Medidas urgentes para adaptar el Derecho español a la normativa europea de protección de datos

Entrada en vigor del Real Decreto-ley 5/2018, de 27 de julio, de medidas urgentes para la adaptación del Derecho español a la normativa de la Unión Europea en materia de protección de datos que regula la inspección y el régimen sancionador en esta materia.

Como consecuencia de la aplicación del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de sus datos personales y a la libre circulación de estos datos (RGDP), desde el pasado 25 de mayo, el Ejecutivo se ha visto en la necesidad de adecuar nuestro ordenamiento jurídico al citado Reglamento en aquellos aspectos que no admitan demora y que consistan en medidas que no estén reservadas a la Ley Orgánica (que ela actualidad permanece en tramitación en fase de Proyecto de Ley).

Su objetivo es hacer posible la aplicación de las especialidades del régimen procedimental del citado RGPD, en particular en materia de inspección y sanción.

Vigencia temporal limitada:

Resultará aplicable desde hoy 31 de julio de 2018 hasta la entrada en vigor de la nueva legislación orgánica de protección de datos que tenga por objeto adaptar íntegramente el ordenamiento jurídico español al RGPD.

Derogación normativa:

Deroga los artículos 40 (potestad de inspección), 43 (sujetos responsables del régimen sancionador), 44 (tipos de infracciones), 45 (tipos de sanciones), 47 (prescripción), 48 (procedimiento sancionador) y 49 (potestad de inmovilización de ficheros) de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. Continúa en vigor el artículo 46 de dicha Ley Orgánica, referido a infracciones de las Administraciones Públicas.

Principales medidas:

Entre otras medidas contempladas en el RD-ley, podemos subrayar las siguientes:

(i) Sujetos responsables: se incluyen a los responsables de los tratamientos, encargados, representantes de los responsables o encargados no establecidos en la Unión Europea, entidades de certificación y entidades acreditadas de supervisión de los códigos de conducta.
Se excluye expresamente al delegado de protección de datos del régimen sancionador.

 Se excluye expresamente al delegado de protección de datos del régimen sancionador.

 (ii) Plazos de prescripción

 a) De las infracciones

• 3 años para las infracciones del artículo 83 apartados 5 y 6 del RGDP; y

• 2 años para las infracciones del artículo 83.4 del RGDP
• Suspensión: si el expediente sancionador se paraliza durante más de seis meses por causas no imputables al presunto infractor.

b) De las sanciones:

• Sanciones por importe igual o inferior a 40.000 euros: 1 año;
• Sanciones de importe comprendido entre 40.001 y 300.000 euros: 2 años;
• Sanciones de importe superior a 300.000 euros: 3 años.
• Suspensión: por inicio del procedimiento de ejecución; volverá a transcurrir el plazo si el procedimiento está paralizado durante más de 6 meses por causa no imputable al infractor.

(iii) Especialidades de los procedimientos

a) Distinción de dos tipos de procedimientos:

• Reclamaciones de afectados ante la Agencia Española de Protección de Datos (AEPD) por no ser atendida su solicitud de ejercicio de los derechos reconocidos en los artículos 15 a 22 del RGDP (Derechos de acceso, rectificación, supresión, limitación del tratamiento, notificación respecto a rectificaciones o supresiones, portabilidad, oposición y derecho a la no adopción de decisiones automatizadas y elaboración de perfiles.): el plazo para resolver será de 6 meses desde la fecha de notificación al afectado de la admisión de la reclamación. Transcurrido el plazo se entenderá estimada la reclamación.
• Procedimientos de posibles infracciones del RGDP y de la normativa española de protección de datos:

1. Antes del acuerdo de inicio del procedimiento podrá existir una fase de actuaciones de investigación previas con una duración máxima de 12 meses desde la admisión a trámite;

  2. El plazo máximo para resolver será de 9 meses a contar desde la fecha del acuerdo de inicio del procedimiento. Transcurrido dicho plazo se producirá su caducidad y el archivo de las actuaciones.

b) Suspensión de los plazos de tramitación: cuando deba recabarse información, consulta, solicitud de asistencia o pronunciamiento preceptivo de un órgano u organismo de la Unión Europea o de una o varias autoridades de control de los Estados miembros, por el tiempo que medie entre la solicitud y la notificación del pronunciamiento a la AEPD.

c) Inadmisión/Admisión de reclamaciones por la AEPD:

• Posible inadmisión: si el responsable o encargado del tratamiento, previa advertencia de la AEPD, hubiera adoptado medidas correctivas para poner fin al incumplimiento y concurriera alguna de estas dos circunstancias: no se hubiera causado perjuicio al afectado o su derecho quede garantizado por las citadas medidas;
• Antes de resolver sobre la admisión: la AEPD podrá remitir la reclamación al delegado de protección de datos a fin de que de respuesta en el plazo de 1 mes.

d) Medidas provisionales: durante la realización de las actuaciones previas de investigación o iniciado un procedimiento, la AEPD podrá adoptar las medidas provisionales previstas en el artículo 66.1 del RGPD, el bloqueo cautelar y la cesación del tratamiento de los datos y la obligación inmediata de atender el derecho solicitado.

Régimen transitorio:

Los procedimientos ya iniciados y los procedimientos respecto a los cuales ya se hubieren iniciado actuaciones previas conforme a la Ley Orgánica 15/1999 a la entrada en vigor del RD-Ley se regirán por la normativa anterior.

Contratos de encargado del tratamiento:

Los contratos de encargado del tratamiento suscritos con anterioridad al 25 de mayo de 2018 al amparo de la Ley Orgánica 15/1999 podrán mantener su vigencia hasta la fecha de vencimiento pactada y, en todo caso, hasta el 25 de mayo de 2022. No obstante, durante dichos plazos cualquiera de las partes podrá exigir la modificación del contrato conforme al artículo 28 del RGPD.