El Congreso ratificará quién será el nuevo presidente de la AEPD: así justifica el Gobierno la selección de sus tres 'finalistas'

En lugar de uno, como estaba previsto, el Gobierno ha propuesto hasta tres nombres para presidir la Agencia Española de Protección de Datos (AEPD). Será el Congreso quien tome la última palabra en una sesión que tendrá lugar pronto. A pesar de todo, las críticas contra el procedimiento, que se ha ceñido a los estatutos de la AEPD, no cesan.

Así terminará el culebrón (o por lo menos, la primera temporada) por la designación de la nueva Presidencia y Adjuntía de la AEPD. La Comisión de Justicia del Congreso en los próximos días para elegir a las personas que ocuparán esos nuevos cargos, creados tras aprobarse en verano los nuevos estatutos del organismo de control.

Esos nuevos estatutos preveían que un comité seleccionador haría entrevistas a todos los candidatos (más de una docena se postularon a ambos cargos) y después elevaría una propuesta al Ministerio de Justicia. Este, a su vez, trasladaría la propuesta al Consejo de Ministros. El guion se ha seguido minuciosamente, pero ha habido una sorpresa final.

El Consejo de Ministros debía elegir los nombres que, tras la deliberación del comité seleccionador, resultaran los más idóneos para la Presidencia y la Adjuntía de la AEPD. La orden que se publicó este martes en el Boletín Oficial del Estado (BOE) revela que la propuesta remitida a las Cortes consta de tres candidatos para la Presidencia y otros tres para la Adjuntía.

En otras palabras: el Congreso no se limitará a ratificar un nombre elegido por el Gobierno, como figura en los estatutos de la AEPD. La Cámara tendrá que votar por separado quién será el nuevo presidente o presidenta de la Agencia, y quién será su nuevo adjunto.

La propuesta del Consejo de Ministros remitida al Congreso da tres opciones para la Presidencia de la AEPD: Belén Cardona, hasta ahora subsecretaria en la Conselleria de Justicia, Interior y Administración Pública de Valencia; Leonardo Cervera, número dos del Supervisor Europeo de Protección de Datos; y Ricard Martínez, profesor de Derecho Constitucional de la Universitat de València.

Para Adjuntía concurren Borja Adsuara, José Ignacio González y Pilar Aránzazu.

Con la votación en el Congreso termina un culebrón que ha durado meses, y que arrancó algo antes de que se pusiera en marcha este proceso. Concretamente en octubre, cuando PSOE y PP alcanzaron un acuerdo para renovar cargos en el Constitucional, en el Tribunal de Cuentas o en la propia AEPD. 

El director del Supervisor Europeo de Protección de Datos confía en que 2022 será un año clave para mejorar el RGPD y lograr "una aplicación más efectiva en el mundo digital"

Los nombres para esta última ya fueron dos: como presidenta Belén Cardona, y como adjunto Borja Adsuara, abogado y consultor en Derecho Digital.

Apenas una semana después de ese acuerdo, una eurodiputada de Ciudadanos, Mayte Pagazaurtundúa, presentó una pregunta a la Comisión Europea. Quería saber si pediría al Gobierno español "que aclare sus intenciones antes de que se lance un procedimiento de selección predeterminado y parcial".

La respuesta de la Comisión fue tajante. "Los Estados miembros están obligados a disponer que cada miembro de sus autoridades de control sea nombrado mediante un procedimiento transparente por su Parlamento, su Gobierno, su jefe de Estado o un organismo independiente encargado del nombramiento en virtud del Derecho de los Estados miembros". 

"España optó por la confirmación por parte del Parlamento", zanjó. "El procedimiento está en curso. El cumplimiento de la legislación nacional que regula la preselección de los candidatos será evaluado por los tribunales españoles".

"Se ha seguido el procedimiento"

A pesar de ello, se han seguido escuchando voces críticas con el proceso de selección. Una es precisamente la de Leonardo Cervera Navas, número dos del Supervisor Europeo de Protección de Datos (EDPS), que en declaraciones a Business Insider España aseguró que "no se comprendería que el resultado del proceso de selección" fuera el mismo "que el acuerdo político suscrito".

"Parece evidente que no se comprendería que el resultado del proceso de selección al que concurren 14 candidatos, muchos de ellos de reconocido prestigio y dilatada experiencia, fuera exactamente el mismo que el acuerdo político suscrito antes de convocarse el concurso", dijo entonces el número dos del presidente del EDPS, Wojciech Wiewiórowski.

Aunque no quiso valorar el acuerdo en sí, "lo que se hizo", el candidato a presidir la AEPD avanzó que hay "unanimidad en el sector" en que fue "un poco desconcertante". "Lo verdaderamente importante es que se convocó el proceso de selección abierto a todo el mundo, como exige el Reglamento General de Protección de Datos y la ley española".

"Tengo plena confianza en que el Ministerio de Justicia y los miembros del comité de selección harán su trabajo con escrupuloso respeto a la ley y a los méritos que han presentado los candidatos", incidió.

También el propio jefe del candidato Cervera Navas llegó a pronunciarse en el diario El País a finales del año pasado, con unos comentarios que han sentado malestar en el sector al entenderse que el polaco estaría realizando una labor de injerencia en un proceso selectivo, el de la AEPD, que además se inspira en el mismo proceso que sigue el EDPS para elegir a su presidente.

Los datos son el petróleo que empresas y gobiernos necesitan, aunque la privacidad ya se ha convertido en un debate global: así hemos llegado hasta aquí

A pesar de que el mismo proceso selectivo se ha atenido en todo momento a los estatutos de la AEPD, varios medios de comunicación han calificado el mismo incluso de "amaño" y de injerencia política. Fuentes consultadas por Business Insider España recuerdan que la última palabra en este proceso de selección la tomará el Congreso.

