Tema 5: La Autoridad Vasca de Protección de Datos (Ley 16/2023)

Policía Local del País Vasco · Agente de la Escala Básica (Udaltzaina)

Resumen

La norma y su origen. La Ley 16/2023, de 21 de diciembre, de la Autoridad Vasca de Protección de Datos (BOE-A-2024-900; en vigor desde el 5 de enero de 2024 según el texto consolidado del BOE, sin modificaciones posteriores) adapta el sistema vasco al Reglamento (UE) 2016/679 (RGPD), que exige a cada Estado autoridades de control independientes. Reemplaza el régimen de la Ley 2/2004, de 25 de febrero, de Ficheros de Datos de Carácter Personal de Titularidad Pública y de Creación de la Agencia Vasca de Protección de Datos, y deroga esa ley y los Decretos 308/2005 y 309/2005. La nueva Autoridad Vasca de Protección de Datos (AVPD) se subroga en los bienes, derechos y obligaciones de la Agencia Vasca, y las referencias a la Agencia se entienden hechas a la Autoridad (disposición adicional segunda). Tiene cuatro capítulos: disposiciones generales (I), la Autoridad (II, en seis secciones), régimen sancionador y potestad correctiva (III) y procedimientos (IV). El epígrafe abarca el capítulo I y las secciones 1.ª (organización y régimen jurídico), 2.ª (órganos) y 3.ª (potestad de investigación) del capítulo II.

Objeto y ámbito (arts. 1 y 2). La ley regula el control y supervisión de los tratamientos de datos de los sujetos incluidos en su ámbito y el régimen jurídico de la AVPD. Se aplica a los tratamientos de los que sean responsables la Administración general de la Comunidad Autónoma, las administraciones forales y las locales de la Comunidad Autónoma, con sus administraciones institucionales y su sector público; el Parlamento Vasco; las juntas generales; el Tribunal Vasco de Cuentas Públicas; el Ararteko; las entidades creadas por ley del Parlamento y las autoridades administrativas independientes; los grupos parlamentarios, los grupos junteros y los grupos municipales; las corporaciones de derecho público cuyo ámbito no exceda de la Comunidad Autónoma; la UPV/EHU y las demás universidades del Sistema Universitario Vasco; el Consejo de Relaciones Laborales y el Consejo Económico y Social Vasco; las personas que ejercen funciones públicas en materias de esas administraciones, y las entidades privadas que prestan servicios públicos, en los tratamientos vinculados al servicio. También se someten los encargados del tratamiento que presten servicios a esos responsables. Quedan fuera los datos de personas fallecidas (sin perjuicio del art. 3 de la LO 3/2018 y del art. 3 de la LO 7/2021) y las materias clasificadas.

Naturaleza y régimen jurídico (art. 3). La AVPD es una autoridad administrativa independiente, con personalidad jurídica propia y plena capacidad pública y privada, que actúa con plena independencia de las administraciones públicas. Se relaciona con el Gobierno Vasco a través del departamento que determine el lehendakari en el decreto de áreas. Es autoridad de control independiente a efectos del capítulo VI del RGPD y del capítulo VI de la LO 7/2021, de 26 de mayo, de modo que supervisa también los tratamientos con fines penales de las autoridades vascas competentes, como las policías. Sus procedimientos de supervisión se rigen por esta ley y, supletoriamente en lo sancionador, por la normativa vasca de potestad sancionadora; en lo no regulado se aplica la legislación de procedimiento administrativo (disposición adicional primera). Su representación y defensa en juicio corresponde al Servicio Jurídico Central del Gobierno Vasco, salvo intereses contrapuestos, y su Estatuto lo aprueba el Gobierno Vasco. Mientras no hubo nuevo Estatuto se aplicó el de la Agencia (Decreto 309/2005) en lo compatible; el nuevo Estatuto se aprobó por el Decreto 77/2026, de 19 de mayo (BOPV n.º 106, de 8 de junio de 2026), que fija su sede en Vitoria-Gasteiz.

