TEMA 8
LA LEY 19/2013 DE 9 DE DICIEMBRE, DE TRANSPARENCIA, ACCESO A LA INFORMACIÓN PUBLICA Y BUEN GOBIERNO : AMBITO DE ACTUACIÓN, PUBLICIDAD ACTIVA Y DERECHO DE ACCESO A LA INFORMACION. ESPECIAL REFERENCIA A LA COMUNIDAD DE MADRID . LEY ORGANICA 3/2018 DE PROPTECCIÓN DE DATOS PERSONALES Y GARANTIA DE DERECHOS DIGITALES : PRINCIPIOS Y DERECHOS DE LAS PERSONAS. REFERENCIA AL DELEGADO DE PROTECCION DE DATOS Y AL RESPONSABLE Y ENCARGADO DEL TRATAMIENTO. ESPECIALIDADES DEL SECTOR PUBLICO
LEY19/2013, DE 9 DE DICIEMBRE, DE TRANSPARENCIA, ACCESO A LA INFORMACIÓN PÚBLICA YBUEN GOBIERNO.
TÍTULO I
Transparencia de
la actividad pública
CAPÍTULO I
Ámbito subjetivo
de aplicación
§
Art. 2. Ámbito subjetivo de aplicación.
o
1. Las disposiciones de este título se aplicarán a:
§
a) La Administración General del Estado, las
Administraciones de las Comunidades Autónomas y de las Ciudades de Ceuta y
Melilla y las entidades que integran la Administración Local.
§
b) Las entidades gestoras y los servicios comunes de
la Seguridad Social así como las mutuas de accidentes de trabajo y enfermedades
profesionales colaboradoras de la Seguridad Social.
§
c) Los organismos autónomos, las Agencias Estatales,
las entidades públicas empresariales y las entidades de Derecho Público que,
con independencia funcional o con una especial autonomía reconocida por la Ley,
tengan atribuidas funciones de regulación o supervisión de carácter externo
sobre un determinado sector o actividad.
§
d) Las entidades de Derecho Público con personalidad
jurídica propia, vinculadas a cualquiera de las Administraciones Públicas o
dependientes de ellas, incluidas las Universidades públicas.
§
e) Las corporaciones de Derecho Público, en lo
relativo a sus actividades sujetas a Derecho Administrativo.
§
f) La Casa de su Majestad el Rey, el Congreso de los
Diputados, el Senado, el Tribunal Constitucional y el Consejo General del Poder
Judicial, así como el Banco de España, el Consejo de Estado, el Defensor del
Pueblo, el Tribunal de Cuentas, el Consejo Económico y Social y las
instituciones autonómicas análogas, en relación con sus actividades sujetas a
Derecho Administrativo.
§
g) Las sociedades mercantiles en cuyo capital social
la participación, directa o indirecta, de las entidades previstas en este Art.
sea superior al 50 por 100.
§
h) Las fundaciones del sector público previstas en la
legislación en materia de fundaciones.
§
i) Las asociaciones constituidas por las
Administraciones, organismos y entidades previstos en este Art.. Se incluyen
los órganos de cooperación previstos en el Art. 5 de la Ley 30/1992, de 26 de
noviembre, de Régimen Jurídico de las Administraciones Públicas y del
Procedimiento Administrativo Común, en la medida en que, por su peculiar naturaleza
y por carecer de una estructura administrativa propia, le resulten aplicables
las disposiciones de este título. En estos casos, el cumplimiento de las
obligaciones derivadas de la presente Ley serán llevadas a cabo por la
Administración que ostente la Secretaría del órgano de cooperación.
o
2. A los efectos de lo previsto en este título, se
entiende por Administraciones Públicas los organismos y entidades incluidos en
las letras a) a d) del apartado anterior.
§
Art. 3. Otros sujetos obligados.
o
Las disposiciones del capítulo II de este título serán
también aplicables a:
§
a) Los partidos políticos, organizaciones sindicales y
organizaciones empresariales.
§
b) Las entidades privadas que perciban durante el
período de un año ayudas o subvenciones públicas en una cuantía superior a
100.000 euros o cuando al menos el 40 % del total de sus ingresos anuales
tengan carácter de ayuda o subvención pública, siempre que alcancen como mínimo
la cantidad de 5.000 euros.
§
Art. 4. Obligación de suministrar información.
o
Las personas físicas y jurídicas distintas de las
referidas en los Art.s anteriores que presten servicios públicos o ejerzan
potestades administrativas estarán obligadas a suministrar a la Administración,
organismo o entidad de las previstas en el Art. 2.1 a la que se encuentren
vinculadas, previo requerimiento, toda la información necesaria para el
cumplimiento por aquéllos de las obligaciones previstas en este título. Esta
obligación se extenderá a los adjudicatarios de contratos del sector público en
los términos previstos en el respectivo contrato.
CAPÍTULO II
Publicidad
activa
§
Art. 5. Principios generales.
o
1. Los sujetos enumerados en el Art. 2.1 publicarán de
forma periódica y actualizada la información cuyo conocimiento sea relevante
para garantizar la transparencia de su actividad relacionada con el
funcionamiento y control de la actuación pública.
o
2. Las obligaciones de transparencia contenidas en
este capítulo se entienden sin perjuicio de la aplicación de la normativa
autonómica correspondiente o de otras disposiciones específicas que prevean un
régimen más amplio en materia de publicidad.
o
3. Serán de aplicación, en su caso, los límites al
derecho de acceso a la información pública previstos en el Art. 14 y,
especialmente, el derivado de la protección de datos de carácter personal,
regulado en el Art. 15. A este respecto, cuando la información contuviera datos
especialmente protegidos, la publicidad sólo se llevará a cabo previa
disociación de los mismos.
o
4. La información sujeta a las obligaciones de
transparencia será publicada en las correspondientes sedes electrónicas o
páginas web y de una manera clara, estructurada y entendible para los
interesados y, preferiblemente, en formatos reutilizables. Se establecerán los
mecanismos adecuados para facilitar la accesibilidad, la interoperabilidad, la
calidad y la reutilización de la información publicada así como su
identificación y localización.
Cuando se trate
de entidades sin ánimo de lucro que persigan exclusivamente fines de interés
social o cultural y cuyo presupuesto sea inferior a 50.000 euros, el
cumplimiento de las obligaciones derivadas de esta Ley podrá realizarse
utilizando los medios electrónicos puestos a su disposición por la
Administración Pública de la que provenga la mayor parte de las ayudas o
subvenciones públicas percibidas.
o
5. Toda la información será comprensible, de acceso
fácil y gratuito y estará a disposición de las personas con discapacidad en una
modalidad suministrada por medios o en formatos adecuados de manera que
resulten accesibles y comprensibles, conforme al principio de accesibilidad
universal y diseño para todos.
§
Art. 6. Información institucional, organizativa y de
planificación.
o
1. Los sujetos comprendidos en el ámbito de aplicación
de este título publicarán información relativa a las funciones que desarrollan,
la normativa que les sea de aplicación así como a su estructura organizativa. A
estos efectos, incluirán un organigrama actualizado que identifique a los
responsables de los diferentes órganos y su perfil y trayectoria profesional.
o
2. Las Administraciones Públicas publicarán los planes
y programas anuales y plurianuales en los que se fijen objetivos concretos, así
como las actividades, medios y tiempo previsto para su consecución. Su grado de
cumplimiento y resultados deberán ser objeto de evaluación y publicación
periódica junto con los indicadores de medida y valoración, en la forma en que
se determine por cada Administración competente.
o
En el ámbito de la Administración General del Estado
corresponde a las inspecciones generales de servicios la evaluación del
cumplimiento de estos planes y programas.
