Nemoteca
Bloque

Las autoridades autonómicas de protección de datos

8 preguntas · en 3 colecciones

El capítulo II del título VII de la Ley Orgánica 3/2018: las autoridades autonómicas de protección de datos, su cooperación con la Agencia, los tratamientos contrarios al Reglamento general y la coordinación en los procedimientos del Comité Europeo de Protección de Datos y en los tratamientos transfronterizos.

Colecciones que lo incluyen

Así son sus preguntas

Resueltas, y cada una con la cita literal que la justifica, para que compruebes la respuesta por tu cuenta.

Una empresa privada trata datos personales al ejercer funciones públicas en una materia de competencia autonómica. Según la LO 3/2018, ¿puede supervisar ese tratamiento la autoridad autonómica de protección de datos?

  • Sí, porque cuentan la función pública y la materia, no quién la ejerza
  • No, porque solo alcanza a las entidades del sector público autonómico y local
  • Solo si la comunidad autónoma participa en el capital de la empresa
  • Solo si la empresa tiene su domicilio social en esa misma comunidad

La competencia autonómica no se queda en el sector público: alcanza también a las personas físicas o jurídicas que tratan datos para ejercer funciones públicas en materias de competencia autonómica o local. Pensar que solo cubre a las Administraciones es el error tentador. La ley no pide que la comunidad sea accionista de la empresa ni mira dónde tiene esta su domicilio.

Tratamientos llevados a cabo por personas físicas o jurídicas para el ejercicio de las funciones públicas en materias que sean competencia de la correspondiente Administración Autonómica o Local.
Ley Orgánica 3/2018, de 5 de diciembre

Según la LO 3/2018, ¿qué alcance y qué efectos tienen las circulares que dictan las autoridades autonómicas de protección de datos?
  • Los que les atribuya el Estatuto de Autonomía de cada comunidad
  • Los de simples recomendaciones, sin fuerza obligatoria propia
  • Los de un reglamento aprobado por el Gobierno de la comunidad
  • Los mismos que tienen las circulares de la Agencia Española

La ley no les da un régimen propio: sus circulares tienen el alcance y los efectos que la ley fija para las de la Agencia Española, y solo sobre los tratamientos que son de su competencia. No dependen del Estatuto de Autonomía, no son meras recomendaciones y no las aprueba el Gobierno autonómico: las dicta la propia autoridad.

Las autoridades autonómicas de protección de datos podrán dictar, en relación con los tratamientos sometidos a su competencia, circulares con el alcance y los efectos establecidos para la Agencia Española de Protección de Datos
Ley Orgánica 3/2018, de 5 de diciembre

Según la LO 3/2018, una autoridad autonómica es autoridad de control principal o interesada en los tratamientos transfronterizos de su competencia, con una salvedad. ¿Cuál?
  • Que el tratamiento lo haga un encargado y no el propio responsable del tratamiento
  • Que el tratamiento afecte a interesados de más de dos Estados miembros de la Unión Europea
  • Que desarrolle significativamente tratamientos de la misma naturaleza en el resto de España
  • Que en el procedimiento deba aplicarse el mecanismo de coherencia del Reglamento general

La autoridad autonómica deja de ser principal o interesada cuando el responsable o el encargado desarrolla, de forma significativa, tratamientos de la misma naturaleza en el resto de España: entonces el asunto ya no es solo de su comunidad. Que haya que aplicar el mecanismo de coherencia no le quita la condición: sigue interviniendo e informa de ello a la Agencia Española. Que trate un encargado en vez del responsable da igual, porque la ley nombra a los dos, y el número de Estados afectados no es la salvedad.

Las autoridades autonómicas de protección de datos ostentarán la condición de autoridad de control principal o interesada en el procedimiento establecido por el artículo 60 del Reglamento (UE) 2016/679 cuando se refiera a un tratamiento previsto en el artículo 57 de esta ley orgánica que se llevara a cabo por un responsable o encargado del tratamiento de los previstos en el artículo 56 del Reglamento (UE) 2016/679, salvo que desarrollase significativamente tratamientos de la misma naturaleza en el resto del territorio español.
Ley Orgánica 3/2018, de 5 de diciembre

Según la LO 3/2018, cuando una autoridad autonómica, como autoridad competente, debe someter su proyecto de decisión al Comité Europeo de Protección de Datos, ¿quién interviene ante el Comité?
  • La Agencia Española, asistida por un representante de la autoridad autonómica
  • La Agencia Española, sin participación ninguna de la autoridad autonómica
  • La autoridad autonómica, asistida por un representante de la Agencia Española
  • La autoridad autonómica sola, porque es la autoridad competente en el asunto

Ante el Comité Europeo interviene la Agencia Española, y las comunicaciones pasan por ella, aunque la competente sea la autoridad autonómica; pero no lo hace sola: la asiste un representante de esa autoridad. La opción que invierte los papeles es la tentadora, porque parece lógico que hable quien decide el asunto.

