertos temas en la propuesta objeto de análisis. |

|  |  |  |
| --- | --- | --- |
|  | 3.4 | Desde luego, no está claro si esta última se ha articulado debidamente con el Estatuto de los funcionarios de la Unión Europea [Reglamento n.o 31 (CEE)[(10)](#ntr10-C_2017288ES.01010701-E0010)], puesto que faltan dispositivos normativos específicos que garanticen que los datos personales de los funcionarios y colaboradores de las instituciones sean objeto de una garantía de protección más eficaz en lo que se refiere a su contratación, carrera profesional, período de vigencia del contrato, posibles renovaciones y evaluación. |

|  |  |  |
| --- | --- | --- |
|  | 3.4.1 | Si no en este acto, deberían preverse no obstante disposiciones de carácter general con normas relativas al historial médico de los funcionarios y sus familiares, la protección de los datos creados o utilizados por los funcionarios y los respectivos datos genéticos, el tratamiento y la protección de mensajes enviados por correo electrónico, ya sean enviados por ciudadanos a los organismos de la UE o emitidos o intercambiados por funcionarios de dichos organismos entre ellos y con el exterior, y sus contenidos y páginas de internet visitadas[(11)](#ntr11-C_2017288ES.01010701-E0011). |

|  |  |  |
| --- | --- | --- |
|  | 3.4.2 | Del mismo modo, merecerían un tratamiento especial las situaciones de acoso, ciberacoso y denuncia de irregularidades dentro de las instituciones de la UE, no obstante lo dispuesto en el artículo 68. |

|  |  |  |
| --- | --- | --- |
|  | 3.4.3 | El CESE se plantea interrogantes asimismo sobre los términos de aplicación de la propuesta presentada y del Reglamento (UE) 2016/679 por lo que respecta a la internet de las cosas, los macrodatos y la utilización de motores de búsqueda con fines de acceso, creación o utilización de datos personales, así como la información personal publicada en las páginas de las instituciones en las redes sociales (Facebook, Twitter, Instagram, LinkedIn, etc.), con independencia del consentimiento expreso del interesado. |

|  |  |  |
| --- | --- | --- |
|  | 3.5 | Al CESE le gustaría que la propuesta de la Comisión, además de la referencia a la confidencialidad de las comunicaciones electrónicas del artículo 34 de la propuesta de Reglamento, se hubiese preocupado de enunciar los términos de seguridad de los sistemas informáticos que darán soporte a los tratamientos de datos[(12)](#ntr12-C_2017288ES.01010701-E0012) y las garantías contra ciberataques y la violación o fugas de dichos dados, asegurando su neutralidad tecnológica, sin relegarlas únicamente a normas internas específicas de cada servicio, y aclarar así mejor la relación entre la protección de datos y la lucha contra la delincuencia y el terrorismo, sin que ello signifique la adopción de medidas desproporcionadas o excesivas de vigilancia y en cualquier caso siempre sujetas al control del SEPD. |

|  |  |  |
| --- | --- | --- |
|  | 3.6 | El CESE destaca que la interconexión de datos personales dentro de las organizaciones de la UE no puede supeditarse solo al principio de rendición de cuentas previsto en el considerando 16 e insta, en ese sentido, a la Comisión a introducir una norma específica que exija que la interconexión solo pueda realizarse después de ser autorizada por el SEPD y solicitada por el responsable del tratamiento o, de manera conjunta, por el encargado del tratamiento. |

|  |  |  |
| --- | --- | --- |
|  | 3.7 | Valoraría que, sin perjuicio de lo dispuesto en el punto 51 del preámbulo y en el artículo 44, apartado 3, de la propuesta, se hubiesen definido las competencias y las características de formación e idoneidad exigibles para la designación como delegado de protección de datos, responsable del tratamiento de datos y encargado del tratamiento en las instituciones de la UE[(13)](#ntr13-C_2017288ES.01010701-E0013), cuyo posible incumplimiento de las obligaciones debería ser objeto de sanciones verdaderamente disuasorias, a nivel disciplinar, civil y penal, enunciadas en la propuesta y sujetas al control y seguimiento del SEPD. |

