26.7.2011   

ES

Diario Oficial de la Unión Europea

C 220/1

1.

El 24 de febrero de 2011, la Comisión adoptó una propuesta de Directiva del Parlamento Europeo y del Consejo por la que se modifican las Directivas 89/666/CEE, 2005/56/CE y 2009/101/CE en lo que respecta a la interconexión de los registros centrales, mercantiles y de sociedades (3) (en lo sucesivo, la «propuesta») y a continuación consultó al SEPD.

2.

Al SEPD le complace haber sido consultado con arreglo a lo establecido en el artículo 28, apartado 2, del Reglamento (CE) no 45/2001 y que se haya incluido una referencia al presente dictamen en el preámbulo de la propuesta.

3.

El objetivo de la propuesta es facilitar e intensificar la cooperación transfronteriza y el intercambio de información entre los registros mercantiles del Espacio Económico Europeo y, de este modo, aumentar tanto la transparencia como la fiabilidad de la información disponible con carácter transfronterizo. Unos procedimientos de cooperación administrativa eficientes en lo que respecta a los registros mercantiles son vitales para incrementar la confianza en el mercado único europeo, mediante la garantía de un entorno empresarial más seguro para los consumidores, los acreedores y otros interlocutores de las empresas, la reducción de las cargas administrativas y el aumento de la seguridad jurídica. Intensificar los procedimientos de cooperación administrativa relacionados con los registros mercantiles de Europa resulta especialmente importante en los procedimientos de fusión transfronteriza, traslado de domicilio social y actualización de los registros de empresas extranjeras, casos en que los mecanismos de cooperación son actualmente limitados o inexistentes.

4.

Con esta finalidad, la propuesta tiene por objeto modificar las siguientes Directivas:

5.

Los registros mercantiles existen en todos los Estados miembros y están organizados a nivel nacional, regional o local. En 1968 se adoptaron normas comunes para establecer las condiciones mínimas para la publicidad (registro y publicación) de información sobre las empresas (7). Desde el 1 de enero de 2007, los Estados miembros también deben mantener registros mercantiles electrónicos (8) y permitir el acceso por parte de terceros al contenido de dicho registro electrónico.

6.

La cooperación relativa a los registros mercantiles de diferentes Estados miembros es exigida explícitamente por algunos instrumentos jurídicos europeos a fin de facilitar las fusiones transfronterizas de las sociedades de capital (9) y el traslado transfronterizo de domicilio social de una Sociedad Europea (SE) (10) y de una Sociedad Cooperativa Europea (SCE) (11).

7.

En 1992, se creó un mecanismo de cooperación voluntaria en relación con los registros mercantiles de Europa. Actualmente, el Registro Europeo de Empresas (en lo sucesivo, el «EBR» por sus siglas en inglés) (12) reúne a los registros mercantiles oficiales de 19 Estados miembros y de otros 6 países europeos. Entre 2006 y 2009, el EBR participó en BRITE (13), un proyecto de investigación cuyo objetivo era crear una plataforma tecnológica que permitiera la interoperabilidad de los registros mercantiles de toda Europa. La evaluación de impacto que acompaña a la propuesta explica, no obstante, que el EBR afronta importantes retos en lo que atañe a su expansión, financiación y gobernanza. Según dicho documento, el actual mecanismo de cooperación no resulta satisfactorio para los usuarios potenciales.

8.

La exposición de motivos que acompaña a la propuesta señala que el Portal Europeo de e-Justicia (14) está destinado a convertirse en el principal punto de acceso a información jurídica, y a las instituciones, los registros, las bases de datos y otros servicios jurídicos y administrativos de la UE. Asimismo confirma que la propuesta es complementaria al proyecto de justicia en red y se considera que contribuirá a facilitar la obtención de información a través del portal.

9.

Con arreglo a lo indicado en la evaluación de impacto, otro proyecto destacable con sinergias potenciales, es el Sistema de Información del Mercado Interior (IMI) (15), herramienta electrónica cuya finalidad es sustentar la cooperación administrativa cotidiana entre las Administraciones públicas, en el contexto de la Directiva de servicios (2006/123/CE) y la Directiva relativa a cualificaciones profesionales (2005/36/CE). El IMI está actualmente en proceso expansión y, según la evaluación de impacto, podría servir también de apoyo en la aplicación de otras directivas, incluido el ámbito del Derecho de sociedades.

10.

