Protección Data

BLOG

PARA ESTAR AL DÍA EN PROTECCIÓN DE DATOS Y COMPLIANCE

Blog
Compartir Facebook Twitter Linkedin
JAVIER CASAL TAVASCI

¿Cómo actúa la autoridad de control en los casos de reclamación por infracción de la normativa?

Formular una reclamación ante la autoridad de control es sencillo.

La reclamación ante la Agencia Española de Protección de Datos (AEPD) se puede presentar por carta certificada con acuse de recibo a C/ Jorge Juan, 6, 28.001 Madrid o a través de la sede electrónica de la AEPD, que pueden encontrar haciendo clic aquí.

La Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD) regula en sus artículos 63 a 69 los “procedimientos en caso de posible vulneración de la normativa de protección de datos” que comprenden, por un lado, la falta de atención y respuesta a una solicitud de ejercicio de derechos reconocidos en los artículos 15 a 22 del Reglamento General de Protección de Datos (RGPD) y, por el otro, el procedimiento sancionador para el caso de posible infracción de dicha normativa.

El procedimiento por falta de atención a una solicitud de ejercicio de derechos

Si estamos en el caso de una falta de atención o respuesta a una solicitud de ejercicio de los derechos reconocidos en el RGPD, el interesado tiene que probar su efectivo ejercicio frente al responsable del tratamiento. Por su parte, el responsable del tratamiento debe probar que atendió la solicitud si quiere eludir su responsabilidad.  

El responsable del tratamiento está obligado a informar al interesado sobre los medios disponibles para el ejercicio de derechos, que deberán ser fácilmente accesibles. Una opción viable es a través de correo electrónico, siempre que existan las adecuadas garantías para identificar al afectado. El fax no se considera un medio idóneo para el ejercicio de derechos, pues no permite acreditar que se haya producido la recepción por el responsable, siendo esta la exigencia legal para que se entienda ejercido el derecho (AEPD Resolución R/01746/2011).

Los derechos serán denegados por parte del responsable del tratamiento cuando la solicitud sea formulada por persona distinta del interesado y no se acredite que la misma actúa en representación de aquél. Los menores de edad, entre 14 y 18 años, pueden ejercitar por ellos mismos los derechos de protección de datos reconocidos en los artículos 15 a 22 del RGPD y los derechos digitales que se reconocen en el Título X de la LOPDGDD.

Cuando el interesado presente la solicitud por medios electrónicos, la información se facilitará de forma electrónica siempre que sea posible, a menos que el interesado solicite que se facilite de otro modo (artículo 12.3 del RGPD).

En caso de formular una reclamación ante la autoridad de control, esta tiene un plazo para resolverla de seis (6) meses a contar desde la fecha en que hubiera sido notificado al reclamante el acuerdo de admisión a trámite. Transcurrido dicho plazo, sin resolución expresa, el reclamante puede considerar estimada su reclamación.

Si la reclamación es estimada, de forma expresa o por silencio administrativo, la autoridad de control apercibirá al responsable del tratamiento para que permita el ejercicio del derecho al reclamante y, en atención a la gravedad del caso, puede llegar a sancionarle con una multa.

El procedimiento sancionador

Cuando el procedimiento sancionador tenga por objeto determinar la posible existencia de una infracción de la normativa, este se podrá iniciar de oficio o a instancia de parte (que es lo habitual).

La autoridad de control inadmitirá las reclamaciones presentadas cuando no versen sobre cuestiones de protección de datos personales, carezcan manifiestamente de fundamento, sean abusivas o no aporten indicios racionales de la existencia de una infracción.

Dicha autoridad también inadmitirá las reclamaciones formuladas cuando el responsable o el encargado del tratamiento, previo requerimiento, hubieran adoptado medidas correctivas encaminadas a poner fin al incumplimiento de la legislación de protección de datos y concurra una de las siguientes circunstancias:

  1. Que no se haya causado perjuicio al afectado en el caso de las infracciones previstas en el artículo 74 de la LOPDGDD.
  2. Que el derecho del afectado quede plenamente garantizado mediante la aplicación de las medidas.

