La Ley 19/2013, de transparencia, acceso a la información pública y buen gobierno. Ámbito de actuación, publicidad activa y derecho de acceso a la información pública. Especial referencia a la Comunidad de Madrid. Ley Orgánica 3/2018, de Protección de Datos: principios y derechos de las personas. Referencia al Delegado de Protección de Datos, y responsable y encargado del tratamiento. Especialidades en el Sector Público.
Actualizado a 31 de agosto de 2026. Regístrate para recibir actualizaciones cuando la legislación cambie.
Ley 19/2013 de Transparencia, Acceso a la Información Pública y Buen Gobierno (2013)
Esta Ley tiene por objeto ampliar y reforzar la transparencia de la actividad pública, regular y garantizar el derecho de acceso a la información relativa a aquella actividad y establecer las obligaciones de buen gobierno que deben cumplir los responsables públicos así como las consecuencias derivadas de su incumplimiento.
a) La Administración General del Estado, las Administraciones de las Comunidades Autónomas y de las Ciudades de Ceuta y Melilla y las entidades que integran la Administración Local.
b) Las entidades gestoras y los servicios comunes de la Seguridad Social así como las mutuas de accidentes de trabajo y enfermedades profesionales colaboradoras de la Seguridad Social.
c) Los organismos autónomos, las Agencias Estatales, las entidades públicas empresariales y las entidades de Derecho Público que, con independencia funcional o con una especial autonomía reconocida por la Ley, tengan atribuidas funciones de regulación o supervisión de carácter externo sobre un determinado sector o actividad.
d) Las entidades de Derecho Público con personalidad jurídica propia, vinculadas a cualquiera de las Administraciones Públicas o dependientes de ellas, incluidas las Universidades públicas.
e) Las corporaciones de Derecho Público, en lo relativo a sus actividades sujetas a Derecho Administrativo.
f) La Casa de su Majestad el Rey, el Congreso de los Diputados, el Senado, el Tribunal Constitucional y el Consejo General del Poder Judicial, así como el Banco de España, el Consejo de Estado, el Defensor del Pueblo, el Tribunal de Cuentas, el Consejo Económico y Social y las instituciones autonómicas análogas, en relación con sus actividades sujetas a Derecho Administrativo.
g) Las sociedades mercantiles en cuyo capital social la participación, directa o indirecta, de las entidades previstas en este artículo sea superior al 50 por 100.
h) Las fundaciones del sector público previstas en la legislación en materia de fundaciones.
i) Las asociaciones constituidas por las Administraciones, organismos y entidades previstos en este artículo. Se incluyen los órganos de cooperación previstos en el artículo 5 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, en la medida en que, por su peculiar naturaleza y por carecer de una estructura administrativa propia, le resulten aplicables las disposiciones de este título. En estos casos, el cumplimiento de las obligaciones derivadas de la presente Ley serán llevadas a cabo por la Administración que ostente la Secretaría del órgano de cooperación.
Las disposiciones del capítulo II de este título serán también aplicables a:
a) Los partidos políticos, organizaciones sindicales y organizaciones empresariales.
b) Las entidades privadas que perciban durante el período de un año ayudas o subvenciones públicas en una cuantía superior a 100.000 euros o cuando al menos el 40 % del total de sus ingresos anuales tengan carácter de ayuda o subvención pública, siempre que alcancen como mínimo la cantidad de 5.000 euros.
Las personas físicas y jurídicas distintas de las referidas en los artículos anteriores que presten servicios públicos o ejerzan potestades administrativas estarán obligadas a suministrar a la Administración, organismo o entidad de las previstas en el artículo 2.1 a la que se encuentren vinculadas, previo requerimiento, toda la información necesaria para el cumplimiento por aquéllos de las obligaciones previstas en este título. Esta obligación se extenderá a los adjudicatarios de contratos del sector público en los términos previstos en el respectivo contrato.
Los sujetos enumerados en el artículo 2.1 publicarán de forma periódica y actualizada la información cuyo conocimiento sea relevante para garantizar la transparencia de su actividad relacionada con el funcionamiento y control de la actuación pública.
Las obligaciones de transparencia contenidas en este capítulo se entienden sin perjuicio de la aplicación de la normativa autonómica correspondiente o de otras disposiciones específicas que prevean un régimen más amplio en materia de publicidad.
Serán de aplicación, en su caso, los límites al derecho de acceso a la información pública previstos en el artículo 14 y, especialmente, el derivado de la protección de datos de carácter personal, regulado en el artículo 15. A este respecto, cuando la información contuviera datos especialmente protegidos, la publicidad sólo se llevará a cabo previa disociación de los mismos.
La información sujeta a las obligaciones de transparencia será publicada en las correspondientes sedes electrónicas o páginas web y de una manera clara, estructurada y entendible para los interesados y, preferiblemente, en formatos reutilizables. Se establecerán los mecanismos adecuados para facilitar la accesibilidad, la interoperabilidad, la calidad y la reutilización de la información publicada así como su identificación y localización.
Cuando se trate de entidades sin ánimo de lucro que persigan exclusivamente fines de interés social o cultural y cuyo presupuesto sea inferior a 50.000 euros, el cumplimiento de las obligaciones derivadas de esta Ley podrá realizarse utilizando los medios electrónicos puestos a su disposición por la Administración Pública de la que provenga la mayor parte de las ayudas o subvenciones públicas percibidas.
Los sujetos comprendidos en el ámbito de aplicación de este título publicarán información relativa a las funciones que desarrollan, la normativa que les sea de aplicación así como a su estructura organizativa. A estos efectos, incluirán un organigrama actualizado que identifique a los responsables de los diferentes órganos y su perfil y trayectoria profesional.
Las Administraciones Públicas publicarán los planes y programas anuales y plurianuales en los que se fijen objetivos concretos, así como las actividades, medios y tiempo previsto para su consecución. Su grado de cumplimiento y resultados deberán ser objeto de evaluación y publicación periódica junto con los indicadores de medida y valoración, en la forma en que se determine por cada Administración competente.
En el ámbito de la Administración General del Estado corresponde a las inspecciones generales de servicios la evaluación del cumplimiento de estos planes y programas.
Los sujetos enumerados en el artículo 77.1 de la Ley Orgánica de Protección de Datos Personales y Garantía de los Derechos Digitales, publicarán su inventario de actividades de tratamiento en aplicación del artículo 31 de la citada Ley Orgánica.
Las Administraciones Públicas, en el ámbito de sus competencias, publicarán:
a) Las directrices, instrucciones, acuerdos, circulares o respuestas a consultas planteadas por los particulares u otros órganos en la medida en que supongan una interpretación del Derecho o tengan efectos jurídicos.
b) Los Anteproyectos de Ley y los proyectos de Decretos Legislativos cuya iniciativa les corresponda, cuando se soliciten los dictámenes a los órganos consultivos correspondientes. En el caso en que no sea preceptivo ningún dictamen la publicación se realizará en el momento de su aprobación.
c) Los proyectos de Reglamentos cuya iniciativa les corresponda. Cuando sea preceptiva la solicitud de dictámenes, la publicación se producirá una vez que estos hayan sido solicitados a los órganos consultivos correspondientes sin que ello suponga, necesariamente, la apertura de un trámite de audiencia pública.
d) Las memorias e informes que conformen los expedientes de elaboración de los textos normativos, en particular, la memoria del análisis de impacto normativo regulada por el Real Decreto 1083/2009, de 3 de julio.
e) Los documentos que, conforme a la legislación sectorial vigente, deban ser sometidos a un período de información pública durante su tramitación.
a) Todos los contratos, con indicación del objeto, duración, el importe de la licitación y de adjudicación, el procedimiento utilizado para su celebración, los instrumentos a través de los que, en su caso, se ha publicitado, el número de licitadores participantes en el procedimiento y la identidad del adjudicatario, así como las modificaciones del contrato. Igualmente serán objeto de publicación las decisiones de desistimiento y renuncia de los contratos. La publicación de la información relativa a los contratos menores podrá realizarse trimestralmente.
Asimismo, se publicarán datos estadísticos sobre el porcentaje en volumen presupuestario de contratos adjudicados a través de cada uno de los procedimientos previstos en la legislación de contratos del sector público.
Además, se publicará información estadística sobre el porcentaje de participación en contratos adjudicados, tanto en relación con su número como en relación con su valor, de la categoría de microempresas, pequeñas y medianas empresas (pymes), entendidas como tal según el anexo I del Reglamento (UE) n.º 651/2014 de la Comisión, de 17 de junio de 2014, para cada uno de los procedimientos y tipologías previstas en la legislación de contratos del sector público. La publicación de esta información se realizará semestralmente, a partir de un año de la publicación de la norma.
b) La relación de los convenios suscritos, con mención de las partes firmantes, su objeto, plazo de duración, modificaciones realizadas, obligados a la realización de las prestaciones y, en su caso, las obligaciones económicas convenidas. Igualmente, se publicarán las encomiendas de gestión que se firmen, con indicación de su objeto, presupuesto, duración, obligaciones económicas y las subcontrataciones que se realicen con mención de los adjudicatarios, procedimiento seguido para la adjudicación e importe de la misma.
c) Las subvenciones y ayudas públicas concedidas con indicación de su importe, objetivo o finalidad y beneficiarios.
d) Los presupuestos, con descripción de las principales partidas presupuestarias e información actualizada y comprensible sobre su estado de ejecución y sobre el cumplimiento de los objetivos de estabilidad presupuestaria y sostenibilidad financiera de las Administraciones Públicas.
e) Las cuentas anuales que deban rendirse y los informes de auditoría de cuentas y de fiscalización por parte de los órganos de control externo que sobre ellos se emitan.
f) Las retribuciones percibidas anualmente por los altos cargos y máximos responsables de las entidades incluidas en el ámbito de la aplicación de este título. Igualmente, se harán públicas las indemnizaciones percibidas, en su caso, con ocasión del abandono del cargo.
g) Las resoluciones de autorización o reconocimiento de compatibilidad que afecten a los empleados públicos así como las que autoricen el ejercicio de actividad privada al cese de los altos cargos de la Administración General del Estado o asimilados según la normativa autonómica o local.
h) Las declaraciones anuales de bienes y actividades de los representantes locales, en los términos previstos en la Ley 7/1985, de 2 de abril, Reguladora de las Bases del Régimen Local. Cuando el reglamento no fije los términos en que han de hacerse públicas estas declaraciones se aplicará lo dispuesto en la normativa de conflictos de intereses en el ámbito de la Administración General del Estado. En todo caso, se omitirán los datos relativos a la localización concreta de los bienes inmuebles y se garantizará la privacidad y seguridad de sus titulares.
i) La información estadística necesaria para valorar el grado de cumplimiento y calidad de los servicios públicos que sean de su competencia, en los términos que defina cada administración competente.
Los sujetos mencionados en el artículo 3 deberán publicar la información a la que se refieren las letras a) y b) del apartado primero de este artículo cuando se trate de contratos o convenios celebrados con una Administración Pública. Asimismo, habrán de publicar la información prevista en la letra c) en relación a las subvenciones que reciban cuando el órgano concedente sea una Administración Pública.
Las Administraciones Públicas publicarán la relación de los bienes inmuebles que sean de su propiedad o sobre los que ostenten algún derecho real.
El cumplimiento por la Administración General del Estado de las obligaciones contenidas en este capítulo será objeto de control por parte del Consejo de Transparencia y Buen Gobierno.
En ejercicio de la competencia prevista en el apartado anterior, el Consejo de Transparencia y Buen Gobierno, de acuerdo con el procedimiento que se prevea reglamentariamente, podrá dictar resoluciones en las que se establezcan las medidas que sea necesario adoptar para el cese del incumplimiento y el inicio de las actuaciones disciplinarias que procedan.
El incumplimiento reiterado de las obligaciones de publicidad activa reguladas en este capítulo tendrá la consideración de infracción grave a los efectos de aplicación a sus responsables del régimen disciplinario previsto en la correspondiente normativa reguladora.
La Administración General del Estado desarrollará un Portal de la Transparencia, dependiente del Ministerio de la Presidencia, que facilitará el acceso de los ciudadanos a toda la información a la que se refieren los artículos anteriores relativa a su ámbito de actuación.
El Portal de la Transparencia incluirá, en los términos que se establezcan reglamentariamente, la información de la Administración General del Estado, cuyo acceso se solicite con mayor frecuencia.
La Administración General del Estado, las Administraciones de las Comunidades Autónomas y de las Ciudades de Ceuta y Melilla y las entidades que integran la Administración Local podrán adoptar otras medidas complementarias y de colaboración para el cumplimiento de las obligaciones de transparencia recogidas en este capítulo.
El Portal de la Transparencia contendrá información publicada de acuerdo con las prescripciones técnicas que se establezcan reglamentariamente que deberán adecuarse a los siguientes principios:
a) Accesibilidad: se proporcionará información estructurada sobre los documentos y recursos de información con vistas a facilitar la identificación y búsqueda de la información.
b) Interoperabilidad: la información publicada será conforme al Esquema Nacional de Interoperabilidad, aprobado por el Real Decreto 4/2010, de 8 enero, así como a las normas técnicas de interoperabilidad.
c) Reutilización: se fomentará que la información sea publicada en formatos que permita su reutilización, de acuerdo con lo previsto en la Ley 37/2007, de 16 de noviembre, sobre reutilización de la información del sector público y en su normativa de desarrollo.
Todas las personas tienen derecho a acceder a la información pública, en los términos previstos en el artículo 105.b) de la Constitución Española, desarrollados por esta Ley.
Asimismo, y en el ámbito de sus respectivas competencias, será de aplicación la correspondiente normativa autonómica.
Artículo 13. Información pública
Se entiende por información pública los contenidos o documentos, cualquiera que sea su formato o soporte, que obren en poder de alguno de los sujetos incluidos en el ámbito de aplicación de este título y que hayan sido elaborados o adquiridos en el ejercicio de sus funciones.
a) La seguridad nacional.
b) La defensa.
c) Las relaciones exteriores.
d) La seguridad pública.
e) La prevención, investigación y sanción de los ilícitos penales, administrativos o disciplinarios.
f) La igualdad de las partes en los procesos judiciales y la tutela judicial efectiva.
g) Las funciones administrativas de vigilancia, inspección y control.
h) Los intereses económicos y comerciales.
i) La política económica y monetaria.
j) El secreto profesional y la propiedad intelectual e industrial.
k) La garantía de la confidencialidad o el secreto requerido en procesos de toma de decisión.
l) La protección del medio ambiente.
La aplicación de los límites será justificada y proporcionada a su objeto y finalidad de protección y atenderá a las circunstancias del caso concreto, especialmente a la concurrencia de un interés público o privado superior que justifique el acceso.
Las resoluciones que de conformidad con lo previsto en la sección 2.ª se dicten en aplicación de este artículo serán objeto de publicidad previa disociación de los datos de carácter personal que contuvieran y sin perjuicio de lo dispuesto en el apartado 3 del artículo 20, una vez hayan sido notificadas a los interesados.
Si la información incluyese datos personales que hagan referencia al origen racial, a la salud o a la vida sexual, incluyese datos genéticos o biométricos o contuviera datos relativos a la comisión de infracciones penales o administrativas que no conllevasen la amonestación pública al infractor, el acceso solo se podrá autorizar en caso de que se cuente con el consentimiento expreso del afectado o si aquel estuviera amparado por una norma con rango de ley.
Con carácter general, y salvo que en el caso concreto prevalezca la protección de datos personales u otros derechos constitucionalmente protegidos sobre el interés público en la divulgación que lo impida, se concederá el acceso a información que contenga datos meramente identificativos relacionados con la organización, funcionamiento o actividad pública del órgano.
Cuando la información solicitada no contuviera datos especialmente protegidos, el órgano al que se dirija la solicitud concederá el acceso previa ponderación suficientemente razonada del interés público en la divulgación de la información y los derechos de los afectados cuyos datos aparezcan en la información solicitada, en particular su derecho fundamental a la protección de datos de carácter personal.
Para la realización de la citada ponderación, dicho órgano tomará particularmente en consideración los siguientes criterios:
a) El menor perjuicio a los afectados derivado del transcurso de los plazos establecidos en el artículo 57 de la Ley 16/1985, de 25 de junio, del Patrimonio Histórico Español.
b) La justificación por los solicitantes de su petición en el ejercicio de un derecho o el hecho de que tengan la condición de investigadores y motiven el acceso en fines históricos, científicos o estadísticos.
c) El menor perjuicio de los derechos de los afectados en caso de que los documentos únicamente contuviesen datos de carácter meramente identificativo de aquéllos.
d) La mayor garantía de los derechos de los afectados en caso de que los datos contenidos en el documento puedan afectar a su intimidad o a su seguridad, o se refieran a menores de edad.
No será aplicable lo establecido en los apartados anteriores si el acceso se efectúa previa disociación de los datos de carácter personal de modo que se impida la identificación de las personas afectadas.
La normativa de protección de datos personales será de aplicación al tratamiento posterior de los obtenidos a través del ejercicio del derecho de acceso.
En los casos en que la aplicación de alguno de los límites previstos en el artículo 14 no afecte a la totalidad de la información, se concederá el acceso parcial previa omisión de la información afectada por el límite salvo que de ello resulte una información distorsionada o que carezca de sentido. En este caso, deberá indicarse al solicitante que parte de la información ha sido omitida.
El procedimiento para el ejercicio del derecho de acceso se iniciará con la presentación de la correspondiente solicitud, que deberá dirigirse al titular del órgano administrativo o entidad que posea la información. Cuando se trate de información en posesión de personas físicas o jurídicas que presten servicios públicos o ejerzan potestades administrativas, la solicitud se dirigirá a la Administración, organismo o entidad de las previstas en el artículo 2.1 a las que se encuentren vinculadas.
La solicitud podrá presentarse por cualquier medio que permita tener constancia de:
a) La identidad del solicitante.
b) La información que se solicita.
c) Una dirección de contacto, preferentemente electrónica, a efectos de comunicaciones.
d) En su caso, la modalidad que se prefiera para acceder a la información solicitada.
El solicitante no está obligado a motivar su solicitud de acceso a la información. Sin embargo, podrá exponer los motivos por los que solicita la información y que podrán ser tenidos en cuenta cuando se dicte la resolución. No obstante, la ausencia de motivación no será por si sola causa de rechazo de la solicitud.
Los solicitantes de información podrán dirigirse a las Administraciones Públicas en cualquiera de las lenguas cooficiales del Estado en el territorio en el que radique la Administración en cuestión.
a) Que se refieran a información que esté en curso de elaboración o de publicación general.
b) Referidas a información que tenga carácter auxiliar o de apoyo como la contenida en notas, borradores, opiniones, resúmenes, comunicaciones e informes internos o entre órganos o entidades administrativas.
c) Relativas a información para cuya divulgación sea necesaria una acción previa de reelaboración.
d) Dirigidas a un órgano en cuyo poder no obre la información cuando se desconozca el competente.
e) Que sean manifiestamente repetitivas o tengan un carácter abusivo no justificado con la finalidad de transparencia de esta Ley.
Si la solicitud se refiere a información que no obre en poder del sujeto al que se dirige, éste la remitirá al competente, si lo conociera, e informará de esta circunstancia al solicitante.
Cuando la solicitud no identifique de forma suficiente la información, se pedirá al solicitante que la concrete en un plazo de diez días, con indicación de que, en caso de no hacerlo, se le tendrá por desistido, así como de la suspensión del plazo para dictar resolución.
Si la información solicitada pudiera afectar a derechos o intereses de terceros, debidamente identificados, se les concederá un plazo de quince días para que puedan realizar las alegaciones que estimen oportunas. El solicitante deberá ser informado de esta circunstancia, así como de la suspensión del plazo para dictar resolución hasta que se hayan recibido las alegaciones o haya transcurrido el plazo para su presentación.
Cuando la información objeto de la solicitud, aun obrando en poder del sujeto al que se dirige, haya sido elaborada o generada en su integridad o parte principal por otro, se le remitirá la solicitud a éste para que decida sobre el acceso.
Este plazo podrá ampliarse por otro mes en el caso de que el volumen o la complejidad de la información que se solicita así lo hagan necesario y previa notificación al solicitante.
Serán motivadas las resoluciones que denieguen el acceso, las que concedan el acceso parcial o a través de una modalidad distinta a la solicitada y las que permitan el acceso cuando haya habido oposición de un tercero. En este último supuesto, se indicará expresamente al interesado que el acceso sólo tendrá lugar cuando haya transcurrido el plazo del artículo 22.2.
Cuando la mera indicación de la existencia o no de la información supusiera la vulneración de alguno de los límites al acceso se indicará esta circunstancia al desestimarse la solicitud.
Transcurrido el plazo máximo para resolver sin que se haya dictado y notificado resolución expresa se entenderá que la solicitud ha sido desestimada.
Las resoluciones dictadas en materia de acceso a la información pública son recurribles directamente ante la Jurisdicción Contencioso-administrativa, sin perjuicio de la posibilidad de interposición de la reclamación potestativa prevista en el artículo 24.
El incumplimiento reiterado de la obligación de resolver en plazo tendrá la consideración de infracción grave a los efectos de la aplicación a sus responsables del régimen disciplinario previsto en la correspondiente normativa reguladora.
Las Administraciones Públicas incluidas en el ámbito de aplicación de este título establecerán sistemas para integrar la gestión de solicitudes de información de los ciudadanos en el funcionamiento de su organización interna.
En el ámbito de la Administración General del Estado, existirán unidades especializadas que tendrán las siguientes funciones:
a) Recabar y difundir la información a la que se refiere el capítulo II del título I de esta Ley.
b) Recibir y dar tramitación a las solicitudes de acceso a la información.
c) Realizar los trámites internos necesarios para dar acceso a la información solicitada.
d) Realizar el seguimiento y control de la correcta tramitación de las solicitudes de acceso a la información.
e) Llevar un registro de las solicitudes de acceso a la información.
f) Asegurar la disponibilidad en la respectiva página web o sede electrónica de la información cuyo acceso se solicita con más frecuencia.
g) Mantener actualizado un mapa de contenidos en el que queden identificados los distintos tipos de información que obre en poder del órgano.
h) Todas aquellas que sean necesarias para asegurar una correcta aplicación de las disposiciones de esta Ley.
El acceso a la información se realizará preferentemente por vía electrónica, salvo cuando no sea posible o el solicitante haya señalado expresamente otro medio. Cuando no pueda darse el acceso en el momento de la notificación de la resolución deberá otorgarse, en cualquier caso, en un plazo no superior a diez días.
Si ha existido oposición de tercero, el acceso sólo tendrá lugar cuando, habiéndose concedido dicho acceso, haya transcurrido el plazo para interponer recurso contencioso administrativo sin que se haya formalizado o haya sido resuelto confirmando el derecho a recibir la información.
Si la información ya ha sido publicada, la resolución podrá limitarse a indicar al solicitante cómo puede acceder a ella.
