Ley 16/2023, de 21 de diciembre, de la Autoridad Vasca de Protección de Datos

Los plazos de tramitación establecidos en este capítulo, así como los de admisión a trámite regulados por el artículo 34.4 y de duración de las actuaciones previas de investigación previstos en el artículo 38.2, quedarán automáticamente suspendidos cuando deba recabarse información, consulta, solicitud de asistencia o pronunciamiento preceptivo de un órgano u organismo de la Unión Europea o de una o varias autoridades de control de otros estados miembros conforme con lo establecido en el Reglamento (UE) 2016/679, por el tiempo que medie entre la solicitud y la notificación del pronunciamiento a la Autoridad Vasca de Protección de Datos. Esta suspensión se comunicará a la persona interesada.

Los plazos de tramitación quedarán igualmente suspendidos en los supuestos establecidos en la legislación básica y autonómica reguladora del procedimiento administrativo.

En particular, los plazos quedarán suspendidos en los supuestos en que proceda la determinación de la autoridad de control principal en caso de procedimientos relacionados con tratamientos transfronterizos, así como la tramitación del procedimiento coordinado establecido en los artículos 60 y 63 del Reglamento (UE) 2016/679.

El transcurso de los plazos de tramitación se podrá suspender, mediante resolución motivada, cuando resulte indispensable recabar información de un órgano jurisdiccional.

En todos los supuestos en que se formule ante la Autoridad Vasca de Protección de Datos una reclamación en los términos establecidos en el artículo 57.1.f) del Reglamento (UE) 2016/679, o en el artículo 52 de la Ley Orgánica 7/2021, de 26 de mayo, aquella procederá, con carácter previo a la realización de cualquier otra actuación, a examinar su competencia y determinar si el tratamiento al que la reclamación se refiere tiene carácter transfronterizo, conforme a lo dispuesto en el citado reglamento.

La Autoridad Vasca de Protección de Datos dará inmediatamente traslado de la reclamación a quien resulte competente cuando aprecie que la competencia corresponde a otra autoridad de protección de datos del Estado o, en caso de tratarse de un procedimiento trasfronterizo, a la autoridad de control de otro Estado miembro de la Unión Europea que ostente la condición de autoridad principal conforme al Reglamento (UE) 2016/679. El traslado de la reclamación y su archivo provisional se notificarán a la persona reclamante.

Verificada la competencia de la Autoridad Vasca de Protección de Datos, esta podrá dar traslado de la reclamación al responsable o encargado del tratamiento contra el que se dirija dicha reclamación, a fin de que, en el plazo máximo de un mes, realice las aclaraciones y alegaciones que estime necesarias en relación con la reclamación presentada. Cuando el responsable o encargado hubiese notificado a la Autoridad Vasca de Protección de Datos la designación de un delegado o delegada de protección de datos, el traslado de la reclamación se realizará a través de este.

Igualmente, si el responsable o encargado del tratamiento se encontrasen adheridos a un código de conducta, la Autoridad Vasca de Protección de Datos podrá dar traslado de la reclamación a su órgano de supervisión, a fin de que informe lo que proceda en el plazo de un mes.

La Autoridad Vasca de Protección de Datos notificará, dentro de los tres meses siguientes a la fecha de recepción de la reclamación, la resolución por la que acordará su admisión o inadmisión a trámite.

En el acuerdo de admisión a trámite la Autoridad Vasca de Protección de Datos especificará el tipo de procedimiento que origina la reclamación formulada.

Cuando se hubiese presentado ante la Autoridad Vasca de Protección de Datos una reclamación referida a la falta de atención en plazo de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679, o 21 a 23 de la Ley Orgánica 7/2021, de 26 de mayo, o a la existencia de hechos que pudiesen ser constitutivos de una infracción de la normativa de protección de datos, la Autoridad Vasca de Protección de Datos podrá acordar la admisión a trámite de dos procedimientos diferenciados, que se tramitarán, respectivamente, conforme a lo establecido en las secciones 3.ª y 4.ª de este capítulo.

Transcurridos tres meses desde la recepción de la reclamación sin que se hubiera notificado a la persona reclamante la decisión sobre su admisión a trámite, se entenderá admitida la reclamación desde esa fecha y proseguirá su tramitación conforme a los procedimientos establecidos en las secciones 3.ª y 4.ª de este capítulo.

La Autoridad Vasca de Protección de Datos acordará la inadmisión a trámite de la reclamación en caso de que la misma no verse sobre cuestiones de protección de datos personales, carezca notoriamente de fundamento, sea abusiva o no aporte indicios racionales de la existencia de una infracción.

