Los procedimientos por posible vulneración de la normativa de protección de datos

• Se entiende que prosigue su tramitación
• Se entiende inadmitida y se archiva
• Se entiende estimada la reclamación
• Se entiende que la Agencia no es competente

La falta de notificación no inadmite, no archiva y no estima nada: se entiende que la reclamación sigue tramitándose conforme al título VIII. La ley deja a salvo que la Agencia la archive más adelante, pero tiene que hacerlo de forma expresa.

• La sanción que se impondrá con carácter definitivo
• La identidad del reclamante y su relación con el responsable
• La infracción que pudo cometerse y su posible sanción
• El informe previo del delegado de protección de datos

El acuerdo concreta los hechos, contra quién se dirige, la infracción que pudo cometerse y su posible sanción: todo en condicional, porque el procedimiento todavía no ha decidido nada. La sanción definitiva solo llega con la resolución. La ley no pide identificar al reclamante, que puede no existir, ni un informe del delegado.

• Proceder a la inmovilización de esos datos
• Precintar los equipos y locales del responsable
• Ordenar el cierre temporal del establecimiento
• Pedir al juez un administrador judicial

La ley escala en dos pasos: primero ordena el bloqueo de los datos y la cesación del tratamiento, y si esas órdenes no se cumplen, inmoviliza los datos. La medida recae sobre los datos, no sobre los locales, la actividad ni la gestión de la empresa.

• Se aplican antes que el Reglamento europeo y que la propia ley orgánica
• No se aplican, porque estos procedimientos tienen un régimen propio y cerrado
• Se aplican de forma subsidiaria, si no contradicen las de protección de datos
• Solo se aplican al procedimiento por falta de atención de los derechos

El orden es: el Reglamento europeo, la ley orgánica, sus reglamentos de desarrollo y, detrás y solo en lo que no los contradigan, las normas generales del procedimiento administrativo. No van por delante ni quedan excluidas, y la ley no limita ese papel supletorio a un tipo de procedimiento.

• Solo una vez dictado el acuerdo de inicio del sancionador
• Cuando la resolución sancionadora ya es firme
• Tras obtener una autorización judicial previa
• Ya durante las actuaciones previas de investigación

Puede adoptarlas en dos momentos: durante las actuaciones previas o una vez iniciado el procedimiento sancionador, siempre motivadas, necesarias y proporcionadas. Esperar al acuerdo de inicio es el error tentador; una medida que aguardase a la firmeza ya no sería provisional, y la ley no exige autorización judicial.

• Seis meses desde el acuerdo de inicio
• Nueve meses desde el acuerdo de inicio
• Dieciocho meses desde el acuerdo de inicio
• Doce meses desde el acuerdo de inicio

Doce meses desde el acuerdo de inicio; pasados, el procedimiento caduca y se archivan las actuaciones. Los nueve meses son la redacción original de 2018, que la Ley 11/2023 alargó, y siguen en los manuales anteriores a esa reforma. Seis y dieciocho meses no son la duración de este procedimiento.

• Seis meses desde que la reclamación entra en la Agencia
• Tres meses desde que se notifica al reclamante la admisión
• Tres meses desde que la reclamación entra en la Agencia
• Seis meses desde que se notifica al reclamante la admisión

Seis meses, y el reloj no arranca cuando se presenta la reclamación, sino cuando se notifica al reclamante el acuerdo que la admite a trámite: este procedimiento empieza con la admisión. Las opciones de tres meses no son el plazo para resolverlo.

• Al Defensor del Pueblo, para que medie con el responsable
• Al organismo de supervisión de un código de conducta
• Al Consejo Consultivo de la Agencia, para que la informe
• Al Comité Europeo de Protección de Datos, para su dictamen

Puede remitirla al delegado de protección de datos que haya designado el responsable o el encargado, al organismo de supervisión de un código de conducta o al que asuma la resolución extrajudicial de conflictos: quien está más cerca del tratamiento puede resolverlo antes. El Defensor del Pueblo, el Consejo Consultivo y el Comité Europeo no tienen papel en este trámite.

• Dar audiencia al responsable del tratamiento afectado
• Comprobar que el reclamante acudió antes al responsable
• Examinar su competencia y si el asunto es transfronterizo
• Requerir al reclamante que acredite su identidad y domicilio

Lo primero es saber si el asunto le toca a ella y si es nacional o transfronterizo: si no es la autoridad de control principal, la reclamación va, sin más trámite, a la que lo sea. Todo lo demás, incluida la admisión, viene después. La ley no exige que el reclamante haya acudido antes al responsable, y la audiencia y la acreditación del domicilio no son ese paso previo.