El acceso a la información será gratuito. No obstante, la expedición de copias o la trasposición de la información a un formato diferente al original podrá dar lugar a la exigencia de exacciones en los términos previstos en la Ley 8/1989, de 13 de abril, de Tasas y Precios Públicos, o, en su caso, conforme a la normativa autonómica o local que resulte aplicable.
La reclamación prevista en el artículo siguiente tendrá la consideración de sustitutiva de los recursos administrativos de conformidad con lo dispuesto en el artículo 107.2 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común.
No obstante lo dispuesto en el apartado anterior, contra las resoluciones dictadas por los órganos previstos en el artículo 2.1.f) sólo cabrá la interposición de recurso contencioso-administrativo.
Frente a toda resolución expresa o presunta en materia de acceso podrá interponerse una reclamación ante el Consejo de Transparencia y Buen Gobierno, con carácter potestativo y previo a su impugnación en vía contencioso-administrativa.
La reclamación se interpondrá en el plazo de un mes a contar desde el día siguiente al de la notificación del acto impugnado o desde el día siguiente a aquel en que se produzcan los efectos del silencio administrativo.
La tramitación de la reclamación se ajustará a lo dispuesto en materia de recursos en la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común.
Cuando la denegación del acceso a la información se fundamente en la protección de derechos o intereses de terceros se otorgará, previamente a la resolución de la reclamación, trámite de audiencia a las personas que pudieran resultar afectadas para que aleguen lo que a su derecho convenga.
El plazo máximo para resolver y notificar la resolución será de tres meses, transcurrido el cual, la reclamación se entenderá desestimada.
Las resoluciones del Consejo de Transparencia y Buen Gobierno se publicarán, previa disociación de los datos de carácter personal que contuvieran, por medios electrónicos y en los términos en que se establezca reglamentariamente, una vez se hayan notificado a los interesados.
El Presidente del Consejo de Transparencia y Buen Gobierno comunicará al Defensor del Pueblo las resoluciones que dicte en aplicación de este artículo.
Ley de Transparencia y de Participación de la Comunidad de Madrid (2019)
La presente Ley tiene por objeto la regulación, en el ámbito de la Comunidad de Madrid, de la transparencia en su doble vertiente de publicidad activa y de derecho de acceso a la información pública y la participación y colaboración ciudadana en los asuntos públicos.
a) La Administración pública de la Comunidad de Madrid.
b) Los organismos autónomos, empresas públicas, órganos de gestión sin personalidad jurídica y demás entidades de carácter institucional a que se refiere la Ley 1/1984, de 19 de enero, reguladora de la Administración Institucional de la Comunidad de Madrid.
c) Las fundaciones públicas, consorcios, entidades de derecho público con personalidad jurídica propia y demás entes que se integren en el sector público de la Comunidad de Madrid, de acuerdo con lo establecido en la Ley 9/1990, de 8 de noviembre, reguladora de la Hacienda de la Comunidad de Madrid.
d) Las asociaciones constituidas por la Administración pública de la Comunidad de Madrid y por los demás organismos y entidades previstos en este apartado.
e) Las empresas públicas, que por ejercer una posición dominante, en los términos establecidos en la legislación estatal, hayan sido adscritas al sector público autonómico.
f) En los términos establecidos en la disposición adicional octava, las entidades que integran la Administración local, las asociaciones, fundaciones y demás entes constituidos por las entidades locales, en el ámbito territorial de la Comunidad de Madrid, así como las empresas públicas que por ejercer una posición dominante, conforme a la legislación estatal, hayan sido adscritas al sector público local.
Serán también de aplicación las disposiciones de la presente Ley a las universidades públicas y a los organismos o entidades vinculadas o dependientes de ellas, en los términos establecidos en la disposición adicional octava.
Asimismo, en la actividad sujeta al Derecho administrativo, será aplicable a:
a) La Asamblea de Madrid, en los términos de la disposición adicional sexta.
b) La Cámara de Cuentas, de acuerdo con lo previsto en la disposición adicional séptima.
c) Las Corporaciones de Derecho público madrileñas.
d) Las federaciones y clubes deportivos.
a) Los partidos políticos, organizaciones sindicales y organizaciones empresariales, en todo caso.
b) Las entidades privadas que perciban dichas ayudas o subvenciones en una cuantía superior 60.000 euros o cuando las ayudas o subvenciones percibidas representen al menos el 30 % del total de sus ingresos anuales, siempre que alcancen como mínimo la cantidad de 5.000 euros.
En todo caso, las exigencias de publicidad de la información que puedan establecerse habrán de respetar la naturaleza privada de estas entidades y las finalidades que las mismas tienen reconocidas.
Las normas reguladoras de los conciertos y otras formas de participación de entidades privadas en los sistemas públicos de educación, sanidad y servicios sociales establecerán la información que deben publicar estas entidades, de entre la prevista en el Título II, para colaborar en la prestación de los mencionados servicios financiados con fondos públicos. La relación de la información que deben publicar estas entidades incluirá al menos, en los pliegos o documentos contractuales equivalentes que correspondan, los importes básicos de la concesión (canon y/o precio inicial de licitación), las condiciones de la misma, el seguimiento de las infracciones, las modificaciones económicas que se realicen y su justificación, así como las sanciones o informes de seguimiento establecidos.
Las personas o entidades obligadas a inscribirse en el Registro de Transparencia que desarrollen su actividad en el ámbito de la Comunidad de Madrid, lo harán en los términos establecidos en el Título IV.
El Gobierno de la Comunidad de Madrid publicará anualmente en el Portal de Transparencia un listado de los sujetos incluidos dentro de este artículo, clasificados según el grupo al que pertenezcan.
Las personas físicas y jurídicas distintas de las de los artículos anteriores, que presten servicios públicos, ejerzan potestades administrativas o actúen como agentes colaboradores estarán obligadas a suministrar a la Administración, organismo, entidad o sujeto de los previstos en los artículos 2 y 3 al que se encuentren vinculadas, previo requerimiento y en un plazo de 10 días desde el acuse de recibo de la petición, toda la información necesaria para el cumplimiento por aquellos de las obligaciones establecidas en esta Ley.
La obligación prevista en el apartado anterior será exigible a los adjudicatarios de contratos del sector público en los términos recogidos en el respectivo contrato.
En las licitaciones públicas en las que resulte de aplicación la obligación de suministro de la información prevista en los apartados anteriores se hará constar la misma en la documentación en la que se establecen las condiciones contractuales. Asimismo, en los pliegos de cláusulas, condiciones o prescripciones técnicas deberán establecerse expresamente la forma en que la información debe ponerse a disposición de la Administración, organismo o entidad adjudicataria y al público en general a través de la web del Perfil del Contratante y el portal o página web propia.
A los efectos de la presente Ley se entiende por:
a) Transparencia: la acción administrativa, proactiva y permanente de los sujetos obligados por esta Ley, del deber de dar a conocer, elaborar, actualizar, copiar, difundir, publicar, y poner a disposición de cualquier persona, también previa solicitud, de manera accesible, la información pública que posean y de dar a conocer el proceso y las decisiones adoptadas prevista en esta Ley, en el ejercicio de sus competencias, sin más limitaciones que las establecidas legalmente.
b) Información pública: los contenidos o documentos, que obren en poder de alguno de los sujetos incluidos en el ámbito de aplicación de esta Ley y que hayan sido elaborados, adquiridos o conservados en el ejercicio de sus funciones.
c) Acceso a la información pública: derecho subjetivo de carácter universal, que se reconoce a las personas para solicitar y obtener la información veraz que obre en poder de los sujetos incluidos en el ámbito de aplicación de este Título, sin más requisitos y condiciones que los establecidos en la legislación vigente.
d) Portal de Transparencia: espacio en el sitio web del Consejo de Gobierno de la Comunidad de Madrid que tiene por objeto, conforme a las definiciones de este artículo, centralizar, publicar, facilitar y poner a disposición de cualquier persona, toda clase de servicios y la información que deba hacerse pública de acuerdo con esta Ley, relacionada con la Comunidad de Madrid. Igualmente tendrá por objeto el ejercicio del derecho de acceso a la información y participación.
e) Publicidad activa: obligación de difundir la información pública y de garantizar la transparencia de la actividad pública de oficio, de forma permanente y veraz, atendiendo a los criterios establecidos en el Capítulo II del Título II.
f) Personas o entidades obligadas a inscribirse en el Registro de Transparencia: personas o entidades sea cual sea su estatuto jurídico, que, desarrollando sus actividades en la Comunidad de Madrid, realizan actuaciones de participación activa en políticas públicas o en procesos de toma de decisiones, con la finalidad de influir directa o indirectamente en la elaboración de normas jurídicas y disposiciones generales y en la elaboración y aplicación de las políticas públicas de los sujetos comprendidos en el artículo 2.1 en defensa de intereses propios, de terceras personas, organizaciones o intereses generales.
g) Datos abiertos: Aquellos que cualquiera es libre de utilizar, reutilizar y redistribuir, sin necesidad de permisos específicos o licencias, con el único límite, en su caso, del requisito de atribución de su fuente o reconocimiento de su autoría, conforme a la legislación vigente.
h) Participación y colaboración ciudadana: la intervención individual o colectiva de la ciudadanía en el diseño, ejecución y evaluación de las políticas y actuaciones públicas mediante instrumentos y procesos que permitan su comunicación con las entidades públicas.
La interpretación y aplicación de la Ley se regirá por los siguientes principios:
a) Principio de transparencia pública, en virtud del cual toda la información pública, es accesible en los términos y con los límites establecidos en la Ley.
b) Principio de libre acceso a la información pública, en virtud del cual cualquier persona puede solicitar el acceso a la información pública. Toda información pública es en principio accesible y el acceso sólo puede restringirse, motivadamente, en los supuestos previstos legalmente.
c) Principio de veracidad, en virtud del cual la información pública ha de ser cierta, exacta y trazable.
d) Principio de accesibilidad, en virtud del cual la información estará a disposición de todas las personas, con independencia de si tienen o no algún tipo de discapacidad, de modo que se proporcionará por medios o formatos adecuados de manera que resulten accesibles y comprensible, facilitando su identificación y su búsqueda, conforme al principio de accesibilidad universal y diseño para todos.
e) Principio de gratuidad, en virtud del cual el acceso a la información y las solicitudes de acceso serán gratuitos, sin perjuicio de las tasas previstas legalmente por la expedición de copias o la transposición de la información a formatos diferentes del original.
f) Principio de reutilización, en virtud del cual se promoverá que la información sea publicada en formatos y bajo condiciones y licencias que permitan su redistribución, reutilización y aprovechamiento, debiendo utilizarse estándares de acuerdo con lo previsto en la legislación vigente.
La información pública podrá ser reutilizada con cualquier objetivo legítimo, en especial la reproducción y divulgación, por cualquier medio, de los datos objeto de publicidad activa y la creación de productos o servicios de información basados en estos datos.
g) Principio de participación ciudadana, en virtud del cual se promueve y garantiza la implicación de la ciudadanía en la planificación, el diseño y la evaluación de las políticas públicas, así como en la toma de decisiones.
h) Principio de inscripción única, en virtud del cual:
1.o Se facilitará que los ciudadanos puedan realizar las gestiones establecidas en esta Ley a través de la Administración que le sea más cercana.
2.o Las Administraciones públicas facilitarán la interconexión e interoperabilidad de todas aquellas gestiones que aun afectando a distintos departamentos tienen un mismo objetivo, con salvaguardia de las competencias en la gestión de cada uno de ellos.
i) Principio de neutralidad tecnológica, que impone la utilización y promoción de software de código abierto en su funcionamiento y el uso de estándares abiertos y neutrales en materia tecnológica e informática.
Los sujetos incluidos en el ámbito de aplicación de esta Ley deberán cumplir con la obligación de garantizar la publicidad activa en su actuación pública. A tal efecto, dispondrán de un portal o página web, en el que poder publicar, de modo comprensible, estructurado y actualizado la información pública en los términos del presente Título.
a) Elaborar, mantener actualizada y difundir, preferentemente por medios electrónicos, a través de sus respectivas sedes electrónicas, páginas web o portales propios, un directorio de la información relativa a la organización, los responsables, las materias y actividades de su interés, ordenada por tipos y categorías para facilitar su comprensión y accesibilidad, así como aquella información cuyo acceso se solicite con mayor frecuencia, con indicación expresa de la fecha en que se actualizó por última vez y, si es posible, de la fecha en que ha de volver a actualizarse.
b) Elaborar y difundir en su página web o portal propio un índice de información pública que obre en su poder, con indicaciones claras de dónde puede encontrarse dicha información.
c) Establecer y mantener medios de consulta de la información solicitada, incluyendo en todo caso un buscador que permita acceder de forma rápida a cualquier archivo y que incorpore mecanismos de alerta sobre datos que se han actualizado.
d) Establecer mecanismos de gestión de información adecuados para facilitar la accesibilidad, la interoperabilidad, la calidad, la geolocalización, la reutilización y la divulgación de la información pública.
e) Publicar la información sujeta a la obligación de transparencia haciendo uso de un lenguaje no sexista ni discriminatorio.
f) Publicar y difundir la información relativa al contenido del derecho de acceso a la información, al procedimiento para su ejercicio y al órgano competente para resolver.
g) Difundir los derechos que reconoce esta Ley a las personas, asesorar a las mismas para su correcto ejercicio y asistirles en la búsqueda de información.
h) Facilitar la información solicitada en los plazos máximos y en la forma y formato elegido de acuerdo con lo establecido en esta Ley.
Toda la información prevista en esta Ley estará a disposición de las personas con discapacidad en una modalidad accesible, entendiendo por tal aquella que sea suministrada por medios o en formatos adecuados de manera que resulten accesibles y comprensibles, conforme al principio de accesibilidad universal y diseño para todos.
Cada sujeto obligado es responsable de la información que incluye en su página web, portal de transparencia y de la que incorpora al Portal de Transparencia de la Comunidad, en cumplimiento de lo establecido en la presente Ley.
A la información sujeta a publicación de acuerdo con lo establecido en el presente Título le serán de aplicación los límites del derecho de acceso a la información pública previstos en la legislación de la protección de datos de carácter personal. La interpretación de este límite se adaptará, a los sucesivos criterios establecidos por el Consejo de la Transparencia y Participación, el cual los llevará a cabo de conformidad con el criterio conjunto del Consejo de Transparencia y Buen Gobierno y la Agencia Española de Protección de Datos.
Cuando la información contuviera datos especialmente protegidos, a criterio del Consejo de la Transparencia y Participación, la publicación sólo se llevará a efecto previa anonimización, en su caso, de los mismos, ya sea por disociación o por agregación estadística.
Los sujetos incluidos en el artículo 2, en lo que les sea aplicable, facilitarán y mantendrán actualizada la información general, en la que se ofrecerá la información institucional y aquella otra que se considere relevante.
En la información de carácter institucional, se recogerá de forma que sea accesible a todas las personas:
a) El Estatuto de Autonomía y las normas que les sean de aplicación y, en particular, los estatutos y normas de organización y funcionamiento.
b) La estructura organizativa de sus instituciones, detallando su composición, sus funciones y competencias, así como las reglas básicas de funcionamiento.
c) La composición, funciones y funcionamiento básico de su gobierno.
d) En el caso de la Comunidad de Madrid, los enlaces a las páginas web de todos los sujetos comprendidos en el artículo 2.
Cuando los enlaces sean a las páginas web de los Ayuntamiento de la Comunidad de Madrid, en todo caso, deberán contener la composición, funciones y funcionamiento básico y medios de contacto de los Ayuntamientos.
e) Las agendas completas de trabajo y de reuniones de los responsables públicos en los términos desarrollados en el apartado 4 de este artículo.
Asimismo, y sin perjuicio del secreto o reserva de las deliberaciones de sus órganos de gobierno, se harán públicos todos sus acuerdos, así como los acuerdos suscritos con los sindicatos y organizaciones empresariales. Se adjuntarán en la misma publicación los documentos aprobados que desarrollen los acuerdos suscritos.
A los efectos señalados en el apartado 2.e) de este artículo se deberán seguir los siguientes criterios interpretativos:
a) En caso de que esta información pudiera contener datos personales de categoría especial, en particular en atención a la naturaleza de las entidades participantes en la reunión, habrá de estarse a lo establecido en el artículo 35.1.
b) Si la información no contuviera datos personales de categoría especial y se refiriese a miembros del gobierno, altos cargos, directivos públicos, profesionales, empleados públicos o personal de sujetos obligados por esta Ley, se facilitarán únicamente los datos personales identificativos de los participantes que tuvieran, al menos, la condición de titulares de responsabilidades administrativas hasta el nivel de subdirecciones generales o unidades asimiladas, los titulares de los organismos directivos de las entidades de carácter institucional, las fundaciones públicas, consorcios, entidades de derecho público con personalidad jurídica propia y demás entes que se integren en el sector público de su Administración pública, que tengan atribuida la condición de directivos en los estatutos o normativa reguladora de éstos así como el personal eventual que desarrolle funciones que incidan en el proceso de toma de decisiones de la entidad.
c) En los restantes supuestos, la información del personal estatutario se limitará a la identificación de los sujetos por razón de su cargo y la condición en la que asisten.
d) Si la agenda de trabajo o reunión hiciese referencia a los sujetos inscritos en el Registro de Transparencia, la información identificativa se limitaría al documento que acredite su identificación y la materia a tratar.
Celebrada la reunión o audiencia se incluirá además, el canal de comunicación empleado, así como la relación tanto de informes como de otros documentos aportados relativos a las materias tratadas.
e) Cuando las reuniones se celebren con personas físicas no obligadas a inscribirse en el Registro de Transparencia deberá ponderarse en cada caso la procedencia del otorgamiento del acceso atendiendo a la condición de dicha persona y la condición en que asiste a la reunión (persona experta, particular, etc.), sin que sea posible establecer un criterio general de ponderación en estos casos.
f) Igualmente podrá facilitarse la información referida a otras personas, no incluidas en los anteriores criterios, si las mismas cumplen con las bases legitimadoras establecidas para las Administraciones públicas en el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril, general de protección de datos y en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales.
g) En todo caso, los criterios anteriores se adaptarán a las nuevas interpretaciones que de los mismos pudieran adoptar conjuntamente el Consejo de Transparencia y Buen Gobierno y la Agencia Española de Protección de Datos, conforme establece la disposición adicional quinta de la Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno.
a) Los departamentos, concejalías o consejerías, detallando las áreas funcionales que le corresponden, los órganos superiores, territoriales y colegiados, así como los organismos y entidades públicas adscritas, las competencias y funciones de sus órganos, las personas titulares de los mismos y la relación de puestos de trabajo de los departamentos, concejalías o consejerías con carácter semestral.
b) Los organismos autónomos, empresas públicas, órganos de gestión sin personalidad jurídica y demás entidades de carácter institucional, especificando las funciones y competencias, los recursos que financian sus actividades, régimen presupuestario y contable, los órganos de dirección y su composición, y personas titulares de los mismos.
c) Las unidades administrativas a nivel de servicio, de cada uno de los órganos superiores, territoriales o directivos, especificando su responsable y las funciones que tiene atribuidas.
En caso de nivel inferior a la subdirección general se especificará sólo el cargo y las funciones que tiene atribuidas.
d) Las fundaciones públicas, consorcios, entidades de derecho público con personalidad jurídica propia y demás entes que se integren en el sector público de la Administración pública en la que participe, especificando el objeto social, fin fundacional o funciones de los mismos, estatutos, normas de organización y funcionamiento, capital social, dotación fundacional o participación, los recursos que financian sus actividades, sus órganos y composición, las personas titulares de los órganos de dirección, y el número de personas que prestan servicios en la entidad.
Serán objeto de publicación en el «Boletín Oficial de la Comunidad de Madrid» los acuerdos del gobierno en los que se disponga la creación, modificación, participación o extinción de las fundaciones públicas, consorcios, entidades de derecho público con personalidad jurídica propia y demás entes que se integren en el sector público de la Administración pública en la que participe, así como los estatutos por los que han de regirse, y sus modificaciones. Asimismo, dichos acuerdos y los estatutos estarán a disposición de todas las personas en la página web de la entidad.
Será también objeto de publicación el organigrama actualizado que identifique a los responsables de los diferentes órganos de decisión, consultivos o de participación, con indicación de su composición, sede, dirección electrónica de contacto y las competencias que ejercen, salvo que la publicidad de alguno de estos datos pudiera afectar a personas especialmente protegidas.
a) Personas que desempeñan altos cargos en los departamentos, concejalías o consejerías, especificando lo siguiente:
1.º Identificación, nombramiento y datos de contacto.
2.º Perfil y trayectoria profesional completa.
3.º Funciones.
4.º Órganos colegiados administrativos o sociales de los que es miembro.
5.º Actividades públicas y privadas para las que se le ha concedido la compatibilidad.
b) Personal directivo de los organismos y entidades públicas, así como de las sociedades mercantiles, fundaciones públicas y consorcios integrantes del sector público de su Administración pública, especificando:
1.º Identificación, nombramiento y datos de contacto.
2.º Perfil y trayectoria profesional completa.
3.º Funciones.
4.º Órganos colegiados administrativos o sociales de los que es miembro.
5.º Actividades públicas y privadas para las que se le ha concedido la compatibilidad.
Asimismo, se hará pública la información contenida en las declaraciones de bienes, derechos y actividades de los miembros de sus órganos de gobierno y demás altos cargos de su Administración pública, con ocasión de su nombramiento y cese, en los términos previstos reglamentariamente. En materia económica se estará a lo dispuesto en el artículo 15.
Los altos cargos incluidos en el ámbito de aplicación de la Ley 14/1995, de 21 de abril, de Incompatibilidades de Altos Cargos de la Comunidad de Madrid, remitirán a los Registros de Bienes y Derechos Patrimoniales y de Actividades, así como a la dirección general competente en materia de transparencia, a los efectos de su publicación en el Portal de Transparencia, la declaración de bienes, derechos y actividades, con ocasión de su nombramiento y cese. Además, para su publicación en el Portal de Transparencia, remitirán también dicha declaración con ocasión de una nueva legislatura si continuaran en sus cargos.
Estarán exceptuados de la obligación de publicar nuevamente declaraciones de bienes, actividades y derechos, aquellos que hayan sido cesados y nuevamente nombrados en el mismo u otro cargo de la Comunidad de Madrid durante los dos meses siguientes a su cese.
Los sujetos incluidos en el artículo 2 harán pública y mantendrán actualizada la información relativa a su personal eventual, especificando su identificación, nombramiento, funciones asignadas, órgano o directivo al que presta sus servicios y trayectoria profesional completa.
Los sujetos incluidos en el artículo 2 harán públicos y mantendrán actualizados, desagregados por género, y a disposición de todas las personas, sus relaciones de puestos de trabajo, catálogos de puestos, plantillas de personal o instrumentos similares, cualquiera que sea su denominación.
