Los procedimientos por posible vulneración de la normativa de protección de datos

Un mes. Es el plazo del responsable cuando la Agencia, sin un delegado ni un organismo extrajudicial al que remitir la reclamación, se la manda directamente a él. Ninguno de los otros es el plazo de este trámite.

Tres meses, contados desde que la reclamación entra en la Agencia, y el mismo plazo vale para la decisión de remitirla a la autoridad de control principal. Cuando la Agencia actúa por la comunicación de otra autoridad europea, el plazo empieza a contar cuando recibe toda la documentación necesaria.

El archivo tras la admisión cabe cuando las circunstancias aconsejan soluciones más moderadas que la acción correctiva, pero solo mientras la Agencia no haya empezado a investigar ni abierto ninguno de los procedimientos de la ley. La ley no da al reclamante un veto ni mira si hay delegado o cuántos son los afectados.

El orden es: el Reglamento europeo, la ley orgánica, sus reglamentos de desarrollo y, detrás y solo en lo que no los contradigan, las normas generales del procedimiento administrativo. No van por delante ni quedan excluidas, y la ley no limita ese papel supletorio a un tipo de procedimiento.

Puede remitirla al delegado de protección de datos que haya designado el responsable o el encargado, al organismo de supervisión de un código de conducta o al que asuma la resolución extrajudicial de conflictos: quien está más cerca del tratamiento puede resolverlo antes. El Defensor del Pueblo, el Consejo Consultivo y el Comité Europeo no tienen papel en este trámite.

La ley escala en dos pasos: primero ordena el bloqueo de los datos y la cesación del tratamiento, y si esas órdenes no se cumplen, inmoviliza los datos. La medida recae sobre los datos, no sobre los locales, la actividad ni la gestión de la empresa.

Los motivos que obligan a inadmitir son cuatro: que la reclamación no trate de protección de datos, que carezca manifiestamente de fundamento, que sea abusiva o que no aporte indicios racionales de infracción. La ley no le pide al reclamante un daño económico, no excluye a las Administraciones y no fija aquí un plazo para reclamar.

Lo primero es saber si el asunto le toca a ella y si es nacional o transfronterizo: si no es la autoridad de control principal, la reclamación va, sin más trámite, a la que lo sea. Todo lo demás, incluida la admisión, viene después. La ley no exige que el reclamante haya acudido antes al responsable, y la audiencia y la acreditación del domicilio no son ese paso previo.

Dieciocho meses, contados desde la admisión a trámite de la reclamación o, si la Agencia actúa por su propia iniciativa, desde el acuerdo que decide iniciarlas. Los doce meses son la redacción original de 2018, que la Ley 11/2023 amplió, y siguen en los manuales anteriores a esa reforma.

El procedimiento del apercibimiento es más corto que el que determina si hubo infracción: seis meses desde el acuerdo de inicio, con la misma consecuencia si se pasan, la caducidad y el archivo de las actuaciones.

Lo dicta la Presidencia de la Agencia, y no el Adjunto: las funciones de estos procedimientos son de las que la Presidencia no puede delegar en él. Cuando la Agencia es autoridad de control principal en un caso transfronterizo, el proyecto de acuerdo pasa además por el procedimiento del artículo 60 del Reglamento, pero el acuerdo sigue siendo suyo. Ni el Consejo Consultivo ni el Comité Europeo lo dictan.

Seis meses, y el reloj no arranca cuando se presenta la reclamación, sino cuando se notifica al reclamante el acuerdo que la admite a trámite: este procedimiento empieza con la admisión. Las opciones de tres meses no son el plazo para resolverlo.

Aquí el silencio juega a favor del reclamante: la ley le deja tener por estimada su reclamación. La caducidad con archivo es lo que la ley prevé cuando vence el procedimiento que investiga una infracción, no este, y no hay ninguna prórroga automática.

La falta de notificación no inadmite, no archiva y no estima nada: se entiende que la reclamación sigue tramitándose conforme al título VIII. La ley deja a salvo que la Agencia la archive más adelante, pero tiene que hacerlo de forma expresa.

Puede adoptarlas en dos momentos: durante las actuaciones previas o una vez iniciado el procedimiento sancionador, siempre motivadas, necesarias y proporcionadas. Esperar al acuerdo de inicio es el error tentador; una medida que aguardase a la firmeza ya no sería provisional, y la ley no exige autorización judicial.