Autoridad de Control Nacional

Este elemento es un complemento de los cursos y guías de Lawi. Ofrece hechos, comentarios y análisis sobre este tema.

Basado en las Conclusiones del Abogado General de la Unión Europea, en una célebre sentencia europea sobre transferencia de datos de los usuarios de Facebook:

• Según el (denunciante), la autoridad de control nacional que conozca de una denuncia en la que se cuestione la constatación de que un país tercero ofrece un nivel de protección adecuado de los datos transferidos, y que disponga de elementos probatorios del carácter fundado de las alegaciones formuladas en dicha denuncia, tiene la facultad de ordenar la suspensión de la transferencia de datos llevada a cabo por la empresa designada en la referida denuncia.
• Habida cuenta de la obligación del comisario de proteger los derechos fundamentales del (denunciante), este último sostiene que el comisario no solo tiene la obligación de iniciar una investigación, sino que, en caso de admitirse una denuncia, también debe ejercitar sus facultades para suspender el flujo de datos entre Facebook Ireland y Facebook USA.
• Pues bien, el comisario archivo la denuncia sobre la base de las disposiciones contenidas en la Ley de protección de datos que enumeran sus facultades. Dicha conclusión se basa en la opinión del comisario de que está vinculado por la Decisión 2000/520.
• De ello se desprende que el núcleo principal del presente asunto consiste en determinar si la apreciación de la Comisión sobre la adecuación del nivel de protección manifestada en la Decisión 2000/520 es vinculante en términos absolutos para la autoridad nacional de protección de datos y le impide investigar las alegaciones que pongan en duda dicha apreciación. (Tal vez sea de interés más investigación sobre el concepto).
  

  Una Conclusión

  Por consiguiente, mediante las cuestiones prejudiciales se pretende que se dilucide el alcance de las facultades de investigación de las autoridades nacionales de protección de datos en caso de existir una decisión de adecuación de la Comisión.

