Códigos de conducta y certificación

El mapa del tema

Cuando el responsable o encargado adherido considera improcedente atender una reclamación, debe someterla al organismo o entidad de supervisión. Si este la rechaza o desestima, o si no recibe la reclamación, el afectado puede formularla ante la autoridad de protección de datos correspondiente. (art. 38)

Artículo 38: obligación del adherido ante reclamaciones

El responsable o encargado que se adhiera a un código queda obligado a someter al organismo o entidad de supervisión las reclamaciones de los afectados cuando considere que no procede atender lo solicitado, con la salvedad expresamente prevista respecto del artículo 37 de la ley orgánica. (art. 38)

Cuando proceda conforme al artículo 40.7 del Reglamento (UE) 2016/679, los proyectos de código se someten al mecanismo de coherencia. El procedimiento queda suspendido hasta que el Comité Europeo de Protección de Datos emita el dictamen referido en el precepto. (art. 38)

Artículo 39: comunicaciones de ENAC

Si ENAC realiza la acreditación de una institución de certificación, debe comunicar a la Agencia Española de Protección de Datos y a las autoridades autonómicas las concesiones, denegaciones o revocaciones. La comunicación alcanza también a la motivación de esas decisiones. (art. 39)

La posible intervención de ENAC en la acreditación no elimina las funciones ni los poderes de acreditación que corresponden a la autoridad de control competente conforme a los artículos 57 y 58 del Reglamento (UE) 2016/679. (art. 39)

Trampas de examen

• Es incorrecto afirmar que los códigos de conducta deban limitarse a obligaciones materiales de sus adheridos. El artículo contempla expresamente la posibilidad de que incorporen mecanismos de resolución extrajudicial de conflictos, sin imponer que todos los códigos los contengan. (art. 38)
• Es un error atribuir la promoción de códigos únicamente a las asociaciones y organismos mencionados en el Reglamento (UE) 2016/679. El artículo añade expresamente a empresas, grupos de empresas y determinados responsables o encargados del tratamiento. (art. 38)
• No debe confundirse la posibilidad de verificación previa con una obligación general anterior al tratamiento. Los responsables o encargados pueden voluntariamente someter el tratamiento al organismo o entidad de supervisión antes de realizarlo, respecto de las materias sujetas al código. (art. 38)
• Es incorrecto sostener que la accesibilidad del registro de códigos queda a discreción de cada autoridad. El artículo establece expresamente que dicho registro será accesible a través de medios electrónicos, además de prever la interconexión y coordinación de los registros. (art. 38)
• No es exacto afirmar que solo ENAC pueda acreditar instituciones de certificación. El artículo indica que ENAC podrá llevar a cabo la acreditación y preserva, al mismo tiempo, las funciones y poderes de acreditación de la autoridad de control competente. (art. 39)

Chuleta final

• Para memorizar el efecto básico del código: quien se adhiere queda vinculado. La regla se refiere específicamente a los códigos regulados por la sección 5.ª del Capítulo IV del Reglamento (UE) 2016/679, según la formulación literal del artículo. (art. 38)
• La aprobación de los códigos corresponde a la Agencia Española de Protección de Datos o, en su caso, a la autoridad autonómica de protección de datos competente. La expresión «en su caso» identifica la alternativa territorial prevista en el artículo. (art. 38)
• El contenido del registro y las especialidades del procedimiento de aprobación de los códigos se remiten a un real decreto. Esta remisión se formula al final del artículo y abarca conjuntamente ambas materias señaladas. (art. 38)
• Si el organismo o entidad de supervisión rechaza o desestima la reclamación, el afectado puede acudir a la Agencia Española de Protección de Datos o, cuando corresponda, a las autoridades autonómicas de protección de datos. (art. 38)
• Cuando una autoridad autonómica somete un proyecto de código al mecanismo de coherencia, debe atenderse a lo dispuesto en el artículo 60 de la ley orgánica. Es una regla específica para esa iniciativa autonómica. (art. 38)
• Los registros de códigos aprobados por las autoridades de protección de datos deben estar interconectados entre sí y coordinados con el registro del Comité Europeo de Protección de Datos. Memoriza la doble exigencia: interconexión interna y coordinación europea. (art. 38)
• La comunicación de ENAC comprende tres clases de decisiones sobre acreditaciones: concesiones, denegaciones y revocaciones. No se limita al resultado, pues el artículo añade expresamente que también debe comunicarse la motivación correspondiente. (art. 39)
• Cuando ENAC actúe en acreditación, sus comunicaciones se dirigen tanto a la Agencia Española de Protección de Datos como a las autoridades de protección de datos de las comunidades autónomas. El artículo menciona de forma expresa ambos destinatarios institucionales. (art. 39)

Preguntas frecuentes