Source: http://www.europarl.europa.eu/doceo/document/A-8-2018-0201_ES.html
Timestamp: 2019-08-22 06:58:50
Document Index: 149065276

Matched Legal Cases: ['artículo 52', 'artículo 5', 'artículo 52', 'artículo 5', 'artículo 52', 'Artículo 3', 'Artículo 3', 'Artículo 4', 'artículo 258', 'artículo 7', 'artículo 7', 'artículo 7', 'Artículo 7', 'artículo 6', 'artículo 10', 'artículo 4', 'artículo 6', 'artículo 9', 'artículo 3', 'artículo 6', 'artículo 6', 'artículo 52', 'artículo 5', 'artículo 52', 'artículo 8', 'artículo 16', 'artículo 11', 'artículo 8', 'artículo 16', 'artículo 11', 'artículo 258', 'Artículo 6', 'Artículo 6', 'artículo 24', 'artículo 8', 'artículo 8', 'artículo 6']

Procedimiento : 2017/0228(COD)
Ciclo relativo al documento : A8-0201/2018
717k 128k
sobre la propuesta de Reglamento del Parlamento Europeo y del Consejo relativo a un marco para la libre circulación de datos no personales en la Unión Europea
Ponente: Anna Maria Corazza Bildt
(1) La digitalización de la economía se está acelerando. Las tecnologías de la información y la comunicación (TIC) ya no son un sector específico sino el fundamento de todos los sistemas económicos y sociedades innovadores modernos. Los datos electrónicos se encuentran en el centro de estos sistemas y pueden generar un gran valor cuando se analizan o combinan con servicios y productos.
(1) La digitalización de la economía se está acelerando. Las tecnologías de la información y la comunicación (TIC) ya no son un sector específico sino el fundamento de todos los sistemas económicos y sociedades innovadores modernos. Los datos electrónicos se encuentran en el centro de estos sistemas y pueden generar un gran valor cuando se analizan o cuando se combinan, en condiciones de seguridad, con servicios y productos.
(3) La libertad de establecimiento y la libre prestación de servicios en virtud del Tratado de Funcionamiento de la Unión Europea se aplican a los servicios de almacenamiento o tratamiento de datos. No obstante, la prestación de tales servicios se ve dificultada o en algunas ocasiones impedida por determinados requisitos nacionales que exigen que los datos se localicen en un territorio específico.
(3) La libertad de establecimiento y la libre prestación de servicios en virtud del Tratado de Funcionamiento de la Unión Europea se aplican a los servicios de tratamiento de datos, incluido su traslado. No obstante, la prestación de tales servicios se ve dificultada o en algunas ocasiones impedida por determinados requisitos nacionales, regionales o locales que exigen que los datos se localicen en un territorio específico.
(4) Tales obstáculos a la libre circulación de servicios de almacenamiento o tratamiento de datos y a la libertad de establecimiento de los proveedores de almacenamiento o tratamiento de datos tienen su origen en los requisitos incluidos en la legislación nacional de los Estados miembros para que los datos se localicen en una zona o territorio geográfico específico a efectos del almacenamiento o tratamiento. Otras normas o prácticas administrativas tienen un efecto equivalente mediante la imposición de requisitos específicos que hacen más difícil almacenar o tratar de cualquier otra forma los datos fuera de una zona o territorio geográfico específico dentro de la Unión, como los requisitos para utilizar instalaciones tecnológicas certificadas o aprobadas en un determinado Estado miembro. La inseguridad jurídica en cuanto al alcance de los requisitos legítimos e ilegítimos en materia de localización de datos limita aún más las opciones a disposición de los agentes del mercado y del sector público relativas a la localización del almacenamiento o tratamiento de datos.
(4) Tales obstáculos a la libre circulación de servicios de tratamiento de datos y a la libertad de establecimiento de los proveedores de tratamiento de datos tienen su origen en los requisitos incluidos en la legislación nacional de los Estados miembros para que los datos se localicen en una zona o territorio geográfico específico a efectos del tratamiento. Otras normas o prácticas administrativas tienen un efecto equivalente mediante la imposición de requisitos específicos que hacen más difícil tratar de cualquier otra forma los datos fuera de una zona o territorio geográfico específico dentro de la Unión, como los requisitos para utilizar instalaciones tecnológicas certificadas o aprobadas en un determinado Estado miembro. La inseguridad jurídica en cuanto al alcance de los requisitos legítimos e ilegítimos en materia de localización de datos limita aún más las opciones a disposición de los agentes del mercado y del sector público relativas a la localización del tratamiento de datos. El presente Reglamento no limita de forma alguna la libertad de las empresas para celebrar acuerdos contractuales en los que se especifique dónde deben localizarse los datos. Su objeto es simplemente ampliar esa elección asegurando que la localización acordada pueda encontrarse en cualquier parte de la Unión.
(5 bis) La combinación de esos obstáculos ha generado una falta de competencia entre los proveedores de servicios en la nube en Europa, diversos problemas de dependencia de un proveedor y una grave falta de movilidad de los datos. Asimismo, las políticas de localización de datos han menoscabado la capacidad de las empresas de investigación y desarrollo para facilitar la colaboración entre empresas, universidades y otras organizaciones dedicadas a la investigación con el fin de impulsar su propia innovación.
(7 bis) La libre circulación de datos en la Unión desempeñará un papel importante en la materialización de un crecimiento y una innovación basados en los datos. Como sucede con las empresas y los consumidores, las autoridades y organismos públicos de los Estados miembros pueden beneficiarse de una mayor libertad de elección en lo relativo a los proveedores de servicios de datos, precios más competitivos y una prestación de servicios a los ciudadanos más eficiente. Habida cuenta de las grandes cantidades de datos que gestionan las autoridades y organismos públicos, resulta de vital importancia que prediquen con el ejemplo en la implantación de servicios de tratamiento de datos, y que se abstengan de imponer cualquier restricción en materia de localización de datos cuando hagan uso de servicios de tratamiento de datos. Por tanto, las autoridades y organismos públicos también estarán cubiertos por el presente Reglamento, igualmente, y sin perjuicio de lo dispuesto en la Directiva 2014/24/UE del Parlamento Europeo y del Consejo1 bis, en caso de contratación pública. Al mismo tiempo, el presente Reglamento no crea ninguna obligación de externalizar el tratamiento de los datos.
1 bis Directiva 2014/24/UE del Parlamento Europeo y del Consejo, de 26 de febrero de 2014, sobre contratación pública y por la que se deroga la Directiva 2004/18/CE (Texto pertinente a efectos del EEE) (DO L 94 de 28.3.2014, p. 65).
(9) El marco jurídico relativo a la protección de las personas físicas en lo que atañe al tratamiento de datos personales, en particular el Reglamento (UE) 2016/67930, la Directiva (UE) 2016/68031 y la Directiva 2002/58/CE32, no debe verse afectado por el presente Reglamento.
(9) El marco jurídico relativo a la protección de las personas físicas en lo que atañe al tratamiento de datos personales y el relativo al respeto de la vida privada y a la protección de los datos personales en las comunicaciones electrónicas, en particular el Reglamento (UE) 2016/67930, la Directiva (UE) 2016/68031 y la Directiva 2002/58/CE32, no se verá afectado por el presente Reglamento.
30 Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos) (DO L 119 de 4.5.2016, p. 1).
31 Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por parte de las autoridades competentes para fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, y a la libre circulación de dichos datos y por la que se deroga la Decisión Marco 2008/977/JAI del Consejo (DO L 119 de 4.5.2016, p. 89).
32 Directiva 2002/58/CE del Parlamento Europeo y del Consejo, de 12 de julio de 2002, relativa al tratamiento de los datos personales y a la protección de la intimidad en el sector de las comunicaciones electrónicas (Directiva sobre la privacidad y las comunicaciones electrónicas) (DO L 201 de 31.7.2002, p. 37).
(10) En virtud del Reglamento (UE) 2016/679, los Estados miembros no pueden restringir ni prohibir la libre circulación de datos personales en la Unión por motivos relacionados con la protección de las personas físicas en lo que respecta al tratamiento de datos personales. El presente Reglamento establece el mismo principio de libre circulación en la Unión de datos no personales salvo cuando una restricción o prohibición se justifique por razones de seguridad.
