¿Está preparada la Agencia de Protección de Datos para aplicar el nuevo Reglamento?

Durante estos últimos meses me han preguntado muchas veces si consideraba que estaban preparadas las empresas y las administraciones para la aplicación del nuevo Reglamento europeo de Protección de Datos. He contestado que no, que nos ha pasado lo de casi siempre: que lo dejamos todo para el final, como los malos estudiantes, y nos ha pillado el toro.

A falta de cuatro días para la aplicación del RGPD y de su régimen sancionador, ¿cuántas empresas y administraciones públicas cumplen todas las obligaciones que impone el nuevo Reglamento europeo a los responsables y los encargados de los tratamientos de datos, cuando tratan datos personales, para garantizar los derechos fundamentales de sus titulares y, en especial, su honor y su intimidad?

¿Cuántas empresas han recabado de sus clientes o contactos el consentimiento para el tratamiento de sus datos, expreso y específico para cada finalidad o uso?, ¿cuántas empresas o administraciones han evaluado los riesgos y el impacto de esos tratamientos? ¿cuántas han implantado medidas de seguridad adecuadas? ¿cuántas han designado ya un Delegado de Protección de Datos? 

¿Y la Agencia de Protección de Datos?

Pero la pregunta que también debemos hacernos es: si a partir de este viernes, 25 de mayo, los ciudadanos empiezan a presentar un aluvión de denuncias, por infracciones de empresas y administraciones al Reglamento europeo, ¿estará la Agencia Española de Protección de Datos preparada para poder hacerles frente y tramitarlas rápidamente o se colapsará?

Lo cual nos lleva, también, a preguntarnos si la AEPD se ha preparado, o mejor dicho, si la han preparado para poder dar contestación a la aplicación del RGPD. Y no me refiero sólo a la modificación de la LOPD, que está aún en tramitación y que no se aprobará hasta dentro de unos meses, sino al necesario refuerzo de sus dotaciones presupuestarias, de personal y también de medios tecnológicos.

Que nadie vea en estas preguntas una crítica al magnífico equipo de la AEPD y a su directora que, me consta, han hecho una extraordinaria labor durante estos meses, no sólo para llegar preparados -ellos- a este momento, sino, sobre todo, para ayudar a las empresas y las administraciones a adaptarse y llegar a tiempo. Pero los recursos son los que son y, a partir de ahora, se abre una nueva etapa.

¡Más madera!

En la Memoria Anual de 2016, ya decía la directora que “las consultas recibidas han superado las 236.000, un incremento del 8%, que se suma al 10% que ya se había producido en 2015 sobre 2014. En cuanto a denuncias y reclamaciones, la Agencia ha recibido más de 10.500 en 2016. Las primeras se han reducido un 6,5%, si bien las segundas se han incrementado un 24,3%”.

Y finalizaba el prólogo diciendo: “Debo reconocer la labor desempeñada por el personal de todos los departamentos de la Agencia, una plantilla cuyo número se mantiene intacto desde 2008 y que, sin embargo, asume un número cada vez mayor de tareas más complejas y se enfrenta a nuevos retos, derivados de la implementación del Reglamento”.

Pues bien, el proyecto de presupuesto para 2018 de la AEPD asciende a casi 14 millones de euros (13.960.740 €), que, respecto al presupuesto de 2017 (que fue de 13.833,130 €), supone un aumento de sólo 127.610 euros; es decir: un incremento del 0,01%. Es verdad que ha habido un incremento en el capítulo 1 (de personal) de 625.750 € (un 0,09%), pero no parece que vaya a ser una dotación suficiente.

Denuncias por ‘spam’

Como ayer contaba en este mismo periódico @maltozano, “la Justicia ha negado la potestad de denunciar el bombardeo de emails no deseados de carácter comercial (spam) en caso de que el afectado cuente con un filtro. La decisión de la Audiencia Nacional acaba de ser ratificada por el Tribunal Supremo, que ha rechazado de plano el recurso de casación presentado contra esa sentencia”.

El caso tiene que ver con una resolución de la AEPD de 13 de julio de 2015, por la que se acordaba «acumular los escritos y no incoar actuaciones inspectoras, ni iniciar procedimiento sancionador», en el caso de una persona que presentó un total de 836 denuncias contra los remitentes de los correos en poco más de un año (entre el 17 de marzo de 2014 y el 8 de julio de 2015).

Más allá de los fundamentos de la inadmisión de las denuncias por la AEPD y de la sentencia de la Audiencia Nacional y de la inadmisión del recurso por parte del Tribunal Supremo, ésta es una situación que bien podría repetirse a partir del próximo 25 de mayo, por las denuncias de los ciudadanos, ante las infracciones del RGPD que cometan las empresas y administraciones.

La “L” de prácticas.

Para poder hacer frente a los retos que va a plantear a la AEPD la aplicación del nuevo reglamento europeo, insisto en la propuesta de enmienda a la LOPD que hice hace un par de meses, para dotarle de independencia presupuestaria y mayor flexibilidad en la contratación. Si no se le puede asignar una mayor partida presupuestaria, que le dejen, al menos, gestionar las multas que ingrese.

En todo caso, el próximo viernes 25 de mayo no termina nada, sino que empieza. Es como cuando te sacas el carnet de conducir y empiezas a circular. Me parece que todos, AEPD incluida, vamos a tener que aprender cómo se circula con este nuevo Reglamento de Circulación de datos, con todas las medidas de seguridad para las personas instaladas en los ‘coches’: cinturones, sillitas para niños, etc.

Al principio nos costará a todos, también a la AEPD, pero con buena voluntad (y lealtad en el tratamiento de los datos personales) por parte de las empresas y administraciones, y con intención más pedagógica que sancionadora por parte de la Agencia, estoy seguro de que, tras el primer año de circulación con la “L” de prácticas, nos habremos hecho todos a las nuevas normas de circulación.