Con la publicación del Real Decreto Ley 5/2018 se inician los trámites para adecuar el ordenamiento jurídico español al Reglamento Europeo de Protección de Datos en materias no reservadas a Ley Orgánica. Entre otras cuestiones, delimita los sujetos responsables de los tratamientos a los que les es aplicable el régimen sancionador, establece los plazos de prescripción de las infracciones y sanciones previstas en la norma europea y establece disposiciones de aplicación a los procedimientos tramitados por la Agencia Española de Protección de Datos (AEPD).?
Lo que se pretende, por tanto, es regular diversas cuestiones que no son materia exclusiva de la Ley Orgánica, y que se encuentran en vigor desde que comenzase a aplicarse el RGPD el pasado 25 de mayo. El RDL 5/2018 permanecerá vigente hasta la entrada en vigor de la nueva LOPD, actualmente en trámites parlamentarios.
Entre las materias reguladas en el mencionado Real Decreto Ley encontramos las siguientes:
1. Identificación del personal competente para ejercer los poderes de investigación de la Agencia Española de Protección de Datos (RDL 5/2018 Cap.I).
La actividad de investigación de la AEPD se va a llevar a cabo por los funcionarios de la Agencia, o por funcionarios ajenos a ella habilitados expresamente por su Director, que van a tener la consideración de agentes de la autoridad. En el desarrollo de sus funciones van a poder recabar las informaciones precisas para el cumplimiento de sus funciones, realizar inspecciones, requerir la exhibición o envío de documentos y datos necesarios y examinarlos, inspeccionar equipos y requerir la ejecución de tratamientos u programas o procedimientos de gestión y soporte del tratamiento sujetos a investigación.
2. Régimen sancionador (RDL 5/2018 Cap.II)
Las infracciones en materia de protección de datos se regulan por el RGPD art.83.44, 5 y 6, por ello se derogan expresamente los artículos de la LO 15/1999 que establecían las infracciones y sanciones en esta materia (art. 40, 43, 44, 45, 47, 48 y 49).
Las infracciones previstas en la norma europea están sujetas a un plazo de prescripción que oscila entre los 2 y los 3 años según el tipo de infracción (RDL 5/2018 art.5). Por su parte, el plazo de prescripción de las sanciones es de 1 año para las sanciones de hasta 40.000 €; de 2 años para las sanciones de entre 40.001 y 300.000 euros y de 3 años para las sanciones de superior cuantía (RDL 5/2018 art.6).
Están sujetos al régimen sancionador los responsables y encargados de los tratamientos; los representantes de los responsables o encargados de los tratamientos no establecidos en la UE; las entidades de certificación y las entidades acreditadas de supervisión de los códigos de conducta. Por el contrario no se aplica el régimen sancionador en esta materia al delegado de protección de datos.
3. Se establecen disposiciones de aplicación a los procedimientos tramitados por la AEPD en los siguientes casos:
a) Cuando un afectado reclame que no se ha atendido su solicitud de ejercicio de sus derechos de acceso, de rectificación o supresión y de oposición (Rgto (UE) 2016/679 art.15 a 22): el procedimiento se inicia por acuerdo de admisión a trámite y se establece un plazo para resolver de 6 meses desde su notificación al reclamante. Transcurrido ese plazo el interesado puede considerar estimada su reclamación.
b) Cuando la AEPD investigue la existencia de una supuesta infracción del Rgto (UE) y la normativa de española de protección de datos: el procedimiento se inicia mediante acuerdo de inicio adoptado por propia iniciativa o como consecuencia de reclamación. El plazo máximo de duración del procedimiento es de 9 meses, transcurrido el cual se produce su caducidad y el archivo de actuaciones.
Los plazos de tramitación en ambos supuestos se suspenden cuando deba recabarse información, solicitud de asistencia o pronunciamiento preceptivo de un órgano u organismo de la UE o de una o varias autoridades de control de los Estados miembros conforme con lo establecido en el RGPD, por el tiempo que medie entre la solicitud y la notificación del pronunciamiento a la AEPD. Antes de adoptar el acuerdo de inicio de procedimiento, y una vez admitida a trámite la reclamación, la AEPD puede llevar a cabo actuaciones previas de investigación durante un máximo de 12 meses.
Además, la AEPD puede acordar medidas provisionales para salvaguardar el derecho fundamental a la protección de datos como el bloqueo cautelar de los datos y la obligación inmediata de atender el derecho solicitado.
4. Se designa a la AEPD como representante de España en el Comité Europeo.
En AC-Global Consulting contamos con más de 20 años de experiencia en asesoría fiscal, contable y laboral; consultoría empresarial y corporativa, auditoría y correduría de seguros.
Si deseas asesoramiento sólo tienes que ponerte en contacto con nosotros a través de nuestras oficinas en Castellón o Villa Real.