Source: https://www.iberley.es/temas/autoridades-autonomicas-materia-proteccion-datos-lopdgdd-rgpd-62848
Timestamp: 2019-03-19 21:08:45+00:00

Document:
Autoridades autonómicas en materia de protección de datos en la LOPDGDD y en el RGPD | Iberley
Autoridades autonómicas en materia de protección de datos en la LO 3 /2018 (LOPDGDD) y en el RGPD. Funciones.
A nivel autonómico, encontramos las siguientes entidades que poseen personalidad jurídica propia y plena autonomía e independencia en el ejercicio de sus funciones:
- la Autoridad Catalana de Protección de Datos,
- la Agencia Vasca de Protección de Datos y
- el Consejo de Transparencia y Protección de Datos de Andalucía*.
Tal y como establece el artículo 57.1 de la LOPDGDD, las autoridades autonómicas de protección de datos de carácter personal podrán ejercer las funciones establecidas en los arts. 57 y 58 del RGPD, de acuerdo con la normativa autónomica, cuando se refieran a:
Además, podrán dictar, en relación con los tratamientos sometidos a su competencia, circulares con el alcance y los efectos establecidos para la AEPD en el artículo 55 de la nueva Ley Orgánica.
En aras de la cooperación institucional, la Presidencia de la AEPD convocará (por iniciativa propia o cuando lo solicite otra autoridad) a las autoridades autonómicas de protección de datos para contribuir a la aplicación coherente del RGPD y de la ley orgánica. En todo caso, se celebrarán reuniones semestrales de cooperación. Igualmente, la Presidencia de la Agencia Española de Protección de Datos y las autoridades autonómicas de protección de datos podrán solicitar y deberán intercambiarse mutuamente la información necesaria para el cumplimiento de sus funciones y, en particular, la relativa a la actividad del Comité Europeo de Protección de Datos. Asimismo, podrán constituir grupos de trabajo para tratar asuntos específicos de interés común (artículo 58 LOPDGDD).
Cuando la Presidencia de la AEPD considere que un tratamiento llevado a cabo en materias que fueran competencia de las autoridades autonómicas de protección de datos vulnera el RGPD podrá requerirlas a que adopten, en el plazo de un mes, las medidas necesarias para su cesación. Si la autoridad autonómica no atendiere en plazo el requerimiento o las medidas adoptadas no supusiesen la cesación en el tratamiento ilícito, la AEPD podrá ejercer las acciones que procedan ante la jurisdicción contencioso-administrativa.
Se practicarán por conducto de la Agencia Española de Protección de Datos todas las comunicaciones entre el Comité Europeo de Protección de Datos y las autoridades autonómicas de protección de datos cuando éstas, como autoridades competentes, deban someter su proyecto de decisión al citado comité o le soliciten el examen de un asunto en virtud de lo establecido en los apartados 1 y 2 del artículo 64 del RGPD. En estos casos, la Agencia Española de Protección de Datos será asistida por un representante de la Autoridad autonómica en su intervención ante el Comité.
Así mismo, conforme al artículo 61 de la LOPDGDD, en el caso de Intervención en caso de tratamientos transfronterizos:
1. Las autoridades autonómicas de protección de datos ostentarán la condición de autoridad de control principal o interesada en el procedimiento establecido por el artículo 60 del Reglamento (UE) 2016/679 cuando se refiera a un tratamiento previsto en el artículo 57 de esta ley orgánica que se llevara a cabo por un responsable o encargado del tratamiento de los previstos en el artículo 56 del Reglamento (UE) 2016/679, salvo que desarrollase significativamente tratamientos de la misma naturaleza en el resto del territorio español.
2. Corresponderá en estos casos a las autoridades autonómicas intervenir en los procedimientos establecidos en el artículo 60 del Reglamento (UE) 2016/679, informando a la Agencia Española de Protección de Datos sobre su desarrollo en los supuestos en que deba aplicarse el mecanismo de coherencia.