§
Art. 6 bis. Registro de actividades de tratamiento.
o
Los sujetos enumerados en el Art. 77.1 de la Ley
Orgánica de Protección de Datos Personales y Garantía de los Derechos
Digitales, publicarán su inventario de actividades de tratamiento en aplicación
del Art. 31 de la citada Ley Orgánica.
§
Art. 7. Información de relevancia jurídica.
o
Las Administraciones Públicas, en el ámbito de sus
competencias, publicarán:
§
a) Las directrices, instrucciones, acuerdos,
circulares o respuestas a consultas planteadas por los particulares u otros
órganos en la medida en que supongan una interpretación del Derecho o tengan
efectos jurídicos.
§
b) Los Anteproyectos de Ley y los proyectos de
Decretos Legislativos cuya iniciativa les corresponda, cuando se soliciten los
dictámenes a los órganos consultivos correspondientes. En el caso en que no sea
preceptivo ningún dictamen la publicación se realizará en el momento de su
aprobación.
§
c) Los proyectos de Reglamentos cuya iniciativa les
corresponda. Cuando sea preceptiva la solicitud de dictámenes, la publicación
se producirá una vez que estos hayan sido solicitados a los órganos consultivos
correspondientes sin que ello suponga, necesariamente, la apertura de un
trámite de audiencia pública.
§
d) Las memorias e informes que conformen los
expedientes de elaboración de los textos normativos, en particular, la memoria
del análisis de impacto normativo regulada por el Real Decreto 1083/2009, de 3
de julio.
§
e) Los documentos que, conforme a la legislación
sectorial vigente, deban ser sometidos a un período de información pública
durante su tramitación.
§
Art. 8. Información económica, presupuestaria y
estadística.
o
1. Teniendo en cuenta las competencias legislativas de
las Comunidades Autónomas, los sujetos incluidos en el ámbito de aplicación de
este título deberán hacer pública, como mínimo, la información relativa a los
actos de gestión administrativa con repercusión económica o presupuestaria que
se indican a continuación:
§
a) Todos los contratos, con indicación del objeto,
duración, el importe de la licitación y de adjudicación, el procedimiento
utilizado para su celebración, los instrumentos a través de los que, en su
caso, se ha publicitado, el número de licitadores participantes en el
procedimiento y la identidad del adjudicatario, así como las modificaciones del
contrato. Igualmente serán objeto de publicación las decisiones de
desistimiento y renuncia de los contratos. La publicación de la información
relativa a los contratos menores podrá realizarse trimestralmente.
§
Asimismo, se publicarán datos estadísticos sobre el
porcentaje en volumen presupuestario de contratos adjudicados a través de cada
uno de los procedimientos previstos en la legislación de contratos del sector
público.
§
Además, se publicará información estadística sobre el
porcentaje de participación en contratos adjudicados, tanto en relación con su
número como en relación con su valor, de la categoría de microempresas,
pequeñas y medianas empresas (pymes), entendidas como tal según el anexo I del
Reglamento (UE) n.º 651/2014 de la Comisión, de 17 de junio de 2014, para cada
uno de los procedimientos y tipologías previstas en la legislación de contratos
del sector público. La publicación de esta información se realizará
semestralmente, a partir de un año de la publicación de la norma.
§
b) La relación de los convenios suscritos, con mención
de las partes firmantes, su objeto, plazo de duración, modificaciones
realizadas, obligados a la realización de las prestaciones y, en su caso, las
obligaciones económicas convenidas. Igualmente, se publicarán las encomiendas
de gestión que se firmen, con indicación de su objeto, presupuesto, duración,
obligaciones económicas y las subcontrataciones que se realicen con mención de
los adjudicatarios, procedimiento seguido para la adjudicación e importe de la
misma.
§
c) Las subvenciones y ayudas públicas concedidas con
indicación de su importe, objetivo o finalidad y beneficiarios.
§
d) Los presupuestos, con descripción de las
principales partidas presupuestarias e información actualizada y comprensible
sobre su estado de ejecución y sobre el cumplimiento de los objetivos de
estabilidad presupuestaria y sostenibilidad financiera de las Administraciones
Públicas.
§
e) Las cuentas anuales que deban rendirse y los
informes de auditoría de cuentas y de fiscalización por parte de los órganos de
control externo que sobre ellos se emitan.
§
f) Las retribuciones percibidas anualmente por los
altos cargos y máximos responsables de las entidades incluidas en el ámbito de
la aplicación de este título. Igualmente, se harán públicas las indemnizaciones
percibidas, en su caso, con ocasión del abandono del cargo.
§
g) Las resoluciones de autorización o reconocimiento
de compatibilidad que afecten a los empleados públicos así como las que
autoricen el ejercicio de actividad privada al cese de los altos cargos de la
Administración General del Estado o asimilados según la normativa autonómica o
local.
§
h) Las declaraciones anuales de bienes y actividades
de los representantes locales, en los términos previstos en la Ley 7/1985, de 2
de abril, Reguladora de las Bases del Régimen Local. Cuando el reglamento no
fije los términos en que han de hacerse públicas estas declaraciones se
aplicará lo dispuesto en la normativa de conflictos de intereses en el ámbito
de la Administración General del Estado. En todo caso, se omitirán los datos
relativos a la localización concreta de los bienes inmuebles y se garantizará
la privacidad y seguridad de sus titulares.
§
i) La información estadística necesaria para valorar
el grado de cumplimiento y calidad de los servicios públicos que sean de su
competencia, en los términos que defina cada administración competente.
o
2. Los sujetos mencionados en el Art. 3 deberán
publicar la información a la que se refieren las letras a) y b) del apartado
primero de este Art. cuando se trate de contratos o convenios celebrados con
una Administración Pública.
Asimismo, habrán
de publicar la información prevista en la letra c) en relación a las
subvenciones que reciban cuando el órgano concedente sea una Administración
Pública.
o
3. Las Administraciones Públicas publicarán la
relación de los bienes inmuebles que sean de su propiedad o sobre los que
ostenten algún derecho real.
§
Art. 9. Control.
o
1. El cumplimiento por la Administración General del
Estado de las obligaciones contenidas en este capítulo será objeto de control
por parte del Consejo de Transparencia y Buen Gobierno.
o
2. En ejercicio de la competencia prevista en el
apartado anterior, el Consejo de Transparencia y Buen Gobierno, de acuerdo con
el procedimiento que se prevea reglamentariamente, podrá dictar resoluciones en
las que se establezcan las medidas que sea necesario adoptar para el cese del
incumplimiento y el inicio de las actuaciones disciplinarias que procedan
o
3. El incumplimiento reiterado de las obligaciones de
publicidad activa reguladas en este capítulo tendrá la consideración de
infracción grave a los efectos de aplicación a sus responsables del régimen
disciplinario previsto en la correspondiente normativa reguladora.
§
Art. 10. Portal de la Transparencia.
o
1. La Administración General del Estado desarrollará
un Portal de la Transparencia, dependiente del Ministerio de la Presidencia,
que facilitará el acceso de los ciudadanos a toda la información a la que se
refieren los Art.s anteriores relativa a su ámbito de actuación
o
2. El Portal de la Transparencia incluirá, en los
términos que se establezcan reglamentariamente, la información de la
Administración General del Estado, cuyo acceso se solicite con mayor
frecuencia.
o
3. La Administración General del Estado, las
Administraciones de las Comunidades Autónomas y de las Ciudades de Ceuta y
Melilla y las entidades que integran la Administración Local podrán adoptar
otras medidas complementarias y de colaboración para el cumplimiento de las
obligaciones de transparencia recogidas en este capítulo.
