La Agencia Española de Protección de Datos (AEPD) ha publicado hoy su Memoria 2020, que recoge de forma exhaustiva las actividades realizadas por esta institución, las cifras de gestión, las tendencias destacadas, las decisiones y procedimientos más relevantes del año, y un análisis de los retos presentes y futuros. La actividad de organismo en 2020 ha estado marcada por el trabajo realizado para garantizar las medidas de asistencia sanitaria, el control de la pandemia y el derecho fundamental a la protección de datos, así como por la adopción de decisiones de carácter organizativo para mantener el nivel de actividad en las circunstancias que ha exigido la COVID-19, de forma que no pudiera resentirse el sistema de garantías para los ciudadanos establecido en la normativa de protección de datos personales.
Durante el año 2020 se ha producido la consolidación del Canal Prioritario, cuyo objetivo es la atención urgente en caso de difusión ilegítima en Internet de contenidos sensibles. La intervención de la Agencia ha logrado, en unos plazos muy reducidos, la retirada de fotografías y vídeos de contenido sexual o violento difundidos a través de internet sin consentimiento de los afectados, muchas veces pertenecientes a colectivos vulnerables. En 2020 se han recibido 358 peticiones a través del Canal Prioritario, de las cuales 174 han entrado a través del canal de menores. Tras su análisis se han tramitado como urgentes 49 de estas peticiones por encontrarse dentro de los objetivos perseguidos por este Canal. Este número se ha triplicado respecto a 2019, año en el que se tramitaron 14 peticiones urgentes. De las 49, se han solicitado 29 retiradas urgentes de los contenidos a proveedores de servicios, consiguiendo la retirada en más de un 86% de los casos. En los 20 casos restantes, que no requerían la retirada de contenidos, también se les ha dado un tratamiento prioritario.
La Agencia ha seguido respondiendo al reto de asumir los efectos que el Reglamento General de Protección de Datos (RGPD) tiene para el desarrollo de las políticas de protección de datos. Estos se han manifestado tanto en un aumento significativo del trabajo de la AEPD en el Comité Europeo de Protección de Datos como en el número de procedimientos transfronterizos. La Memoria subraya cómo, en la actualidad, es imposible separar nítidamente la actividad interna de la actividad europea, ambas vinculadas a la aplicación de una norma única. En 2020 se han presentado ante la Agencia 10.324 reclamaciones, una cifra que asciende a las 11.215 incluyendo los casos transfronterizos, los casos en los que la Agencia actúa por iniciativa propia y las quiebras de seguridad trasladadas a inspección. En 2020 la tasa de reclamaciones resueltas frente a reclamaciones recibidas ha aumentado un 5% respecto al año anterior, una cifra destacable teniendo en cuenta la situación de emergencia sanitaria. Por otro lado, los tiempos medios de resolución y el desarrollo de proyectos de concienciación se han mantenido respecto a 2019, demostrando que la ampliación del teletrabajo ya existente en la Agencia no ha mermado la capacidad de trabajo del organismo.
Las reclamaciones planteadas con mayor frecuencia por los ciudadanos en 2020 hacen referencia a servicios de internet (16%), inserción indebida en ficheros de morosidad (15%), videovigilancia (12%), recepción de publicidad (excepto spam) (7%) y reclamación de deudas (6%). Dentro del ámbito de las reclamaciones, es importante hacer una referencia a los traslados, un trámite promovido por la LOPDGDD que tiene como objetivo facilitar la resolución rápida de las mismas con independencia de la actividad inspectora que pueda llevar a cabo la Agencia. En 2020, se resolvió el 77% de las reclamaciones después de haber procedido al traslado. Así, se han resuelto 2.157 reclamaciones como consecuencia de haberse obtenido, tras el traslado, una respuesta satisfactoria del responsable o del encargado del tratamiento.
En 2020 la Agencia ha dictado 393 resoluciones sancionadoras (un 16% más que el año anterior), aunque de ellas sólo se impuso una sanción económica en 172. Las áreas más frecuentes en los procedimientos sancionadores son videovigilancia (24%), servicios de internet (19%), Administraciones Públicas (10%) y telecomunicaciones (7%). Por su parte, los sectores más sancionados con multa son las entidades financieras/acreedoras (5.045.000 euros) y las telecomunicaciones (1.009.000 euros). Ambos aglutinan el 76% del importe global de sanciones, que en 2020 ascendió a 8.018.800 euros, un incremento en cuantía del 27% respecto a 2019, año en el que el importe de las multas había descendido un 52% respecto a 2018.
Por otro lado, es destacable la cifra de procedimientos de cooperación en los que se ha solicitado la participación de la Agencia por parte de otras autoridades europeas de protección de datos. Con carácter general han aumentado un 15% (1.210 casos) respecto a 2019. Los proyectos de decisión en los que otra autoridad de protección de datos europea ha solicitado la participación de la Agencia han aumentado un 114% y las peticiones de asistencia un 123%. Así, entre otros asuntos, se tramitaron con el procedimiento de cooperación previsto para los tratamientos transfronterizos el caso de una quiebra de seguridad que afectó a la red social Twitter, en el que la Agencia actuó como autoridad interesada, y las quiebras de seguridad de las empresas de Reino Unido Marriot Hotels y Ticketmaster. También merece destacar el primer procedimiento sancionador de ámbito transfronterizo que se ha resuelto siendo autoridad líder la AEPD respecto de los tratamientos realizados por la empresa Miraclia. Hay que indicar que estos procedimientos tienen un tratamiento complejo y una duración mayor que la de los procedimientos nacionales.
