1. Protección de datos
a. Noticias destacadas
Aprobación del Marco de Privacidad de Datos UE-EE.UU.
Han pasado tres años desde que quedase invalidado el Privacy Shield y por fin las transferencias de datos personales entre la Unión Europea y Estados Unidos vuelven a tener un marco de garantías adecuado. Esta versión de 2023 se denomina “Marco de Privacidad de Datos UE-EE.UU.” y viene a cubrir las carencias de los anteriores marcos, aportando los mecanismos de protección adicionales que la Comisión pedía en la Opinión 5/2023 que emitió hace unos meses.
Recordemos que algunos de los puntos más conflictivos que estuvieron obstaculizando durante largo tiempo la aprobación de un marco de garantías, evocaban los accesos a datos constantes y masivos por parte de los servicios de inteligencia estadounidenses o la complejidad entorno a las reclamaciones por parte de ciudadanos europeos debido a tratamientos indebidos por empresas estadounidenses. Estas y otras cuestiones quedan ahora resueltas con el nuevo acuerdo, entre otros medios, mediante el firme compromiso de que el acceso a los datos se limitará a “lo necesario y proporcionado” cuando se trate de preservar la seguridad nacional estadounidense.
Entre estas nuevas garantías, se encuentra el establecimiento de un Tribunal de Recurso en Materia de Protección de Datos, al que los ciudadanos de la UE tendrán acceso y desde donde se podrá investigar y resolver las reclamaciones de manera independiente con potestad sancionadora vinculante; garantías en materia de acceso de los poderes públicos a los datos; mecanismos de resolución independiente y gratuita de controversias, y un tribunal arbitral.
En términos generales, las garantías alternativas como la adhesión a cláusulas contractuales tipo o las normas corporativas vinculantes serán mecanismos igualmente válidos.
Por lo que respecta al proceso de suscrición a este nuevo marco, existe algún matiz relevante con respeto al mecanismo anterior: ahora las empresas estadounidenses que deseen adherirse deberán comprometerse a cumplir una serie de obligaciones como el borrado de los datos personales cuando ya no sean necesarios para el fin para el que fueron recogidos, o garantizar el cumplimiento de los requisitos de privacidad con respecto a sus propios subcontratistas.
Con el fin de evitar la situación de falta de control que existía con los mecanismos anteriores, en esta ocasión la Comisión Europea, junto con representantes de las autoridades de protección de datos europeas y de las autoridades competentes estadounidenses, revisarán periódicamente el correcto funcionamiento del acuerdo, garantizando así la efectiva implantación de los compromisos adquiridos.
Otro de los puntos clave del nuevo acuerdo es que el Departamento de Comercio estadounidense se hará cargo de la administración y supervisión del acuerdo, mientras que la Comisión Federal de Comercio de los Estados Unidos se encargará de hacerlo cumplir por parte de las empresas estadounidenses.
De nuevo, uno de los flujos de información más potentes a nivel trasatlántico vuelve a contar con un nivel de seguridad jurídica confortable.
Se puede consultar la decisión de adecuación en el siguiente enlace.
b. Resoluciones y sentencias
Correlación entre la constatación del abuso de posición dominante y la identificación de una infracción del RGPD: el TJUE se pronuncia
En el marco de un litigio que enfrentaba a Meta Platforms Ireland y la Autoridad Federal de Defensa de la Competencia alemana (en adelante, “AFDC”) por cuestiones de explotación abusiva de posición dominante, se plantearon siete cuestiones prejudiciales ante el TJUE (en adelante, “TJUE”) relativas a potenciales infracciones del Reglamento 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (en adelante, “RGPD”), constatadas por la propia AFDC.