§
Art. 11. Principios técnicos.
o
El Portal de la Transparencia contendrá información
publicada de acuerdo con las prescripciones técnicas que se establezcan
reglamentariamente que deberán adecuarse a los siguientes principios
§
a) Accesibilidad: se proporcionará información
estructurada sobre los documentos y recursos de información con vistas a
facilitar la identificación y búsqueda de la información
§
b) Interoperabilidad: la información publicada será
conforme al Esquema Nacional de Interoperabilidad, aprobado por el Real Decreto
4/2010, de 8 enero, así como a las normas técnicas de interoperabilidad.
§
c) Reutilización: se fomentará que la información sea
publicada en formatos que permita su reutilización, de acuerdo con lo previsto
en la Ley 37/2007, de 16 de noviembre, sobre reutilización de la información
del sector público y en su normativa de desarrollo.
CAPÍTULO III
Derecho de acceso
a la información pública
Sección 1.ª Régimen general
§
Art. 12. Derecho de acceso a la información pública.
o
Todas las personas tienen derecho a acceder a la
información pública, en los términos previstos en el Art. 105.b) de la
Constitución Española, desarrollados por esta Ley.
o
Asimismo, y en el ámbito de sus respectivas
competencias, será de aplicación la correspondiente normativa autonómica.
§
Art. 13. Información pública.
o
Se entiende por información pública los contenidos o
documentos, cualquiera que sea su formato o soporte, que obren en poder de
alguno de los sujetos incluidos en el ámbito de aplicación de este título y que
hayan sido elaborados o adquiridos en el ejercicio de sus funciones.
§
Art. 14. Límites al derecho de acceso.
o
1. El derecho de acceso podrá ser limitado cuando
acceder a la información suponga un perjuicio para:
§
a) La seguridad nacional.
§
b) La defensa.
§
c) Las relaciones exteriores.
§
d) La seguridad pública.
§
e) La prevención, investigación y sanción de los
ilícitos penales, administrativos o disciplinarios.
§
f) La igualdad de las partes en los procesos
judiciales y la tutela judicial efectiva.
§
g) Las funciones administrativas de vigilancia,
inspección y control.
§
h) Los intereses económicos y comerciales.
§
i) La política económica y monetaria.
§
j) El secreto profesional y la propiedad intelectual e
industrial.
§
k) La garantía de la confidencialidad o el secreto
requerido en procesos de toma de decisión.
§
l) La protección del medio ambiente.
o
2. La aplicación de los límites será justificada y proporcionada
a su objeto y finalidad de protección y atenderá a las circunstancias del caso
concreto, especialmente a la concurrencia de un interés público o privado
superior que justifique el acceso.
o
3. Las resoluciones que de conformidad con lo previsto
en la sección 2.ª se dicten en aplicación de este Art. serán objeto de
publicidad previa disociación de los datos de carácter personal que contuvieran
y sin perjuicio de lo dispuesto en el apartado 3 del Art. 20, una vez hayan
sido notificadas a los interesados.
§
Art. 15. Protección de datos personales.
o
1. Si la información solicitada contuviera datos
personales que revelen la ideología, afiliación sindical, religión o creencias,
el acceso únicamente se podrá autorizar en caso de que se contase con el consentimiento
expreso y por escrito del afectado, a menos que dicho afectado hubiese hecho
manifiestamente públicos los datos con anterioridad a que se solicitase el
acceso.
o
Si la información incluyese datos personales que hagan
referencia al origen racial, a la salud o a la vida sexual, incluyese datos
genéticos o biométricos o contuviera datos relativos a la comisión de
infracciones penales o administrativas que no conllevasen la amonestación
pública al infractor, el acceso solo se podrá autorizar en caso de que se
cuente con el consentimiento expreso del afectado o si aquel estuviera amparado
por una norma con rango de ley.
o
2. Con carácter general, y salvo que en el caso
concreto prevalezca la protección de datos personales u otros derechos
constitucionalmente protegidos sobre el interés público en la divulgación que
lo impida, se concederá el acceso a información que contenga datos meramente
identificativos relacionados con la organización, funcionamiento o actividad
pública del órgano.
o
3. Cuando la información solicitada no contuviera
datos especialmente protegidos, el órgano al que se dirija la solicitud
concederá el acceso previa ponderación suficientemente razonada del interés
público en la divulgación de la información y los derechos de los afectados cuyos
datos aparezcan en la información solicitada, en particular su derecho
fundamental a la protección de datos de carácter personal.
o
Para la realización de la citada ponderación, dicho
órgano tomará particularmente en consideración los siguientes criterios:
§
a) El menor perjuicio a los afectados derivado del
transcurso de los plazos establecidos en el Art. 57 de la Ley 16/1985, de 25 de
junio, del Patrimonio Histórico Español.
§
b) La justificación por los solicitantes de su
petición en el ejercicio de un derecho o el hecho de que tengan la condición de
investigadores y motiven el acceso en fines históricos, científicos o
estadísticos.
§
c) El menor perjuicio de los derechos de los afectados
en caso de que los documentos únicamente contuviesen datos de carácter meramente
identificativo de aquéllos.
§
d) La mayor garantía de los derechos de los afectados
en caso de que los datos contenidos en el documento puedan afectar a su
intimidad o a su seguridad, o se refieran a menores de edad.
o
4. No será aplicable lo establecido en los apartados
anteriores si el acceso se efectúa previa disociación de los datos de carácter
personal de modo que se impida la identificación de las personas afectadas.
o
5. La normativa de protección de datos personales será
de aplicación al tratamiento posterior de los obtenidos a través del ejercicio
del derecho de acceso.
§
Art. 16. Acceso parcial.
o
En los casos en que la aplicación de alguno de los
límites previstos en el Art. 14 no afecte a la totalidad de la información, se
concederá el acceso parcial previa omisión de la información afectada por el
límite salvo que de ello resulte una información distorsionada o que carezca de
sentido. En este caso, deberá indicarse al solicitante que parte de la
información ha sido omitida.
Sección 2.ª Ejercicio del derecho de acceso a la información pública
§
Art. 17. Solicitud de acceso a la información.
o
1. El procedimiento para el ejercicio del derecho de
acceso se iniciará con la presentación de la correspondiente solicitud, que
deberá dirigirse al titular del órgano administrativo o entidad que posea la
información. Cuando se trate de información en posesión de personas físicas o
jurídicas que presten servicios públicos o ejerzan potestades administrativas,
la solicitud se dirigirá a la Administración, organismo o entidad de las
previstas en el Art. 2.1 a las que se encuentren vinculadas.
o
2. La solicitud podrá presentarse por cualquier medio
que permita tener constancia de:
§
a) La identidad del solicitante.
§
b) La información que se solicita.
§
c) Una dirección de contacto, preferentemente
electrónica, a efectos de comunicaciones.
§
d) En su caso, la modalidad que se prefiera para
acceder a la información solicitada.
o
3. El solicitante no está obligado a motivar su
solicitud de acceso a la información. Sin embargo, podrá exponer los motivos
por los que solicita la información y que podrán ser tenidos en cuenta cuando
se dicte la resolución. No obstante, la ausencia de motivación no será por si
sola causa de rechazo de la solicitud.
o
4. Los solicitantes de información podrán dirigirse a
las Administraciones Públicas en cualquiera de las lenguas cooficiales del
Estado en el territorio en el que radique la Administración en cuestión.
§
Art. 18. Causas de inadmisión.
o
1. Se inadmitirán a trámite, mediante resolución
motivada, las solicitudes:
§
a) Que se refieran a información que esté en curso de
elaboración o de publicación general.
§
b) Referidas a información que tenga carácter auxiliar
o de apoyo como la contenida en notas, borradores, opiniones, resúmenes,
comunicaciones e informes internos o entre órganos o entidades administrativas.
§
c) Relativas a información para cuya divulgación sea
necesaria una acción previa de reelaboración.
§
d) Dirigidas a un órgano en cuyo poder no obre la
información cuando se desconozca el competente.
