El nombramiento de la Presidencia de la Agencia Española de Protección de Datos y su Adjunto. Por la total independencia de la agencia.

(Un adelanto menos desarrollado de estas reflexiones se ha publicado en El Mundo, 24 de enero de 2022)

Hace unas semanas el Gobierno y el principal partido de la oposición anunciaron como un gran éxito el acuerdo por el que se hacían públicos los nombres de las personas que iban a ocupar los cargos vacantes en diversas instituciones, entre ellas la Presidencia, y su Adjunto, en la Agencia Española de Protección de Datos.

En lo que a la Agencia se refiere el anuncio fue un grave e incomprensible error que sólo puede explicarse desde el desconocimiento de lo que la Agencia representa y del procedimiento para la designación de sus cargos. Que no ha beneficiado a nadie, ni a la institución, ni a las personas entonces designadas ni a los candidatos que posteriormente han presentado su candidatura. Que puede poner en entredicho la independencia de la Agencia, y con ello el propio derecho fundamental a la protección de datos, y que ha merecido incluso la atención de algunas instituciones de la Unión Europea.

En más de una ocasión he señalado que al ser la protección de datos un derecho fundamental es imprescindible fijar los principios que configuran su contenido esencial, de modo que la violación de alguno de ellos implicaría la violación misma del derecho. Hoy esos principios están recogidos en el art. 5º del Reglamento General de Protección de Datos (RGPD). Pero a ellos debe añadirse, en mi opinión, el que he denominado principio de control independiente[1], que se traduce en que para considerar plenamente garantizado el derecho a la protección de datos es imprescindible contar con una autoridad dotada de total independencia que tutele de modo efectivo tal derecho. Hace más de 20 años el Tribunal Constitucional, en su Sentencia 290/2000, de 30 de noviembre, afirmó ya que la existencia de la Agencia de Protección de Datos “garantiza el ejercicio por los ciudadanos del derecho fundamental a la protección de datos”.

El artículo 8 de la Carta de los Derechos Fundamentales de la Unión Europea establece en su apartado 3º que el respeto de las normas que reconocen el derecho fundamental a la protección de datos “quedará sujeto al control de una autoridad independiente”. Es inútil buscar en la Carta otra referencia a alguna autoridad independiente garante de un derecho fundamental, porque no la hay. La existencia, obligatoria, de esa autoridad y la independencia como nota esencial de su naturaleza ponen de manifiesto la importancia que la Carta da al pleno respeto a la protección de datos, elemento clave de la dignidad de la persona y del libre desarrollo de su personalidad. Mucho tuvo que ver el recordado Stefano Rodotà en la redacción del artículo 8, incluido su apartado 3º. Pues él, y con él tantos otros, era y somos conscientes de que la garantía de la independencia de tales autoridades es capital para entender plenamente garantizada la protección de datos.

El Tribunal de Justicia de la Unión Europea lo ha puesto de manifiesto siempre que ha tenido oportunidad.  Lo hizo en particular para analizar si se producía o no un atentado a la independencia de las autoridades nacionales de control en las Sentencias de 9 de marzo de 2010, Comisión/Alemania, asunto C-518/07, de 16 de octubre de 2012, Comisión/Austria, asunto C-614/10 y de 8 de abril de 2014, Comisión/Hungría, caso C-288/12. En las tres el Tribunal condenó a los Estados miembros denunciados y resaltó categóricamente que la existencia de autoridades dotadas de total independencia constituye “un elemento esencial” del respeto a la protección de datos. También lo ha advertido en su Sentencia de 6 de octubre de 2015, Asunto C-362/14, Schrems, que es muy clara en su apartado 41: “La garantía de independencia de las autoridades nacionales de control pretende asegurar un control eficaz y fiable del respeto de la normativa en materia de protección de las personas físicas frente al tratamiento de datos personales y debe interpretarse a la luz de dicho objetivo. Esa garantía se ha establecido para reforzar la protección de las personas y de los organismos afectados por las decisiones de dichas autoridades. La creación en los Estados miembros de autoridades de control independientes constituye, pues, un elemento esencial de la protección de las personas frente al tratamiento de datos personales, como señala el considerando 62 de la Directiva 95/46”. Y en esta misma línea se mueve, ya con posterioridad a la entrada en vigor del Reglamento General de Protección de Datos, la STJUE de 16 de julio de 2020. Asunto C-311/18. Schrems II.