En su sentencia, el TJUE aclara que, si bien es posible o incluso necesario que la autoridad de defensa de la competencia que esté examinando una cuestión de abuso de posición dominante, valore también la conformidad del comportamiento a normas ajenas (como sería el RGPD), ello no sustituye el rol que necesariamente tiene que jugar la autoridad de control de protección de datos. La habilitación de la AFDC se limita a apreciar el respeto del RGPD desde el punto de vista del abuso de la posición dominante. Además, el TJUE aclara que es necesaria una colaboración cohesionada entre las distintas autoridades de la competencia y las autoridades de control de protección de datos, a la hora de analizar el cumplimiento del RGPD en cuestiones relacionadas con la materia, ateniéndose a decisiones previas de éstas o del TJUE (si las hubiera).
Otro de los puntos clave de la sentencia hace referencia al tratamiento de datos pertenecientes a categorías sensibles, por parte de Meta. En este sentido, el TJUE es tajante: “el mero hecho de que un usuario consulte sitios de Internet o aplicaciones que puedan revelar tal información no significa […] que haga manifiestamente públicos sus datos […] a menos que haya manifestado expresamente su decisión previa de hacer que los datos que le conciernen resulten públicamente accesibles a un número ilimitado de personas”. Es más, el TJUE va más allá aclarando que la excepción al tratamiento de datos sensible por la ejecución contractual no aplica en este caso conceto porque considera que “la personalización de la publicidad mediante la cual se financia […] Facebook no puede justificar, como interés legítimo […] el tratamiento de datos”; sería necesario disponer del consentimiento expreso de los interesados.
Acceso directo al comunicado de prensa del TJUE aquí.
Se puede consultar el texto completo de la sentencia en el siguiente enlace.
El Tribunal Supremo admite el recurso de casación presentado por la AEPD frente a la anulación por la Audiencia Nacional de la sanción a BBVA de 5 millones de euros
El pasado 23 de diciembre de 2022, la Audiencia Nacional anulaba la sanción de 5 millones de euros que la Agencia Española de Protección de Datos (en adelante, la “AEPD”) había impuesto a BBVA por incumplimiento de varios preceptos de la normativa vigente en materia de protección de datos. Recordemos que para ello la Audiencia Nacional esgrimió varios argumentos basándose en la desconexión entre las reclamaciones contra BBVA y la supuesta naturaleza infractora de la propia política de privacidad.
Seis meses después, el Tribunal Supremo (en adelante, “TS”) admite a trámite el recurso de casación presentado por la AEPD. Resulta muy interesante la argumentación del TS en cuanto a los motivos por los cuales se admite:
En primer lugar, se pone de manifiesto el argumento principal de la AEPD quién alega que la reclamación de un afectado, al margen del interés que pueda suscitar el caso concreto, puede servir como medio para poner en conocimiento de la autoridad de control un eventual incumplimiento de la normativa, sirviendo como punto de partida para una investigación de mayor amplitud.
En segundo lugar, el TS declara que la cuestión tiene interés casacional objetivo para la formación de jurisprudencia en este sentido.
Así pues, el TS estudiará si la actuación de la AEPD frente a una reclamación debe limitarse al alcance de dicha reclamación o si puede tramitar y resolver un procedimiento sancionador a margen de la cuestión específica.
Puede consultar el Auto en este enlace.
c. Informes y guías
La AEPD actualiza su Guía sobre el uso de cookies
La AEPD ha actualizado su Guía sobre el uso de cookies para adaptarla a las Directrices 03/2022 del Comité Europeo de Protección de Datos (en adelante, “CEPD”), sobre patrones engañosos en redes sociales. En las mencionadas Directrices, el CEPD establece que las acciones de aceptar o rechazar las cookies tienen que presentarse en un lugar y formato destacados, estando ambas opciones al mismo nivel y con un nivel de dificultad equivalente. La AEPD acompaña esto con nuevos ejemplos y ofreciendo indicaciones sobre el color, el tamaño y el lugar en el que aparecen.
En lo que respecta a las cookies de personalización, la versión previa de la Guía de cookies ya establecía que, cuando es el propio usuario quien toma decisiones sobre ellas (como la elección del idioma o de la moneda), se trataría de cookies técnicas que no requieren de consentimiento, si bien no podrían ser usadas para otras finalidades. La AEPD actualiza ahora este criterio y señala que, cuando el editor adopte este tipo de decisiones sobre las cookies de personalización basándose en la información que ha obtenido del usuario, el editor deberá ofrecer de forma destacada la opción de aceptarlas o rechazarlas, sin que pueda usarlas para otras finalidades.