Admitida a trámite la reclamación del afectado, así como en los casos en que la autoridad de control actúe por iniciativa propia, podrá existir una fase de “actuaciones previas de investigación”, que se regirá por lo dispuesto en el artículo 67 de la LOPDGDD y que tendrá una duración máxima de doce meses a contar desde la fecha del acuerdo de admisión a trámite o la fecha del acuerdo por el que se decida la iniciación de la fase de alegaciones previas.

Finalizada la fase previa de investigación, corresponderá a la Presidencia de la AEPD, cuando así proceda, dictar el acuerdo de iniciación del procedimiento sancionador, en el que se concretarán los hechos, la identidad de la persona o entidad contra la que se dirija el procedimiento, la posible infracción y su sanción, todo ello sin perjuicio de las acciones ejercitables ante los tribunales de Justicia contempladas en el artículo 79 del RGPD. Si antes de transcurrir el periodo de doce meses, previsto para las actuaciones previas de investigación, no se ha dictado el acuerdo de iniciación del procedimiento sancionador, procede el archivo de las actuaciones, lo que no impide que se pueda iniciar un nuevo expediente cuando la infracción no esté prescrita.

De conformidad con el artículo 82 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados disponen de un plazo no inferior a diez días ni superior a quince para formular cuantas alegaciones, documentos o informaciones estimen convenientes, proponiendo, en su caso, las pruebas de las que pretendan valerse.

Recibidas las alegaciones, o transcurridos el plazo legal al efecto concedido sin que se hayan formulado aquéllas, el órgano instructor podrá acordar la apertura de un período de prueba por un plazo no superior a treinta ni inferior a diez días. Dicho acuerdo debe notificarse a los interesados y en él se podrá rechazar motivadamente la práctica de aquellas pruebas que se consideren improcedentes, de acuerdo con el artículo 77.3 de la Ley 39/2015. En cuanto a la práctica de la prueba, habrá de estarse a lo indicado por los artículos 77 y 78 de dicha ley.

Concluida la instrucción del procedimiento, la Presidencia de la AEPD procederá a dictar la resolución del expediente, después de haberse formulado por parte del instructor la propuesta de resolución, habiéndose notificado a los interesados y tras formularse por éstos las alegaciones pertinentes. La resolución hará mención a los hechos imputados y probados, la infracción cometida, su responsable y la sanción impuesta, o bien la declaración de no existencia de responsabilidad. Asimismo, se pronunciará sobre las medidas provisionales adoptadas durante la tramitación del procedimiento.

Si el procedimiento se hubiera iniciado como consecuencia de denuncia de un afectado, la resolución le será notificada. En el caso de que la resolución sea sancionadora, el interesado tiene derecho a reclamar una indemnización por daños y perjuicios ante el órgano judicial competente.

La resolución del procedimiento pone fin a la vía administrativa. Frente a la misma cabe la interposición de recurso potestativo de reposición en el plazo máximo de un mes a contar desde el día siguiente a la notificación de la resolución, al amparo de los arts. 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, o puede interponerse directamente recurso contencioso-administrativo ante la Sala de lo Contencioso-Administrativo de la Audiencia Nacional al amparo del artículo 25 y de la Disposición Adicional Cuarta apartado 5 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo máximo de dos meses a contar desde el día siguiente a la notificación de la resolución o de la contestación al recurso potestativo de reposición.

Procedimiento de reclamaciones transfronterizas

El procedimiento se tramitará como consecuencia de la comunicación a la AEPD por parte de la autoridad de control de otro Estado miembro de la Unión de la reclamación formulada ante la misma, cuando la AEPD tuviese la condición de “autoridad de control principal” según el artículo 56 del RGPD. En tales casos, la reclamación se regirá por lo establecido en el artículo 64 apartado 1 de la LOPDGDD y en los párrafos primero, tercero, cuarto y quinto del apartado 2 del mencionado artículo.

* La autoridad de control en Cataluña es la Autoridad Catalana de Protección de Datos; en el País Vasco, la Agencia Vasca de Protección de Datos; y en Andalucía, el Consejo de Transparencia y Protección de Datos de Andalucía.

PortuguêsEspañol
error: Contenido protegido por derechos de propiedad intelectual. Se prohíbe su reproducción, transformación, distribución y comunicación pública a título lucrativo por cualquier medio y soporte. Advertir que la infracción de los derechos relativos a la propiedad intelectual es constitutiva de delito (arts. 270 y ss. CP).