Archivo de la etiqueta: Datos personales

El EDPB publica las Guidelines 03/2026 sobre web scraping e IA generativa: hacia una gobernanza jurídica integral del entrenamiento de modelos

Posted on por

El 7 de julio de 2026, el Comité Europeo de Protección de Datos (European Data Protection Board, EDPB) adoptó, para consulta pública, la versión 1.0 de las Guidelines 03/2026 on web scraping in the context of generative AI. Se trata de uno de los primeros documentos europeos que aborda sistemáticamente el uso de técnicas de web scraping para el entrenamiento de modelos de inteligencia artificial generativa desde la perspectiva del Reglamento General de Protección de Datos (RGPD).

Azaleas

La consulta pública permanecerá abierta hasta el 30 de octubre de 2026. En esta entrada se presenta el contenido principal y se sugieren algunas posibles aportaciones a la consulta, especialmente en relación con la viabilidad técnica y económica de los controles propuestos, su proporcionalidad, su eficacia real y su incidencia sobre las empresas de menor dimensión y las entidades dedicadas a la investigación.

Aunque formalmente constituyen un instrumento interpretativo del RGPD y su ámbito se limita al web scraping realizado por entidades privadas, las Directrices poseen una relevancia que excede la protección de datos en sentido estricto. Contribuyen a perfilar un marco jurídico en el que la recopilación masiva de información para entrenar modelos debe integrarse en estructuras de gobernanza, responsabilidad proactiva, gestión de riesgos y documentación. Esta lectura permite, además, relacionar sus orientaciones con otras normas europeas aplicables a la inteligencia artificial, aunque el EDPB no tenga por objeto interpretar otros regímenes.

Como primera posible aportación a la consulta pública, convendría solicitar una mayor concreción sobre la distancia existente entre la corrección jurídica del modelo de control propuesto y su viabilidad técnica y económica cuando la recopilación comprende miles de millones de datos procedentes de fuentes cambiantes y heterogéneas. Identificar anticipadamente todos los datos personales, comprobar su exactitud, distinguir las categorías especiales, reconstruir su procedencia y posibilitar el ejercicio efectivo de derechos individuales puede resultar extraordinariamente complejo —y, en determinados supuestos, materialmente inalcanzable— en los grandes conjuntos utilizados para entrenar modelos generativos. Las Directrices no desconocen esta dificultad, pero trasladan a los responsables exigencias formuladas conforme a un modelo de tratamiento identificable y trazable que encaja imperfectamente con la escala, la opacidad y el dinamismo del entrenamiento contemporáneo. No se trata de discutir la vigencia de los principios del RGPD, sino de precisar qué controles permiten aplicarlos de manera efectiva sin convertir la responsabilidad proactiva en una obligación predominantemente documental, difícil de verificar y asumible únicamente por los operadores con mayores recursos.

Contenidos destacados del documento a consulta:

  1. Internet no es un espacio de libre apropiación de datos

La idea central del documento puede resumirse en una afirmación sencilla, pero de enorme trascendencia práctica: que una información sea públicamente accesible en Internet no significa que pueda ser recopilada y reutilizada libremente para entrenar modelos de inteligencia artificial. El EDPB recuerda que la publicidad de una información no elimina su posible condición de dato personal. En consecuencia, cuando el web scraping implica operaciones de tratamiento relativas a personas físicas identificadas o identificables —como la recopilación, extracción, limpieza, estructuración, almacenamiento o recuperación de datos— continúan siendo aplicables los principios del RGPD: licitud, lealtad, transparencia, limitación de la finalidad, minimización, exactitud, limitación del plazo de conservación, integridad y confidencialidad.

Las Directrices prestan especial atención a la identificación de la base jurídica del tratamiento. Aunque admiten que, en determinados supuestos, pueda acudirse al interés legítimo previsto en el artículo 6.1.f) del RGPD, recuerdan que su aplicación exige el cumplimiento acumulativo de tres condiciones: la existencia de un interés legítimo; la necesidad del tratamiento para satisfacerlo; y una ponderación que determine que no prevalecen los intereses o los derechos y libertades fundamentales de las personas afectadas. El interés legítimo no puede invocarse automáticamente por el mero hecho de que los datos procedan de fuentes abiertas.

Especial cautela merece el tratamiento de las categorías especiales de datos. Incluso cuando esa información se encuentre públicamente accesible, el tratamiento requiere una base jurídica conforme al artículo 6 del RGPD y, adicionalmente, la concurrencia de alguna de las excepciones establecidas en su artículo 9.2. El EDPB niega que exista una exención general aplicable a la recopilación incidental o residual de esta clase de información y exige un análisis individualizado.

El documento admite que la doctrina establecida por el Tribunal de Justicia de la Unión Europea en el asunto GC y otros, C-136/17, puede ser relevante cuando la recopilación de categorías especiales sea incidental y residual. Esta posibilidad queda condicionada, no obstante, a que el responsable actúe dentro del marco de sus responsabilidades, competencias y posibilidades, y adopte medidas técnicas y organizativas adecuadas para impedir la recopilación y difusión de esos datos.

2. Del RGPD al Reglamento de Inteligencia Artificial: normas que deben aplicarse conjuntamente

Las Directrices permiten advertir cómo el RGPD y el Reglamento (UE) 2024/1689 del Parlamento Europeo y del Consejo, de 13 de junio de 2024, por el que se establecen normas armonizadas en materia de inteligencia artificial, forman parte de un sistema regulatorio progresivamente interrelacionado.

Esta conexión no significa que el EDPB interprete en las Directrices el Reglamento de Inteligencia Artificial. Su análisis se circunscribe expresamente al RGPD. Sin embargo, desde la perspectiva de las empresas afectadas, las obligaciones derivadas de ambos reglamentos deben cumplirse conjuntamente cuando concurran sus respectivos ámbitos de aplicación.

El RGPD determina las condiciones conforme a las cuales pueden tratarse datos personales para entrenar un modelo. Por su parte, el Reglamento de Inteligencia Artificial impone obligaciones específicas a los proveedores de modelos de inteligencia artificial de propósito general (General-Purpose AI Models, GPAI), particularmente en materia de documentación técnica, transparencia, evaluación y reducción de riesgos y cumplimiento de la normativa de la Unión sobre derechos de autor.

El entrenamiento de un modelo no constituye, por tanto, únicamente una operación de tratamiento de datos personales. Es también un proceso que puede quedar sujeto a obligaciones de gobernanza tecnológica y rendición de cuentas durante las distintas fases del ciclo de vida del modelo.

El cumplimiento del RGPD se convierte así en uno de los componentes del cumplimiento normativo en materia de inteligencia artificial, pero no en el único. La licitud del tratamiento de los datos no garantiza, por sí sola, el cumplimiento de las demás obligaciones impuestas a los proveedores y responsables de sistemas o modelos de IA.

3. La gobernanza de los datos utilizados para el entrenamiento

El documento concede especial importancia a la gobernanza de los datos utilizados durante el entrenamiento. El EDPB recomienda que las organizaciones seleccionen fuentes fiables, registren el momento en el que fueron obtenidos los datos y los validen antes de utilizarlos para entrenar el modelo. Asimismo, insiste en la adopción de medidas destinadas a evitar la recopilación innecesaria de datos personales.

Entre esas medidas se incluyen la delimitación precisa de los criterios de recopilación; la elaboración de mapas e inventarios de datos; la utilización de filtros que excluyan determinadas categorías; la exclusión de sitios que contengan estructuralmente información especialmente sensible; y la exclusión de páginas que manifiesten claramente su oposición al scraping. Después de la recopilación pueden aplicarse filtros adicionales, así como técnicas de anonimización, seudonimización o sustitución de datos reales por datos sintéticos cuando resulte viable.

La obligación de transparencia también plantea dificultades particulares. Informar individualmente a las personas afectadas puede ser imposible o exigir un esfuerzo desproporcionado cuando se recopilan datos correspondientes a miles o millones de individuos. Las Directrices admiten que, en función del diseño concreto del tratamiento, pueda aplicarse la excepción prevista en el artículo 14.5.b) del RGPD. Sin embargo, esa excepción no debe invocarse de manera rutinaria.

Cuando no sea posible informar individualmente, el responsable debe adoptar medidas adecuadas para proteger los derechos, libertades e intereses legítimos de las personas afectadas. Entre ellas se encuentra la publicación de la información exigida por el RGPD. El EDPB considera una buena práctica incluir, cuando sea posible, los dominios y direcciones de las páginas recopiladas, facilitar esa información en un formato susceptible de búsqueda e indicar la fecha o el periodo durante el cual se produjo la recopilación.

No basta, por tanto, con identificar una base jurídica. Es necesario poder demostrar cómo se obtuvieron los datos, por qué eran necesarios, qué controles se aplicaron y qué medidas se adoptaron para reducir los riesgos asociados al tratamiento. No todas estas indicaciones tienen, sin embargo, la misma naturaleza jurídica: algunas derivan directamente de obligaciones establecidas por el RGPD, mientras que otras son recomendaciones o buenas prácticas propuestas por el EDPB. Sería conveniente que la versión definitiva delimitase con mayor precisión ambos planos, evitando que las recomendaciones técnicas sean interpretadas automáticamente como obligaciones jurídicas generales.