(10) En virtud del Reglamento (UE) 2016/679, los Estados miembros no pueden restringir ni prohibir la libre circulación de datos personales en la Unión por motivos relacionados con la protección de las personas físicas en lo que respecta al tratamiento de datos personales. El presente Reglamento establece el mismo principio de libre circulación en la Unión de datos no personales salvo cuando una restricción o prohibición se justifique por razones de seguridad pública. El Reglamento (UE) 2016/679 y el presente Reglamento ofrecen una serie coherente de normas para la libre circulación de diferentes tipos de datos. En los casos en que los conjuntos de datos contengan datos personales y datos no personales, el Reglamento (UE) 2016/679 se aplicará a los datos personales que formen parte de los conjuntos y el presente Reglamento se aplicará a los datos no personales de dichos conjuntos. Cuando los datos no personales y los personales de un conjunto mixto estén inextricablemente ligados, el presente Reglamento se aplicará sin perjuicio del Reglamento (UE) 2016/679. Si los avances tecnológicos, como la inteligencia artificial, el aprendizaje automático, la internet de las cosas y el análisis de macrodatos, hacen posible transformar datos anónimos en datos personales, dichos datos se tratarán como datos personales y se aplicará en consecuencia el Reglamento (UE) 2016/679. Por otro lado, el presente Reglamento no impone ni la obligación de almacenar los distintos tipos de datos de forma separada ni la obligación de desagrupar los conjuntos de datos mixtos.
(12) Los requisitos de localización de datos constituyen un claro obstáculo a la libre prestación de servicios de almacenamiento o tratamiento de datos en la Unión y al mercado interior. Como tales, deben ser prohibidos a menos que estén justificados por motivos de seguridad pública, definidos por el Derecho de la Unión, en particular el artículo 52 del Tratado de Funcionamiento de la Unión Europea, y respeten el principio de proporcionalidad consagrado en el artículo 5 del Tratado de la Unión Europea. Para dar efecto al principio de libre circulación de datos no personales a través de las fronteras, garantizar la rápida supresión de los actuales requisitos de localización de datos y permitir, por razones operativas, el almacenamiento o tratamiento de datos en múltiples lugares en la UE, y dado que el presente Reglamento establece medidas para garantizar la disponibilidad de los datos para fines de control normativo, los Estados miembros no deben poder invocar justificaciones distintas a la seguridad pública.
(12) Los requisitos de localización de datos constituyen un claro obstáculo a la libre prestación de servicios de tratamiento de datos en la Unión y al mercado interior. Como tales, deben ser prohibidos a menos que estén justificados por motivos imperiosos de seguridad pública, definidos por el Derecho de la Unión, en particular el artículo 52 del Tratado de Funcionamiento de la Unión Europea, y respeten el principio de proporcionalidad consagrado en el artículo 5 del Tratado de la Unión Europea. Para dar efecto al principio de libre circulación de datos no personales a través de las fronteras, garantizar la rápida supresión de los actuales requisitos de localización de datos y permitir, por razones operativas, el tratamiento de datos en múltiples lugares en la UE, y dado que el presente Reglamento establece medidas para garantizar la disponibilidad de los datos para fines de control normativo, los Estados miembros no deben poder invocar justificaciones distintas a la seguridad pública.
(12 bis) El concepto de «seguridad pública», en el sentido del artículo 52 del TFUE, según la interpretación del Tribunal de Justicia, abarca la seguridad interior y exterior de los Estados miembros. Presupone la existencia de una amenaza real y suficientemente grave que afecte a uno de los intereses fundamentales de la sociedad, tales como una amenaza al funcionamiento de las instituciones y los servicios públicos esenciales y la supervivencia de la población, así como el riesgo de una perturbación grave de las relaciones exteriores o la coexistencia pacífica de las naciones, o un riesgo para los intereses militares. El concepto de «motivos imperiosos de seguridad pública» presupone una amenaza especialmente grave a la seguridad pública. De acuerdo con el principio de proporcionalidad, los requisitos de localización de datos justificados en casos excepcionales por motivos imperiosos de seguridad pública deben ser adecuados para alcanzar el objetivo perseguido, y no deben ir más allá de lo que sea necesario para alcanzar dicho objetivo.
(13) A fin de garantizar la aplicación efectiva del principio de libre circulación de datos no personales a través de las fronteras e impedir la aparición de nuevos obstáculos al buen funcionamiento del mercado interior, los Estados miembros deben notificar a la Comisión cualquier proyecto de acto que contenga un nuevo requisito de localización de datos o modifique un requisito existente. Estas notificaciones deben presentarse y valorarse de conformidad con el procedimiento establecido en la Directiva (UE) 2015/153533.
(13) A fin de garantizar la aplicación efectiva del principio de libre circulación de datos no personales a través de las fronteras e impedir la aparición de nuevos obstáculos al buen funcionamiento del mercado interior, los Estados miembros deben comunicar inmediatamente a la Comisión cualquier proyecto de acto que contenga un nuevo requisito de localización de datos o modifique un requisito existente. Estos proyectos de acto deben presentarse y valorarse de conformidad con la Directiva (UE) 2015/153533.
33 Directiva (UE) 2015/1535 del Parlamento Europeo y del Consejo, de 9 de septiembre de 2015, por la que se establece un procedimiento de información en materia de reglamentaciones técnicas y de reglas relativas a los servicios de la sociedad de la información (DO L 241 de 17.9.2015, p. 1).
(14) Además, a fin de eliminar potenciales obstáculos existentes, durante un período transitorio de doce meses, los Estados miembros deben llevar a cabo una revisión de los vigentes requisitos de localización de datos nacionales y notificar a la Comisión, junto con una justificación, cualquier requisito de localización de datos que consideren que cumple lo dispuesto en el presente Reglamento. Estas comunicaciones deben permitir a la Comisión valorar el cumplimiento de los restantes requisitos de localización de datos.
(14) Además, a fin de eliminar potenciales obstáculos existentes, durante un período transitorio de doce meses, los Estados miembros deben llevar a cabo una revisión de los vigentes requisitos de localización de datos nacionales y comunicar a la Comisión, junto con una justificación, cualquier requisito de localización de datos que consideren que cumple lo dispuesto en el presente Reglamento. Estas comunicaciones deben permitir a la Comisión valorar el cumplimiento de los restantes requisitos y, en su caso, adoptar decisiones que exijan a los Estados miembros que modifiquen o deroguen dichos requisitos de localización de datos.
(15) A fin de garantizar la transparencia de los requisitos de localización de datos en los Estados miembros para las personas físicas y jurídicas, como los proveedores y los usuarios de los servicios de almacenamiento o tratamiento de datos, los Estados miembros deben publicar la información sobre dichas medidas en un punto único de información en línea y actualizarla periódicamente. Con el fin de informar debidamente a las personas físicas y jurídicas de los requisitos de localización de datos en el conjunto de la Unión, los Estados miembros deben notificar a la Comisión las direcciones de dichos puntos en línea. La Comisión debe publicar esta información en su propio sitio web.
(15) A fin de garantizar la transparencia de los requisitos de localización de datos en los Estados miembros para las personas físicas y jurídicas, como los proveedores y los usuarios de los servicios de almacenamiento o tratamiento de datos, los Estados miembros deben publicar los detalles de dichos requisitos en un punto único de información en línea o proporcionarlos a un punto de información a escala de la Unión establecido en virtud de otro acto de la Unión, [como el Reglamento (UE) n.º ... del Parlamento Europeo y del Consejo relativo a la creación de un portal digital único]. Los Estados miembros deben actualizar esta información periódicamente. Con el fin de informar debidamente a las personas físicas y jurídicas de los requisitos de localización de datos en el conjunto de la Unión, los Estados miembros deben notificar a la Comisión las direcciones de dichos puntos en línea. La Comisión debe publicar esta información en su propio sitio web, junto con una lista consolidada de los requisitos de localización de datos en vigor en los Estados miembros. La Comisión debe, además, publicar información sobre dichos requisitos en sus lenguas oficiales de trabajo.