Por otra parte, y en cuanto a los muros de cookies, la Guía ya precisaba que, para que el consentimiento fuera válido, el acceso al servicio no podía condicionarse a que el usuario consintiese el uso de tales cookies. Ahora bien, ello no era óbice para que la no aceptación del uso de cookies pudiera impedir el acceso al servicio, siempre y cuando se informase al usuario y se ofreciese una alternativa de acceso al servicio. La Guía clarifica en esta nueva versión que dicha alternativa no tendrá por qué ser gratuita.
Los nuevos criterios incorporados a la Guía deberán implementarse, a más tardar, el 11 de enero de 2024, esto es, seis meses después de la publicación de la Guía.
Puede encontrar la Guía completa aquí.
La AEPD emite un informe sobre la legitimación del tratamiento en el intercambio de información de la historia clínica de trabajadores entre los médicos del Servicio Público de Salud y los médicos de las Mutuas
Como expone la consulta, las Mutuas y los Servicios Públicos de Salud de cada una de las comunidades autónomas (en adelante, “SPS”) vienen desde hace un tiempo analizando cómo compartir la información clínica que tenga cada uno de los trabajadores protegidos por las Mutuas. Así, resultaría conveniente, por un lado, que los médicos de las Mutuas, a la hora de desarrollar las actividades que tienen legalmente encomendadas, tuvieran acceso telemático a la información clínica que pudieran tener los SPS sobre los trabajadores mencionados; y, por otro lado, que los médicos de los SPS tuvieran acceso telemático a las historias clínicas de los trabajadores referidos.
Recuerda la AEPD que, si bien el RGPD establece unos supuestos que excepcionan la prohibición de tratamiento de categorías especiales de datos (como serían los datos de salud), los Estados miembros tienen la facultad de introducir regulaciones ad hoc para adaptar la realidad de cada sector y garantizar una protección efectiva de la ciudadanía. La Agencia, tras analizar el marco regulatorio aplicable en España a estos tratamientos (véanse, entre otras, la Ley General de Seguridad Social o la Ley básica reguladora de la autonomía del paciente), concluye:
- Que el acceso a las historias clínicas tanto de atención primaria como especializada por parte de los servicios de inspección médica a los efectos de evaluar la capacidad laboral del trabajador en relación con los procesos de incapacidad temporal queda amparado por la normativa.
- Que el acceso a la historia clínica en los términos que plantea la consulta supone que médicos que no hayan participado en el proceso asistencial del paciente conozcan determinada información confidencial, por lo que dicho tratamiento, para que sea conforme al derecho a la protección de datos, deberá realizarse única y exclusivamente con las finalidades de evaluación, control y seguimiento de los procesos de incapacidad temporal con las limitaciones cualitativas y cuantitativas propias de la finalidad a la que sirve el acceso. Así, no quedaría amparado un acceso indiscriminado a toda la historia clínica, dado que se consultarían también acontecimientos que, por su cualidad y temporalidad, no estarían relacionados con el proceso de incapacidad temporal a evaluar.
- Que, a efectos de dotar de eficacia a lo descrito en el apartado anterior, la AEPD propone la articulación de mecanismos, tales como los registros de acceso a la historia clínica, quedando registrado, como mínimo, la identificación del profesional que accede, la finalidad, la fecha y hora del acceso y la información consultada.
- Que, si bien el tratamiento de datos por los SPS y las mutuas en los procedimientos de incapacidad temporal se encontraría legitimado por los artículos 6.1.e y 9.2.h del RGPD, dicha legitimación no permite un intercambio de información de la historia clínica como el pretendido, ya que este tipo de tratamientos deben llevarse a cabo en los términos y con observancia de las limitaciones y garantías específicas de la protección de datos, que no han previsto dicho intercambio generalizado.