Economía, personal, funciones y transparencia (arts. 4-7). La AVPD aprueba cada año su anteproyecto de presupuesto y lo remite al Gobierno Vasco para integrarlo, con la debida independencia, en los presupuestos generales de la Comunidad Autónoma. Sus recursos proceden de esas asignaciones, de subvenciones y aportaciones, de su patrimonio, de los ingresos de sus actividades y potestades (incluidas las del art. 58 RGPD) y de otros legalmente atribuidos; los ingresos de sus actividades y potestades se destinan a dotar sus reservas. Está sometida al control económico-financiero de la Comunidad Autónoma y a la fiscalización del Tribunal Vasco de Cuentas Públicas (art. 4). Su personal es funcionario y se rige por la legislación de la función pública vasca; la relación de puestos la aprueba la presidencia y entra en vigor al publicarse en el BOPV; la propia AVPD fija el acceso y las pruebas de selección, y su personal debe guardar secreto incluso después de cesar (art. 5); la disposición adicional tercera crea sus cuerpos y escalas propios. Ejerce las funciones y potestades de los arts. 57 y 58 RGPD y 49 y 50 LO 7/2021 (art. 6). Publica en su web, previa disociación de los datos personales, las resoluciones de la presidencia sobre vulneraciones y derechos, las directrices de auditoría, los informes a disposiciones generales, los dictámenes que interpreten la normativa y los códigos de conducta (art. 7).

La presidencia (art. 8). Es un órgano unipersonal: dirige la AVPD, ostenta su representación y dicta sus resoluciones, circulares y directrices; los actos que producen efectos jurídicos sobre terceros los dicta la presidencia. Ejerce sus funciones con plena independencia y objetividad, sin sujeción a instrucción alguna. Se nombra por decreto del Gobierno Vasco por cinco años, renovable una sola vez por igual periodo. El Gobierno propone al Parlamento Vasco a una persona con la titulación, experiencia y aptitudes necesarias, en particular en protección de datos, y la comisión competente debe aprobarla por mayoría absoluta; si no se alcanza, la propuesta decae y se devuelve al Gobierno.

Cese, estatuto personal y control de la presidencia. Solo cesa antes de tiempo a petición propia, por condena firme por delito doloso, por incumplimiento grave de sus obligaciones, por incapacidad sobrevenida o por incompatibilidad; en estos tres últimos casos la separación debe ratificarla por mayoría absoluta la Comisión de Instituciones, Gobernanza Pública y Seguridad del Parlamento Vasco. Es alto cargo asimilado a viceconsejero o viceconsejera; si era funcionario pasa a servicios especiales, y se le aplica la Ley 1/2014, del Código de Conducta y Conflictos de Intereses de los Cargos Públicos. Sus actos y disposiciones ponen fin a la vía administrativa y son recurribles directamente ante la jurisdicción contencioso-administrativa. Cada año elabora un informe de actividades (art. 59 RGPD) que comunica al Parlamento Vasco, al Gobierno Vasco y a las demás autoridades de protección de datos y publica en su web.

El consejo consultivo (art. 9). Asesora a la presidencia y lo componen una persona representante del Parlamento Vasco, una de la Administración general de la Comunidad Autónoma designada por el Gobierno Vasco, una por cada territorio histórico, una de las entidades locales designada por la Asociación de Municipios Vascos, una de las personas consumidoras y usuarias designada por Kontsumobide-Instituto Vasco de Consumo, dos personas expertas (en tecnologías de la información y en Derecho) designadas de forma rotatoria por las universidades del Sistema Universitario Vasco, y una persona experta designada por Cyberzaintza, Agencia Vasca de Ciberseguridad. Se procura la representación equilibrada (cada sexo al menos al 40 %). Se reúne cuando lo disponga la presidencia y, en todo caso, una vez al semestre. Sus acuerdos no son vinculantes en ningún caso, aunque su informe es preceptivo antes de aprobar las circulares interpretativas.

