| Informe | 2026-0021 |
| Enlace | 📋 |
Resumen del informe jurídico de la AEPD sobre el anteproyecto de modificación de la Ley 20/2015
La Agencia Española de Protección de Datos (AEPD) ha emitido un informe jurídico sobre el anteproyecto de ley que modifica la Ley 20/2015, de 14 de julio, de ordenación, supervisión y solvencia de las entidades aseguradoras y reaseguradoras. Este anteproyecto tiene un doble objetivo: trasponer parcialmente la Directiva (UE) 2025/2 (Solvencia II) y actualizar el régimen sancionador, incluyendo la posibilidad de imponer multas coercitivas, así como introducir infracciones y sanciones para expertos independientes que revisen la solvencia de aseguradoras y reaseguradoras. Además, se modifica el régimen sancionador de los distribuidores de seguros privados, contenido en el Real Decreto-ley 3/2020.
Aspectos relativos a la protección de datos personales
La AEPD aprueba las modificaciones propuestas en los artículos 199, 202 (letra c), 203 (letra c) y 206 (apartados 3, 4 y 5) de la Ley 20/2015, ya que eliminan la obligación de publicar sanciones en el Boletín Oficial del Estado (BOE) y sustituyen esta medida por su difusión en el portal web de la Dirección General de Seguros y Fondos de Pensiones (DGSFP). Además, se establece un plazo de conservación de los datos de las sanciones hasta su cancelación en el portal.
De manera similar, la AEPD apoya la modificación del artículo 201.1 del Real Decreto-ley 3/2020, que también sustituye la publicación en el BOE por la difusión en el portal de la DGSFP. Sin embargo, recomienda incluir un límite temporal para la conservación de estos datos, alineándose con lo dispuesto en el artículo 206.5 de la Ley 20/2015.
Modificación del artículo 206 bis (propuesta no incluida en la Ley 20/2015)
La AEPD detecta un error en la numeración del artículo propuesto (206 bis), ya que no existe en la ley original. Esta modificación parece inspirada en el Reglamento (UE) 2022/2554 (DORA), que regula la resiliencia operativa digital del sector financiero.
La propuesta permite a la DGSFP, con autorización judicial, solicitar a los operadores de telecomunicaciones registros de tráfico de datos distintos al contenido de las comunicaciones cuando existan sospechas de infracción del Reglamento DORA. Sin embargo, la AEPD advierte que esta medida podría afectar a datos personales de personas físicas, lo que supondría una afectación cualificada a su derecho a la privacidad.
La AEPD sugiere excluir a las personas físicas de esta medida, limitándola únicamente a personas jurídicas, hasta que se realice una evaluación de impacto que garantice la proporcionalidad y necesidad de la misma.
Adaptación a la normativa vigente en protección de datos (RGPD y LOPDGDD)
La AEPD señala que los artículos 99, 100 y 130 de la Ley 20/2015 tienen una redacción anterior al Reglamento General de Protección de Datos (RGPD) y a la Ley Orgánica 3/2018 (LOPDGDD), lo que los hace incompatibles con la normativa actual.
Por ello, recomienda actualizar estos artículos para:
Alinear su redacción con el RGPD, incluyendo las bases de licitud del artículo 6 (no solo el consentimiento, sino también el cumplimiento de obligaciones legales o intereses legítimos).
Especificar los tratamientos de datos de salud (artículo 9.2 RGPD), ya que la Disposición adicional decimoséptima de la LOPDGDD ya ampara estos tratamientos en la Ley 20/2015.
Establecer medidas adecuadas para proteger los derechos de los interesados, como plazos de conservación, fines del tratamiento y garantías específicas para datos sensibles.
Conclusión
La AEPD aprueba en líneas generales las modificaciones propuestas, pero recomienda ajustes para garantizar la protección de datos personales, especialmente en lo relativo a la publicación de sanciones y la adaptación a la normativa vigente (RGPD y LOPDGDD). Además, solicita una evaluación de impacto antes de incluir a personas físicas en la solicitud de registros de tráfico de datos, para evitar vulneraciones del derecho a la privacidad.