- Por último, que el tratamiento pretendido podría ser contrario al principio de confidencialidad del artículo 5.1.f del RGPD y que el consentimiento, en este contexto, no se considera una base de legitimación adecuada por no entenderse libremente otorgado.
Puede encontrar el informe aquí.
d. Otras noticias relevantes
Propuesta de Reglamento por el que se establecen normas procedimentales adicionales en lo que se refiere a la garantía del cumplimiento del Reglamento 2016/679
Las autoridades de protección de datos y los órganos jurisdiccionales de cada uno de los Estados miembros son quienes velan en primera línea por el cumplimiento del RGPD. En aquellos asuntos que afectan a más de un Estado miembro, aplica el mecanismo conocido como ventanilla única, en virtud del cual la autoridad donde se encuentre establecido el investigado es quien, en cooperación con las otras autoridades, lleva a cabo la investigación. Ahora bien, las autoridades de protección de datos, a la hora de resolver las diferentes solicitudes, aplican la normativa nacional correspondiente. Ello conlleva que existan ciertas diferencias de procedimiento entre las diversas autoridades que dificultan y obstaculizan el funcionamiento fluido y eficaz de los mecanismos de cooperación.
Tras dos años de rodaje del RGPD, en 2020, la Comisión emitió una comunicación en la que ponía de manifiesto la necesidad de mejorar la armonización europea en cuestión de asuntos transfronterizos. Dio así comienzo un periodo de reflexión al final del cual adoptó una declaración sobre cooperación (disponible en inglés), culminando todo ello en 2022 con la elaboración de una lista de catorce grandes bloques de cuestiones (disponible en inglés).
Ahora, la Comisión ha formulado una propuesta de Reglamento para mejorar la cooperación entre las autoridades de protección de datos a la hora de aplicar el RGPD en asuntos transfronterizos. Entre las diferentes novedades que establece el nuevo Reglamento, se encuentran:
- Forma de las reclamaciones y posición de los reclamantes
- Establecimiento de un formulario en el que se especifica la información requerida para todas las reclamaciones relativas al tratamiento transfronterizo.
- Concreción de las normas de procedimiento para la participación de los reclamantes en el procedimiento, incluido su derecho a dar a conocer su opinión.
- Especificación de las normas de procedimiento para el rechazo de reclamaciones.
- Clarificación de las funciones de la autoridad de control principal y de la autoridad de control ante la que se presentó la reclamación.
- Derechos procesales
- Reconocimiento del derecho de las partes a ser oídas en las fases clave del procedimiento.
- Aclaración del contenido del expediente administrativo y de los derechos de acceso de las partes al expediente.
- Cooperación y la resolución de conflictos
- Establecimiento de un marco que permita a las autoridades influir en una fase temprana y de forma significativa en un asunto transfronterizo. Ello, junto con la posibilidad de que el CEPD intervenga y resuelva cualquier desacuerdo mediante una decisión vinculante urgente, suponen dos herramientas con las que la Comisión espera facilitar la creación de consenso y reducir la probabilidad de que se produzcan desacuerdos en una fase posterior del procedimiento.
- En el marco del procedimiento de resolución de conflictos, concreción de la información que debe ser facilitada a la autoridad de control principal, establecimiento de plazos y aclaración de todos los agresores.
Disponible el texto integral en castellano (y su anexo) y en inglés (y su anexo).
Se aprueban en el BOE los modelos de presentación de reclamaciones ante la AEPD
El pasado lunes, 10 de julio, se publicaron en el Boletín Oficial del Estado (en adelante, “BOE”) los diferentes modelos de presentación de denuncias ante la AEPD. La resolución, emitida por la Directora de la AEPD (actualmente, Mar España), señala que se establece un modelo normalizado general de reclamación y seis modelos específicos referidos a distintos tratamientos de datos personales. En caso de que el interesado presente una reclamación que tenga un modelo específico a través del modelo general, la solicitud no surtirá efectos y se le comunicará al interesado para que lo subsane.
Como decimos, los modelos aprobados son siete, a saber:
- Modelo general de reclamación.