Este enfoque aproxima la gobernanza del dato a la gobernanza corporativa tradicional. Del mismo modo que las sociedades deben documentar determinadas decisiones estratégicas y acreditar que los administradores dispusieron de información suficiente, los desarrolladores de IA deberán poder justificar el origen, la calidad y la legitimidad de los datos utilizados para entrenar sus modelos.

Más allá del texto del documento

1. Protección de datos y derechos de autor

Aunque las Directrices tienen por objeto la interpretación del RGPD, resulta imposible ignorar la creciente convergencia entre protección de datos y propiedad intelectual.

Una parte significativa del entrenamiento de modelos se basa en la recopilación automatizada de contenidos que, además de incorporar datos personales, pueden estar protegidos por derechos de autor. Ello obliga a los desarrolladores a comprobar simultáneamente el cumplimiento de varios regímenes jurídicos:

  • El RGPD, respecto del tratamiento de datos personales.
  • La Directiva (UE) 2019/790 del Parlamento Europeo y del Consejo, de 17 de abril de 2019, sobre los derechos de autor y derechos afines en el mercado único digital, incluidas las excepciones relativas a la minería de textos y datos previstas en sus artículos 3 y 4.
  • Las obligaciones específicas que el Reglamento de Inteligencia Artificial impone a los proveedores de modelos de inteligencia artificial de propósito general en relación con el respeto de los derechos de propiedad intelectual.

Las Directrices no interpretan la normativa sobre propiedad intelectual. Su razonamiento refuerza, no obstante, la idea de que el entrenamiento de modelos constituye una actividad sometida simultáneamente a distintos regímenes regulatorios. Cumplir uno de ellos no excluye ni garantiza el cumplimiento de los restantes.

También en este punto cabría sugerir, en el marco de la consulta, que el EDPB distinguiese con mayor claridad entre las obligaciones derivadas del RGPD y las que proceden de otros sectores del ordenamiento. Una interpretación integrada resulta necesaria, pero no debería desdibujar las competencias respectivas de las autoridades ni trasladar al responsable la carga de resolver por sí solo posibles contradicciones o solapamientos entre regímenes regulatorios.

2. Consecuencias para la empresa

Desde la perspectiva empresarial, las consecuencias son profundas. Hasta hace pocos años, el análisis podía concentrarse principalmente en determinar si un tratamiento de datos cumplía el RGPD. En la actualidad, las empresas que desarrollan modelos de IA o utilizan modelos desarrollados por terceros deben integrar en sus sistemas internos de cumplimiento obligaciones correspondientes a la protección de datos, la inteligencia artificial, la propiedad intelectual, la gestión documental, la auditoría y supervisión interna y la gestión de riesgos tecnológicos.

La gobernanza de la inteligencia artificial deja así de ser una cuestión exclusivamente tecnológica para convertirse en una función transversal de cumplimiento. Esta transversalidad obliga a definir responsabilidades internas, establecer mecanismos de coordinación entre departamentos y determinar qué decisiones deben elevarse a los órganos de dirección o administración.

La multiplicidad de normas aplicables puede producir, no obstante, solapamientos, costes acumulativos y dudas sobre el reparto de competencias entre autoridades. La coordinación entre los distintos regímenes regulatorios resulta imprescindible para evitar que la acumulación de obligaciones se traduzca en procedimientos paralelos que incrementen la documentación sin mejorar de manera equivalente la protección efectiva de las personas afectadas.

Desde esta perspectiva, una aportación útil a la consulta consistiría en solicitar un verdadero enfoque basado en el riesgo y en la proporcionalidad. Las exigencias aplicables no deberían depender únicamente del volumen de los datos recopilados, sino también de su naturaleza, del carácter dirigido o indiscriminado de la recopilación, de las posibilidades de identificación, de la finalidad del modelo, del riesgo de memorización o reproducción y de los efectos previsibles sobre las personas. Asimismo, sería conveniente prever orientaciones adaptadas a pequeñas y medianas empresas, entidades investigadoras y desarrolladores de modelos de menor escala.

3. El web scraping como decisión de gobierno corporativo

Las Directrices permiten identificar un cambio de paradigma significativo. El web scraping ya no puede contemplarse como una mera técnica informática destinada a recopilar información. La decisión de entrenar un modelo con determinados conjuntos de datos pasa a ser una decisión organizativa que compromete a la empresa en múltiples planos: cumplimiento normativo, gestión de riesgos, reputación, responsabilidad, supervisión interna y estrategia empresarial.

En este contexto, la gobernanza de los datos se aproxima progresivamente a la gobernanza corporativa. Las decisiones relativas a las fuentes de entrenamiento, los mecanismos de validación, la documentación del proceso, los instrumentos de filtrado o la gestión de reclamaciones dejan de pertenecer exclusivamente al ámbito técnico para integrarse en los sistemas internos de control y supervisión.

Ello resulta particularmente relevante para los órganos de administración. El deber general de diligencia previsto en el Derecho societario exige que los administradores dispongan de información adecuada y adopten decisiones razonables sobre los riesgos relevantes derivados de las actividades empresariales, incluidos los relacionados con el desarrollo o utilización de inteligencia artificial.

Esto no significa que los administradores deban supervisar personalmente cada operación de recopilación ni poseer conocimientos técnicos equivalentes a los de los desarrolladores. Sí exige, en cambio, que se establezca una organización adecuada, se distribuyan responsabilidades, se reciba información suficiente y se vigile la eficacia de los sistemas de control cuando los riesgos sean relevantes para la sociedad.

La gobernanza del dato puede configurarse, en este sentido, como una manifestación específica de la diligencia exigible en la empresa algorítmica. Las Guidelines 03/2026 constituyen un paso hacia un modelo en el que la inteligencia artificial deja de ser únicamente un instrumento tecnológico para convertirse también en objeto de organización, control y gobierno corporativo.

Algunas posibles aportaciones a la consulta pública

De lo expuesto pueden extraerse varias cuestiones que sería útil someter a la consideración del EDPB antes de aprobar la versión definitiva de las Directrices:

  • Diferenciar con mayor precisión las obligaciones directamente derivadas del RGPD de las recomendaciones técnicas y buenas prácticas formuladas por el EDPB.
  • Concretar cómo deben cumplirse las exigencias de trazabilidad, transparencia, exactitud y ejercicio de derechos cuando el entrenamiento utiliza conjuntos de datos masivos, heterogéneos y sometidos a cambios constantes.
  • Aplicar de manera efectiva los principios de proporcionalidad y enfoque basado en el riesgo, diferenciando entre recopilación dirigida e indiscriminada, entre modelos de distinta dimensión y entre usos con niveles de riesgo diferentes.
  • Ofrecer orientaciones específicas para pequeñas y medianas empresas, entidades investigadoras y desarrolladores de modelos de menor escala, evitando que el coste del cumplimiento consolide la posición de los grandes proveedores.
  • Identificar controles técnicamente verificables que permitan evaluar la eficacia real de los filtros, la anonimización, la supresión de datos y las medidas contra la memorización y reproducción de información personal.
  • Precisar las consecuencias de la adquisición de conjuntos de datos previamente recopilados por terceros y el alcance de las comprobaciones que razonablemente pueden exigirse al desarrollador que no realizó el scraping original.
  • Reforzar la coordinación con las autoridades competentes en materia de inteligencia artificial, propiedad intelectual, competencia y protección de los consumidores, sin confundir las obligaciones derivadas de los distintos regímenes.

Queda, en definitiva, una cuestión abierta: si el ambicioso entramado de selección de fuentes, filtrado, registro, validación, actualización y atención de derechos puede desplegarse y supervisarse realmente a la escala propia de la IA generativa. Existe el riesgo de que la acumulación de controles produzca una apariencia de trazabilidad sin permitir reconstruir de manera fiable qué datos personales fueron incorporados, cómo influyeron en el modelo o si fueron verdaderamente eliminados. También puede generar una asimetría competitiva: los grandes proveedores estarán en mejores condiciones de sostener la infraestructura documental y técnica exigida, mientras que las pequeñas empresas, entidades investigadoras y desarrolladores europeos pueden encontrar barreras difícilmente asumibles.

La eficacia de las Directrices dependerá, por ello, menos de multiplicar declaraciones de cumplimiento que de concretar controles técnicamente verificables, proporcionados al riesgo y compatibles con las características reales de los modelos. Sin esa concreción, la gobernanza del dato corre el peligro de convertirse en una gobernanza principalmente documental: rigurosa sobre el papel, pero limitada en su capacidad para controlar efectivamente la recopilación masiva, la memorización y la eventual reproducción de datos personales.

La consulta pública ofrece una oportunidad para incorporar estas consideraciones y procurar que la futura versión definitiva combine la protección efectiva de los derechos fundamentales con obligaciones comprensibles, proporcionadas y técnicamente realizables.