La potestad de investigación (arts. 10-14). La AVPD puede realizar inspecciones periódicas o circunstanciales, de oficio o a instancia de las personas afectadas, de cualquier tratamiento de su ámbito, también con ocasión de un plan de auditoría. La investigación la realiza su personal inspector, aunque la presidencia puede habilitar expresamente a otro personal funcionario para actividades concretas; en actuaciones conjuntas con autoridades de otros Estados de la Unión, su personal actúa en presencia y bajo la dirección del personal de la AVPD, y quien investiga tiene la condición de agente de la Autoridad. Puede acceder a los locales donde estén los sistemas o se hagan los tratamientos, examinar soportes y sistemas y obtener copias, requerir programas, aplicaciones y documentación y su ejecución, revisar las medidas técnicas y organizativas y auditar sistemas de información, de decisión individual automatizada, de inteligencia artificial y algorítmicos. Para entrar en un domicilio constitucionalmente protegido necesita el consentimiento de la persona inspeccionada o autorización judicial (art. 12). Las administraciones, incluidas las haciendas forales, y las personas físicas o jurídicas, estén o no sometidas a la ley, deben facilitarle los datos e informes necesarios (art. 13). La presidencia puede acordar planes de auditoría preventiva por ámbitos o tipos de tratamiento, y las directrices que dicte como resultado son de obligado cumplimiento (art. 14).

Lo que viene después en la ley. Fuera del epígrafe, la presidencia aprueba directrices interpretativas y dicta circulares, que son obligatorias una vez publicadas en el BOPV (art. 15); la AVPD coopera con las demás autoridades del Estado y en procedimientos transfronterizos, puede autorizar transferencias internacionales, aprobar códigos de conducta, certificar y formar a la ciudadanía desde los tres años (arts. 16-23). En el régimen sancionador, cuando la infractora es una administración o institución pública vasca no impone multa: dicta resolución que declara la infracción, dirige un apercibimiento y fija medidas correctoras, puede proponer actuaciones disciplinarias y comunica las resoluciones al Ararteko (art. 28).

Claves para el examen

• Ley 16/2023: la AVPD sustituye a la Agencia Vasca de Protección de Datos y deroga la Ley 2/2004.
• Art. 2.1: incluye a administraciones vascas, Parlamento, juntas generales, Ararteko, universidades y grupos municipales.
• Art. 2.1.m: las entidades privadas que prestan servicios públicos, en los tratamientos vinculados al servicio.
• Art. 3.1: autoridad administrativa independiente, con personalidad jurídica propia.
• Art. 3.2: autoridad de control a efectos del RGPD y de la LO 7/2021 (tratamientos con fines penales).
• Art. 3.4 y 3.5: la defiende el Servicio Jurídico Central del Gobierno Vasco; su Estatuto lo aprueba el Gobierno Vasco (Decreto 77/2026).
• Art. 4.4: fiscalización del Tribunal Vasco de Cuentas Públicas.
• Art. 5.1: personal funcionario, regido por la función pública vasca.
• Art. 8.3: presidencia nombrada por decreto del Gobierno Vasco por cinco años, renovable una vez.
• Art. 8.4: la comisión del Parlamento Vasco aprueba la propuesta por mayoría absoluta.
• Art. 8.6 y 8.7: alto cargo asimilado a viceconsejero; sus actos ponen fin a la vía administrativa.
• Art. 9: consejo consultivo no vinculante, que se reúne al menos una vez al semestre.
• Art. 10.1: inspecciones periódicas o circunstanciales, de oficio o a instancia de los afectados.
• Art. 12.2: entrar en un domicilio exige consentimiento o autorización judicial.
• Art. 14.3: las directrices de los planes de auditoría son de obligado cumplimiento.

Vídeos recomendados

• Jornada sobre el proyecto de nueva Ley Vasca de Protección de datos
• 🔍 ¿Te preocupa lo que encuentras sobre ti en Internet? Ejerce tu Derecho al Olvido | AVPD en Eitb
• Los poderes de autoridades de control en protección de datos frente al deber de secreto profesional

← Tema 4 · Tema 6 →

Otros temas de I) Derechos de la ciudadanía (1-10)

• Tema 1: Derechos humanos: la Declaración Universal y el sistema europeo
• Tema 2: Derechos fundamentales y libertades públicas en la Constitución
• Tema 3: Igualdad de mujeres y hombres y vidas libres de violencia machista (DLeg 1/2023)
• Tema 4: Protección de datos personales y derechos digitales (LO 3/2018)
• Tema 6: Ley 39/2015: normas generales de actuación
• Tema 7: Garantía integral de la libertad sexual (LO 10/2022)
• Tema 8: Infancia y adolescencia en Euskadi (Ley 2/2024)
• Tema 9: Igualdad de las personas trans y derechos LGTBI (Ley 4/2023)
• Tema 10: No discriminación por identidad de género en Euskadi (Ley 4/2024)