- Las autoridades autonómicas de protección de datos ostentarán la condición de autoridad de control principal o interesada en el procedimiento establecido por el artículo 60 del Reglamento (UE) 2016/679 cuando se refiera a un tratamiento previsto en el artículo 57 de esta ley orgánica que se llevara a cabo por un responsable o encargado del tratamiento de los previstos en el artículo 56 del Reglamento (UE) 2016/679, salvo que desarrollase significativamente tratamientos de la misma naturaleza en el resto del territorio español.
- Corresponderá en estos casos a las autoridades autonómicas intervenir en los procedimientos establecidos en el artículo 60 del Reglamento (UE) 2016/679, informando a la Agencia Española de Protección de Datos sobre su desarrollo en los supuestos en que deba aplicarse el mecanismo de coherencia.
Tratamientos Transfronterizos de Datos
El RGPD se aplica a tratamientos de datos personales que tienen una dimensión transfronteriza, es decir, cuando el tratamiento afecta a personas en más de un Estado miembro de la UE, o cuando un controlador o procesador está establecido en un país fuera de la UE pero ofrece bienes o servicios a personas en la UE o monitoriza su comportamiento.
1. Mecanismo de Ventanilla Única
El mecanismo de ventanilla única es una herramienta central para la gestión de tratamientos transfronterizos bajo el RGPD. Se basa en los siguientes principios:
- Autoridad Principal: La autoridad de protección de datos del Estado miembro en el que el controlador o procesador tiene su sede principal se considera la autoridad principal. Esta autoridad lidera el proceso de supervisión y toma decisiones sobre el tratamiento de datos.
- Autoridades Competentes: Las autoridades de protección de datos de otros Estados miembros afectados tienen el derecho de participar en el proceso si el tratamiento afecta a personas en sus jurisdicciones.
2. Procedimiento de Cooperación
Cuando un tratamiento de datos personales tiene una dimensión transfronteriza, el RGPD establece un procedimiento para la cooperación entre las autoridades de protección de datos, que incluye:
- Notificación de la Autoridad Principal: El controlador o procesador debe notificar a la autoridad de protección de datos del Estado miembro en el que tiene su sede principal (la «autoridad principal») sobre el tratamiento, especialmente si se trata de un tratamiento que puede presentar riesgos para los derechos y libertades de los interesados.
- Evaluación de Impacto: Si el tratamiento presenta un alto riesgo para los derechos y libertades de las personas, el controlador debe realizar una Evaluación de Impacto sobre la Protección de Datos (EIPD). La autoridad principal revisa esta evaluación y puede consultar a otras autoridades competentes si es necesario.
- Consultas Previo al Tratamiento: Si la autoridad principal considera que el tratamiento presenta un alto riesgo y no se han adoptado medidas adecuadas para mitigarlo, debe consultar al CEPD.
3. Intervención del CEPD
En casos de conflictos entre autoridades o cuando se necesita una interpretación uniforme del RGPD, el CEPD interviene mediante los siguientes mecanismos:
- Resolución de Conflictos: Si una autoridad nacional y la autoridad principal no logran llegar a un acuerdo sobre el tratamiento transfronterizo, el CEPD actúa para resolver el conflicto. Esto puede incluir emitir una opinión vinculante sobre cómo debe aplicarse el RGPD en el caso.
- Opiniones y Recomendaciones: El CEPD emite opiniones y recomendaciones para aclarar la interpretación del RGPD en casos específicos, especialmente en situaciones complejas o en las que hay divergencias significativas entre autoridades.
- Decisiones Vinculantes: En algunos casos, el CEPD puede emitir decisiones vinculantes que obligan a las autoridades de protección de datos implicadas a seguir la orientación proporcionada. Estas decisiones buscan garantizar la aplicación uniforme del RGPD en toda la UE.
4. Cooperación con Autoridades Internacionales
- Transferencias Internacionales de Datos: El RGPD también regula la transferencia de datos personales a países fuera de la UE. Las transferencias deben cumplir con requisitos específicos para garantizar un nivel adecuado de protección de datos. El CEPD puede coordinar con otras autoridades internacionales y proporcionar directrices sobre estas transferencias.
5. Procedimiento de Resolución
El proceso de resolución del CEPD en casos de tratamientos transfronterizos generalmente sigue estos pasos:
- Recepción de Solicitud: Una autoridad nacional o una parte interesada presenta una solicitud al CEPD para intervenir en un conflicto transfronterizo.
- Evaluación y Consulta: El CEPD revisa la documentación, consulta con las autoridades involucradas y realiza un análisis jurídico del conflicto.
- Emisión de Opinión o Decisión: Basado en su revisión, el CEPD emite una opinión o decisión vinculante sobre cómo debe aplicarse el RGPD.
- Supervisión y Implementación: Las autoridades nacionales deben implementar la decisión del CEPD y ajustar sus prácticas según sea necesario. El CEPD supervisa la implementación para asegurar el cumplimiento.