Más información:

  1. European Data Protection Board, Guidelines 03/2026 on web scraping in the context of generative AI, versión 1.0, adoptadas para consulta pública el 7 de julio de 2026, disponible en: https://www.edpb.europa.eu/system/files/2026-07/edpb_guidelines_2020603_webscraping_v1_en_0.pdf.
  2. European Data Protection Board, «EDPB sheds light on anonymisation and web scraping for generative AI and adopts final version of guidelines on blockchain», 8 de julio de 2026, disponible en: https://www.edpb.europa.eu/news/edpb-sheds-light-on-anonymisation-and-web-scraping-for-generative-ai-and-adopts-final-version_en.
  3. Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos.
  4. Reglamento (UE) 2024/1689 del Parlamento Europeo y del Consejo, de 13 de junio de 2024, por el que se establecen normas armonizadas en materia de inteligencia artificial.
  5. European Data Protection Board, Opinion 28/2024 on certain data protection aspects related to the processing of personal data in the context of AI models, 17 de diciembre de 2024, disponible en: https://www.edpb.europa.eu/our-work-tools/our-documents/opinion-board-art-64/opinion-282024-certain-data-protection-aspects_en.
  6. Directiva (UE) 2019/790 del Parlamento Europeo y del Consejo, de 17 de abril de 2019, sobre los derechos de autor y derechos afines en el mercado único digital, especialmente sus artículos 3 y 4 relativos a la minería de textos y datos.
  7. Comisión Europea, Guidelines for providers of general-purpose AI models, relativas a las obligaciones previstas en el Reglamento (UE) 2024/1689.

Elaboración por la autora, con apoyo instrumental de IA

TJUE, sentencia de 19 de marzo de 2026, C‑526/24, Brillen Rottler: abuso del derecho de acceso a los propios datos personales (art. 15 RGPD)

Posted on por

Comentario a la Sentencia del Tribunal de Justicia en el asunto C-526/24 Brillen Rottler: Una solicitud de acceso a los propios datos personales puede considerarse abusiva y denegarse si se presenta con el único fin de solicitar posteriormente una indemnización por una supuesta infracción del RGPD

El conflicto se origina cuando TC, residente en Austria, se suscribe en marzo de 2023 al boletín informativo de Brillen Rottler GmbH & Co. KG, óptica familiar establecida en Alemania, facilitando sus datos personales a través del formulario web. Poco después, ejerce ante la empresa su derecho de acceso previsto en el artículo 15 RGPD.

Brillen Rottler deniega la solicitud dentro del plazo de un mes, calificándola de “excesiva” en el sentido del artículo 12.5 RGPD, y el interesado mantiene su petición y añade una reclamación indemnizatoria de 1.000 euros al amparo del artículo 82 RGPD por daño inmaterial. El Amtsgericht Arnsberg plantea varias cuestiones prejudiciales sobre:

  • si incluso una primera solicitud de acceso puede ser “excesiva/abusiva” y, por tanto, denegarse;

  • si cabe indemnización por vulneración del derecho de acceso aunque no exista un tratamiento ilícito de datos como tal;

  • y cómo se configura el daño inmaterial indemnizable.

Cuestiones jurídicas planteadas

Las cuestiones centrales se refieren a la interpretación de los artículos 12.5, 15.1 y 82.1 RGPD:

  • Alcance de la cláusula que permite al responsable negase a actuar cuando las solicitudes sean “manifiestamente infundadas o excesivas” (art. 12.5).

  • Posibilidad de considerar “excesiva” una primera solicitud, pese a que el precepto menciona la repetición como ejemplo típico.

  • Configuración del derecho a indemnización por vulneración del derecho de acceso, incluso si la infracción se concreta en una negativa a tramitar la solicitud.

  • Determinación de si la pérdida de control sobre los datos o la incertidumbre sobre su tratamiento puede constituir daño inmaterial indemnizable.

Estas cuestiones sitúan el caso en la intersección entre la amplitud del derecho de acceso y el principio de prohibición del abuso del derecho en el marco del Derecho de la Unión.

Razonamiento del TJUE sobre el carácter “excesivo/abusivo”

El Tribunal declara que el artículo 12.5 RGPD permite considerar “excesiva” incluso una primera solicitud de acceso, siempre que concurran criterios estrictos, habida cuenta de que se trata de una excepción al derecho de acceso que debe interpretarse de forma restrictiva.

El TJUE fija los siguientes elementos:

  • El carácter repetitivo de las solicitudes es un indicio, pero no un requisito necesario; la “primera” solicitud puede ser excesiva si se acredita abuso.

  • La carga de la prueba recae sobre el responsable del tratamiento, que debe demostrar, a la vista de todas las circunstancias, que la solicitud no se presentó para conocer el tratamiento ni verificar su licitud, sino con intención abusiva, en particular para crear artificialmente las condiciones necesarias para reclamar una indemnización.

  • El Tribunal admite que el patrón de conducta del interesado (suscripciones sucesivas, solicitudes de acceso y reclamaciones indemnizatorias frente a distintos responsables) puede constituir un indicador relevante de ese uso instrumental del derecho.

Con ello, el TJUE no convierte el carácter económico de la pretensión en ilegítimo per se, pero sí exige que el ejercicio del derecho de acceso mantenga un vínculo real con su finalidad propia: permitir al interesado conocer y controlar el tratamiento de sus datos personales.

Derecho a indemnización y daño inmaterial

En relación con el artículo 82.1 RGPD, el Tribunal declara que confiere al interesado un derecho a indemnización por los daños y perjuicios resultantes de una vulneración del derecho de acceso del artículo 15.1, aunque esa vulneración consista en la negativa a dar curso a una solicitud, y no en un tratamiento ilícito de datos en sentido estricto.

El TJUE subraya que:

  • El tenor del artículo 82.1 no limita el derecho a indemnización a daños derivados de un “tratamiento” como tal, de modo que excluir las infracciones de los derechos del capítulo III vaciaría de efecto útil la norma.

  • El daño inmaterial puede incluir la pérdida de control sobre los datos personales o la incertidumbre acerca de si estos han sido objeto de tratamiento.

  • No toda infracción del RGPD genera automáticamente derecho a indemnización: el interesado debe probar tres requisitos acumulativos: infracción del RGPD, existencia de un daño efectivo (material o inmaterial) y nexo de causalidad entre ambos.

  • No procede indemnización cuando la pérdida de control o la incertidumbre se deben precisamente a la conducta del propio interesado, que decide someter sus datos al responsable con el fin de crear artificialmente las condiciones para obtener una compensación.

Corresponde al órgano jurisdiccional nacional apreciar, sobre la base de estos criterios, si en el caso concreto concurren abuso y daño indemnizable.

Relevancia práctica

La sentencia ofrece claridad operativa a responsables del tratamiento y autoridades de control:

  • Legitima la posibilidad de denegar solicitudes de acceso abusivas, incluso si son las primeras, siempre que se motive la decisión y se pueda acreditar el uso instrumental del derecho.

  • Refuerza la idea de que el artículo 12.5 RGPD actúa como “válvula de seguridad” frente a estrategias de litigación sistemática basadas en el mero cumplimiento formal de los requisitos del derecho de acceso.

  • Al mismo tiempo, subraya que el derecho a indemnización del artículo 82 no se vacía: se extiende a la vulneración del derecho de acceso, pero exige una prueba rigurosa del daño y de su causalidad, evitando una automatización de la compensación.

Para la práctica de cumplimiento, la sentencia impone a los responsables la necesidad de documentar los indicios de abuso, revisar patrones de conducta del interesado y articular políticas internas sobre tratamiento de solicitudes sospechosas, sin trivializar el estándar probatorio exigido por el TJUE.

Encaje en la doctrina general del abuso del derecho en la UE

Brillen Rottler se inserta en la jurisprudencia que reconoce el abuso del derecho como principio general del Derecho de la Unión, aplicable transversalmente cuando un derecho conferido por una norma de la UE se ejerce de forma contraria a su objeto y finalidad.

De esa doctrina general, el TJUE retoma la construcción clásica en torno a dos elementos:

  • Elemento objetivo: pese al respeto formal de los requisitos legales, el ejercicio del derecho persigue obtener una ventaja contraria al propósito de la norma, aquí, convertir el derecho de acceso en un mero instrumento para generar litigios indemnizatorios.

  • Elemento subjetivo: existencia de una intención de obtener de modo artificioso esa ventaja, que en este caso puede inferirse de un patrón de suscripciones, solicitudes y reclamaciones repetidas frente a distintos responsables.

La aportación específica de Brillen Rottler consiste en trasladar esta lógica al régimen de los derechos del interesado del RGPD, reafirmando que dichos derechos no son absolutos ni están al margen del principio de buena fe en su ejercicio. La sentencia no recorta el contenido esencial del derecho de acceso, pero sí excluye de su ámbito de protección las conductas estratégicas destinadas a construir artificialmente un escenario indemnizatorio.

En conclusión, el TJUE: admite que una primera solicitud de acceso pueda ser considerada “excesiva” y, por tanto, denegada, cuando se pruebe su carácter abusivo (art. 12.5 y 15 RGPD); reconoce que la vulneración del derecho de acceso puede generar derecho a indemnización (art. 82), incluso sin tratamiento ilícito, pero supedita ese derecho a la acreditación de un daño real y de la ausencia de una auto-creación artificiosa de ese daño; y consolida la integración del principio de abuso del derecho en el ámbito de la protección de datos, configurando el RGPD como un sistema de garantías robustas, pero no disponible para usos meramente instrumentales.