- Modelo específico de reclamación por desatención por el responsable del tratamiento de una solicitud de ejercicio de derechos ARCO Plus.
- Modelo específico de reclamación por la recepción de publicidad directa no deseada.
- Modelo específico de reclamación por la instalación de dispositivos de videovigilancia.
- Modelo específico de reclamación por determinados incumplimientos en el tratamiento de datos personales vinculados a deudas.
- Modelo específico de reclamación del canal prioritario.
- Modelo específico de reclamación por violación de la seguridad de los datos personales.
Puede encontrar la resolución publicada en el BOE en el siguiente enlace.
2. Propiedad Intelectual
Nuevo Reglamento del Registro de la Propiedad Intelectual
El Gobierno, en cumplimiento de los compromisos adquiridos ante la Unión Europea para reforzar los derechos de autor y derechos conexos, ha aprobado mediante el Real Decreto 611/2023, de 11 de julio, el nuevo Reglamento del Registro de la Propiedad Intelectual. El texto sustituye al hasta ahora conocido como Reglamento del Registro General de la Propiedad Intelectual, aprobado en 2003, y persigue adaptar el Registro a la transformación digital que desde hace unos años vienen viviendo nuestras Administraciones Públicas.
Ahora bien, la apuesta por la digitalización de un Registro que data de 1847 no es la única novedad que presenta el Reglamento. Así, encontramos, entre otras, las siguientes:
- La exigencia de hacer constar el nombre y apellidos del autor en las obras divulgadas mediante seudónimo (acabando así con el registro anónimo bajo seudónimo).
- La posibilidad de suspender los plazos en la resolución de solicitudes y/o impugnación de las mismas cuando deba requerirse al interesado para la subsanación de defectos o aportación de documentación necesaria.
- La posibilidad de consultar con fines de investigación los ejemplares identificativos de las obras que hayan pasado a dominio público.
Puede encontrar la nueva norma a través de este enlace.
El TJUE establece que la Comisión Europea no queda vinculada por la apreciación previa de las autoridades nacionales en materia de solicitudes de registro de nombres como indicaciones geográficas protegidas
En el año 2014 fueron registrados como denominaciones de origen protegidas (en adelante, “DOP”) los nombres “Jambon sec de Corse”/“Jambon sec de Corse — Prisuttu”, “Lonzo de Corse”/ “Lonzo de Corse — Lonzu” y “Coppa de Corse”/ “Coppa de Corse — Coppa di Corsica”. Un año más tarde, en 2015, el Consorcio de Charcuteros de Córcega solicitó igualmente el registro de una serie de nombres como indicaciones geográficas protegidas (en adelante, “IGP”), a saber: “Jambon sec de l’Île de Beauté”, “Lonzo de l’Ȋle de Beauté” y “Coppa de l’Ȋle de Beauté”.
En 2018, las autoridades francesas acordaron la homologación de los pliegos de condiciones correspondientes, para su posterior transmisión y aprobación por la Comisión Europea. Ahora bien, el titular de los pliegos de condiciones de las DOP solicitó la anulación de tales decretos por riesgo de confusión de los nombres registrados como IGP con los registrados como DOP, ya que el término “Ȋle de Beauté” imitaba o evocaba al término “Corse”. El Consejo de Estado francés desestimó la solicitud por entender que el empleo de términos diferentes y la diferente protección conferida a unos nombres y a otros permitían evitar el riesgo de confusión. No obstante, la Comisión denegó el registro de las IGP por considerar que es conocido por los consumidores franceses en general que el término “Ȋle de Beauté” alude inequívocamente a Córcega.
Tras examinar el recurso interpuesto por el Consorcio de Charcuteros de Córcega por el que se solicitaba la anulación de la decisión de la Comisión Europea, el TJUE concluye:
- Que tanto las DOP como las IGP deberán hacer constar en su pliego de condiciones el nombre que vaya a protegerse, tal y como se utilice dicho nombre en el comercio o en el lenguaje común, y que la Comisión deberá comprobar que ese uso no vulnere la protección contra cualquier uso indebido, imitación o evocación. Así, la Comisión no puede quedar obligada a aprobar el registro de un nombre si considera que su uso es ilícito.
