¿Y por qué no una Mediación en Protección de Datos?

El pasado 16 de enero, el Consejo de Ministros aprobó  "un Anteproyecto de Ley de Impulso de la Mediación para la resolución extrajudicial de conflictos en los ámbitos civil y mercantil de una forma más ágil y con un menor coste económico y personal para las partes... Busca también descongestionar la carga de trabajo de los juzgados y acortar así los tiempos de respuesta de la Justicia".

El Anteproyecto ha sido criticado porque "la nueva regulación 'supera' el modelo de mediación actualmente vigente, basado en su carácter exclusivamente voluntario, por el denominado de 'obligatoriedad mitigada', que obliga a los litigantes a asistir a una sesión informativa y exploratoria en los seis meses previos a la interposición de la demanda en un número tasado de materias".

La semana pasada se celebró el Primer Congreso de Delegados de Protección de Datos y allí defendí, una vez más, la posibilidad -y conveniencia- de la figura del Mediador en Protección de Datos, a la luz no sólo del Reglamento General de Protección de Datos (RGPD) de la Unión Europea, sino también de la nueva Ley Orgánica de Protección de Datos y Garantías de Derechos Digitales.

La función de intermediación del DPD

Aunque no aparece entre las 'funciones' del DPD (art. 39), sino en su 'posición' (art. 38), dice el RGPD que: "Los interesados podrán ponerse en contacto con el delegado de protección de datos por lo que respecta a todas las cuestiones relativas al tratamiento de sus datos personales y al ejercicio de sus derechos al amparo del presente Reglamento".

La nueva LOPD desarrolla esta función -de interlocución o intermediación- del DPD, entre los clientes y la empresa o entre los ciudadanos y la administración pública, en el art. 37: "Intervención del delegado de protección de datos en caso de reclamación ante las autoridades de protección de datos", así como también en el art. 65. Admisión a trámite de las reclamaciones.

Estos dos artículos, que fueron una novedad en el Proyecto de la nueva LOPD respecto del RGPD, no han sufrido grandes modificaciones en su tramitación, pese a una enmienda presentada por el PDeCAT (núm. 141) que proponía la supresión del segundo apartado del art. 37 y reservar la intervención del DPD solamente para las reclamaciones vinculadas al ejercicio de derechos.

Dos supuestos

La nueva LOPD contempla dos supuestos distintos: el primero es que un cliente o ciudadano, antes de presentar una reclamación ante la AEPD, se 'dirija' al DPD de la empresa o la administración pública correspondiente (aunque no dice aquí en qué consiste ‘dirigirse’, más abajo dice que es una reclamación); y el segundo es que el afectado presente directamente la reclamación ante la AEPD.

En el primer caso (dice el apartado 1 del art. 37): "el DPD comunicará al afectado la decisión que se hubiera adoptado en el plazo máximo de dos meses a contar desde la recepción de la reclamación". Pero no queda muy claro el papel de esa 'intervención'. Si es de mera interlocución y de comunicación de la decisión de la empresa, o si puede ser de verdadera 'mediación' y la resolución ser suya.

En el segundo caso (apartado 2 del art. 37), "la AEP podrá remitir la reclamación al DPD a fin de que este responda en el plazo de un mes" y "si transcurrido dicho plazo, el DPD no hubiera comunicado a la AEPD (o a la autoridad autonómica competente) la respuesta dada a la reclamación, dicha autoridad continuará el procedimiento".

El Mediador de Protección de Datos

Ante este nuevo marco regulatorio, se plantean las siguientes preguntas:

- ¿Cabe que el DPD, aparte de las funciones que le son propias, pueda ejercer las funciones de Mediación entre los titulares de los datos y los responsables y encargados del tratamiento, sean empresas o administraciones públicas?

- En caso afirmativo, ¿sería posible que realizara esas funciones de Mediación un DPD interno o sería deseable y recomendable, para garantizar al máximo su independencia, que el DPD-Mediador fuera externo?

- ¿Hay algún obstáculo para que existan Mediadores de Protección de Datos que no sean Delegados de Protección de Datos y a los que puedan recurrir estos o las empresas o administraciones públicas que no dispongan de DPD?

Ventajas para todos

Más allá de estas preguntas y de la necesidad de aclarar la naturaleza y regular el procedimiento de la mediación, estamos seguros de que puede ser beneficiosa para todos: para los 'afectados', para las empresas y para la AEPD.

- Para los titulares, porque, aparte de una respuesta a su reclamación, podrían recibir una indemnización por daños y perjuicios sufridos (art. 82.1 RGPD), mientras que las multas de la AEPD se ingresan en Hacienda.

- Para las empresas, porque así tienen satisfechos a sus clientes y seguro que les sale más barato pagarles una indemnización a ellos que pagar una multa a la AEPD, con el coste añadido del desprestigio mediático.

- Para la propia AEPD, porque, si se impulsa, este sistema extra-administrativo y extra-judicial de resolución de conflictos, tendrá menos trabajo; siempre que los criterios usados por los mediadores sean los mismos que los de la AEPD.

Una clave para que funcione este sistema es que los que, voluntariamente, opten por esta vía renuncien a otras vías de reclamación, administrativas o judiciales. Pero, aunque no lo hicieran, si los mediadores son profesionales con experiencia que conocen y aplican los mismos criterios que utiliza la AEPD y los tribunales, la posibilidad de que prospere la reclamación en esas otras vías, sería pequeña.