El artículo 3 de la propuesta modifica varios aspectos de la Directiva 2009/101/CE, de los cuales dos poseen una relevancia significativa en materia de protección de datos.

11.

El artículo 2 de la Directiva 2009/101/CE actualmente vigente ya exige que en el registro mercantil de cada Estado miembro se publique determinada información mínima para permitir que los terceros conozcan indicaciones relativas a las sociedades. Tal como se ha explicado en el apartado 1.2, los Estados miembros también deben mantener registros mercantiles electrónicos y permitir el acceso electrónico al contenido de dichos registros por parte de terceros.

12.

El artículo 2 incluye una lista de once elementos de información básica de la sociedad que debe publicarse, incluidos los siguientes:

13.

Desde el punto de vista de la protección de datos, es importante que el artículo 2 exija la publicidad del «nombramiento, el cese de funciones, así como la identidad» (el subrayado es nuestro) de las personas que i) que tengan poder de obligar a la sociedad y/o ii) que estén implicados de cualquier otro modo en la «administración, la vigilancia o el control» de la sociedad.

14.

La lista de elementos de los que se exige su publicidad con arreglo al artículo 2 no ha sido modificada por la propuesta, ni tampoco resulta una exigencia nueva el hecho de que los Estados miembros deban poner a disposición del público de manera electrónica esta información. La novedad de la propuesta es que la información que hasta el momento ha estado disponible de forma fragmentada, con frecuencia únicamente en los idiomas locales y a través de sitios web locales, ahora se puede conseguir con facilidad a través de un punto de acceso o plataforma europea común, en un entorno multilingüe.

15.

A estos efectos, la propuesta introduciría un nuevo artículo 3 bis en la Directiva, para establecer que «los Estados miembros velarán por que los actos e indicaciones a que se refiere el artículo 2 contenidos en sus registros puedan facilitarse, a solicitud de cualquier persona, por medios electrónicos, a través de una plataforma electrónica europea única accesible desde cualquier Estado miembro.». La propuesta remite a actos delegados para una mayor especificación.

16.

La propuesta también introduciría un nuevo artículo 4 bis en la misma Directiva 2009/101/CE, para establecer que «los Estados miembros adoptarán las medidas necesarias para garantizar que los [registros mercantiles] sean interoperables y formen una red electrónica». Una vez más, la propuesta remite a actos delegados para una mayor especificación.

17.

Para tratar las cuestiones de protección de datos, la propuesta introduciría en el texto de las tres directivas que deben modificarse un artículo específico sobre la protección de datos que exige que «[e]l tratamiento de datos personales que se efectúe en el contexto de [la] Directiva se hará conforme a lo dispuesto en la Directiva 95/46/CE».

18.

El SEPD comparte la visión de la Comisión de que i) el uso de las tecnologías de la información y la comunicación pueden contribuir a aumentar la eficiencia de la cooperación en lo que a los registros mercantiles se refiere, y ii) que el aumento de la accesibilidad a la información de los registros mercantiles puede contribuir a aumentar la transparencia. Por ello, el SEPD apoya los objetivos de la propuesta y sus observaciones deben evaluarse desde este enfoque constructivo.

19.

Al mismo tiempo, el SEPD también destaca que el incremento de la accesibilidad de los datos personales también conlleva un aumento de los riesgos para los mismos. Por ejemplo, mientras que la divulgación del domicilio privado de un representante de una sociedad puede contribuir a una correcta identificación de dicho representante, esta divulgación también podría tener un impacto negativo sobre su derecho como persona física a la protección de los datos personales. Esto se observa especialmente en relación con los datos personales que se ponen ampliamente a disposición del público de forma digital en múltiples idiomas en internet, a través de una plataforma o punto de acceso europeo de fácil acceso.

20.

No hace mucho tiempo, los datos personales de los registros mercantiles (por ejemplo, el nombre, dirección y el modelo de la firma del director) se publicaban en papel y en la lengua local, a lo que únicamente seguía una visita personal del solicitante a la oficina del registro local. Es importante reconocer que esta situación es distinta en términos cualitativos de la publicación de los datos de forma digital a través de un punto de acceso electrónico nacional. La publicación de los datos personales a través de una plataforma o puntos de acceso europeos de fácil acceso supone un paso aún mayor, que aumenta tanto la accesibilidad de la información como los riesgos de la protección de los datos personales de las personas afectadas.

21.

Entre los riesgos respecto de la intimidad que existen (debido a la fácil disponibilidad de los datos en formato digital a través de un punto de acceso electrónico común) se encuentra la usurpación de la identidad y otras actividades delictivas, así como el riesgo de que la información difundida pueda ser obtenida de manera ilícita y que las sociedades la utilicen para fines comerciales que no fueron previstos inicialmente, tras haber clasificado a las personas afectadas. Sin las adecuadas garantías, la información también podrá venderse a otras personas, o combinarse con otra información y venderla de nuevo a los gobiernos para su uso para fines no relacionados y no divulgados (por ejemplo, para la aplicación de la legislación tributaria u otras investigaciones penales o administrativas) sin una base jurídica adecuada (16).

22.

Por todo lo anterior, debe valorarse cuidadosamente qué información personal debería estar disponible a través del punto de acceso o plataforma europea común y qué otras garantías de la protección de datos —incluidas las medidas técnicas que limitan las capacidades de búsqueda o descarga y de extracción automática de información— deberían aplicarse.

23.

Tal como se ha indicado en los apartados 2.1 y 2.2 supra, los artículos 3 bis y 4 bis propuestos de la Directiva 2009/101/CE son muy generales y el tratamiento de muchas cuestiones clave se deja a actos delegados.

24.

A pesar de que el SEPD reconoce la necesidad de ser flexibles y, por lo tanto, la necesidad de la existencia de actos delegados, destaca que las garantías de protección de datos son elementos esenciales que deberían estar clara y específicamente establecidos directamente en el texto de la propia propuesta de Directiva. En este sentido, no pueden considerarse «elementos no esenciales» que pueden incluirse en posteriores actos delegados, adoptados con arreglo al artículo 290 del Tratado de Funcionamiento de la Unión Europea.

25.

Por tanto, el SEPD recomienda que las disposiciones relativas a la protección de datos de la propuesta sean más específicas y vayan más allá de hacer una simple referencia a la Directiva 95/46/CE (véanse los apartados 3.4 a 3.13). Por tanto, en los actos delegados podrán incluirse disposiciones adicionales relativas a la aplicación de garantías específicas, sobre la base de una consulta al SEPD y, cuando sea necesario, de las autoridades nacionales de protección de datos (véanse los apartados 3.5, 3.6, 3.8, 3.9, 3.10, 3.12 y 3.13 infra).

26.

La propuesta no solo guarda silencio en relación con las garantías clave de protección de datos sino que también hay otras muchas cuestiones que quedan indefinidas. En particular, también remite a actos delegados para determinar los elementos esenciales sobre cómo desea llevar a cabo la i) interconexión de registros mercantiles y ii) la publicación de datos que se proponen.

27.

La claridad en relación con estos otros elementos esenciales de la propuesta es una condición previa necesaria para adoptar garantías de protección de datos adecuadas. Por lo tanto, el SEPD recomienda que estos elementos esenciales deben establecerse en la propia Directiva propuesta (véanse los apartados 3.4 y 3.5 infra).

28.

Por el momento, la propuesta remite a los actos delegados para determinar las normas relativas a la gobernanza, gestión, funcionamiento y representación de la red electrónica (17).

29.

Mientras que la evaluación de impacto y la exposición de motivos identifican algunas sinergias con el IMI y el Portal Europeo de e-Justicia, el texto de la Directiva propuesta deja la puerta abierta a diversas opciones que permiten que cualquier sinergia pueda llegar a materializarse, incluso un rediseño del EBR, el uso del IMI para determinados intercambios de datos y/o la utilización del Portal Europeo de e-Justicia como punto de acceso o plataforma para proporcionar información al público de los registros mercantiles.

30.

Tampoco quedan excluidas otras opciones, como publicar una licitación para adjudicar el derecho de diseñar y operar la red electrónica o que la Comisión adopte un rol activo en el diseño y funcionamiento del sistema. Los representantes de los Estados miembros también podrían implicarse en la estructura de gobierno de la red electrónica.

31.

Además, a pesar de que la propuesta en su redacción actual prevé una «plataforma electrónica europea única» (el subrayado es nuestro), no se excluye que el texto pueda ser modificado posteriormente en el procedimiento legislativo para ofrecer una estructura más descentralizada.

32.

El SEPD señala asimismo que a pesar de que la propuesta actual no trata de manera específica la cuestión de la interconexión de los registros mercantiles con otras bases de datos (como, por ejemplo, los registros de la propiedad o los registros civiles), dicha situación es técnicamente posible y ya se da en algunos Estados miembros (18).

33.

La elección de una u otra opción podrá conducir a estructuras de gobernanza de la red electrónica y de la herramienta electrónica que se utilizará para la difusión pública totalmente distintas, lo cual, a su vez, implica distintas funciones y responsabilidades de las partes implicadas, y también distintas funciones y responsabilidades desde el punto de vista de la protección de datos.

34.

A este respecto, el SEPD hace hincapié en que las situaciones en que se traten datos personales, resulta fundamental identificar correctamente quién es el «responsable del tratamiento». Esto también fue destacado por el Grupo de Trabajo sobre protección del artículo 29 en su Dictamen 1/2010 sobre los conceptos de «responsable del tratamiento» y «encargado del tratamiento» (19). La principal razón por la que resulta fundamental identificar de clara e inequívoca al responsable del tratamiento es que dicha identificación determina quién debe ser responsable del cumplimiento de las normas de protección de datos, y es también importante para identificar la legislación aplicable (20).

35.

Tal como señaló el dictamen del Grupo de Trabajo del artículo 29, «[s]i no está lo suficientemente claro qué es lo que se exige y a quién —por ejemplo, nadie es responsable o son varios los responsables posibles del tratamiento—, hay un riesgo evidente de que poco o nada ocurra y las disposiciones legales resulten ineficaces.».

36.

El SEPD destaca que la claridad resulta especialmente necesaria cuando están implicados múltiples actores en una relación de cooperación, como suele ocurrir en los sistemas de información de la UE utilizados para fines públicos en que la finalidad del tratamiento está definida en la legislación europea.

37.

Por estos motivos, el SEPD recomienda establecer, en el propio texto de la Directiva propuesta, y de una forma específica, clara e inequívoca:

38.

Desde el punto de vista de la protección de datos, estas aclaraciones deben ser específicas e inequívocas, a fin de establecer, sobre la base de la propia Directiva propuesta, si un determinado actor debe considerarse «responsable del tratamiento» o «encargado del tratamiento».

39.

En principio, la propuesta debería contribuir de manera explícita a establecer, tal como parece derivarse de todo el proyecto en su conjunto, que tanto los titulares de los registros mercantiles como los operadores del sistema deberían ser considerados responsables del tratamiento en cuanto a sus propias actividades. Dicho esto, teniendo en cuenta que actualmente la propuesta no describe la estructura de gobernanza ni define quiénes serán los operadores del sistema electrónico, no puede descartarse que algunas de las entidades que finalmente operarán el sistema en un plano práctico, actuarán más como encargados del tratamiento que como responsables del mismo. Éste será el caso, en especial, si esta actividad se externaliza a un tercero que actúe estrictamente según las instrucciones. En cualquier caso, parece que seguirán existiendo múltiples responsables del tratamiento, al menos uno en cada Estado miembro, que son las entidades que mantienen los registros mercantiles. El hecho de que puedan haber otras entidades (privadas) implicadas como operadores, «distribuidores» o de cualquier otro modo, no cambia nada al respecto. En cualquier caso, esto debería estar especificado en la Directiva propuesta en aras de garantizar la claridad y la seguridad jurídica.

40.

Por último, sin que ello sea menos importante, la propuesta debería también describir de manera más específica y más global las responsabilidades derivadas de estas funciones. Por ejemplo, la función de los operadores de garantizar que el sistema esté diseñado de un modo que facilite la privacidad así como su papel de coordinador en relación con las cuestiones en materia de protección de datos deberían estar incluidos en la propuesta.

41.

El SEPD señala que todas estas aclaraciones serán asimismo relevantes para establecer quiénes son las autoridades de control de protección de datos competentes y respecto de qué tratamientos de datos personales.

42.

Parece que en su redacción actual, la red electrónica no está prevista para hacer que toda la información contenida en cada registro mercantil se ponga automáticamente a disposición del público para los otros registros mercantiles en el resto de Estados miembros. La propuesta simplemente exige la interconexión y la interoperabilidad de los registros mercantiles y proporciona, de este modo, las condiciones que permitan los intercambios de información y el acceso en un futuro. Con el fin de garantizar la seguridad jurídica, la propuesta debería aclarar si esta conclusión es correcta.

43.

Además, la propuesta tampoco especifica cuáles son los flujos de datos o procedimientos administrativos que podrán establecerse a través de los registros mercantiles interconectados (21). El SEPD entiende que podrá ser necesaria cierta flexibilidad para garantizar que pueden solucionarse las necesidades que puedan surgir en el futuro. Una vez dicho esto, el SEPD considera que resulta fundamental que la propuesta especifique el marco para los flujos de datos y los procedimientos de cooperación administrativa que puedan tener lugar en el futuro, utilizando la red electrónica. Lo anterior es especialmente importante para garantizar que i) los intercambios de datos se hacen sobre la base de un fundamento jurídico sólido y que ii) se ofrecen las garantías de protección de datos adecuadas.

44.

En opinión del SEPD, los intercambios de datos u otras actividades de tratamiento de datos que utilicen la red electrónica (por ejemplo, la publicación de datos personales a través de un punto de acceso o plataforma común) deberían estar basados en un acto vinculante de la Unión Europea, adoptado sobre una base jurídica sólida. Esto debería quedar establecido de manera clara en la Directiva propuesta (22).

45.

Asimismo, la propuesta establece que los actos delegados determinarán las siguientes cuestiones (23):

46.

Respecto del primer y segundo incisos, el SEPD considera que deberían establecerse determinadas garantías fundamentales en la propia Directiva propuesta (véanse los apartados 3.12 y 3.13 infra), pudiéndose establecer más detalles en actos delegados.

47.

En relación con los intercambios automáticos de datos, al SEPD le complace que la propuesta exija que los actos delegados establezcan «la definición de normas técnicas sobre formatos, contenidos y límites para el almacenamiento y recuperación de los actos e indicaciones que permitan el intercambio automático de datos».

48.

Para ofrecer una mayor claridad a este respecto, el SEPD recomienda que la propia Directiva propuesta especifique de manera clara que la red electrónica permite i) intercambios manuales de datos específicos e individualizados entre los registros mercantiles (tal como se establece en un acto de la Unión, como en el caso de una fusión o un traslado de domicilio), y ii) transmisiones automáticas de datos (tal como se establece en un acto de la Unión como en el caso de la actualización de información en el registro de sucursales extranjeras).

49.

En aras de una mayor claridad, el SEPD también recomienda que el texto propuesto para el correspondiente artículo 4 bis, apartado 3, letra i), de la Directiva 2009/101/CE sea modificado para garantizar que i) los actos delegados cubrirán de manera general tanto los intercambios de datos manuales como los automáticos y que ii) se cubren todas las operaciones de tratamiento que puedan implicar datos personales (no solo el almacenamiento y la recuperación, y que iii) la aplicación práctica de las pertinentes garantías de protección de datos se garantizará mediante disposiciones específicas en materia de protección de datos.

50.

Para ilustrar lo anterior, el artículo 4 bis, apartado 3, letra i), podría quedar modificado, por ejemplo, del siguiente modo:

51.

A modo de observación preliminar, el SEPD destaca que mientras que los nombres (y posiblemente otros detalles, como los domicilios privados) de los representantes de las empresas (y de otras personas implicadas en el gobierno de las empresas) constituyen, sin lugar a dudas, los datos personales más obvios que pueden ser procesados por la red electrónica y/o publicados a través del punto de acceso/plataforma electrónica común, estos no son de ningún modo la única información personal que se conserva en los registros mercantiles.

52.

En primer lugar, algunos de los documentos incluidos en el artículo 2 de la Directiva 2009/101/CE (por ejemplo, la escritura de constitución, los estatutos y los documentos contables) también pueden incluir datos personales de otras personas. Estos datos pueden incluir, entre otros, nombres, direcciones, posiblemente números de identificación y fechas de nacimiento, y hasta digitalizaciones de firmas manuscritas, de diversas personas físicas, incluidos los fundadores de la empresa, accionistas, abogados, contables, empleados o notarios públicos.

53.

En segundo lugar, los datos de la empresa, cuando están relacionados con el nombre de una persona física (como el director) también podrían ser considerados datos personales relativos a dicha persona. Por ejemplo, si los datos del registro mercantil muestran que una determinada persona física está en el consejo de administración de una sociedad que está en liquidación, esta información también es relevante para dicha persona.

54.

Para asegurar la claridad respecto de qué datos personales se tratan y garantizar que el conjunto de datos procesados es proporcional con los objetivos de la propuesta, el SEPD recomienda que se proceda a realizar las aclaraciones establecidas en el presente apartado 3.7.

55.

El artículo 2 de la Directiva 2009/101/CE no define qué «identidad» de las personas afectadas (representantes de empresas y otras personas implicadas en el gobierno corporativo) es necesario publicar.

56.

De hecho, las diversas versiones lingüísticas de la propuesta muestran diferencias significativas incluso respecto de la traducción de la frase «identidad de las personas». Por ejemplo, la frase en francés es «l’identité des personnes» (es decir, la identidad de las personas), en italiano es «le generalità delle persone« (es decir, los detalles personales como el nombre y el apellido), en húngaro, «személyek adatai» (es decir, datos de las personas físicas), en neerlandés, «de identiteit van de personen» (es decir, la identidad de las personas) y en rumano, «identitatea persoanelor» (es decir, la identidad de las personas).

57.

Además, en algunos Estados miembros, los domicilios privados de los administradores de la empresa y/o de otras personas físicas como los accionistas se publican de forma rutinaria en internet. En otros Estados miembros, por motivos de confidencialidad e, incluso por el miedo a que exista una usurpación de la identidad, los registros mercantiles mantienen de manera confidencial esta información.

58.

El SEPD recomienda modificar el artículo 2 de la Directiva 2009/101/CE para que aclare qué datos personales, además de los nombres de las personas físicas afectadas (representantes de empresas y otras personas implicadas en el gobierno corporativo), es necesario que se publiquen. Para ello, debería considerarse detenidamente la necesidad de transparencia y la identificación precisa de dichas personas físicas aunque esto debe ponderarse con otras preocupaciones contradictorias, como la necesidad de proteger la privacidad de las personas físicas afectadas (24).

59.

Si no se alcanza un acuerdo debido a las diferencias en las prácticas nacionales, el artículo 2 debería al menos modificarse para que exija que se publique «el nombre completo de las personas físicas afectadas y, si la legislación nacional lo exige específicamente, otros datos necesarios para su identificación». De ese modo, quedará claro que no se deja decidir a cada Estado miembro, en la legislación nacional qué «identidad», en su caso, además de los nombres, van a publicarse y que únicamente se exigirá la publicación de los datos personales adicionales si esto es necesario para identificar a las personas físicas afectadas.

60.

Como alternativa, y teniendo en cuenta que el artículo 2 indica una «información mínima» en lugar de armonizar completamente el contenido de los registros mercantiles en toda Europa, la frase «identidad de las personas» podría ser sustituida simplemente por la frase «nombres completos de las personas». Restaría entonces también a cada Estado miembro decidir qué información adicional, en su caso, desea publicar.

61.

El artículo 2 de la Directiva 2009/101/CE también exige la publicación de la información sobre las personas que participen en la «administración, la supervisión o el control» de la sociedad. Con esta amplia formulación, no queda en absoluto claro si es necesario publicar la información relativa a los accionistas, en particular, la información sobre los accionistas que posean i) acciones significativas, influyentes o de control por encima de un determinado umbral, o ii) que mediante acciones de oro, acuerdos contractuales específicos o de otro modo ejerzan un control o influencia efectiva sobre la sociedad.

62.

El SEPD entiende que esta amplia formulación es necesaria para cubrir la gran variedad de estructuras de gobierno corporativo que existen actualmente para las sociedades de capital en los distintos Estados miembros. Una vez dicho esto, desde el punto de vista de la protección de datos resulta esencial que exista seguridad jurídica sobre las categorías de personas físicas cuyos datos pueden publicarse. Por tanto, el SEPD recomienda modificar el artículo 2 de la Directiva 2009/101/CE para aclarar, en su caso, qué datos personales relativos a los accionistas es necesario publicar. Para ello, deberá realizarse un análisis de la proporcionalidad con arreglo a lo establecido en la sentencia Schecke (tal como se ha indicado anteriormente).

63.

A pesar de que la propuesta no exige el intercambio o la publicación de datos personales más allá de los requisitos mínimos establecidos en el artículo 2 de la Directiva 2009/101/CE, no excluye que los Estados miembros, si así lo desean, puedan exigir que los registros mercantiles procesen o publiquen más datos personales y que los publiquen también a través del punto de acceso o plataforma europea común ni que los intercambien con los registros mercantiles de otros Estados miembros.

64.

Esta cuestión es especialmente sensible en relación con las «listas negras». En algunos países, el registro electrónico también funciona en realidad como una especie de «lista negra» y puede ser consultado por terceros a través de un portal electrónico para la información sobre los representantes de la sociedad a quienes se les ha prohibido ejercer sus funciones.