A consulta pública: «Directrices conjuntas sobre la interacción entre el Reglamento de Mercados Digitales y el Reglamento General de Protección de Datos»,

Posted on por

La DMA introduce obligaciones ex ante para las grandes plataformas digitales (“gatekeepers”) que prestan servicios esenciales como motores de búsqueda, tiendas de apps, sistemas operativos, mensajería, etc., con el fin de hacer los mercados digitales más contestables y equitativos. Ver anteriores entradas, aquí, también aquí, aquí, para más detalles.

Por su parte, el GDPR está orientado a proteger los derechos fundamentales de las personas físicas en lo relativo al tratamiento de sus datos personales.

Rio Arno, Luminaria, di San Rainieri, 2024

Muchas obligaciones de la DMA (por ejemplo, la combinación de datos de usuarios, la portabilidad, el acceso a datos a terceros, interoperabilidad) implican necesariamente un tratamiento de datos personales al que se aplica el GDPR. También algunas derivan o remiten a definiciones ya existentes en el GDPR.

Ante esta superposición, se detectaron posibles riesgos de solapamiento, inseguridad jurídica o conflicto: por ejemplo, ¿cómo puede un “gatekeeper” cumplir al mismo tiempo con la obligación de datos de la DMA y garantizar los principios del GDPR (licitud, minimización, finalidad, consentimiento, etc.)? Por ello, la Comisión y la EDPB están elaborando directrices que clarifiquen la interacción entre ambas normativas.

El borrador de directrices fue publicado en borrador/con consulta el 9 de octubre de 2025. La consulta pública estará abierta hasta el 4 de diciembre de 2025 para que empresas, asociaciones, usuarios y ciudadanos presenten sus comentarios. A partir de las respuestas, la versión final se prevé adopción en 2026.

Objetivos de las directrices conjuntas

  1. Proveer claridad y seguridad jurídica para los gatekeepers, usuarios empresariales, usuarios finales y autoridades sanitarias/protección de datos.

  2. Facilitar que la aplicación de la DMA sea coherente con el GDPR, de modo que las obligaciones de la DMA no deriven en vulneraciones del GDPR, y que el GDPR no sirva de excusa para eludir obligaciones de la DMA.

  3. Orientar al cumplimiento operativo con  pautas prácticas para, por ejemplo, la validez de consentimiento bajo el GDPR cuando la DMA exige combinación o reutilización de datos de usuarios, cuestiones de portabilidad de datos, acceso de terceros, interoperabilidad de servicios de mensajería, etc.

  4. Promover la cooperación regulatoria entre autoridades de competencia (que supervisan la DMA) y autoridades de protección de datos (que supervisan el GDPR) para evitar interpretaciones divergentes y asegurar un enfoque coherente.

Contenidos principales

Mongolfiera

Las directrices hacen especial hincapié en varias disposiciones de la DMA que implican tratamiento de datos personales, y analizan su compatibilidad o condiciones desde la perspectiva del GDPR. Entre los puntos destacados:

  • La obligación del artículo 5(2) de la DMA (por ejemplo, combinación de datos para publicidad dirigida) o del artículo 6(4) DMA (por ejemplo, medidas para tiendas de apps alternativas). En estos casos, los agentes designados como gatekeepers tendrán que comprobar que los tratamientos de datos cumplen con los requisitos de consentimiento, licitud, transparencia, propósito, etc., conforme al GDPR.

  • Portabilidad de datos (artículo 6(9) DMA) y acceso por usuarios empresariales (artículo 6(10) DMA): las directrices explican cómo esos derechos o obligaciones de datos bajo la DMA deben implementarse respetando las garantías del GDPR, incluyendo la protección de datos de múltiples individuos, la autenticación de usuarios, la internacionalización de transferencias, etc.

  • Provisión de datos de búsqueda u otro tipo de datos anonimizados al amparo del artículo 6(11) de la DMA: las directrices indican que el anonimizado debe cumplir criterios efectivos de anonimización para que no se vulneren derechos, garantizando al mismo tiempo la competencia. El borrador dedica un bloque a cuándo los datos pueden considerarse auténticamente anónimos y, por tanto, fuera del ámbito del GDPR. Señala criterios técnicos y jurídicos de efectividad de la anonimización (evaluación de riesgo de reidentificación, utilización de técnicas robustas, documentación). Marca un umbral alto para considerar datos como anónimos; la mera pseudonimización no bastaría, con el consiguiente impacto directo en proyectos de investigación y en las unidades de datos de las plataforma

  • Interoperabilidad de servicios de mensajería (artículo 7 DMA): se analiza desde el prisma de la minimización, integridad y seguridad de los datos bajo el GDPR. Las directrices analizan la obligación de interoperabilidad técnica y funcional entre servicios de mensajería desde la perspectiva del GDPR: diseño por defecto y privacidad por diseño, limitación de datos transmitidos, consentimiento de usuarios cuando se exija, y medidas para evitar filtración de metadatos sensibles. En consecuencia, los requisitos técnicos de interoperabilidad deben integrarse  con controles de acceso, cifrado y políticas de retención compatibles con el GDPR

  • También se incluye un apartado sobre la “base legal” aplicable cuando la DMA exige compartir datos o permitir acceso, y cómo esto se encaja con el artículo 6 GDPR (licitud del tratamiento) o con otras bases legales (por ejemplo, obligación legal) cuando proceda. Las directrices, en borrador, recuerdan que hay que respetar el régimen de transferencias del GDPR (decisiones de adecuación, cláusulas contractuales, salvaguardas suplementarias) y que el DMA no exonera a los gatekeepers de estas obligaciones. Esto implica que los equipos jurídicos de las plataformas deben mapear flujos de datos y asegurar cláusulas y medidas técnicas para las transferencias competentes.

  • Se propone un marco de cooperación entre autoridades de competencia (aplicación del DMA) y autoridades de protección de datos (aplicación del GDPR) para resolver fricciones, intercambiar información y coordinar enfoques sancionadores o de supervisión. El documento sugiere canales y mecanismos de coordinación.

 

STJUE, elaboración de perfiles crediticios y decisiones apoyadas en actos o hechos automatizados

Galería

Posted on por

La Sentencia del Tribunal de Justicia (Sala Primera) de 7 de diciembre de 2023, OQ contra Land Hessen (asunto C-634/21) resulta de especial interés para la protección de datos en las decisiones apoyadas en la automatización. Esta STJUE responde a una … Sigue leyendo →

TJUE: RGPD y Despido del Delegado de Protección de Datos

Posted on por

En su sentencia de 22 de junio de 2022 (asunto C-534/20; Leistritz), el TJUE se pronunció sobre si el RGPD permite la aplicabilidad de las disposiciones alemanas que rigen la terminación del empleo de un responsable de la protección de datos (DPO) de conformidad con el artículo 38 (2) y el artículo 6 (4) frase 2 de la Ley Federal de Protección de Datos (Bundesdatenschutzgesetz, BDSG).

No Eume- Ponte do Eume

Antecedentes

La decisión del TJUE se basa en la petición de decisión prejudicial del Tribunal Federal de Trabajo alemán (Bundesarbeitsgericht, BAG) formulada mediante la decisión de 30 de julio de 2020 (2 AZR 225/20). El BAG debía pronunciarse sobre la legalidad del despido de una DPO por parte de su empleador.

  • El empleador, una sociedad de Derecho privado que, con arreglo a la legislación alemana, está obligada a nombrar a un DPO, había puesto fin a la relación laboral de la DPO con la debida antelación debido a una medida de reestructuración. Los tribunales de primera instancia consideraron que la rescisión no era válida porque eran aplicables las disposiciones que regulan la rescisión de la relación laboral de un DPO con arreglo al artículo 38, apartado 2, y al artículo 6, apartado 4, segunda frase, de la BDSG, por lo que la relación laboral sólo podía haberse rescindido por “causa justificada”, en el sentido de la BDSG y el RGPD.
            • El artículo 6 (4) de la BDSG, establece:…No se pondrá fin a la relación laboral del responsable de la protección de datos a menos que existan hechos que den al organismo …. una causa justa para poner fin a la relación laboral sin previo aviso. […]»
  • El BAG tenía dudas sobre la compatibilidad de esta disposición (artículo 6 (4) de la BDSG) con el artículo 38, apartado 3, frase 2, del RGPD («El responsable del tratamiento o el encargado del tratamiento no podrá despedirlo ni sancionarlo por el desempeño de sus funciones«), ya que las disposiciones alemanas imponen requisitos más estrictos al cese del empleo de un DPO que la disposición de la legislación de la UE. En este contexto, el BAG planteó la siguiente pregunta al TJCE*:

«¿Debe interpretarse el artículo 38, apartado 3, segunda frase, [del RGPD] en el sentido de que se opone a una disposición de Derecho nacional, como el artículo 38, apartados 1 y 2, en relación con el artículo 6, apartado 4, segunda frase, de la [BDSG], que declara inadmisible la rescisión ordinaria del contrato de trabajo del delegado de protección de datos por el responsable del tratamiento, que es su empleador, con independencia de que su contrato se rescinda por el desempeño de sus funciones?».

En sus razonamientos, el TJUE recuerda que el numeral 97 de los considerandos del RGPD establece que   los delegados de protección de datos, sean o no empleados del responsable del tratamiento, deben estar en condiciones de desempeñar sus funciones y cometidos de manera independiente. Y que el l artículo 37 del RGPD, titulado «Designación del delegado de protección de datos», tiene el siguiente tenor: 1.- El responsable y el encargado del tratamiento designarán un delegado de protección de datos siempre que:  a) el tratamiento lo lleve a cabo una autoridad u organismo público, excepto los tribunales que actúen en ejercicio de su función judicial; b) las actividades principales del responsable o del encargado consistan en operaciones de tratamiento que, en razón de su naturaleza, alcance y/o fines, requieran una observación habitual y sistemática de interesados a gran escala, o c) las actividades principales del responsable o del encargado consistan en el tratamiento a gran escala de categorías especiales de datos con arreglo al artículo 9 o de datos personales relativos a condenas e infracciones penales a que se refiere el artículo 10. El artículo 38 del RGPD, titulado «Posición del delegado de protección de datos», establece, en sus apartados 3 y 5: «3. El responsable y el encargado del tratamiento garantizarán que el delegado de protección de datos no reciba ninguna instrucción en lo que respecta al desempeño de dichas funciones. No será destituido ni sancionado por el responsable o el encargado por desempeñar sus funciones. El delegado de protección de datos rendirá cuentas directamente al más alto nivel jerárquico del responsable o encargado.[…] 5. El delegado de protección de datos estará obligado a mantener el secreto o la confidencialidad en lo que respecta al desempeño de sus funciones, de conformidad con el Derecho de la Unión o de los Estados miembros.» El artículo 39 del RGPD, titulado «Funciones del delegado de protección de datos», dispone, en su apartado 1, letra b): «El delegado de protección de datos tendrá como mínimo las siguientes funciones:…, supervisar el cumplimiento de lo dispuesto en el presente Reglamento, de otras disposiciones de protección de datos de la Unión o de los Estados miembros y de las políticas del responsable o del encargado del tratamiento en materia de protección de datos personales, incluida la asignación de responsabilidades, la concienciación y formación del personal que participa en las operaciones de tratamiento, y las auditorías correspondientes;…..

Merindades burgalesas

Merindades burgalesas

La respuesta del TJUE a la pregunta del BAG es que la segunda frase del artículo 38, apartado 3, del RGPD debe interpretarse en el sentido de que no se opone a una legislación nacional que establece que un responsable o un encargado del tratamiento puede rescindir el contrato de trabajo de un delegado de protección de datos, que es miembro de su personal, únicamente con justa causa, aunque la rescisión contractual no esté relacionada con el desempeño de las tareas de dicho delegado, en la medida en que dicha legislación no menoscabe la consecución de los objetivos del RGPD. Según el TJCE, las disposiciones alemanas, en virtud de las cuales la relación laboral de un DPO sólo puede rescindirse por causa justificada, aunque la rescisión no esté relacionada con el desempeño de sus funciones, en principio no son contrarias al Derecho de la UE. Sin embargo, el DPO debe seguir siendo suficientemente competente para sus actividades. Esto significa que , desde el punto de vista del derecho de la UE en lo relativo al RGPD, el cese debe ser posible incluso si no se cumplen los estrictos requisitos de la aplicación tradicional de la legislación alemana de protección del empleo favorable a los trabajadores.

El TJUE justificó su decisión afirmando que el artículo 38, apartado 3, frase 2, del RGPD sirve únicamente para proteger la independencia funcional del DPO . En cambio, no tiene por objeto regular la relación laboral entre un responsable o un encargado del tratamiento y el DPO como su empleado o prestador de servicio externo. Tales relaciones se ven afectadas pero sólo incidentalmente, en la medida en que sea estrictamente necesario para lograr los objetivos del RGPD. En cambio, la fijación de normas sobre la protección de los DPD/DPO frente a la terminación de su relación laboral es fundamentalmente una cuestión de política social, ámbito en el que los Estados miembros de la UE pueden establecer disposiciones más tuitivas y estrictas que el legislador de la UE, siempre dentro de unos límites. Así, en cuanto a la compatibilidad de las disposiciones nacionales que protegen al DPO contra el cese de su empleo con el RGPD, el TJUE señala que las disposiciones protectoras no pueden menoscabar los objetivos del RGPD, por ejemplo, no podrían impedir la  rescisión del contrato de trabajo, del DPP/DPO cuando no posea las cualidades profesionales necesarias para desempeñar sus funciones. O cuando no cumpla dichas funciones de conformidad con las disposiciones del RGPD

Queda por ver si los tribunales alemanes, que tienden a ser favorables a los empleados, considerarán estos dos casos como «causas justas» para el despido en futuras decisiones y/o si desarrollarán otros casos de causa justa cuando el despido sea necesario para alcanzar los objetivos del RGPD. En cualquier caso, la cuestión de si existe una causa justa para el despido aún debe determinarse caso por caso, si bien los efectos de una rescisión sobre las obligaciones derivadas del RGPD desempeñarán un papel importante a la hora de determinar si existe una causa justa para la rescisión.

Entrada redactada con el apoyo del Proyecto de Investigación «Retribución de los administradores de sociedades de capital y sostenibilidad a largo plazo de la empresa», con el número de referencia: SBPLY/21/180501/000240 concedido por la Consejería de Educación, Cultura y Deportes. Junta de Comunidades de Castilla-La Mancha

Geolocalización y protección de datos

Posted on por

Como es sabido, los datos de ubicación, pueden servir para inferir y conocer diversa información personal que puede ser utilizada con distintos objetivos, entre otros con motivo de establecer perfiles publicitarios

En EEUU se han ido conociendo reclamaciones frente a grandes compañías de servicios digitales, con base en prácticas de geolocalización irrespetuosas con el ordenamiento.

Invierno. By M.A. Díaz

  • En noviembre 2022, un grupo de 40 Attorney General  (fiscales generales) de Minesota en EEUU  llegó a un acuerdo con Google LLC, a raíz de una sobre la presunta violación por parte de la compañía de las correspondientes normativas estatales de protección del consumidor, en el sentido de inducir a error a los consumidores sobre el registro de sus movimientos o geolocalización. Poco antes, se había alcanzado un acuerdo similar en Arizona. Según ha trascendido, Google habría trasmitido  la errónea impresión de que cuando los usuarios desactivaban los servicios de seguimiento de localización la compañía dejaría de recopilar datos de geolocalización sobre ellos. En realidad, Google seguía acumulando estos datos y luego los ofrecía a terceros que los utilizaban con fines publicitarios. En el acuerdo de Minesota, Google debe abonar 391,5 millones de dólares, así como facilitar a los usuarios información adicional al activar o desactivar un determinado ajuste relacionado con la localización; y tiene que asegurar que la obtención de información clave sobre el seguimiento de la localización sea «insoslayable» para los usuarios , así como proporcionar información detallada sobre los tipos de datos de localización que recopila y utiliza. Más aquí
  • En la UE, dado que los sistemas de geolocalización capturan, almacenan y analizan la información geográfica referenciada de la persona (es decir, un tratamiento de datos personales), resulta de aplicación el art. 4 RGPD con lo que es necesario determinar el fin admisible de este tratamiento y tener en cuenta todos los requisitos del derecho positivo, entre ellos la legitimación. Cuando el dispositivo sea propiedad de una persona física será necesario obtener el consentimiento del interesado (art. 6.1.a RGPD). Cuando el sistema de geolocalización se instale en un dispositivo responsabilidad de una empresa, se podrá legitimar por interés legítimo del responsable (art. 6.1.f RGPD) basado en el art. 20.3 ET y el art. 90 LOPDGDD. Recuérdese que el art. 20.3 del Estatuto de los Trabajadores permite «adoptar las medidas que estime más oportunas de vigilancia y control para verificar el cumplimiento por el trabajador de sus obligaciones y deberes laborales». Estas medidas, deberán, siempre, respetar el derecho al honor, a la intimidad personal y familiar y a la propia imagen reconocido en el art. 18 de la Constitución Española, en coherencia además con el deber de informar al trabajador (arts 13 y 14 RGPD). Y, el deber de respetar la finalidad, o prohibición del uso de los datos obtenidos para finalidades distintas de las declaradas en la adopción de la medida. La noción de “fines” del art. 5.1.c RGPD, relativo al principio de minimización, excluye todo intento de aprovecharse de los datos de carácter personal recogidos para obtener nuevos datos personales o para un uso divergente de la finalidad originaria para la que fueron recabados. De igual manera se expresa el art. 6 LOPDGDD, correspondiente al consentimiento del interesado para diversas finalidades. Además, los datos de localización se deben conservar exclusivamente durante el tiempo oportuno en función de la finalidad que justifique su tratamiento. sin olvidar que el acceso a los datos de localización deberá restringirse a aquellas personas que, en el ejercicio de sus obligaciones, puedan consultarlas de forma legítima en función de sus finalidades. Por consiguiente, los empresarios deberán adoptar todas las cautelas necesarias para que tales datos se mantengan seguros e impedir el acceso no autorizado a ellos, especialmente mediante la introducción de medidas de verificación e identificación.