Igualmente, la Autoridad Vasca de Protección de Datos podrá inadmitir a trámite la reclamación cuando el responsable o encargado del tratamiento, previa advertencia formulada por aquella, hubiera adoptado medidas correctivas encaminadas a poner fin al posible incumplimiento de la legislación de protección de datos y concurra alguna de las siguientes circunstancias:

Admitida a trámite la reclamación o transcurrido el plazo para ello, la Autoridad Vasca de Protección de Datos la remitirá al responsable del tratamiento a fin de que este, en el plazo de quince días, formule las alegaciones que estime pertinentes.

Recibidas las alegaciones o transcurrido el plazo previsto en el apartado anterior, la Autoridad Vasca de Protección de Datos, previos los informes, pruebas y otros actos de instrucción pertinentes, incluida la audiencia de la persona afectada y nuevamente del responsable del tratamiento, resolverá sobre la reclamación formulada.

El plazo máximo para resolver el procedimiento será de seis meses a contar desde la notificación a la persona reclamante del acuerdo de admisión a trámite, o desde el transcurso del plazo de tres meses sin que se notifique a la persona reclamante la decisión sobre la admisión de su reclamación.

Transcurrido el plazo máximo de seis meses para resolver, la persona afectada podrá considerar desestimada su reclamación.

Antes de la adopción del acuerdo de inicio del procedimiento sancionador, la Autoridad Vasca de Protección de Datos podrá acordar la realización de las actuaciones previas de investigación que resulten necesarias a fin de lograr una mejor determinación de los hechos y las circunstancias que justifican la tramitación del procedimiento de ejercicio de la potestad sancionadora.

Las actuaciones previas de investigación se someterán a lo dispuesto en la sección 3.ª del capítulo II de esta ley y no podrán tener una duración superior a los 18 meses a contar desde la fecha del acuerdo de admisión a trámite o desde que se hubiera cumplido el plazo para adoptarlo, o desde que la propia Autoridad decida su iniciación en los supuestos a los que se refiere el artículo 36 de esta ley.

Concluidas, en su caso, las actuaciones de investigación, la presidencia de la Autoridad Vasca de Protección de Datos dictará, cuando así proceda, acuerdo de iniciación del procedimiento sancionador.

El plazo máximo para dictar resolución será de 12 meses a contar desde la fecha del acuerdo de inicio. Transcurrido este plazo sin que dicte resolución se producirá la caducidad del procedimiento.

En lo demás, el procedimiento se regulará por lo establecido en la normativa reguladora del ejercicio de la potestad sancionadora de las administraciones públicas de la Comunidad Autónoma del País Vasco, sin perjuicio de la aplicación, en su caso, de lo establecido en la sección 5.ª de este capítulo.

Cuando así proceda, en atención a la naturaleza de los hechos y teniendo debidamente en cuenta los criterios establecidos en el artículo 83.2 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, la Autoridad Vasca de Protección de Datos, previa audiencia al responsable o encargado del tratamiento, podrá dirigir un apercibimiento, así como ordenar al responsable o encargado del tratamiento que adopte las medidas correctivas encaminadas a poner fin al posible incumplimiento de la legislación de protección de datos de una determinada manera y dentro del plazo especificado. El procedimiento tendrá una duración máxima de seis meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones.

Durante la realización de las actuaciones previas de investigación o iniciado un procedimiento para el ejercicio de la potestad sancionadora, la presidencia de la Autoridad Vasca de Protección de Datos podrá acordar motivadamente las medidas provisionales o cautelares necesarias y proporcionadas para salvaguardar el derecho fundamental a la protección de datos y, en especial, las previstas en el artículo 66.1 del Reglamento (UE) 2016/679, el bloqueo cautelar de los datos y la obligación inmediata de atender el derecho solicitado.

Igualmente podrá acordar la adopción de las medidas cautelares establecidas en la normativa reguladora del ejercicio de la potestad sancionadora de las administraciones públicas de la Comunidad Autónoma del País Vasco.

En los casos en que la Autoridad Vasca de Protección de Datos considere que la continuación del tratamiento de los datos personales, su comunicación o transferencia internacional comportará un menoscabo grave del derecho a la protección de datos personales, podrá ordenar a los responsables o encargados de los tratamientos el bloqueo de los datos y la cesación de su tratamiento y, en caso de incumplirse por estos dichos mandatos, proceder a su inmovilización.

