Firmas
El dato «mixto», o como hoy voy a “hacer amigos”
El autor de la columna, Josep Jover, abogado. Foto: Isaac Meler.
04/3/2020 06:30
|
Actualizado: 13/8/2020 13:11
|
Y es que lo que hoy pretendo decirles, va a pisar algunos callos; esperemos que no maten al mensajero.
En primer lugar, justo salimos de la vorágine ocasionada por el Reglamento Europeo de Protección de Datos, y de su ley de trasposición, la Ley Orgánica de Protección de Datos y de Garantía de los Derechos Digitales (LOPDGDD).
Alrededor de la misma se han estructurado toda una serie de “negocios”, desde el inicial, que sembró con un injustificado miedo el mercado, hasta las “escuelas” de delegados de Protección de Datos (dPD) o las empresas que son “consultoras” y finalmente, las instituciones que dicen que son sus “autoridades de control”.
Pues bien, como en los grandes trucos de magia, nadie ni nada es lo que parece. Reseteémomos de las ideas preconcebidas y empecemos desde cero.
Todos tenemos en mente el Reglamento General de Protección de Datos (RGPD), pero nos olvidamos que en 2018 se publicó por la UE el Reglamento Europeo 2018/1807 de 14/11/2018 relativo a un marco por la libre circulación de datos no personales, Reglamento del mismo nivel que el RGPD, con interesantes aportaciones.
ESE REGLAMENTO PLANTEA TRES NOVEDADES ESENCIALES
1.- Cualquier dato, es inicialmente dato no personal, con lo que ha de cumplir los requisitos del Reglamento UE 2018/1807.
2.- Sólo algunos de esos datos, serán datos personales, con lo que han de cumplir con los requisitos y obligaciones del Reglamento Europeo 2018/1807 de 14/11/2018 relativo a un marco por la libre circulación de datos no personales más (+) el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos; es decir lo que consideramos datos personales han de cumplir con los “2” Reglamentos a la vez.
3.- Se define un nuevo tipo de datos, los datos «mixtos», que son aquellos que una parte de ellos serian dato de carácter personal y la otra parte no personal, y que en la práctica son la mayoría de lo lo que entendemos como datos personales, que manejamos.
A modo de ejemplo, si me toman una fotografía con un móvil, la imagen del que suscribe seria la parte de dato personal.
Los metadatos que lleva incrustados ese “jpg”, como puede ser el tipo de cámara, es dato no personal.
Y cada parte se regula por su Reglamento/Reglamentos de forma diferenciada.
Un segundo documento de la UE el COM (2019) 250 Comunicación de la Comisión al Parlamento Europeo y al Consejo.
Sobre orientaciones sobre el Reglamento relativo a un marco para la libre circulación de datos no personales en la Unión Europea, pone la trabazón a lo dicho anteriormente.
Además, si ese dato es un dato de carácter policial, se pone en marcha la Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por parte de las autoridades competentes para fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, y a la libre circulación de dichos datos.
Es decir, ese dato tendrá que cumplir con los dos Reglamentos Mas (+) la Directiva 2016/680, y además, ese dato habría de cumplir con el Reglamento (UE) 2019/818 del Parlamento Europeo y del Consejo, de 20 de mayo de 2019.
Un Reglamento relativo al establecimiento de un marco para la interoperabilidad entre los sistemas de información de la UE en el ámbito de la cooperación policial y judicial, el asilo y la migración, con el Reglamento (UE) 2019/816 del Parlamento Europeo y del Consejo, de 17 de abril de 2019.
Por el mismo se establece un sistema centralizado para la identificación de los Estados miembros que poseen información sobre condenas de nacionales de terceros países y apátridas, con el Reglamento (UE) 2019/817 del Parlamento Europeo y del Consejo, de 20 de mayo de 2019, relativo al establecimiento de un marco para la interoperabilidad de los sistemas de información de la UE en el ámbito de las fronteras y los visados.
También con el Reglamento (UE) 2019/1157 del Parlamento Europeo y del Consejo, de 20 de junio de 2019, sobre el refuerzo de la seguridad de los documentos de identidad de los ciudadanos de la Unión y de los documentos de residencia expedidos a ciudadanos de la Unión y a los miembros de sus familias que ejerzan su derecho a la libre circulación.
Y con el Reglamento (UE) 2016/794 del Parlamento Europeo y del Consejo, de 11 de mayo de 2016, relativo a la Agencia de la Unión Europea para la Cooperación Policial (Europol).
Pero el tema no acaba ahí.
Los datos «mixtos» y los personales (policiales inclusive) se regulan en su procedimiento y derechos a partir del 17 de diciembre de 2019, por la Directiva (UE) 2019/1937 del Parlamento Europeo y del Consejo de 23 de octubre de 2019; relativa a la protección de las personas que informen sobre infracciones del Derecho de la Unión.
Directiva que en su Artículo 2-1-a-x) dice textualmente que se regulan por esa directiva la “protección de la privacidad y de los datos personales, y seguridad de las redes y los sistemas de información”.
Esa Directiva crea una nueva “autoridad de control” y “un procedimiento” que nada tienen que ver ni con las Agencias de Protección de Datos, ni con el Procedimiento Administrativo Español.
El RGPD ya estaba redactado en ese sentido, aunque nadie le hizo caso, ni tan siquiera, el legislador español.
«Bye, bye», Agencia Española de Protección de Datos. Y «bye, bye», delegados de Protección de Datos tal como los hemos entendido hasta ahora.
Otras Columnas por Josep Jover:
