Reglamento (UE) 2018/1807 del Parlamento Europeo y del Consejo, de 14 de noviembre de 2018, relativo a un marco para la libre circulación de datos no personales en la Unión Europea (Texto pertinente a efectos del EEE.)

El presente Reglamento tiene por objeto garantizar la libre circulación en la Unión de datos que no tengan carácter personal mediante el establecimiento de normas relativas a los requisitos de localización de datos, la disponibilidad de los datos para las autoridades competentes y la portabilidad de datos para los usuarios profesionales.

1 El presente Reglamento se aplica al tratamiento en la Unión de datos electrónicos que no tengan carácter personal, que: a) se preste como un servicio a usuarios que residan o tengan un establecimiento en la Unión, independientemente de si el proveedor de servicios está establecido o no en la Unión, o b) efectuado por una persona física o jurídica que resida o tenga un establecimiento en la Unión para sus propias necesidades.

2 En el caso de un conjunto de datos compuesto por datos personales y no personales, el presente Reglamento se aplicará a los datos no personales del conjunto de datos. Cuando los datos personales y los no personales de un conjunto de datos estén inextricablemente ligados, el presente Reglamento se aplicará sin perjuicio del Reglamento (UE) 2016/679.

3 El presente Reglamento no se aplica a las actividades que no entren en el ámbito de aplicación del Derecho de la Unión. El presente Reglamento se aplica sin perjuicio de las disposiciones legales, reglamentarias y administrativas relativas a la organización interna de los Estados miembros y por las que se atribuyen, entre las autoridades públicas y organismos de Derecho público definidos en el artículo 2, apartado 1, punto 4, de la Directiva 2014/24/UE, competencias y responsabilidades para el tratamiento de datos sin remuneración contractual de personas o entidades privadas, así como las disposiciones legales, reglamentarias y administrativas de los Estados miembros que disponen la aplicación de dichas competencias y responsabilidades.

A los efectos del presente Reglamento, se entenderá por: 1)«datos»los datos que no sean datos personales tal como se definen en el artículo 4, punto 1, del Reglamento (UE) 2016/679;2)«tratamiento»toda operación o conjunto de operaciones que se efectúe sobre datos o conjuntos de datos en formato electrónico, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, almacenamiento, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de puesta a disposición, cotejo o interconexión, limitación, supresión o destrucción;3)«proyecto de acto»un texto redactado con el objetivo de que se convierta en una disposición legal, reglamentaria o administrativa de carácter general, que se encuentre en una fase de elaboración que permita aún efectuar modificaciones de fondo;4)«proveedor de servicios»toda persona física o jurídica que preste servicios de tratamiento de datos;5)«requisito de localización de datos»cualquier obligación, prohibición, condición, restricción u otro requisito previsto en las disposiciones legales, reglamentarias o administrativas de los Estados miembros o que se derive de prácticas administrativas generales y coherentes en un Estado miembro y en organismos de Derecho público, también en el ámbito de la contratación pública sin perjuicio de la Directiva 2014/24/UE, que imponga el tratamiento de datos en el territorio de un determinado Estado miembro o dificulte el tratamiento de datos en cualquier otro Estado miembro;6)«autoridad competente»una autoridad de un Estado miembro, o cualquier otra entidad autorizada por el Derecho nacional para desempeñar una función pública o ejercer el poder público, que tiene la facultad de obtener acceso a datos tratados por una persona física o jurídica para el ejercicio de sus funciones oficiales, conforme a lo previsto en el Derecho de la Unión o nacional;7)«usuario»una persona física o jurídica, incluidas las autoridades y organismos de Derecho público, que utiliza o solicita un servicio de tratamiento de datos;8)«usuario profesional»una persona física o jurídica, incluidas las autoridades y organismos de Derecho público, que utiliza o solicita un servicio de tratamiento de datos para fines relacionados con su actividad comercial, negocio, oficio, profesión o función.

1 Los requisitos para la localización de datos estarán prohibidos, salvo que estén justificados por razones de seguridad pública de conformidad con el principio de proporcionalidad. El párrafo primero del presente apartado no afecta a la aplicación del apartado 3 ni a los requisitos de localización de datos establecidos sobre la base del Derecho vigente de la Unión.

