Procedimientos en caso de posible vulneración de la normativa de protección de datos

El mapa del tema

El esquema general conecta competencia territorial, admisión de reclamaciones, investigación previa, inicio sancionador, medidas provisionales y resolución, aunque cada fase solo procede cuando corresponde al tipo de actuación. (art. 66)

Artículo 63: procedimientos comprendidos

El artículo 63 delimita los procedimientos sometidos al Título: reclamaciones por falta de atención de derechos reconocidos en los artículos 15 a 22 del Reglamento y actuaciones investigadoras sobre posibles infracciones del Reglamento y de la ley orgánica. (art. 63)

Los procedimientos de la Agencia se rigen por el Reglamento, la ley orgánica y sus disposiciones reglamentarias de desarrollo; subsidiariamente se aplican las normas generales administrativas cuando no contradigan esas normas específicas. (art. 63)

Artículo 64: falta de atención de derechos

Cuando el procedimiento se refiere exclusivamente a la falta de atención de los derechos de los artículos 15 a 22 del Reglamento, se inicia por acuerdo de admisión a trámite. El plazo para resolver es de seis meses desde la notificación de ese acuerdo al reclamante. (art. 64)

El procedimiento destinado a determinar una posible infracción se inicia mediante acuerdo de inicio, por iniciativa propia o como consecuencia de reclamación. Su duración máxima es de doce meses desde dicho acuerdo; transcurrido el plazo, caduca y se archivan las actuaciones. (art. 64)

Artículo 65: evaluación de admisibilidad

Toda reclamación presentada ante la Agencia debe ser evaluada para decidir su admisibilidad conforme al artículo 65. La evaluación corresponde a la Agencia y constituye el presupuesto de la posterior tramitación de la reclamación. (art. 65)

La Agencia inadmitirá reclamaciones ajenas a la protección de datos personales, manifiestamente infundadas, abusivas o carentes de indicios racionales de infracción. Estas causas se refieren directamente al contenido y fundamento de la reclamación presentada. (art. 65)

Artículo 66: examen previo de competencia

Salvo el supuesto específico del artículo 64.4, la Agencia debe examinar su competencia y determinar si el procedimiento tiene carácter nacional o transfronterizo antes de admitir una reclamación o iniciar actuaciones previas. (art. 66)

Si la Agencia considera que no es la autoridad de control principal, debe remitir la reclamación, sin más trámite, a la autoridad principal que estime competente y notificar esa circunstancia al reclamante. (art. 66)

Artículo 67: finalidad de la investigación previa

Antes del acuerdo de inicio, la Agencia puede realizar actuaciones previas, una vez admitida la reclamación cuando exista, para determinar mejor los hechos y circunstancias que justifican tramitar el procedimiento. (art. 67)

Las actuaciones previas se someten a la sección indicada del capítulo I del título VII y no pueden durar más de dieciocho meses, contados desde la admisión a trámite o desde el acuerdo de iniciación de oficio. (art. 67)

Artículo 68: contenido del acuerdo de inicio

Concluidas las actuaciones previas cuando proceda, corresponde a la Presidencia dictar el acuerdo de inicio sancionador. En él deben concretarse los hechos, la persona o entidad afectada, la posible infracción y la posible sanción. (art. 68)

Cuando la Agencia sea autoridad de control principal y deba seguirse el procedimiento del artículo 60 del Reglamento, el proyecto de acuerdo de inicio sancionador queda sometido a lo dispuesto en ese artículo. (art. 68)

Artículo 69: medidas provisionales

Durante las actuaciones previas o tras iniciar un procedimiento sancionador, la Agencia puede acordar motivadamente medidas provisionales necesarias y proporcionadas para proteger el derecho fundamental a la protección de datos. (art. 69)

Si la continuación del tratamiento, su comunicación o transferencia internacional causa un menoscabo grave, la Agencia puede ordenar el bloqueo de los datos y la cesación del tratamiento, con posible inmovilización ante incumplimiento. (art. 69)

Trampas de examen

• En el procedimiento exclusivamente referido a derechos de los artículos 15 a 22, transcurridos seis meses desde la notificación del acuerdo de admisión, el interesado puede considerar estimada la reclamación; no se trata de una caducidad. (art. 64)
• El procedimiento dirigido a determinar una posible infracción dura como máximo doce meses desde el acuerdo de inicio. Transcurrido ese plazo, se produce caducidad y archivo, no estimación de la reclamación. (art. 64)
• Las actuaciones previas sirven para determinar mejor los hechos y circunstancias antes del acuerdo de inicio. Por tanto, su realización no equivale al inicio del procedimiento sancionador. (art. 67)
• Salvo el supuesto del artículo 64.4, la Agencia debe examinar previamente su competencia y el carácter territorial del procedimiento antes de admitir una reclamación o comenzar actuaciones previas. (art. 66)
• La obligación de atender el derecho solicitado puede acordarse incluso antes de iniciar el procedimiento sancionador, pero exige resolución motivada y audiencia previa del responsable del tratamiento. (art. 69)

Chuleta final

• La decisión sobre admisión, inadmisión o remisión a la autoridad principal debe notificarse al reclamante en el plazo de tres meses desde la entrada, con la regla especial prevista para comunicaciones europeas. (art. 65)
• Los plazos de tramitación, admisión y actuaciones previas quedan automáticamente suspendidos mientras se solicita y recibe información, consulta, asistencia o pronunciamiento preceptivo europeo o de autoridades de control. (art. 64)
• El transcurso de determinados plazos de tramitación también puede suspenderse mediante resolución motivada cuando resulte indispensable recabar información de un órgano jurisdiccional. (art. 64)
• Antes de resolver la admisión, la Agencia puede remitir la reclamación al delegado de protección de datos, al organismo supervisor de códigos de conducta o al organismo de resolución extrajudicial. (art. 65)
• Cuando no exista delegado ni adhesión a mecanismos extrajudiciales, la Agencia puede remitir la reclamación al responsable o encargado, que deberá responder en el plazo de un mes. (art. 65)
• La remisión a la autoridad de control principal que la Agencia considere competente implica el archivo provisional del procedimiento, sin perjuicio de la resolución que pueda dictarse posteriormente conforme al Reglamento. (art. 66)
• La Agencia debe actuar en todo caso cuando sea precisa la investigación de tratamientos que impliquen un tráfico masivo de datos personales, aunque la actuación previa sea potestativa con carácter general. (art. 67)
• Si los responsables o encargados incumplen los mandatos de bloqueo y cesación dictados ante un menoscabo grave, la Agencia puede proceder a la inmovilización de los datos. (art. 69)

Preguntas frecuentes