En cuanto a la coordinación en caso de resolución de conflictos por el Comité Europeo de Protección de Datos, el artículo 62 de la LOPDGDD establece que:
1. Se practicarán por conducto de la Agencia Española de Protección de Datos todas las comunicaciones entre el Comité Europeo de Protección de Datos y las autoridades autonómicas de protección de datos cuando estas, como autoridades principales, deban solicitar del citado Comité la emisión de una decisión vinculante según lo previsto en el artículo 65 del Reglamento (UE) 2016/679.
2. Las autoridades autonómicas de protección de datos que tengan la condición de autoridad interesada no principal en un procedimiento de los previstos en el artículo 65 del Reglamento (UE) 2016/679 informarán a la Agencia Española de Protección de Datos cuando el asunto sea remitido al Comité Europeo de Protección de Datos, facilitándole la documentación e información necesarias para su tramitación.
La Agencia Española de Protección de Datos será asistida por un representante de la autoridad autonómica interesada en su intervención ante el mencionado comité.
Con respecto a las Funciones que específicamente tienen definidas las autoridades autonómicas en nuestro país, actualmente son las siguientes:
- la Autoridad Catalana de Protección de Datos -> La normativa reguladora de dicha autoridad está formada por: el RGPD, la LOPDGDD, la Constitución Española, el Estatuto de Autonomía de Cataluña (art. 4.1, 15, 20, 23, 27, 28, 30, 31, 76, 78, 156, 182.3), la Ley 32/2010, de 1 de octubre, de la Autoridad Catalana de Protección de Datos, y el Decreto 48/2003, de 20 de febrero, por el que se aprueba el Estatuto de la Agencia Catalana de Protección de Datos. En cuanto a las funciones de la Autoridad Catalana de Protección de Datos son las siguientes:
Controlar y garantizar la aplicación del Reglamento General de Protección de Datos (RGPD).
Promover la sensibilización y la comprensión del público respecto de los riesgos, las normas, las garantías y los derechos relacionados con el tratamiento. Las actividades dirigidas específicamente a los niños debe ser objeto de una atención especial.
Asesorar, de conformidad con el derecho de los estados miembros, el parlamento nacional, el gobierno y otras instituciones y organismos, sobre las medidas legislativas y administrativas relativas a la protección de los derechos y las libertades de las personas físicas con respecto al tratamiento.
Promover la sensibilización de los responsables y los encargados del tratamiento sobre las obligaciones que les corresponden en virtud de este Reglamento.
Previa solicitud, facilitar información a cualquier interesado sobre el ejercicio de sus derechos, en virtud de lo que dispone este Reglamento, y si procede cooperar con las autoridades de control de otros estados miembros con esta finalidad.
Tramitar las reclamaciones presentadas por un interesado o por un organismo, una organización o una asociación, de conformidad con el artículo 80 del RGPD; asimismo, investigar el motivo de la reclamación e informar al reclamante sobre el curso y el resultado de la investigación en un plazo razonable, en particular si es necesaria una nueva investigación o una coordinación más estrecha con otra autoridad de control.
Cooperar con otras autoridades de control, en particular compartiendo información, y prestar asistencia mutua con la finalidad de garantizar la coherencia en la aplicación y la ejecución del RGPD.
Llevar a cabo investigaciones sobre la aplicación del RGPD, en particular de acuerdo con la información recibida de otra autoridad de control o de otra autoridad pública.
Hacer un seguimiento de cambios relevantes que tienen incidencia en la protección de datos personales, en particular los relativos al desarrollo de las tecnologías de la información y la comunicación y a las prácticas comerciales.
Adoptar las cláusulas contractuales tipo mencionadas en el artículo 28, apartado 8, y en el artículo 46, apartado 2, letra d), del RGPD.
Elaborar y mantener una lista sobre el requisito de la evaluación de impacto relativa a la protección de datos, en virtud del artículo 35, apartado 4, del RGPD.
Ofrecer asesoramiento sobre las operaciones de tratamiento que prevé el artículo 36, apartado 2, del RGPD.