En lo referente a las sentencias de la Audiencia Nacional recaídas en los recursos interpuestos contra resoluciones de la Agencia, de las 77 sentencias dictadas en 2020, 56 (un 73%) fueron desestimatorias o inadmitidas. Por su parte, el Tribunal Supremo ha dictado 18 sentencias, con un porcentaje favorable a la Agencia de un 95%.
En cuanto a las notificaciones de quiebras de seguridad realizadas ante la Agencia, estas son inicialmente recibidas por la División de Innovación Tecnológica (DIT), que realiza un primer análisis. La DIT ha recibido y analizado 1.370 notificaciones de quiebras de seguridad en 2020, de las que sólo el 6% (81) se han remitido a Inspección al requerir de una investigación en profundidad. En este sentido, hay que destacar el lanzamiento en 2020 de la herramienta Comunica_Brecha para ayudar a aquellos que tratan datos en la decisión de comunicar la quiebra de seguridad a las personas afectadas.
En lo relativo a las cifras de delegados de protección de datos (DPD) notificados ante la Agencia, 2020 se cerró con 65.040 DPD (57.657 del sector privado y 7.383 del sector público). Por lo que respecta a los servicios de ayuda que presta la Agencia para la adaptación al Reglamento, se han recibido casi 2.900 consultas a través del canal INFORMA_RGPD, que en noviembre de 2020 se transformó en el Canal DPD para dar respuesta a las consultas que plantean los Delegados de Protección de Datos previamente notificados a la Agencia, potenciando la figura creada por el RGPD. La Agencia pone de manifiesto en su Memoria el escaso número de DPD en la Administración Local, donde sólo 3.334 diputaciones, ayuntamientos, así como entidades locales y organismos asociados han comunicado su DPD. Aun suponiendo un incremento de un 25% con respecto a la misma fecha del año anterior, esta cifra sigue estando lejos del total de responsables que componen la administración local en España y que deben contar con un DPD.
Por último, se han planteado casi 1.400 cuestiones ante el Canal Joven de la Agencia. Las consultas planteadas con mayor frecuencia han estado relacionadas con los tratamientos de datos personales de los alumnos para el ejercicio de la función educativa, asociadas en gran medida a la situación originada por la pandemia. Así, al tener que desarrollar la función educativa en un nuevo escenario, los centros docentes han utilizado aplicaciones en ocasiones nuevas para ellos, lo que ha llevado a plantear numerosas consultas, tanto de familias como de docentes y equipos directivos. Con este escenario, la Agencia publicó unas preguntas frecuentes sobre la realización de clases y exámenes online utilizando herramientas de videollamada o plataformas educativas y su implicación con relación a la protección de datos tanto de alumnos como de profesores. Por otra parte, la AEPD publicó un documento con el contacto de los DPD de las Consejerías de Educación de las CCAA, para facilitar que los interesados puedan plantear al DPD consultas concretas sobre herramientas educativas o protocolos.
Plan de Responsabilidad Social y Sostenibilidad
La Memoria recoge un balance de las acciones realizadas durante 2020 dentro de su Plan de Responsabilidad Social y Sostenibilidad 2019-2024, un proyecto pionero en la Administración Pública española que incluye más de 100 iniciativas alineadas con los ODS de la Agenda 2030. En este sentido, la AEPD ya ha cumplido el 65% de las acciones previstas para los cinco años. Dentro de los compromisos sociales adoptados destaca el apartado de la promoción de la igualdad de género para combatir la violencia en internet (Canal prioritario) y las acciones llevadas a cabo por la Agencia en el campo de la educación y los menores. En cuanto al compromiso interno con la igualdad para lograr una mayor representación de las mujeres en los niveles más altos de la AEPD destaca que se ha pasado del 31% en 2019 al 38% en 2020.
Por otro lado, en el plano interno hay que subrayar el programa de teletrabajo de la Agencia, una iniciativa que arrancó en 2017 para potenciar la conciliación y la retención de talento y que durante 2020 ha resultado crucial para afrontar la crisis sanitaria, permitiendo que el 100% de la plantilla de la AEPD pudiera estar plenamente operativa trabajando en remoto con idénticas ratios de productividad y eficacia.
En los trabajos desarrollados en 2020 también merece una mención especial el Pacto Digital para la Protección de las Personas, una iniciativa cuya preparación se desarrolló a lo largo del año y con la que se pretende promover la privacidad como un activo que las organizaciones deben tener en cuenta a la hora de diseñar sus políticas y sus estrategias. El Plan, presentado en enero de 2021 con la adhesión de 40 de las principales organizaciones empresariales, fundaciones, asociaciones de medios y grupos audiovisuales, cuenta actualmente con casi 200 organizaciones adscritas.