(16) Los requisitos de localización de datos están a menudo sustentados por una falta de confianza en el almacenamiento o tratamiento transfronterizo de datos, derivada de la supuesta indisponibilidad de datos para los fines de las autoridades competentes de los Estados miembros, como la inspección y la auditoría en el marco de un control normativo o de vigilancia. Por consiguiente, el presente Reglamento debe establecer meridianamente que no afecta a las competencias de las autoridades competentes de solicitar y recibir acceso a los datos de conformidad con el Derecho nacional o de la Unión, y que el acceso a los datos por parte de las autoridades competentes no puede ser denegado alegando que los datos están almacenados o tratados de otra forma en otro Estado miembro.
(16) Los requisitos de localización de datos están a menudo sustentados por una falta de confianza en el tratamiento transfronterizo de datos, derivada de la supuesta indisponibilidad de datos para los fines de las autoridades competentes de los Estados miembros, como la inspección y la auditoría en el marco de un control normativo o de vigilancia. Por consiguiente, se debe reforzar la seguridad de los sistemas de alojamiento de datos en todos los Estados miembros y el presente Reglamento debe establecer meridianamente que no afecta a las competencias de las autoridades competentes de solicitar y recibir acceso a los datos de conformidad con el Derecho nacional o de la Unión, y que el acceso a los datos por parte de las autoridades competentes no puede ser denegado alegando que los datos están almacenados o tratados de otra forma en otro Estado miembro.
(18) Cuando una persona física o jurídica sujeta a la obligación de facilitar datos incumpla dicha obligación y a condición de que una autoridad competente haya agotado todos los medios aplicables para obtener el acceso a los datos, la autoridad competente debe poder solicitar la asistencia de las autoridades competentes en otros Estados miembros. En tales casos, las autoridades competentes deben utilizar instrumentos de cooperación específicos incluidos en la legislación de la Unión o en acuerdos internacionales, en función del asunto en un caso concreto, como por ejemplo, en el ámbito de la cooperación policial, justicia penal o civil o en asuntos administrativos, respectivamente, la Decisión Marco 2006/96034, la Directiva 2014/41/UE del Parlamento Europeo y del Consejo35, el Convenio sobre la Ciberdelincuencia del Consejo de Europa36, el Reglamento (CE) n.º 1206/2001 del Consejo37, la Directiva 2006/112/CE del Consejo38 y el Reglamento (UE) n.º 904/2010 del Consejo39. En ausencia de tales mecanismos de cooperación específicos, las autoridades competentes deben cooperar entre ellas con el fin de facilitar acceso a los datos solicitados, a través de puntos de contacto únicos designados, a menos que tal intercambio sea contrario al orden público del Estado miembro requerido.
(18) Cuando una persona física o jurídica sujeta a la obligación de facilitar datos incumpla dicha obligación, la autoridad competente debe poder solicitar la asistencia de las autoridades competentes en otros Estados miembros. En tales casos, las autoridades competentes deben utilizar instrumentos de cooperación específicos incluidos en la legislación de la Unión o en acuerdos internacionales, en función del asunto en un caso concreto, como por ejemplo, en el ámbito de la cooperación policial, justicia penal o civil o en asuntos administrativos, respectivamente, la Decisión Marco 2006/96034, la Directiva 2014/41/UE del Parlamento Europeo y del Consejo35, el Convenio sobre la Ciberdelincuencia del Consejo de Europa36, el Reglamento (CE) n.º 1206/2001 del Consejo37, la Directiva 2006/112/CE del Consejo38 y el Reglamento (UE) n.º 904/2010 del Consejo39. En ausencia de tales mecanismos de cooperación específicos, las autoridades competentes deben cooperar entre ellas con el fin de facilitar acceso a los datos solicitados, a través de puntos de contacto únicos designados.
34 Decisión marco 2006/960/JAI del Consejo, de 18 de diciembre de 2006, sobre la simplificación del intercambio de información e inteligencia entre los servicios de seguridad de los Estados miembros de la Unión Europea (DO L 386 de 29.12.2006, p. 89).
35 Directiva 2014/41/UE del Parlamento Europeo y del Consejo, de 3 de abril de 2014, relativa a la orden europea de investigación en materia penal (DO L 130 de 1.5.2014, p. 1).
36 Convenio sobre la Ciberdelincuencia del Consejo de Europa, STCE n.º 185.
37 Reglamento (CE) n.º 1206/2001 del Consejo, de 28 de mayo de 2001, relativo a la cooperación entre los órganos jurisdiccionales de los Estados miembros en el ámbito de la obtención de pruebas en materia civil o mercantil (DO L 174 de 27.6.2001, p. 1).
38 Directiva 2006/112/CE del Consejo, de 28 de noviembre de 2006, relativa al sistema común del impuesto sobre el valor añadido (DO L 347 de 11.12.2006, p. 1).
39 Reglamento (UE) n.º 904/2010 del Consejo, de 7 de octubre de 2010, relativo a la cooperación administrativa y la lucha contra el fraude en el ámbito del impuesto sobre el valor añadido (DO L 268 de 12.10.2010, p. 1).
(21) Para beneficiarse plenamente del entorno competitivo, los usuarios profesionales deben poder tomar decisiones con conocimiento de causa y comparar fácilmente los componentes individuales de diferentes servicios de almacenamiento o tratamiento de datos ofrecidos en el mercado interior, en particular en lo que atañe a las condiciones contractuales del traslado de datos tras la rescisión de un contrato. A fin de alinearlos con el potencial innovador del mercado y tener en cuenta la experiencia y la competencia de los proveedores y usuarios profesionales de servicios de almacenamiento o tratamiento de datos, la información detallada y los requisitos operativos para el traslado de datos deben ser definidos por los agentes del mercado a través de la autorregulación, fomentada y facilitada por la Comisión, en forma de códigos de conducta de la Unión que puedan dar lugar a cláusulas contractuales modelo. No obstante, si tales códigos de conducta no se ponen en marcha y se aplican efectivamente dentro de un período de tiempo razonable, la Comisión debe revisar la situación.
(21) Para beneficiarse plenamente del entorno competitivo, los usuarios profesionales deben poder tomar decisiones con conocimiento de causa y comparar fácilmente los componentes individuales de diferentes servicios de tratamiento de datos ofrecidos en el mercado interior, en particular en lo que atañe a las condiciones contractuales del traslado de datos tras la rescisión de un contrato. A fin de alinearlos con el potencial innovador del mercado y tener en cuenta la experiencia y la competencia de los proveedores y usuarios profesionales de servicios de almacenamiento o tratamiento de datos, la información detallada y los requisitos operativos para el traslado de datos deben ser definidos por los agentes del mercado a través de la autorregulación, fomentada, facilitada y controlada por la Comisión, en forma de códigos de conducta de la Unión que puedan dar lugar a cláusulas contractuales modelo. Los códigos de conducta deben ser exhaustivos, deben dejar claro que la dependencia de un proveedor no es una práctica comercial aceptable, deben prever tecnologías que aumenten la confianza y deben actualizarse periódicamente para seguir la evolución tecnológica. La Comisión debe asegurarse de consultar durante el proceso a todas las partes interesadas pertinentes, incluidas las pymes y las empresas emergentes. La Comisión debe evaluar el desarrollo y la eficacia de la aplicación de tales códigos de conducta.
(28) La Comisión debe revisar periódicamente el presente Reglamento, en particular con vistas a determinar si es preciso modificarlo a la luz de los avances tecnológicos o de la evolución del mercado.
(28) La Comisión debe presentar un informe sobre la aplicación del presente Reglamento, en particular con vistas a determinar si es preciso modificarlo a la luz de los avances tecnológicos o de la evolución del mercado, como por ejemplo la inteligencia artificial, el aprendizaje automático, la internet de las cosas y el análisis de macrodatos. Dicho informe debe evaluar particularmente la experiencia adquirida en la aplicación del presente Reglamento a los conjuntos de datos mixtos, a fin de garantizar que la innovación prospere, y evaluar la aplicación de la excepción de la seguridad pública. La Comisión debe también publicar directrices, antes de la aplicación del resto de normas del presente Reglamento, acerca de su aplicación a los conjuntos de datos mixtos, para que las empresas, incluidas las pymes, comprendan mejor la interacción entre el presente Reglamento y el Reglamento (UE) 2016/679.