§
e) Que sean manifiestamente repetitivas o tengan un
carácter abusivo no justificado con la finalidad de transparencia de esta Ley.
o
2. En el caso en que se inadmita la solicitud por
concurrir la causa prevista en la letra d) del apartado anterior, el órgano que
acuerde la inadmisión deberá indicar en la resolución el órgano que, a su
juicio, es competente para conocer de la solicitud.
§
Art. 19. Tramitación.
o
1. Si la solicitud se refiere a información que no
obre en poder del sujeto al que se dirige, éste la remitirá al competente, si
lo conociera, e informará de esta circunstancia al solicitante
o
2. Cuando la solicitud no identifique de forma
suficiente la información, se pedirá al solicitante que la concrete en un plazo
de diez días, con indicación de que, en caso de no hacerlo, se le tendrá por
desistido, así como de la suspensión del plazo para dictar resolución.
o
3. Si la información solicitada pudiera afectar a
derechos o intereses de terceros, debidamente identificados, se les concederá
un plazo de quince días para que puedan realizar las alegaciones que estimen
oportunas. El solicitante deberá ser informado de esta circunstancia, así como
de la suspensión del plazo para dictar resolución hasta que se hayan recibido
las alegaciones o haya transcurrido el plazo para su presentación.
o
4. Cuando la información objeto de la solicitud, aun
obrando en poder del sujeto al que se dirige, haya sido elaborada o generada en
su integridad o parte principal por otro, se le remitirá la solicitud a éste
para que decida sobre el acceso.
§
Art. 20. Resolución.
o
1. La resolución en la que se conceda o deniegue el
acceso deberá notificarse al solicitante y a los terceros afectados que así lo
hayan solicitado en el plazo máximo de un mes desde la recepción de la
solicitud por el órgano competente para resolver.
o
Este plazo podrá ampliarse por otro mes en el caso de
que el volumen o la complejidad de la información que se solicita así lo hagan
necesario y previa notificación al solicitante.
o
2. Serán motivadas las resoluciones que denieguen el
acceso, las que concedan el acceso parcial o a través de una modalidad distinta
a la solicitada y las que permitan el acceso cuando haya habido oposición de un
tercero. En este último supuesto, se indicará expresamente al interesado que el
acceso sólo tendrá lugar cuando haya transcurrido el plazo del Art. 22.2.
o
3. Cuando la mera indicación de la existencia o no de
la información supusiera la vulneración de alguno de los límites al acceso se
indicará esta circunstancia al desestimarse la solicitud.
o
4. Transcurrido el plazo máximo para resolver sin que
se haya dictado y notificado resolución expresa se entenderá que la solicitud
ha sido desestimada.
o
5. Las resoluciones dictadas en materia de acceso a la
información pública son recurribles directamente ante la Jurisdicción
Contencioso-administrativa, sin perjuicio de la posibilidad de interposición de
la reclamación potestativa prevista en el Art. 24.
o
6. El incumplimiento reiterado de la obligación de
resolver en plazo tendrá la consideración de infracción grave a los efectos de
la aplicación a sus responsables del régimen disciplinario previsto en la
correspondiente normativa reguladora.
§
Art. 21. Unidades de información.
o
1. Las Administraciones Públicas incluidas en el
ámbito de aplicación de este título establecerán sistemas para integrar la
gestión de solicitudes de información de los ciudadanos en el funcionamiento de
su organización interna.
o
2. En el ámbito de la Administración General del
Estado, existirán unidades especializadas que tendrán las siguientes funciones:
§
a) Recabar y difundir la información a la que se
refiere el capítulo II del título I de esta Ley.
§
b) Recibir y dar tramitación a las solicitudes de
acceso a la información
§
c) Realizar los trámites internos necesarios para dar
acceso a la información solicitada.
§
d) Realizar el seguimiento y control de la correcta
tramitación de las solicitudes de acceso a la información.
§
e) Llevar un registro de las solicitudes de acceso a
la información.
§
f) Asegurar la disponibilidad en la respectiva página
web o sede electrónica de la información cuyo acceso se solicita con más
frecuencia.
§
g) Mantener actualizado un mapa de contenidos en el
que queden identificados los distintos tipos de información que obre en poder
del órgano.
§
h) Todas aquellas que sean necesarias para asegurar
una correcta aplicación de las disposiciones de esta Ley.
o
3. El resto de las entidades incluidas en el ámbito de
aplicación de este título identificarán claramente el órgano competente para
conocer de las solicitudes de acceso.
§
Art. 22. Formalización del acceso.
o
1. El acceso a la información se realizará
preferentemente por vía electrónica, salvo cuando no sea posible o el
solicitante haya señalado expresamente otro medio. Cuando no pueda darse el
acceso en el momento de la notificación de la resolución deberá otorgarse, en
cualquier caso, en un plazo no superior a diez días.
o
2. Si ha existido oposición de tercero, el acceso sólo
tendrá lugar cuando, habiéndose concedido dicho acceso, haya transcurrido el
plazo para interponer recurso contencioso administrativo sin que se haya
formalizado o haya sido resuelto confirmando el derecho a recibir la
información.
o
3. Si la información ya ha sido publicada, la
resolución podrá limitarse a indicar al solicitante cómo puede acceder a ella.
o
4. El acceso a la información será gratuito. No
obstante, la expedición de copias o la trasposición de la información a un
formato diferente al original podrá dar lugar a la exigencia de exacciones en
los términos previstos en la Ley 8/1989, de 13 de abril, de Tasas y Precios
Públicos, o, en su caso, conforme a la normativa autonómica o local que resulte
aplicable.
Sección 3.ª Régimen de impugnaciones
§
Art. 23. Recursos.
o
1. La reclamación prevista en el Art. siguiente tendrá
la consideración de sustitutiva de los recursos administrativos de conformidad
con lo dispuesto en el Art. 107.2 de la Ley 30/1992, de 26 de noviembre, de
Régimen Jurídico de las Administraciones Públicas y del Procedimiento
Administrativo Común.
o
2. No obstante lo dispuesto en el apartado anterior,
contra las resoluciones dictadas por los órganos previstos en el Art. 2.1.f)
sólo cabrá la interposición de recurso contencioso-administrativo.
§
Art. 24. Reclamación ante el Consejo de Transparencia
y Buen Gobierno.
o
1. Frente a toda resolución expresa o presunta en
materia de acceso podrá interponerse una reclamación ante el Consejo de
Transparencia y Buen Gobierno, con carácter potestativo y previo a su
impugnación en vía contencioso-administrativa
o
2. La reclamación se interpondrá en el plazo de un mes
a contar desde el día siguiente al de la notificación del acto impugnado o
desde el día siguiente a aquel en que se produzcan los efectos del silencio
administrativo.
o
3. La tramitación de la reclamación se ajustará a lo
dispuesto en materia de recursos en la Ley 30/1992, de 26 de noviembre, de
Régimen Jurídico de las Administraciones Públicas y del Procedimiento
Administrativo Común.
o
Cuando la denegación del acceso a la información se
fundamente en la protección de derechos o intereses de terceros se otorgará,
previamente a la resolución de la reclamación, trámite de audiencia a las
personas que pudieran resultar afectadas para que aleguen lo que a su derecho
convenga.
o
4. El plazo máximo para resolver y notificar la
resolución será de tres meses, transcurrido el cual, la reclamación se
entenderá desestimada.
o
5. Las resoluciones del Consejo de Transparencia y
Buen Gobierno se publicarán, previa disociación de los datos de carácter
personal que contuvieran, por medios electrónicos y en los términos en que se
establezca reglamentariamente, una vez se hayan notificado a los interesados.
o
El Presidente del Consejo de Transparencia y Buen
Gobierno comunicará al Defensor del Pueblo las resoluciones que dicte en
aplicación de este Art..
o
6. La competencia para conocer de dichas reclamaciones
corresponderá al Consejo de Transparencia y Buen Gobierno, salvo en aquellos
supuestos en que las Comunidades Autónomas atribuyan dicha competencia a un
órgano específico, de acuerdo con lo establecido en la disposición adicional
cuarta de esta Ley.