Los sujetos del apartado anterior, respecto de su personal y el de los organismos y entidades vinculadas o dependientes de los mismos, harán pública y mantendrán actualizada la información siguiente:
a) Número de empleados públicos y su distribución por grupos de clasificación, especificando el tipo de relación estatutaria, así como, en el caso del personal funcionario, los de carrera y los interinos, y para el personal laboral, los fijos, los indefinidos y los temporales.
b) Número de empleados desagregados según su estructura orgánica.
c) El número de liberados sindicales existentes en los distintos departamentos de su Administración pública, así como en sus organismos autónomos y demás entidades de derecho público vinculadas o dependientes de la misma, identificando el sindicato al que en cada caso pertenece. Asimismo se dará información sobre el número de horas sindicales utilizadas.
d) La oferta de empleo público, las convocatorias y los resultados de los procesos selectivos de acceso.
e) Las convocatorias de selección temporal de sus empleados, interinos o laborales, y los integrantes de las bolsas de trabajo constituidas.
a) Información de las retribuciones anuales de los representantes locales, de los altos cargos de la Administración y del personal directivo, articulada en función de la clase o categoría del órgano, así como de los gastos de representación que tienen asignados. Asimismo, se harán públicas las indemnizaciones percibidas, en su caso, con ocasión del abandono del cargo.
b) Información de las retribuciones anuales del personal de confianza o asesoramiento especial, articulada en función de la clase o categoría.
c) Información de las retribuciones anuales del personal estatutario, articulada en función de los niveles y cargos existentes.
d) Información sobre las condiciones para el devengo y las cuantías de las indemnizaciones que corresponden por razón del servicio en concepto de viajes, manutención, alojamiento y asistencia a órganos colegiados o sociales.
e) Las declaraciones de bienes, derechos y actividades de los consejeros, altos cargos, representantes locales y órganos directivos, referidas en el apartado 2 del artículo 12, con omisión de los datos relativos a la localización concreta de los bienes inmuebles, garantizando la privacidad y seguridad de sus titulares. Asimismo, se publicará la información relativa a la liquidación de sus declaraciones de la renta, patrimonio y, en su caso, sociedades. En el caso de los altos cargos referidos en el apartado 3 del artículo 12 de la presente ley, esta información se publicará de acuerdo con lo dispuesto en dicho apartado.
f) Los gastos protocolarios, indicando medio de pago, derivados de las atenciones protocolarias que, redundando en beneficio o utilidad de la Administración, tengan necesidad de realizar en el desempeño de sus funciones, la presidencia, consejeros, representantes locales, titulares de los órganos directivos y máximos responsables de las sociedades mercantiles, fundaciones y consorcios sujetos a la ley, así como del personal al servicio de las entidades comprendidas en el artículo 2, hasta el nivel de subdirección general, con indicación del motivo, identificación y cargo de quien efectúa u ordena el pago.
g) Las dietas y gastos de viaje derivados del ejercicio de las funciones y actuaciones institucionales de la presidencia, consejeros, representantes locales, titulares de los órganos directivos y máximos responsables de las sociedades mercantiles, fundaciones y consorcios sujetos a la ley, así como del personal al servicio de las entidades comprendidas en el artículo 2, hasta el nivel de subdirección general, con indicación del motivo, identificación y cargo de quien efectúa u ordena el pago.
Los sujetos incluidos en el artículo 2 harán pública y mantendrán actualizada la siguiente información que les corresponda:
a) Los anteproyectos de ley en el momento en el que se aprueban, cuando, tras la preceptiva elevación por la Consejería competente, sean conocidos por el Consejo de Gobierno. Asimismo, los anteproyectos de ley y los proyectos de decretos legislativos se publicarán cuando se solicite el dictamen, en su caso, de la Comisión Jurídica Asesora de la Comunidad de Madrid. Y, finalmente, los proyectos de ley tras su aprobación por el Consejo de Gobierno.
b) Los proyectos de reglamento cuya iniciativa les corresponda se harán públicos en el momento en que, en su caso, se sometan al trámite de audiencia o información pública. Asimismo, se publicarán cuando se solicite, en su caso, el dictamen de la Comisión Jurídica Asesora de la Comunidad de Madrid. La publicación de los proyectos reglamentarios no supondrá, necesariamente la apertura de un trámite de audiencia.
En el ámbito de las entidades locales, una vez efectuada la aprobación inicial de la ordenanza o reglamento local por el pleno de la Corporación, deberá publicarse el texto de la versión inicial, sin perjuicio de otras exigencias que pudieran establecerse por las entidades locales en ejercicio de su autonomía.
c) Las memorias, informes y dictámenes que conformen los expedientes de elaboración de los textos normativos, incluidos los señalados en los apartados anteriores, con ocasión de la publicidad de los mismos.
d) Los documentos que, conforme a la legislación sectorial vigente, deban ser sometidos a un período de información pública durante su tramitación.
e) El resultado de la participación en los proyectos reglamentarios y demás documentos que estén sujetos a participación pública, o en aquellos casos en que no siendo preceptiva la misma se haya acordado someterlos a información pública.
f) La relación actualizada de las normas que estén en curso, indicando su objeto y estado de tramitación.
g) La relación de su normativa vigente, que se mantendrá permanentemente actualizada y a disposición de la ciudadanía.
h) La relación de las competencias y traspasos de funciones y servicios asumidos por su Administración.
Los sujetos incluidos en el artículo 2, respecto de sus servicios y procedimientos, así como respecto de los que prestan o se gestionan por los organismos y entidades vinculadas o dependientes de los mismos, harán pública y mantendrán actualizada la información siguiente:
a) Los servicios que presta cada unidad administrativa.
b) Los requisitos y condiciones de acceso a los mismos, incluyendo horario y, en su caso, las tasas, tarifas o precios que se exigen.
c) Las listas de espera existentes para el acceso a cualquiera de los servicios que preste su Administración pública, sin perjuicio de las singularidades que se puedan establecer en diferentes ámbitos. En el ámbito social, sanitario y educativo la actualización de las listas de espera se realizará semanalmente, informando a los usuarios de los servicios de la situación en la que se encuentra su petición, sin perjuicio de que la información agregada del número de personas y tiempo de espera sea público de forma abierta para cualquier ciudadano.
d) Las cartas de servicios elaboradas.
e) El catálogo de procedimientos administrativos, con la información básica necesaria sobre los requisitos y los trámites de gestión.
f) El procedimiento para la presentación de quejas y reclamaciones sobre el funcionamiento del servicio.
g) El número de reclamaciones presentadas y el número o proporción de las aceptadas o resueltas a favor de los interesados, así como el listado de quejas y reclamaciones habituales.
Los sujetos incluidos en el artículo 2, respecto de su gestión económico-financiera y la de los organismos y entidades vinculadas o dependientes de la misma, harán pública y mantendrán actualizada, la información siguiente:
a) Información presupuestaria y contable.
1.o El límite de gasto no financiero aprobado para el ejercicio.
2.o El proyecto de Presupuestos y los presupuestos, con la descripción de las partidas presupuestarias anuales y los datos de su ejecución.
En el caso de la Comunidad de Madrid, el Proyecto de Ley de Presupuestos Generales de la Comunidad y la Ley de Presupuestos Generales de la Comunidad de Madrid, incluyendo la clasificación orgánica, desglosada a nivel de dirección general, funcional, desglosada a nivel de programa y económica, desglosada a nivel subconcepto, e información actualizada y comprensible sobre su estado de ejecución, con datos al mismo nivel de detalle que el presupuesto.
3.o Las cuentas anuales que deban rendirse.
En el caso de la Comunidad de Madrid, la Cuenta General de la Comunidad (Balance, Cuenta de Resultado económico-patrimonial, Memoria, y liquidación del Presupuesto).
4.o La ejecución trimestral de los presupuestos, con los datos al mismo nivel de detalle que en los propios presupuestos.
5.o Los créditos extraordinarios, suplementos y modificaciones de créditos, relativos a los Presupuestos y su justificación.
6.o Los presupuestos de los entes y organismos del sector público (empresas públicas, agencias, sociedades mercantiles, fundaciones públicas, y demás entidades).
7.o Las cuentas anuales de las entidades del sector público.
9.o Los informes sobre el grado de cumplimiento de los objetivos de estabilidad presupuestaria y sostenibilidad financiera.
10.º Los planes económico-financieros aprobados para el cumplimiento de los objetivos de estabilidad presupuestaria, de deuda pública y de la regla de gasto.
11.o Los planes de reequilibrio aprobados para los supuestos de déficit estructural.
12.o Los planes de ajuste aprobados por medidas de apoyo a la liquidez.
13.o Los informes de seguimiento de los planes relacionados en los apartados 10.º, 11.º y 12.º anteriores.
14.o Las razones de desviación en todas aquellas partidas reales comparadas con presupuesto que excedan el 10 % de la cantidad prevista.
b) Información de los ingresos y gastos:
1.o La información básica sobre la financiación de su Administración: tributos propios, tributos cedidos, Fondo de Garantía de servicios públicos fundamentales, Fondo de suficiencia global de convergencia.
2.o En el caso de la Comunidad de Madrid, la proporción que representa el déficit/superávit público de la Comunidad Autónoma sobre el PIB regional; los ingresos fiscales por habitante: Capítulos I, II y III de Ingresos/Número de habitantes; el gasto por habitante en la Comunidad Autónoma; La inversión realizada por habitante en la Comunidad Autónoma.
3.o Los gastos de personal y su porcentaje sobre el gasto total. Asimismo, se especificarán los gastos derivados del personal directivo y eventual, así como los derivados de los liberados sindicales, expresando en todos los casos su porcentaje sobre el gasto de personal y sobre el gasto total.
4.o El gasto efectuado en concepto de arrendamiento de bienes inmuebles.
5.o Los gastos realizados en campañas de publicidad o comunicación institucional, los contratos celebrados incluyendo la información a que se refiere el artículo 22, así como los planes de medios correspondientes en el caso de las campañas publicitarias, incluyendo el desglose de gastos por campaña y presupuesto asociado por medios de comunicación y los criterios para ese reparto. Será de aplicación lo dispuesto en la legislación que regula estas materias.
6.o El gasto realizado en concepto de patrocinio.
7.o El gasto total efectuado en concepto de ayudas o subvenciones para actividades económicas.
8.o Gastos en las distintas políticas y su porcentaje sobre el gasto total.
c) Información sobre endeudamiento.
1.o El importe de la Deuda pública actual de su Administración y su evolución a lo largo de los cinco ejercicios anteriores, recogiendo, en el caso de la Comunidad de Madrid el endeudamiento público por habitante y el endeudamiento relativo (Deuda de la Comunidad de Madrid/Presupuesto total de la Comunidad de Madrid).
2.o Las operaciones de préstamo, crédito y emisiones de deuda pública, así como las entidades con las que se realizan estas operaciones en todas sus modalidades, realizadas por los entes del sector público de la Administración pública a la que pertenecen.
3.o Los avales y garantías prestados en cualquier clase de crédito por las entidades del sector público de su Administración pública.
4.o Las operaciones de arrendamiento financiero por las entidades del sector público de su Administración pública.
a) La relación de bienes demaniales afectos al uso general o servicio público.
b) La relación de bienes inmuebles de que sean titulares o sobre los que se ostente algún derecho real, especificando si están ocupados o no por las dependencias de sus órganos o servicios, así como los cedidos a terceros por cualquier título y, en su caso, la persona o entidad beneficiaria y el destino de la cesión, así como la cuantía.
c) La relación de bienes inmuebles arrendados y cedidos, y en su caso, el destino de uso o servicio público de los mismos, así como la cuantía del arrendamiento individual de cada uno.
d) El número de vehículos oficiales de los que sean titulares y los arrendados, y la función para la que están reservados.
Sin perjuicio de lo anterior, cualquier persona tendrá acceso al Inventario de Bienes y Derechos de todos los sujetos comprendidos en el ámbito de aplicación de esta Ley, preferentemente por vía electrónica.
En relación a los negocios jurídicos que tengan por objeto bienes inmuebles y derechos patrimoniales, se hará pública la información relativa a los objetivos o finalidades de las operaciones, el procedimiento desarrollado al efecto, la identidad de los participantes en el procedimiento, las ofertas presentadas, el importe o beneficio finalmente alcanzado y la identidad de los adjudicatarios finales.
Los sujetos incluidos en el artículo 2 harán pública y mantendrán actualizada la información que les afecte siguiente:
a) Los proyectos de planes y programas anuales y plurianuales, generales o sectoriales, departamentales o interdepartamentales, cuya tramitación se haya iniciado.
b) Los planes y programas anuales y plurianuales, generales o sectoriales, departamentales o interdepartamentales, aprobados, con indicación para cada uno de ellos de los objetivos estratégicos perseguidos, las actividades y medios necesarios para alcanzarlos, una estimación temporal para su consecución, la identificación de los órganos responsables de su ejecución, así como los indicadores que permitirán su seguimiento y evaluación.
c) El grado de cumplimiento de los planes y programas y, en su caso, de las modificaciones introducidas o que pretenden introducirse respecto de lo planificado.
d) La evaluación de los resultados de los planes y programas.
Los sujetos incluidos en el artículo 2 publicarán y mantendrán actualizada, desde la fecha de licitación, una relación de la totalidad de contratos de obras públicas desde la entrada en vigor de esta Ley. Esta relación permanecerá en la web de transparencia sin caducidad.
Para cada una de las obras públicas a que se refiere el apartado anterior en fase de adjudicación deberá hacerse pública y mantenerse actualizada, la siguiente información:
a) Presupuesto, pliegos y criterios de adjudicación, incluyendo las actas de adjudicación anonimizadas, las valoraciones de cada oferta y la composición de las mesas de contratación y cargos de sus miembros.
b) Número de empresas que han concurrido a la licitación.
c) Empresa o empresas adjudicatarias.
a) Denominación y descripción de la obra.
b) Importe de su ejecución, diferenciando el presupuesto inicial de cada una de las revisiones posteriores, sean por modificaciones de la obra o por revisión de precios.
c) Administraciones, organismos o entidades que la financian, incluyendo el importe que les corresponde.
d) Persona o entidad adjudicataria.
e) Persona o entidad subcontratada.
f) Fecha de inicio y conclusión, así como, en su caso, las prórrogas o ampliaciones del plazo de ejecución que se hayan concedido.
g) Penalizaciones impuestas por incumplimientos del contratista.
h) Administración titular de la obra ejecutada y, en su caso, del mantenimiento posterior de la misma.
a) La información general de las entidades y órganos de contratación.
b) La información sobre los contratos programados, los contratos adjudicados, las licitaciones anuladas, incluyendo las razones detalladas y cualquier otra que se considere necesaria o conveniente para la adecuada gestión de la contratación.
c) La información sobre las licitaciones en curso, con acceso a la totalidad de las condiciones de ejecución del contrato y, en su caso, la restante documentación complementaria.
d) La composición y convocatorias de las mesas de contratación, con los cargos, y las actas anonimizadas completas de adjudicación que firman.
e) La información sobre preguntas frecuentes y aclaraciones relativas al contenido de los contratos.
a) Los contratos formalizados, con indicación del objeto, la duración, el importe de licitación y de adjudicación, el procedimiento utilizado, los motivos que justifican el procedimiento seguido, los instrumentos a través de los que en su caso se haya publicitado, el número de licitadores participantes en el procedimiento y la identidad de los adjudicatarios, las ofertas económicas y, en su caso, porcentaje de baja de su oferta y relación con el resto de licitadores y resultados de las evaluaciones.
b) Los datos estadísticos sobre el porcentaje en volumen presupuestario de contratos adjudicados a través de cada uno de los procedimientos previstos en la legislación de contratos del sector público.
c) Información de los contratos menores formalizados, trimestralmente, con indicación del objeto, duración, el importe de licitación y de adjudicación, el procedimiento utilizado para su celebración, los instrumentos a través de los que, en su caso, se ha publicitado, el número de licitadores participantes en el procedimiento y la identidad del adjudicatario, así como las modificaciones del contrato. Igualmente serán objeto de publicación las decisiones de desistimiento y renuncia de los contratos. Se especificará también el importe global de los mismos y el porcentaje que representan respecto de la totalidad de contratos formalizados.
d) Las modificaciones de los contratos formalizados, así como las prórrogas y variaciones del plazo de duración o ejecución.
e) Las penalidades impuestas, en su caso, por incumplimiento de los contratistas.
f) La relación de contratos resueltos. Específicamente, se harán públicas las decisiones de desistimiento y renuncia de los contratos.
a) Las partes firmantes.
b) El objeto, con indicación de las actuaciones o actividades comprometidas y los órganos o unidades encargados de la ejecución de las mismas.
c) Obligaciones económicas, con indicación de las cantidades que corresponden a cada una de las partes firmantes.
d) El plazo y condiciones de vigencia.
e) El objeto y la fecha de las distintas modificaciones realizadas durante su vigencia.
f) El Boletín Oficial en que fue publicado y el Registro en el que está inscrito.
Además, todos los convenios que se suscriban deberán ser objeto de inscripción en los registros de convenios, en el que se incluirá la copia del mismo. También, serán objeto de inscripción las modificaciones, prórrogas y anexos o adendas a los mismos. El acceso a los registros de convenios será público, debiendo garantizar y facilitar que puedan consultarse gratuitamente, tanto de forma presencial como telemática.
a) La entidad a la que se realiza la encomienda o encargo.
b) Número y categorías profesionales de las personas, en su caso, incluidas en cada encomienda o encargo, así como el importe total destinado a gastos de personal.
c) Medios materiales que la entidad encomendante haya acordado poner a disposición de la encomendada o encargada para la realización del trabajo.
d) Los motivos que justifican que no se presten los servicios con los medios personales con que cuenta el órgano o entidad encomendante.
e) El objeto y el presupuesto de la encomienda o el encargo.
f) Las tarifas o precios fijados.
g) Las modificaciones y revisiones del presupuesto y los precios, así como, en su caso, la liquidación final de la encomienda o encargo.
h) Porcentajes de las encomiendas o los encargos a medios propios.
i) Las subcontrataciones efectuadas, en su caso, con indicación del procedimiento seguido para ello, la persona o entidad adjudicataria y el importe de la adjudicación.
Los sujetos incluidos en el artículo 2, sin perjuicio de lo previsto en el artículo 22, harán pública y mantendrán actualizada la información sobre los servicios públicos concedidos por los mismos y por los organismos públicos y entidades públicas vinculadas o dependientes, incluyendo:
a) El servicio público objeto de la concesión administrativa.
b) La identificación del concesionario.
c) El plazo de la concesión, régimen de financiación y condiciones de prestación del servicio.
d) Los pliegos de cláusulas administrativas y de prescripciones técnicas que rijan dicha concesión.
e) Los estándares mínimos de calidad del servicio público que rija dicha concesión.
f) Cargo de la persona responsable del contrato.
g) Las direcciones electrónicas a las que pueden dirigirse las reclamaciones de responsabilidad patrimonial y las quejas.
h) Número, categoría y titulación del personal adscrito.
i) Las evaluaciones de servicio llevadas a cabo por las entidades responsables.
j) Las sanciones firmes.
k) Los acuerdos de modificación del contrato de concesión.
a) Los planes estratégicos de ayudas y subvenciones aprobados. Asimismo, dichos planes deberán ser publicados en el «Boletín Oficial de la Comunidad de Madrid», dentro de los veinte días siguientes a su aprobación.
b) La relación de las líneas de ayudas o subvenciones que tenga previsto convocar durante el ejercicio presupuestario, con indicación de los importes que se destinen, el objetivo o la finalidad y la descripción de los posibles beneficiarios.
c) La relación de ayudas y subvenciones concedidas a lo largo de cada ejercicio, indicando su importe, así como la fórmula empleada para hacer el cálculo y los resultados de los mismos que lleven a ese importe, objetivo o finalidad y beneficiarios. Además, la relación de subvenciones concedidas sin promover la concurrencia, especificando la persona o entidad beneficiaria, el importe, el destino y las motivaciones para su concesión, se publicará trimestralmente en el «Boletín Oficial de la Comunidad de Madrid», dentro del mes siguiente a la finalización de cada trimestre natural.
La publicación de la información pública descrita en el apartado anterior detallará: el plazo de ejecución, pagos anticipados o a cuenta, importe justificado, cuantías pagadas, resoluciones de reintegro y sanciones impuestas.
La publicación de los beneficiarios de las ayudas y subvenciones concedidas prevista en el apartado 1 del presente artículo no se realizará cuando la publicación de los datos del beneficiario en razón del objeto de la subvención pueda ser contraria al respeto y salvaguarda del honor, la intimidad personal y familiar de las personas físicas de acuerdo con lo previsto en la Ley Orgánica 1/1982, de 5 de mayo, de protección civil del derecho al honor, a la intimidad personal y familiar y a la propia imagen.
Los sujetos incluidos en el artículo 2 están obligados a hacer públicos y mantener actualizados los instrumentos de ordenación del territorio y los planes urbanísticos que les afecten, garantizando como mínimo la siguiente información:
a) La estructura general de cada municipio.
b) La clasificación y calificación del suelo.
c) La ordenación prevista para el suelo, con el grado de detalle adecuado.
d) Las infraestructuras planteadas en cada localidad.
e) Su estado de tramitación y desarrollo, incluyendo las fechas de aprobación de los diferentes instrumentos de planeamiento y gestión, así como los informes sectoriales emitidos por las Administraciones y organismos competentes.
f) Las modificaciones y revisiones aprobadas con indicación de las fechas de publicación de las mismas.
g) La información geográfica, económica y estadística de elaboración propia cuya difusión permita el conocimiento general, facilitando las fuentes, notas metodológicas y modelos utilizados.
h) La información medioambiental ha de hacerse pública de conformidad con la normativa vigente.
i) Las resoluciones judiciales firmes que afecten a la vigencia de cualquiera de sus determinaciones.