1. El presente Reglamento se aplicará al almacenamiento o tratamiento de datos electrónicos distintos de los datos personales en la Unión, que sea
1. El presente Reglamento se aplicará al tratamiento de datos electrónicos distintos de los datos personales en la Unión, que sea
En el caso de los conjuntos de datos mixtos, el presente Reglamento se aplicará a los datos no personales de dichos conjuntos. Cuando los datos personales y los no personales de un conjunto mixto estén inextricablemente ligados, el presente Reglamento se aplicará sin perjuicio del Reglamento (UE) 2016/679.
Artículo 3 – párrafo 1 – punto 1 bis (nuevo)
1 bis. «conjunto de datos mixtos»: un conjunto de datos compuesto por datos personales y no personales;
2. «almacenamiento de datos»: el almacenamiento de datos en formato electrónico;
2 bis. «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos o conjuntos de datos en formato electrónico, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, almacenamiento, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;
4. «proveedor»: toda persona física o jurídica que preste servicios de almacenamiento o tratamiento de datos;
4. «proveedor»: toda persona física o jurídica que preste servicios de tratamiento de datos;
5. «requisito de localización de datos»: cualquier obligación, prohibición, condición, restricción u otro requisito previsto en las disposiciones legales, reglamentarias o administrativas de los Estados miembros, que imponga la ubicación del almacenamiento o tratamiento de datos en el territorio de un determinado Estado miembro o dificulte el almacenamiento o tratamiento de datos en cualquier otro Estado miembro;
5. «requisito de localización de datos»: cualquier obligación, prohibición, condición, restricción u otro requisito previsto en las disposiciones legales, reglamentarias o administrativas de los Estados miembros y sus emanaciones o que se derive de sus prácticas administrativas, incluidas las relativas a la contratación pública, que imponga el tratamiento de datos en el territorio de un determinado Estado miembro o dificulte el tratamiento de datos en cualquier otro Estado miembro;
6. «autoridad competente»: la autoridad de un Estado miembro que tiene la facultad de poder acceder para el desempeño de sus funciones oficiales, conforme a lo previsto en el Derecho nacional o de la Unión, a datos almacenados o tratados por una persona física o jurídica;
6. «autoridad competente»: la autoridad de un Estado miembro que tiene la facultad de poder acceder para el desempeño de sus funciones oficiales, conforme a lo previsto en el Derecho nacional o de la Unión, a datos tratados por una persona física o jurídica;
7. «usuario»: una persona física o jurídica que utiliza o solicita un servicio de almacenamiento o tratamiento de datos;
7. «usuario»: una persona física o jurídica, incluida una entidad del sector público, que utiliza o solicita un servicio de almacenamiento o tratamiento de datos;
Artículo 3 – párrafo 1 – punto 8
8. «usuario profesional»: una persona física o jurídica, incluida una entidad del sector público, que utiliza o solicita un servicio de almacenamiento o tratamiento de datos para fines relacionados con su actividad comercial, negocio, oficio, profesión o función.
8. «usuario profesional»: una persona física o jurídica, incluida una entidad del sector público, que utiliza o solicita un servicio de tratamiento de datos para fines relacionados con su actividad comercial, negocio, oficio, profesión o función.
1. La ubicación de datos para su almacenamiento o tratamiento en la Unión no se restringirá al territorio de un Estado miembro específico, y el almacenamiento o tratamiento en cualquier otro Estado miembro no estará prohibido ni restringido, salvo que esté justificado por razones de seguridad pública.
1. Los requisitos para la ubicación de datos estarán prohibidos, salvo de modo excepcional y de conformidad con el principio de proporcionalidad cuando estén justificados por motivos imperiosos de seguridad pública.
2. Los Estados miembros notificarán a la Comisión cualquier proyecto de acto que introduzca un nuevo requisito de localización de datos o modifique uno existente, de conformidad con los procedimientos establecidos en la legislación nacional de aplicación de la Directiva (UE) 2015/1535.
3. En el plazo de doce meses desde el inicio de la aplicación del presente Reglamento, los Estados miembros velarán por que se derogue cualquier requisito de localización de datos que no se ajuste a lo dispuesto en el apartado 1. Si un Estado miembro considera que un requisito de localización de datos cumple lo dispuesto en el apartado 1 y, por lo tanto, puede seguir en vigor, notificará dicha medida a la Comisión, junto con una justificación para mantenerlo en vigor.
3. A más tardar [doce meses después de la fecha de entrada en vigor del presente Reglamento], los Estados miembros velarán por que se haya derogado cualquier requisito de localización de datos que no se ajuste a lo dispuesto en el apartado 1. A más tardar [doce meses después de la fecha de entrada en vigor del presente Reglamento], si un Estado miembro considera que un requisito de localización de datos cumple lo dispuesto en el apartado 1 y, por lo tanto, puede seguir en vigor, comunicará dicha medida a la Comisión, junto con una justificación para mantenerlo en vigor.
Artículo 4 – apartado 3 – párrafo 1 bis (nuevo)
Sin perjuicio de lo dispuesto en el artículo 258 del TFUE y dentro un período de tres meses a partir de la fecha de recepción de dicha comunicación, la Comisión deberá examinar que dicha medida cumpla con el apartado 1 y, en su caso, adoptar una decisión que exija al Estado miembro en cuestión que modifique o derogue la medida.
4. Los Estados miembros pondrán a disposición del público para su consulta en línea, a través de un punto de información único que mantendrán actualizado, los detalles de los requisitos de localización de datos aplicables en su territorio.
4. Los Estados miembros pondrán a disposición del público para su consulta en línea, a través de un punto de información único que mantendrán actualizado, los detalles de los requisitos de localización de datos aplicables en su territorio, o a través de un punto de información a nivel de la Unión establecido en virtud de otro acto de la Unión y cuando esté disponible.
5. Los Estados miembros notificarán a la Comisión la dirección de sus puntos únicos de información a que se refiere el apartado 4. La Comisión publicará los enlaces a dichos puntos en su sitio web.
5. Los Estados miembros notificarán a la Comisión la dirección de sus puntos únicos de información a que se refiere el apartado 4. La Comisión publicará los enlaces a dichos puntos en su sitio web, junto con una lista consolidada y actualizada periódicamente de todos los requisitos de localización de datos a que se refiere el apartado 4, incluida información sobre dichos requisitos en sus lenguas oficiales de trabajo.
2. Cuando una autoridad competente haya agotado todos los medios aplicables para obtener el acceso a los datos, podrá solicitar la asistencia de una autoridad competente de otro Estado miembro, de conformidad con el procedimiento previsto en el artículo 7, y la autoridad competente requerida ofrecerá asistencia de conformidad con el procedimiento establecido en el artículo 7, salvo cuando sea contrario al orden público del Estado miembro requerido.
2. Cuando una autoridad competente no logre acceso a los datos tras haberse puesto en contacto con el usuario del servicio de tratamiento de datos, y si no existe un mecanismo específico de cooperación con arreglo a la legislación de la Unión o a acuerdos internacionales para el intercambio de datos entre las autoridades competentes de diferentes Estados miembros, dicha autoridad competente podrá solicitar la asistencia de una autoridad competente de otro Estado miembro, de conformidad con el procedimiento establecido en el artículo 7. La autoridad competente requerida ofrecerá asistencia de conformidad con dicho procedimiento.
3. Cuando una solicitud de asistencia implique obtener el acceso a todos los locales de una persona física o jurídica, incluidos cualesquiera equipos y medios de almacenamiento o tratamiento de datos, por la autoridad requerida, dicho acceso debe ajustarse al Derecho de la Unión o al Derecho procesal del Estado miembro.
3. Cuando una solicitud de asistencia implique obtener el acceso a todos los locales de una persona física o jurídica, incluidos cualesquiera equipos y medios de almacenamiento o tratamiento de datos, por la autoridad requerida, dicho acceso debe ajustarse al Derecho de la Unión o al Derecho procesal del Estado miembro en el que se encuentren los locales o equipos.
4. El apartado 2 solo se aplicará si no existen mecanismos específicos de cooperación en virtud del Derecho de la Unión o de acuerdos internacionales para el intercambio de datos entre las autoridades competentes de los diferentes Estados miembros.
