Respuesta de APEP a la consulta pública para la adaptación en España del RGPD.

A casi un año de que el nuevo Reglamento (UE) 2016/679, de 27 de abril de 2016, relativo a la protección de datos personales (“Reglamento General de Protección de Datos” o “RGPD”) comience a ser aplicable para todos los Estados miembros de la Unión Europea, el pasado 7 de febrero de 2017 el  Ministerio de Justicia abrió el trámite de consulta pública.

La APEP (Asociación Profesional Española de Privacidad) ha emitido un comunicado reflejando algunas valoraciones como respuesta a esta consulta.

1. Preliminares: Reflexión sobre el imprescindible participación de la APEP  como organización representativa de los profesionales de la privacidad. que son quienes están en la primera línea de aplicación práctica de las normas de protección de datos. Es imprescindible que el centro directivo competente ponga los medios para garantizar una participación efectiva de los actores implicados.

2. No fragmentar el mercado interior: La iniciativa debe ser consciente que se ha aprobado un Reglamento  y no una Directiva, por lo que su intención no es fomentar iniciativas nacionales que fragmenten el mercado interior en la UE.

3. Flexibilidad: En contraposición de una ley orgánica que conlleva una estabilidad y unas mayorías de aprobación,  la normativa aporta una flexibilidad para poder adaptarse a la evolución de las tecnologías.

4. Derogación normativa nacional: La iniciativa debe derogar expresamente las leyes y normas que sean contrarias al nuevo RGPD. Sin embargo también se deben identificar qué previsiones han sido útiles y cómo pueden encajar sin distorsionar el mercado interior:

• Datos profesionales y consentimiento tácito: Algunos aspectos requieren de un nuevo encaje con el RGPD que podrían reconducirse con el reconocimiento de un interés legítimo.
• Procedimiento sancionador: la iniciativa debería recoger períodos de prescripción para las sanciones.
• Fuentes accesibles al público: la utilización de datos públicos debe re-examinarse y valorar de qué forma se utiliza Internet hoy en día.
• Ficheros especiales de marketing y solvencia: Es necesario regular de forma específica estos aspectos pero evitando repetir restricciones innecesarias de la LOPD que no conviene seguir perpetuando.
• Medidas de seguridad: La desaparición de las medidas de seguridad a aplicar puede generar una considerable inseguridad en buena parte de quienes deben aplicarlas. La iniciativa debería preservar el valor de contar con unos mínimos de seguridad, sin un único estándar posible, para evitar fragmentar el mercado interior.
• Sector público: no tiene sentido conservar dos regímenes distintos para el sector público y privado como sucedió con las LORTAD y la LOPD. Es necesaria una interrelación entre ambos sectores.

5. Puesta en valor de los profesionales de la privacidad:

1. DPD: A pesar de la importancia que recae sobre esta nueva figura, el RGPD no deja claros una serie de aspectos, como son el encaje del DPD en el sector público y  las características de las certificaciones que deben reunir como profesionales.
2. Consejo Asesor de la AEPD: Se debe modificar el estatuto de la AEPD y reconocer, dentro de su Consejo Asesor, a asociaciones representativas del colectivo de profesionales de la privacidad.
3. Otras instancias de intervención de las asociaciones de profesionales de la intervención: Dado el papel esencial del DPD, será necesario contar con su participación en la elaboración de normas, modelos o guias en materia de protección de datos que produzcan las autoridades de control u otras instituciones del gobierno.
4. Vacíos del RGPD que deben o pueden completarse con legislación del Estado miembro. En algunos aspectos, el RGPD requiere para ser aplicado a la legislación del Estado miembro. En otros, el RGPD permite a los Estados miembros legislar sobre la materia.
5. Encaje con otras normas.