|  |  |  |
| --- | --- | --- |
|  | 3.8 | Aunque reconoce que la propuesta objeto de examen representa un aumento del nivel de protección con respecto al actual Reglamento (CE) n.o 45/2001, al CESE le gustaría que, dada la especificidad de los datos recogidos que afectan directamente a la vida privada de los interesados, en particular en términos de salud y datos fiscales y sociales, la propuesta los limitase a lo estrictamente necesario para los fines a los que se destinan y ofreciese la máxima protección y las máximas garantías en el tratamiento de los datos personales, basándose en las normas internacionales y las legislaciones nacionales más avanzadas y en la mejores prácticas de algunos Estados miembros[(14)](#ntr14-C_2017288ES.01010701-E0014). |

|  |  |  |
| --- | --- | --- |
|  | 3.9 | Aunque es consciente de que tanto el Reglamento (UE) 2016/679 como la propuesta presentada ahora solo se aplican a datos de interesados que sean personas físicas, reafirma la necesidad de que los datos de las personas jurídicas (empresas, ONG, sociedades mercantiles, etc.) legalmente constituidas sean también objeto de protección en el ámbito de la recogida y tratamiento. |

4.   Observaciones específicas

|  |  |  |
| --- | --- | --- |
|  | 4.1 | El análisis específico del texto de la propuesta suscita algunas dudas y reservas, a la luz de los principios fundamentales de defensa de la vida privada establecidos en la Carta de los Derechos Fundamentales de la UE y los principios de proporcionalidad y precaución. |

4.2   Artículo 3

Las instituciones y organismos de la Unión se definen el apartado 2, letra a), como las instituciones, órganos y organismos de la Unión establecidos por, o sobre la base del Tratado de la Unión Europea, el Tratado de Funcionamiento de la Unión Europea o el Tratado Euratom. El CESE se pregunta si esta definición incluye también los grupos de trabajo, consejos consultivos, comités, plataformas, grupos ad hoc., etc., así como las redes informáticas internacionales de la cuales formen parte las instituciones pero que no sean propiedad de ellas.

4.3   Artículo 4

|  |  |  |
| --- | --- | --- |
|  | 4.3.1 | Teniendo en cuenta que el Reglamento propuesto ahora se aplica a los datos tratados en el ámbito de las instituciones de la UE, el CESE desearía que se consagrase la introducción expresa del principio de no discriminación en virtud de los datos tratados. |

|  |  |  |
| --- | --- | --- |
|  | 4.3.2 | Por lo que se refiere al artículo 4, apartado 1, letra b), en el caso de tratamiento para fines de archivo en interés público, fines de investigación científica e histórica o fines estadísticos, este debe estar sujeto a una autorización previa del Supervisor Europeo de Protección de Datos, que no se prevé en el artículo 58. |

|  |  |  |
| --- | --- | --- |
|  | 4.3.3 | Por último, se entiende que debería existir una disposición expresa equivalente el actual artículo 7 del Reglamento (CE) n.o 45/2001 en lo que respecta a la transferencia de datos entre instituciones de la UE. |

4.4   Artículo 5

|  |  |  |
| --- | --- | --- |
|  | 4.4.1 | No se entiende por qué la letra b) del artículo 5, apartado 1, de la propuesta de Reglamento no está sujeta a lo establecido en el apartado 2 del mismo artículo, al contrario de lo que sucede con las letras c) y e) del artículo 6, ambas sometidas a lo dispuesto en el apartado 3 del RGPD. |

|  |  |  |
| --- | --- | --- |
|  | 4.4.2 | El CESE considera que en la letra d) debería añadirse que el consentimiento debe estar sujeto al principio de buena fe. |