65.

Para tratar esta cuestión, el SEPD recomienda que la propuesta aclare si y en qué medida los Estados miembros podrán eventualmente publicar más información a través del portal común y/o podrán eventualmente intercambiar más información entre ellos si así lo deciden, sobre la base de sus propias legislaciones nacionales. En este caso, una evaluación de la proporcionalidad estricta (véase la sentencia Schecke, citada anteriormente) debería estar basada en la legislación nacional y debería tener en cuenta, asimismo, los objetivos del mercado interior.

66.

Además, el SEPD sugiere vincular el uso de estas competencias al papel que deben tener las autoridades nacionales de protección de datos, por ejemplo, a través del mecanismo de consulta.

67.

Por último, el SEPD destaca que si se prevé un régimen europeo para exigir de manera específica dichas «listas negras», esto deberá establecerse específicamente en la Directiva propuesta (25).

68.

El SEPD recomienda que la Directiva propuesta debería establecer de manera específica que en todos los casos en que los datos personales se publiquen o se compartan de cualquier otro modo entre los registros mercantiles, deberán establecerse las garantías adecuadas contra la recolección de datos, la extracción de datos, la combinación de datos y las búsquedas de descarga, a fin de garantizar que los datos personales que se han puesto a disposición para los fines de transparencia no se utilicen de manera incorrecta para otros fines no relacionados (26).

69.

El SEPD destaca especialmente la necesidad de considerar medidas tecnológicas y organizativas que sigan el principio de intimidad mediante el diseño (véase el apartado 3.14 infra). La aplicación práctica de estas garantías podrá dejarse a actos delegados. Sin embargo, los principios deberían establecerse en la propia Directiva propuesta.

70.

El SEPD recomienda que la Directiva propuesta incluya una disposición específica que exija que la información con arreglo a los artículos 10 y 11 de la Directiva 95/46/CE [y las correspondientes medidas del Reglamento (CE) no 45/2001, en su caso] deberá proporcionarse a los interesados de un modo eficaz y global. Además, y en función de la estructura de gobierno que se acuerde y las funciones y responsabilidades de las distintas partes implicadas, la Directiva propuesta podrá exigir específicamente que el operador del sistema adopte un papel proactivo a la hora de proporcionar a los interesados avisos y otra información en su página web, también «en nombre de» los registros mercantiles. Los actos delegados podrán incluir más detalles, en caso necesario, o estos podrán establecerse en una política de protección de datos.

71.

La propuesta debería al menos incluir una referencia a la exigencia de desarrollo de las modalidades de una medida (en actos delegados) para permitir a los interesados utilizar sus derechos. También debería hacerse referencia a la posibilidad de construir un módulo de protección de datos y a la posibilidad de incluir soluciones de intimidad mediante el diseño para la cooperación entre las autoridades en relación con los derechos de acceso, así como la «capacitación de los interesados» cuando sea preciso.

72.

Teniendo en cuenta que es posible que la Comisión o cualquier otra institución u organismo europeo también pueda procesar datos personales en la red electrónica (por ejemplo, si actúa como operador de la red o si recupera datos personales de la misma), debería asimismo incluirse una referencia al Reglamento (CE) no 45/2001.

73.

También debería aclararse que la Directiva 95/46/CE resulta aplicable tanto a los registros mercantiles como a las otras partes que actúen con arreglo a las legislaciones nacionales de los Estados miembros, mientras que el Reglamento (CE) no 45/2001 es aplicable a la Comisión y a otras instituciones y organismos comunitarios.

74.

Respecto de las transmisiones de datos personales por el titular de un registro mercantil de la Unión Europea al titular de un registro mercantil de un país tercero que no proporciona un nivel de protección adecuado de los datos personales, el SEPD desea destacar, en primer lugar, que es importante diferenciar dos situaciones:

75.

En el primer caso, el artículo 26, apartado 1, letra f), de la Directiva 95/46/CE permite una excepción cuando la «transferencia tenga lugar desde un registro público», sujeta al cumplimiento de determinadas condiciones. Por ejemplo, si el titular de un registro comercial de un país europeo desea transferir un conjunto determinado de datos personales (por ejemplo, vinculados al registro de sucursales extranjeras) al titular de un registro mercantil de un país tercero, y los mismos datos ya están disponibles públicamente, la transferencia sería posible en todo caso incluso si el país tercero en cuestión no ofrece un nivel de protección adecuado.