 

Además de todo esto, hay que tener en cuenta que los responsables del tratamiento que utilicen sistemas de geolocalización estarán sujetos a obligaciones del GDPR:

  1. El registro de actividades de tratamiento. Cada responsable del tratamiento y, en su caso, su representante, habrán de llevar un registro de las actividades de tratamiento que efectúen bajo su responsabilidad (art. 30 RGPD).
  2. El análisis de riesgos con el fin de establecer las concretas medidas de seguridad y control para garantizar los derechos y libertades de las personas. (art.32 RGPD).
  3. Medidas de seguridad. En este documento se van a recoger las medidas técnicas y organizativas de seguridad que garanticen la protección de los datos personales, y que demuestren la adecuación con el GDPR, teniendo en consideración los derechos e intereses legítimos de las personas físicas propietarias de los datos personales y de cualquier otra persona afectada.
  4. La evaluación de impacto (DPIA) en el caso el tratamiento se realice a gran escala e implique la observación, monitorización, supervisión, geolocalización o control del interesado de forma sistemática y exhaustiva, incluida la recogida de datos y metadatos a través de redes, aplicaciones o en zonas de acceso público (art. 35.4 RGPD).

 Ver también 

En España, en enero de 2023, Audiencia Nacional anuló una decisión de la AEPD en la que sostuvo que la empresa Virgin telco había actuado conforme a la ley al denegar a sus clientes el acceso a sus datos de geolocalización. El asunto había sido planteado por una ONG especializada: NOYB.

  • Noyb, cuyas siglas proceden de la expresión inglesa None of your business (No es asunto tuyo), es una iniciativa del activista Sr Schrems (conocido por sus litigios en relación con los acuerdos de trasmisión de datos a EEUU). La ONG especializada en protección de datos recurrió una decisión de la AEPD. NOYB sostenía que la información sobre geolocalización es un dato personal y debe facilitarse al amparo del derecho de datos personales.

Un cliente de Virgin telco en España solicitó acceder a sus datos de geolocalización. Le fueron denegados por lo que reclamó ante la AEPD. La agencia dio la razón a la empresa por lo que Noyb recurrió esa decisión en junio de 2022, defendiendo que ya que los proveedores de telecomunicaciones en España están obligados a almacenar datos de geolocalización de sus clientes, en virtud del principio de tutela de datos personales, tales proveedores deben facilitar esa información a los usuarios en caso de ser solicitada. Este planteamiento era distinto al inicial de la AEPD que consideraba que el acceso estaba garantizado sólo para las autoridades en el marco de investigaciones penales. La Audiencia Nacional anuló la decisión inicial de la AEPD. Ver aquí  la web de esta ONG

Sanción belga por conflicto entre DPD y compliance Officer

Posted on por

El 28 de abril de 2020, la Sala de lo Contencioso de la Autoridad de Protección de Datos belga impuso una multa de 50.000 euros a una sociedad por incumplimiento de los requisitos del Reglamento general de protección de datos («RGPD») relativos al nombramiento de un responsable de la protección de datos («DPD»).

Tras la notificación de una violación de datos, la APD belga inició una investigación sobre las prácticas de protección de datos y el programa de privacidad de la empresa y su investigación se centró en tres supuestas infracciones del RGPD,

Canaval_Omaña (León)

  1. el deber de cooperar con la APD;
  2. las obligaciones de rendición de cuentas (evaluaciones de riesgo y violación de datos); y
  3. los requisitos relacionados con el cargo de DPD de la sociedad.

En su decisión, la Sala de lo Contencioso de la APD belga solo confirmó la  infracción de los requisitos del DPD del RGPD (artículo 38, apartado 6, del RGPD), argumentando que, al nombrar al jefe del departamento de Cumplimiento, Gestión de Riesgos y Auditoría a ese DPD, la sociedad había incumplido su obligación de garantizar que su DPD esté libre de cualquier conflicto de intereses.

En particular, la Sala de lo Contencioso de la APD belga indicó en su decisión que:

  • Si el DPO, como Jefe del departamento de Auditoría Interna, tiene poder de decisión con respecto al despido de empleados, no es compatible con la función del DPO.
  • El que los departamentos que dirige la persona que actúa como DPO de la sociedad cumplan una función independiente y consultiva en relación con los demás departamentos de la empresa y, como tales, no tengan poder de decisión con respecto a las actividades de tratamiento de datos de la sociedad, ello no significa necesariamente que las tareas de la persona como Jefe de estos departamentos sean compatibles con sus tareas como DPO de la sociedad.
  • Si en su calidad de responsable de los departamentos de Cumplimiento Normativo, Gestión de Riesgos y Auditoría, la persona designada como DPP de la sociedad determina los fines y los medios del tratamiento de datos personales que tiene lugar en el contexto de estos departamentos, es responsable de las actividades de tratamiento de datos y por tanto infringe el RGPD.

En vista de ello, la Sala de lo Contencioso de la APD belga concluye que combinar la función de jefe de departamento de Cumplimiento Normativo, Gestión de Riesgos y Auditoría la de DPO da lugar a un importante conflicto de intereses. En el caso que nos ocupa, la APD belga sostiene que, debido a la combinación de funciones, existe una falta total de supervisión independiente del DPO en relación con las actividades de tratamiento de datos que tienen lugar en el contexto de los departamentos de Cumplimiento, Gestión de Riesgos y Auditoría. Además, la APD belga indica que, debido a su doble función, el DPO puede no ser capaz de ofrecer suficientes garantías a los empleados afectados en términos de confidencialidad y secreto.

En vista de lo anterior, la Sala de lo Contencioso ordenó modificar la situación e impuso una multa administrativa de 50.000 euros. (recurrible)

Entrada redactada con el apoyo del Proyecto de Investigación «Retribución de los administradores de sociedades de capital y sostenibilidad a largo plazo de la empresa», con el número de referencia: SBPLY/21/180501/000240 concedido por la Consejería de Educación, Cultura y Deportes. Junta de Comunidades de Castilla-La Mancha

 

TJUE- De nuevo sobre el despido del DPD. Y compatibilidades del cargo

Posted on por

Springtime

El 9 de febrero de 2023, el Tribunal de Justicia de la Unión Europea («TJUE») dictó sentencia en el asunto X-FAB Dresden (C-453/21).En esta decisión, el TJUE aclaró los criterios para evaluar si existe un conflicto de intereses entre la función de Delegado de Protección de Datos («DPD/DPO») y otras tareas o funciones asignadas al mismo DPD/DPO.

  • Los DPD/DPO se encargan de informar y asesorar a los responsables y encargados del tratamiento de datos, supervisar el cumplimiento de la legislación sobre protección de datos y las políticas adoptadas en cada organización, y actuar como punto de contacto con las autoridades de control.
  • Para desempeñar eficazmente estas tareas debe operar con independencia. A tales efectos, el artículo 38, apartado 3, del RGPD establece específicamente que el DPD/DPO no puede recibir instrucciones sobre el ejercicio de sus funciones y debe responder directamente al más alto nivel directivo (recuérdese que el mismo artículo prohíbe despedir o sancionar al DPD/DPO por el ejercicio de sus funciones).

En esta sentencia, el TJUE hizo hincapié en que las organizaciones deben asegurarse de que no se encomienden al DPD/DPO tareas o funciones que puedan obstaculizar o dificultar la ejecución de sus obligaciones como DPD/DPO. En particular, recuerda que el DPD/DPO no es competente (ni puede en función de otro cargo que compatibilice) determinar los objetivos y métodos del tratamiento de datos personales.

Ahora bien, a  efectos de establecer la compatibilidad o incompatibilidad con otras funciones, es necesario realizar una evaluación casuística, para determinar si existe un conflicto de intereses. En esta evaluación se deben tener en cuenta todas las circunstancias relevantes que concurran. En particular, debe considerarse la estructura organizativa del responsable o del encargado del tratamiento, así como las políticas del responsable o del encargado del tratamiento y el ordenamiento aplicable. Con respecto a este último aspecto, se planteó la cuestión de si esta prohibición se opone a una legislación nacional que permite a un responsable o encargado del tratamiento despedir a un DPD/DPO que sea miembro del personal únicamente cuando exista una causa justificada, aunque el despido no esté relacionado con el ejercicio de las tareas del DPD/DPO.  Para llegar a esta conclusión, el Tribunal reiteró que los conceptos de «destituir» y «sancionar» deben interpretarse con arreglo al lenguaje corriente (véase también la sentencia de 22 de junio de 2022, C-534/20) comentada en este blog). Ello significa que un DPD/DPO debe estar protegido contra «cualquier decisión que ponga fin a sus funciones, por la que se le coloque en una situación de desventaja o que constituya una sanción». El Tribunal confirmó que una medida de despido por parte de un empleador puede constituir una decisión de este tipo.