ESPECIAL REFERENCIA A LA COMUNIDAD DE MADRID.
LEY 10/2019, DE 10 DE ABRIL, DETRANSPARENCIA Y DE PARTICIPACIÓN DE LA COMUNIDAD DE MADRID. (VER LEY)
TÍTULO II
Principios de
protección de datos
§
Art. 4. Exactitud de los datos.
o
1. Conforme al Art. 5.1.d) del Reglamento (UE)
2016/679 los datos serán exactos y, si fuere necesario, actualizados.
o
2. A los efectos previstos en el Art. 5.1.d) del
Reglamento (UE) 2016/679, no será imputable al responsable del tratamiento,
siempre que este haya adoptado todas las medidas razonables para que se
supriman o rectifiquen sin dilación, la inexactitud de los datos personales,
con respecto a los fines para los que se tratan, cuando los datos inexactos:
§
a) Hubiesen sido obtenidos por el responsable
directamente del afectado.
§
b) Hubiesen sido obtenidos por el responsable de un
mediador o intermediario en caso de que las normas aplicables al sector de
actividad al que pertenezca el responsable del tratamiento establecieran la
posibilidad de intervención de un intermediario o mediador que recoja en nombre
propio los datos de los afectados para su transmisión al responsable. El
mediador o intermediario asumirá las responsabilidades que pudieran derivarse
en el supuesto de comunicación al responsable de datos que no se correspondan
con los facilitados por el afectado
§
c) Fuesen sometidos a tratamiento por el responsable
por haberlos recibido de otro responsable en virtud del ejercicio por el
afectado del derecho a la portabilidad conforme al Art. 20 del Reglamento (UE)
2016/679 y lo previsto en esta ley orgánica.
§
d) Fuesen obtenidos de un registro público por el
responsable.
§
Art. 5. Deber de confidencialidad.
o
1. Los responsables y encargados del tratamiento de
datos así como todas las personas que intervengan en cualquier fase de este
estarán sujetas al deber de confidencialidad al que se refiere el Art. 5.1.f)
del Reglamento (UE) 2016/679.
o
2. La obligación general señalada en el apartado
anterior será complementaria de los deberes de secreto profesional de
conformidad con su normativa aplicable.
o
3. Las obligaciones establecidas en los apartados
anteriores se mantendrán aun cuando hubiese finalizado la relación del obligado
con el responsable o encargado del tratamiento.
§
Art. 6. Tratamiento basado en el consentimiento del
afectado.
o
1. De conformidad con lo dispuesto en el Art. 4.11 del
Reglamento (UE) 2016/679, se entiende por consentimiento del afectado toda
manifestación de voluntad libre, específica, informada e inequívoca por la que
este acepta, ya sea mediante una declaración o una clara acción afirmativa, el
tratamiento de datos personales que le conciernen.
o
2. Cuando se pretenda fundar el tratamiento de los
datos en el consentimiento del afectado para una pluralidad de finalidades será
preciso que conste de manera específica e inequívoca que dicho consentimiento
se otorga para todas ellas.
o
3. No podrá supeditarse la ejecución del contrato a
que el afectado consienta el tratamiento de los datos personales para
finalidades que no guarden relación con el mantenimiento, desarrollo o control
de la relación contractual.
§
Art. 7. Consentimiento de los menores de edad.
o
1. El tratamiento de los datos personales de un menor
de edad únicamente podrá fundarse en su consentimiento cuando sea mayor de
catorce años.
o
Se exceptúan los supuestos en que la ley exija la
asistencia de los titulares de la patria potestad o tutela para la celebración
del acto o negocio jurídico en cuyo contexto se recaba el consentimiento para
el tratamiento.
o
2. El tratamiento de los datos de los menores de
catorce años, fundado en el consentimiento, solo será lícito si consta el del
titular de la patria potestad o tutela, con el alcance que determinen los
titulares de la patria potestad o tutela.
§
Art. 8. Tratamiento de datos por obligación legal,
interés público o ejercicio de poderes públicos.
o
1. El tratamiento de datos personales solo podrá
considerarse fundado en el cumplimiento de una obligación legal exigible al
responsable, en los términos previstos en el Art. 6.1.c) del Reglamento (UE)
2016/679, cuando así lo prevea una norma de Derecho de la Unión Europea o una
norma con rango de ley, que podrá determinar las condiciones generales del
tratamiento y los tipos de datos objeto del mismo así como las cesiones que
procedan como consecuencia del cumplimiento de la obligación legal. Dicha norma
podrá igualmente imponer condiciones especiales al tratamiento, tales como la
adopción de medidas adicionales de seguridad u otras establecidas en el
capítulo IV del Reglamento (UE) 2016/679.
o
2. El tratamiento de datos personales solo podrá
considerarse fundado en el cumplimiento de una misión realizada en interés
público o en el ejercicio de poderes públicos conferidos al responsable, en los
términos previstos en el Art. 6.1 e) del Reglamento (UE) 2016/679, cuando
derive de una competencia atribuida por una norma con rango de ley.
§
Art. 9. Categorías especiales de datos.
o
1. A los efectos del Art. 9.2.a) del Reglamento (UE)
2016/679, a fin de evitar situaciones discriminatorias, el solo consentimiento
del afectado no bastará para levantar la prohibición del tratamiento de datos
cuya finalidad principal sea identificar su ideología, afiliación sindical,
religión, orientación sexual, creencias u origen racial o étnico.
o
Lo dispuesto en el párrafo anterior no impedirá el
tratamiento de dichos datos al amparo de los restantes supuestos contemplados
en el Art. 9.2 del Reglamento (UE) 2016/679, cuando así proceda.
o
2. Los tratamientos de datos contemplados en las
letras g), h) e i) del Art. 9.2 del Reglamento (UE) 2016/679 fundados en el
Derecho español deberán estar amparados en una norma con rango de ley, que
podrá establecer requisitos adicionales relativos a su seguridad y
confidencialidad.
o
En particular, dicha norma podrá amparar el
tratamiento de datos en el ámbito de la salud cuando así lo exija la gestión de
los sistemas y servicios de asistencia sanitaria y social, pública y privada, o
la ejecución de un contrato de seguro del que el afectado sea parte.
§
Art. 10. Tratamiento de datos de naturaleza penal.
o
1. El tratamiento de datos personales relativos a
condenas e infracciones penales, así como a procedimientos y medidas cautelares
y de seguridad conexas, para fines distintos de los de prevención,
investigación, detección o enjuiciamiento de infracciones penales o de
ejecución de sanciones penales, solo podrá llevarse a cabo cuando se encuentre
amparado en una norma de Derecho de la Unión, en esta ley orgánica o en otras
normas de rango legal.
o
2. El registro completo de los datos referidos a
condenas e infracciones penales, así como a procedimientos y medidas cautelares
y de seguridad conexas a que se refiere el Art. 10 del Reglamento (UE)
2016/679, podrá realizarse conforme con lo establecido en la regulación del
Sistema de registros administrativos de apoyo a la Administración de Justicia.
o
3. Fuera de los supuestos señalados en los apartados
anteriores, los tratamientos de datos referidos a condenas e infracciones
penales, así como a procedimientos y medidas cautelares y de seguridad conexas
solo serán posibles cuando sean llevados a cabo por abogados y procuradores y
tengan por objeto recoger la información facilitada por sus clientes para el
ejercicio de sus funciones.