- Que la Comisión someterá las solicitudes a un examen suficiente como para garantizar que (i) no contenga errores manifiestos y (ii) que en el proceso se hayan tenido en cuenta tanto las disposiciones aplicables como los intereses de las partes implicadas.
- Que la Comisión dispone de un margen de apreciación diferente en el procedimiento de registro de un nombre, en función si se trata de la primera fase (en la que se examina el expediente tramitado ante la autoridad nacional) o de la segunda (en la que la Comisión realiza su propio examen de la solicitud). Así, mientras que, en la primera, la Comisión únicamente dispone de un margen de apreciación limitado o, incluso, inexistente, en la segunda la Comisión dispone de un margen de apreciación autónomo.
- Que no puede invocarse la fuerza de cosa juzgada de una resolución emitida por un órgano jurisdiccional nacional para cuestionar la apreciación autónoma de la Comisión en un procedimiento de registro de un nombre.
Puede consultar la resolución completa aquí.
3. Juego
Publicada la nueva Ley de Juego de Galicia
El Diario Oficial de Galicia ha publicado ya la nueva Ley de Juego de Galicia. La norma, aprobada el pasado 27 de junio en el Parlamento Gallego, aporta seguridad jurídica al sector y sienta las bases para un futuro reglamento. Entre las principales novedades que introduce la ley, encontramos la drástica reducción del plazo de cancelación de autorizaciones por cese de actividad sin causa justificada (de 36 meses a 30 días naturales), la introducción de la distancia radial de 300 metros entre establecimientos de juego y centros de enseñanza a menores o centros de rehabilitación de jugadores patológicos y la obligatoriedad de instalar un control de acceso para impedir la entrada a menores y a personas excluidas de acceso al juego.
Puede consultar el texto íntegro de la nueva Ley a través del siguiente enlace.
Se abre el proceso de información pública al sistema de monitorización de la información de la DGOJ
El Ministerio de Consumo abrió el pasado 7 de julio el trámite de información pública en relación con una resolución de la Dirección General de Juego (en adelante, “DGOJ”) relativa al sistema de monitorización de la información y a la modificación de dos resoluciones de la mencionada Dirección sobre especificaciones técnicas e identificación y prohibiciones subjetivas a la participación en las actividades de juego.
Esta iniciativa viene en gran medida impulsada por las recientes novedades normativas en el sector (véase el Real Decreto 958/2020, de comunicaciones comerciales de las actividades de juego, y el Real Decreto 176/2023, por el que se desarrollan entornos más seguros de juego), las cuales han supuesto para los operadores de juego una serie de obligaciones cuyo cumplimiento desea monitorizar la DGOJ.
El plazo para la remisión de aportaciones por parte de ciudadanos, organizaciones y asociaciones permanecerá abierto hasta las 12:00 del día 7 de diciembre de 2023.
Puede acceder a la resolución de la DGOJ aquí.
4. Otras noticias de interés
Nuevo Código de Buen Gobierno de la Ciberseguridad
El Foro Nacional de Ciberseguridad presentó el pasado 12 de julio el nuevo Código de Buen Gobierno de la Ciberseguridad. El Código, elaborado por un grupo de expertos en la materia, persigue mejorar el buen gobierno corporativo en asuntos de ciberseguridad y facilitar la gestión y la toma de decisiones en este ámbito por parte de los órganos de gobierno de las organizaciones.
El Código se desarrolla con base en trece principios rectores en materia de gestión del riesgo asociado a la ciberseguridad y para los cuales formula una serie de recomendaciones prácticas adaptables a cualquier organización.
El documento ha sido difundido también por la Comisión Nacional del Mercado de Valores (en adelante, el “CNMV”), dado el interés que pudiera tener para las sociedades cotizadas y ante el creciente nivel de riesgo de los ciberataques.
Puede consultar el documento aquí.