La Administración pública de la Comunidad de Madrid viene obligada a hacer pública y mantener actualizada la información estadística necesaria para valorar el grado de cumplimiento y calidad de los servicios públicos que sean de su competencia, así como la información estadística de interés.
a) Coordinación de la acción de todas las Consejerías para el cumplimiento de las obligaciones contenidas en la Ley.
b) Elaboración y aprobación de las directrices aplicables a la publicación de la información.
c) Gestión del Portal de Transparencia de la Comunidad de Madrid.
d) Seguimiento y control de la correcta tramitación de las solicitudes de acceso a la información.
e) Apoyo y asesoramiento técnico a todas las Consejerías.
f) Elaboración de un informe anual sobre el cumplimiento de las obligaciones en materia de publicidad activa y de derecho de acceso en el ámbito de la Administración de la Comunidad de Madrid.
g) Las demás que le atribuya el ordenamiento jurídico.
a) Coordinar la acción de todos los órganos y entidades dependientes de la Consejería para el cumplimiento de las obligaciones contenidas en la Ley.
b) Requerir de los órganos y entidades dependientes de su Consejería la elaboración, puesta a disposición y actualización de información que deba de hacerse pública en sus respectivos ámbitos.
c) Seguimiento y control de la correcta tramitación de las solicitudes de acceso a la información, y, en su caso, de las reclamaciones que se interpongan, de acuerdo con las resoluciones del Consejo de Transparencia y Participación de la Comunidad de Madrid.
d) Apoyo y asesoramiento a las unidades de la Consejería.
e) Asesoramiento y orientación ciudadana en materia de transparencia.
f) Elaboración de una memoria anual sobre el cumplimiento de las obligaciones en materia de publicidad activa en el ámbito de la Administración de la Comunidad de Madrid.
a) Coordinación de la acción de todas las áreas de gestión para el cumplimiento de las obligaciones establecidas en la Ley.
b) Elaboración y aprobación de las directrices aplicables a la publicación de la información.
c) Gestión de su página web o portal.
d) Seguimiento y control de la correcta tramitación de las solicitudes de acceso a la información.
e) Apoyo y asesoramiento técnico a sus órganos de gestión.
f) Elaboración de un informe anual sobre el cumplimiento de las obligaciones en materia de publicidad activa y derecho de acceso.
Para facilitar el acceso a la información pública, los sujetos obligados por esta Ley dispondrán de un sistema integral de información y conocimiento en formato electrónico que garantice la transparencia de la información pública. El sistema integral se fundamenta en el Portal de Transparencia de la Comunidad de Madrid y en los portales, sedes electrónicas o sitios web que corresponda, cuyos enlaces han de estar disponibles en el Portal de Transparencia de la Comunidad.
El Portal de Transparencia, ya sea mediante el alojamiento de la información en el mismo o mediante enlaces electrónicos a su ubicación, permitirá a cualquier usuario el acceso libre y gratuito desde un único punto a toda la información que es responsabilidad de la Comunidad y del resto de los sujetos obligados a publicar, de forma actualizada y de modo proactivo en los términos contemplados en esta Ley. Además de permitir el acceso a esta información, el Portal deberá incluir el Registro de acceso y reclamaciones, en los términos previstos en el Título III, y los instrumentos de participación y colaboración ciudadana y el Registro de Transparencia conforme establece el Título IV, así como el procedimiento de reclamaciones ante el Consejo de Transparencia y Participación y su enlace.
El Portal de Transparencia funcionará como un contenedor que enlaza toda la información de modo ordenado, con un catálogo indexado al menos por sujetos obligados y tipo de información clasificada según el presente Título.
Son objetivos del Portal:
a) Ofrecer el acceso a toda la información obligada por este Título y proveniente de cualquiera de los sujetos obligados.
b) Facilitar la identificación de la información en el documento o documentos que se puedan encontrar en el mismo Portal.
c) Localizar la información de obligada publicación.
d) Ofrecer el derecho de acceso por vía electrónica y la información adecuada para ejercerlo, así como los procedimientos de reclamación.
e) Ofrecer la información en las condiciones que permitan utilizarla para su fin (consulta, análisis comparativo, difusión o procesado para que el usuario obtenga otros datos).
f) Informar trimestralmente, con estadísticas, de las solicitudes más frecuentes, los indicadores y los temas más consultados y solicitados a través del derecho de acceso por los ciudadanos.
g) Facilitar los mecanismos de participación ciudadana conforme al Título IV.
a) Se ofrecerá la información en formatos abiertos y reutilizables, atendiendo a normas de estandarización aprobadas por la legislación española y europea, facilitando su integración en bases de datos de ámbito superior al autonómico y siguiendo los criterios marcados por los Consejos de Transparencia nacional y autonómico.
b) El catálogo de la información será reutilizable y permitirá la interoperabilidad con otros catálogos de información pública conforme a las normas técnicas del Esquema Nacional de Interoperabilidad.
c) El Portal dispondrá de un buscador que permita un acceso rápido, fácil y comprensible a su contenido.
d) El Portal incorporará mecanismos de alerta sobre la información que se ha actualizado o incorporado.
e) La información se actualizará, con carácter general, de forma continua y en los términos establecidos en esta Ley cuando así se especifique. Se indicará en todo caso la fecha de actualización de cada información por última vez y, si es conocida o previsible, la fecha en que volverá a actualizarse.
f) La información catalogada e indexada se organizará de acuerdo con las prescripciones técnicas establecidas reglamentariamente y no tendrá caducidad.
Todas las personas tienen derecho a acceder a la información pública, en los términos previstos en esta Ley y en el resto del ordenamiento jurídico.
a) La fecha de presentación de la solicitud o reclamación.
b) La identidad del solicitante o reclamante.
c) La descripción concisa de la información solicitada o reclamada y la motivación si la hubiera.
d) En su caso, la forma o formato de acceso.
e) Datos de contacto, a efectos de comunicación con el interesado.
f) El tiempo en que se ha atendido la solicitud, y, en caso de que la respuesta se haya realizado fuera del plazo, las razones que han motivado la demora.
g) El tipo de respuesta que se ha dado a la solicitud, y, en caso de denegación, los motivos de la misma.
h) Los demás que puedan establecerse en el reglamento de organización y funcionamiento del Registro.
El Registro dependerá del órgano competente del Departamento que tenga atribuidas las competencias en materia de información pública y se accederá a él a través del Portal de Transparencia, salvo los datos correspondientes al apartado 1.b) y e) que podrán ser publicados si el solicitante o reclamante así lo expresa.
El resto de los sujetos relacionados en el artículo 2 y en los apartados 1 y 2 del artículo 3 podrán contar con sus propios registros de solicitudes de acceso y reclamaciones o adherirse expresamente al Registro de la Comunidad. En estos registros se inscribirán y podrán ser consultadas todas las solicitudes y reclamaciones que se les presenten, haciendo constar los datos a que hace referencia el apartado 1 de este artículo, salvo los datos correspondientes a los apartados 1.b) y 1.e) que podrán ser publicados si el solicitante o reclamante así lo expresa. Estos registros estarán disponibles en sus respectivas sedes electrónicas, portales o páginas web.
La competencia para la resolución de las solicitudes de acceso a la información pública corresponderá:
a) En el ámbito de la Administración pública y demás organismos o entidades incluidos en el artículo 2 será competente para resolver el titular del órgano o de la entidad que posea la información solicitada.
b) En el caso de que se solicite información de las personas físicas o jurídicas que presten servicios públicos o ejerzan potestades administrativas, así como de los sujetos comprendidos en los apartados 1 y 2 del artículo 3, será competente para resolver el órgano que tenga atribuidas las competencias del servicio o en la materia.
a) Acceder a la información pública de acuerdo con lo establecido en la legislación vigente.
b) Ser informadas de si los documentos que contienen la información solicitada o de los que puede derivar dicha información obran o no en poder del órgano o entidad.
c) Ser asistidas en su búsqueda de información.
d) Recibir el asesoramiento adecuado y en términos comprensibles para el ejercicio del derecho de acceso.
e) Recibir la información solicitada dentro de los plazos y en la forma o formato elegido de acuerdo con lo establecido en esta Ley.
f) Conocer las razones en que se fundamenta la denegación del acceso a la información solicitada y, en su caso, el otorgamiento del acceso en una modalidad o formato distinto al elegido.
g) Obtener la información solicitada de forma gratuita, sin perjuicio del abono, en su caso, de las tasas que correspondan por la expedición de copias y la transposición a formatos diferentes del original.
h) Usar, reutilizar y compartir la información obtenida sin necesidad de autorización previa y sin más limitaciones que las impuestas por la legislación vigente.
a) Realizar el acceso a la información concretando lo más precisamente posible la petición.
b) Ejercer el derecho de acceso conforme a los principios de buena fe e interdicción del abuso de derecho.
c) Cumplir las condiciones que se hayan señalado en la resolución que conceda el acceso directo a las fuentes de información y el acceso a la dependencia pública o archivo donde la información esté depositada.
d) Respetar las obligaciones establecidas en la licencia y condiciones de uso de la información obtenida y en la normativa básica para la reutilización. Dichas obligaciones serán explicadas de forma clara por el suministrador de la información.
e) Abonar las tasas que pudieran establecerse para la obtención de copias y la transposición de la información a un formato diferente al original.
El derecho de acceso a la información pública sólo podrá ser limitado o denegado en los supuestos previstos en la normativa de la Unión Europea y en la legislación básica del Estado.
La aplicación de los límites a que se refiere el apartado anterior será justificada y proporcionada a su objeto y finalidad de protección y atenderá a las circunstancias del caso concreto, especialmente a la concurrencia de un interés público o privado superior que justifique el acceso.
Las solicitudes de acceso a información que contenga datos personales de categoría especial se regirán por lo dispuesto en el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril, general de protección de datos, en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, y en la legislación básica reguladora del derecho de acceso a la información pública.
Con carácter general, y salvo que en el caso concreto prevalezca la protección de datos personales u otros derechos constitucionalmente protegidos sobre el interés público en la divulgación que lo impida, se concederá el acceso a información que contenga datos meramente identificativos relacionados con la organización, funcionamiento o actividad pública del órgano.
Cuando la información solicitada no contuviera datos especialmente protegidos, el órgano al que se dirija la solicitud concederá el acceso previa ponderación suficientemente razonada del interés público en la divulgación de la información y los derechos de los afectados cuyos datos aparezcan en la información solicitada, en particular su derecho fundamental a la protección de datos de carácter personal.
Para la realización de la citada ponderación, el órgano tomará particularmente en consideración los criterios establecidos en el artículo 15.3 de la Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno, así como los criterios de aplicación que puedan adoptarse conforme a lo previsto en la disposición adicional quinta de la misma Ley. Tendrá también en cuenta los criterios que adopte la Agencia Española de Protección de Datos y el Consejo de Transparencia y Participación de la Comunidad de Madrid, en cuanto a la protección de datos personales.
No será aplicable lo establecido en los apartados anteriores si el acceso se efectúa previa disociación o anonimizando de los datos de carácter personal de modo que se impida la identificación de las personas afectadas.
La normativa de protección de datos personales será de aplicación al tratamiento posterior de los obtenidos a través del ejercicio del derecho de acceso.
En los casos en que la aplicación de alguno de los límites previstos en el artículo anterior no afecte a la totalidad de la información, se concederá el acceso parcial previa omisión de la información afectada por el límite salvo que de ello resulte una información distorsionada o que carezca de sentido.
Si la limitación está ocasionada por la normativa de la Unión Europea o la legislación básica del Estado de datos personales, los sujetos obligados deberán, en todo caso, anonimizar la información y facilitar el acceso a la misma.
El procedimiento para el ejercicio del derecho de acceso se iniciará con la presentación de la correspondiente solicitud dirigida al órgano o entidad competente.
a) La identidad del solicitante, sin necesidad de acreditación electrónica. Sin perjuicio de lo previsto en el artículo 31, el solicitante tendrá derecho a hacer pública su identidad en el Registro de solicitudes de acceso y reclamaciones, debiéndolo hacerlo constar de manera expresa.
b) La información que se solicita.
c) La dirección de contacto, preferentemente electrónica, a efectos de las comunicaciones a propósito de la solicitud.
d) En su caso, la modalidad preferida de acceso a la información solicitada.
Cuando la solicitud se formule de forma oral, por comparecencia en las unidades administrativas o en las oficinas de información, la misma será recogida en formato electrónico haciendo constar los extremos señalados en el apartado anterior.
Las unidades responsables de la información y las oficinas de información, así como el órgano o entidad en el que se presente o al que se dirija la solicitud, cualquiera que sea el medio utilizado para realizarla, ofrecerá la asistencia que sea necesaria para facilitar el ejercicio del derecho de acceso, teniendo en cuenta las necesidades especiales de algunos colectivos.
El solicitante no está obligado a motivar su solicitud de acceso a la información. Sin embargo, podrá exponer los motivos por los que solicita la información que podrán ser tenidos en cuenta cuando se dicte la resolución. No obstante, la ausencia de motivación no será por sí sola causa de rechazo de la solicitud.
Cuando una solicitud esté formulada de manera que no se identifique de forma suficiente la información a que se refiere, se pedirá al solicitante que la concrete, y se le facilitarán las indicaciones precisas que sean necesarias para ello, dándole para ello un plazo de diez días, con indicación de que, si así no lo hiciera, se le tendrá por desistido en su petición, así como de la suspensión del plazo para dictar resolución.
El desistimiento y el archivo de la solicitud se acordarán mediante resolución expresa del órgano competente y en ningún caso impedirán la presentación de una nueva solicitud en la que concrete la información demandada.
Se inadmitirán a trámite, mediante resolución motivada, las solicitudes que conforme a la legislación básica en materia de transparencia y acceso a la información pública incurran en causa de inadmisión.
En todo caso, en la aplicación de las causas de inadmisión recogidas en la legislación básica a que hace referencia el apartado anterior, se seguirán las siguientes normas:
a) En las resoluciones de inadmisión porque la información esté en curso de elaboración o publicación general, deberá especificarse el órgano que elabora dicha información y el tiempo previsto para su conclusión.
b) No podrá considerarse información de carácter auxiliar o de apoyo los informes preceptivos ni aquellos otros documentos que sin serlo hayan servido de forma total o parcial, en su caso, directamente de motivación a resoluciones.
c) No podrá considerarse como reelaboración que justifique la inadmisión de la información la que pueda obtenerse mediante un tratamiento informatizado de uso corriente.
Cuando la solicitud se refiera a información que no obre en poder del órgano a la que se dirige, éste la remitirá, en un plazo no superior a cinco días, al competente e informará de esta circunstancia al solicitante.
Cuando el órgano al que se dirija la solicitud desconozca el que sea competente para resolver sobre el acceso a la documentación solicitada, procurará averiguarlo. Si lo llegase a conocer deberá darle traslado en el plazo de cinco días, e informará de esta circunstancia al solicitante.
Transcurridos cinco días sin haberse conocido el órgano competente, se inadmitirá la solicitud y se informará de esta circunstancia al solicitante.
Las resoluciones sobre las solicitudes de acceso se adoptarán y notificarán en el plazo máximo de veinte días desde su recepción. Cuando el volumen o la complejidad de la información solicitada lo justifiquen, el plazo se podrá ampliar por otros veinte días más, informando de esta circunstancia al solicitante.
Las resoluciones por las que se inadmitan a trámite las solicitudes por las causas previstas en el apartado 1 del artículo 40 se adoptarán y notificarán lo antes posible, y en todo caso, en el plazo máximo de cinco días hábiles desde su recepción por el órgano competente para resolver.
Transcurrido el plazo máximo para resolver sin haberse notificado resolución expresa, la solicitud de acceso se entenderá desestimada conforme a lo establecido en la legislación básica en materia de transparencia y acceso a la información pública.
La resolución que se adopte podrá inadmitir la solicitud, conceder o denegar el acceso total o parcial y, en su caso, fijar la modalidad de acceso a la información solicitada. La ponderación sobre la concurrencia de un interés público o privado superior deberá ser motivada en la resolución de las solicitudes de información de forma clara.
Serán motivadas, en todo caso, las resoluciones siguientes:
a) Las que inadmitan a trámite las solicitudes.
b) Las que denieguen el acceso.
c) Las que concedan el acceso parcial.
d) Las que concedan el acceso a través de una modalidad distinta a la solicitada, debiendo motivar las causas de este cambio.
e) Las que permitan el acceso cuando haya habido oposición de un tercero afectado.
Cuando la mera indicación de la existencia o no de la información suponga incurrir en alguna de las limitaciones al derecho de acceso, se pondrá de manifiesto que concurre esta circunstancia para desestimar la solicitud.
Si la resolución estimara, en todo o en parte, la solicitud, indicará la modalidad de acceso y, si procede, el plazo y las condiciones del mismo, garantizando la efectividad del derecho y la integridad de la información suministrada.
Las resoluciones que permitan el acceso cuando haya habido oposición de un tercero indicarán expresamente al interesado que el acceso sólo tendrá lugar cuando, habiéndose concedido dicho acceso, haya transcurrido el plazo para interponer recurso contencioso administrativo sin que se haya formalizado o haya sido resuelto confirmando el derecho a recibir la información.
Si la información ya ha sido publicada, la resolución podrá limitarse a indicar al solicitante cómo puede acceder a ella.
Las resoluciones dictadas en materia de acceso a la información pública ponen fin a la vía administrativa y son recurribles directamente ante la jurisdicción contencioso-administrativa, sin perjuicio de la posibilidad de interposición de la reclamación potestativa prevista en el Capítulo III del presente Título.
La resolución debe notificarse al solicitante y a los terceros afectados que así lo hayan solicitado. Indicará los recursos y reclamaciones que procedan contra la misma, el órgano administrativo o judicial ante el que deban interponerse y el plazo para su interposición.
El acceso a la información se realizará preferentemente por vía electrónica, salvo cuando no sea posible o el solicitante haya señalado expresamente otro medio. Cuando la información se facilite por vía electrónica, los documentos se proveerán en su formato electrónico original.
La información se proporcionará en la modalidad solicitada, a menos que no sea técnicamente posible, resulte excesivamente gravosa para el sujeto obligado o exista una alternativa más económica.
El reconocimiento del derecho de acceso conllevará el de obtener copias de los documentos solicitados, salvo en los supuestos en los que no sea posible realizar la copia en un formato determinado debido a la carencia de equipos apropiados o cuando, por su cantidad o complejidad, conlleve un coste desproporcionado para la Administración. La resolución que deniegue la copia debe ser motivada.
El acceso a la información será gratuito. No obstante, la obtención de copias estará sujeta al pago de las tasas establecidas, de acuerdo con lo previsto en su normativa reguladora de las tasas.
De acuerdo con lo establecido en la legislación básica estatal, dicha reclamación tiene la consideración de sustitutiva de los recursos administrativos de conformidad con lo dispuesto en el artículo 112.2 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas.
La reclamación se interpondrá por escrito en el plazo de un mes a contar desde el día siguiente al de la notificación del acto impugnado o desde el día siguiente a aquel en que se produzcan los efectos del silencio administrativo.
El escrito de interposición, dirigido al Consejo de Transparencia y Participación, deberá contener:
a) El nombre y apellido del solicitante, sin necesidad de acreditación electrónica.
b) La indicación de la resolución expresa contra la que se reclama.
c) Los motivos por los que se reclama.
d) La dirección de contacto a la cual puedan dirigirse las comunicaciones a propósito de la reclamación.
El solicitante deberá tener la opción de hacer pública su identidad y dirección en el Registro de solicitudes de acceso y reclamaciones, en los extremos determinados en el artículo 31.
La reclamación podrá presentarse presencial o telemáticamente en el registro del Consejo de Transparencia y Participación y en cualquiera de los registros públicos previstos para la presentación de escritos dirigidos a las Administraciones públicas de la Comunidad de Madrid. También por correo postal o electrónico a través de una dirección habilitada especialmente para tal fin.
La tramitación de la reclamación, su resolución y publicación se ajustarán a lo establecido en la legislación básica del Estado.
La resolución que se adopte por el Consejo de Transparencia y Participación será en todo caso motivada y podrá estimar o desestimar, en su totalidad o en parte, la reclamación presentada.
Cuando estime la reclamación, la resolución establecerá la información o documentación a la que puede acceder la persona interesada, la modalidad de acceso y, en su caso, el plazo y las condiciones del mismo.
La normativa reguladora del correspondiente procedimiento administrativo será la aplicable al acceso por parte de quienes tengan la condición de interesados en un procedimiento administrativo en curso a los documentos que se integren en el mismo.
Se regirán por su normativa específica, y por esta Ley con carácter supletorio, aquellas materias que tengan previsto un régimen jurídico específico de acceso a la información.
Específicamente, esta Ley será de aplicación, en lo no previsto en sus respectivas normas reguladoras, al acceso a la información ambiental y a la destinada a la reutilización.
El Consejo de Gobierno de la Comunidad de Madrid y la Consejería competente en materia de información pública adoptarán, de acuerdo con las disponibilidades presupuestarias, las medidas que sean precisas para asegurar la difusión de la información pública prevista en esta Ley y su puesta a disposición de la ciudadanía de la manera más amplia y sistemática posible, así como para que la misma se ajuste progresivamente a los principios de accesibilidad, interoperabilidad y reutilización.
En el plazo de seis meses desde la entrada en vigor de esta Ley, el Consejo de Gobierno de la Comunidad adaptará su Registro de solicitudes de acceso y reclamaciones de la Comunidad, que deberá ser público y accesible a través del Portal de Transparencia.
El resto de los sujetos obligados por esta Ley, dispondrán de seis meses para adaptar sus propios registros o adherirse al Registro de la Comunidad.
El Consejo de Gobierno determinará reglamentariamente los criterios comunes para facilitar la interconexión y la integración de los diferentes registros de forma que se de publicidad al contenido de estos registros desde un único punto en el Portal de Transparencia.
En el plazo de seis meses desde la entrada en vigor de esta Ley, el Consejo de Gobierno de la Comunidad creará el Registro de Transparencia, que actuará como registro de la Administración de la Comunidad, y establecerá los criterios e instrumentos necesarios para facilitar la adhesión, integración e interconexión de los registros de los entes locales y de los demás sujetos a que hace referencia el artículo 2, de acuerdo con el reconocimiento mutuo de las inscripciones y actuaciones recíprocas, dando cumplimiento al principio de inscripción única.
Los entes locales y los demás sujetos de derecho público que actúan con independencia funcional o con autonomía especial reconocida por Ley podrán adherirse al Registro de Transparencia de la Comunidad.
La Dirección general competente del Registro de Transparencia de la Comunidad de Madrid prestará el apoyo que requiera la Asamblea de Madrid para garantizar el intercambio de información, el reconocimiento recíproco de actuaciones, el principio de inscripción única y la interoperabilidad.
En el plazo de seis meses desde la entrada en vigor de esta Ley, se regularán y pondrán en marcha los ficheros de participación y colaboración ciudadana.
La actividad de la Asamblea de Madrid sujeta al derecho administrativo se regirá por la legislación vigente en materia de transparencia. A estos efectos, y en uso de la autonomía que le es propia, corresponderá a los órganos competentes de la Cámara establecer en su Reglamento las medidas específicas necesarias para ajustar, de acuerdo con sus peculiaridades, su actividad a la legislación mencionada.
La actividad de la Asamblea de Madrid no sujeta a derecho administrativo se ajustará a las exigencias derivadas del principio de transparencia en los términos y con el alcance que prevea el Reglamento de la Cámara y las disposiciones que lo desarrollen.
En la actividad sujeta al derecho administrativo de la Cámara de Cuentas se ajustará a lo establecido en la legislación vigente en materia de transparencia.
Son órganos competentes en materia de información pública y para la resolución de las solicitudes de acceso a la información de la Cámara de Cuentas, los que se establezcan en las respectivas normas reguladoras de su organización.