Si bien el preacuerdo existió, habrá que esperar a la semana que viene para ver en qué se traducen los votos de los miembros del Congreso, y cuántos reúnen cada uno de los candidatos. Vozpópuli sugirió hace meses que el candidato de Edmundo Bal (Cs) era el propio Leonardo Cervera Navas.

Jorge Badiola es el presidente de la Asociación Española de Delegados de Protección de Datos, la AEDPD, activa desde que la aprobación del Reglamento General de Protección de Datos (RGPD) y con más de 500 asociados. 

Referido a la polémica, ya concedió su opinión a este medio: "Creemos que el proceso debe ser legal y, aunque es verdad que se anunciaron una serie de nombres en un acuerdo entre PSOE y PP, después se ha seguido el procedimiento, con lo que se han podido presentar más candidatos".

Así ha justificado el Ministerio de Justicia su elección

Aunque en el BOE solo se ha publicado la decisión última del Ministerio de Justicia y del Consejo de Ministros sobre los nombres que irán a la terna en el Congreso para ocupar el puesto de Presidente y Adjunto de la AEPD, Business Insider España ha tenido acceso a las memorias del propio Ministerio que justifican esta decisión.

La memoria reconoce que el nivel de las candidaturas que se han presentado es "muy alto" y todos los candidatos ofrecen "por formación y experiencia" garantías suficientes. 

Por ese mismo motivo se ha tenido presente "dada la naturaleza" de la AEPD "la previa experiencia en el desempeño de funciones directivas en organismos supervisores de protección de datos", como es el caso de Cervera Navas en el EDPS, o "un conocimiento profundo de la materia acreditado en organismos o instituciones del sector público", como es el caso de la propia Belén Cardona.

Así, de Belén Cardona se desgrana que es catedrática del Trabajo y acreditó en la entrevista con el comité seleccionador "una amplia experiencia" en materia de protección de datos "en el ámbito de las relaciones laborales y en la privacidad de los colectivos más vulnerables (mujeres, inmigrantes, personas con discapacidad)". 

Las sanciones por vulnerar el RGPD en toda Europa superaron los 1.100 millones de euros en 2021, hasta siete veces más que el año anterior

También se pone en valor que haya colaborado como experta con la propia AEPD y "el haber desempeñado" puestos de responsabilidad en el Gobierno de la Generalitat de valencia "que implican el ejercicio de funciones relacionadas con la protección de datos y la gestión de la información pública".

Sobre Leonardo Cervera Navas, el comité entiende que también reúne "méritos formativos y profesionales que acreditan de manera sobrada su idoneidad para ejercer la Presidencia de la AEPD". Destacan que desde que adquirió la condición de funcionario de la Comisión Europea, en 1999, "siempre ha estado ligado a la materia de protección de datos".

Por supuesto, se pone en valor su rol como director del propio Supervisor Europeo de Protección de Datos.

De Ricard Martínez también se da por dada "su idoneidad". El comité recuerda que es profesor de Derecho Constitucional en la Universidad de Valencia, donde es director de la Cátedra de Privacidad y Transformación Digital Microsoft-UV. Coordinó el área de estudios de la AEPD hasta 2011 y presidió la Asociación Profesional Española de la Privacidad hasta 2016.

Un culebrón que podría llegar a los tribunales

Dentro de unas semanas se conocerá quién recibe la luz verde por parte del Congreso. Entonces se abrirán nuevos escenarios. La fundación Hay Derecho impugnó la orden que iniciaba este proceso selectivo. El presidente del EDPS ha mostrado su preocupación por la posible injerencia partidista que podría desvirtuar este proceso selectivo. El resultado podría acabar en tribunales.

Pero también por la parte contraria. Los mismos reproches se oyen hacia el propio Wiewiórowski, el presidente del EDPS, contra quien en un futuro se podría elevar una queja formal ante el Comité Europeo de Protección de Datos (EDPB, el organismo que aglutina las agencias de protección de datos de los estados miembros) al considerar que el EDPS ha hecho injerencia sobre un proceso nacional.

Todo en una tesitura delicada. Las agencias de protección de datos de Europa se vienen pronunciando desde hace meses sobre la consideración de que herramientas de marketing y analítica web como Google Analytics suponen una vulneración de la sentencia Schrems-II.

Facebook no sería la única en irse si se ilegalizan las transferencias de datos a EEUU: por qué este pulso de Europa no es solo contra las tecnológicas, sino también contra Washington

Esta sentencia del Tribunal de Justicia de la Unión Europea acabó con el Privacy Shield, el acuerdo transatlántico que autorizaba las transferencias de datos de Bruselas a Estados Unidos. En caso de que la AEPD (que ha negado pronunciarse al respecto de momento) y después de la EDPB corroboren la postura de algunas agencias como la austríaca, las grandes tecnológicas estarían en un problema.

De hecho, tanto Google como Facebook ya han animado a Bruselas y Washington a alcanzar un nuevo acuerdo que sustituya el Privacy Shield y que garantice y ampare la transferencia de datos personales de sus usuarios para el tratamiento a EEUU, al entender que es indispensable para que plataformas como Facebook o Instagram sigan prestando servicio en el Viejo Continente.

Ese ánimo de Meta, propietaria de estos dos servicios, fue entendido en Europa como una amenaza. Pero no es el único desafío inmediato de las agencias de protección de datos: también el cuello de botella en Irlanda supone un lastre para la adecuada aplicación del Reglamento de Protección de Datos, y el presupuesto de las agencias nacionales se ha estancado y está retrocediendo.