1. La Comisión fomentará y facilitará la elaboración de códigos de conducta autorreguladores a escala de la Unión, con el fin de definir directrices sobre las mejores prácticas para facilitar el cambio de proveedor y garantizar que los proveedores proporcionen información suficientemente detallada, clara y transparente a los usuarios profesionales antes de firmar un contrato de almacenamiento y tratamiento de datos, en lo que atañe a los siguientes aspectos:
1. La Comisión fomentará y facilitará la elaboración de códigos de conducta autorreguladores a escala de la Unión, con el fin de contribuir a una economía de datos competitiva, basados en el principio de transparencia, y que definan directrices que cubran, entre otros, los siguientes aspectos:
-a) las mejores prácticas para facilitar el cambio de proveedor y el traslado de datos en un formato estructurado, de uso general, interoperable y de lectura automática, incluidos formatos estándar abiertos cuando lo exija o solicite el proveedor de servicios que reciba los datos;
a) los tratamientos, los requisitos técnicos, los plazos y los costes aplicables en caso de que un usuario profesional desee cambiar de proveedor o reintegrar sus datos a sus propios sistemas informáticos, incluidos los tratamientos y la ubicación de copias de seguridad de los datos, los datos de que se dispone, los soportes y formatos de datos disponible, la configuración informática necesaria y el ancho de banda mínimo; el tiempo necesario antes de iniciar el proceso de traslado y el tiempo durante el cual los datos seguirán estando disponibles para su traslado; las garantías de acceso a los datos en caso de quiebra del proveedor; y
a) los requisitos de información mínimos para garantizar que los usuarios profesionales reciban información suficientemente detallada, clara y transparente antes de celebrar un contrato de almacenamiento y tratamiento de datos, en lo relativo a los tratamientos, los requisitos técnicos, los plazos y los costes aplicables en caso de que un usuario profesional desee cambiar de proveedor o reintegrar sus datos a sus propios sistemas informáticos y a las garantías de acceso a los datos en caso de quiebra del proveedor.
b) los requisitos operativos para el cambio de proveedor o el traslado de datos en un formato estructurado, de uso común y lectura mecánica que concedan al usuario tiempo suficiente para efectuar tales operaciones.
1 bis. La Comisión garantizará que los códigos de conducta contemplados en el apartado 1 se elaboren en estrecha cooperación con todas las partes interesadas pertinentes, incluidas las asociaciones de pymes y empresas emergentes, los usuarios y los proveedores de servicios en la nube.
2. La Comisión alentará a los proveedores a aplicar efectivamente los códigos de conducta contemplados en el apartado 1 antes de que se cumpla un año de vigencia del Reglamento.
2. La Comisión alentará a los proveedores a completar el desarrollo de los códigos de conducta contemplados en el apartado 1 a más tardar el ... [doce meses después de la fecha de publicación del presente Reglamento] y a aplicarlos de forma efectiva el ... [veinticuatro meses después de la fecha de publicación del presente Reglamento].
3. La Comisión revisará la elaboración y la aplicación efectiva de estos códigos de conducta y el suministro real de información por los proveedores a más tardar dos años después de que empiece a aplicarse el presente Reglamento.
Artículo 7 – apartado 6 bis (nuevo)
6 bis. Los puntos de contacto únicos deberán proporcionar a los usuarios información general sobre el presente Reglamento, y en particular sobre la elaboración de los códigos de conducta contemplados en el artículo 6.
Los conocimientos especializados de los puntos de contacto pueden utilizarse no solo como enlace entre los Estados miembros y la Comisión, sino también como conexión entre las instituciones y los usuarios.
1. A más tardar el [cinco años después de la fecha mencionada en el artículo 10, apartado 2], la Comisión llevará a cabo una revisión del presente Reglamento y presentará un informe sobre sus conclusiones principales al Parlamento Europeo, al Consejo y al Comité Económico y Social Europeo.
1. A más tardar el [tres años y seis meses después de la fecha de publicación del presente Reglamento], la Comisión presentará un informe al Parlamento Europeo, al Consejo y al Comité Económico y Social Europeo en el que evalúe la aplicación del presente Reglamento, en particular respecto a:
a) la aplicación del presente Reglamento a los conjuntos de datos mixtos, especialmente en vista de la evolución del mercado y los avances tecnológicos que puedan ampliar las posibilidades de desanonimizar datos;
b) la aplicación del artículo 4, apartado 1, por parte de los Estados miembros, en particular la excepción de la seguridad pública; y
c) la elaboración y la aplicación efectiva de los códigos de conducta a que se refiere el artículo 6 y el suministro efectivo de información por parte de los proveedores.
2 bis. A más tardar el ... [seis meses después de la fecha de publicación del presente Reglamento], la Comisión publicará directrices sobre la interacción del presente Reglamento y el Reglamento (UE) 2016/679 en relación con los conjuntos de datos mixtos.
2. El presente Reglamento se aplicará seis meses después de su publicación.
No obstante, el artículo 9 será aplicable a partir de ... [un día después de la entrada en vigor del presente Reglamento].
El Mercado Único Digital (MUD) es una piedra angular de la economía europea con un enorme potencial para generar crecimiento y empleo. El presente Reglamento relativo a la libre circulación de datos no personales establece, de facto, los datos como la quinta libertad en el Mercado Único. Con el surgimiento de nuevas tecnologías como la computación en nube, grandes datos e inteligencia artificial, la posibilidad de transferir datos libremente se ha convertido en una cuestión fundamental para las empresas europeas. Por supuesto, esto representa una posibilidad, no una obligación. Los requisitos de localización establecidos por los Estados miembros reducen la competencia y aumentan los costes de almacenamiento aproximadamente en un 120 %. No obstante, con la eliminación de dichos requisitos, la Unión podría beneficiarse de un aumento del PIB de hasta € 8000 millones, o un 0,06 %, al año. Esto es el equivalente al aumento del PIB derivado de los recientes acuerdos de libre comercio con Canadá y Corea del Sur juntos.
La ponente se ha centrado en simplificar, aclarar y hacer que el Reglamento sea fácil de aplicar. La ponente tiene como objetivo hacer que el texto sea jurídicamente seguro y preparado para el futuro a fin de maximizar los beneficios de la libre circulación de datos.
II. Posición de la ponente
A. Excepción de la seguridad pública
La ponente reconoce que, en casos excepcionales, los Estados miembros tienen razones legítimas para restringir la libre circulación de datos. No obstante, teniendo en cuenta los efectos nocivos en la economía digital de la Unión, la ponente considera indispensable mantener dichos requisitos al mínimo. Con la introducción del concepto bien establecido de «motivos imperiosos de seguridad pública», la ponente busca garantizar que los Estados miembros no sobreinterpreten la excepción de la seguridad pública. Dado que no existe una definición de seguridad pública, la ponente se basa en el Tratado y la jurisprudencia aplicable del Tribunal de Justicia para aclarar dicho concepto y aumentar la seguridad jurídica.
La ponente aclara asimismo que todas las partes de la sociedad deben beneficiarse de la libre circulación de datos, incluidas las entidades del sector público. Dado que muchos requisitos de localización no tienen su origen a nivel nacional, se aclara que el presente Reglamento se aplicará en todos los niveles de gobernanza, incluido el ámbito de la contratación pública, que es una de las principales preocupaciones, en especial para las pymes.
Se concede a la Comisión la facultad y la obligación de controlar la aplicación de la excepción y de garantizar que no se interprete de manera desproporcionada. La ponente desea introducir un plazo claro dentro del cual los Estados miembros deben comunicar los requisitos de localización de datos que desean mantener. La Comisión examinará el proyecto de acto y decidirá si el Estado miembro en cuestión deberá modificar o derogar el requisito de localización de datos. Todos los requisitos de localización de datos restantes deberán publicarse en el sitio web de la Comisión a fin de garantizar el fácil acceso a dicha información.
B. Acceso de las autoridades públicas a los datos
La posibilidad de las empresas y las entidades del sector público de tratar sus datos fuera del Estado miembro de su establecimiento no debe, en ningún caso, utilizarse como una manera de impedir el acceso a las autoridades competentes. La ponente considera que obligar a las autoridades competentes a agotar todas las vías antes de poder contactar con sus contrapartes para solicitar asistencia prolongaría innecesariamente el proceso para obtener el acceso legítimo a los datos en cuestión. La facilitación del acceso a los datos también debe lograrse con el nuevo sistema de puntos de contacto únicos. El proyecto de informe aclara asimismo que el acceso a las instalaciones en las que están almacenados los datos debe otorgarse de conformidad con el Derecho interno del Estado miembro en el que se encuentran las instalaciones o los equipos.