4.5   Artículo 6

|  |  |  |
| --- | --- | --- |
|  | 4.5.1 | La aplicación de este artículo debe estar siempre sujeta a una autorización del Supervisor Europeo de Protección de Datos. |

|  |  |  |
| --- | --- | --- |
|  | 4.5.2 | En estos casos, siempre debe informase al interesado previamente de esta posibilidad en el momento de la recogida o cuando se tome una nueva decisión, pudiéndose solicitar eventualmente la rectificación, oposición, supresión o limitación de este tratamiento. |

4.6   Artículo 8

|  |  |  |
| --- | --- | --- |
|  | 4.6.1 | El CESE entiende que la excepción a la norma de validez del consentimiento de menores de 16 años (entre 13 y 16 años), ya de por sí aberrante, solo se permite a los Estados miembros por razones culturales de Derecho interno (artículo 8 del RGPD), pero no debe admitirse como norma para las instituciones de la UE (artículo 8, apartado 1), que determina los 13 años. |

|  |  |  |
| --- | --- | --- |
|  | 4.6.2 | Por otro lado, no se concreta de qué forma debe prestar el SEPD «especial atención» a los niños, como se establece en el artículo 58, apartado 1, letra b), especialmente en el caso de las guías de usuarios previstas en el artículo 36 cuando sus datos sean accesibles al público. |

4.7   Artículo 10

|  |  |  |
| --- | --- | --- |
|  | 4.7.1 | En el apartado 1 debe incluirse también la afiliación a partidos (que no es sinónimo de opinión política) y la vida privada. |

|  |  |  |
| --- | --- | --- |
|  | 4.7.2 | En el apartado 2, letra b), incluso para el cumplimiento de obligaciones y el ejercicio de derechos específicos del interesado, siempre deberá informarse previamente a este último. |

|  |  |  |
| --- | --- | --- |
|  | 4.7.3 | En el apartado 2, letra d), el tratamiento solo deberá poder efectuarse si existe consentimiento del interesado. |

|  |  |  |
| --- | --- | --- |
|  | 4.7.4 | La letra e) solo debe constituir una excepción siempre que se pueda deducir legítimamente de sus declaraciones el consentimiento para el tratamiento de los datos. |

4.8   Artículo 14

En la medida en que las instituciones de la UE no estén autorizadas a cobrar tasas por los servicios prestados, la negativa a actuar solo debe aplicarse como ultima ratio.

4.9   Artículos 15, 16 y 17

|  |  |  |
| --- | --- | --- |
|  | 4.9.1 | En el caso de la información adicional prevista en el artículo 15, apartado 2, debe añadirse también el requisito de que se informe al interesado del carácter obligatorio o facultativo de la respuesta del responsable del tratamiento, así como las posibles consecuencias de la ausencia de respuesta. |

|  |  |  |
| --- | --- | --- |
|  | 4.9.2 | En caso de recogida de datos en redes abiertas, debe informarse siempre al interesado de que sus datos personales podrían circular en las redes sin condiciones de seguridad, corriendo el riesgo de ser vistos y utilizados por terceros no autorizados. |

|  |  |  |
| --- | --- | --- |
|  | 4.9.3 | El derecho previsto en el artículo 17, apartado 1, debe ejercerse libremente sin restricciones, con una periodicidad razonable, de forma rápida o inmediata y sin coste. |

|  |  |  |
| --- | --- | --- |
|  | 4.9.4 | El CESE indica que el interesado también debería ser informado obligatoriamente sobre la confirmación de si se están tratando o no datos personales que le conciernen. |

|  |  |  |
| --- | --- | --- |
|  | 4.9.5 | La información a que se refiere el artículo 17, apartado 1, debe facilitarse de forma inteligible, clara y comprensible, en particular sobre los datos objeto de tratamiento y cualquier información sobre el origen de estos datos. |

4.10   Artículo 21

Con la exclusión en la propuesta de Reglamento de disposiciones idénticas a las del artículo 21, apartados 2 y 3, del RGPD se entiende que los datos nunca podrán tratarse para fines de comercialización directa, lo cual es elogiable, pero la incertidumbre de esta interpretación debería aclararse expresamente en la formulación de la disposición.