76.

En el segundo caso, el SEPD recomienda que la propuesta aclare que las transferencias de datos que no están disponibles públicamente podrán realizarse únicamente a entidades o personas físicas de un país tercero que no ofrecen una protección adecuada si el responsable del tratamiento alega las garantías adecuadas en relación con la protección de la privacidad y los derechos fundamentales, así como de las libertades de las personas físicas y respecto del ejercicio de los derechos correspondientes. Dichas garantías podrán, en particular, derivar de cláusulas contractuales vigentes con arreglo al artículo 26, apartado 2, de la Directiva 95/46/CE (27). En los casos en que dichas transferencias de datos impliquen sistemáticamente que los registros mercantiles compartan datos en dos o más países de la Unión, o en los casos en que es deseable una acción a nivel europeo, también podrá tener lugar una negociación de cláusulas contractuales a escala de la Unión (artículo 26, apartado 4).

77.

El SEPD destaca que otras excepciones como la que establece que [artículo 26, letra d)] «la transferencia sea necesaria o legalmente exigida para la salvaguardia de un interés público importante, o para el reconocimiento, ejercicio o defensa de un derecho en un procedimiento legal», no deberían utilizarse para justificar las transferencias de datos sistemáticas a terceros países a través de la red electrónica.

78.

El SEPD recomienda que la propuesta haga referencia de manera específica y luche por aplicar el principio de rendición de cuentas (28) y establezca un marco claro para los mecanismos internos y los sistemas de control adecuados con el fin de garantizar el cumplimiento de la protección de datos y aportar pruebas de ello, como:

79.

En cuanto a la intimidad mediante el diseño (29), la propuesta debería hacer referencia específicamente a este principio y este compromiso debería materializarse en acciones concretas. En particular, la propuesta debería establecer que la red electrónica debe construirse de manera segura y sólida y que posee, de manera predeterminada, una amplia gama de garantías para la privacidad. Entre los posibles ejemplos de las garantías de la intimidad mediante el diseño se incluyen los siguientes:

80.

El SEPD apoya los objetivos de la propuesta y sus observaciones deben evaluarse desde este enfoque constructivo.

81.

El SEPD destaca que las garantías de protección de datos necesarias deberían establecerse de manera clara y específica directamente en el texto de la propia Directiva, ya que considera que son elementos esenciales. En actos delegados, podrán establecerse disposiciones adicionales relativas a la aplicación de garantías específicas.

82.

Es necesario que la Directiva propuesta trate las cuestiones relativas al gobierno, las funciones, las competencias y las responsabilidades. A este fin, la Directiva propuesta debería establecer:

83.

Todas las actividades de tratamiento de datos que utilicen la red electrónica deberían estar basadas en un instrumento jurídico vinculante como un acto específico de la Unión, adoptado sobre la base de un fundamento jurídico sólido. Esto debería establecerse de manera clara en la Directiva propuesta.

84.

Las disposiciones sobre la legislación aplicable deberían aclararse y se debería incluir una referencia al Reglamento (CE) no 45/2001.

85.

Respecto de las transferencias de datos personales a terceros países, la propuesta debería aclarar que, en principio, y a excepción de los casos contemplados en el artículo 26, apartado 1, letra f), de la Directiva 95/46/CE, las transferencias podrán realizarse únicamente a entidades o personas físicas de un país tercero que no ofrecen una protección adecuada si el responsable del tratamiento alega las garantías adecuadas en relación con la protección de la privacidad y los derechos fundamentales, así como de las libertades de las personas físicas y del ejercicio de los correspondientes derechos. Dichas garantías podrán, en particular, derivar de cláusulas contractuales vigentes con arreglo a lo dispuesto en el artículo 26 de la Directiva 95/46/CE.

86.

Asimismo, la Comisión debería evaluar con detenimiento qué medidas técnicas y organizativas debería adoptar para garantizar que la protección de datos y la intimidad están «diseñadas» en la arquitectura de la red electrónica («intimidad mediante el diseño») y qué controles adecuados existen para garantizar el cumplimiento de la protección de datos y aportar pruebas de ello («rendición de cuentas»).

87.

Otras recomendaciones del SEPD incluyen:

26.7.2011   

ES

Diario Oficial de la Unión Europea

C 220/12

26.7.2011   

ES

Diario Oficial de la Unión Europea

C 220/16

26.7.2011   

ES

Diario Oficial de la Unión Europea

C 220/17