También el Protocolo Adicional al Convenio 108 del Consejo de Europa, relativo a las autoridades de Supervisión y a las Transferencias internacionales de datos, de 8 de noviembre de 2001, señala en su preámbulo que “las autoridades de supervisión, ejerciendo sus funciones con completa independencia, son elemento de la efectiva protección de los derechos de las personas en relación con el tratamiento de datos personales”. En esta línea, el artículo 1.3 dispone que “las autoridades de supervisión ejercerán sus funciones con completa independencia”.

El RGPD lo deja meridianamente claro en su considerando 117: “El establecimiento en los Estados miembros de autoridades de control capacitadas para desempeñar sus funciones y ejercer sus competencias con plena independencia constituye un elemento esencial de la protección de las personas físicas con respecto al tratamiento de datos de carácter personal. Los Estados miembros deben tener la posibilidad de establecer más de una autoridad de control, a fin de reflejar su estructura constitucional, organizativa y administrativa”.

Y lo reitera en sus artículos 51 y 52:

51.1. Cada Estado miembro establecerá que sea responsabilidad de una o varias autoridades públicas independientes (en adelante «autoridad de control») supervisar la aplicación del presente Reglamento, con el fin de proteger los derechos y las libertades fundamentales de las personas físicas en lo que respecta al tratamiento y de facilitar la libre circulación de datos personales en la Unión.

52.1. Cada autoridad de control actuará con total independencia en el desempeño de sus funciones y en el ejercicio de sus poderes de conformidad con el presente Reglamento.

2. El miembro o los miembros de cada autoridad de control serán ajenos, en el desempeño de sus funciones y en el ejercicio de sus poderes de conformidad con el presente Reglamento, a toda influencia externa, ya sea directa o indirecta, y no solicitarán ni admitirán ninguna instrucción.

El procedimiento de selección y nombramiento de quienes ocupen la Presidencia y su adjunto en la Agencia está muy detalladamente regulado en la Ley Orgánica de Protección de Datos (artículo 48) y en el Estatuto de la Agencia, aprobado mediante Real Decreto 389/2021, de 1 de junio (artículos 19 a 22)[2]. El nombramiento corresponde al Gobierno a propuesta del Ministerio de Justicia, pero antes debe convocarse un concurso público de candidatos y debe evaluarse su “mérito, capacidad, competencia e idoneidad”. En la convocatoria se especificarán los requisitos a evaluar de las personas candidatas, que permitan acreditar que se trata de personas de reconocida competencia profesional, en particular en materia de protección de datos, sobre la base del mérito, la capacidad, la competencia y la idoneidad, entre los que se pueden recoger las capacidades legales de la persona candidata, la experiencia profesional[3], la capacidad de desarrollar el trabajo o los conocimientos técnicos, en particular referidos al ámbito de protección de datos. La idoneidad de las personas candidatas exigirá que su independencia, conducta intachable e integridad deben estar fuera de toda duda (artículo 19.2 y 3 del Estatuto de la Agencia).

Mediante Orden JUS/1260/2021, de 17 de noviembre (que ha sido recurrida por la Fundación Hay Derecho por considerar que no se ajusta a lo que establecen la Ley Orgánica de Protección de Datos y el Estatuto de la Agencia), se convocó el proceso selectivo para la designación de la Presidencia y de la Adjuntía a la Presidencia de la Agencia, publicada en el «BOE» de 18 de noviembre de 2021. Mediante Orden del Ministerio de Justicia de 22 de noviembre se designó el Comité de Selección.

