Uno de los elementos documentales que más contribuyen a la creación de una verdadera cultura de cumplimiento son los denominados «Códigos de Conducta» que constituyen una muestra de lo que se denomina autorregulación, es decir, la capacidad de las entidades, instituciones y organizaciones para regularse a sí mismas a partir de la normativa establecida, siendo vinculantes para aquellos que, de forma voluntaria, decidan adherirse al mismo.
Los Códigos de Conducta, a tenor de lo dispuesto en el artículo 40.2 del RGPD, podrán ser elaborados por asociaciones y otros organismos representativos de categorías de responsables o encargados del tratamiento. Asimismo, de conformidad con el artículo 38 de la LOPDGDD, podrán ser elaborados por empresas o grupos de empresas, así como por los responsables o encargados a los que se refiere el artículo 77.1 de la LOPDGDD y por aquellos organismos o entidades que asuman las funciones de supervisión y resolución extrajudicial de conflictos a los que se refiere el artículo 41 del RGPD.
Contenido
La normativa no establece un contenido mínimo y reglado, lo que permite adaptarlos con cierta flexibilidad al ámbito específico del tratamiento de datos según el sector de actividad involucrado.
En todo caso, los Códigos de Conducta especificarán la aplicación de la normativa en aspectos como:
- El tratamiento leal y transparente.
- Los intereses legítimos de los responsables del tratamiento en contextos específicos.
- La recogida de datos personales.
- La seudoanonimización.
- La información proporcionada al público y a los interesados.
- El ejercicio de los derechos de los interesados.
- La información proporcionada a los menores y la protección de estos, así como la manera de obtener el consentimiento de los titulares de la patria potestad o tutela sobre el menor.
- Las medidas y procedimientos para garantizar la seguridad del tratamiento, incluyendo la protección de datos desde el diseño y por defecto.
- La notificación de violaciones de la seguridad de los datos personales a la autoridad de control y su comunicación a los interesados.
- La transferencia de datos personales a terceros países u organizaciones internacionales.
- Los procedimientos extrajudiciales y otros mecanismos de resolución de conflictos para resolver las controversias entre responsables del tratamiento e interesados.
Todos los Códigos de Conducta serán aprobados por la Agencia Española de Protección de Datos o, en su caso, por la autoridad autonómica de protección de datos competente. Sin su aprobación carecen de validez y no generan efectos vinculantes.
Organismos de supervisión
Todos los Códigos de Conducta deben incluir obligatoriamente mecanismos que permitan efectuar el control obligatorio de su cumplimiento, así como la designación de un organismo de supervisión, que reúna los requisitos establecidos en el artículo 41.2 del RGPD y que habrán de ser acreditados por la AEPD.
En caso de incumplimiento del Código de Conducta, el organismo de supervisión podrá expulsar o suspender al infractor, informando a la autoridad de control de la sanción.
Ventajas atribuibles a los Códigos de Conducta
Los Códigos de Conducta sirven para demostrar el cumplimiento de las obligaciones de responsables y encargados del tratamiento en protección de datos, por ejemplo, en lo relativo a la adopción de medidas de seguridad adecuadas.
Otra ventaja radica en el establecimiento de mecanismos de resolución extrajudicial de controversias basados en la medición, que facilitan una solución ágil y menos costosa.
Los responsables y encargados del tratamiento adheridos a un Código de Conducta se obligan a someter al organismo o entidad de supervisión aquellas reclamaciones que les fueran formuladas por los afectados en relación con sus actividades de tratamiento de datos personales.
En el caso de que el organismo de supervisión rechace o desestime la reclamación, o si el responsable o encargado del tratamiento no acata la decisión, el afectado podrá formular una reclamación ante la AEPD, sin perjuicio de las acciones judiciales que en derecho le asistan.
Además, la decisión del organismo de supervisión no es vinculante para el reclamante, lo cual es una ventaja, pues no le cierra puertas a la hora de formular una reclamación ante la autoridad de control o los tribunales de justicia, en su caso.
Más ventajas: pueden servir como elemento probatorio del cumplimiento de las obligaciones sobre medidas de seguridad para responsables y encargados del tratamiento; se tendrán en cuenta a los efectos de evaluar el impacto en protección de datos de las operaciones de tratamiento; en la determinación de sanciones administrativas, pudiendo mitigar su gravedad en casos de adhesión demostrada.
Conclusión
El tráfico creativo en materia de Códigos de Conducta es realmente escaso, a pesar de que el RGPD obliga a los Estados miembros, a las autoridades de control, al Comité Europeo de Protección de Datos y a la Comisión Europea a promoverlos. Es una lástima que no se explote más este recurso.
Si quieren conocer el listado de Códigos de Conducta aprobados en España pueden consultar los siguientes enlaces:
https://www.aepd.es/es/informes-y-resoluciones/codigos-de-conducta
https://apdcat.gencat.cat/es/drets_i_obligacions/Registre-de-codis-de-conducta
