Estrategia del Comité Europeo de protección de datos para 2021-2023

El pasado 15 de diciembre el Comité Europeo de Protección de Datos (CEPD) publicó su estrategia para 2021-2023. La misión del CEPD es garantizar la aplicación coherente de las normas europeas en materia de protección de datos y fomentar la cooperación efectiva entre las autoridades de control en todo el Espacio Económico Europeo (EEE). La estrategia tiene como objetivo garantizar la misión del CEPD en la aplicación del Reglamento General de Protección de Datos (RGPD), así como de la Directiva sobre protección de datos en el ámbito penal.

La estrategia del CEPD establece cuatro pilares principales para mejorar el cumplimiento de las dos normas mencionadas. También incluye una serie de acciones destinadas a la consecución de tales objetivos.

Primer pilar: avanzar en la armonización y facilitar el cumplimiento.

• El CEPD facilitará directrices prácticas, fáciles de entender y accesibles, de la normativa de protección de datos personales. También desarrollará y promoverá herramientas que ayuden al cumplimiento normativo desde el diseño y por defecto, utilizando para ello la experiencia práctica adquirida. El objetivo es conseguir una implementación coherente de las normas de protección de datos personales en todos los Estados miembros.
• Acciones concretas: (i) elaborar directrices que faciliten la interpretación homogénea de nociones clave, estableciendo el plan de trabajo de 2021-2022, entre las próximas y más relevantes guías a publicar las relativas al interés legítimo, o la remuneración a cambio de datos personales; (ii) desarrollar y aplicar mecanismos de cumplimiento para responsables y encargados del tratamiento (códigos de conducta y certificaciones); y (iii) desarrollar herramientas para una audiencia general, colaborando en actividades de sensibilización y divulgación.

Segundo pilar: apoyar la ejecución efectiva y la cooperación eficaz entre autoridades nacionales de control.

• El CEPD apoyará la cooperación entre todas las autoridades nacionales de protección de datos. Para ello, optimizará los procesos internos, y promoverá una coordinación mejorada, con la intención de desarrollar una auténtica cultura de ejecución de la ley entre las autoridades de protección de datos personales. El objetivo es conseguir una supervisión uniforme de la normativa.
• Acciones concretas: (i) fomentar y facilitar el uso de herramientas de cooperación y comunicación; (ii) implementar un marco de ejecución coordinado que priorizará, según el plan de trabajo 2021-2022 del CEPD, el one-stop-shop, la asistencia mutua o el cálculo de multas administrativas; y (iii) establecer un grupo de expertos de apoyo.

Tercer pilar: las nuevas tecnologías desde la perspectiva de los derechos fundamentales.

• El CEPD realizará un seguimiento continuo de las nuevas tecnologías y de su impacto sobre los derechos fundamentales y la vida diaria de las personas. Para ello prestará especial atención a las actividades de tratamiento de datos que supongan un mayor riesgo para los derechos y libertades de las personas (p. ej., para evitar la discriminación). El objetivo es configurar que la tecnología esté en consonancia con valores europeos, como la dignidad humana, la autonomía y la libertad.
• Acciones concretas: (i) evaluar nuevas tecnologías como, por ejemplo, la inteligencia artificial (IA), biometría, elaboración de perfiles, tecnología publicitaria, servicios en la nube, blockchain, etc; (ii) reforzar la protección de datos desde el diseño y por defecto; (iii) intensificar el compromiso y la cooperación con otras autoridades (como por ejemplo, las autoridades de competencia y de protección del consumidor); y (iv) publicar directrices en el contexto de las nuevas tecnologías, estando previstas la publicación antes de 2022 de directrices sobre blockchain, anonimización y seudonimización, utilización del reconocimiento facial a la hora de aplicar la ley, asistentes de voz virtuales, notificaciones de fugas de datos, interfaces de las plataformas de redes sociales, cloud computing, inteligencia artificial, identidad digital, data brokers o internet de las cosas.

El cuarto pilar: la dimensión global.

• El CEPD promoverá el modelo de protección de datos de la Unión Europea a escala global para garantizar la protección efectiva de los datos personales fuera de sus fronteras. Para ello, el Comité prevé publicar directrices y recomendaciones sobre los instrumentos legales para realizar transferencias internacionales recogidos entre los arts. 45 y 48 del RGPD.
• Acciones concretas: (i) promover el uso de herramientas de transferencia de datos personales que garanticen un nivel de protección equivalente, siendo esta la prioridad del CEPD para 2021 y 2022 en cuanto al cuarto pilar; (ii) colaborar con la comunidad internacional para ofrecer un liderazgo en materia de protección de datos a nivel mundial; y (iii) facilitar la colaboración en casos relacionados con la ejecución de la ley que afectan a responsables y encargados del tratamiento ubicados fuera del EEE.

En definitiva, el CEPD se propone para 2023 poder (i) armonizar en la medida de lo posible la implementación de la normativa de protección de datos personales, (ii) facilitar una supervisión coordinada por parte de las autoridades europeas de protección de datos personales, (iii) implementar tecnologías que respeten la privacidad por defecto y desde el diseño, y (iv) situar a la Unión Europea como referente mundial en la protección de la privacidad.

Teniendo en cuenta la apuesta del CEPD por consagrar y configurar el derecho fundamental a la protección de los datos, desde este foro seguiremos de cerca la implementación de esta estrategia.

Autores: Pedro Méndez de Vigo y Josu Andoni Eguiluz