TÍTULO III
Derechos de las
personas
CAPÍTULO I
Transparencia e
información
§
Art. 11. Transparencia e información al afectado.
o
1. Cuando los datos personales sean obtenidos del
afectado el responsable del tratamiento podrá dar cumplimiento al deber de
información establecido en el Art. 13 del Reglamento (UE) 2016/679 facilitando
al afectado la información básica a la que se refiere el apartado siguiente e
indicándole una dirección electrónica u otro medio que permita acceder de forma
sencilla e inmediata a la restante información.
o
2. La información básica a la que se refiere el
apartado anterior deberá contener, al menos:
§
a) La identidad del responsable del tratamiento y de
su representante, en su caso
§
b) La finalidad del tratamiento.
§
c) La posibilidad de ejercer los derechos establecidos
en los Art.s 15 a 22 del Reglamento (UE) 2016/679.
o
Si los datos obtenidos del afectado fueran a ser
tratados para la elaboración de perfiles, la información básica comprenderá
asimismo esta circunstancia. En este caso, el afectado deberá ser informado de
su derecho a oponerse a la adopción de decisiones individuales automatizadas
que produzcan efectos jurídicos sobre él o le afecten significativamente de
modo similar, cuando concurra este derecho de acuerdo con lo previsto en el Art.
22 del Reglamento (UE) 2016/679.
o
3. Cuando los datos personales no hubieran sido
obtenidos del afectado, el responsable podrá dar cumplimiento al deber de
información establecido en el Art. 14 del Reglamento (UE) 2016/679 facilitando
a aquel la información básica señalada en el apartado anterior, indicándole una
dirección electrónica u otro medio que permita acceder de forma sencilla e
inmediata a la restante información.
o
En estos supuestos, la información básica incluirá
también:
§
a) Las categorías de datos objeto de tratamiento.
§
b) Las fuentes de las que procedieran los datos.
CAPÍTULO II
Ejercicio de los
derechos
§
Art. 12. Disposiciones generales sobre ejercicio de
los derechos.
o
1. Los derechos reconocidos en los Art.s 15 a 22 del
Reglamento (UE) 2016/679, podrán ejercerse directamente o por medio de
representante legal o voluntario.
o
2. El responsable del tratamiento estará obligado a
informar al afectado sobre los medios a su disposición para ejercer los
derechos que le corresponden. Los medios deberán ser fácilmente accesibles para
el afectado. El ejercicio del derecho no podrá ser denegado por el solo motivo
de optar el afectado por otro medio.
o
3. El encargado podrá tramitar, por cuenta del
responsable, las solicitudes de ejercicio formuladas por los afectados de sus
derechos si así se estableciere en el contrato o acto jurídico que les vincule.
o
4. La prueba del cumplimiento del deber de responder a
la solicitud de ejercicio de sus derechos formulado por el afectado recaerá
sobre el responsable
o
5. Cuando las leyes aplicables a determinados
tratamientos establezcan un régimen especial que afecte al ejercicio de los
derechos previstos en el Capítulo III del Reglamento (UE) 2016/679, se estará a
lo dispuesto en aquellas.
o
6. En cualquier caso, los titulares de la patria
potestad podrán ejercitar en nombre y representación de los menores de catorce
años los derechos de acceso, rectificación, cancelación, oposición o
cualesquiera otros que pudieran corresponderles en el contexto de la presente
ley orgánica.
o
7. Serán gratuitas las actuaciones llevadas a cabo por
el responsable del tratamiento para atender las solicitudes de ejercicio de
estos derechos, sin perjuicio de lo dispuesto en los Art.s 12.5 y 15.3 del
Reglamento (UE) 2016/679 y en los apartados 3 y 4 del Art. 13 de esta ley
orgánica.
§
Art. 13. Derecho de acceso.
o
1. El derecho de acceso del afectado se ejercitará de
acuerdo con lo establecido en el Art. 15 del Reglamento (UE) 2016/679.
o
Cuando el responsable trate una gran cantidad de datos
relativos al afectado y este ejercite su derecho de acceso sin especificar si
se refiere a todos o a una parte de los datos, el responsable podrá
solicitarle, antes de facilitar la información, que el afectado especifique los
datos o actividades de tratamiento a los que se refiere la solicitud.
o
2. El derecho de acceso se entenderá otorgado si el
responsable del tratamiento facilitara al afectado un sistema de acceso remoto,
directo y seguro a los datos personales que garantice, de modo permanente, el
acceso a su totalidad. A tales efectos, la comunicación por el responsable al
afectado del modo en que este podrá acceder a dicho sistema bastará para tener
por atendida la solicitud de ejercicio del derecho.
o
No obstante, el interesado podrá solicitar del
responsable la información referida a los extremos previstos en el Art. 15.1
del Reglamento (UE) 2016/679 que no se incluyese en el sistema de acceso remoto
o
3. A los efectos establecidos en el Art. 12.5 del
Reglamento (UE) 2016/679 se podrá considerar repetitivo el ejercicio del
derecho de acceso en más de una ocasión durante el plazo de seis meses, a menos
que exista causa legítima para ello.
o
4. Cuando el afectado elija un medio distinto al que
se le ofrece que suponga un coste desproporcionado, la solicitud será
considerada excesiva, por lo que dicho afectado asumirá el exceso de costes que
su elección comporte. En este caso, solo será exigible al responsable del
tratamiento la satisfacción del derecho de acceso sin dilaciones indebidas.
§
Art. 14. Derecho de rectificación.
o
Al ejercer el derecho de rectificación reconocido en
el Art. 16 del Reglamento (UE) 2016/679, el afectado deberá indicar en su
solicitud a qué datos se refiere y la corrección que haya de realizarse. Deberá
acompañar, cuando sea preciso, la documentación justificativa de la inexactitud
o carácter incompleto de los datos objeto de tratamiento.
§
Art. 15. Derecho de supresión.
o
1. El derecho de supresión se ejercerá de acuerdo con
lo establecido en el Art. 17 del Reglamento (UE) 2016/679.
o
2. Cuando la supresión derive del ejercicio del
derecho de oposición con arreglo al Art. 21.2 del Reglamento (UE) 2016/679, el
responsable podrá conservar los datos identificativos del afectado necesarios
con el fin de impedir tratamientos futuros para fines de mercadotecnia directa.
Art. 16. Derecho a la limitación del tratamiento.
o
1. El derecho a la limitación del tratamiento se
ejercerá de acuerdo con lo establecido en el Art. 18 del Reglamento (UE)
2016/679.
o
2. El hecho de que el tratamiento de los datos
personales esté limitado debe constar claramente en los sistemas de información
del responsable.
§
Art. 17. Derecho a la portabilidad.
o
El derecho a la portabilidad se ejercerá de acuerdo
con lo establecido en el Art. 20 del Reglamento (UE) 2016/679.
§
Art. 18. Derecho de oposición.
o
El derecho de oposición, así como los derechos
relacionados con las decisiones individuales automatizadas, incluida la
realización de perfiles, se ejercerán de acuerdo con lo establecido,
respectivamente, en los Art.s 21 y 22 del Reglamento (UE) 2016/679.
TÍTULO V
Responsable y
encargado del tratamiento
CAPÍTULO I
Disposiciones
generales. Medidas de responsabilidad activa
§
Art. 28. Obligaciones generales del responsable y
encargado del tratamiento.
o
1. Los responsables y encargados, teniendo en cuenta
los elementos enumerados en los Art.s 24 y 25 del Reglamento (UE) 2016/679,
determinarán las medidas técnicas y organizativas apropiadas que deben aplicar
a fin de garantizar y acreditar que el tratamiento es conforme con el citado
reglamento, con la presente ley orgánica, sus normas de desarrollo y la
legislación sectorial aplicable. En particular valorarán si procede la
realización de la evaluación de impacto en la protección de datos y la consulta
previa a que se refiere la Sección 3 del Capítulo IV del citado reglamento.
o
2. Para la adopción de las medidas a que se refiere el
apartado anterior los responsables y encargados del tratamiento tendrán en
cuenta, en particular, los mayores riesgos que podrían producirse en los
siguientes supuestos:
§
a) Cuando el tratamiento pudiera generar situaciones
de discriminación, usurpación de identidad o fraude, pérdidas financieras, daño
para la reputación, pérdida de confidencialidad de datos sujetos al secreto
profesional, reversión no autorizada de la seudonimización o cualquier otro
perjuicio económico, moral o social significativo para los afectados.