• Según la Comisión, es importante tener en cuenta la articulación entre las facultades respectivas de ésta y de las autoridades nacionales de protección de datos. Las competencias de estas últimas se centran en la aplicación de la legislación en esta materia a casos concretos, mientras que la Comisión es competente para revisar con carácter general la aplicación de la Decisión 2000/520, incluida toda decisión que implique su suspensión o derogación.
• La Comisión alega que el (denunciante) no ha formulado ninguna alegación concreta que sugiera que corría el riesgo inminente de sufrir daños graves a raíz de la transferencia de datos entre Facebook Ireland y Facebook USA. Al contrario, por su naturaleza abstracta y general, la preocupación manifestada por el (denunciante) sobre los programas de vigilancia establecidos por las agencias de seguridad estadounidenses son idénticas a las que llevaron a la Comisión a iniciar la revisión de la Decisión 2000/520.
• Según la Comisión, las autoridades de control nacionales interferirían en las competencias que le han sido conferidas para renegociar las condiciones de dicha Decisión con Estados Unidos o, en su caso, suspender sus efectos, si adoptasen medidas sobre la base de denuncias en las que solo se manifiestan preocupaciones estructurales y abstractas.
• No comparte el Abogado General la opinión de la Comisión. (Tal vez sea de interés más investigación sobre el concepto). A su parecer, la existencia de una decisión adoptada por la Comisión sobre la base del artículo 25, apartado 6, de la Directiva 95/46 no puede anular, ni siquiera mermar, las facultades de que disponen las autoridades de control nacionales en virtud del artículo 28 de dicha Directiva. A diferencia de lo que afirma la Comisión, considera el Abogado General que nada obsta a que las autoridades de control nacionales que conozcan de denuncias individuales, en virtud de sus facultades en materia de investigación y de su independencia, lleguen a sus propias conclusiones sobre el nivel de protección general ofrecido por un tercer país y extraer las consecuencias que se derivan de dichas conclusiones en sus decisiones sobre casos individuales.
• Según reiterada jurisprudencia del Tribunal de Justicia, para interpretar una disposición de Derecho de la Unión procede tener en cuenta, no solo su tenor literal, sino también su contexto y los objetivos perseguidos por la normativa de la que forma parte. (Véase, en especial, la sentencia Koushkaki (C‑84/12, EU:C:2013:862), apartado 34 y jurisprudencia citada)
• Del considerando 62 de la Directiva 95/46 se desprende que «la creación de una autoridad de control que ejerza sus funciones con plena independencia en cada uno de los Estados miembros constituye un elemento esencial de la protección de las personas en lo que respecta al tratamiento de datos personales».
• Con arreglo al artículo 28, apartado 1, párrafo primero, de dicha Directiva, «los Estados miembros dispondrán que una o más autoridades públicas se encarguen de vigilar la aplicación en su territorio de las disposiciones adoptadas por ellos en aplicación de la presente Directiva». Dicha Directiva, en su artículo 28, apartado 1, párrafo segundo, establece que «estas autoridades ejercerán las funciones que les son atribuidas con total independencia».
• El artículo 28, apartado 3, de la Directiva 95/46 enumera las facultades de cada autoridad de control, a saber, poderes de investigación, poderes efectivos de intervención que les permiten, en especial, prohibir provisional o definitivamente un tratamiento, y capacidad procesal en caso de infracciones a las disposiciones nacionales adoptadas en aplicación de dicha Directiva o de poner dichas infracciones en conocimiento de la autoridad judicial.
• Además, en virtud del artículo 28, apartado 4, párrafo primero, de la Directiva 95/46, «toda autoridad de control entenderá de las solicitudes que cualquier persona […] le presente en relación con la protección de sus derechos y libertades respecto del tratamiento de datos personales». El artículo 28, apartado 4, párrafo segundo, de dicha Directiva precisa que «toda autoridad de control entenderá, en particular, de las solicitudes de verificación de la licitud de un tratamiento que le presente cualquier persona cuando sean de aplicación las disposiciones nacionales tomadas en virtud del artículo 13 de [la citada] Directiva». Cabe precisar que esta última disposición permite a los Estados miembros adoptar medidas legales para limitar el alcance de diversas obligaciones y derechos previstos en la Directiva 95/46, siempre que dicha limitación constituya una medida necesaria, especialmente por motivos de seguridad del Estado, defensa, seguridad pública y prevención, investigación, detección y represión de infracciones penales.
• Como ya ha señalado el Tribunal de Justicia, el requisito de someter el respeto de las disposiciones del Derecho de la Unión relativas a la protección de las personas físicas en lo que respecta al tratamiento de datos personales al control de una autoridad independiente, resulta asimismo del Derecho primario de la Unión, en particular, del artículo 8, apartado 3, de la Carta de los Derechos Fundamentales de la Unión Europea, y del artículo 16 TFUE, apartado 2.  Véanse, a este respecto, las sentencias Comisión/Austria (C‑614/10, EU:C:2012:631), apartado 36 y Comisión/Hungría (C‑288/12, EU:C:2014:237), apartado 47).
• Asimismo, el Tribunal de Justicia ha recordado que «la creación en cada uno de los Estados miembros de autoridades de control independientes constituye un elemento esencial del respeto a la protección de las personas en lo que respecta al tratamiento de datos personales». Véase, en especial, la sentencia Comisión/Hungría (C‑282/12, EU:C:2014:237), apartado 48 y jurisprudencia citada. Véase también, en el mismo sentido, la sentencia Digital Rights Ireland y otros (C‑293/12 y C‑594/12, EU:C:2014:238), apartado 68 y jurisprudencia citada.