Lo dispuesto en esta Ley será de aplicación a las entidades que integran la Administración local, a las asociaciones, fundaciones, corporaciones y demás entes constituidos por las entidades locales en el ámbito territorial de la Comunidad de Madrid, a las universidades públicas de la Comunidad de Madrid y a sus entidades u organismos vinculados o dependientes en todo aquello que no afecte a la autonomía local y universitaria reconocida constitucionalmente.
Corresponde al Consejo de Transparencia y Participación la resolución de las reclamaciones que se interpongan contra los actos expresos o presuntos resolutorios de las solicitudes de acceso a la información de los ayuntamientos de la Comunidad, de las universidades públicas de la Comunidad de Madrid, y de las entidades vinculadas o dependientes de los mismos.
El Consejo de Gobierno de la Comunidad de Madrid, a través del órgano competente en materia de Administración local y en el plazo de seis meses desde la publicación de esta Ley facilitará, en colaboración con la Federación de Municipios de Madrid, a las entidades locales que lo soliciten, la herramienta web para cumplir con las obligaciones que esta Ley les impone en relación con la transparencia de la actividad pública y la participación.
Asimismo se prestará la asistencia necesaria a los sujetos reconocidos en el apartado 1. f) del artículo 2 de esta Ley para el cumplimiento de las obligaciones que la misma establece, especialmente a las entidades locales menores y a los municipios de menor población, en particular en materia de publicidad activa.
A estos efectos, el Consejo de Gobierno promoverá una convocatoria anual para que los municipios de menos de 5.000 habitantes concreten las necesidades materiales y económicas que garanticen el cumplimiento de esta Ley.
La Comunidad de Madrid incluirá en su Plan de Formación contenidos en materia de transparencia administrativa y ejecutará acciones de formación específicas tendentes a sensibilizar al personal al servicio del sector público de la Comunidad Autónoma en el respeto de los derechos y obligaciones establecidos en la presente Ley.
A través de la Federación de Municipios de Madrid, el Plan de Formación en materia de transparencia podrá aplicarse al personal al servicio de las Administraciones locales de la Comunidad de Madrid, impulsando los instrumentos de colaboración que sean oportunos.
La Consejería competente en materia de información pública llevará a efecto actividades de formación, divulgación y difusión institucional con el objeto de facilitar el conocimiento por la ciudadanía de la información que resulta accesible y de los cauces disponibles para poder acceder a ella, así como del ejercicio del derecho de acceso a la información pública y de la participación.
Para el cumplimiento de las obligaciones previstas en la Ley, las corporaciones de Derecho público y las federaciones y clubs deportivos podrán celebrar convenios de colaboración con la Administración pública de la Comunidad de Madrid.
Todas las referencias que se hacen en la presente Ley al Consejo de Transparencia y Participación, se entenderán hechas al Consejo de Transparencia y Protección de Datos.
Las solicitudes de acceso a la información y las reclamaciones contra las resoluciones de denegación de acceso a la información presentadas con anterioridad a la entrada en vigor de la Ley continuarán su tramitación con arreglo a la normativa aplicable en el momento de la presentación.
Hasta que no entre en funcionamiento el Consejo de Transparencia y Participación de la Comunidad de Madrid, las solicitudes de acceso y las reclamaciones contra las resoluciones de denegación de acceso a la información contra actos de la Comunidad de Madrid, entidades locales y demás sujetos obligados por esta Ley se seguirán rigiendo por lo previsto en el apartado 1 de la disposición transitoria segunda de la Ley 5/2016, de 22 de julio, por la que se modifica la Regulación del Tribunal Administrativo de Contratación Pública de la Comunidad de Madrid.
Una vez que entre en funcionamiento el Consejo de Transparencia y Participación de la Comunidad de Madrid todas las funciones en materia de transparencia previstas en la disposición transitoria segunda de la de la Ley 5/2016, de 22 de julio, por la que se modifica la Regulación del Tribunal Administrativo de Contratación Pública de la Comunidad de Madrid pasarán a ser ejercidas por el Consejo de Transparencia y Participación.
Las obligaciones establecidas en los artículos 3 y 4 serán exigibles desde la entrada en vigor de la Ley, con independencia de que el contrato, subvención o cualesquiera otras formas de relación tengan su origen en fecha anterior, siempre que continúen vigentes.
Quedan derogadas cuantas disposiciones de igual o inferior rango se opongan a lo establecido en la presente Ley.
(Suprimida).
Se faculta al Consejo de Gobierno en el ámbito de sus competencias para dictar cuantas disposiciones sean necesarias para el desarrollo y ejecución de esta Ley, así como para acordar las medidas que garanticen la efectiva ejecución e implantación de la misma.
Asimismo, en el plazo de tres meses desde la publicación de la Ley, el Consejo de Gobierno deberá aprobar el contenido, organización y funcionamiento del Registro de Transparencia.
La presente Ley se publicará en el «Boletín Oficial de la Comunidad de Madrid» y entrará en vigor el 1 de enero de 2020.
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (2018)
La presente ley orgánica tiene por objeto:
a) Adaptar el ordenamiento jurídico español al Reglamento (UE) 2016/679 del Parlamento Europeo y el Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de sus datos personales y a la libre circulación de estos datos, y completar sus disposiciones.
El derecho fundamental de las personas físicas a la protección de datos personales, amparado por el artículo 18.4 de la Constitución, se ejercerá con arreglo a lo establecido en el Reglamento (UE) 2016/679 y en esta ley orgánica.
b) Garantizar los derechos digitales de la ciudadanía conforme al mandato establecido en el artículo 18.4 de la Constitución.
Lo dispuesto en los Títulos I a IX y en los artículos 89 a 94 de la presente ley orgánica se aplica a cualquier tratamiento total o parcialmente automatizado de datos personales, así como al tratamiento no automatizado de datos personales contenidos o destinados a ser incluidos en un fichero.
Esta ley orgánica no será de aplicación:
a) A los tratamientos excluidos del ámbito de aplicación del Reglamento general de protección de datos por su artículo 2.2, sin perjuicio de lo dispuesto en los apartados 3 y 4 de este artículo.
b) A los tratamientos de datos de personas fallecidas, sin perjuicio de lo establecido en el artículo 3.
c) A los tratamientos sometidos a la normativa sobre protección de materias clasificadas.
Los tratamientos a los que no sea directamente aplicable el Reglamento (UE) 2016/679 por afectar a actividades no comprendidas en el ámbito de aplicación del Derecho de la Unión Europea, se regirán por lo dispuesto en su legislación específica si la hubiere y supletoriamente por lo establecido en el citado reglamento y en la presente ley orgánica. Se encuentran en esta situación, entre otros, los tratamientos realizados al amparo de la legislación orgánica del régimen electoral general, los tratamientos realizados en el ámbito de instituciones penitenciarias y los tratamientos derivados del Registro Civil, los Registros de la Propiedad y Mercantiles.
El tratamiento de datos llevado a cabo con ocasión de la tramitación por los órganos judiciales de los procesos de los que sean competentes, así como el realizado dentro de la gestión de la Oficina Judicial, se regirán por lo dispuesto en el Reglamento (UE) 2016/679 y la presente ley orgánica, sin perjuicio de las disposiciones de la Ley Orgánica 6/1985, de 1 julio, del Poder Judicial, que le sean aplicables.
El tratamiento de datos llevado a cabo con ocasión de la tramitación por el Ministerio Fiscal de los procesos de los que sea competente, así como el realizado con esos fines dentro de la gestión de la Oficina Fiscal, se regirán por lo dispuesto en el Reglamento (UE) 2016/679 y la presente Ley Orgánica, sin perjuicio de las disposiciones de la Ley 50/1981, de 30 de diciembre, reguladora del Estatuto Orgánico del Ministerio Fiscal, la Ley Orgánica 6/1985, de 1 de julio, del Poder Judicial y de las normas procesales que le sean aplicables.
Como excepción, las personas a las que se refiere el párrafo anterior no podrán acceder a los datos del causante, ni solicitar su rectificación o supresión, cuando la persona fallecida lo hubiese prohibido expresamente o así lo establezca una ley. Dicha prohibición no afectará al derecho de los herederos a acceder a los datos de carácter patrimonial del causante.
Mediante real decreto se establecerán los requisitos y condiciones para acreditar la validez y vigencia de estos mandatos e instrucciones y, en su caso, el registro de los mismos.
En caso de fallecimiento de personas con discapacidad, estas facultades también podrán ejercerse, además de por quienes señala el párrafo anterior, por quienes hubiesen sido designados para el ejercicio de funciones de apoyo, si tales facultades se entendieran comprendidas en las medidas de apoyo prestadas por el designado.
Conforme al artículo 5.1.d) del Reglamento (UE) 2016/679 los datos serán exactos y, si fuere necesario, actualizados.
A los efectos previstos en el artículo 5.1.d) del Reglamento (UE) 2016/679, no será imputable al responsable del tratamiento, siempre que este haya adoptado todas las medidas razonables para que se supriman o rectifiquen sin dilación, la inexactitud de los datos personales, con respecto a los fines para los que se tratan, cuando los datos inexactos:
a) Hubiesen sido obtenidos por el responsable directamente del afectado.
b) Hubiesen sido obtenidos por el responsable de un mediador o intermediario en caso de que las normas aplicables al sector de actividad al que pertenezca el responsable del tratamiento establecieran la posibilidad de intervención de un intermediario o mediador que recoja en nombre propio los datos de los afectados para su transmisión al responsable. El mediador o intermediario asumirá las responsabilidades que pudieran derivarse en el supuesto de comunicación al responsable de datos que no se correspondan con los facilitados por el afectado.
c) Fuesen sometidos a tratamiento por el responsable por haberlos recibido de otro responsable en virtud del ejercicio por el afectado del derecho a la portabilidad conforme al artículo 20 del Reglamento (UE) 2016/679 y lo previsto en esta ley orgánica.
d) Fuesen obtenidos de un registro público por el responsable.
Los responsables y encargados del tratamiento de datos así como todas las personas que intervengan en cualquier fase de este estarán sujetas al deber de confidencialidad al que se refiere el artículo 5.1.f) del Reglamento (UE) 2016/679.
La obligación general señalada en el apartado anterior será complementaria de los deberes de secreto profesional de conformidad con su normativa aplicable.
Las obligaciones establecidas en los apartados anteriores se mantendrán aun cuando hubiese finalizado la relación del obligado con el responsable o encargado del tratamiento.
De conformidad con lo dispuesto en el artículo 4.11 del Reglamento (UE) 2016/679, se entiende por consentimiento del afectado toda manifestación de voluntad libre, específica, informada e inequívoca por la que este acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen.
Cuando se pretenda fundar el tratamiento de los datos en el consentimiento del afectado para una pluralidad de finalidades será preciso que conste de manera específica e inequívoca que dicho consentimiento se otorga para todas ellas.
No podrá supeditarse la ejecución del contrato a que el afectado consienta el tratamiento de los datos personales para finalidades que no guarden relación con el mantenimiento, desarrollo o control de la relación contractual.
Se exceptúan los supuestos en que la ley exija la asistencia de los titulares de la patria potestad o tutela para la celebración del acto o negocio jurídico en cuyo contexto se recaba el consentimiento para el tratamiento.
El tratamiento de datos personales solo podrá considerarse fundado en el cumplimiento de una obligación legal exigible al responsable, en los términos previstos en el artículo 6.1.c) del Reglamento (UE) 2016/679, cuando así lo prevea una norma de Derecho de la Unión Europea o una norma con rango de ley, que podrá determinar las condiciones generales del tratamiento y los tipos de datos objeto del mismo así como las cesiones que procedan como consecuencia del cumplimiento de la obligación legal. Dicha norma podrá igualmente imponer condiciones especiales al tratamiento, tales como la adopción de medidas adicionales de seguridad u otras establecidas en el capítulo IV del Reglamento (UE) 2016/679.
El tratamiento de datos personales solo podrá considerarse fundado en el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable, en los términos previstos en el artículo 6.1 e) del Reglamento (UE) 2016/679, cuando derive de una competencia atribuida por una norma con rango de ley.
Lo dispuesto en el párrafo anterior no impedirá el tratamiento de dichos datos al amparo de los restantes supuestos contemplados en el artículo 9.2 del Reglamento (UE) 2016/679, cuando así proceda.
En particular, dicha norma podrá amparar el tratamiento de datos en el ámbito de la salud cuando así lo exija la gestión de los sistemas y servicios de asistencia sanitaria y social, pública y privada, o la ejecución de un contrato de seguro del que el afectado sea parte.
El tratamiento de datos personales relativos a condenas e infracciones penales, así como a procedimientos y medidas cautelares y de seguridad conexas, para fines distintos de los de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, solo podrá llevarse a cabo cuando se encuentre amparado en una norma de Derecho de la Unión, en esta ley orgánica o en otras normas de rango legal.
El registro completo de los datos referidos a condenas e infracciones penales, así como a procedimientos y medidas cautelares y de seguridad conexas a que se refiere el artículo 10 del Reglamento (UE) 2016/679, podrá realizarse conforme con lo establecido en la regulación del Sistema de registros administrativos de apoyo a la Administración de Justicia.
Fuera de los supuestos señalados en los apartados anteriores, los tratamientos de datos referidos a condenas e infracciones penales, así como a procedimientos y medidas cautelares y de seguridad conexas solo serán posibles cuando sean llevados a cabo por abogados y procuradores y tengan por objeto recoger la información facilitada por sus clientes para el ejercicio de sus funciones.
Cuando los datos personales sean obtenidos del afectado el responsable del tratamiento podrá dar cumplimiento al deber de información establecido en el artículo 13 del Reglamento (UE) 2016/679 facilitando al afectado la información básica a la que se refiere el apartado siguiente e indicándole una dirección electrónica u otro medio que permita acceder de forma sencilla e inmediata a la restante información.
La información básica a la que se refiere el apartado anterior deberá contener, al menos:
a) La identidad del responsable del tratamiento y de su representante, en su caso.
b) La finalidad del tratamiento.
c) La posibilidad de ejercer los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679.
Si los datos obtenidos del afectado fueran a ser tratados para la elaboración de perfiles, la información básica comprenderá asimismo esta circunstancia. En este caso, el afectado deberá ser informado de su derecho a oponerse a la adopción de decisiones individuales automatizadas que produzcan efectos jurídicos sobre él o le afecten significativamente de modo similar, cuando concurra este derecho de acuerdo con lo previsto en el artículo 22 del Reglamento (UE) 2016/679.
En estos supuestos, la información básica incluirá también:
a) Las categorías de datos objeto de tratamiento.
b) Las fuentes de las que procedieran los datos.
Los derechos reconocidos en los artículos 15 a 22 del Reglamento (UE) 2016/679, podrán ejercerse directamente o por medio de representante legal o voluntario.
El responsable del tratamiento estará obligado a informar al afectado sobre los medios a su disposición para ejercer los derechos que le corresponden. Los medios deberán ser fácilmente accesibles para el afectado. El ejercicio del derecho no podrá ser denegado por el solo motivo de optar el afectado por otro medio.
El encargado podrá tramitar, por cuenta del responsable, las solicitudes de ejercicio formuladas por los afectados de sus derechos si así se estableciere en el contrato o acto jurídico que les vincule.
La prueba del cumplimiento del deber de responder a la solicitud de ejercicio de sus derechos formulado por el afectado recaerá sobre el responsable.
Cuando las leyes aplicables a determinados tratamientos establezcan un régimen especial que afecte al ejercicio de los derechos previstos en el Capítulo III del Reglamento (UE) 2016/679, se estará a lo dispuesto en aquellas.
En cualquier caso, los titulares de la patria potestad podrán ejercitar en nombre y representación de los menores de catorce años los derechos de acceso, rectificación, cancelación, oposición o cualesquiera otros que pudieran corresponderles en el contexto de la presente ley orgánica.
Serán gratuitas las actuaciones llevadas a cabo por el responsable del tratamiento para atender las solicitudes de ejercicio de estos derechos, sin perjuicio de lo dispuesto en los artículos 12.5 y 15.3 del Reglamento (UE) 2016/679 y en los apartados 3 y 4 del artículo 13 de esta ley orgánica.
Cuando el responsable trate una gran cantidad de datos relativos al afectado y este ejercite su derecho de acceso sin especificar si se refiere a todos o a una parte de los datos, el responsable podrá solicitarle, antes de facilitar la información, que el afectado especifique los datos o actividades de tratamiento a los que se refiere la solicitud.
No obstante, el interesado podrá solicitar del responsable la información referida a los extremos previstos en el artículo 15.1 del Reglamento (UE) 2016/679 que no se incluyese en el sistema de acceso remoto.
A los efectos establecidos en el artículo 12.5 del Reglamento (UE) 2016/679 se podrá considerar repetitivo el ejercicio del derecho de acceso en más de una ocasión durante el plazo de seis meses, a menos que exista causa legítima para ello.
Cuando el afectado elija un medio distinto al que se le ofrece que suponga un coste desproporcionado, la solicitud será considerada excesiva, por lo que dicho afectado asumirá el exceso de costes que su elección comporte. En este caso, solo será exigible al responsable del tratamiento la satisfacción del derecho de acceso sin dilaciones indebidas.
Al ejercer el derecho de rectificación reconocido en el artículo 16 del Reglamento (UE) 2016/679, el afectado deberá indicar en su solicitud a qué datos se refiere y la corrección que haya de realizarse. Deberá acompañar, cuando sea preciso, la documentación justificativa de la inexactitud o carácter incompleto de los datos objeto de tratamiento.
El derecho de supresión se ejercerá de acuerdo con lo establecido en el artículo 17 del Reglamento (UE) 2016/679.
Cuando la supresión derive del ejercicio del derecho de oposición con arreglo al artículo 21.2 del Reglamento (UE) 2016/679, el responsable podrá conservar los datos identificativos del afectado necesarios con el fin de impedir tratamientos futuros para fines de mercadotecnia directa.
El derecho a la limitación del tratamiento se ejercerá de acuerdo con lo establecido en el artículo 18 del Reglamento (UE) 2016/679.
El hecho de que el tratamiento de los datos personales esté limitado debe constar claramente en los sistemas de información del responsable.
El derecho a la portabilidad se ejercerá de acuerdo con lo establecido en el artículo 20 del Reglamento (UE) 2016/679.
El derecho de oposición, así como los derechos relacionados con las decisiones individuales automatizadas, incluida la realización de perfiles, se ejercerán de acuerdo con lo establecido, respectivamente, en los artículos 21 y 22 del Reglamento (UE) 2016/679.
Los responsables y encargados, teniendo en cuenta los elementos enumerados en los artículos 24 y 25 del Reglamento (UE) 2016/679, determinarán las medidas técnicas y organizativas apropiadas que deben aplicar a fin de garantizar y acreditar que el tratamiento es conforme con el citado reglamento, con la presente ley orgánica, sus normas de desarrollo y la legislación sectorial aplicable. En particular valorarán si procede la realización de la evaluación de impacto en la protección de datos y la consulta previa a que se refiere la Sección 3 del Capítulo IV del citado reglamento.
Para la adopción de las medidas a que se refiere el apartado anterior los responsables y encargados del tratamiento tendrán en cuenta, en particular, los mayores riesgos que podrían producirse en los siguientes supuestos:
a) Cuando el tratamiento pudiera generar situaciones de discriminación, usurpación de identidad o fraude, pérdidas financieras, daño para la reputación, pérdida de confidencialidad de datos sujetos al secreto profesional, reversión no autorizada de la seudonimización o cualquier otro perjuicio económico, moral o social significativo para los afectados.
b) Cuando el tratamiento pudiese privar a los afectados de sus derechos y libertades o pudiera impedirles el ejercicio del control sobre sus datos personales.
c) Cuando se produjese el tratamiento no meramente incidental o accesorio de las categorías especiales de datos a las que se refieren los artículos 9 y 10 del Reglamento (UE) 2016/679 y 9 y 10 de esta ley orgánica o de los datos relacionados con la comisión de infracciones administrativas.
d) Cuando el tratamiento implicase una evaluación de aspectos personales de los afectados con el fin de crear o utilizar perfiles personales de los mismos, en particular mediante el análisis o la predicción de aspectos referidos a su rendimiento en el trabajo, su situación económica, su salud, sus preferencias o intereses personales, su fiabilidad o comportamiento, su solvencia financiera, su localización o sus movimientos.
e) Cuando se lleve a cabo el tratamiento de datos de grupos de afectados en situación de especial vulnerabilidad y, en particular, de menores de edad y personas con discapacidad.
f) Cuando se produzca un tratamiento masivo que implique a un gran número de afectados o conlleve la recogida de una gran cantidad de datos personales.
g) Cuando los datos personales fuesen a ser objeto de transferencia, con carácter habitual, a terceros Estados u organizaciones internacionales respecto de los que no se hubiese declarado un nivel adecuado de protección.
h) Cualesquiera otros que a juicio del responsable o del encargado pudieran tener relevancia y en particular aquellos previstos en códigos de conducta y estándares definidos por esquemas de certificación.
La determinación de las responsabilidades a las que se refiere el artículo 26.1 del Reglamento (UE) 2016/679 se realizará atendiendo a las actividades que efectivamente desarrolle cada uno de los corresponsables del tratamiento.
Dicha exigencia se entenderá sin perjuicio de la responsabilidad que pudiera en su caso corresponder al responsable o al encargado del tratamiento y del ejercicio por el representante de la acción de repetición frente a quien proceda.
El registro, que podrá organizarse en torno a conjuntos estructurados de datos, deberá especificar, según sus finalidades, las actividades de tratamiento llevadas a cabo y las demás circunstancias establecidas en el citado reglamento.
Cuando el responsable o el encargado del tratamiento hubieran designado un delegado de protección de datos deberán comunicarle cualquier adición, modificación o exclusión en el contenido del registro.
El responsable del tratamiento estará obligado a bloquear los datos cuando proceda a su rectificación o supresión.
El bloqueo de los datos consiste en la identificación y reserva de los mismos, adoptando medidas técnicas y organizativas, para impedir su tratamiento, incluyendo su visualización, excepto para la puesta a disposición de los datos a los jueces y tribunales, el Ministerio Fiscal o las Administraciones Públicas competentes, en particular de las autoridades de protección de datos, para la exigencia de posibles responsabilidades derivadas del tratamiento y solo por el plazo de prescripción de las mismas.
Transcurrido ese plazo deberá procederse a la destrucción de los datos.
Los datos bloqueados no podrán ser tratados para ninguna finalidad distinta de la señalada en el apartado anterior.
Cuando para el cumplimiento de esta obligación, la configuración del sistema de información no permita el bloqueo o se requiera una adaptación que implique un esfuerzo desproporcionado, se procederá a un copiado seguro de la información de modo que conste evidencia digital, o de otra naturaleza, que permita acreditar la autenticidad de la misma, la fecha del bloqueo y la no manipulación de los datos durante el mismo.
