Superada una primera fase de formación dirigida a todos los operadores implicados en los procesos de tratamiento de datos con el objetivo de favorecer la implementación del RGPD, a partir de ahora se ceñirá a las funciones previstas para las autoridades de control en protección de datos
Tal y como justifica la propia norma, transcurridos más de cinco años desde la entrada en vigor del RGPD es oportuno concluir la fase transitoria, en la que la AEPD ha venido desarrollando funciones consultivas particularizadas a demanda de responsables y encargados individuales con el fin de asistir y formar a todos los actores implicados en los procesos de tratamiento de datos y procurar una transición ordenada a la nueva regulación que establecía, para pasar a un nuevo estadio que obliga a definir, en primer lugar y en aras de la certeza jurídica de los sujetos obligados, cuáles son las funciones consultivas que debe desarrollar.
A ese fin ha publicado una Instrucción con la que pretende dar conocimiento público al modo en que va a desarrollar desde ahora su función consultiva, en especial ciñéndose a las funciones previstas en el art. 57 RGPD para las autoridades de control en protección de datos.
El ejercicio de esta nueva función consultiva de la AEPD viene determinada por dos circunstancias:
-El principio de responsabilidad proactiva de los responsables del tratamiento. El sistema de cumplimiento de las obligaciones establecidas en materia de protección de datos se ha diseñado en el RGPD para que los responsables o encargados del tratamiento -ellos mismos, o asistidos por sus DPD, o abogados o consultores- sean quienes determinen los tratamientos de datos que implique el ejercicio de su actividad, evalúen los riesgos que su suponen para los derechos y libertades de los afectados e implanten las medidas necesarias para evitarlos o reducirlos, siendo esta una valoración responsable (responsabilidad proactiva).
Por otra parte, el asesoramiento particularizado a responsables o encargados podría perjudicar en un futuro la imparcialidad de las labores de supervisión, cuando se hubiese asesorado previamente sobre un tratamiento de datos que posteriormente da lugar a actuaciones de investigación.
Así las cosas, su inclinación hacia la figura de las autoridades de control conduce al hecho de que la AEPD no desarrollará funciones consultivas individualizadas destinadas a responsables y encargados del tratamiento, ni tampoco a los despachos de abogados o consultores cuyas funciones son, precisamente, la interpretación de la ley y el asesoramiento a sus clientes.
–Las circulares serán el elemento prioritario a través del cual la AEPD establecerá a partir de ahora los criterios generales de interpretación de la normativa sobre protección de datos personales, contribuyendo de este modo a incrementar la seguridad jurídica en la materia.
En consecuencia, las funciones consultivas de la Agencia Española de Protección de Datos serán a partir de ahora las siguientes:
-Informar preceptivamente sobre,
-Los proyectos de disposiciones generales de desarrollo del RGPD y de la LOPDGDD.
-Cualesquiera anteproyectos de ley o proyectos de reglamento que incidan en la materia propia del RGPD.
-Los anteproyectos de ley por los que se exijan datos con carácter obligatorio y su adecuación a lo dispuesto en el artículo 7 de la Ley 12/1989, de 9 de mayo, de la Función Estadística Pública.
-El contenido y formato de los cuestionarios, hojas censales y otros documentos de recogida de datos con fines estadísticos oficiales.
-Los procesos de recogida y tratamiento de los datos personales a efectos estadísticos oficiales.
-Las condiciones de seguridad de los tratamientos realizados con fines exclusivamente estadísticos oficiales.
-Cualesquiera otros informes que se deban emitir por la AEPD con carácter preceptivo en virtud de disposiciones legales o reglamentarias.
Esta función se llevará a cabo por del Gabinete Jurídico de la AEPD.
-Proporcionar información relativa a las consultas formuladas por las personas afectadas sobre el ejercicio de sus derechos en materia de protección de datos. El órgano de la AEPD responsable es la Subdirección General de Promoción y Autorizaciones (SGPA), que realizará esta función consultiva en su web a través de publicaciones informativas (FAQ, guías, manuales y otros materiales y contenidos), mediante atención presencial concertada con cita previa, atención telefónica individualizada y resolviendo escritas de ciudadanos interesados a través de la aplicación disponible en la sede electrónica de la AEPD.
Las consultas que se formulen ante la AEPD deben referirse a los derechos de la persona solicitante. Las respuestas a las consultas constituyen una actividad meramente informativa del órgano administrativo, no incluyen valoraciones sobre tratamientos realizados por terceros, ni modifican en modo alguno la situación jurídica del solicitante.
-Dar respuesta a las consultas presentadas por los DPD a través del canal de consulta para DPD dependiente de la SGPA de la Agencia.
Deben versar sobre cuestiones que no pueden resolverse con los criterios ya informados por la AEPD o de cuestiones nuevas derivadas de la aplicación del nuevo régimen jurídico de protección de datos de carácter personal, siempre que el Gabinete Jurídico –encargado de resolverlas- considere que tienen un alcance general en el que resulte conveniente un informe que contribuya a la seguridad jurídica.
Las consultas deberán ir acompañadas de un informe del DPD en cuestión –responsabilidad proactiva-, en el que se analice el tratamiento sobre el que se consulta –y el criterio defendido por el propio DPD- y se examinen los riesgos asociados a las operaciones de tratamiento, teniendo en cuenta la naturaleza, el alcance, el contexto y fines del mismo.
-Dar respuesta a consultas previas presentadas por los responsables del tratamiento cuando las conclusiones de una evaluación de impacto muestren que el tratamiento al que se refiere entrañaría un alto riesgo y el responsable no ha podido mitigar o evitar dicho riesgo.
El ejercicio de estas funciones se regula con detalle en las normas de la Instrucción que se comenta.
Por otro lado, las circulares que puede dictar la Agencia para establecer los criterios a que responderá su actuación en la aplicación de lo dispuesto en el RGPD y en la LOPDGDD, se ajustarán al procedimiento regulado en el Estatuto.
[Instrucción 1/2021, de 2 de noviembre, de la Agencia Española de Protección de Datos (Directrices respecto de la función consultiva de la Agencia) (BOE de 5 de noviembre de 2021)]
Departamento de Documentación de Garrido