Las Instituciones Europeas de protección de datos alertan sobre los riesgos de la propuesta de reglamento de gobernanza de datos

Como ya avanzábamos en posts anteriores, 2020 fue un año importante para la economía de datos en la Unión Europea. En septiembre, la Comisión Europea hizo pública su estrategia de datos para la Unión Europea para los próximos años. Dos meses después, publicó una Propuesta de Reglamento de Gobernanza de Datos (Data Governance Act), dando un paso más en la creación de un mercado comunitario único de intercambio de datos.

Esta Propuesta de Reglamento tiene como objetivo ampliar la disponibilidad de datos con miras a su utilización y explotación económica. En el enfoque adoptado por la Propuesta, centrado en desarrollar el potencial económico de los datos, contrasta con el sistema previsto en Reglamento General de Protección de Datos (RGPD), que tiene la protección del derecho fundamental a la privacidad como piedra angular.

Esta cuestión no es baladí, especialmente teniendo en cuenta que en ocasiones el límite entre los datos personales y no personales se desdibuja. Precisamente por ello, la Comisión Europea solicitó al Comité Europeo de Protección de Datos (CEPD) y el Supervisor Europeo de Protección de Datos (SEPD) un informe conjunto sobre el impacto del Proyecto en la protección de los datos personales en la Unión.

En el informe, del pasado 10 de marzo, ambas instituciones alertan sobre el riesgo de que la Propuesta constituya una vía para eludir las obligaciones de la normativa de protección de los datos personales. Para evitarlo, el informe recoge las siguientes propuestas de enmienda:

• incluir una mención explícita a la prevalencia de las normas de protección de datos y, en particular, al régimen previsto en el RGPD;
• vincular las nuevas figuras previstas (por ejemplo, los proveedores de servicios de intercambio de datos, las organizaciones reconocidas de gestión de datos con fines altruistas, o los usuarios de datos) con los roles ya existentes en el RGPD (responsable, encargado y corresponsable del tratamiento) para facilitar la aplicación de las normas de protección de datos personales;
• especificar la base jurídica aplicable para el tratamiento de datos personales cuando dicho tratamiento no se base en el consentimiento, con el fin de justificar el tratamiento para una finalidad distinta de aquella para la que se recogieron inicialmente los datos personales y así aumentar la seguridad jurídica; y

También alertan de que la Propuesta podría crear un conjunto de normas paralelas y no del todo coherentes con el RGPD y con el Reglamento para la libre circulación de datos, socavando sus garantías y causando problemas de aplicación práctica. Este riesgo es especialmente patente en lo que respecta a la regulación de los proveedores de servicios de intercambio de datos.

Asimismo, el CEPD y el SEPD muestran su desacuerdo en relación con la introducción de nuevas figuras para la gestión de los datos, pues consideran que podrían interferir con la labor de las Autoridades nacionales responsables de la supervisión de los datos personales (en el caso de España, la Agencia Española de Protección de Datos) y limitar su eficacia.

En definitiva, con este informe el CEPD y el SEPD recalcan que los avances en la economía digital no pueden ir en detrimento de los derechos de los ciudadanos. Su perspectiva brinda una oportunidad a la Comisión Europea de revisar su propuesta en aras de garantizar la cohesión del Derecho de la Unión Europea y la protección de los datos personales en su seno.

Autores: Pedro Méndez de Vigo y Beatriz García Quiroga