Resumen del dictamen del Supervisor Europeo de Protección de Datos sobre dos propuestas legislativas para combatir el fraude en el ámbito del IVA 2019/C 140/04, - Diario Oficial de la Unión Europea, de 16-04-2019

Resumen del dictamen del Supervisor Europeo de Protección de Datos sobre dos propuestas legislativas para combatir el fraude en el ámbito del IVA

(El texto completo del presente dictamen está disponible en inglés, francés y alemán en el sitio web del SEPD: www.edps.europa.eu.)

(2019/C 140/04)

Resumen

Con el presente dictamen, emitido con arreglo al artículo 42, apartado 1 del Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo (1), el SEPD formula recomendaciones con el fin de minimizar el impacto de dos propuestas de la Comisión sobre la lucha contra el fraude del IVA en el comercio electrónico con relación al derecho a la intimidad y a la protección de los datos personales, garantizando con ello el cumplimiento del marco jurídico de la protección de datos.

De este modo, el SEPD desea hacer hincapié en la necesidad de limitar de forma estricta las operaciones de tratamiento previstas en las propuestas con el fin de combatir el fraude fiscal y limitar la recopilación y uso de datos personales a lo que sea necesario y proporcionado a tal fin. En particular, cabe señalar que, en el contexto de estas propuestas, los datos sometidos a tratamiento no deben estar relacionados con los consumidores (ordenantes) sino solo con los negocios en línea (beneficiarios). Esto limitaría el riesgo de que se use la información para otros fines, tales como controlar los hábitos de compra de los consumidores. Valoramos el hecho de que la Comisión haya seguido este planteamiento y recomendamos encarecidamente que se mantenga en las negociaciones con los colegisladores para la aprobación definitiva de las propuestas.

Es más, el SEPD desea hacer hincapié en que, de conformidad con el artículo 42, apartado 1, del Reglamento (UE) 2018/1725, espera que le consulten sobre el acto de ejecución que en el futuro definirá el formato estándar para la transmisión de información del proveedor de servicios de pago a la administración fiscal nacional, antes de su adopción por parte de la Comisión.

Dado que las propuestas establecerían, además de bases de datos nacionales, una base de datos electrónica central (CESOP) que desarrollará, mantendrá, hospedará y gestionará la Comisión, el SEPD recuerda sus directrices sobre la gestión y la gobernanza de las tecnología de la información. El SEPD realizará el seguimiento del establecimiento de este sistema de información como autoridad de supervisión competente en virtud del Reglamento (UE) 2018/1725.

Por último, el presente dictamen proporciona una orientación acerca de las condiciones y límites de las restricciones lícitas y adecuadas a los derechos de los interesados en cumplimiento del RGPD y del Reglamento (UE) 2018/1725.

I. INTRODUCCIÓN Y ANTECEDENTES

1.1. Contexto de las propuestas

1.

El 10 de septiembre de 2018, el SEPD recibió una consulta formal de la Comisión Europea sobre los proyectos de propuesta siguientes: Proyecto de Propuesta de Directiva del Consejo por la que se modifica la Directiva 2006/112/CE en lo que respecta a la introducción de determinados requisitos para los proveedores de servicios de pago; Proyecto de Propuesta de Reglamento de Ejecución del Consejo por el que se modifica el Reglamento (UE) n.o 282/2011 en lo referente a la imposición de determinadas obligaciones respecto del impuesto sobre el valor añadido a determinados sujetos pasivos; Proyecto de Propuesta de Reglamento del Consejo por el que se modifica el Reglamento (UE) n.o 904/2010 en lo que respecta a las medidas para reforzar la cooperación administrativa a fin de combatir el fraude en el ámbito del IVA en el ámbito del comercio electrónico. El SEPD hizo observaciones informales el 18 de septiembre de 2018. En este sentido, el SEPD confirma que acoge con satisfacción la posibilidad de intercambiar impresiones con la Comisión durante el proceso de elaboración de políticas con el fin de minimizar el impacto de las propuestas en los derechos a la intimidad y a la protección de datos (2).

2.

El 12 de diciembre de 2018, la Comisión Europea publicó una Propuesta de Directiva del Consejo por la que se modifica la Directiva 2006/112/CE en lo que respecta a la introducción de determinados requisitos para los proveedores de servicios de pago (en lo sucesivo, la «Directiva del Consejo propuesta») (3) y una Propuesta de Reglamento del Consejo por el que se modifica el Reglamento (UE) n.o 904/2010 en lo que respecta a las medidas para reforzar la cooperación administrativa a fin de combatir el fraude en el ámbito del IVA (en lo sucesivo, «el Reglamento del Consejo propuesto») (4), en lo sucesivo, conjuntamente designadas como las «Propuestas».

3.

El 14 de enero de 2019, la Comisión consultó al SEPD de conformidad con el artículo 42, apartado 1, del Reglamento (UE) 2018/1725.

4.

El SEPD también señala el hecho de que el Reglamento y la Directiva propuestos, como se indica más adelante en el presente dictamen, establecen operaciones de tratamiento de datos para los que la Comisión debería ser el responsable del tratamiento con arreglo al Reglamento (UE) 2018/1725. Por tanto, recordamos que el SEPD es la autoridad de supervisión competente en lo que respecta a dicho tratamiento.

1.2. Contenido de las propuestas

5.

El SEPD observa que las Propuestas, que van acompañadas de una evaluación de impacto (5), tienen por finalidad abordar el problema del fraude del IVA en el comercio electrónico mediante la mejora de la cooperación entre las autoridades fiscales y los proveedores de servicios de pago (en lo sucesivo los PSP).

6.