• Por otro lado, el Tribunal de Justicia ha estimado que «el artículo 28, apartado 1, párrafo segundo, de la Directiva 95/46 debe interpretarse en el sentido de que las autoridades de control competentes para vigilar el tratamiento de datos personales han de disfrutar de la independencia que les permita ejercer sus funciones sin influencia externa. Esta independencia en particular excluye toda orden o influencia externa con independencia de la forma que revista, directa o indirecta, que pudiera orientar sus decisiones y, en consecuencia, poner en peligro el cumplimiento de la tarea que corresponde a dichas autoridades de establecer un justo equilibrio entre la protección del derecho a la intimidad y la libre circulación de datos personales». Véase, en especial, la sentencia Comisión/Hungría (C‑288/12, EU:C:2014:237), apartado 51 y jurisprudencia citada.
• El Tribunal de Justicia de la Unión Europea ha precisado asimismo que «la garantía de independencia de las autoridades de control nacionales trata de asegurar un control eficaz y fiable del respeto de la normativa en materia de protección de las personas físicas en lo que respecta al tratamiento de datos personales». (Sentencia Comisión/Alemania, C‑518/07, EU:C:2010:125, apartado 25) Dicha garantía de independencia se ha establecido «para reforzar la protección de las personas y de los organismos afectados por [las] decisiones [de dichas autoridades de control nacionales]» (Sentencia Comisión/Alemania, C‑518/07, EU:C:2010:125, apartado 25).
• Conforme se desprende, en particular, del considerando 10 y del artículo 1 de la Directiva 95/46, ésta tiene por objeto asegurar en el seno de la Unión «un alto nivel de protección de las libertades y derechos fundamentales en lo que respecta al tratamiento de datos personales». (Sentencia Comisión/Alemania, C‑518/07, EU:C:2010:125, apartado 22). Según el Tribunal de Justicia, «las autoridades de control previstas en el artículo 28 de la Directiva 95/46 son las guardianas de los mencionados derechos y libertades fundamentales». (Sentencia Comisión/Alemania, C‑518/07, EU:C:2010:125, apartado 23).  Véanse también, en este sentido, las sentencias Comisión/Austria (C‑614/10, EU:C:2012:631), apartado 52, y Comisión/Hungría (C‑288/12, EU:C:2014:237), apartado 53.
• Habida cuenta de la importancia del papel que desempeñan las autoridades de control nacionales en materia de protección de las personas físicas en lo que respecta al tratamiento de datos personales, sus facultades de intervención deben permanecer íntegras aun cuando la Comisión haya adoptado una decisión sobre la base del artículo 25, apartado 6, de la Directiva 95/46.
• A este respecto, cabe señalar que nada indica que los regímenes de transferencia de datos personales a terceros países estén excluidos del ámbito de aplicación material del artículo 8, apartado 3, de la Carta de los Derechos Fundamentales de la Unión Europea, que consagra al más alto nivel de la jerarquía normativa en Derecho de la Unión la importancia del control ejercido por una autoridad independiente del respeto de la normativa relativa a la protección de datos personales.
• Si las autoridades de control nacionales estuvieran vinculadas en términos absolutos por las decisiones adoptadas por la Comisión, su total independencia se vería inevitablemente cercenada. Por su papel de guardianas de los derechos fundamentales, las autoridades de control nacionales deben poder investigar, con total independencia, las reclamaciones que se les presenten, en aras del interés superior de la protección de las personas físicas en lo que respecta al tratamiento de datos personales.
• Además, como señalaron (…) el Gobierno belga y el Parlamento Europeo en la vista, no existe ningún vínculo jerárquico entre el capítulo IV de la Directiva 95/46 relativo a la transferencia de datos personales a países terceros y el capítulo VI de dicha Directiva, consagrado, en particular, a la función que desempeñan las autoridades de control nacionales.Entre las Líneas En dicho capítulo VI no hay nada que sugiera que las disposiciones relativas a las autoridades de control nacionales estén de alguna manera subordinadas a las disposiciones de otro tipo relativas a las transferencias de datos recogidas en el capítulo IV de la Directiva 95/46.
• Al contrario, se desprende expresamente del artículo 25, apartado 1, de dicha Directiva, contenido en su capítulo IV, que la autorización de la transferencia de datos personales a un país tercero que garantice un nivel de protección adecuado únicamente podrá efectuarse en cumplimiento de las disposiciones de Derecho nacional adoptadas con arreglo a las demás normas de dicha Directiva.
• A este respecto, procede recordar que, en virtud de dicha disposición, los Estados miembros deben prever en su legislación nacional que la transferencia a un tercer país de datos personales objeto de tratamiento o destinados a ser objeto de tratamiento con posterioridad a su transferencia, únicamente puede efectuarse cuando, sin perjuicio del cumplimiento de las disposiciones de Derecho nacional adoptadas con arreglo a las demás disposiciones de la Directiva 95/46, el país tercero de que se trate garantice un nivel de protección adecuado.
• De conformidad con el artículo 28, apartado 1, de dicha Directiva, las autoridades de control nacionales se encargan de vigilar la aplicación en el territorio de los Estados miembros de las disposiciones adoptadas por ellos en aplicación de la citada Directiva.
• La proximidad de estas dos disposiciones permite considerar que la regla enunciada en el artículo 25, apartado 1, de la Directiva 95/46, según la cual la transferencia de datos personales únicamente puede efectuarse si el país tercero destinatario garantiza un nivel de protección adecuado, forma parte de las normas cuyo cumplimiento deben supervisar las autoridades de control nacionales.
• Resulta conveniente interpretar en sentido amplio, de conformidad con el artículo 8, apartado 3, de la Carta, los poderes de las autoridades de control nacionales para investigar, con total independencia, las reclamaciones de que conozcan en virtud del artículo 28 de la Directiva 95/46.
  