El Comité debe examinar las solicitudes junto con la documentación aportada y realizará, en su caso, las entrevistas oportunas (que ya se han celebrado). Una vez valoradas las solicitudes, y según el artículo 22.1 del Estatuto de la Agencia) “propondrá una candidatura la (sic) Presidencia de la Agencia Española de Protección de Datos y a la Adjuntía a la Presidencia de entre aquellas que cumplan los requisitos establecidos en los artículos 12.2[4] y 16.3[5], respectivamente y atendidos los méritos y criterios de valoración establecidos en la convocatoria, junto con su informe justificativo”. Dicha candidatura se elevará al Consejo de Ministros, que la debatirá a la luz del informe y decidirá mediante acuerdo la propuesta, que será publicada en el BOE, y que se remitirá al Congreso de los Diputados acompañada del informe justificativo.

En el Congreso de los Diputados, tras la audiencia a los candidatos, la propuesta deberá ser ratificada por la Comisión de Justicia en votación pública por mayoría de tres quintos en primera votación o por mayoría absoluta en segunda. Si bien en este último caso los votos favorables deberán proceder de al menos dos grupos parlamentarios diferentes (art. 48.3 LOPDGDD).

Si me he detenido en el procedimiento es para resaltar que lo que debe hacerse, porque así lo exige el Reglamento General de Protección de Datos y la Ley Orgánica, es seleccionar a las personas que personal y técnicamente, no políticamente, sean las mejores para los cargos convocados. Por lo que cualquier acuerdo político está viciado de raíz y cualquier decisión que se adopte debe estar basada, exclusivamente, en los criterios que la Ley Orgánica y el Estatuto de la Agencia establecen.

Para nada pongo en tela de juicio los méritos de las personas inicialmente anunciadas y de quienes han presentado su candidatura, a muchas de las cuales conozco y valoro enormemente. Al contrario. El respeto escrupuloso al procedimiento es algo que hasta las personas inicialmente anunciadas sin duda apoyan y agradecen.

El tema es muy serio. Y ha empezado mal. Seguro que finalizará como el derecho a la protección de datos merece. Es decir, nombrando en base exclusivamente a sus méritos y capacidades a las personas que capitaneen la tutela y garantía de un derecho que ha de enfrentarse a retos inimaginables, en un contexto europeo, internacional, global, porque globales son las amenazas de la privacidad. Repito que las cualificaciones de los candidatos están fuera de toda duda. No son ellos los que han generado la extraña situación a la que estamos asistiendo, sino el hecho de haber metido, en el mismo saco, los nombramientos anunciados de cargos de instituciones en los que el componente técnico puede convivir con el político (pues así lo permite incluso la Constitución) y los de cargos en los que cualquier atisbo de acuerdo político debe ser erradicado, porque así lo exige el derecho europeo y también nuestra Ley. Y ello en base a un acuerdo político extemporáneo que no respetó las reglas del juego. Y que debe entenderse por no alcanzado.

[1] A tal principio me referí en “Protección de datos: origen, situación actual y retos de futuro”, en LUCAS MURILLO DE LA CUEVA y PIÑAR MAÑAS, El derecho a la autodeterminación informativa, Fundación Coloquio Jurídico Europeo, Madrid, 2009, págs. 81 y ss.

[2] Sobre ello vid. Jesús RUBI NAVARRETE, “La Agencia Española de Protección de Datos”, en El Cronista del Estado Social y Democrático de Derecho, nº 88-89, mayo-junio 2020, monográfico sobre Protección de Datos, antes, durante y después del coronavirus.

[3] La base segunda de la convocatoria establece que deberá contarse con una “experiencia en el ejercicio profesional de al menos dos años, a la fecha de publicación de la presente convocatoria”. Plazo seguramente demasiado breve, que no está fijado ni en la LOPDGDD ni en el Estatuto de la Agencia.

[4] “La persona titular de la Presidencia poseerá la titulación, la experiencia y las aptitudes, en particular en el ámbito de la protección de datos personales, necesarias para el cumplimiento de sus funciones y el ejercicio de sus poderes”.

[5] “La persona titular de la Adjuntía a la Presidencia poseerá la titulación, la experiencia y las aptitudes, en particular en el ámbito de la protección de datos personales, necesarias para el cumplimiento de sus funciones y el ejercicio de sus poderes”.

José Luis Piñar

Catedrático de Derecho Administrativo. Ha sido Director de la Agencia Española de Protección de Datos entre 2002 y 2007.