Modificaciones de la Ley Orgánica de Protección de Datos

La reciente Ley 11/2023, de 8 de mayo, (la “Ley 11/2023”), mediante la que se trasponen diversas Directivas de la Unión Europea y se modifican distintas normas, introduce algunos cambios en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (“LOPDGDD”). Las modificaciones, en vigor desde el día siguiente a la publicación de la Ley, están encaminadas a modernizar y agilizar los procedimientos ante la Agencia Española de Protección de Datos (“AEPD”) en defensa de los derechos de los ciudadanos.

A continuación se detallan algunos de los cambios introducidos por la Ley 11/2023 en lo relativo a la LOPDGDD.

Creación del procedimiento de apercibimiento en caso de vulneración en materia de protección de datos (nuevo artículo 64.3 LOPDGDD)

Con anterioridad a la Ley 11/2023, la LOPDGDD contemplaba el apercibimiento como un método sancionador más, debido a la redacción inicial del Reglamento General de Protección de Datos (“RGPD”), de aplicación directa. Sin embargo, en marzo de 2021 se publicó una corrección de errores del RGPD en la que la Unión Europea especificó que el apercibimiento es una medida alternativa a la sanción, de carácter correctivo y dotada de mayor flexibilidad. Por ello, uno de los objetivos de la Ley 11/2023 ha sido el de subsanar esta contradicción entre la LOPDGDD y el RGPD corregido, diferenciando el procedimiento sancionador del de apercibimiento.

Así, además de modificar la redacción de otros preceptos por razones de coherencia (como el artículo 50 o 77 LOPDGDD), el nuevo artículo 64.3 LOPDGDD dispone que, en función de la naturaleza de los hechos, la AEPD podrá dirigir un apercibimiento u ordenar que se adopten medidas correctivas en un cierto plazo. Además, se establece para el apercibimiento un procedimiento más veloz, que deberá durar un máximo de 6 meses desde la fecha de inicio, reduciendo a la mitad el plazo máximo establecido para el procedimiento sancionador.

Sin embargo, la aplicación del procedimiento de apercibimiento será limitada, dada la interpretación realizada por la AEPD desde hace tres años, en la que consideró que el apercibimiento únicamente puede ser de aplicación a personas físicas (y organismos públicos) en virtud del considerando 148 del RGPD.

En este sentido, habrá que atender a las nuevas resoluciones de la AEPD para observar si la voluntad agilizadora implicará volver al antiguo criterio y que las personas jurídicas puedan beneficiarse de la flexibilidad de este nuevo procedimiento.

Introducción de actuaciones de investigación a través de sistemas digitales remotos (nuevo artículo 53 bis LOPDGDD)

Hace ya más de 20 años que en España se permite la realización de ciertas actuaciones judiciales mediante videoconferencia. En un esfuerzo similar, el nuevo artículo 53 bis LOPDGDD prevé que las actuaciones de investigación de la AEPD se puedan realizar a través de videoconferencia o sistemas similares. Estos sistemas únicamente se usarán cuando lo determine la AEPD y, además, se requiere la conformidad del inspeccionado en relación con su uso y fecha de desarrollo.

Ampliación de plazos en algunos procedimientos (artículo 64 y 67 LOPDGDD)

El aumento en la complejidad de ciertos procedimientos llevados a cabo por la AEPD ha requerido de la ampliación de los plazos establecidos por la normativa anterior. En este sentido, aumenta de 9 a 12 meses el periodo para resolver el procedimiento sancionador desde la fecha del acuerdo de inicio (artículo 64 LOPDGDD) y de 12 a 18 meses el periodo para concluir las actuaciones previas de investigación (artículo 67 LOPDGDD)desde la fecha del acuerdo de admisión a trámite, o del acuerdo por el que se decida su iniciación en los casos en que la AEPD actúe por propia iniciativa.

Novedades en la admisión a trámite de las reclamaciones (artículo 65 LOPDGDD)

La Ley 11/2023 introduce la posibilidad de que la AEPD inadmita una reclamación si, como consecuencia de la remisión de la reclamación al responsable o encargado del tratamiento, y antes de resolver sobre su admisión, este demuestra haber adoptado medidas para el cumplimiento de la normativa aplicable. Si esto se demuestra tras la admisión a trámite, la AEPD también podrá resolver el archivo de la reclamación si, dados los hechos, se aconsejan soluciones más moderadas y siempre que no se hayan iniciado actuaciones previas de investigación. Sin embargo, surge la duda sobre si la normativa se refiere a medidas llevadas a cabo con anterioridad a la infracción, o si se incluyen las medidas posteriores y, por tanto, permitiendo una reducción sustancial de los procedimientos ante la AEPD.

Se introducen otras novedades como, por ejemplo, el hecho de que el silencio positivo de la AEPD ante una reclamación no impide un archivo expreso posterior o también la posibilidad de que la AEPD informe al interesado sobre la existencia de procedimientos similares para que pueda conocer el curso y el resultado de esos procedimientos paralelos.

Introducción de modelos de presentación de reclamaciones ante la AEPD (Disposición adicional vigésima tercera LOPDGDD)

Se contempla la posibilidad de publicar modelos específicos para la interposición de reclamaciones ante la AEPD. Estos serán de uso obligatorio para los interesados un mes después de su publicación en el BOE.

Estas modificaciones a la LOPDGDD, en vigor desde el 10 de mayo de 2023, son los cambios más significativos que ha introducido la Ley 11/2023 en la normativa de protección de datos. Si bien se trata de aspectos muy singulares, en conjunto mejorarán la economía procesal de las reclamaciones ante la AEPD y, por consiguiente, incrementarán la protección de los datos personales de la ciudadanía y la coherencia con la normativa europea. Sin embargo, como hemos adelantado, habrá que atender a su aplicación práctica.