Animar la elaboración de códigos de conducta, de conformidad con el artículo 40, apartado 1, del RGPD, y dictaminar y aprobar los códigos de conducta que ofrecen garantías suficientes, de conformidad con el artículo 40, apartado 5, del RGPD.
Fomentar la creación de mecanismos de certificación de la protección de datos y de sellos y marcas de protección de datos, de conformidad con el artículo 42, apartado 1, del RGPD, y aprobar los criterios de certificación, de conformidad con el artículo 42, apartado 5, del RGPD.
Llevar a cabo, si procede, una revisión periódica de las certificaciones expedidas en virtud de lo que dispone el artículo 42, apartado 7, del RGPD.
Elaborar y publicar los criterios para acreditar los organismos de supervisión de los códigos de conducta, de conformidad con el artículo 41 del RGPD, y de los organismos de certificación, de conformidad con el artículo 43 del RGPD.
Acreditar los organismos de supervisión de los códigos de conducta, de conformidad con el artículo 41 del RGPD, y los organismos de certificación, de conformidad con el artículo 43 del mismo Reglamento.
Autorizar las cláusulas contractuales y las disposiciones a que se refiere el artículo 46, apartado 3, del RGPD.
Aprobar normas corporativas vinculantes, de conformidad con lo que dispone el artículo 47 del RGPD.
Contribuir a las actividades del Comité Europeo de Protección de Datos.
Llevar registros internos de las infracciones del RGPD y de las medidas que se han adoptado, de conformidad con el artículo 58, apartado 2 del Reglamento.
Llevar a cabo cualquier otra función relacionada con la protección de los datos personales.
En este sentido, la Ley 32/2010, del 1 de octubre, de la Autoridad Catalana de Protección de Datos, entre otras funciones regula las de:
Responder las consultas que formulan las entidades de su ámbito de actuación sobre la protección de datos de carácter personal en poder de las administraciones públicas y colaborar con estas entidades, en la difusión de las obligaciones derivadas de la legislación reguladora de estas materias.
Emitir el informe preceptivo sobre las disposiciones que afectan a la protección de datos de carácter personal.
Elaborar planes de auditoría.
- la Agencia Vasca de Protección de Datos -> cuando ejerce potestades administrativas, sujeta su actividad a la Ley 39/2015, del Procedimiento Administrativo Común de las Administraciones Públicas y la Ley 40/2015 de Régimen Jurídico del Sector Público. En el resto de su actividad se somete a lo dispuesto en la Ley Orgánica 3/2018, de 5 de diciembre de protección de datos personales y garantía de los derechos digitales, en la Ley 2/2004 del Parlamento Vasco y en las disposiciones de desarrollo de las mismas y en la Ley 2/1998 de potestad sancionadora de las Administraciones Públicas de la Comunidad Autónoma del País Vasco. La Agencia Vasca de Protección de Datos tiene la consideración de autoridad de control, y la ley le garantiza la plena independencia y objetividad en el ejercicio de su cometido. Las funciones de la Agencia Vasca de Protección de Datos le vienen fijadas en el artículo 17 de la Ley 2/2004. Dichas funciones son las siguientes:
Emitir las autorizaciones previstas en las leyes y reglamentos.
Dictar, en su caso, y sin perjuicio de las competencias de otros órganos, las instrucciones precisas para adecuar los tratamientos a los principios de la legislación vigente en materia de protección de datos.
Atender las peticiones y reclamaciones formuladas por los afectados.
Requerir a los responsables y a los encargados de los tratamientos, previa audiencia de éstos, la adopción de las medidas necesarias para la adecuación del tratamiento de datos a la legislación en vigor y, en su caso, ordenar la cesación de los tratamientos y la cancelación de los ficheros cuando no se ajuste a dicha legislación, salvo en la que se refiera a transferencias internacionales de datos.
Ejercer la potestad sancionadora y, en su caso, proponer la iniciación de procedimientos disciplinarios contra quienes estime responsables de las infracciones tipificadas en el artículo 22 de esta ley, así como adoptar las medidas cautelares que procedan, salvo en lo que se refiera a las transferencias internacionales de datos. Todo ello en los términos previstos en esta ley.
