La semana pasada la
Comisión presentó su paquete de propuestas de medidas de simplificación y
mejora de su regulación en materia digital. Pese a estar orientado a
simplificar el marco normativo y en parte poder contribuir a ese objetivo, el paquete
en sí mismo supone un nuevo elemento de complejidad. Sobre todo, el paquete deja
en evidencia las carencias del enfoque normativo de la Unión, que regularmente
incluye la adopción de complejos instrumentos cuyo cumplimiento no se exige de
manera efectiva, pero representan una
gran carga especialmente para los operadores diligentes locales que desarrollan
sus modelos de negocio en este contexto normativo (a diferencia de los que se expanden
aquí tras haberlos desarrollado en terceros países). El instrumento central del
nuevo paquete es una Propuesta de Reglamento Ómnibus Digital, que se
proyecta especialmente sobre un conjunto heterogéneo de reglamento (y alguna directiva) de la Unión. Esa Propuesta
contempla la supresión sin más del Reglamento 2019/1150 sobre usuarios
profesionales de servicios de intermediación en línea (o Reglamento P2B, entre
plataformas y empresas); prevé cambios muy significativas en materia de datos personales,
incluyendo modificaciones del RGPD y de la Directiva 2002/58 sobre la privacidad y las comunicaciones electrónicas; contempla la refundición de los diversos reglamentos en materia de datos en sentido amplio
(es decir los que se centran en los datos no personales); así como la
consolidación del heterogéneo conjunto de obligaciones
en materia de notificación de incidentes previstas básicamente en diversos reglamentos
en materia de ciberseguridad y otros instrumentos conexos, pero también en el propio RGPD. Al margen de la Propuesta de Reglamento Ómnibus Digital, resulta relevante que el Paquete incluye otra Propuesta
de Reglamento que contempla modificaciones del Reglamento de Inteligencia Artificial;
otra Propuesta de Reglamento para la creación de una Cartera europea de negocios,
destinada a complementar la Cartera europea de identidad digital introducida en
el Reglamento (UE) 2024/1183 que modificó el Reglamento (UE) 910/2014 (eIDAS 2),
así como una Comunicación de la Comisión sobre la estrategia de datos de la UE.
En relación precisamente con la aplicación del Reglamento de Datos resulta
también de interés la presentación por la Comisión de Comunicaciones sobre dos
conjuntos de Recomendaciones, una relativa a cláusulas contractuales tipo para
el acceso y el uso de datos, y otra a cláusulas contractuales tipo para los
contratos de computación en la nube.
Aunque no sean sus elementos de mayor enjundia, entre los aspectos de la Propuesta
de Reglamento Ómnibus Digital que ponen especialmente de relieve las deficiencias
de la manera de legislar en este ámbito en la UE cabe ahora hacer referencia a dos. Por una parte, la propuesta
de derogación sin más del Reglamento 2019/1150, que va unida a la previsión de
que algunas de sus disposiciones continúen siendo de aplicación hasta el 31 de
diciembre de 2032 (I, infra). Llama la atención la aislada derogación en
este momento de ese instrumento en su conjunto, con base en que su contenido ha
pasado a ser innecesario tras la adopción de algunos instrumentos posteriores, en
particular, el Reglamento de Servicios Digitales. Resulta difícil de entender
que no se procediera a su derogación ordenada -y matizada mediante la eventual integración
de algunas de sus reglas- en el marco de la adopción de los instrumentos que han
convertido a buen parte de sus normas en redundantes. Por otra
parte, muy ilustrativo de esas carencias es también el solapamiento de obligaciones
en materia de notificación de incidentes, que se traduce ahora en una propuesta
de consolidación de esas obligaciones, para evitar reiteraciones que deberían
haberse tenido ya en cuenta al adoptar los sucesivos instrumentos en la materia
(II, infra). Dejaré para más adelante las normas de la Propuesta de
Reglamento Ómnibus Digital relativas, de una parte, a la consolidación en un
único instrumento de los varios existentes en materia de datos en general (incluyendo la revisión de aspectos relevantes de su contenido) y, de
otra, a la reforma de los instrumentos sobre datos personales.
