Josep Jover, abogado especialista en este campo, ha elaborado estos diez puntos después de leer el Real Decreto Ley 5/2018, de 27 de julio, de medidas urgentes para la adaptación del Derecho Español a la normativa de la Unión Europea en materia de protección de datos, publicado hoy en el Boletín Oficial del Estado, que se puede descargar de este artículo.
Sus reflexiones son de gran valor. Estas son sus notas:
1.- «Los agentes de la Agencia Española de Protección de Datos» pueden ser internos o externos, pero han de ser funcionarios y tienen condición de agentes de la autoridad. Se necesitará control judicial para entrar en un edificio (antes no era preciso si no era un domicilio).
2.- El dPD (delegado de Protección de Datos) queda exonerado de la aplicación del derecho sancionador en materia de protección de datos
3.- Sí están sujetos, por contra:
a) Los responsables de los tratamientos.
b) Los encargados de los tratamientos.
c) Los representantes de los responsables o encargados de los tratamientos no establecidos en el territorio de la Unión Europea.
d) Las entidades de certificación.
e) Las entidades acreditadas de supervisión de los códigos de conducta.
4.- Las infracciones que prescriben a los 3 años son las de los apartados 5 y 6 del artículo 83 del Reglamento General de Protección de Datos, y a los 2 años las del apartado 4 de dicho artículo.
Real Decreto-ley 5:2018, de 27 de julio, de medidas urgentes para la adaptación del Derecho español a la normativa de la Unión Europea en materia de protección de datos
5.- También prescriben las sanciones:
- Igual o menos de 40.000 euros, al año.
- De 40.001 a 300.000 euros a los dos años y
- Más de 300.000 euros a los tres años.
6.- La Agencia podrá inadmitir una denuncia porque:
- No se haya causado perjuicio al afectado o
- Porque quede perfectamente garantizado su derecho infringido mediante aplicacion de las medidas
O sea, que en las denuncias habrá de acreditarse el perjuicio y que no se han aplicado medidas correctoras.
7.- Con carácter previo, la Agencia debe determinar si es autoridad de control principal. Si no lo es debe remitir las actuaciones a la que sea principal.
¿Qué pasa, entonces, con los servidores o servicios prestados desde el extranjero?.
8.- Disposición Transitoria Primera. Los procedimientos ya iniciados a la entrada en vigor del Real Decreto Ley se regirán bajo la normativa anterior, salvo que el régimen establecido en el mismo contenga disposiciones más favorables para el interesado (esto es muy importante para los procedimientos en marcha, tanto administrativos como judiciales).
9.- Disposición Transitoria Segunda. Los contratos del encargado de tratamiento suscritos con la anterior Ley Orgánica de Protección de Datos se mantendrán vigentes hasta su fin y como máximo hasta el 25 de mayo de 2022.
10.- Falta regular: Dirimir cuál será la mayoría de edad de corte para la recogida de datos de carácter personal.