§
b) Cuando el tratamiento pudiese privar a los
afectados de sus derechos y libertades o pudiera impedirles el ejercicio del
control sobre sus datos personales.
§
c) Cuando se produjese el tratamiento no meramente
incidental o accesorio de las categorías especiales de datos a las que se
refieren los Art.s 9 y 10 del Reglamento (UE) 2016/679 y 9 y 10 de esta ley
orgánica o de los datos relacionados con la comisión de infracciones
administrativas.
§
d) Cuando el tratamiento implicase una evaluación de
aspectos personales de los afectados con el fin de crear o utilizar perfiles
personales de los mismos, en particular mediante el análisis o la predicción de
aspectos referidos a su rendimiento en el trabajo, su situación económica, su
salud, sus preferencias o intereses personales, su fiabilidad o comportamiento,
su solvencia financiera, su localización o sus movimientos.
§
e) Cuando se lleve a cabo el tratamiento de datos de
grupos de afectados en situación de especial vulnerabilidad y, en particular,
de menores de edad y personas con discapacidad.
§
f) Cuando se produzca un tratamiento masivo que
implique a un gran número de afectados o conlleve la recogida de una gran
cantidad de datos personales.
§
g) Cuando los datos personales fuesen a ser objeto de
transferencia, con carácter habitual, a terceros Estados u organizaciones
internacionales respecto de los que no se hubiese declarado un nivel adecuado
de protección.
§
h) Cualesquiera otros que a juicio del responsable o
del encargado pudieran tener relevancia y en particular aquellos previstos en
códigos de conducta y estándares definidos por esquemas de certificación.
§
Art. 29. Supuestos de corresponsabilidad en el tratamiento.
o
La determinación de las responsabilidades a las que se
refiere el Art. 26.1 del Reglamento (UE) 2016/679 se realizará atendiendo a las
actividades que efectivamente desarrolle cada uno de los corresponsables del
tratamiento.
§
Art. 30. Representantes de los responsables o
encargados del tratamiento no establecidos en la Unión Europea.
o
1. En los supuestos en que el Reglamento (UE) 2016/679
sea aplicable a un responsable o encargado del tratamiento no establecido en la
Unión Europea en virtud de lo dispuesto en su Art. 3.2 y el tratamiento se
refiera a afectados que se hallen en España, la Agencia Española de Protección
de Datos o, en su caso, las autoridades autonómicas de protección de datos
podrán imponer al representante, solidariamente con el responsable o encargado
del tratamiento, las medidas establecidas en el Reglamento (UE) 2016/679.
o
Dicha exigencia se entenderá sin perjuicio de la
responsabilidad que pudiera en su caso corresponder al responsable o al
encargado del tratamiento y del ejercicio por el representante de la acción de
repetición frente a quien proceda.
o
2. Asimismo, en caso de exigencia de responsabilidad
en los términos previstos en el Art. 82 del Reglamento (UE) 2016/679, los
responsables, encargados y representantes responderán solidariamente de los
daños y perjuicios causados.
§
Art. 31. Registro de las actividades de tratamiento.
o
1. Los responsables y encargados del tratamiento o, en
su caso, sus representantes deberán mantener el registro de actividades de
tratamiento al que se refiere el Art. 30 del Reglamento (UE) 2016/679, salvo
que sea de aplicación la excepción prevista en su apartado 5.
o
El registro, que podrá organizarse en torno a
conjuntos estructurados de datos, deberá especificar, según sus finalidades,
las actividades de tratamiento llevadas a cabo y las demás circunstancias
establecidas en el citado reglamento.
o
Cuando el responsable o el encargado del tratamiento
hubieran designado un delegado de protección de datos deberán comunicarle
cualquier adición, modificación o exclusión en el contenido del registro.
o
2. Los sujetos enumerados en el Art. 77.1 de esta ley
orgánica harán público un inventario de sus actividades de tratamiento
accesible por medios electrónicos en el que constará la información establecida
en el Art. 30 del Reglamento (UE) 2016/679 y su base legal.
§
Art. 32. Bloqueo de los datos.
o
1. El responsable del tratamiento estará obligado a
bloquear los datos cuando proceda a su rectificación o supresión.
o
2. El bloqueo de los datos consiste en la
identificación y reserva de los mismos, adoptando medidas técnicas y
organizativas, para impedir su tratamiento, incluyendo su visualización,
excepto para la puesta a disposición de los datos a los jueces y tribunales, el
Ministerio Fiscal o las Administraciones Públicas competentes, en particular de
las autoridades de protección de datos, para la exigencia de posibles
responsabilidades derivadas del tratamiento y solo por el plazo de prescripción
de las mismas.
o
Transcurrido ese plazo deberá procederse a la
destrucción de los datos.
o
3. Los datos bloqueados no podrán ser tratados para
ninguna finalidad distinta de la señalada en el apartado anterior.
o
4. Cuando para el cumplimiento de esta obligación, la
configuración del sistema de información no permita el bloqueo o se requiera
una adaptación que implique un esfuerzo desproporcionado, se procederá a un
copiado seguro de la información de modo que conste evidencia digital, o de
otra naturaleza, que permita acreditar la autenticidad de la misma, la fecha
del bloqueo y la no manipulación de los datos durante el mismo.
o
5. La Agencia Española de Protección de Datos y las
autoridades autonómicas de protección de datos, dentro del ámbito de sus
respectivas competencias, podrán fijar excepciones a la obligación de bloqueo
establecida en este Art., en los supuestos en que, atendida la naturaleza de
los datos o el hecho de que se refieran a un número particularmente elevado de
afectados, su mera conservación, incluso bloqueados, pudiera generar un riesgo
elevado para los derechos de los afectados, así como en aquellos casos en los
que la conservación de los datos bloqueados pudiera implicar un coste
desproporcionado para el responsable del tratamiento.
CAPÍTULO II
Encargado del
tratamiento
§
Art. 33. Encargado del tratamiento.
o
1. El acceso por parte de un encargado de tratamiento
a los datos personales que resulten necesarios para la prestación de un
servicio al responsable no se considerará comunicación de datos siempre que se
cumpla lo establecido en el Reglamento (UE) 2016/679, en la presente ley
orgánica y en sus normas de desarrollo.
o
2. Tendrá la consideración de responsable del
tratamiento y no la de encargado quien en su propio nombre y sin que conste que
actúa por cuenta de otro, establezca relaciones con los afectados aun cuando exista
un contrato o acto jurídico con el contenido fijado en el Art. 28.3 del
Reglamento (UE) 2016/679. Esta previsión no será aplicable a los encargos de
tratamiento efectuados en el marco de la legislación de contratación del sector
público.
o
Tendrá asimismo la consideración de responsable del
tratamiento quien figurando como encargado utilizase los datos para sus propias
finalidades.
o
3. El responsable del tratamiento determinará si,
cuando finalice la prestación de los servicios del encargado, los datos personales
deben ser destruidos, devueltos al responsable o entregados, en su caso, a un
nuevo encargado.
o
No procederá la destrucción de los datos cuando exista
una previsión legal que obligue a su conservación, en cuyo caso deberán ser
devueltos al responsable, que garantizará su conservación mientras tal
obligación persista.
o
4. El encargado del tratamiento podrá conservar,
debidamente bloqueados, los datos en tanto pudieran derivarse responsabilidades
de su relación con el responsable del tratamiento.
o
5. En el ámbito del sector público podrán atribuirse
las competencias propias de un encargado del tratamiento a un determinado
órgano de la Administración General del Estado, la Administración de las
comunidades autónomas, las Entidades que integran la Administración Local o a
los Organismos vinculados o dependientes de las mismas mediante la adopción de
una norma reguladora de dichas competencias, que deberá incorporar el contenido
exigido por el Art. 28.3 del Reglamento (UE) 2016/679.
