El informe jurídico de la Agencia Española de Protección de Datos (AEPD) aborda el alcance de la Disposición Adicional Primera de la Ley Orgánica de Protección de Datos (LOPD), específicamente en relación con el plazo de tres años otorgado para la adecuación de los ficheros y tratamientos automatizados a la nueva normativa. Este análisis es crucial para entender cómo se debe interpretar y aplicar esta disposición desde la entrada en vigor de la LOPD.
La Disposición Adicional Primera establece que los ficheros y tratamientos automatizados, inscritos o no en el Registro General de Protección de Datos, deben adecuarse a la LOPD dentro de un plazo de tres años desde su entrada en vigor. Durante este período, los ficheros de titularidad privada deben ser comunicados a la AEPD, mientras que las Administraciones Públicas deben aprobar la regulación correspondiente para sus ficheros.
El informe subraya que la LOPD no implica una demora en el cumplimiento de las obligaciones impuestas a los responsables de los ficheros. El «período transitorio» de tres años se refiere únicamente a las obligaciones formales, como la inscripción en el Registro General de Protección de Datos, y no a los deberes sustantivos de protección de datos. Esto se fundamenta en varios puntos:
1. **Sentido Literal de la Norma**: La LOPD habla de «adecuación» y no de «sometimiento» al régimen previsto, lo que implica que las obligaciones sustantivas deben cumplirse desde la entrada en vigor de la ley.
2. **Deberes Formales**: La disposición se complementa con la concreción de los deberes formales que deben cumplimentarse en el período transitorio, aplicable tanto a los ficheros ya inscritos como a los nuevos.
3. **Antecedentes Normativos**: La disposición analizada tiene un antecedente en la Ley Orgánica 5/1992 (LORTAD), que establecía un plazo similar para el cumplimiento de deberes formales.
4. **Interpretación Coherente**: Una interpretación distinta supondría una inaplicación práctica de la Disposición Final Tercera de la LOPD, que establece que la ley entra en vigor un mes después de su publicación.
5. **Cumplimiento de la Directiva 95/46/CE**: La LOPD se adoptó para adaptar la normativa española a la Directiva europea, que exigía su transposición en un plazo de tres años, cumplido antes de la entrada en vigor de la LOPD.
El informe concluye que el período de adecuación de tres años se refiere exclusivamente a los aspectos formales de «adecuación» de los ficheros a la LOPD, sin afectar a la regulación sustantiva de la protección de datos. Este criterio fue ratificado por la Dirección del Servicio Jurídico del Estado en un dictamen posterior.
En resumen, la AEPD interpreta que la Disposición Adicional Primera de la LOPD establece un plazo de tres años para la adecuación formal de los ficheros a la nueva normativa, pero no para el cumplimiento de las obligaciones sustantivas de protección de datos, que deben aplicarse desde la entrada en vigor de la ley.