La Agencia Española de Protección de Datos y las autoridades autonómicas de protección de datos, dentro del ámbito de sus respectivas competencias, podrán fijar excepciones a la obligación de bloqueo establecida en este artículo, en los supuestos en que, atendida la naturaleza de los datos o el hecho de que se refieran a un número particularmente elevado de afectados, su mera conservación, incluso bloqueados, pudiera generar un riesgo elevado para los derechos de los afectados, así como en aquellos casos en los que la conservación de los datos bloqueados pudiera implicar un coste desproporcionado para el responsable del tratamiento.
El acceso por parte de un encargado de tratamiento a los datos personales que resulten necesarios para la prestación de un servicio al responsable no se considerará comunicación de datos siempre que se cumpla lo establecido en el Reglamento (UE) 2016/679, en la presente ley orgánica y en sus normas de desarrollo.
Tendrá la consideración de responsable del tratamiento y no la de encargado quien en su propio nombre y sin que conste que actúa por cuenta de otro, establezca relaciones con los afectados aun cuando exista un contrato o acto jurídico con el contenido fijado en el artículo 28.3 del Reglamento (UE) 2016/679. Esta previsión no será aplicable a los encargos de tratamiento efectuados en el marco de la legislación de contratación del sector público.
Tendrá asimismo la consideración de responsable del tratamiento quien figurando como encargado utilizase los datos para sus propias finalidades.
No procederá la destrucción de los datos cuando exista una previsión legal que obligue a su conservación, en cuyo caso deberán ser devueltos al responsable, que garantizará su conservación mientras tal obligación persista.
El encargado del tratamiento podrá conservar, debidamente bloqueados, los datos en tanto pudieran derivarse responsabilidades de su relación con el responsable del tratamiento.
En el ámbito del sector público podrán atribuirse las competencias propias de un encargado del tratamiento a un determinado órgano de la Administración General del Estado, la Administración de las comunidades autónomas, las Entidades que integran la Administración Local o a los Organismos vinculados o dependientes de las mismas mediante la adopción de una norma reguladora de dichas competencias, que deberá incorporar el contenido exigido por el artículo 28.3 del Reglamento (UE) 2016/679.
a) Los colegios profesionales y sus consejos generales.
b) Los centros docentes que ofrezcan enseñanzas en cualquiera de los niveles establecidos en la legislación reguladora del derecho a la educación, así como las Universidades públicas y privadas.
c) Las entidades que exploten redes y presten servicios de comunicaciones electrónicas conforme a lo dispuesto en su legislación específica, cuando traten habitual y sistemáticamente datos personales a gran escala.
d) Los prestadores de servicios de la sociedad de la información cuando elaboren a gran escala perfiles de los usuarios del servicio.
e) Las entidades incluidas en el artículo 1 de la Ley 10/2014, de 26 de junio, de ordenación, supervisión y solvencia de entidades de crédito.
f) Los establecimientos financieros de crédito.
g) Las entidades aseguradoras y reaseguradoras.
h) Las empresas de servicios de inversión, reguladas por la legislación del Mercado de Valores.
i) Los distribuidores y comercializadores de energía eléctrica y los distribuidores y comercializadores de gas natural.
j) Las entidades responsables de ficheros comunes para la evaluación de la solvencia patrimonial y crédito o de los ficheros comunes para la gestión y prevención del fraude, incluyendo a los responsables de los ficheros regulados por la legislación de prevención del blanqueo de capitales y de la financiación del terrorismo.
k) Las entidades que desarrollen actividades de publicidad y prospección comercial, incluyendo las de investigación comercial y de mercados, cuando lleven a cabo tratamientos basados en las preferencias de los afectados o realicen actividades que impliquen la elaboración de perfiles de los mismos.
l) Los centros sanitarios legalmente obligados al mantenimiento de las historias clínicas de los pacientes.
Se exceptúan los profesionales de la salud que, aun estando legalmente obligados al mantenimiento de las historias clínicas de los pacientes, ejerzan su actividad a título individual.
m) Las entidades que tengan como uno de sus objetos la emisión de informes comerciales que puedan referirse a personas físicas.
n) Los operadores que desarrollen la actividad de juego a través de canales electrónicos, informáticos, telemáticos e interactivos, conforme a la normativa de regulación del juego.
ñ) Las empresas de seguridad privada.
o) Las federaciones deportivas cuando traten datos de menores de edad.
Los responsables o encargados del tratamiento no incluidos en el párrafo anterior podrán designar de manera voluntaria un delegado de protección de datos, que quedará sometido al régimen establecido en el Reglamento (UE) 2016/679 y en la presente ley orgánica.
Los responsables y encargados del tratamiento comunicarán en el plazo de diez días a la Agencia Española de Protección de Datos o, en su caso, a las autoridades autonómicas de protección de datos, las designaciones, nombramientos y ceses de los delegados de protección de datos tanto en los supuestos en que se encuentren obligadas a su designación como en el caso en que sea voluntaria.
La Agencia Española de Protección de Datos y las autoridades autonómicas de protección de datos mantendrán, en el ámbito de sus respectivas competencias, una lista actualizada de delegados de protección de datos que será accesible por medios electrónicos.
En el cumplimiento de las obligaciones de este artículo los responsables y encargados del tratamiento podrán establecer la dedicación completa o a tiempo parcial del delegado, entre otros criterios, en función del volumen de los tratamientos, la categoría especial de los datos tratados o de los riesgos para los derechos o libertades de los interesados.
El cumplimiento de los requisitos establecidos en el artículo 37.5 del Reglamento (UE) 2016/679 para la designación del delegado de protección de datos, sea persona física o jurídica, podrá demostrarse, entre otros medios, a través de mecanismos voluntarios de certificación que tendrán particularmente en cuenta la obtención de una titulación universitaria que acredite conocimientos especializados en el derecho y la práctica en materia de protección de datos.
El delegado de protección de datos actuará como interlocutor del responsable o encargado del tratamiento ante la Agencia Española de Protección de Datos y las autoridades autonómicas de protección de datos. El delegado podrá inspeccionar los procedimientos relacionados con el objeto de la presente ley orgánica y emitir recomendaciones en el ámbito de sus competencias.
Cuando se trate de una persona física integrada en la organización del responsable o encargado del tratamiento, el delegado de protección de datos no podrá ser removido ni sancionado por el responsable o el encargado por desempeñar sus funciones salvo que incurriera en dolo o negligencia grave en su ejercicio. Se garantizará la independencia del delegado de protección de datos dentro de la organización, debiendo evitarse cualquier conflicto de intereses.
En el ejercicio de sus funciones el delegado de protección de datos tendrá acceso a los datos personales y procesos de tratamiento, no pudiendo oponer a este acceso el responsable o el encargado del tratamiento la existencia de cualquier deber de confidencialidad o secreto, incluyendo el previsto en el artículo 5 de esta ley orgánica.
Cuando el delegado de protección de datos aprecie la existencia de una vulneración relevante en materia de protección de datos lo documentará y lo comunicará inmediatamente a los órganos de administración y dirección del responsable o el encargado del tratamiento.
En este caso, el delegado de protección de datos comunicará al afectado la decisión que se hubiera adoptado en el plazo máximo de dos meses a contar desde la recepción de la reclamación.
Si transcurrido dicho plazo el delegado de protección de datos no hubiera comunicado a la autoridad de protección de datos competente la respuesta dada a la reclamación, dicha autoridad continuará el procedimiento con arreglo a lo establecido en el Título VIII de esta ley orgánica y en sus normas de desarrollo.
Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo — Reglamento General de Protección de Datos
El presente Reglamento se aplica al tratamiento total o parcialmente automatizado de datos personales, así como al tratamiento no automatizado de datos personales contenidos o destinados a ser incluidos en un fichero.
El presente Reglamento no se aplica al tratamiento de datos personales:
a) en el ejercicio de una actividad no comprendida en el ámbito de aplicación del Derecho de la Unión;
b) por parte de los Estados miembros cuando lleven a cabo actividades comprendidas en el ámbito de aplicación del capítulo 2 del título V del TUE;
c) efectuado por una persona física en el ejercicio de actividades exclusivamente personales o domésticas;
d) por parte de las autoridades competentes con fines de prevención, investigación, detección o enjuiciamiento de infracciones penales, o de ejecución de sanciones penales, incluida la de protección frente a amenazas a la seguridad pública y su prevención.
El Reglamento (CE) n.o 45/2001 es de aplicación al tratamiento de datos de carácter personal por parte de las instituciones, órganos y organismos de la Unión. El Reglamento (CE) n.o 45/2001 y otros actos jurídicos de la Unión aplicables a dicho tratamiento de datos de carácter personal se adaptarán a los principios y normas del presente Reglamento de conformidad con su artículo 98.
El presente Reglamento se entenderá sin perjuicio de la aplicación de la Directiva 2000/31/CE, en particular sus normas relativas a la responsabilidad de los prestadores de servicios intermediarios establecidas en sus artículos 12 a 15.
El presente Reglamento se aplica al tratamiento de datos personales en el contexto de las actividades de un establecimiento del responsable o del encargado en la Unión, independientemente de que el tratamiento tenga lugar en la Unión o no.
El presente Reglamento se aplica al tratamiento de datos personales de interesados que se encuentren en la Unión por parte de un responsable o encargado no establecido en la Unión, cuando las actividades de tratamiento estén relacionadas con:
a) la oferta de bienes o servicios a dichos interesados en la Unión, independientemente de si a estos se les requiere su pago, o
b) el control de su comportamiento, en la medida en que este tenga lugar en la Unión.
A efectos del presente Reglamento se entenderá por: 1) «datos personales» : toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona; 2) «tratamiento» : cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción; 3) «limitación del tratamiento» : el marcado de los datos de carácter personal conservados con el fin de limitar su tratamiento en el futuro; 4) «elaboración de perfiles» : toda forma de tratamiento automatizado de datos personales consistente en utilizar datos personales para evaluar determinados aspectos personales de una persona física, en particular para analizar o predecir aspectos relativos al rendimiento profesional, situación económica, salud, preferencias personales, intereses, fiabilidad, comportamiento, ubicación o movimientos de dicha persona física; 5) «seudonimización» : el tratamiento de datos personales de manera tal que ya no puedan atribuirse a un interesado sin utilizar información adicional, siempre que dicha información adicional figure por separado y esté sujeta a medidas técnicas y organizativas destinadas a garantizar que los datos personales no se atribuyan a una persona física identificada o identificable; 6) «fichero» : todo conjunto estructurado de datos personales, accesibles con arreglo a criterios determinados, ya sea centralizado, descentralizado o repartido de forma funcional o geográfica; 7) «responsable del tratamiento» o «responsable» : la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros; 8) «encargado del tratamiento» o «encargado» : la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento; 9) «destinatario» : la persona física o jurídica, autoridad pública, servicio u otro organismo al que se comuniquen datos personales, se trate o no de un tercero. No obstante, no se considerarán destinatarios las autoridades públicas que puedan recibir datos personales en el marco de una investigación concreta de conformidad con el Derecho de la Unión o de los Estados miembros; el tratamiento de tales datos por dichas autoridades públicas será conforme con las normas en materia de protección de datos aplicables a los fines del tratamiento; 10) «tercero» : persona física o jurídica, autoridad pública, servicio u organismo distinto del interesado, del responsable del tratamiento, del encargado del tratamiento y de las personas autorizadas para tratar los datos personales bajo la autoridad directa del responsable o del encargado; 11) «consentimiento del interesado» : toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen; 12) «violación de la seguridad de los datos personales» : toda violación de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos; 13) «datos genéticos» : datos personales relativos a las características genéticas heredadas o adquiridas de una persona física que proporcionen una información única sobre la fisiología o la salud de esa persona, obtenidos en particular del análisis de una muestra biológica de tal persona; 14) «datos biométricos» : datos personales obtenidos a partir de un tratamiento técnico específico, relativos a las características físicas, fisiológicas o conductuales de una persona física que permitan o confirmen la identificación única de dicha persona, como imágenes faciales o datos dactiloscópicos; 15) «datos relativos a la salud» : datos personales relativos a la salud física o mental de una persona física, incluida la prestación de servicios de atención sanitaria, que revelen información sobre su estado de salud; 16) «establecimiento principal» :
a) en lo que se refiere a un responsable del tratamiento con establecimientos en más de un Estado miembro, el lugar de su administración central en la Unión, salvo que las decisiones sobre los fines y los medios del tratamiento se tomen en otro establecimiento del responsable en la Unión y este último establecimiento tenga el poder de hacer aplicar tales decisiones, en cuyo caso el establecimiento que haya adoptado tales decisiones se considerará establecimiento principal;
b) en lo que se refiere a un encargado del tratamiento con establecimientos en más de un Estado miembro, el lugar de su administración central en la Unión o, si careciera de esta, el establecimiento del encargado en la Unión en el que se realicen las principales actividades de tratamiento en el contexto de las actividades de un establecimiento del encargado en la medida en que el encargado esté sujeto a obligaciones específicas con arreglo al presente Reglamento; 17) «representante» : persona física o jurídica establecida en la Unión que, habiendo sido designada por escrito por el responsable o el encargado del tratamiento con arreglo al artículo 27, represente al responsable o al encargado en lo que respecta a sus respectivas obligaciones en virtud del presente Reglamento; 18) «empresa» : persona física o jurídica dedicada a una actividad económica, independientemente de su forma jurídica, incluidas las sociedades o asociaciones que desempeñen regularmente una actividad económica; 19) «grupo empresarial» : grupo constituido por una empresa que ejerce el control y sus empresas controladas; 20) «normas corporativas vinculantes» : las políticas de protección de datos personales asumidas por un responsable o encargado del tratamiento establecido en el territorio de un Estado miembro para transferencias o un conjunto de transferencias de datos personales a un responsable o encargado en uno o más países terceros, dentro de un grupo empresarial o una unión de empresas dedicadas a una actividad económica conjunta; 21) «autoridad de control» : la autoridad pública independiente establecida por un Estado miembro con arreglo a lo dispuesto en el artículo 51; 22) «autoridad de control interesada» : la autoridad de control a la que afecta el tratamiento de datos personales debido a que:
a) el responsable o el encargado del tratamiento está establecido en el territorio del Estado miembro de esa autoridad de control;
b) los interesados que residen en el Estado miembro de esa autoridad de control se ven sustancialmente afectados o es probable que se vean sustancialmente afectados por el tratamiento, o
c) se ha presentado una reclamación ante esa autoridad de control; 23) «tratamiento transfronterizo» :
a) el tratamiento de datos personales realizado en el contexto de las actividades de establecimientos en más de un Estado miembro de un responsable o un encargado del tratamiento en la Unión, si el responsable o el encargado está establecido en más de un Estado miembro, o
b) el tratamiento de datos personales realizado en el contexto de las actividades de un único establecimiento de un responsable o un encargado del tratamiento en la Unión, pero que afecta sustancialmente o es probable que afecte sustancialmente a interesados en más de un Estado miembro; 24) «objeción pertinente y motivada» : la objeción a una propuesta de decisión sobre la existencia o no de infracción del presente Reglamento, o sobre la conformidad con el presente Reglamento de acciones previstas en relación con el responsable o el encargado del tratamiento, que demuestre claramente la importancia de los riesgos que entraña el proyecto de decisión para los derechos y libertades fundamentales de los interesados y, en su caso, para la libre circulación de datos personales dentro de la Unión; 25) «servicio de la sociedad de la información» : todo servicio conforme a la definición del artículo 1, apartado 1, letra b), de la Directiva (UE) 2015/1535 del Parlamento Europeo y del Consejo ( 1 ); 26) «organización internacional» : una organización internacional y sus entes subordinados de Derecho internacional público o cualquier otro organismo creado mediante un acuerdo entre dos o más países o en virtud de tal acuerdo.
a) tratados de manera lícita, leal y transparente en relación con el interesado («licitud, lealtad y transparencia»);
b) recogidos con fines determinados, explícitos y legítimos, y no serán tratados ulteriormente de manera incompatible con dichos fines; de acuerdo con el artículo 89, apartado 1, el tratamiento ulterior de los datos personales con fines de archivo en interés público, fines de investigación científica e histórica o fines estadísticos no se considerará incompatible con los fines iniciales («limitación de la finalidad»);
c) adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»);
d) exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas razonables para que se supriman o rectifiquen sin dilación los datos personales que sean inexactos con respecto a los fines para los que se tratan («exactitud»);
e) mantenidos de forma que se permita la identificación de los interesados durante no más tiempo del necesario para los fines del tratamiento de los datos personales; los datos personales podrán conservarse durante períodos más largos siempre que se traten exclusivamente con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sin perjuicio de la aplicación de las medidas técnicas y organizativas apropiadas que impone el presente Reglamento a fin de proteger los derechos y libertades del interesado («limitación del plazo de conservación»);
f) tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»).
a) el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.
Los Estados miembros podrán mantener o introducir disposiciones más específicas a fin de adaptar la aplicación de las normas del presente Reglamento con respecto al tratamiento en cumplimiento del apartado 1, letras c) y e), fijando de manera más precisa requisitos específicos de tratamiento y otras medidas que garanticen un tratamiento lícito y equitativo, con inclusión de otras situaciones específicas de tratamiento a tenor del capítulo IX.
La base del tratamiento indicado en el apartado 1, letras c) y e), deberá ser establecida por:
a) el Derecho de la Unión, o
b) el Derecho de los Estados miembros que se aplique al responsable del tratamiento. La finalidad del tratamiento deberá quedar determinada en dicha base jurídica o, en lo relativo al tratamiento a que se refiere el apartado 1, letra e), será necesaria para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. Dicha base jurídica podrá contener disposiciones específicas para adaptar la aplicación de normas del presente Reglamento, entre otras: las condiciones generales que rigen la licitud del tratamiento por parte del responsable; los tipos de datos objeto de tratamiento; los interesados afectados; las entidades a las que se pueden comunicar datos personales y los fines de tal comunicación; la limitación de la finalidad; los plazos de conservación de los datos, así como las operaciones y los procedimientos del tratamiento, incluidas las medidas para garantizar un tratamiento lícito y equitativo, como las relativas a otras situaciones específicas de tratamiento a tenor del capítulo IX. El Derecho de la Unión o de los Estados miembros cumplirá un objetivo de interés público y será proporcional al fin legítimo perseguido.
a) cualquier relación entre los fines para los cuales se hayan recogido los datos personales y los fines del tratamiento ulterior previsto;
b) el contexto en que se hayan recogido los datos personales, en particular por lo que respecta a la relación entre los interesados y el responsable del tratamiento;
c) la naturaleza de los datos personales, en concreto cuando se traten categorías especiales de datos personales, de conformidad con el artículo 9, o datos personales relativos a condenas e infracciones penales, de conformidad con el artículo 10;
d) las posibles consecuencias para los interesados del tratamiento ulterior previsto;
e) la existencia de garantías adecuadas, que podrán incluir el cifrado o la seudonimización.
Cuando el tratamiento se base en el consentimiento del interesado, el responsable deberá ser capaz de demostrar que aquel consintió el tratamiento de sus datos personales.
Si el consentimiento del interesado se da en el contexto de una declaración escrita que también se refiera a otros asuntos, la solicitud de consentimiento se presentará de tal forma que se distinga claramente de los demás asuntos, de forma inteligible y de fácil acceso y utilizando un lenguaje claro y sencillo. No será vinculante ninguna parte de la declaración que constituya infracción del presente Reglamento.
El interesado tendrá derecho a retirar su consentimiento en cualquier momento. La retirada del consentimiento no afectará a la licitud del tratamiento basada en el consentimiento previo a su retirada. Antes de dar su consentimiento, el interesado será informado de ello. Será tan fácil retirar el consentimiento como darlo.
Al evaluar si el consentimiento se ha dado libremente, se tendrá en cuenta en la mayor medida posible el hecho de si, entre otras cosas, la ejecución de un contrato, incluida la prestación de un servicio, se supedita al consentimiento al tratamiento de datos personales que no son necesarios para la ejecución de dicho contrato.
Los Estados miembros podrán establecer por ley una edad inferior a tales fines, siempre que esta no sea inferior a 13 años.
El responsable del tratamiento hará esfuerzos razonables para verificar en tales casos que el consentimiento fue dado o autorizado por el titular de la patria potestad o tutela sobre el niño, teniendo en cuenta la tecnología disponible.
El apartado 1 no afectará a las disposiciones generales del Derecho contractual de los Estados miembros, como las normas relativas a la validez, formación o efectos de los contratos en relación con un niño.
Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o la orientación sexual de una persona física.
El apartado 1 no será de aplicación cuando concurra una de las circunstancias siguientes:
a) el interesado dio su consentimiento explícito para el tratamiento de dichos datos personales con uno o más de los fines especificados, excepto cuando el Derecho de la Unión o de los Estados miembros establezca que la prohibición mencionada en el apartado 1 no puede ser levantada por el interesado;
b) el tratamiento es necesario para el cumplimiento de obligaciones y el ejercicio de derechos específicos del responsable del tratamiento o del interesado en el ámbito del Derecho laboral y de la seguridad y protección social, en la medida en que así lo autorice el Derecho de la Unión o de los Estados miembros o un convenio colectivo con arreglo al Derecho de los Estados miembros que establezca garantías adecuadas del respeto de los derechos fundamentales y de los intereses del interesado;
c) el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física, en el supuesto de que el interesado no esté capacitado, física o jurídicamente, para dar su consentimiento;
d) el tratamiento es efectuado, en el ámbito de sus actividades legítimas y con las debidas garantías, por una fundación, una asociación o cualquier otro organismo sin ánimo de lucro, cuya finalidad sea política, filosófica, religiosa o sindical, siempre que el tratamiento se refiera exclusivamente a los miembros actuales o antiguos de tales organismos o a personas que mantengan contactos regulares con ellos en relación con sus fines y siempre que los datos personales no se comuniquen fuera de ellos sin el consentimiento de los interesados;
e) el tratamiento se refiere a datos personales que el interesado ha hecho manifiestamente públicos;
f) el tratamiento es necesario para la formulación, el ejercicio o la defensa de reclamaciones o cuando los tribunales actúen en ejercicio de su función judicial;
g) el tratamiento es necesario por razones de un interés público esencial, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado;
h) el tratamiento es necesario para fines de medicina preventiva o laboral, evaluación de la capacidad laboral del trabajador, diagnóstico médico, prestación de asistencia o tratamiento de tipo sanitario o social, o gestión de los sistemas y servicios de asistencia sanitaria y social, sobre la base del Derecho de la Unión o de los Estados miembros o en virtud de un contrato con un profesional sanitario y sin perjuicio de las condiciones y garantías contempladas en el apartado 3;
i) el tratamiento es necesario por razones de interés público en el ámbito de la salud pública, como la protección frente a amenazas transfronterizas graves para la salud, o para garantizar elevados niveles de calidad y de seguridad de la asistencia sanitaria y de los medicamentos o productos sanitarios, sobre la base del Derecho de la Unión o de los Estados miembros que establezca medidas adecuadas y específicas para proteger los derechos y libertades del interesado, en particular el secreto profesional,
j) el tratamiento es necesario con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado.