CAPÍTULO III
Delegado de
protección de datos
§
Art. 34. Designación de un delegado de protección de
datos.
o
1. Los responsables y encargados del tratamiento
deberán designar un delegado de protección de datos en los supuestos previstos
en el Art. 37.1 del Reglamento (UE) 2016/679 y, en todo caso, cuando se trate
de las siguientes entidades:
§
a) Los colegios profesionales y sus consejos
generales.
§
b) Los centros docentes que ofrezcan enseñanzas en
cualquiera de los niveles establecidos en la legislación reguladora del derecho
a la educación, así como las Universidades públicas y privadas.
§
c) Las entidades que exploten redes y presten
servicios de comunicaciones electrónicas conforme a lo dispuesto en su
legislación específica, cuando traten habitual y sistemáticamente datos
personales a gran escala.
§
d) Los prestadores de servicios de la sociedad de la
información cuando elaboren a gran escala perfiles de los usuarios del
servicio.
§
e) Las entidades incluidas en el Art. 1 de la Ley
10/2014, de 26 de junio, de ordenación, supervisión y solvencia de entidades de
crédito.
§
f) Los establecimientos financieros de crédito.
§
g) Las entidades aseguradoras y reaseguradoras.
§
h) Las empresas de servicios de inversión, reguladas
por la legislación del Mercado de Valores
§
i) Los distribuidores y comercializadores de energía
eléctrica y los distribuidores y comercializadores de gas natural.
§
j) Las entidades responsables de ficheros comunes para
la evaluación de la solvencia patrimonial y crédito o de los ficheros comunes
para la gestión y prevención del fraude, incluyendo a los responsables de los
ficheros regulados por la legislación de prevención del blanqueo de capitales y
de la financiación del terrorismo.
§
k) Las entidades que desarrollen actividades de
publicidad y prospección comercial, incluyendo las de investigación comercial y
de mercados, cuando lleven a cabo tratamientos basados en las preferencias de
los afectados o realicen actividades que impliquen la elaboración de perfiles
de los mismos.
§
l) Los centros sanitarios legalmente obligados al
mantenimiento de las historias clínicas de los pacientes.
§
Se exceptúan los profesionales de la salud que, aun
estando legalmente obligados al mantenimiento de las historias clínicas de los
pacientes, ejerzan su actividad a título individual.
§
m) Las entidades que tengan como uno de sus objetos la
emisión de informes comerciales que puedan referirse a personas físicas.
§
n) Los operadores que desarrollen la actividad de
juego a través de canales electrónicos, informáticos, telemáticos e
interactivos, conforme a la normativa de regulación del juego.
§
ñ) Las empresas de seguridad privada.
§
o) Las federaciones deportivas cuando traten datos de
menores de edad.
o
2. Los responsables o encargados del tratamiento no
incluidos en el párrafo anterior podrán designar de manera voluntaria un
delegado de protección de datos, que quedará sometido al régimen establecido en
el Reglamento (UE) 2016/679 y en la presente ley orgánica.
o
3. Los responsables y encargados del tratamiento
comunicarán en el plazo de diez días a la Agencia Española de Protección de
Datos o, en su caso, a las autoridades autonómicas de protección de datos, las
designaciones, nombramientos y ceses de los delegados de protección de datos
tanto en los supuestos en que se encuentren obligadas a su designación como en
el caso en que sea voluntaria.
o
4. La Agencia Española de Protección de Datos y las
autoridades autonómicas de protección de datos mantendrán, en el ámbito de sus
respectivas competencias, una lista actualizada de delegados de protección de
datos que será accesible por medios electrónicos.
o
5. En el cumplimiento de las obligaciones de este Art.
los responsables y encargados del tratamiento podrán establecer la dedicación
completa o a tiempo parcial del delegado, entre otros criterios, en función del
volumen de los tratamientos, la categoría especial de los datos tratados o de
los riesgos para los derechos o libertades de los interesados.
§
Art. 35. Cualificación del delegado de protección de
datos.
o
El cumplimiento de los requisitos establecidos en el Art.
37.5 del Reglamento (UE) 2016/679 para la designación del delegado de
protección de datos, sea persona física o jurídica, podrá demostrarse, entre
otros medios, a través de mecanismos voluntarios de certificación que tendrán
particularmente en cuenta la obtención de una titulación universitaria que
acredite conocimientos especializados en el derecho y la práctica en materia de
protección de datos.
§
Art. 36. Posición del delegado de protección de datos.
o
1. El delegado de protección de datos actuará como
interlocutor del responsable o encargado del tratamiento ante la Agencia
Española de Protección de Datos y las autoridades autonómicas de protección de
datos. El delegado podrá inspeccionar los procedimientos relacionados con el
objeto de la presente ley orgánica y emitir recomendaciones en el ámbito de sus
competencias.
o
2. Cuando se trate de una persona física integrada en
la organización del responsable o encargado del tratamiento, el delegado de
protección de datos no podrá ser removido ni sancionado por el responsable o el
encargado por desempeñar sus funciones salvo que incurriera en dolo o
negligencia grave en su ejercicio. Se garantizará la independencia del delegado
de protección de datos dentro de la organización, debiendo evitarse cualquier
conflicto de intereses.
o
3. En el ejercicio de sus funciones el delegado de
protección de datos tendrá acceso a los datos personales y procesos de
tratamiento, no pudiendo oponer a este acceso el responsable o el encargado del
tratamiento la existencia de cualquier deber de confidencialidad o secreto,
incluyendo el previsto en el Art. 5 de esta ley orgánica.
o
4. Cuando el delegado de protección de datos aprecie
la existencia de una vulneración relevante en materia de protección de datos lo
documentará y lo comunicará inmediatamente a los órganos de administración y
dirección del responsable o el encargado del tratamiento.
§
Art. 37. Intervención del delegado de protección de
datos en caso de reclamación ante las autoridades de protección de datos.
o
1. Cuando el responsable o el encargado del
tratamiento hubieran designado un delegado de protección de datos el afectado
podrá, con carácter previo a la presentación de una reclamación contra aquéllos
ante la Agencia Española de Protección de Datos o, en su caso, ante las
autoridades autonómicas de protección de datos, dirigirse al delegado de
protección de datos de la entidad contra la que se reclame.
o
En este caso, el delegado de protección de datos
comunicará al afectado la decisión que se hubiera adoptado en el plazo máximo
de dos meses a contar desde la recepción de la reclamación.
o
2. Cuando el afectado presente una reclamación ante la
Agencia Española de Protección de Datos o, en su caso, ante las autoridades
autonómicas de protección de datos, aquellas podrán remitir la reclamación al
delegado de protección de datos a fin de que este responda en el plazo de un
mes.
o
Si transcurrido dicho plazo el delegado de protección
de datos no hubiera comunicado a la autoridad de protección de datos competente
la respuesta dada a la reclamación, dicha autoridad continuará el procedimiento
con arreglo a lo establecido en el Título VIII de esta ley orgánica y en sus
normas de desarrollo.
o
El procedimiento ante la Agencia Española de
Protección de Datos será el establecido en el Título VIII de esta ley orgánica
y en sus normas de desarrollo. Asimismo, las comunidades autónomas regularán el
procedimiento correspondiente ante sus autoridades autonómicas de protección de
datos.