C. Conjuntos de datos mixtos
El presente Reglamento y el Reglamento general de protección de datos son complementarios y no se solapan. Juntos proporcionan un conjunto coherente de normas que cubre todos los tipos de datos y que lleva a un «espacio de datos único de la Unión». La mayoría de los conjuntos de datos contienen datos personales y no personales, siendo la mayoría de los datos no personales, pero con datos personales, tales como nombres y/o direcciones de correo electrónico incluidos únicamente para fines administrativos. Excluir dichos conjuntos de datos mixtos del ámbito de aplicación del presente Reglamento limitaría gravemente sus beneficios. Cuando los conjuntos de datos mixtos puedan desagruparse fácilmente, el presente Reglamento debe aplicarse a los datos no personales de dichos conjuntos. En los conjuntos de datos mixtos en los que los datos no personales y personales estén inextricablemente ligados, el presente Reglamento debe aplicarse al conjunto completo, sin perjuicio del Reglamento general de protección de datos. Dado que el ámbito del Reglamento general de protección de datos se limita a los datos personales y no cubre los datos no personales, sería desproporcionado y jurídicamente incorrecto aplicar dicho Reglamento en vez del presente Reglamento a todo el conjunto de datos mixtos. Esto crearía cargas innecesarias para las empresas, tales como las pymes y las empresas emergentes, que deben seguir normas más estrictas, y dificultaría la innovación. La aplicación del presente Reglamento a los datos no personales no implica que las protecciones de la privacidad en virtud del Reglamento general de protección de datos dejarían de aplicarse a los conjuntos de datos mixtos sin importar dónde estén almacenados los datos en la Unión. Al mismo tiempo, el presente Reglamento no impone ni la obligación de almacenar los distintos tipos de datos de forma separada ni la obligación de desagrupar los conjuntos de datos mixtos.
D. Traslado de datos
Para aprovechar el pleno potencial del MUD, debe aumentarse la competencia. Una parte de esto es garantizar la transferibilidad entre distintos proveedores de servicios en nube. La ponente está de acuerdo con la idea de asignar a los agentes del mercado la tarea de elaborar códigos de conducta para regular la posibilidad de que los usuarios profesionales cambien de servicio y trasladen datos. La Comisión debe fomentar, facilitar y controlar dicho proceso.
Para la creación de códigos de conducta equilibrados y que funcionen bien, es indispensable incluir en el proceso tanto a los usuarios como a los proveedores de servicios. Además, la ponente subraya que la esencia de un código de conducta es la interoperabilidad y la transparencia, y, por consiguiente, ha decidido eliminar algunas de las partes más prescriptivas del texto de la Comisión y deja margen para que los agentes del mercado definan cómo debe formularse la autorregulación. La ponente también ha prorrogado el plazo por seis meses, ya que la experiencia demuestra que se necesita más tiempo para crear y aplicar un código de conducta.
E. Revisión
Dada la importancia de estar al día de los avances tecnológicos, la ponente propone acortar el período de evaluación, en particular en relación con los conjuntos de datos mixtos, ya que es probable que las zonas grises aumenten con el tiempo. Aún no sabemos cómo serán los conjuntos de datos en el futuro y, por lo tanto, es importante evaluar si el presente Reglamento está actualizado y es adecuado. La ponente desea aclarar que el resultado de la evaluación de la Comisión debe ser la presentación a los colegisladores de un informe con su evaluación.
Almega (organización de empleadores para el sector de servicios sueco)
Asociación Sueca de Industrias de Ingeniería
CERCA - Comité Europeo de Comercio y Reparación de Automóviles
Confederación Empresarial de Suecia
Dra. Kristina IRION - Universidad de Ámsterdam (taller de la Comisión IMCO de 20 de febrero)
Dr. Simon Forge - SCF asociados (taller de la Comisión IMCO de 20 de febrero)
Federación Europea de Comercialización Directa e Interactiva (FEDMA)
Asociación Alemana de Seguros (GDV)
Ministerio irlandés de Comunicaciones, Acción por el Clima y Medio Ambiente
Oficina Nacional de Comercio
Representación Permanente de Polonia ante la UE
Industrias informáticas y de comunicación suecas
Federación comercial sueca
La Asociación Europea de Loterías (EL)
La Federación de Agricultores Suecos (LRF)
UEAPME – Unión Europea del Artesanado y de la Pequeña y Mediana Empresa
Federación de pequeñas empresas del Reino Unido
OPINIÓN de la Comisión de Industria, Investigación y Energía (26.4.2018)
La Comisión de Industria, Investigación y Energía pide a la Comisión de Mercado Interior y Protección del Consumidor, competente para el fondo, que tome en consideración las siguientes enmiendas:
(2) Las cadenas de valor de datos se basan en diferentes actividades de datos: creación y recopilación de datos; agregación y organización de datos; almacenamiento y tratamiento de datos; análisis, comercialización y distribución de datos; utilización y reutilización de datos. El funcionamiento eficaz y eficiente del almacenamiento y tratamiento de datos es un componente fundamental en toda la cadena de valor de los datos. Sin embargo, dicho funcionamiento eficaz y eficiente y el desarrollo de la economía de los datos en la Unión se ven dificultados, en particular, por dos tipos de obstáculos a la movilidad y al mercado interior de datos.
(2) Las cadenas de valor de datos se basan en diferentes actividades de datos: creación y recopilación de datos; agregación y organización de datos; tratamiento de datos; análisis, comercialización y distribución de datos; utilización y reutilización de datos. El funcionamiento eficaz y eficiente del tratamiento es un componente fundamental en toda la cadena de valor de los datos. Sin embargo, dicho funcionamiento eficaz y eficiente y el desarrollo de la economía de los datos en la Unión se ven dificultados, en particular, por dos tipos de obstáculos a la movilidad y al mercado interior de datos.
La definición de «tratamiento» añadida al artículo 3 comprende «almacenamiento de datos». Esta modificación se aplica a la totalidad del texto. Si se aprueba, será necesario efectuar las modificaciones pertinentes.
(3) La libertad de establecimiento y la libre prestación de servicios estipuladas en los artículos 26, 49 a 55 y 56 a 62 del Tratado de Funcionamiento de la Unión Europea (TFUE) se aplican a los servicios de tratamiento, incluido el traslado de datos. No obstante, la prestación de tales servicios se ve dificultada o en algunas ocasiones impedida por determinados requisitos nacionales que exigen que los datos se localicen en un territorio específico.
El artículo 6 regula los aspectos técnicos del traslado de datos. El proyecto de Reglamento no prevé una definición del derecho a trasladar los datos ni una definición del traslado de datos en sí. Por lo tanto, a fin de que el artículo 6 sea viable, es necesario presentar el traslado de datos como un servicio, de manera que se enmarque en la libre prestación de servicios del Tratado.
(5 bis) La combinación de estos obstáculos genera una falta de competencia entre los proveedores de servicios en la nube en Europa, diversos problemas de dependencia de un proveedor y una grave falta de movilidad de los datos. Asimismo, las políticas de localización de datos menoscaban la capacidad de las empresas de investigación y desarrollo de facilitar la colaboración entre empresas, universidades y otras organizaciones dedicadas a la investigación para promover la innovación.
(7 bis) Como sucede con las empresas y los consumidores, las autoridades y organismos públicos de los Estados miembros deberán beneficiarse de una mayor libertad de elección en lo relativo a los proveedores de servicios de datos, de precios más competitivos y de una prestación de servicios a los ciudadanos más eficiente. Habida cuenta de las grandes cantidades de datos que gestionan las autoridades y organismos públicos, las autoridades públicas deben predicar con el ejemplo usando servicios de datos en la Unión en lo que respecta a los datos no personales y abstenerse de imponer cualquier restricción injustificada en materia de localización de datos cuando usen servicios de datos de entidades privadas.