En particular, de acuerdo con la Directiva del Consejo propuesta, los Estados miembros deben promulgar legislación que garantice que los PSP mantengan registros de las operaciones de pagos transfronterizas a fin de que las autoridades fiscales puedan detectar fraude en materia de IVA.

El Reglamento del Consejo propuesto complementa el conjunto de medidas antifraude:

a)

exigiendo a las autoridades competentes de los Estados miembros que recojan, intercambien y analicen la información relativa a las operaciones de pago que se detallan en la Propuesta de Directiva del Consejo y

b)

estableciendo un sistema de información electrónico central («CESOP») mediante el que los Estados miembros transmitan la información sobre pagos que almacenan a nivel nacional. El CESOP estaría accesible para los funcionarios de enlace de Eurofisc para analizar la información almacenada en él con el fin investigar el fraude fiscal.

7.

El SEPD reconoce los objetivos de las propuestas y, en particular, la necesidad de regular esta materia para establecer medidas antifraude respecto a las operaciones de comercio electrónico. El presente dictamen tiene por finalidad ofrecer un asesoramiento pragmático acerca de cómo minimizar el impacto del tratamiento de datos personales derivado de las propuestas, garantizando el cumplimiento de la ley de protección de datos aplicable.

IV. CONCLUSIONES

17.

En vista de lo anterior, el SEPD formula las recomendaciones siguientes:

?

El considerando 11 de la Directiva del Consejo propuesta y el considerando 17 del Reglamento del Consejo propuesto sobre la legislación aplicable en materia de protección de datos deben modificarse conforme a lo indicado en el apartado 2.1 de este dictamen.

?

Se debe incluir la especificación de la finalidad, tal como se establece en el considerando 11 de la Directiva del Consejo y el considerando 17 del Reglamento del Consejo, en la parte dispositiva del acto jurídico tanto de la Directiva del Consejo como del Reglamento del Consejo.

?

Teniendo en cuenta la base de datos central «CESOP», la Comisión debe velar por el cumplimiento de las disposiciones relativas a la seguridad del tratamiento en virtud del Reglamento (UE) 2018/1725, en particular siguiendo las «Directrices sobre protección de datos personales en la gestión y gobernanza de TI de las instituciones de la UE».

?

Respecto a las posibles restricciones de los derechos de los interesados:

i)

modificar la redacción del Reglamento (UE) n.o 1183/2005 modificado por el Reglamento del Consejo (UE) 2018/1541, con arreglo al artículo 23 del RGPD, para dejar la posibilidad de promulgar restricciones a los Estados miembros (sustituyendo la palabra «deberá» por «podrá restringir», o, en la medida en que las restricciones sean necesarias, establecerlas directamente en el Reglamento (UE) n.o 904/2010;

ii)

incluir en el artículo 24, letra e), del Reglamento del Consejo, entre los elementos que la Comisión definirá más adelante en un acto de ejecución, las posibles restricciones de los derechos de los interesados de conformidad con el artículo 25 del Reglamento (UE) 2018/1725 y la orientación establecida por el SEPD sobre este asunto («Orientación sobre el artículo 25 del nuevo Reglamento y normas internas»).

?

La Comisión debe, a tenor del artículo 42, apartado 1, del Reglamento (UE) 2018/1725, consultar al SEPD sobre el acto de ejecución relativo al formato electrónico estándar para la transmisión de información por parte del PSP a la autoridad fiscal competente del Estado miembro en el que el PSP se haya establecido antes de su adopción por la Comisión.

Bruselas, 14 de marzo de 2019.

Wojciech RafaB? WIEWIÓROWSKI

Supervisor Europeo de Protección de Datos

(1) DO L 295 de 21.11.2018, p. 39.

(2) Véase el considerando 60 del Reglamento (UE) 2018/1725: «A fin de garantizar la coherencia de las normas de protección de datos en toda la Unión, al elaborar propuestas o recomendaciones, la Comisión debe esforzarse por consultar con el Supervisor Europeo de Protección de Datos. La Comisión debe llevar a cabo consultas de manera obligatoria tras la adopción de actos legislativos o durante la preparación de actos delegados y actos de ejecución, tal como se define en los artículos 289, 290 y 291 del TFUE, y tras la adopción de recomendaciones y propuestas relativas a acuerdos con terceros países y organizaciones internacionales, con arreglo al artículo 218 del TFUE que repercutan en el derecho a la protección de los datos personales. En estos casos, la Comisión debe estar obligada a consultar al Supervisor Europeo de Protección de Datos, excepto cuando el Reglamento (UE) 2016/679 prevea una consulta obligatoria del Comité Europeo de Protección de Datos, por ejemplo, sobre decisiones de adecuación o actos delegados relativos a iconos normalizados y requisitos para los mecanismos de certificación».

(3) Propuesta de Directiva del Consejo por la que se modifica la Directiva 2006/112/CE en lo que respecta a la introducción de determinados requisitos para los proveedores de servicios de pago, COM(2018) 812 final, proc. 2018/0412 (CNS).

(4) Propuesta de Reglamento del Consejo por el que se modifica el Reglamento (UE) n.o 904/2010 en lo que respecta a las medidas para reforzar la cooperación administrativa a fin de combatir el fraude en el ámbito del IVA, COM(2018) 813 final, proc. 2018/0413 (CNS).

(5) Documento de trabajo de los servicios de la Comisión ? Evaluación de impacto que acompaña al documento: Propuesta de Directiva del Consejo, Propuesta de Reglamento de Ejecución del Consejo y Propuesta de Reglamento del Consejo sobre la transmisión e intercambio obligatorio de datos de pago relacionados