2 Los Estados miembros comunicarán inmediatamente a la Comisión cualquier proyecto de acto que introduzca un nuevo requisito de localización de datos o modifique uno existente, de conformidad con los procedimientos establecidos en los artículos 5, 6 y 7 de la Directiva (UE) 2015/1535.

3 A más tardar el 30 de mayo de 2021, los Estados miembros velarán por que se derogue cualquier requisito existente de localización de datos establecido en disposiciones legales, reglamentarias o administrativas que no se ajuste a lo dispuesto en el apartado 1 del presente artículo. A más tardar el 30 de mayo de 2021, si un Estado miembro considera que una disposición vigente que contenga un requisito de localización de datos cumple lo dispuesto en el apartado 1 del presente artículo y, por lo tanto, puede seguir en vigor, comunicará dicha disposición a la Comisión, junto con una justificación para mantenerla en vigor. Sin perjuicio de lo dispuesto en el artículo 258 del TFUE y en el plazo de seis meses a partir de la fecha de recepción de dicha comunicación, la Comisión examinará que dicha disposición cumpla con el apartado 1 del presente artículo y, en su caso, formulará observaciones al Estado miembro en cuestión, incluida, cuando sea necesario, la recomendación de modificar o derogar la disposición.

4 Los Estados miembros pondrán a disposición del público, a través de un punto único nacional de información en línea, información sobre todo requisito de localización de datos establecido en disposiciones legales, reglamentarias o administrativas de carácter general y aplicable en su territorio, que mantendrán actualizada, o proporcionarán información actualizada sobre tales requisitos de localización a un punto de información central establecido en virtud de otro acto de la Unión.

5 Los Estados miembros informarán a la Comisión sobre la dirección de sus puntos únicos de información a que se refiere el apartado 4. La Comisión publicará los enlaces a dichos puntos en su sitio web, junto con una lista consolidada y actualizada periódicamente de todos los requisitos de localización de datos a que se refiere el apartado 4, incluida información resumida sobre dichos requisitos.

1 El presente Reglamento no afectará a las competencias de las autoridades competentes de solicitar u obtener acceso a los datos para el desempeño de sus funciones oficiales de conformidad con el Derecho de la Unión o nacional. No podrá denegarse a las autoridades competentes el acceso a los datos alegando que son objeto de tratamiento en otro Estado miembro.

2 Cuando, tras una petición de acceso a los datos de un usuario, una autoridad competente no obtenga el acceso y no exista un mecanismo específico de cooperación en virtud del Derecho de la Unión o de convenios internacionales para el intercambio de datos entre autoridades competentes de diferentes Estados miembros, dicha autoridad competente podrá solicitar asistencia de una autoridad competente de otro Estado miembro, de conformidad con el procedimiento establecido en el artículo 7.

3 Cuando una solicitud de asistencia implique obtener acceso a todos los locales de una persona física o jurídica, incluidos cualesquiera equipos y medios de tratamiento de datos, por la autoridad requerida, dicho acceso debe ser conforme al Derecho de la Unión o al Derecho procesal del Estado miembro.

4 Los Estados miembros podrán imponer sanciones efectivas, proporcionadas y disuasorias por incumplimiento de una obligación de proporcionar datos, de conformidad con el Derecho de la Unión y nacional. En caso de abuso de derechos por parte de un usuario, un Estado miembro podrá, cuando esté justificado por la urgencia de acceder a los datos y de tener en cuenta los intereses de los afectados, imponer medidas provisionales estrictamente proporcionadas a dicho usuario. Si una medida provisional impone la relocalización de los datos por una duración superior a 180 días a partir de la relocalización, se comunicará a la Comisión dentro del plazo de esos 180 días. La Comisión, en el plazo más breve posible, examinará la medida y su compatibilidad con el Derecho de la Unión y, en su caso, adoptará las medidas necesarias. La Comisión intercambiará información con los puntos de contacto únicos de los Estados miembros a que se refiere el artículo 7 sobre la experiencia adquirida a este respecto.