(10) En virtud del Reglamento (UE) 2016/679, los Estados miembros no pueden restringir ni prohibir la libre circulación de datos personales en la Unión por motivos relacionados con la protección de las personas físicas en lo que respecta al tratamiento de datos personales. El presente Reglamento establece el mismo principio de libre circulación en la Unión de datos no personales salvo cuando una restricción o prohibición se justifique por razones de seguridad. El Reglamento (UE) 2016/679 y el presente Reglamento ofrecen una serie de normas coherentes que prevén la libre circulación de diferentes tipos de datos. Por consiguiente, el Reglamento (UE) 2016/679 debe aplicarse a los datos personales que formen parte del conjunto y el presente Reglamento debe aplicarse a los datos no personales del conjunto. Cuando los datos no personales y personales estén inextricablemente ligados, el presente Reglamento deberá aplicarse sin perjuicio del Reglamento (UE) 2016/679. Por otro lado, el presente Reglamento no impone la obligación de desagrupar conjuntos de datos mixtos ni de almacenar los distintos tipos de datos de forma separada.
(10 bis) En este contexto, el presente Reglamento no debe reducir el nivel de protección del que disfrutan las personas físicas en virtud del Reglamento (UE) 2016/679 y, al mismo tiempo, deberá ser de fácil cumplimiento por parte de las empresas, así como, en particular, no suponer un obstáculo para el desarrollo de las empresas emergentes y de las pymes. La Comisión debe facilitar en su sitio web orientaciones claras para las empresas sobre el tratamiento jurídico de los conjuntos de datos mixtos, así como información sobre las posibilidades de desagrupar conjuntos de datos mixtos. La Comisión debe evaluar la aplicación del presente Reglamento a los conjuntos de datos mixtos y proponer recomendaciones adicionales en su revisión, si procede.
(12) Los requisitos de localización de datos constituyen un claro obstáculo a la libre prestación de servicios de tratamiento de datos en la Unión y al mercado interior. Como tales, deben ser prohibidos a menos que estén justificados por motivos imperiosos de seguridad pública, definidos por el Derecho de la Unión, en particular el artículo 52 del Tratado de Funcionamiento de la Unión Europea, y respeten el principio de proporcionalidad consagrado en el artículo 5 del Tratado de la Unión Europea. Para dar efecto al principio de libre circulación de datos no personales a través de las fronteras, garantizar la rápida supresión de los actuales requisitos de localización de datos y permitir, por razones operativas, el tratamiento de datos en múltiples lugares en la UE, y dado que el presente Reglamento establece medidas para garantizar la disponibilidad de los datos para fines de control normativo, los Estados miembros no deben poder invocar justificaciones distintas a la seguridad pública. El concepto de «seguridad pública», en el sentido del artículo 52 del TFUE y según la interpretación del Tribunal de Justicia, abarca la seguridad interna y externa de los Estados miembros. El Estado miembro que invoque esta excepción debe demostrar que es necesario recurrir a ella a fin de proteger sus intereses fundamentales en materia de seguridad.
(14) Además, a fin de eliminar potenciales obstáculos existentes, durante un período transitorio de doce meses, los Estados miembros deben llevar a cabo una revisión de las disposiciones legales, reglamentarias o administrativas nacionales de carácter general vigentes por las que se establecen los requisitos de localización de datos y notificar a la Comisión, junto con una justificación, cualquier requisito de localización de datos que consideren que cumple lo dispuesto en el presente Reglamento. Estas comunicaciones deben permitir a la Comisión valorar el cumplimiento de los restantes requisitos de localización de datos y, en su caso, adoptar dictámenes que exijan a los Estados miembros que modifiquen o deroguen dichos requisitos de localización de datos, que el Estado miembro deberá tener debidamente en cuenta.
(15) A fin de garantizar la transparencia de los requisitos de localización de datos en los Estados miembros para las personas físicas y jurídicas, como los proveedores y los usuarios de los servicios de tratamiento de datos, los Estados miembros deben publicar la información sobre dichas medidas en un punto único de información en línea y actualizarla periódicamente. Con el fin de informar debidamente a las personas físicas y jurídicas de los requisitos de localización de datos en el conjunto de la Unión, los Estados miembros deben notificar a la Comisión las direcciones de dichos puntos en línea. La Comisión debe publicar en su propio sitio web información actualizada de forma periódica sobre estas medidas nacionales en sus lenguas de trabajo/de procedimiento, junto con las direcciones de los puntos únicos de información en línea de los Estados miembros.
(21) Para beneficiarse plenamente del entorno competitivo, los usuarios profesionales deben poder tomar decisiones con conocimiento de causa y comparar fácilmente los componentes individuales de diferentes servicios de almacenamiento o tratamiento de datos ofrecidos en el mercado interior, en particular en lo que atañe a las condiciones contractuales del traslado de datos tras la rescisión de un contrato. A fin de alinearlos con el potencial innovador del mercado y tener en cuenta la experiencia y la competencia de los proveedores y usuarios profesionales de servicios de almacenamiento o tratamiento de datos, la información detallada y los requisitos operativos para el traslado de datos deben ser definidos por los agentes del mercado a través de la autorregulación, fomentada y facilitada por la Comisión, en forma de códigos de conducta de la Unión que puedan dar lugar a cláusulas contractuales modelo. Estos códigos de conducta deben establecer que la dependencia de un proveedor no es una práctica empresarial aceptable, debe emplear normas y especificaciones abiertas, y facilitar las tecnologías que aporten más confianza, como el cifrado. La Comisión debe fomentar las consultas a todas las partes interesadas pertinentes, como los usuarios de la nube y los proveedores de todos los tamaños, incluidas empresas emergentes y pymes, durante el desarrollo de este código de conducta autorregulador. No obstante, si tales códigos de conducta no se ponen en marcha y se aplican efectivamente dentro del período fijado, la Comisión debe revisar la situación y evaluar la necesidad de presentar propuestas legislativas para reducir de forma eficaz el número de obstáculos al traslado de datos.
(21 bis) En el caso de que se realice el tratamiento de datos, se debe permitir también a los usuarios profesionales recibir los datos en un formato estructurado, de uso común, de lectura mecánica e interoperable, y transmitirlos o hacer que se transmitan directamente de un tratamiento de datos a otro, o a un servicio de tratamiento. Se debe alentar a los proveedores de servicios a que desarrollen formatos interoperables, empleando normas y especificaciones abiertas que faciliten la portabilidad de los datos.
(23) A fin de garantizar la aplicación efectiva del procedimiento de asistencia entre las autoridades competentes de los Estados miembros, la Comisión puede adoptar actos de ejecución que establezcan los formularios normalizados, las lenguas de las solicitudes, los plazos u otros detalles de los procedimientos de solicitud de asistencia. Esas competencias deben ejercerse de conformidad con el Reglamento (UE) n.º 182/2011 del Parlamento Europeo y del Consejo40.
(23) A fin de garantizar la aplicación efectiva del procedimiento de asistencia entre las autoridades competentes de los Estados miembros, la Comisión puede adoptar actos de ejecución que establezcan los formularios normalizados, los formatos y los canales de transmisión, las lenguas de las solicitudes, los plazos u otros detalles de los procedimientos de solicitud de asistencia. Esas competencias deben ejercerse de conformidad con el Reglamento (UE) n.º 182/2011 del Parlamento Europeo y del Consejo40.
40 Reglamento (UE) n.º 182/2011 del Parlamento Europeo y del Consejo, de 16 de febrero de 2011, por el que se establecen las normas y los principios generales relativos a las modalidades de control por parte de los Estados miembros del ejercicio de las competencias de ejecución por la Comisión (DO L 55 de 28.2.2011, p. 13).
(24) Aumentar la confianza en la seguridad del almacenamiento o tratamiento de datos transfronterizo debe reducir la propensión de los agentes del mercado y del sector público a utilizar la localización de datos como una variable para la seguridad de los mismos. También debe mejorar la seguridad jurídica de las empresas sobre los requisitos de seguridad aplicables cuando externalizan sus actividades de almacenamiento o tratamiento de datos, incluidos los proveedores de servicios de otros Estados miembros.