El Tribunal también reiteró que la prohibición de despedir o sancionar a un DPD/DPO se aplica independientemente de la naturaleza de la relación con el DPD/DPO (es decir, independientemente de si el DPD/DPO es un empleado o no). Pero al mismo tiempo sólo cuando los motivos subyacentes a la decisión se refieren al desempeño de sus funciones. El Tribunal consideró que cada Estado miembro es libre de establecer disposiciones específicas más protectoras frente a los despidos de DPD/DPO, en la medida en que dichas disposiciones sean compatibles con el Derecho de la UE y el RGPD y en la medida en que esa mayor protección no menoscabe la consecución de los objetivos del RGPD. Tal menoscabo podría producirse, por ejemplo, cuando la legislación nacional impidiera el despido de un DPD/DPO que ya no posea las cualidades profesionales requeridas, que no cumpla sus funciones de conformidad con el RGPD o que se vea afectado por un conflicto de intereses.

  • En cuanto al conflicto de intereses, el TJUE señala que el artículo 38, apartado 6, del RGPD permite confiar a los DPD/DPO otras tareas y obligaciones (es decir, distintas de las que le impone el artículo 39 del RGPD), pero impone la obligación de garantizar que dichas tareas y obligaciones no den lugar a un conflicto de intereses.
  • Sobre las circunstancias podrían suponer tal conflicto de intereses, el Tribunal respondió de forma bastante general que no se pueden encomendar al DPD/DPO tareas u obligaciones que puedan «menoscabar la ejecución de las funciones desempeñadas por el DPD/DPO». Más concretamente, el Tribunal confirmó que se produciría un conflicto de intereses siempre que se encomendara a un DPD/DPO tareas que implicaran la determinación de los objetivos y métodos de tratamiento de datos personales por su parte. Evidentemente, la determinación de objetivos o métodos de tratamiento de datos chocaría con el requisito de poder revisar de forma independiente dichos objetivos y métodos. La evaluación de si existe un conflicto de intereses debe realizarse caso por caso a la luz de todas las circunstancias pertinentes (incluida la estructura organizativa y las normas y políticas aplicables).

Fallo:

1)      El artículo 38, apartado 3, segunda frase, del RGPD debe interpretarse en el sentido de que no se opone a una normativa nacional que establece que un responsable o un encargado del tratamiento solo puede destituir a un delegado de protección de datos que forme parte de su plantilla por causa grave, aun cuando la destitución no esté relacionada con el desempeño de las funciones de dicho delegado, siempre que esa normativa no ponga en peligro la consecución de los objetivos de ese Reglamento.

2)      El artículo 38, apartado 6, del RGPdebe interpretarse en el sentido de que puede existir un «conflicto de intereses», en el sentido de esta disposición, cuando se encomienden a un delegado de protección de datos otras funciones o cometidos que llevarían a este a determinar los fines y los medios del tratamiento de datos personales en el seno del responsable del tratamiento o de su encargado, lo que incumbe determinar en cada caso al juez nacional sobre la base de todas las circunstancias pertinentes, en particular de la estructura organizativa del responsable del tratamiento o de su encargado y a la luz de toda la normativa aplicable, incluidas las eventuales políticas de estos últimos.

Más:

 

El mercado de datos como supuesto de aplicación de las normas antitrust de la UE. A propósito de un acuerdo en materia de acceso a datos en el sector asegurador

Posted on por

Tras la consiguiente investigación iniciada de oficio por el supervisor europeo de la libre competencia, la Comisión Europea ha llegado a un acuerdo con una asociación irlandesa de compañías de seguros que participaba en el mercado de datos compartidos. 

Antecedentes

Insurance Ireland (II) es una asociación de empresas  que participan en el sector de los seguros en Irlanda. II ofrecía a sus asociados un sistema de intercambio de información llamado Insurance Link. Este sistema incorporaba información útil para detectar y combatir el fraude en el mercado irlandés de los seguros de automóviles. A compartirse la información del Insurance Link entre los asociados de II, el mecanismo planteaba dudas desde la perspectiva antitrust.

Este comportamiento debe analizarse a la luz de lo dispuesto en el Derecho Europeo de la libre competencia. Concretamente, el artículo 101 del TFUE y el artículo 53 del Acuerdo sobre el Espacio Económico Europeo prohíben los acuerdos anticompetitivos y las decisiones de asociaciones de empresas que impidan, restrinjan o distorsionen la competencia en el mercado único de la UE.

Dependiendo de su diseño, los acuerdos de intercambio de datos pueden contribuir al funcionamiento eficaz de los mercados de seguros e incluso propiciar la libre competencia. Por lo tanto, es importante garantizar que estos acuerdos, incluidas sus condiciones de acceso, se ajusten al ordenamiento. La estrategia europea de datos refleja estos principios. En la hoja de ruta para la evaluación de impacto de la revisión de las Directrices sobre la aplicabilidad del artículo 101 del TFUE a los acuerdos de cooperación horizontal, la Comisión anunció recientemente su intención de incluir orientaciones que ayuden a las partes interesadas en la autoevaluación de los acuerdos de puesta en común y uso compartido de datos.

Las investigaciones y procedimientos de la Comisión Europea

  • En julio de 2017, la Comisión realizó inspecciones sin previo aviso en el mercado de los seguros de automóviles en Irlanda. Y, el 14 de mayo de 2019, abrió una investigación formal sobre la conducta de II por una posible infracción del artículo 101 del Tratado de Funcionamiento de la Unión Europea («TFUE»).
  • En junio de 2021, la Comisión emitió un pliego de cargos en el que exponía sus preocupaciones preliminares. Recuérdese que el pliego de cargos representa un paso formal, dentro de los procedimientos de investigación antitrust de la Comisión Europea. En este documento, la Comisión informa a las partes afectadas de las objeciones planteadas contra los comportamientos que hayan realizado. En este caso, el compartir información del Insurance link. Las entidades que reciben el pliego pueden examinar los documentos del expediente de investigación de la Comisión, responder por escrito y solicitar una audiencia para presentar sus comentarios  ante  la Comisión y  las autoridades nacionales de competencia.
  • Recuérdese que el apartado 1 del artículo 9 del Reglamento nº 1/2003 permite a la Comisión finalizar los procedimientos antimonopolio aceptando los compromisos ofrecidos por una asociación. Una decisión de este tipo no llega a una conclusión sobre si se han infringido,  o no, las normas antimonopolio de la UE, sino que se limita a aprobar compromisos de cumplimiento obligatorio para las entidades investigadas obliga legalmente a la asociación a respetar los compromisos (consultar las Directrices sobre la aplicabilidad del artículo 101 del Tratado de Funcionamiento de la Unión Europea a los acuerdos de cooperación horizontal aqui ). En el asunto que nos ocupa, si  II incumpliera los compromisos, la Comisión podría imponer una multa de hasta el 10% del volumen de negocios mundial de la asociación o de la suma del volumen de negocios de sus miembros activos en el mercado de referencia.

Los compromisos de II para hacer frente a la investigación (y la posición de la Comisión Europea al recibir estos compromisos)

  • Para responder a las investigaciones de la Comisión, II ofreció algunos compromisos
  • Entre el 4 de marzo y el 4 de abril de 2022, la Comisión sometió estos compromisos a una prueba de mercado y consultó a los terceros interesados para comprobar si eliminaban los problemas de competencia. La prueba de mercado hizo necesario que II modificase sus compromisos iniciales, para especificar el perfil y el papel del encargado de facilitar acceso a terceros, a los datos de la asociación II, entre otros.
  • La Comisión consideró que los compromisos finales  garantizarán el acceso de los participantes en el mercado a la plataforma Insurance Link, y decidió hacerlos jurídicamente vinculantes para esta asociación:
    • Hacer que el acceso al sistema de intercambio de información Insurance Link sea independiente de la afiliación a II.
    • Cambiar los criterios de acceso a Insurance Link y hacerlos justos, objetivos, transparentes y no discriminatorios y aplicarlos de manera uniforme a todos los solicitantes, tanto de Irlanda como de otros Estados miembros.
    • Establecer un nuevo procedimiento de solicitud de Insurance Link con un calendario definido que será gestionado por un funcionario de solicitudes operacionalmente independiente, con un nivel suficiente de antigüedad y con experiencia en el sector de los seguros adquirida a título profesional. Los solicitantes a los que se les deniegue el acceso podrán recurrir al Comité de Supervisión, un órgano de apelación independiente. Establecer un modelo de tarifas basado en el coste y el uso y garantizar que se cobrará una tarifa justa, transparente y no discriminatoria a los usuarios de Insurance Link.
    • Garantizar que los criterios para ser miembro de la asociación II sean justos, objetivos, transparentes y no discriminatorios.
    • Los compromisos finales estarán en vigor durante 10 años. Bajo la supervisión de la Comisión, un administrador se encargará de vigilar la aplicación y el cumplimiento de los compromisos.

Más información, incluido el texto completo de la Decisión de la Comisión del artículo 9 y la versión completa de los compromisos está disponible en el sitio web de competencia de la Comisión, en el registro público , con el número de asunto AT.40511.

Entrada redactada con el apoyo de los siguientes Proyectos:

  • Proyecto de investigación “Sostenibilidad, digitalización e innovación: nuevos retos en el Derecho del Seguro”, de (ref.: PID2020-117169GB-I00), financiado por FEDER/Ministerio de Ciencia e Innovación – Agencia Estatal de Investigación

Trasferencia internacional de datos. Nuevas Cláusulas estándar (CTT) de la Comisión Europea

Posted on por

Las  CCT  son cláusulas estandarizadas de protección de datos que han sido aprobadas por la Comisión Europea. Su inclusión en los acuerdos internacionales de transferencia de datos permite a los responsables y a los encargados del tratamiento cumplir con sus obligaciones en virtud del RGPD.