  Una Conclusión

  Por consiguiente, dichos poderes no pueden verse mermados por los poderes conferidos por el legislador de la Unión a la Comisión, en virtud del artículo 25, apartado 6, de la citada Directiva, para hacer constar el carácter adecuado del nivel de protección ofrecido por un país tercero.

• Habida cuenta de su papel fundamental en materia de protección de datos personales, las autoridades de control nacionales deben poder abrir una investigación cuando se les presenten reclamaciones en las que se aporten elementos que permitan poner en duda el nivel de protección garantizado por un país tercero, incluso cuando la Comisión haya declarado, en una decisión adoptada sobre la base del artículo 25, apartado 6, de la Directiva 95/46, que el país tercero de que se trate garantiza un nivel de protección adecuado.
• Si, tras finalizar sus investigaciones, la autoridad de control nacional considera que la transferencia de datos impugnada socava la protección que debe garantizarse a los ciudadanos de la Unión en relación con el tratamiento de sus datos personales, podrá suspender la transferencia de datos controvertida, con independencia de la evaluación general que haya realizado la Comisión en su decisión.
• En efecto, no se discute que, en virtud del artículo 25, apartado 2, de la Directiva 95/46, el carácter adecuado del nivel de protección que ofrece un país tercero se evalúa atendiendo a todas las circunstancias concurrentes, tanto de hecho como de Derecho. Si una de dichas circunstancias cambia, de manera que pueda quedar en entredicho el carácter adecuado del nivel de protección que ofrece un país tercero, la autoridad de control nacional que conozca de una denuncia debe poder extraer las consecuencias que proceda en relación con la transferencia impugnada.
• Ciertamente, como señaló Irlanda, el comisario, al igual que las demás autoridades estatales, está vinculado por la Decisión 2000/520.Entre las Líneas En efecto, resulta del artículo 288 TFUE, párrafo cuarto, que toda decisión adoptada por una institución de la Unión será obligatoria en todos sus elementos.
  

  Una Conclusión

  Por consiguiente, la Decisión 2000/520 es vinculante para los Estados miembros, destinatarios de la misma.

• A este respecto, cabe señalar que la propia Decisión 2000/520 dispone, en su artículo 5, que «los Estados miembros adoptarán todas las medidas necesarias para cumplir[la], a más tardar en un plazo (véase más en esta plataforma general) de noventa días a partir de la fecha de su notificación a los Estados miembros».
  

  Otros Elementos

  Además, el artículo 6 de dicha Decisión confirma que «los destinatarios de [ésta] serán los Estados miembros».

• Sin embargo, considera el Abogado General que, habida cuenta de las disposiciones anteriormente referidas de la Directiva 95/46 y de la Carta, el efecto imperativo de la Decisión 2000/520 no impide que el comisario pueda investigar denuncias en las que se alegue que determinadas transferencias de datos de carácter personal efectuadas a Estados Unidos en el marco de dicha Decisión no presentan las garantías necesarias de protección exigidas por el Derecho de la Unión. (Tal vez sea de interés más investigación sobre el concepto).Entre las Líneas En otras palabras, dicho efecto vinculante no exige que deban archivarse de forma sumaria todas las denuncias de ese tipo, es decir, inmediatamente y sin apreciar su fundamento.
• Cabe añadir que se desprende, asimismo, de la sistemática del artículo 25 de la Directiva 95/46 que la declaración según la cual un país tercero garantiza o no un nivel de protección adecuado puede efectuarse o bien por los Estados miembros, o bien por la Comisión. (Tal vez sea de interés más investigación sobre el concepto).
  

  Una Conclusión

  Por consiguiente, se trata de una facultad compartida.