Los datos personales a que se refiere el apartado 1 podrán tratarse a los fines citados en el apartado 2, letra h), cuando su tratamiento sea realizado por un profesional sujeto a la obligación de secreto profesional, o bajo su responsabilidad, de acuerdo con el Derecho de la Unión o de los Estados miembros o con las normas establecidas por los organismos nacionales competentes, o por cualquier otra persona sujeta también a la obligación de secreto de acuerdo con el Derecho de la Unión o de los Estados miembros o de las normas establecidas por los organismos nacionales competentes.
Los Estados miembros podrán mantener o introducir condiciones adicionales, inclusive limitaciones, con respecto al tratamiento de datos genéticos, datos biométricos o datos relativos a la salud.
El tratamiento de datos personales relativos a condenas e infracciones penales o medidas de seguridad conexas sobre la base del artículo 6, apartado 1, solo podrá llevarse a cabo bajo la supervisión de las autoridades públicas o cuando lo autorice el Derecho de la Unión o de los Estados miembros que establezca garantías adecuadas para los derechos y libertades de los interesados. Solo podrá llevarse un registro completo de condenas penales bajo el control de las autoridades públicas.
El responsable del tratamiento tomará las medidas oportunas para facilitar al interesado toda información indicada en los artículos 13 y 14, así como cualquier comunicación con arreglo a los artículos 15 a 22 y 34 relativa al tratamiento, en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo, en particular cualquier información dirigida específicamente a un niño. La información será facilitada por escrito o por otros medios, inclusive, si procede, por medios electrónicos. Cuando lo solicite el interesado, la información podrá facilitarse verbalmente siempre que se demuestre la identidad del interesado por otros medios.
El responsable del tratamiento facilitará al interesado el ejercicio de sus derechos en virtud de los artículos 15 a 22. En los casos a que se refiere el artículo 11, apartado 2, el responsable no se negará a actuar a petición del interesado con el fin de ejercer sus derechos en virtud de los artículos 15 a 22, salvo que pueda demostrar que no está en condiciones de identificar al interesado.
El responsable del tratamiento facilitará al interesado información relativa a sus actuaciones sobre la base de una solicitud con arreglo a los artículos 15 a 22, sin dilación indebida y, en cualquier caso, en el plazo de un mes a partir de la recepción de la solicitud. Dicho plazo podrá prorrogarse otros dos meses en caso necesario, teniendo en cuenta la complejidad y el número de solicitudes. El responsable informará al interesado de cualquiera de dichas prórrogas en el plazo de un mes a partir de la recepción de la solicitud, indicando los motivos de la dilación. Cuando el interesado presente la solicitud por medios electrónicos, la información se facilitará por medios electrónicos cuando sea posible, a menos que el interesado solicite que se facilite de otro modo.
Si el responsable del tratamiento no da curso a la solicitud del interesado, le informará sin dilación, y a más tardar transcurrido un mes de la recepción de la solicitud, de las razones de su no actuación y de la posibilidad de presentar una reclamación ante una autoridad de control y de ejercitar acciones judiciales.
La información facilitada en virtud de los artículos 13 y 14 así como toda comunicación y cualquier actuación realizada en virtud de los artículos 15 a 22 y 34 serán a título gratuito. Cuando las solicitudes sean manifiestamente infundadas o excesivas, especialmente debido a su carácter repetitivo, el responsable del tratamiento podrá:
a) cobrar un canon razonable en función de los costes administrativos afrontados para facilitar la información o la comunicación o realizar la actuación solicitada, o
b) negarse a actuar respecto de la solicitud. El responsable del tratamiento soportará la carga de demostrar el carácter manifiestamente infundado o excesivo de la solicitud.
Sin perjuicio de lo dispuesto en el artículo 11, cuando el responsable del tratamiento tenga dudas razonables en relación con la identidad de la persona física que cursa la solicitud a que se refieren los artículos 15 a 21, podrá solicitar que se facilite la información adicional necesaria para confirmar la identidad del interesado.
La información que deberá facilitarse a los interesados en virtud de los artículos 13 y 14 podrá transmitirse en combinación con iconos normalizados que permitan proporcionar de forma fácilmente visible, inteligible y claramente legible una adecuada visión de conjunto del tratamiento previsto. Los iconos que se presenten en formato electrónico serán legibles mecánicamente.
La Comisión estará facultada para adoptar actos delegados de conformidad con el artículo 92 a fin de especificar la información que se ha de presentar a través de iconos y los procedimientos para proporcionar iconos normalizados.
a) la identidad y los datos de contacto del responsable y, en su caso, de su representante;
b) los datos de contacto del delegado de protección de datos, en su caso;
c) los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
d) cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
e) los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
f) en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al lugar en que se hayan puesto a disposición.
a) el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
b) la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
c) cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
d) el derecho a presentar una reclamación ante una autoridad de control;
e) si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de no facilitar tales datos;
f) la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado.
Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2.
Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información.
a) la identidad y los datos de contacto del responsable y, en su caso, de su representante;
b) los datos de contacto del delegado de protección de datos, en su caso;
c) los fines del tratamiento a que se destinan los datos personales, así como la base jurídica del tratamiento;
d) las categorías de datos personales de que se trate;
e) los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
f) en su caso, la intención del responsable de transferir datos personales a un destinatario en un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al lugar en que se hayan puesto a disposición.
a) el plazo durante el cual se conservarán los datos personales o, cuando eso no sea posible, los criterios utilizados para determinar este plazo;
b) cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable del tratamiento o de un tercero;
c) la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, y a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
d) cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basada en el consentimiento antes de su retirada;
e) el derecho a presentar una reclamación ante una autoridad de control;
f) la fuente de la que proceden los datos personales y, en su caso, si proceden de fuentes de acceso público;
g) la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado.
a) dentro de un plazo razonable, una vez obtenidos los datos personales, y a más tardar dentro de un mes, habida cuenta de las circunstancias específicas en las que se traten dichos datos;
b) si los datos personales han de utilizarse para comunicación con el interesado, a más tardar en el momento de la primera comunicación a dicho interesado, o
c) si está previsto comunicarlos a otro destinatario, a más tardar en el momento en que los datos personales sean comunicados por primera vez.
Cuando el responsable del tratamiento proyecte el tratamiento ulterior de los datos personales para un fin que no sea aquel para el que se obtuvieron, proporcionará al interesado, antes de dicho tratamiento ulterior, información sobre ese otro fin y cualquier otra información pertinente indicada en el apartado 2.
Las disposiciones de los apartados 1 a 4 no serán aplicables cuando y en la medida en que:
a) el interesado ya disponga de la información;
b) la comunicación de dicha información resulte imposible o suponga un esfuerzo desproporcionado, en particular para el tratamiento con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, a reserva de las condiciones y garantías indicadas en el artículo 89, apartado 1, o en la medida en que la obligación mencionada en el apartado 1 del presente artículo pueda imposibilitar u obstaculizar gravemente el logro de los objetivos de tal tratamiento. En tales casos, el responsable adoptará medidas adecuadas para proteger los derechos, libertades e intereses legítimos del interesado, inclusive haciendo pública la información;
c) la obtención o la comunicación esté expresamente establecida por el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento y que establezca medidas adecuadas para proteger los intereses legítimos del interesado, o
d) cuando los datos personales deban seguir teniendo carácter confidencial sobre la base de una obligación de secreto profesional regulada por el Derecho de la Unión o de los Estados miembros, incluida una obligación de secreto de naturaleza legal.
a) los fines del tratamiento;
b) las categorías de datos personales de que se trate;
c) los destinatarios o las categorías de destinatarios a los que se comunicaron o serán comunicados los datos personales, en particular destinatarios en terceros países u organizaciones internacionales;
d) de ser posible, el plazo previsto de conservación de los datos personales o, de no ser posible, los criterios utilizados para determinar este plazo;
e) la existencia del derecho a solicitar del responsable la rectificación o supresión de datos personales o la limitación del tratamiento de datos personales relativos al interesado, o a oponerse a dicho tratamiento;
f) el derecho a presentar una reclamación ante una autoridad de control;
g) cuando los datos personales no se hayan obtenido del interesado, cualquier información disponible sobre su origen;
h) la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado.
Cuando se transfieran datos personales a un tercer país o a una organización internacional, el interesado tendrá derecho a ser informado de las garantías adecuadas en virtud del artículo 46 relativas a la transferencia.
El responsable del tratamiento facilitará una copia de los datos personales objeto de tratamiento. El responsable podrá percibir por cualquier otra copia solicitada por el interesado un canon razonable basado en los costes administrativos. Cuando el interesado presente la solicitud por medios electrónicos, y a menos que este solicite que se facilite de otro modo, la información se facilitará en un formato electrónico de uso común.
El derecho a obtener copia mencionado en el apartado 3 no afectará negativamente a los derechos y libertades de otros.
El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la rectificación de los datos personales inexactos que le conciernan. Teniendo en cuenta los fines del tratamiento, el interesado tendrá derecho a que se completen los datos personales que sean incompletos, inclusive mediante una declaración adicional.
a) los datos personales ya no sean necesarios en relación con los fines para los que fueron recogidos o tratados de otro modo;
b) el interesado retire el consentimiento en que se basa el tratamiento de conformidad con el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), y este no se base en otro fundamento jurídico;
c) el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 1, y no prevalezcan otros motivos legítimos para el tratamiento, o el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 2;
d) los datos personales hayan sido tratados ilícitamente;
e) los datos personales deban suprimirse para el cumplimiento de una obligación legal establecida en el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento;
f) los datos personales se hayan obtenido en relación con la oferta de servicios de la sociedad de la información mencionados en el artículo 8, apartado 1.
Cuando haya hecho públicos los datos personales y esté obligado, en virtud de lo dispuesto en el apartado 1, a suprimir dichos datos, el responsable del tratamiento, teniendo en cuenta la tecnología disponible y el coste de su aplicación, adoptará medidas razonables, incluidas medidas técnicas, con miras a informar a los responsables que estén tratando los datos personales de la solicitud del interesado de supresión de cualquier enlace a esos datos personales, o cualquier copia o réplica de los mismos.
Los apartados 1 y 2 no se aplicarán cuando el tratamiento sea necesario:
a) para ejercer el derecho a la libertad de expresión e información;
b) para el cumplimiento de una obligación legal que requiera el tratamiento de datos impuesta por el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento, o para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable;
c) por razones de interés público en el ámbito de la salud pública de conformidad con el artículo 9, apartado 2, letras h) e i), y apartado 3;
d) con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, en la medida en que el derecho indicado en el apartado 1 pudiera hacer imposible u obstaculizar gravemente el logro de los objetivos de dicho tratamiento, o
e) para la formulación, el ejercicio o la defensa de reclamaciones.
a) el interesado impugne la exactitud de los datos personales en un plazo que permita al responsable verificar la exactitud de los mismos;
b) el tratamiento sea ilícito y el interesado se oponga a la supresión de los datos personales y solicite en su lugar la limitación de su uso;
c) el responsable ya no necesite los datos personales para los fines del tratamiento, pero el interesado los necesite para la formulación, el ejercicio o la defensa de reclamaciones;
d) el interesado se haya opuesto al tratamiento en virtud del artículo 21, apartado 1, mientras se verifica si los motivos legítimos del responsable prevalecen sobre los del interesado.
Cuando el tratamiento de datos personales se haya limitado en virtud del apartado 1, dichos datos solo podrán ser objeto de tratamiento, con excepción de su conservación, con el consentimiento del interesado o para la formulación, el ejercicio o la defensa de reclamaciones, o con miras a la protección de los derechos de otra persona física o jurídica o por razones de interés público importante de la Unión o de un determinado Estado miembro.
Todo interesado que haya obtenido la limitación del tratamiento con arreglo al apartado 1 será informado por el responsable antes del levantamiento de dicha limitación.
El responsable del tratamiento comunicará cualquier rectificación o supresión de datos personales o limitación del tratamiento efectuada con arreglo al artículo 16, al artículo 17, apartado 1, y al artículo 18 a cada uno de los destinatarios a los que se hayan comunicado los datos personales, salvo que sea imposible o exija un esfuerzo desproporcionado. El responsable informará al interesado acerca de dichos destinatarios, si este así lo solicita.
a) el tratamiento esté basado en el consentimiento con arreglo al artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), o en un contrato con arreglo al artículo 6, apartado 1, letra b), y
b) el tratamiento se efectúe por medios automatizados.
Al ejercer su derecho a la portabilidad de los datos de acuerdo con el apartado 1, el interesado tendrá derecho a que los datos personales se transmitan directamente de responsable a responsable cuando sea técnicamente posible.
El ejercicio del derecho mencionado en el apartado 1 del presente artículo se entenderá sin perjuicio del artículo 17. Tal derecho no se aplicará al tratamiento que sea necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento.
El derecho mencionado en el apartado 1 no afectará negativamente a los derechos y libertades de otros.
El interesado tendrá derecho a oponerse en cualquier momento, por motivos relacionados con su situación particular, a que datos personales que le conciernan sean objeto de un tratamiento basado en lo dispuesto en el artículo 6, apartado 1, letras e) o f), incluida la elaboración de perfiles sobre la base de dichas disposiciones. El responsable del tratamiento dejará de tratar los datos personales, salvo que acredite motivos legítimos imperiosos para el tratamiento que prevalezcan sobre los intereses, los derechos y las libertades del interesado, o para la formulación, el ejercicio o la defensa de reclamaciones.
Cuando el tratamiento de datos personales tenga por objeto la mercadotecnia directa, el interesado tendrá derecho a oponerse en todo momento al tratamiento de los datos personales que le conciernan, incluida la elaboración de perfiles en la medida en que esté relacionada con la citada mercadotecnia.
Cuando el interesado se oponga al tratamiento con fines de mercadotecnia directa, los datos personales dejarán de ser tratados para dichos fines.
A más tardar en el momento de la primera comunicación con el interesado, el derecho indicado en los apartados 1 y 2 será mencionado explícitamente al interesado y será presentado claramente y al margen de cualquier otra información.
En el contexto de la utilización de servicios de la sociedad de la información, y no obstante lo dispuesto en la Directiva 2002/58/CE, el interesado podrá ejercer su derecho a oponerse por medios automatizados que apliquen especificaciones técnicas.
Cuando los datos personales se traten con fines de investigación científica o histórica o fines estadísticos de conformidad con el artículo 89, apartado 1, el interesado tendrá derecho, por motivos relacionados con su situación particular, a oponerse al tratamiento de datos personales que le conciernan, salvo que sea necesario para el cumplimiento de una misión realizada por razones de interés público.
Todo interesado tendrá derecho a no ser objeto de una decisión basada únicamente en el tratamiento automatizado, incluida la elaboración de perfiles, que produzca efectos jurídicos en él o le afecte significativamente de modo similar.
El apartado 1 no se aplicará si la decisión:
a) es necesaria para la celebración o la ejecución de un contrato entre el interesado y un responsable del tratamiento;
b) está autorizada por el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento y que establezca asimismo medidas adecuadas para salvaguardar los derechos y libertades y los intereses legítimos del interesado, o
c) se basa en el consentimiento explícito del interesado.
En los casos a que se refiere el apartado 2, letras a) y c), el responsable del tratamiento adoptará las medidas adecuadas para salvaguardar los derechos y libertades y los intereses legítimos del interesado, como mínimo el derecho a obtener intervención humana por parte del responsable, a expresar su punto de vista y a impugnar la decisión.
Las decisiones a que se refiere el apartado 2 no se basarán en las categorías especiales de datos personales contempladas en el artículo 9, apartado 1, salvo que se aplique el artículo 9, apartado 2, letra a) o g), y se hayan tomado medidas adecuadas para salvaguardar los derechos y libertades y los intereses legítimos del interesado.
Teniendo en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento así como los riesgos de diversa probabilidad y gravedad para los derechos y libertades de las personas físicas, el responsable del tratamiento aplicará medidas técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme con el presente Reglamento. Dichas medidas se revisarán y actualizarán cuando sea necesario.
Cuando sean proporcionadas en relación con las actividades de tratamiento, entre las medidas mencionadas en el apartado 1 se incluirá la aplicación, por parte del responsable del tratamiento, de las oportunas políticas de protección de datos.
La adhesión a códigos de conducta aprobados a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrán ser utilizados como elementos para demostrar el cumplimiento de las obligaciones por parte del responsable del tratamiento.
Teniendo en cuenta el estado de la técnica, el coste de la aplicación y la naturaleza, ámbito, contexto y fines del tratamiento, así como los riesgos de diversa probabilidad y gravedad que entraña el tratamiento para los derechos y libertades de las personas físicas, el responsable del tratamiento aplicará, tanto en el momento de determinar los medios de tratamiento como en el momento del propio tratamiento, medidas técnicas y organizativas apropiadas, como la seudonimización, concebidas para aplicar de forma efectiva los principios de protección de datos, como la minimización de datos, e integrar las garantías necesarias en el tratamiento, a fin de cumplir los requisitos del presente Reglamento y proteger los derechos de los interesados.
El responsable del tratamiento aplicará las medidas técnicas y organizativas apropiadas con miras a garantizar que, por defecto, solo sean objeto de tratamiento los datos personales que sean necesarios para cada uno de los fines específicos del tratamiento. Esta obligación se aplicará a la cantidad de datos personales recogidos, a la extensión de su tratamiento, a su plazo de conservación y a su accesibilidad. Tales medidas garantizarán en particular que, por defecto, los datos personales no sean accesibles, sin la intervención de la persona, a un número indeterminado de personas físicas.
Podrá utilizarse un mecanismo de certificación aprobado con arreglo al artículo 42 como elemento que acredite el cumplimiento de las obligaciones establecidas en los apartados 1 y 2 del presente artículo.
Cuando dos o más responsables determinen conjuntamente los objetivos y los medios del tratamiento serán considerados corresponsables del tratamiento. Los corresponsables determinarán de modo transparente y de mutuo acuerdo sus responsabilidades respectivas en el cumplimiento de las obligaciones impuestas por el presente Reglamento, en particular en cuanto al ejercicio de los derechos del interesado y a sus respectivas obligaciones de suministro de información a que se refieren los artículos 13 y 14, salvo, y en la medida en que, sus responsabilidades respectivas se rijan por el Derecho de la Unión o de los Estados miembros que se les aplique a ellos. Dicho acuerdo podrá designar un punto de contacto para los interesados.
El acuerdo indicado en el apartado 1 reflejará debidamente las funciones y relaciones respectivas de los corresponsables en relación con los interesados. Se pondrán a disposición del interesado los aspectos esenciales del acuerdo.
Independientemente de los términos del acuerdo a que se refiere el apartado 1, los interesados podrán ejercer los derechos que les reconoce el presente Reglamento frente a, y en contra de, cada uno de los responsables.
Cuando sea de aplicación el artículo 3, apartado 2, el responsable o el encargado del tratamiento designará por escrito un representante en la Unión.
La obligación establecida en el apartado 1 del presente artículo no será aplicable:
a) al tratamiento que sea ocasional, que no incluyan el manejo a gran escala de categorías especiales de datos indicadas en el artículo 9, apartado 1, o de datos personales relativos a condenas e infracciones penales a que se refiere el artículo 10, y que sea improbable que entrañe un riesgo para los derechos y libertades de las personas físicas, teniendo en cuenta la naturaleza, contexto, alcance y objetivos del tratamiento, o
b) a las autoridades u organismos públicos.
El representante estará establecido en uno de los Estados miembros en que estén los interesados cuyos datos personales se traten en el contexto de una oferta de bienes o servicios, o cuyo comportamiento esté siendo controlado.
El responsable o el encargado del tratamiento encomendará al representante que atienda, junto al responsable o al encargado, o en su lugar, a las consultas, en particular, de las autoridades de control y de los interesados, sobre todos los asuntos relativos al tratamiento, a fin de garantizar el cumplimiento de lo dispuesto en el presente Reglamento.
La designación de un representante por el responsable o el encargado del tratamiento se entenderá sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable o encargado.
Cuando se vaya a realizar un tratamiento por cuenta de un responsable del tratamiento, este elegirá únicamente un encargado que ofrezca garantías suficientes para aplicar medidas técnicas y organizativas apropiadas, de manera que el tratamiento sea conforme con los requisitos del presente Reglamento y garantice la protección de los derechos del interesado.
El encargado del tratamiento no recurrirá a otro encargado sin la autorización previa por escrito, específica o general, del responsable. En este último caso, el encargado informará al responsable de cualquier cambio previsto en la incorporación o sustitución de otros encargados, dando así al responsable la oportunidad de oponerse a dichos cambios.
El tratamiento por el encargado se regirá por un contrato u otro acto jurídico con arreglo al Derecho de la Unión o de los Estados miembros, que vincule al encargado respecto del responsable y establezca el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos personales y categorías de interesados, y las obligaciones y derechos del responsable. Dicho contrato o acto jurídico estipulará, en particular, que el encargado:
a) tratará los datos personales únicamente siguiendo instrucciones documentadas del responsable, inclusive con respecto a las transferencias de datos personales a un tercer país o una organización internacional, salvo que esté obligado a ello en virtud del Derecho de la Unión o de los Estados miembros que se aplique al encargado; en tal caso, el encargado informará al responsable de esa exigencia legal previa al tratamiento, salvo que tal Derecho lo prohíba por razones importantes de interés público;
b) garantizará que las personas autorizadas para tratar datos personales se hayan comprometido a respetar la confidencialidad o estén sujetas a una obligación de confidencialidad de naturaleza legal;
c) tomará todas las medidas necesarias de conformidad con el artículo 32;
d) respetará las condiciones indicadas en los apartados 2 y 4 para recurrir a otro encargado del tratamiento;
e) asistirá al responsable, teniendo en cuenta la naturaleza del tratamiento, a través de medidas técnicas y organizativas apropiadas, siempre que sea posible, para que este pueda cumplir con su obligación de responder a las solicitudes que tengan por objeto el ejercicio de los derechos de los interesados establecidos en el capítulo III;
f) ayudará al responsable a garantizar el cumplimiento de las obligaciones establecidas en los artículos 32 a 36, teniendo en cuenta la naturaleza del tratamiento y la información a disposición del encargado;
g) a elección del responsable, suprimirá o devolverá todos los datos personales una vez finalice la prestación de los servicios de tratamiento, y suprimirá las copias existentes a menos que se requiera la conservación de los datos personales en virtud del Derecho de la Unión o de los Estados miembros;
h) pondrá a disposición del responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en el presente artículo, así como para permitir y contribuir a la realización de auditorías, incluidas inspecciones, por parte del responsable o de otro auditor autorizado por dicho responsable. En relación con lo dispuesto en la letra h) del párrafo primero, el encargado informará inmediatamente al responsable si, en su opinión, una instrucción infringe el presente Reglamento u otras disposiciones en materia de protección de datos de la Unión o de los Estados miembros.
