820 - Forma de iniciación de los procedimientos por vulneración de la normativa de protección de datos

El artículo 64 de la LOPDGDD regula las diferentes formas de iniciación del procedimiento por vulneración de la normativa de protección de datos, debiendo destacar:

A TENER EN CUENTA. El artículo 64 se ha visto modificado por la publicación de la Ley 11/2023, de 8 de mayo, con entrada en vigor el 10/05/2023.

• Cuando el procedimiento se refiera a la falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del RGPD (derecho de acceso del interesado, de rectificación y supresión y derecho de oposiciones y decisiones individuales automatizadas), se iniciará por acuerdo de admisión a trámite.
• Cuando el procedimiento tenga por objeto la determinación de la existencia de una posible infracción de lo dispuesto en la LOPDGDD y en el RGPD, se iniciará mediante acuerdo de inicio, adoptado por propia iniciativa o como consecuencia de reclamación, que le será notificada al interesado.

Si el proceso se basa en una reclamación formulada ante la AEPD, esta decidirá sobre su admisión a trámite, conforme lo establecido en el artículo 65 de la LOPDGDD. Admitida a trámite la reclamación, así como en los supuestos en que la Agencia Española de Protección de Datos actúe por propia iniciativa, con carácter previo al acuerdo de inicio podrá existir una fase de actuaciones previas de investigación, que se regirá por lo previsto en el artículo 67 de esta ley orgánica.

El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones.

• Cuando así proceda en atención a la naturaleza de los hechos y teniendo debidamente en cuenta los criterios establecidos en el artículo 83.2 del RGPD, la Agencia Española de Protección de Datos, previa audiencia al responsable o encargado del tratamiento, podrá dirigir un apercibimiento, así como ordenar al responsable o encargado del tratamiento que adopten las medidas correctivas encaminadas a poner fin al posible incumplimiento de la legislación de protección de datos de una determinada manera y dentro del plazo especificado.

El procedimiento tendrá una duración máxima de seis meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones.

A TENER EN CUENTA. Será de aplicación en este caso lo dispuesto en los párrafos segundo y tercero del apartado 2 de este artículo 64.

• El procedimiento podrá también tramitarse como consecuencia de la comunicación a la Agencia Española de Protección de Datos por parte de la autoridad de control de otro Estado miembro de la Unión Europea de la reclamación formulada ante la misma, cuando la Agencia Española de Protección de Datos tuviese la condición de autoridad de control principal para la tramitación de un procedimiento conforme a lo dispuesto en los artículos 56 y 60 del RGPD. Será en este caso de aplicación lo dispuesto en los apartados 1, 2 y 3 de este artículo 64.

• Los plazos de tramitación establecidos en este artículo así como los de admisión a trámite regulados por el artículo 65.5 y de duración de las actuaciones previas de investigación previstos en el artículo 67.2, quedarán automáticamente suspendidos cuando deba recabarse información, consulta, solicitud de asistencia o pronunciamiento preceptivo de un órgano u organismo de la Unión Europea o de una o varias autoridades de control de los Estados miembros conforme con lo establecido en el RGPD, por el tiempo que medie entre la solicitud y la notificación del pronunciamiento a la Agencia Española de Protección de Datos.
• El transcurso de los plazos de tramitación a los que se refiere el apartado anterior se podrá suspender, mediante resolución motivada, cuando resulte indispensable recabar información de un órgano jurisdiccional.

Así mismo, como indica el preámbulo de la LOPDGDD, en la iniciación del procedimiento es posible que la Agencia Española de Protección de Datos remita la reclamación al delegado de protección de datos o a los órganos o a aquellas entidades que tengan a su cargo la resolución extrajudicial de conflictos conforme a lo establecido en un código de conducta vinculante para quienes se adhieran al mismo.