• La decisión de adecuación tiene por objeto autorizar la transferencia de datos personales al país tercero de que se trata. Ello no entraña que los ciudadanos de la Unión ya no puedan presentar ante las autoridades de control solicitudes de protección de sus datos personales. A este respecto, cabe señalar que el artículo 28, apartado 4, párrafo primero, de la Directiva 95/46, según el cual «toda autoridad de control entenderá de las solicitudes que cualquier persona […] le presente en relación con la protección de sus derechos y libertades respecto del tratamiento de datos personales», no prevé ninguna excepción a este principio para el caso de que la Comisión haya adoptado una decisión al amparo del artículo 25, apartado 6, de dicha Directiva.
• En este sentido, si bien una decisión adoptada por la Comisión en virtud de los poderes de ejecución que le confiere dicha disposición tiene por efecto permitir la transferencia de datos personales a un país tercero, dicha decisión no puede, en cambio, tener por efecto arrebatar todo poder a los Estados miembros y en particular a sus autoridades de control nacionales, o incluso limitar sus competencias, cuando se invoquen ante ellas supuestas violaciones de derechos fundamentales.
• Toda autoridad de control nacional debe poder ejercitar las facultades previstas en el artículo 28, apartado 3, de la Directiva 95/46, entre ellas, la de prohibir provisional o definitivamente un tratamiento de datos personales. Aunque la enumeración de los poderes, recogida en dicha disposición, no prevé expresamente facultades en relación con transferencias de datos de un Estado miembro a un país tercero, en mi opinión, dicha transferencia está incluida en el concepto de tratamiento de datos. Véanse las conclusiones del Abogado General Léger presentadas en el asunto Parlamento/Consejo y Comisión (C‑317/04, EU:C:2005:710), puntos 92 a 95. Véase, asimismo, la sentencia Parlamento/Consejo y Comisión (C‑317/04 y C‑318/04, EU:C:2006:346), apartado 56.
• Además, como resulta de la redacción de dicha disposición, la enumeración no es exhaustiva.Entre las Líneas En todo caso, habida cuenta del papel fundamental que desempeñan las autoridades nacionales de control en el sistema creado por la Directiva 95/46, éstas deben tener la facultad de suspender toda transferencia de datos en caso de que se demuestre que se ha producido una violación de los derechos fundamentales o se sospeche que pueda producirse.
• Cabe añadir que privar a las autoridades nacionales de control de sus poderes de investigación en circunstancias como las controvertidas en el caso de autos no solo sería contrario al principio de independencia, sino también al objetivo de la Directiva 95/46 que resulta del artículo 1, apartado 1, de ésta.
• Habida cuenta de la importancia de dicho objetivo y del papel que deben desempeñar los Estados miembros para alcanzarlo, cuando concurren circunstancias particulares que ponen seriamente en entredicho el respeto de los derechos fundamentales garantizados por la Carta en el marco de una transferencia de datos personales a un país tercero, los Estados miembros y, por ende, sus autoridades de control nacionales, no pueden estar vinculados en términos absolutos por una decisión de adecuación de la Comisión.
• En el presente asunto lo que se cuestiona, en particular, es la aplicación del artículo 3, apartado 1, letra b), de dicha Decisión. (Tal vez sea de interés más investigación sobre el concepto).Entre las Líneas En este sentido, en virtud de dicha disposición, las autoridades de control nacionales pueden acordar la suspensión de flujos de datos cuando «existen grandes probabilidades de que se estén vulnerando los principios; existen razones para creer que el mecanismo de aplicación correspondiente no ha tomado o no tomará las medidas oportunas para resolver el caso en cuestión; la continuación de la transferencia podría crear un riesgo inminente de grave perjuicio a los afectados; y las autoridades competentes del Estado miembro han hecho esfuerzos razonables en estas circunstancias para notificárselo a la entidad y proporcionarle la oportunidad de alegar».
• Dicha disposición establece diversos requisitos que las partes han interpretado de diferentes maneras en el presente procedimiento (Apartado 24 de la resolución de remisión). Sin entrar en los pormenores de dichas interpretaciones, de ellas se desprende que dichos requisitos delimitan de manera estricta el poder de las autoridades de control nacionales de suspender los flujos de datos.
