Cuando muchos preparaban ya las maletas para las tan merecidas vacaciones, el Gobierno nos sorprende con la aprobación del Real Decreto-ley 5/2018, de 27 de julio, de medidas urgentes para la adaptación del Derecho español a la normativa de la Unión Europea en materia de protección de datos. Publicado con fecha 30 de julio de 2018, entra en vigor al día siguiente, y se adelanta a la nueva Ley Orgánica, aún en sede parlamentaria.
La vigencia del Real Decreto Ley, en principio, será temporal, lo estará hasta la vigencia de la nueva legislación orgánica de protección de datos que tenga por objeto adaptar el ordenamiento jurídico español al Reglamento (UE) 2016/679 del Parlamento Europeo y el Consejo, de 27 de abril de 2016. Sin embargo, estimamos que sus preceptos serán trasladados a la nueva Ley, en un ámbito tan importante como el régimen sancionador y de inspección.
Hasta ahora existía un vacío legal en el régimen sancionador del Reglamento Europeo, que debía completarse por la normativa de cada país. Esto había llevado a muchos especialistas a decir que las infracciones cometidas al nuevo Reglamento no podían ser sancionadas. Esta posición, en cierta medida, viene a ratificarse con este RDL, que tan sólo aborda aspectos procedimentales y de infracciones de la nueva normativa.
Veamos los puntos básicos del Real Decreto Ley:
- Sujetos responsables del tratamiento a los que les es aplicable el régimen sancionador. Se señalan a los responsables y encargados del tratamiento y sus representantes no establecidos en el territorio de la Unión Europea. Además, se señalan a las entidades de certificación y a las entidades acreditadas de supervisión de los códigos de conducta. Mención expresa es la exclusión del delegado de protección de datos del régimen sancionador.
- Plazos de prescripción: En cuanto a las infracciones se preve un plazo de prescripción de dos años para las menos graves y tres para las de mayor gravedad (según el artículo 83 apartados 4, 5 y 6 del Reglamento (UE) 2016/679. En cuanto a las sanciones, las de importe igual o inferior a 40.000 euros, prescriben en el plazo de un año. Las de 40.001 y 300.000 euros prescriben a los dos años y las de importe superior a 300.000 euros a los tres años.
- Procedimientos en caso de posible vulneración de la normativa de protección de datos. Se establecen tres formas de inicio. De ellas las más habituales serán. En primer lugar, la falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679. Deberán resolverse en seis meses a contar desde la fecha en que hubiera sido notificado al reclamante el acuerdo de admisión a trámite. Si no hay contestación se entiende estimado, por aplicación del silencio positivo. En segundo lugar, cuando el procedimiento tenga por objeto la determinación de la posible existencia de una infracción de lo dispuesto en el Reglamento, la duración es de nueve meses.
- Se determina el personal competente para realizar las labores de investigación y la forma de realizarlas.
- Procedimientos transfronterizos. Se regulan la suspensión o la interrupción de los plazos de prescripción mientras las autoridades de otros países revisan los procedimientos", ello al objeto de no provocar la caducidad.
Estas pequeñas pinceladas sobre la nueva norma deberán ser desarrolladas en análisis posteriores. Baste ahora con su mera enumeración, y aprovechamos para desear, a quien las tenga, unas buenas vacaciones.
ElDerecho.com no comparte necesariamente ni se responsabiliza de las opiniones expresadas por los autores o colaboradores de esta publicación