Cuando un encargado del tratamiento recurra a otro encargado para llevar a cabo determinadas actividades de tratamiento por cuenta del responsable, se impondrán a este otro encargado, mediante contrato u otro acto jurídico establecido con arreglo al Derecho de la Unión o de los Estados miembros, las mismas obligaciones de protección de datos que las estipuladas en el contrato u otro acto jurídico entre el responsable y el encargado a que se refiere el apartado 3, en particular la prestación de garantías suficientes de aplicación de medidas técnicas y organizativas apropiadas de manera que el tratamiento sea conforme con las disposiciones del presente Reglamento. Si ese otro encargado incumple sus obligaciones de protección de datos, el encargado inicial seguirá siendo plenamente responsable ante el responsable del tratamiento por lo que respecta al cumplimiento de las obligaciones del otro encargado.
La adhesión del encargado del tratamiento a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá utilizarse como elemento para demostrar la existencia de las garantías suficientes a que se refieren los apartados 1 y 4 del presente artículo.
Sin perjuicio de que el responsable y el encargado del tratamiento celebren un contrato individual, el contrato u otro acto jurídico a que se refieren los apartados 3 y 4 del presente artículo podrá basarse, total o parcialmente, en las cláusulas contractuales tipo a que se refieren los apartados 7 y 8 del presente artículo, inclusive cuando formen parte de una certificación concedida al responsable o encargado de conformidad con los artículos 42 y 43.
La Comisión podrá fijar cláusulas contractuales tipo para los asuntos a que se refieren los apartados 3 y 4 del presente artículo, de acuerdo con el procedimiento de examen a que se refiere el artículo 93, apartado 2.
Una autoridad de control podrá adoptar cláusulas contractuales tipo para los asuntos a que se refieren los apartados 3 y 4 del presente artículo, de acuerdo con el mecanismo de coherencia a que se refiere el artículo 63.
El contrato u otro acto jurídico a que se refieren los apartados 3 y 4 constará por escrito, inclusive en formato electrónico.
Sin perjuicio de lo dispuesto en los artículos 82, 83 y 84, si un encargado del tratamiento infringe el presente Reglamento al determinar los fines y medios del tratamiento, será considerado responsable del tratamiento con respecto a dicho tratamiento.
a) el nombre y los datos de contacto del responsable y, en su caso, del corresponsable, del representante del responsable, y del delegado de protección de datos;
b) los fines del tratamiento;
c) una descripción de las categorías de interesados y de las categorías de datos personales;
d) las categorías de destinatarios a quienes se comunicaron o comunicarán los datos personales, incluidos los destinatarios en terceros países u organizaciones internacionales;
e) en su caso, las transferencias de datos personales a un tercer país o una organización internacional, incluida la identificación de dicho tercer país u organización internacional y, en el caso de las transferencias indicadas en el artículo 49, apartado 1, párrafo segundo, la documentación de garantías adecuadas;
f) cuando sea posible, los plazos previstos para la supresión de las diferentes categorías de datos;
g) cuando sea posible, una descripción general de las medidas técnicas y organizativas de seguridad a que se refiere el artículo 32, apartado 1.
a) el nombre y los datos de contacto del encargado o encargados y de cada responsable por cuenta del cual actúe el encargado, y, en su caso, del representante del responsable o del encargado, y del delegado de protección de datos;
b) las categorías de tratamientos efectuados por cuenta de cada responsable;
c) en su caso, las transferencias de datos personales a un tercer país u organización internacional, incluida la identificación de dicho tercer país u organización internacional y, en el caso de las transferencias indicadas en el artículo 49, apartado 1, párrafo segundo, la documentación de garantías adecuadas;
d) cuando sea posible, una descripción general de las medidas técnicas y organizativas de seguridad a que se refiere el artículo 30, apartado 1.
Los registros a que se refieren los apartados 1 y 2 constarán por escrito, inclusive en formato electrónico.
El responsable o el encargado del tratamiento y, en su caso, el representante del responsable o del encargado pondrán el registro a disposición de la autoridad de control que lo solicite.
Las obligaciones indicadas en los apartados 1 y 2 no se aplicarán a ninguna empresa ni organización que emplee a menos de 250 personas, a menos que el tratamiento que realice pueda entrañar un riesgo para los derechos y libertades de los interesados, no sea ocasional, o incluya categorías especiales de datos personales indicadas en el artículo 9, apartado 1, o datos personales relativos a condenas e infracciones penales a que se refiere el artículo 10.
a) la seudonimización y el cifrado de datos personales;
b) la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
c) la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
d) un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento.
Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.
La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo.
El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros.
En caso de violación de la seguridad de los datos personales, el responsable del tratamiento la notificará a la autoridad de control competente de conformidad con el artículo 55 sin dilación indebida y, de ser posible, a más tardar 72 horas después de que haya tenido constancia de ella, a menos que sea improbable que dicha violación de la seguridad constituya un riesgo para los derechos y las libertades de las personas físicas. Si la notificación a la autoridad de control no tiene lugar en el plazo de 72 horas, deberá ir acompañada de indicación de los motivos de la dilación.
El encargado del tratamiento notificará sin dilación indebida al responsable del tratamiento las violaciones de la seguridad de los datos personales de las que tenga conocimiento.
La notificación contemplada en el apartado 1 deberá, como mínimo:
a) describir la naturaleza de la violación de la seguridad de los datos personales, inclusive, cuando sea posible, las categorías y el número aproximado de interesados afectados, y las categorías y el número aproximado de registros de datos personales afectados;
b) comunicar el nombre y los datos de contacto del delegado de protección de datos o de otro punto de contacto en el que pueda obtenerse más información;
c) describir las posibles consecuencias de la violación de la seguridad de los datos personales;
d) describir las medidas adoptadas o propuestas por el responsable del tratamiento para poner remedio a la violación de la seguridad de los datos personales, incluyendo, si procede, las medidas adoptadas para mitigar los posibles efectos negativos.
Si no fuera posible facilitar la información simultáneamente, y en la medida en que no lo sea, la información se facilitará de manera gradual sin dilación indebida.
El responsable del tratamiento documentará cualquier violación de la seguridad de los datos personales, incluidos los hechos relacionados con ella, sus efectos y las medidas correctivas adoptadas. Dicha documentación permitirá a la autoridad de control verificar el cumplimiento de lo dispuesto en el presente artículo.
Cuando sea probable que un tipo de tratamiento, en particular si utiliza nuevas tecnologías, por su naturaleza, alcance, contexto o fines, entrañe un alto riesgo para los derechos y libertades de las personas físicas, el responsable del tratamiento realizará, antes del tratamiento, una evaluación del impacto de las operaciones de tratamiento en la protección de datos personales. Una única evaluación podrá abordar una serie de operaciones de tratamiento similares que entrañen altos riesgos similares.
El responsable del tratamiento recabará el asesoramiento del delegado de protección de datos, si ha sido nombrado, al realizar la evaluación de impacto relativa a la protección de datos.
La evaluación de impacto relativa a la protección de los datos a que se refiere el apartado 1 se requerirá en particular en caso de:
a) evaluación sistemática y exhaustiva de aspectos personales de personas físicas que se base en un tratamiento automatizado, como la elaboración de perfiles, y sobre cuya base se tomen decisiones que produzcan efectos jurídicos para las personas físicas o que les afecten significativamente de modo similar;
b) tratamiento a gran escala de las categorías especiales de datos a que se refiere el artículo 9, apartado 1, o de los datos personales relativos a condenas e infracciones penales a que se refiere el artículo 10, o
c) observación sistemática a gran escala de una zona de acceso público.
La autoridad de control establecerá y publicará una lista de los tipos de operaciones de tratamiento que requieran una evaluación de impacto relativa a la protección de datos de conformidad con el apartado 1. La autoridad de control comunicará esas listas al Comité a que se refiere el artículo 68.
La autoridad de control podrá asimismo establecer y publicar la lista de los tipos de tratamiento que no requieren evaluaciones de impacto relativas a la protección de datos. La autoridad de control comunicará esas listas al Comité.
Antes de adoptar las listas a que se refieren los apartados 4 y 5, la autoridad de control competente aplicará el mecanismo de coherencia contemplado en el artículo 63 si esas listas incluyen actividades de tratamiento que guarden relación con la oferta de bienes o servicios a interesados o con la observación del comportamiento de estos en varios Estados miembros, o actividades de tratamiento que puedan afectar sustancialmente a la libre circulación de datos personales en la Unión.
La evaluación deberá incluir como mínimo:
a) una descripción sistemática de las operaciones de tratamiento previstas y de los fines del tratamiento, inclusive, cuando proceda, el interés legítimo perseguido por el responsable del tratamiento;
b) una evaluación de la necesidad y la proporcionalidad de las operaciones de tratamiento con respecto a su finalidad;
c) una evaluación de los riesgos para los derechos y libertades de los interesados a que se refiere el apartado 1, y
d) las medidas previstas para afrontar los riesgos, incluidas garantías, medidas de seguridad y mecanismos que garanticen la protección de datos personales, y a demostrar la conformidad con el presente Reglamento, teniendo en cuenta los derechos e intereses legítimos de los interesados y de otras personas afectadas.
El cumplimiento de los códigos de conducta aprobados a que se refiere el artículo 40 por los responsables o encargados correspondientes se tendrá debidamente en cuenta al evaluar las repercusiones de las operaciones de tratamiento realizadas por dichos responsables o encargados, en particular a efectos de la evaluación de impacto relativa a la protección de datos.
Cuando proceda, el responsable recabará la opinión de los interesados o de sus representantes en relación con el tratamiento previsto, sin perjuicio de la protección de intereses públicos o comerciales o de la seguridad de las operaciones de tratamiento.
Cuando el tratamiento de conformidad con el artículo 6, apartado 1, letras c) o e), tenga su base jurídica en el Derecho de la Unión o en el Derecho del Estado miembro que se aplique al responsable del tratamiento, tal Derecho regule la operación específica de tratamiento o conjunto de operaciones en cuestión, y ya se haya realizado una evaluación de impacto relativa a la protección de datos como parte de una evaluación de impacto general en el contexto de la adopción de dicha base jurídica, los apartados 1 a 7 no serán de aplicación excepto si los Estados miembros consideran necesario proceder a dicha evaluación previa a las actividades de tratamiento.
En caso necesario, el responsable examinará si el tratamiento es conforme con la evaluación de impacto relativa a la protección de datos, al menos cuando exista un cambio del riesgo que representen las operaciones de tratamiento.
El responsable consultará a la autoridad de control antes de proceder al tratamiento cuando una evaluación de impacto relativa a la protección de los datos en virtud del artículo 35 muestre que el tratamiento entrañaría un alto riesgo si el responsable no toma medidas para mitigarlo.
Cuando la autoridad de control considere que el tratamiento previsto a que se refiere el apartado 1 podría infringir el presente Reglamento, en particular cuando el responsable no haya identificado o mitigado suficientemente el riesgo, la autoridad de control deberá, en un plazo de ocho semanas desde la solicitud de la consulta, asesorar por escrito al responsable, y en su caso al encargado, y podrá utilizar cualquiera de sus poderes mencionados en el artículo 58. Dicho plazo podrá prorrogarse seis semanas, en función de la complejidad del tratamiento previsto. La autoridad de control informará al responsable y, en su caso, al encargado de tal prórroga en el plazo de un mes a partir de la recepción de la solicitud de consulta, indicando los motivos de la dilación. Estos plazos podrán suspenderse hasta que la autoridad de control haya obtenido la información solicitada a los fines de la consulta.
Cuando consulte a la autoridad de control con arreglo al apartado 1, el responsable del tratamiento le facilitará la información siguiente:
a) en su caso, las responsabilidades respectivas del responsable, los corresponsables y los encargados implicados en el tratamiento, en particular en caso de tratamiento dentro de un grupo empresarial;
b) los fines y medios del tratamiento previsto;
c) las medidas y garantías establecidas para proteger los derechos y libertades de los interesados de conformidad con el presente Reglamento;
d) en su caso, los datos de contacto del delegado de protección de datos;
e) la evaluación de impacto relativa a la protección de datos establecida en el artículo 35, y
f) cualquier otra información que solicite la autoridad de control.
Los Estados miembros garantizarán que se consulte a la autoridad de control durante la elaboración de toda propuesta de medida legislativa que haya de adoptar un Parlamento nacional, o de una medida reglamentaria basada en dicha medida legislativa, que se refiera al tratamiento.
No obstante lo dispuesto en el apartado 1, el Derecho de los Estados miembros podrá obligar a los responsables del tratamiento a consultar a la autoridad de control y a recabar su autorización previa en relación con el tratamiento por un responsable en el ejercicio de una misión realizada en interés público, en particular el tratamiento en relación con la protección social y la salud pública.
a) el tratamiento lo lleve a cabo una autoridad u organismo público, excepto los tribunales que actúen en ejercicio de su función judicial;
b) las actividades principales del responsable o del encargado consistan en operaciones de tratamiento que, en razón de su naturaleza, alcance y/o fines, requieran una observación habitual y sistemática de interesados a gran escala, o
c) las actividades principales del responsable o del encargado consistan en el tratamiento a gran escala de categorías especiales de datos con arreglo al artículo 9 o de datos personales relativos a condenas e infracciones penales a que se refiere el artículo 10.
Un grupo empresarial podrá nombrar un único delegado de protección de datos siempre que sea fácilmente accesible desde cada establecimiento.
Cuando el responsable o el encargado del tratamiento sea una autoridad u organismo público, se podrá designar un único delegado de protección de datos para varias de estas autoridades u organismos, teniendo en cuenta su estructura organizativa y tamaño.
En casos distintos de los contemplados en el apartado 1, el responsable o el encargado del tratamiento o las asociaciones y otros organismos que representen a categorías de responsables o encargados podrán designar un delegado de protección de datos o deberán designarlo si así lo exige el Derecho de la Unión o de los Estados miembros. El delegado de protección de datos podrá actuar por cuenta de estas asociaciones y otros organismos que representen a responsables o encargados.
El delegado de protección de datos será designado atendiendo a sus cualidades profesionales y, en particular, a sus conocimientos especializados del Derecho y la práctica en materia de protección de datos y a su capacidad para desempeñar las funciones indicadas en el artículo 39.
El delegado de protección de datos podrá formar parte de la plantilla del responsable o del encargado del tratamiento o desempeñar sus funciones en el marco de un contrato de servicios.
El responsable o el encargado del tratamiento publicarán los datos de contacto del delegado de protección de datos y los comunicarán a la autoridad de control.
El responsable y el encargado del tratamiento garantizarán que el delegado de protección de datos participe de forma adecuada y en tiempo oportuno en todas las cuestiones relativas a la protección de datos personales.
El responsable y el encargado del tratamiento respaldarán al delegado de protección de datos en el desempeño de las funciones mencionadas en el artículo 39, facilitando los recursos necesarios para el desempeño de dichas funciones y el acceso a los datos personales y a las operaciones de tratamiento, y para el mantenimiento de sus conocimientos especializados.
El responsable y el encargado del tratamiento garantizarán que el delegado de protección de datos no reciba ninguna instrucción en lo que respecta al desempeño de dichas funciones. No será destituido ni sancionado por el responsable o el encargado por desempeñar sus funciones. El delegado de protección de datos rendirá cuentas directamente al más alto nivel jerárquico del responsable o encargado.
Los interesados podrán ponerse en contacto con el delegado de protección de datos por lo que respecta a todas las cuestiones relativas al tratamiento de sus datos personales y al ejercicio de sus derechos al amparo del presente Reglamento.
El delegado de protección de datos estará obligado a mantener el secreto o la confidencialidad en lo que respecta al desempeño de sus funciones, de conformidad con el Derecho de la Unión o de los Estados miembros.
El delegado de protección de datos podrá desempeñar otras funciones y cometidos. El responsable o encargado del tratamiento garantizará que dichas funciones y cometidos no den lugar a conflicto de intereses.
a) informar y asesorar al responsable o al encargado del tratamiento y a los empleados que se ocupen del tratamiento de las obligaciones que les incumben en virtud del presente Reglamento y de otras disposiciones de protección de datos de la Unión o de los Estados miembros;
b) supervisar el cumplimiento de lo dispuesto en el presente Reglamento, de otras disposiciones de protección de datos de la Unión o de los Estados miembros y de las políticas del responsable o del encargado del tratamiento en materia de protección de datos personales, incluida la asignación de responsabilidades, la concienciación y formación del personal que participa en las operaciones de tratamiento, y las auditorías correspondientes;
c) ofrecer el asesoramiento que se le solicite acerca de la evaluación de impacto relativa a la protección de datos y supervisar su aplicación de conformidad con el artículo 35;
d) cooperar con la autoridad de control;
e) actuar como punto de contacto de la autoridad de control para cuestiones relativas al tratamiento, incluida la consulta previa a que se refiere el artículo 36, y realizar consultas, en su caso, sobre cualquier otro asunto.
Los Estados miembros, las autoridades de control, el Comité y la Comisión promoverán la elaboración de códigos de conducta destinados a contribuir a la correcta aplicación del presente Reglamento, teniendo en cuenta las características específicas de los distintos sectores de tratamiento y las necesidades específicas de las microempresas y las pequeñas y medianas empresas.
Las asociaciones y otros organismos representativos de categorías de responsables o encargados del tratamiento podrán elaborar códigos de conducta o modificar o ampliar dichos códigos con objeto de especificar la aplicación del presente Reglamento, como en lo que respecta a:
a) el tratamiento leal y transparente;
b) los intereses legítimos perseguidos por los responsables del tratamiento en contextos específicos;
c) la recogida de datos personales;
d) la seudonimización de datos personales;
e) la información proporcionada al público y a los interesados;
f) el ejercicio de los derechos de los interesados;
g) la información proporcionada a los niños y la protección de estos, así como la manera de obtener el consentimiento de los titulares de la patria potestad o tutela sobre el niño;
h) las medidas y procedimientos a que se refieren los artículos 24 y 25 y las medidas para garantizar la seguridad del tratamiento a que se refiere el artículo 32;
i) la notificación de violaciones de la seguridad de los datos personales a las autoridades de control y la comunicación de dichas violaciones a los interesados;
j) la transferencia de datos personales a terceros países u organizaciones internacionales, o
k) los procedimientos extrajudiciales y otros procedimientos de resolución de conflictos que permitan resolver las controversias entre los responsables del tratamiento y los interesados relativas al tratamiento, sin perjuicio de los derechos de los interesados en virtud de los artículos 77 y 79.
Además de la adhesión de los responsables o encargados del tratamiento a los que se aplica el presente Reglamento, los responsables o encargados a los que no se aplica el presente Reglamento en virtud del artículo 3 podrán adherirse también a códigos de conducta aprobados de conformidad con el apartado 5 del presente artículo y que tengan validez general en virtud del apartado 9 del presente artículo, a fin de ofrecer garantías adecuadas en el marco de las transferencias de datos personales a terceros países u organizaciones internacionales a tenor del artículo 46, apartado 2, letra e). Dichos responsables o encargados deberán asumir compromisos vinculantes y exigibles, por vía contractual o mediante otros instrumentos jurídicamente vinculantes, para aplicar dichas garantías adecuadas, incluidas las relativas a los derechos de los interesados.
El código de conducta a que se refiere el apartado 2 del presente artículo contendrá mecanismos que permitan al organismo mencionado en el artículo 41, apartado 1, efectuar el control obligatorio del cumplimiento de sus disposiciones por los responsables o encargados de tratamiento que se comprometan a aplicarlo, sin perjuicio de las funciones y los poderes de las autoridades de control que sean competentes con arreglo al artículo 51 o 56.
Las asociaciones y otros organismos mencionados en el apartado 2 del presente artículo que proyecten elaborar un código de conducta o modificar o ampliar un código existente presentarán el proyecto de código o la modificación o ampliación a la autoridad de control que sea competente con arreglo al artículo 55. La autoridad de control dictaminará si el proyecto de código o la modificación o ampliación es conforme con el presente Reglamento y aprobará dicho proyecto de código, modificación o ampliación si considera suficientes las garantías adecuadas ofrecidas.
Si el proyecto de código o la modificación o ampliación es aprobado de conformidad con el apartado 5 y el código de conducta de que se trate no se refiere a actividades de tratamiento en varios Estados miembros, la autoridad de control registrará y publicará el código.
Si un proyecto de código de conducta guarda relación con actividades de tratamiento en varios Estados miembros, la autoridad de control que sea competente en virtud del artículo 55 lo presentará por el procedimiento mencionado en el artículo 63, antes de su aprobación o de la modificación o ampliación, al Comité, el cual dictaminará si dicho proyecto, modificación o ampliación es conforme con el presente Reglamento o, en la situación indicada en el apartado 3 del presente artículo, ofrece garantías adecuadas.
Si el dictamen a que se refiere el apartado 7 confirma que el proyecto de código o la modificación o ampliación cumple lo dispuesto en el presente Reglamento o, en la situación indicada en el apartado 3, ofrece garantías adecuadas, el Comité presentará su dictamen a la Comisión.
La Comisión podrá, mediante actos de ejecución, decidir que el código de conducta o la modificación o ampliación aprobados y presentados con arreglo al apartado 8 del presente artículo tengan validez general dentro de la Unión. Dichos actos de ejecución se adoptarán con arreglo al procedimiento de examen a que se refiere el artículo 93, apartado 2.
La Comisión dará publicidad adecuada a los códigos aprobados cuya validez general haya sido decidida de conformidad con el apartado 9.
El Comité archivará en un registro todos los códigos de conducta, modificaciones y ampliaciones que se aprueben, y los pondrá a disposición pública por cualquier medio apropiado.
El presente Reglamento entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea .
Será aplicable a partir del 25 de mayo de 2018. El presente Reglamento será obligatorio en todos sus elementos y directamente aplicable en cada Estado miembro. ( 1 ) Directiva (UE) 2015/1535 del Parlamento Europeo y del Consejo, de 9 de septiembre de 2015, por la que se establece un procedimiento de información en materia de reglamentaciones técnicas y de reglas relativas a los servicios de la sociedad de la información (DO L 241 de 17.9.2015, p. 1). ( 2 ) Reglamento (CE) n.o 765/2008 del Parlamento Europeo y del Consejo, de 9 de julio de 2008, por el que se establecen los requisitos de acreditación y vigilancia del mercado relativos a la comercialización de los productos y por el que se deroga el Reglamento (CEE) n.o 339/93 (DO L 218 de 13.8.2008, p. 30). ( 3 ) Reglamento (CE) n.o 1049/2001 del Parlamento Europeo y del Consejo, de 30 de mayo de 2001, relativo al acceso del público a los documentos del Parlamento Europeo, del Consejo y de la Comisión (DO L 145 de 31.5.2001, p. 43).
Pregunta sobre leyes y normativa
Hola, ¿en qué puedo ayudarte?
Pregunta sobre cualquier ley o artículo
Pregúntame sobre:
✨ Estoy entrenada con +100 leyes, ¡espero serte útil!