• Pues bien, a diferencia de lo que sostiene la Comisión, el artículo 3, apartado 1, letra b), de la Decisión 2000/520 debe interpretarse de conformidad con el objetivo de protección de datos personales que persigue la Directiva 95/46, así como a la luz del artículo 8 de la Carta de los Derechos Fundamentales de la Unión Europea. El hecho de que la interpretación deba hacerse imperativamente a la luz de los derechos fundamentales aboga por que dicha disposición sea interpretada de manera amplia.
• De ello se desprende, en opinión del Abogado General, que los requisitos previstos en el artículo 3, apartado 1, letra b), de la Decisión 2000/520, no pueden impedir que una autoridad de control nacional ejerza, con total independencia, los poderes que se le confieren en virtud del artículo 28, apartado 3, de la Directiva 95/46.
• Tal como indicaron, en esencia, los Gobiernos belga y austriaco en la vista, la salida de emergencia que constituye el artículo 3, apartado 1, letra b), de la Decisión 2000/520, es tan estrecha, que es complicado utilizarla. Exige que se cumplan requisitos acumulativos y pone el listón demasiado alto. Pues bien, a la luz del artículo 8, apartado 3, de la Carta, es imposible que el margen de discrecionalidad de las autoridades de control nacionales en lo que atañe a las facultades que les confiere el artículo 28, apartado 3, de la Directiva 95/46, se vea restringido de tal manera que no puedan ejercerse.
• A este respecto, el Parlamento (Europeo) señaló (…) que fue el legislador de la Unión quien decidió los poderes que debían corresponder a las autoridades de control nacionales. Pues bien, el poder de ejecución conferido por el legislador de la Unión a la Comisión en el artículo 25, apartado 6, de la Directiva 95/46 no afecta a los poderes otorgados por este mismo legislador a las autoridades de control nacionales en el artículo 28, apartado 3, de dicha Directiva.Entre las Líneas En otros términos, la Comisión no dispone del poder de restringir las facultades de las autoridades de control nacionales.
• Por consiguiente, para garantizar un nivel de protección adecuado de los derechos fundamentales de las personas físicas en lo que respecta al tratamiento de datos personales, las autoridades de control nacionales deben tener la facultad de abrir una investigación cuando se invoquen ante ellas vulneraciones de tales derechos. Si, una vez finalizada la investigación, dichas autoridades consideran que existen serios indicios de que en un país con respecto al cual se ha dictado una decisión de adecuación, se ha vulnerado el derecho de los ciudadanos de la Unión a la protección de sus datos personales, deben poder suspender la transferencia de datos al destinatario establecido en dicho país tercero.
• 118.Entre las Líneas En otras palabras, las autoridades de control nacionales deben poder llevar a cabo sus investigaciones y, en su caso, suspender una transferencia de datos, con independencia de los requisitos restrictivos establecidos en el artículo 3, apartado 1, letra b), de la Decisión 2000/520.
• Por otra parte, en virtud de su capacidad procesal en caso de infracciones a las disposiciones nacionales adoptadas en aplicación de la Directiva 95/46 o de poner dichas infracciones en conocimiento de la autoridad judicial, prevista en el artículo 28, apartado 3, de dicha Directiva, las autoridades de control nacionales, cuando tengan conocimiento de hechos que demuestren que un país tercero no garantiza un nivel de protección adecuado, deben poder acudir ante un órgano jurisdiccional nacional que, en su caso, podrá decidir plantear ante el Tribunal de Justicia una petición de decisión prejudicial para apreciar la validez de una decisión de adecuación de la Comisión.
• De todas las consideraciones anteriores se desprende que el artículo 28 de la Directiva 95/46, leído a la luz de los artículos 7 y 8 de la Carta de los Derechos Fundamentales de la Unión Europea, debe interpretarse en el sentido de que la existencia de una decisión adoptada por la Comisión sobre la base del artículo 25, apartado 6, de dicha Directiva, no tiene por efecto impedir que una autoridad de control nacional investigue una denuncia en la que se afirme que un país tercero no garantiza un nivel de protección adecuado de los datos de carácter personal transferidos y, en su caso, suspenda la transmisión de datos impugnada.

▷ Esperamos que haya sido de utilidad. Si conoce a alguien que pueda estar interesado en este tema, por favor comparta con él/ella este contenido. Es la mejor forma de ayudar al Proyecto Lawi.