Se acaba de publicar la Ley Vasca de protección de datos en lo referente a su Autoridad de control. Tal y como se esperaba, es una ley técnica en la que se regula el procedimiento y el régimen jurídico de esta metamorfosis institucional, en la que se pasa de la denominación de Agencia a Autoridad, en una tendencia que dispone tanto de sustento jurídico como doctrinal.
Como primera aproximación indicar que, felizmente el texto finaliza con los debates previos que fomentaban un incremento de la regulación sustantiva, pidiendo la inclusión de artículos sobre la IA, videovigilancia, la obligaciones formales o la gestión de tratamientos, indicando acertadamente su exposición de motivos que se hace «innecesario adoptar adicionalmente ninguna disposición relacionada con el contenido sustantivo del derecho fundamental«. Sinceramente, todos sabemos que desde hace años hay una fuerte tendencia de desamparo intelectual si no se produce una hiper-regulación, generando tranquilidad la existencia de multi normas que regulan pequeñas categorías jurídicas en ámbitos muy similares, aun cuando sean incongruentes en su resolución. En mi opinión es mejor pocas pero buenas normas, que con el paso del tiempo asientan y ofrezcan seguridad jurídica que no el bombardeo constante de pequeñas e inconexas normas de dudosa utilidad.
En segundo lugar, se amplía el ámbito de actuación de la Autoridad a los entes integrantes del Sector Público Vasco, remitiéndose a la regulación de la Ley 3/2022. Se colma una aspiración largamente esperada, dado que hasta la actualidad coexistían dos regímenes de protección -AEPD frente AVPD- en el Sector Público Vasco y aunque no provocase una situación dramática siempre producía disfunciones en las obligaciones formales como en las procedimentales.
Igualmente, las corporaciones de derecho público -de ámbito territorial vasco- dejan de tener ese sentimiento de dualidad, por realizar sus tratamientos y actividad a caballo entre lo público y lo privado, integrándose plenamente en el ámbito de la AVPD, teniendo a partir de ahora un único interlocutor/fiscalizador en este ámbito.
La nueva Autoridad está señalada como garante de la Ley Orgánica 7/21, ofreciendo tranquilidad por cuanto se eliminan las dudas respecto a la asunción de dicha competencia en el ámbito de Euskadi, siendo interesante que la misma sea ejercida con premura, al menos, emitiendo pautas y recomendaciones públicas que ofrezcan luz en aspectos tan «complejos» -por no decir mal regulados- como la videovigilancia en los diferentes ámbitos de actuación de las FFCCSSEE.
Otra novedad radica en la obligatoria publicación de las resoluciones que dicta, ofreciendo la posibilidad de llegar a escudriñar el mecanismo interno que rige la toma de decisiones en la Autoridad, y que a los externos, nos permite intuir la lógica que subyace, para adoptar las mejores decisiones alineadas con el sentir del órgano de control. Al respecto, es curioso como el legislador mantiene el término «disociación» de las publicaciones en vez de anonimización, dejándonos a los más mayores margen para volver a contar la historia de esos términos. Es una buena noticia dicha publicación, pero también hay que indicar que hasta ahora la Agencia hacía un ejercicio de transparencia publicando en sus Memorias anuales los supuestos que había tramitado, llegando a un nivel de detalle interesante para un lector avispado. La parte negativa era la relativa a los tiempos que dedicaba la Agencia en redactar y publicar esas memorias, dado que su retraso era motivo habitual de comentarios perspicaces.
El texto tiene otras novedades, muchas de ellas con un alcance domestico en la propia Autoridad, destacando la consolidación de su posición respecto a las transferencias internacionales, los códigos de conducta y las certificaciones. Una vez conseguido le toca a la Autoridad ejercerlo, organizarlo y gestionarlo, que no siempre es fácil.
Respecto al régimen sancionador hay un aspecto que me ha llamado la atención, siendo el referido a la amonestación a autoridades, altos cargos y personal directivo, regulado en el artículo 28.2. Me parece innovador, interesante y procedimentalmente arriesgado. Debe considerarse el texto, los requisitos y las consecuencias: Un alto cargo que no hubiese atendido recomendaciones o informes técnicos respecto a un tratamiento. Me surgen, entre otras, estas cuestiones:
1.- ¿Quién emite esa recomendaciones o informes técnicos? ¿cualquier técnico, un empleado público, un externo, una comisión de seguridad,… o sólo el DPD de esa organización?
2.-¿Dicho informe deberá cumplir alguna formalidad? Si la tuviera sería interesante, sobre todo para extender dicho formato a los informes de los DPD, para que el alto cargo se sienta concernido. Curiosamente no indica que sea un análisis de riesgos o una EIPD, siendo todavía más difuso el alcance de dicho informe o recomendación.
3.-¿El alto cargo será parte del procedimiento de infracción? Debería ser parte interesada, de forma independiente al responsable del tratamiento, dado que es posible que sean diferentes personas ¿Cómo encaja esta nueva figura en la lista cerrada de sujetos responsables del artículo 24 - responsables y encargados -de la misma ley?
4.- Ese alto cargo ¿debe haber sido investido formalmente como responsable del tratamiento o figura similar dentro de su organización? Si no, no debería tomar decisiones respecto al tratamiento.
5.- Si el alto cargo deja su puesto ¿sería igualmente amonestado? ¿Es un procedimiento ad personam?
Continuando con la ley y respecto al procedimiento y sus plazos, es más que recomendable repasar los diferentes plazos de resolución y caducidad de los procedimientos, dado que son menos uniformes de lo que pudiera pensarse.
Por último, me hubiese gustado algún apunte sobre cómo se resuelve el procedimiento o las denuncias realizadas ante la novedosa Autoridad Independiente del Informante (de la Ley 2/2023) y la Autoridad de protección de datos, dado que la aplicación de la Directiva 2019/1937 generó un intenso e interesante debate sobre la posición del informante, la naturaleza de la denuncia, el anonimato y pudiera haberse aprovechado para ofrecer una pauta sobre la competencia, sanciones o la coordinación entre ambas organizaciones.
En resumen, tenemos una ley que decepcionará a muchos por no incluir artículos relativos a los nuevos retos, tecnologías disruptivas presentes y futuras, así como a la resolución de las dudas de derecho sustantivo, pero que encontrará su sitio y se pondrá en valor con el paso del tiempo, dado que regula lo que debe regular: el régimen jurídico y el procedimiento a seguir por la nueva Autoridad de Control.
jsolerabogado 