4.11   Artículo 24

|  |  |  |
| --- | --- | --- |
|  | 4.11.1 | El CESE entiende que en el apartado 2, letra c), debería añadirse que este consentimiento solo se produce tras informar expresamente sobre las repercusiones jurídicas de las decisiones para el interesado, puesto que solo en esa medida será el consentimiento debidamente informado. |

|  |  |  |
| --- | --- | --- |
|  | 4.11.2 | Por lo que se refiere al apartado 3, el CESE entiende que las medidas adecuadas deberían ser definidas por el Supervisor Europeo de Protección de Datos y no por el responsable del tratamiento. |

4.12   Artículo 25

|  |  |  |
| --- | --- | --- |
|  | 4.12.1 | El CESE teme que la redacción del artículo 25 de la propuesta de Reglamento constituya una interpretación demasiado amplia de lo dispuesto en el artículo 23 del RGPD en cuanto al ámbito de las limitaciones a la aplicación de los requisitos que establecen los derechos fundamentales del interesado, y aconsejaría a la Comisión su revisión crítica basada en un análisis exhaustivo y posiblemente limitativo de varias letras, en particular por lo que se refiere a la restricción del derecho a la confidencialidad en las redes de comunicación electrónica prevista en el artículo 7 de la Carta de los Derechos Fundamentales, contemplada en la actual Directiva sobre privacidad electrónica y mantenida en la propuesta de Reglamento analizada en otro dictamen del CESE. |

|  |  |  |
| --- | --- | --- |
|  | 4.12.2 | El CESE se opone rotundamente a la posibilidad prevista en el artículo 25, apartado 2, relativa a la limitación por las instituciones y organismos de la Unión de la aplicación de las limitaciones a los derechos de los interesados que no se deriven de actos jurídicos expresos que las autoricen. Lo mismo en el artículo 34. |

4.13   Artículo 26

Debe aclararse que los responsables del tratamiento de datos personales, los encargados del tratamiento y las personas que, en el ejercicio de sus funciones, tengan conocimiento de los datos personales tratados, están obligados al secreto profesional, incluso después del cese de sus funciones y durante un período razonable.

4.14   Artículos 29 y 39

Si bien es cierto que lo dispuesto en los artículos 24, apartado 3, y 40 y siguientes del RGPD no se incorporó en la propuesta de Reglamento (códigos de conducta), como se menciona expresamente en el preámbulo en el punto relativo al artículo 26, no parece conveniente que, en los artículos 29, apartado 5, y 39, apartado 7, de la propuesta de Reglamento se acepte que la mera adhesión a un código de conducta a tenor del artículo 40 del RGPD pueda considerarse garantía suficiente para el desempeño de funciones de encargado del tratamiento que no sea una institución u organismo de la Unión.

4.15   Artículo 31

El CESE entiende que la mera «posibilidad» establecida en el artículo 31, apartado 5, debería convertirse en una «obligación» de conservación de los registros de actividades de tratamiento en un registro central, accesible al público.

4.16   Artículo 33

El CESE sugiere también que el responsable del tratamiento y el encargado del tratamiento ejerzan el control de los soportes de datos, el control de la introducción, el control de la utilización y el control de la transmisión de datos, debiendo para ello:

|  |  |
| --- | --- |
| — | impedir que personas no autorizadas tengan acceso a las instalaciones utilizadas para el tratamiento de dichos datos; |

|  |  |
| --- | --- |
| — | impedir que personas no autorizadas puedan leer, copiar, modificar o llevarse los soportes de datos; |

|  |  |
| --- | --- |
| — | impedir la introducción no autorizada y la toma de conocimiento, modificación o eliminación no autorizadas de datos personales introducidos; |

|  |  |
| --- | --- |
| — | impedir que los sistemas de tratamiento automatizado de datos puedan ser utilizados por personas no autorizadas por medio de instalaciones de transmisión de datos; |

|  |  |
| --- | --- |
| — | garantizar la verificación de las entidades a las que pueden transmitirse los datos personales; |

|  |  |
| --- | --- |
| — | garantizar que las personas autorizadas solo puedan tener acceso a los datos previstos por la autorización previa. |