1 La Comisión fomentará y facilitará la elaboración de códigos de conducta autorreguladores a escala de la Unión (en lo sucesivo, «códigos de conducta»), con el fin de contribuir a una economía de datos competitiva, basada en los principios de transparencia e interoperabilidad, que tenga debidamente en cuenta estándares abiertos y que incluya, entre otros, los siguientes aspectos: a) las mejores prácticas para facilitar el cambio de proveedores de servicios y la portabilidad en un formato estructurado, de uso común y de lectura automática, incluidos formatos basados en estándares abiertos cuando lo exija o solicite el proveedor de servicios que reciba los datos; b) los requisitos de información mínimos para garantizar que los usuarios profesionales, antes de celebrar un contrato de tratamiento de datos, reciban información suficientemente detallada, clara y transparente relativa a los procedimientos, los requisitos técnicos, los plazos y los costes aplicables en caso de que un usuario profesional desee cambiar de proveedor de servicios o transferir sus datos a sus propios sistemas informáticos; c) los enfoques de regímenes de certificación que faciliten la comparación de los productos y servicios de tratamiento de datos para usuarios profesionales, teniendo en cuenta las normas nacionales o internacionales establecidas, que facilitan la comparabilidad de estos productos y servicios. Dichos enfoques podrán incluir, entre otros, la gestión de la calidad, la gestión de la seguridad de la información, la gestión de la continuidad de negocio y la gestión medioambiental; d) los planes de comunicación que adopten un enfoque multidisciplinar para concienciar a los interesados sobre el código de conducta.

2 La Comisión garantizará que los códigos de conducta se elaboren en estrecha cooperación con todos los interesados, incluidas las asociaciones de pymes y empresas emergentes, los usuarios y los proveedores de servicios en nube.

3 La Comisión alentará a los proveedores de servicios a completar el desarrollo de los códigos de conducta a más tardar el 29 de noviembre de 2019 y a aplicarlos efectivamente a más tardar el 29 de mayo de 2020.

1 Cada Estado miembro designará un punto de contacto único que actuará de enlace con los puntos de contacto únicos de los demás Estados miembros y la Comisión en cuanto a la aplicación del presente Reglamento. Los Estados miembros notificarán a la Comisión los puntos de contacto únicos designados y cualquier modificación posterior de estos.

2 Cuando una autoridad competente de un Estado miembro solicite la asistencia de otro Estado miembro conforme al artículo 5, apartado 2, para obtener acceso a datos, formulará una solicitud debidamente motivada al punto de contacto único designado. La solicitud incluirá una explicación por escrito de los motivos y los fundamentos jurídicos para solicitar el acceso a los datos.

3 El punto de contacto único identificará a la autoridad competente de su Estado miembro y remitirá la solicitud recibida con arreglo al apartado 2 a dicha autoridad competente.

4 La autoridad competente requerida, sin demora injustificada y dentro de un plazo proporcionado en relación con la urgencia de la solicitud, proporcionará una respuesta en la que comunique los datos solicitados o informe a la autoridad competente solicitante de que no considera que se reúnan las condiciones para solicitar asistencia al amparo del presente Reglamento.

5 Toda la información intercambiada en el contexto de la asistencia solicitada y facilitada en virtud del artículo 5, apartado 2, se utilizará únicamente en relación con el asunto para el que se solicitó.

6 Los puntos de contacto únicos proporcionarán a los usuarios información general sobre el presente Reglamento, incluida información sobre los códigos de conducta.

1 A más tardar el 29 de noviembre de 2022, la Comisión presentará un informe al Parlamento Europeo, al Consejo y al Comité Económico y Social Europeo en el que evalúe la aplicación del presente Reglamento, en particular respecto a: a) la aplicación del presente Reglamento, en especial a los conjuntos de datos compuestos tanto por datos personales como no personales a la luz de la evolución del mercado y los avances tecnológicos que puedan ampliar las posibilidades para la desanonimización de datos; b) la aplicación del artículo 4, apartado 1, por parte de los Estados miembros, en particular la excepción de seguridad pública; y c) la elaboración y la aplicación efectiva de los códigos de conducta y el suministro efectivo de información por parte de los proveedores de servicios.

2 Los Estados miembros facilitarán a la Comisión toda la información necesaria para la preparación del informe a que se refiere el apartado 1.

3 A más tardar el 29 de mayo de 2019, la Comisión publicará orientaciones informativas sobre la interacción del presente Reglamento y el Reglamento (UE) 2016/679, en particular en lo que se refiere a los conjuntos de datos compuestos tanto por datos personales como no personales.

El presente Reglamento entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea. El presente Reglamento se aplicará seis meses después de su publicación.