Diana Alonso, responsable de protección de datos de Eurojust: “Con el nuevo Reglamento, el nivel de protección de datos será equivalente en toda la UE”

Diana Alonso Blas lleva trabajando más de 20 años en el campo de la protección de datos. Desde 2003 es la responsable de Protección de Datos de Eurojust, un órgano que trabaja para reforzar la coordinación y cooperación entre las autoridades nacionales en la lucha contra las formas graves de delincuencia transfronteriza en la Unión Europea. El día 4 de noviembre participa como ponente en el curso del Consejo General de la Abogacía y el Consejo de Europa sobre Protección de datos de carácter personal y derecho al respeto a la vida privada y familiar, materia en la que asegura que es “mejor prevenir que curar”.

1. ¿Qué van a aprender los asistentes al curso del Consejo General de la Abogacía y el Consejo de Europa sobre Protección de datos de carácter personal y derecho al respeto a la vida privada y familiar?

Espero que los participantes de este curso descubran lo fascinante que es este terreno del derecho, se familiaricen con los instrumentos internacionales y europeos que existen en este campo y sepan cómo se aplican en la práctica en áreas específicas que forman parte de nuestra vida cotidiana.

2. ¿A qué tipo de profesionales va dirigido?

El curso está dirigido a profesionales del derecho, especialmente abogados, jueces y fiscales que han sido seleccionados teniendo en cuenta su conocimiento y experiencia previa en este campo así como su interés en la materia.

3. ¿Cuál es su labor como responsable de protección de datos de Eurojust?

Como responsable de la protección de datos en Eurojust tengo la obligación de garantizar, de manera independiente, la legalidad y el cumplimiento de las disposiciones del marco legal aplicable a Eurojust en lo que respecta al tratamiento de datos personales.

Como unidad de cooperación en el área judicial europea, Eurojust necesita tratar datos personales relativos a personas que, en virtud del Derecho nacional de los Estados miembros de que se trate, sean objeto de investigación o de actuaciones penales, victimas o testigos. Datos por tanto de carácter sensible y que deben tratarse con absoluto respeto de los derechos de todas las personas implicadas y con la más absoluta confidencialidad.

4. ¿En qué áreas está trabajando actualmente su departamento?

¡Demasiadas para enumerarlas en unas pocas líneas! Mi departamento tiene como principal labor monitorizar y asegurar el cumplimiento interno de las normas dentro de la organización, lo que conlleva auditorías de los sistemas, pero también requiere una gran inversión en informar, educar y asesorar a todos aquellos que trabajan en Eurojust, no solo cuando lo piden sino también de forma proactiva.

Pero también invertimos tiempo y esfuerzo en seguir, y participar dentro de lo posible, en las discusiones que tienen lugar a nivel europeo y en el Consejo de Europa en el área de la protección de datos  y seguimos de cerca la jurisprudencia de la Corte de Justicia Europea.

5. En octubre del año pasado se conoció la sentencia Schrems sobre transferencia internacional de datos. ¿Cuáles han sido sus principales consecuencias?

Hay un antes y un después del caso Schrems en el área de transferencia internacional de datos a nivel mundial, más allá de la Unión Europea. Es un poco el caso de David contra Goliath, un joven activista austriaco contra una compañía como Facebook. El resultado de la sentencia va más allá de que, simplemente, la decisión del puerto seguro con los Estados Unidos se haya declarado inválida. En realidad si se aplica el razonamiento de la Corte correctamente se puede llegar a la misma conclusión en cuanto al uso de los otros posibles mecanismos de transferencia de datos a Estados Unidos.

Pero, desde mi punto de vista, la parte más interesante de la sentencia es la relativa a la interpretación del concepto del nivel de protección adecuado y el ejercicio de los poderes de las autoridades de control, así como la clara crítica de la Corte a la Comisión Europea en cuanto al ejercicio de sus funciones.

6. ¿Influyó esta sentencia en la redacción del nuevo Reglamento de Protección de Datos?

El Reglamento estaba ya prácticamente finalizado cuando la sentencia salió a la luz, pero sin duda alguna se ha revisado para reflejar los elementos más destacados de la sentencia.

7. ¿Qué novedades ofrece este Reglamento respecto a la normativa anterior?

En cuanto al contenido, se podría decir que es más una evolución que una revolución. Los principios son los mismos que existían desde el Convenio nº 108 del Consejo de Europa, pero algo más desarrollados y con algunas modificaciones teniendo en cuenta la evolución de la tecnología y lo aprendido de la aplicación práctica de la protección de datos en la UE en todos estos años. Pero, fundamentalmente, el mayor cambio es que es un reglamento, de aplicación directa, y no una directiva, con lo que por fin lograremos tener un nivel de protección de datos equivalente en toda la UE. Además, se creará una situación más clara y transparente para los consumidores y las empresas y autoridades públicas que deben aplicar el reglamento.

8. Sin duda, la privacidad y la protección de datos son temas que preocupan a la mayoría de ciudadanos, especialmente los datos que compartimos en Internet o al descargarnos ciertas aplicaciones. ¿Cómo proteger nuestros datos en las acciones que realizamos día a día?

En realidad es una cuestión de sentido común más que nada: prestar atención a las medidas de seguridad como contraseñas y demás, pero sobre todo la clave es tener cuidado con lo que se publica en Internet o se comparte en línea, porque una vez los datos están en el dominio público es muy difícil hacerlos desaparecer. En ese sentido, por mucho que se hable del derecho al olvido, y a pesar de la sentencia de la Corte de Justicia en el caso Google contra España, el efecto es limitado y la información sigue estando disponible si uno sabe buscar en Internet. Así que mejor prevenir que curar.

9. ¿Están trabajando bien las instituciones europeas y nacionales para informar a la ciudadanía sobre las políticas de protección de datos? ¿Qué acciones divulgativas deberían realizar las instituciones?

Desde mi punto de vista la labor de divulgación debería de empezar en las escuelas y continuar a todos los niveles. Las autoridades de control de protección de datos dedican bastante atención a este tema y se ha mejorado mucho en los últimos años en el nivel de concienciación del público en general, pero se podría hacer mucho más, sobre todo usando los medios que interesan a los jóvenes de hoy en día: Internet, Twitter, Facebook…

10. Una de las quejas más frecuentes de los usuarios es la longitud y, sobre todo, complejidad de las cláusulas sobre protección y cesión de datos. De hecho, mucha gente acepta sin siquiera leer lo que está autorizando. ¿Qué se podría hacer en este terreno?

Sinceramente entiendo perfectamente esta queja y yo misma, a pesar de estar tan metida en el tema, pierdo a veces la paciencia cuando estoy navegando en Internet y tengo que aceptar cookies o leer una política de varias páginas si quiero acceder a un sitio.

Deberíamos de ir más a un sistema europeo de “privacy seals”: uso de logos que permitieran a los usuarios ver directamente si una página web respeta la legislación europea de protección de datos o no. Las autoridades de protección de datos y asociaciones de consumidores deberían unir fuerzas en este campo.