4.17   Artículo 34

El CESE espera que este artículo se armonice con las disposiciones relativas a la propuesta de Reglamento sobre privacidad electrónica y que las instituciones y organismos de la UE estén sujetos al control del SEPD en relación con la confidencialidad de las comunicaciones electrónicas.

4.18   Artículo 42

El CESE teme que la expresión «tras» que figura en el apartado 1 pueda entenderse como un deber de consulta solo después de la aprobación del acto y que deje de ser consultado incluso informalmente, como sucede en la actualidad.

4.19   Artículo 44

El CESE considera que, en principio, solo los funcionarios deberán ser nombrados en calidad de delegados de protección de datos. De cualquier manera, en caso de que por razones excepcionales no fuera posible, deberían ser contratados de conformidad con las normas de contratación pública y sujetos a la evaluación del SEPD.

4.20   Artículo 45

|  |  |  |
| --- | --- | --- |
|  | 4.20.1 | Sin prejuicio de lo señalado anteriormente, siempre que no sea un funcionario, el delegado de protección de datos en virtud de la naturaleza de su cargo debe poder ser destituido en cualquier momento, bastando para ello un dictamen favorable del SEPD (artículo 45, apartado 8, del Reglamento). |

|  |  |  |
| --- | --- | --- |
|  | 4.20.2 | Se entiende que el período de su mandato debe ser fijo, durar cinco años y ser renovable solo una vez. |

4.21   Artículo 56

Los sucesos recientes y bien conocidos relacionados con altos funcionarios de las instituciones aconsejan establecer incompatibilidades e impedimentos durante un período de tiempo razonable para el ejercicio de determinadas funciones, en particular en empresas privadas, después de concluido su mandato.

4.22   Artículo 59

En determinados idiomas, en concreto en la versión inglesa, el término «actions» utilizado en el apartado 5 es demasiado restrictivo y debe sustituirse por el término «proceedings» (en la versión portuguesa el concepto está traducido correctamente).

4.23   Artículo 63

Por lo que respecta al apartado 3, y teniendo en cuenta lo delicado de la cuestión abordada en la propuesta objeto de examen, el CESE considera que debe invertirse el principio de desestimación tácita, obligando de esta forma al Supervisor Europeo de Protección de Datos a responder expresamente a todas las reclamaciones que se le remitan, so pena de que, si no lo hace, se considerarán aceptadas.

4.24   Artículo 65

Como se menciona en el dictamen del CESE sobre la propuesta que dio lugar al Reglamento (UE) 2016/679, se destaca la necesidad de que la propuesta prevea, además de lo mencionado en el artículo 67, la posibilidad de que la reacción a la vulneración de los datos personales pueda ser por medio de una acción colectiva, sin necesidad de un mandato individual, teniendo en cuenta que, de manera general, cuando se producen tales infracciones, no solo hay una persona afectada, sino un conjunto a veces indeterminado de personas.

|  |  |  |
| --- | --- | --- |
|  | 4.25 | La propuesta de Reglamento está plagada de expresiones o nociones de carácter ambiguo y subjetivo, que se aconseja revisar y sustituir. Es el caso, por ejemplo, de «en la medida de lo posible», «cuando sea posible», «sin dilación», «alto riesgo», «debidamente en cuenta», «plazo razonable» y «pertinente en particular». |

Bruselas, 31 de mayo de 2017.

El Presidente del Comité Económico y Social Europeo

George DASSIS

---

[Top](#document1)