Nuevo borrador del Reglamento e-Privacy: ¿cuándo llegará el texto definitivo?

Tanto los grandes operadores del mercado, como las compañías y organismos públicos, van viendo luz en el desarrollo del “Reglamento e­-Privacy”, el cual derogará la Directiva 2002/58/CE. Casi tres años después de nuestro último artículo publicado sobre la normativa e-Privacy, donde os hablamos de sus principales novedades e implicaciones de aquel primer y en su día novedoso borrador, el pasado 10 de Febrero se publicó una nueva actualización en la propuesta del mencionado Reglamento.

Este nuevo borrador ha sido publicado de acuerdo con las negociaciones llevadas a cabo entre los países miembros de la Unión Europea (en adelante, UE), sin embargo, no todo ha sido un camino de rosas. Por un lado, si bien las compañías de telecomunicaciones, así como las grandes empresas tecnológicas han mostrado su apoyo hacia el mismo, el texto ha sido publicado con la abstención de Alemania y Austria, los cuales pedían cambios significativos. Según representantes de protección de datos de dichos países, este nuevo borrador podría entrar en colisión con el Reglamento General de Protección De Datos (RGPD) en ciertos puntos.

En todo caso, es importante señalar que no estamos ante una versión final, ya que todavía queda que el Consejo Europeo y el Parlamento Europeo negocien los términos del texto final. Mientras tanto y, sabiendo el ritmo que hay en la Unión Europea, veamos qué nos depararía este nuevo borrador.

Puntos comunes y novedades respecto al anterior borrador

Si bien mantiene el objetivo, implicaciones y sus principales nociones del texto anterior, ahonda más en ciertos aspectos que detallaremos a continuación, completándolas con nuevos y detallados ejemplos de tecnologías/prácticas utilizadas a la hora de realizar comunicaciones electrónicas:

• Reiteran que, como regla general, los datos de las comunicaciones electrónicas deben tratarse de forma confidencial. Por lo tanto, se mantiene el consentimiento expreso libre, específico, informado e inequívoco por parte de los usuarios finales, prohibiendo así cualquier comunicación electrónica sin dicho consentimiento.
• Resaltar que las normas se aplicarán cuando los usuarios finales se encuentren en la UE. Sin embargo, la normativa también cubre los casos en los que el tratamiento tiene lugar fuera de la UE o el proveedor de servicios está establecido o ubicado fuera de la UE.
• Al igual que en el anterior borrador y para garantizar la protección total de los derechos de privacidad y promover un Internet of Things (IoT) fiable y seguro, las reglas también cubrirán los datos transmitidos entre máquinas (machine-to-machine) a través de una red pública.
• En el anterior borrador nos introducían al concepto de metadatos y la necesidad de obtener el consentimiento explícito, ya que son considerados confidenciales. En este nuevo borrador han detallado más el uso de este tipo de datos y sus excepciones:
  • El tratamiento permitido de datos de comunicaciones electrónicas sin el consentimiento del usuario incluye, por ejemplo, cuando se ha de garantizar la integridad de los servicios de comunicaciones, verificar la presencia de malware, o casos en los que el proveedor de servicios está obligado por la legislación de la UE o de los estados miembros para la persecución de delitos o prevención de amenazas a la seguridad pública.
  • Con el consentimiento del usuario, los proveedores de servicios podrían, por ejemplo, utilizar metadatos para mostrar los movimientos del tráfico para ayudar a las autoridades y los operadores de transporte a desarrollar nueva infraestructura donde más se necesita.
  • Los metadatos también pueden procesarse para proteger los intereses vitales de los usuarios, incluso para monitorear epidemias y su propagación o en emergencias humanitarias, en particular desastres naturales y provocados por el hombre.
  • Sin embargo, se han añadido ciertos casos en los que proveedores de redes y servicios de comunicaciones electrónicas pueden procesar metadatos para un propósito diferente al que fueron recopilados, incluso cuando este no se base en el consentimiento del usuario, siempre y cuando este tratamiento para otro propósito sea compatible con el propósito inicial y se le apliquen garantías específicas adecuadas.
• Se reintroduce la opción de almacenar información personal del equipo terminal del usuario (como fotos y listas de contactos) con el consentimiento del usuario o para otros objetivos específicos establecidos en el Reglamento.
• Asimismo, nos añaden un nuevo concepto a evitar: la “fatiga del consentimiento de cookies”. Para ello, indican que un usuario final podrá dar su consentimiento para el uso de ciertos tipos de cookies mediante una lista blanca de uno o varios proveedores en la configuración de su navegador. Se alentará a los proveedores de software a facilitar a los usuarios la configuración y modificación de las listas blancas en sus navegadores y retirar el consentimiento en cualquier momento.

Cabe recordar que este borrador también ha alargado la entrada en vigor del texto, de los 12 meses iniciales que establecieron, ahora serán 24 meses después de la publicación de esta.

En conclusión, aunque se estén dando pequeños pasos respecto a este tema, aún nos queda un largo camino por recorrer hasta ver este Reglamento e-Privacy totalmente integrado en nuestros sistemas normativos. Es importante tener cualquier actualización sobre el mismo en el radar, ya que el Reglamento e-Privacy será de aplicación directa a todos los estados miembros de la Unión Europea y cabe recordar que como lex specialis del RGPD, particularizará y complementará el RGPD.