Será igualmente posible la adopción excepcional de medidas cautelares por los inspectores o inspectoras de la Autoridad Vasca de Protección de Datos que estuviesen llevando a cabo las actuaciones previas de investigación en los supuestos y con las condiciones establecidas en la normativa reguladora del ejercicio de la potestad sancionadora de las administraciones públicas de la Comunidad Autónoma del País Vasco.

Cuando la Autoridad Vasca de Protección de Datos tuviera la condición de autoridad interesada en un procedimiento de los regulados por el artículo 60 del Reglamento (UE) 2016/679, dará inmediatamente traslado de la reclamación formulada ante ella a la autoridad principal, a fin de que proceda a la tramitación del procedimiento conforme a lo dispuesto en el artículo 60 del citado reglamento.

El acuerdo por el que se resuelva la remisión a la que se refiere el párrafo anterior implicará el archivo provisional del procedimiento, sin perjuicio de que por la Autoridad Vasca de Protección de Datos se dicte, en caso de que así proceda, la resolución a la que se refieren los apartados 8 y 9 del artículo 60 del Reglamento (UE) 2016/679.

La Autoridad Vasca de Protección de Datos se subroga en la posición jurídica de la Agencia Vasca de Protección de Datos en cuanto a los bienes, derechos y obligaciones de que fuera titular la Agencia.

Las referencias hechas en el ordenamiento jurídico a la Agencia Vasca de Protección de Datos deben entenderse hechas a la Autoridad Vasca de Protección de Datos.

El personal funcionario propio de la Autoridad Vasca de Protección de Datos se agrupa en cuerpos y escalas, según el nivel de titulación exigido para el acceso a dichos cuerpos y escalas, conforme a lo previsto en el artículo 76 del Real Decreto Legislativo 5/2015, de 30 de octubre, por el que se aprueba el texto refundido de la Ley del Estatuto Básico del Empleado Público, y según lo previsto en el artículo 15 de la Ley 7/2021, de 11 de noviembre, de los cuerpos y de las escalas de la Administración de la Comunidad Autónoma de Euskadi.

Se crean los siguientes cuerpos y escalas, en los cuales se integrará el personal funcionario propio de la Autoridad:

De acuerdo con lo establecido en el artículo 5 de la presente ley, la relación de puestos de trabajo de la entidad establecerá la adscripción de cada puesto de trabajo a los cuerpos y escalas establecidos en la presente disposición adicional.

El acceso del personal funcionario propio se producirá al cuerpo y escala correspondiente al que esté adscrita la plaza objeto de la convocatoria. La provisión de puestos de trabajo por personal procedente de otras administraciones públicas se realizará de acuerdo con lo establecido, en su caso, en la relación de puestos de trabajo.

Por resolución de la presidencia de la Autoridad se podrá incluir, asimismo, un sistema de equivalencias entre los cuerpos y escalas propios y de los puestos de trabajo de la Autoridad, y los cuerpos, escalas, clases y categorías de otras administraciones públicas.

El Estatuto de la Agencia Vasca de Protección de Datos, aprobado por el Decreto 309/2005, de 18 de octubre, por el que se aprueba el Estatuto de la Agencia Vasca de Protección de Datos, será aplicable a la Autoridad Vasca de Protección de Datos en cuanto no se oponga a lo dispuesto en la presente ley, mientras no se adopte el estatuto de esta última.

Lo dispuesto en el apartado 5 del artículo 8 y en el apartado 1 del artículo 9 será de aplicación una vez expire el mandato de la persona que ostente la dirección de la Agencia Vasca de Protección de Datos y de quienes conformen su consejo consultivo en el momento de entrada en vigor de esta ley.

El personal con nombramiento de funcionaria o funcionario de carrera de la Agencia Vasca de Protección de Datos a la entrada en vigor de esta ley, como consecuencia de los procesos de estabilización excepcional convocados previamente, se integrará en los cuerpos y escalas correspondientes de la Autoridad Vasca de Protección de Datos a los que se adscriban las plazas que ocupen en la relación de puestos de trabajo.

Las funcionarias y funcionarios de carrera integrados en cuerpos y escalas de otras administraciones públicas que desempeñen, como titulares, puestos de trabajo de la Agencia Vasca de Protección de Datos a la entrada en vigor de esta ley, podrán optar por integrarse en los cuerpos y escalas correspondientes de la Autoridad Vasca de Protección de Datos, en los términos que reglamentariamente se determine.

El personal funcionario que ocupe puestos de trabajo de la Agencia Vasca de Protección de Datos en régimen de comisión de servicios o como personal funcionario interino continuará en las mismas condiciones en que viniera prestando sus servicios.