Se practicarán por conducto de la Agencia Española de Protección de Datos todas las comunicaciones entre el Comité Europeo de Protección de Datos y las autoridades autonómicas de protección de datos cuando éstas, como autoridades competentes, deban someter su proyecto de decisión al citado comité o le soliciten el examen de un asunto en virtud de lo establecido en los apartados 1 y 2 del artículo 64 del Reglamento (UE) 2016/679. En estos casos, la Agencia Española de Protección de Datos será asistida por un representante de la Autoridad autonómica en su intervención ante el Comité.
Ley Orgánica 3/2018, de 5 de diciembre

Según la LO 3/2018, ¿cuál de estos tratamientos puede supervisar la autoridad autonómica de protección de datos de la comunidad donde se realiza?
  • El de los clientes de una cadena de supermercados con sede en la comunidad
  • El de una delegación de la Agencia Tributaria situada en la comunidad
  • El del padrón municipal que lleva un ayuntamiento de la comunidad
  • El de una comisaría de la Policía Nacional situada en la comunidad

No decide dónde se trata el dato, sino para quién o para qué: un ayuntamiento es entidad local de la comunidad, y su padrón cae en la competencia autonómica. La delegación de la Agencia Tributaria y la comisaría están en la comunidad, pero son Administración del Estado y quedan para la Agencia Española; la cadena de supermercados trata los datos de sus clientes para su propio negocio, sin ejercer ninguna función pública.

Tratamientos de los que sean responsables las entidades integrantes del sector público de la correspondiente Comunidad Autónoma o de las Entidades Locales incluidas en su ámbito territorial
Ley Orgánica 3/2018, de 5 de diciembre
Ver 3 preguntas más

Según la LO 3/2018, la Agencia Española requiere a una autoridad autonómica para que haga cesar un tratamiento contrario al Reglamento general, y esta no atiende el requerimiento en plazo. ¿Qué puede hacer entonces la Agencia?
  • Imponer una multa a la autoridad autonómica por no atender el requerimiento
  • Asumir directamente la competencia para supervisar ese mismo tratamiento
  • Plantear un conflicto positivo de competencia ante el Tribunal Constitucional
  • Ejercer acciones ante la jurisdicción contencioso-administrativa

La Agencia no puede sancionar a la autoridad autonómica ni quedarse con su competencia: lo que la ley le da es acudir a los tribunales de lo contencioso-administrativo. Tampoco es un conflicto ante el Tribunal Constitucional, que es la tentación: aquí no se discute de quién es la competencia, sino que un tratamiento vulnera el Reglamento y no se ha corregido.

la Agencia Española de Protección de Datos podrá ejercer las acciones que procedan ante la jurisdicción contencioso-administrativa
Ley Orgánica 3/2018, de 5 de diciembre

Según la LO 3/2018, si la Presidencia de la Agencia Española considera que un tratamiento en materia de competencia autonómica vulnera el Reglamento general, ¿qué plazo puede dar a la autoridad autonómica para que adopte las medidas necesarias para su cesación?
  • Quince días
  • Un mes
  • Dos meses
  • Tres meses

Un mes, y lo da la Presidencia de la Agencia sin ordenar nada por sí misma: la competencia sigue siendo de la autoridad autonómica, y el requerimiento le deja a ella hacer cesar el tratamiento. Quince días, dos meses o tres meses no son plazos de este trámite.

podrá requerirlas a que adopten, en el plazo de un mes, las medidas necesarias para su cesación
Ley Orgánica 3/2018, de 5 de diciembre

Según la LO 3/2018, ¿quién convoca a las autoridades autonómicas de protección de datos para cooperar en la aplicación coherente de la normativa, y con qué periodicidad se reúnen en todo caso?
  • Las autoridades autonómicas, por turno rotatorio; una vez al año
  • La Presidencia de la Agencia Española; cada seis meses
  • La Presidencia de la Agencia Española; una vez al año
  • Las autoridades autonómicas, por turno rotatorio; cada seis meses

Convoca la Presidencia de la Agencia Española, por iniciativa propia o cuando otra autoridad se lo pide, y las reuniones semestrales son obligatorias en todo caso, aunque nadie las solicite. No hay un turno entre las autoridades autonómicas ni una reunión anual: la periodicidad mínima es de seis meses.

La Presidencia de la Agencia Española de Protección de Datos convocará, por iniciativa propia o cuando lo solicite otra autoridad, a las autoridades autonómicas de protección de datos para contribuir a la aplicación coherente del Reglamento (UE) 2016/679 y de la presente ley orgánica. En todo caso, se celebrarán reuniones semestrales de cooperación.
Ley Orgánica 3/2018, de 5 de diciembre