(24) Aumentar la confianza en la seguridad del tratamiento de datos transfronterizo debe reducir la propensión de los agentes del mercado y del sector público a utilizar la localización de datos como una variable para la seguridad de los mismos. También debe mejorar la seguridad jurídica de las empresas sobre los requisitos de seguridad aplicables cuando externalizan sus actividades de tratamiento de datos, incluidos los proveedores de servicios de otros Estados miembros, y tener siempre presente la rápida evolución de las nuevas tecnologías para adaptarse oportunamente a estos cambios. A tal fin, los Estados miembros deben evitar toda legislación intrusiva que ponga en cuestión la seguridad, integridad o autenticidad de los datos, y los proveedores de servicios deben desplegar las tecnologías de vanguardia disponibles para aplicar políticas y prácticas de seguridad y privacidad desde el diseño. La facilidad para cambiar de proveedor y la portabilidad de los datos son también factores que aumentan la confianza, por lo que es preciso garantizarlas.
La confianza ha sido señalada como el mayor obstáculo no jurídico en el uso de los servicios en la nube. Por ello, el desarrollo de la confianza debe ser un objetivo del presente texto.
(29) El presente Reglamento respeta los derechos fundamentales y observa los principios reconocidos, en particular, por la Carta de los Derechos Fundamentales de la Unión Europea, y debe interpretarse y aplicarse de conformidad con dichos derechos y principios, en particular el derecho a la protección de datos de carácter personal (artículo 8), la libertad de empresa (artículo 16) y la libertad de expresión y de información (artículo 11).
(29) El presente Reglamento, que debe entenderse sin perjuicio de otros Reglamentos aplicables sobre el tratamiento de datos, respeta los derechos fundamentales y observa los principios reconocidos, en particular, por la Carta de los Derechos Fundamentales de la Unión Europea, y debe interpretarse y aplicarse de conformidad con dichos derechos y principios, en particular el derecho a la protección de datos de carácter personal (artículo 8), la libertad de empresa (artículo 16) y la libertad de expresión y de información (artículo 11).
A fin de evitar establecer una jerarquía de textos jurídicos y para mejorar la ejecución de los derechos fundamentales, es necesaria una interpretación estricta.
a) prestado como un servicio a usuarios que residan o tengan un establecimiento en la Unión, independientemente de si el proveedor está establecido o no en la Unión, o
a) prestado como un servicio a usuarios, tanto privados como públicos o a una autoridad pública, que residan o tengan un establecimiento en la Unión, independientemente de si el proveedor está establecido o no en la Unión, o
1 bis. En el caso de los conjuntos de datos mixtos, el Reglamento (UE) 2016/679 debe aplicarse a los datos personales que formen parte de los conjuntos, y el presente Reglamento debe aplicarse a los datos no personales de dichos conjuntos. Cuando los datos personales y no personales estén inextricablemente ligados, el presente Reglamento se aplicará sin perjuicio del Reglamento (UE) 2016/679.
2. «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos o conjuntos de datos en formato electrónico, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, almacenamiento, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;
5. «requisito de localización de datos»: cualquier obligación, prohibición, condición, restricción u otro requisito previsto en las disposiciones o prácticas legales, reglamentarias o administrativas, también en el ámbito de la contratación pública, de los Estados miembros, impuestas por las administraciones locales, centrales o regionales o por entidades públicas, que exija la ubicación del tratamiento de datos en el territorio de un determinado Estado miembro o dificulte el almacenamiento o tratamiento de datos en cualquier otro Estado miembro;
7. «usuario»: una persona física o jurídica que utiliza o solicita un servicio de tratamiento de datos;
1. Los requisitos de localización de los datos estarán prohibidos, salvo que estén justificados por una amenaza documentada y grave a la seguridad pública y constituyan medidas adecuadas y proporcionadas.
3. En el plazo de doce meses desde el inicio de la aplicación del presente Reglamento, los Estados miembros velarán por que se derogue cualquier requisito de localización de datos que no se ajuste a lo dispuesto en el apartado 1. Transcurrido este período, si un Estado miembro considera que un requisito de localización de datos cumple lo dispuesto en el apartado 1 y, por lo tanto, puede seguir en vigor, notificará dicha medida a la Comisión, junto con una justificación para mantenerlo en vigor.
3 bis. La Comisión deberá, sin perjuicio de lo dispuesto en el artículo 258 del TFUE y en un período de tres meses a partir de la fecha de recepción de dicha notificación, examinar que dicha medida cumpla con el apartado 1 del presente artículo y, en su caso, adoptar un dictamen que exija al Estado miembro en cuestión que modifique o derogue la medida.
5. Los Estados miembros notificarán a la Comisión la dirección de sus puntos únicos de información a que se refiere el apartado 4. La Comisión publicará en su sitio web información actualizada de forma periódica en sus lenguas de trabajo/procedimiento sobre las medidas nacionales mencionadas en los apartados 2 y 3, junto con las direcciones de los puntos únicos de información en línea de los Estados miembros.
5 bis. La Comisión publicará en su sitio web una guía destinada a los proveedores y usuarios del tratamiento de datos sobre la aplicación del presente Reglamento, incluida información sobre el tratamiento jurídico de los distintos tipos de conjuntos de datos.
1. La Comisión fomentará y facilitará la elaboración de códigos de conducta autorreguladores a escala de la Unión, basados en el principio de interoperabilidad, con el fin de definir directrices sobre los siguientes aspectos:
Artículo 6 – apartado 1 – letra –a (nueva)
–a) las mejores prácticas para facilitar el cambio de proveedor y el traslado de datos en normas abiertas estructuradas y de uso común y un formato de lectura mecánica que concedan al usuario tiempo suficiente para efectuar tales operaciones; y
a) los requisitos de información mínimos para garantizar que los usuarios profesionales reciban información suficientemente detallada, clara y transparente antes de celebrar un contrato de tratamiento de datos, en lo relativo a los tratamientos, los requisitos técnicos, los plazos y los costes aplicables en caso de que un usuario profesional desee cambiar de proveedor o reintegrar sus datos a sus propios sistemas informáticos, incluidos los tratamientos y la ubicación de copias de seguridad de los datos, los datos de que se dispone, los soportes y formatos de datos disponible, la configuración informática necesaria y el ancho de banda mínimo; el tiempo necesario antes de iniciar el proceso de traslado y el tiempo durante el cual los datos seguirán estando disponibles para su traslado; las garantías de acceso a los datos en caso de quiebra del proveedor; y
a bis) los regímenes de certificación para los productos y servicios de tratamiento de datos, que faciliten la comparación de la calidad de estos productos y servicios, incluida la gestión de la calidad, la gestión de la seguridad de la información, la gestión de la continuidad de las actividades, y la gestión medioambiental;
Artículo 6 – apartado 3 – párrafo 1 bis (nuevo)
Cuando el código de conducta autorregulador no haya reducido el número de obstáculos existentes al traslado de datos, la revisión irá acompañada, según proceda, de una propuesta legislativa.
3 bis. Si no se establecen tales códigos de conducta y no se aplican efectivamente en el período de tiempo establecido, o si existen motivos de preocupación tras la oportuna revisión, la Comisión podrá adoptar actos de ejecución que establezcan una orientación mínima. Dichos actos de ejecución se adoptarán de conformidad con el procedimiento de examen establecido en el artículo 24, apartado 2.
Si bien se fomenta la autorregulación, la participación de la Comisión puede contribuir a la superación de los obstáculos que pueden surgir en el proceso de elaboración de los códigos.
6. La Comisión podrá adoptar actos de ejecución por los que se establezcan formularios normalizados, lenguas de las solicitudes, plazos u otros detalles de los procedimientos para las solicitudes de asistencia. Dichos actos de ejecución se adoptarán con arreglo al procedimiento a que se refiere el artículo 8.
6. La Comisión podrá adoptar actos de ejecución por los que se establezcan formularios normalizados, formatos y canales de transmisión, lenguas de las solicitudes, plazos u otros detalles de los procedimientos para las solicitudes de asistencia. Dichos actos de ejecución se adoptarán con arreglo al procedimiento de examen establecido en el artículo 8.
6 bis. El punto de contacto único proporcionará también información general a usuarios profesionales y al público en lo relativo a las obligaciones establecidas en la presente Directiva, así como a cualquier código de conducta elaborado en virtud del artículo 6.
El punto de contacto único ha sido diseñado principalmente para ayudar a las administraciones de los Estados miembros, pero su función podría ampliarse más para convertirlo en un punto de contacto del público general y la comunidad empresarial en general.