F. Javier Sempere
Director de Supervisión y Control de Protección de Datos del CGPJ
A modo introductorio, el RGPD determina en su artículo 55 apartado 3 que «Las autoridades de control no serán competentes para controlar las operaciones de tratamiento efectuadas por los tribunales en el ejercicio de su función judicial», debiendo existir, como señala el considerando 20, autoridades de control específicas para tal fin con el objetivo de garantizar la independencia judicial.
En este sentido, el Tribunal de Justicia de la Unión Europea, en su sentencia de 24 de marzo de 2022, se ha pronunciado sobre ese artículo 55 apartado 3, considerando que «el hecho de que un tribunal ponga temporalmente a disposición de periodistas documentos extraídos de un procedimiento judicial que contienen datos personales con el fin de permitirles informar del mejor desarrollo de ese procedimiento judicial que contienen datos personales con el fin de permitirles informar mejor del desarrollo de ese procedimiento está comprendido en el ejercicio, por parte de dicho tribunal, de su función judicial, en el sentido de la referida disposición».
No obstante, con anterioridad a la norma europea, y atendiendo a la sentencia del Tribunal Supremo de la Sala de lo Contencioso-Administrativo de 2 de diciembre de 2011, el CGPJ ya estaba actuando como autoridad de control de protección de datos de este tipo de tratamientos. Esta sentencia dictaminó que el control sobre posibles incumplimientos en los tratamientos de datos jurisdiccionales recaía en el CGPJ y no en la AEPD como había ocurrido hasta esa fecha.
Con posterioridad, con la aprobación de la Ley Orgánica 7/2021, de 26 de mayo (LA LEY 11831/2021), de protección de datos personales tratados para fines de prevención, detección, investigación y enjuiciamiento de infracciones penales y ejecución de sanciones penales, se modifican algunos preceptos de la LOPJ (LA LEY 1694/1985), creando la Dirección de Supervisión de Control y Protección de Datos del CGPJ, definiéndola como autoridad de control sobre tratamientos jurisdiccionales.
En cuanto a sus funciones, quedan establecidas en el artículo 236 octies de la LOPJ (LA LEY 1694/1985), encontrándose entre ellas, la labor de supervisión y la de promover la sensibilización. Dichas funciones se complementan, a su vez, con aquellas que sean aplicables de las recogidas tanto en el artículo 57 del Reglamento General de Protección de Datos (LA LEY 6637/2016), y en el artículo 48 de la referida Ley Orgánica 7/2021, de 26 de mayo (LA LEY 11831/2021).
Refiriéndonos ya en la actividad principal desarrollada por la Dirección de Supervisión y Control de Protección de Datos del CGPJ durante el año 2024, se ha centrado principalmente en la tramitación de reclamaciones, así como en la elaboración de informes.
Sobre las reclamaciones, se han superado ya las 100, y en numerosas ocasiones se ha instado a los juzgados y tribunales reclamados a que adopten las medidas necesarias para cumplir con la normativa de protección de datos. Estas resoluciones, incluyendo también aquellas en las que se ha concluido con el archivo de actuaciones, pueden consultarse en la sección web de la Dirección, ya que son objeto de publicación. En dicha sección puede accederse también a otra información y documentación, como formularios para el ejercicio de los derechos de protección de datos ante los juzgados y tribunales, para la interposición de reclamaciones ante la Dirección, y para notificar brechas de seguridad.
En cuanto a los informes jurídicos, la Dirección se ha pronunciado sobre diversos temas, algunos de ellos complejos, como el cumplimiento de la normativa de protección de datos personales en un proyecto de inteligencia artificial consistente en la elaboración de borradores de resoluciones judiciales; sobre la posibilidad de utilizar datos biométricos para las comparecencias «apud acta» del artículo 530 de la Ley de Enjuiciamiento Criminal (LA LEY 1/1882); la protección de datos personales en los procesos de mediación penal; o el acceso a los expedientes judiciales para fines docentes. También se han llevado a cabo otras actividades, como la participación en varios seminarios, así como la de relaciones institucionales, incluyendo la existencia de una relación fluida con el resto de las autoridades de control, principalmente con la Agencia Española de Protección de Datos.
Desde la Dirección esperamos un 2025 lleno de nuevos retos, en este mundo tecnológico en constante evolución, en el que si bien actualmente «reina» la inteligencia artificial que debe ser respetuosa con la protección de datos personales, debemos preguntarnos…¿Qué será lo siguiente que afecte a este derecho fundamental?