La Comisión Europea adoptó dos conjuntos de CCT el 4 de junio de 2022:

Se acompañan ambos de una serie de preguntas y respuestas, que la Comisión Europea pone a disposición con «fines informativos generales únicamente», pero, no obstante, para «proporcionar orientación práctica sobre el uso de las CCE y ayudar a las partes interesadas en sus esfuerzos de cumplimiento en virtud del RGPD

Dado que el llamado Escudo de Privacidad EE.UU.-UE fue invalidado por la sentencia del Tribunal de Justicia de la Unión Europea (TJUE) de 2020, ECLI:EU:C:2020:559,  «Schrems II».  , las CCT han sido el principal mecanismo para transferir datos de la UE a los EE.UU., en cumplimiento del RGPD . Las directrices anteriores de las autoridades europeas explicaban que las transferencias en el marco de las CCT son aceptables siempre que los datos personales que se transfieren estén sujetos a protecciones «esencialmente equivalentes» a las que tendrían en la UE. Para lograr protecciones «esencialmente equivalentes», el Supervisor Europeo de Protección de Datos indica que las partes que transfieren datos que pueden necesitar adoptar salvaguardias adicionales, como la codificación de los datos antes de la transferencia

Para trasferir datos fuera de la UE,  las nuevas CCT crean la obligación, principalmente para el exportador de datos, de llevar a cabo una «evaluación del impacto de la transferencia»  que implica evaluar el marco jurídico de protección de datos de la jurisdicción de destino que regirán los datos que se recibirán del controlador en la UE. Al realizar este análisis, se deben considerar las circunstancias específicas de las transferencias contempladas, incluyendo la categoría y el formato de los datos, el tipo de destinatario, el sector económico en el que se produce la transferencia y la longitud de la cadena de tratamiento. Las orientaciones que acompañan ambas Decisiones aclaran los tipos de información que deben tenerse en cuenta al realizar una evaluación del impacto de la transferencia. En concreto, las orientaciones señalan que las empresas pueden tener en cuenta

  1. información cierta sobre la aplicación de la legislación nacional del país de destino en la práctica, incluida la jurisprudencia y los informes de organismos de supervisión independientes,
  2. la existencia o ausencia de solicitudes de las autoridades públicas del país de destino para acceder a los datos en el sector correspondiente y, en determinadas condiciones,
  3. la experiencia práctica documentada del exportador y/o importador de datos. Cuando haya una evaluación negativa del impacto de la transferencia, las partes sólo podrán transferir datos basándose en las CCT «si establecen salvaguardias «suplementarias» adicionales (por ejemplo, medidas técnicas para garantizar la seguridad de los datos, como el cifrado de extremo a extremo) que aborden la situación y garanticen así el cumplimiento» de las CCT.

PERSPECTIVAS

Aunque el panorama de las transferencias internacionales de datos puede cambiar significativamente en los próximos meses a partir del reciente anuncio de que EE.UU. y la UE han alcanzado un «acuerdo de principio» sobre un nuevo marco de transferencia bilateral, no puede obviarse que NOYB, la organización de Schrems, ya ha redactado una carta abierta en la que se opone al acuerdo de principio y anima a «los negociadores de ambos lados del Atlántico a avanzar en las tan necesarias reformas de la legislación estadounidense». Además, Schrems «está dispuesto a impugnar cualquier decisión final de adecuación que no proporcione la necesaria seguridad jurídica». Por lo tanto, es probable que los CCT sigan siendo un mecanismo importante para efectuar transferencias de datos de la UE a los Estados Unidos que cumplan con el Reglamento (UE) General de Protección de Datos

MAS

Transferencia de datos entre autoridades de supervisión financiera del EEE y de terceros países: Dictamen favorable del SEPD sobre el borrador de acuerdo de garantías

Posted on por

El Supervisor Europeo de Protección de Datos, SEPD, emite su Dictamen 4/2019, sobre el proyecto de acuerdo administrativo para la transferencia de datos personales entre las Autoridades de Supervisión Financiera del Espacio Económico Europeo («EEE») y las Autoridades de Supervisión Financiera no pertenecientes al EEE (12 de febrero de 2019).

Campus universitario de León. By M.A Díaz

De acuerdo con el Reglamento General Europeo de Protección de Datos , los datos personales pueden ser transferidos de un país del EEE a un tercer país cuando se ofrezcan las garantías adecuadas. Una de las formas de proporcionar las salvaguardas es mediante un acuerdo administrativo entre los poderes públicos. Pues bien, el Dictamen 4/2019 del SEPD , on the draft Administrative Arrangement for the transfer of personal data between European Economic Area (“EEA”) Financial Supervisory Authorities and non-EEA Financial Supervisory Authorities de 12 de febrero de 2019 da el visto bueno al borrador de acuerdo administrativo relativo a la trasferencia de datos personales entre autoridades europeas de supervisión financiera (y de las Autoridades Nacionales Competentes) con  Autoridades de supervisión de terceros países. Este acuerdo ha sido promovido desde ESMA, actuando en un papel de colaboración y coordinación con las Autoridades Nacionales Competentes en el EEE.

 

Primavera, by M.A. Díaz

Teniendo en cuenta los compromisos de las autoridades nacionales de terceros Estados, que ratificarán mediante la firma de este Acuerdo para poner «en vigor las salvaguardias adecuadas para el tratamiento de datos personales en el ejercicio de sus respectivos mandatos y responsabilidades reglamentarios» y para «actuar de forma coherente con el Acuerdo», el SEPD considera que el acuerdo garantiza las salvaguardias precisas cuando los datos personales sean trasferidos a organismos públicos de terceros países no cubiertos por una decisión de adecuación de la Comisión Europea. Eso sí, el SEPD recuerda que, de acuerdo con el principio de rendición de cuentas, cada ANC y la ESMA mantendrán registros de la información para facilitar la tarea de supervisión de las autoridades. La información deberá, en cualquier caso, ponerse a disposición de las autoridades competentes, a petición de éstas. Por tanto, el SEPD considera, según se pone de manifiesto en este dictámen, que el acuerdo garantiza las salvaguardias precisas, incluso cuando los datos personales sean trasferidos a futuros suscriptores del mismo como son los organismos públicos de terceros países no cubiertos por una decisión de adecuación de la Comisión Europea. Y esta opinión ya sido acogida positivamente también desde fuera de la UE como lo ha manifestado IOSCO que actualmente cuenta con un Acuerdo Marco en virtud del cual se intercambian información 121 supervisores  y reguladores de valores; que anuncian su intención de suscribir este acuerdo.

Además, el SEPD  recuerda que, de acuerdo con el principio de rendición de cuentas, cada ANC y la ESMA deberán mantener registros de la información para facilitar la tarea de supervisión de las autoridades. La información deberá, en cualquier caso, ponerse a disposición de las autoridades competentes, a petición de éstas.

Este dictamen, primero de este tipo, permitirá el intercambio continuo de información sobre el cumplimiento de la normativa financiera y de mercados. Ya ha sido acogido positivamente por ESMA y por organizaciones internacionales como IOSCO, que ya ha anunciado su interés por participar en el Acuerdo liderado por ESMA

Protección de datos. Reformado el ordenamiento de la UE

Posted on por

Tras un proceso prelegislativo de varios años, publica el DOUE de 4.05.2016 el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos). Se publicó también la Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por parte de las autoridades competentes para fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, y a la libre circulación de dichos datos y por la que se deroga la Decisión Marco 2008/977/JAI del Consejo. La reforma lleva aparejadas modificaciones en el Reglamento (CE)  45/2001 del Parlamento Europeo y del Consejo  sobre  al tratamiento de datos de carácter personal por las instituciones, órganos y organismos de la Unión. La entrada aplicación completa del nuevo régimen se retrasa hasta 2018.

Como fundamento jurídico principal de estas normas están el artículo 8, apartado 1, de la Carta de los Derechos Fundamentales de la Unión Europea y el artículo 16, apartado 1, del Tratado de Funcionamiento de la Unión Europea (TFUE) establecen que toda persona tiene derecho a la protección de los datos de carácter personal que le conciernan. La protección de datos presenta perspectivas generales y también específicas en relación con otros derechos como la libertad de expresión, y religión, de información; el derecho a un juicio justo; la libertad de empresa, a la diversidad lingüística y cultural, entre otros. Además, el tratamiento automatizado y las nuevas tecnologías TIC se sitúan en el corazón de las novedades, y es en ese ámbito en el que se refuerza especialmente la protecicón

Entre otras novedades, la reforma  unifica la supervisión para toda la UE; y que se introducen sistemas de protección de datos en productos y servicios que utilizan datos personales de que son diseñados (Data protection by design),  promueven de seudoanonimización y otras para salvaguardar los beneficios de la innovación en los tratamientos de datos

 

Post Scriptum.- Léase en comentario del Profesor Pedro Asensio aquí y aquí. También Jordi Bacaria para Economist & Jurist