Velar por la publicidad de la existencia de los ficheros de datos con carácter personal, a cuyo efecto publicará anualmente una relación de dichos ficheros con la información adicional que el director de la Agencia Vasca de Protección de Datos determine.
Redactar una memoria anual y remitirla a la Vicepresidencia del Gobierno Vasco.
Velar por el cumplimiento de las disposiciones que la legislación sobre la función estadística pública establece respecto a la recogida de datos estadísticos y al secreto estadístico, así como dictar las instrucciones precisas, dictaminar sobre las condiciones de seguridad de los ficheros constituidos con fines exclusivamente estadísticos y ejercer la potestad a la que se refiere el artículo 24.
Colaborar con la Agencia de Protección de Datos del Estado y entidades similares de otras comunidades autónomas en cuantas actividades sean necesarias para una mejor protección de la seguridad de los ficheros de datos de carácter personal y de los derechos de los ciudadanos en relación con los mismos.
Atender a las consultas que en materia de protección de datos de carácter personal le formulen las administraciones públicas, instituciones y corporaciones a que se refiere el artículo 2.1 de esta ley, así como otras personas físicas o jurídicas, en relación con los tratamientos de datos de carácter personal incluidos en el ámbito de aplicación de esta ley.
Cuantas otras le sean atribuidas por las leyes y reglamentos.
- el Consejo de Transparencia y Protección de Datos de Andalucía * -> si bien, debido a que este Consejo aún no ha asumido materialmente la competencia ejecutiva sobre protección de datos personales, es la Agencia estatal la llamada a resolver las consultas que puedan plantearse acerca de la aplicabilidad del límite del derecho de protección de datos a las obligaciones de publicidad activa establecidas en la Ley de Transparencia Pública de Andalucía. Así pues, aunque esta Ley atribuye expresamente a la Dirección del Consejo la función de “resolver las consultas que en materia de... protección de datos le planteen las administraciones y las entidades sujetas a esta Ley” [art. 48.1 e)], a fin de evitar los problemas de inseguridad jurídica que acarrearía para los sujetos obligados que el Consejo abordase este tipo de consultas -con un resultado, quizá, no necesariamente coincidente con el que sostenga la AEPD-, se ha optado por seguir la línea directriz de ésta y, en consecuencia, dejar en suspenso el ejercicio de dicha función en tanto que el Consejo no asuma de forma efectiva la competencia ejecutiva en la materia.
Mecanismo de coherencia
Régimen jurídico de la AEPD
Autoridades autonómicas ESTOY AQUÍ
Ley 32/2010 de 1 de Oct C.A. Cataluña (Autoridad Catalana de Protección de Datos) VIGENTE
Boletín: Diario Oficial de Cataluña Número: 5731 Fecha de Publicación: 08/10/2010 Fecha de entrada en vigor: 28/10/2010 Órgano Emisor: Departamento De La Presidencia
D.F. 3ª. Creación, modificación y supresión de ficheros
D.F. 2ª. Desarrollo de los procedimientos
D.F. 1ª. Estatutos de la Autoridad
Sentencia ADMINISTRATIVO AN, Sala de lo Contencioso, Sec. 1, Rec 608/2016, 30-05-2018
Orden: Administrativo Fecha: 30/05/2018 Tribunal: Audiencia Nacional Ponente: Atienza Rodriguez, Felisa Num. Recurso: 608/2016

References: artículo 57
 artículo 55
 artículo 64
 artículo 61
 artículo 60
 artículo 57
 artículo 56
 artículo 60
 resolución 
 artículo 62
 artículo 65
 artículo 65
 artículo 80
 artículo 28
 artículo 46
 artículo 35
 artículo 36
 artículo 40
 artículo 40
 artículo 42
 artículo 42
 artículo 42
 artículo 41
 artículo 43
 artículo 41
 artículo 43
 artículo 46
 artículo 47
 artículo 58
 artículo 17
 artículo 22
 artículo 24
 artículo 2