Estimado Presidente:

Me dirijo a usted para dar seguimiento a la respuesta de la Comisión Europea de 21 de junio de 2022 en esta investigación [C(2022) 3686 final].

La respuesta de la Comisión es útil en varios aspectos. Hace hincapié en las expectativas de la Comisión, habida cuenta del papel particular de las autoridades irlandesas en lo que respecta a la aplicación del RGPD. La respuesta también menciona la expectativa de la Comisión de que su principal fuente de información (el CEPD) mejore pronto la forma en que presenta los datos relacionados con el RGPD.

La respuesta de la Comisión contiene información relativamente específica sobre las fuentes de información, pero no una descripción detallada y exhaustiva de la información real que ha recopilado hasta la fecha.

Esta investigación se refiere a la aplicación de un derecho fundamental de los ciudadanos y, más concretamente, pretende determinar si la Comisión está haciendo lo suficiente para garantizar la plena aplicación del RGPD frente a las principales empresas tecnológicas de Irlanda. El objetivo es verificar si la Comisión se ha informado adecuadamente para llegar a las conclusiones necesarias. Para ayudar en este proceso, se ruega a la Comisión que responda a las cuestiones que figuran en el anexo adjunto.

Si la Comisión considera útil organizar otra reunión entre sus servicios y mi equipo de investigación, sería posible.

Le agradecería que la Comisión respondiera a la presente carta a más tardar el 30 de septiembre de 2022. La Comisión también puede responder a las observaciones del denunciante sobre su respuesta, de las que se adjunta una copia.

Sinceramente,

Emily O'Reilly

Defensor del Pueblo Europeo

Estrasburgo, 19.7.2022

Anexos:

· anexo

· Observaciones del denunciante sobre la respuesta de la Comisión

· Carta del denunciante de 16 de marzo de 2022 al CPD irlandés

ANEXO

El papel de la Comisión —también para la recopilación de información— es independiente del del CEPD.

La Comisión ha señalado que su principal fuente de información sobre la aplicación del RGPD es la EPDB.

La Defensora del Pueblo valora positivamente que el CEPD desempeñe un papel específico en la coordinación a escala de la UE para garantizar una aplicación coherente del RGPD. La información que recopila es claramente importante cuando se trata del trabajo que lleva a cabo la Comisión para supervisar la aplicación del RGPD.

No obstante, la Comisión sigue siendo autónoma en su función específica de controlar si se está infringiendo el RGPD. Si los datos producidos por el CEPD, con su propio propósito y por separado de promover la aplicación coherente del RGPD, no son plenamente pertinentes para el papel de la Comisión, esta tiene plena competencia para solicitar, a cualquier fuente, los datos pertinentes. Esto incluye la definición de los datos específicos detallados solicitados, la forma en que se presentarán y cualquier aclaración relacionada.

Se pide a la Comisión que formule observaciones sobre estos puntos.

El Comisario irlandés de Protección de Datos parece haber sido una fuente clave de información hasta el momento

Los datos específicos que la Comisión ha facilitado hasta la fecha o a los que se hace referencia en la presente investigación figuran en los documentos que se enumeran a continuación [1]. Se pide a la Comisión que compruebe si la lista está completa.

1. «Overview on resources put available by Member States to the Data Protection Authorities and on enforcement actions by the Data Protection Authorities» (Resumen de los recursos puestos a disposición por los Estados miembros a las autoridades de protección de datos y de las medidas de ejecución adoptadas por las autoridades de protección de datos), publicación del CEPD de 5 de agosto de 2021 elaborada en respuesta a una solicitud del Parlamento Europeo [2].

2. «DPC LARGE-SCALE STATUTORY INQUIRIES – STATUS UPDATE FEBRUARY 2022*», resumen de las investigaciones realizadas por el comisario irlandés de Protección de Datos, facilitado al Defensor del Pueblo Europeo con carácter confidencial el 3 de marzo de 2022.

3. «One-Stop-Shop Cross-Border Complaints Statistics - 25 My 2018 - 31 December 2021», publicación de 15 de marzo de 2022 de la Comisión Irlandesa de Protección de Datos [3].

¿Puede aclarar la Comisión si había solicitado previamente al CPD irlandés, para su trabajo de supervisión, exactamente qué datos deberían figurar en los puntos 2 y 3, y cómo deberían presentarse?

Si la respuesta a esta pregunta es negativa, se supone que la elección de los datos y la forma en que se presentan fueron determinados por el CPD irlandés. ¿Puede la Comisión responder también a este punto?

Por lo que se refiere al punto 3, el denunciante escribió al CPD irlandés el 16 de marzo de 2022 (anexo), señalando los datos adicionales que su organización consideraría pertinentes para una comprensión adecuada de la aplicación del RGPD por parte de dicha autoridad. Parece que el denunciante aún no ha recibido respuesta. ¿Podría la Comisión comentar la posibilidad de que la Comisión solicite esos datos directamente al CPD irlandés?

[1] La referencia aquí es a «datos», por lo que no incluye enlaces de Internet a, por ejemplo, actas de reuniones o material similar, a los que también se ha referido la Comisión.

[2] https://edpb.europa.eu/system/files/2021-08/edpb_report_2021_overviewsaressourcesandenforcement_v3_en_0.pdf

[3] La Comisión también había llamado previamente la atención sobre las estadísticas en el informe anual de 2021 del CPD. Se entiende que la publicación para 2018-2021 proporciona información pertinente más detallada.