Atención a la Ciudadanía e Innovación Administrativa

1. – Se crea la Agencia Vasca de Protección de Datos como ente de derecho público, con personalidad jurídica propia y plena capacidad pública y privada, que actúa con plena independencia de las administraciones públicas en el ejercicio de sus funciones. Se regirá por lo dispuesto en esta ley y en su estatuto propio, que será aprobado por decreto del Gobierno Vasco a propuesta de la Vicepresidencia.

2. – La Agencia Vasca de Protección de Datos sujetará su actividad a la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, cuando ejerza potestades administrativas. En el resto de su actividad se someterá a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, en esta ley y en las disposiciones de desarrollo de las mismas.

3. – La Agencia Vasca de Protección de Datos estará sujeta al derecho público vigente en materia de adquisiciones patrimoniales y contratación. Sus bienes y derechos pertenecerán al patrimonio de la Comunidad Autónoma del País Vasco.

4. – La representación y defensa en juicio de la Agencia Vasca de Protección de Datos estará a cargo de los servicios jurídicos de la Administración de la Comunidad Autónoma del País Vasco, conforme a lo dispuesto en sus normas reguladoras.

1. – Los puestos de trabajo de la Agencia Vasca de Protección de Datos serán desempeñados por funcionarios de las administraciones públicas e instituciones a que se refiere el artículo 2.1 de esta ley y por personal contratado al efecto, según la naturaleza de las funciones asignadas a cada puesto de trabajo. Este personal estará obligado a guardar secreto respecto a los datos de carácter personal que conozca en el desarrollo de su función.

2. – El personal al servicio de la Agencia Vasca de Protección de Datos estará sometido a la normativa reguladora de la función pública en la Administración General de la Comunidad Autónoma. De conformidad con la misma, corresponde a la Agencia Vasca de Protección de Datos determinar el régimen de acceso a sus puestos de trabajo, los requisitos y las características de las pruebas de selección, así como la convocatoria, gestión y resolución de los procedimientos de provisión de puestos de trabajo y promoción profesional.

3. – Los puestos de trabajo que comporten el ejercicio de potestades públicas estarán reservados a personal funcionario.

La Agencia Vasca de Protección de Datos contará, para el cumplimiento de sus fines, con los siguientes bienes y medios económicos:

1. Las asignaciones que se establezcan anualmente con cargo a los Presupuestos Generales de la Comunidad Autónoma.

2. Las subvenciones y aportaciones que se concedan a su favor.

3. Los ingresos, ordinarios y extraordinarios, derivados del ejercicio de sus actividades.

4. Los bienes y valores que constituyan su patrimonio, así como los productos y rentas del mismo.

5. Cualesquiera otros que legalmente puedan serle atribuidos.

La Agencia Vasca de Protección de Datos elaborará y aprobará con carácter anual el correspondiente anteproyecto de presupuesto y lo remitirá al Gobierno Vasco para que sea integrado, con la debida independencia, en los Presupuestos Generales de la Comunidad Autónoma, de acuerdo con la legislación reguladora del régimen presupuestario de la Comunidad Autónoma del País Vasco. Estará sometida a esta legislación en lo relativo al régimen de modificación, ejecución y liquidación de su presupuesto, atendiendo a estos efectos a la naturaleza de la entidad; al régimen de contabilidad pública y al control económico financiero y de gestión del Departamento de Hacienda y Administración Pública de la Administración de la Comunidad Autónoma, sin perjuicio de la fiscalización de sus actividades económico-financieras y contables por el Tribunal Vasco de Cuentas Públicas.

Son órganos de gobierno de la Agencia Vasca de Protección de Datos el director, el Consejo Consultivo y aquellos otros que se establezcan en su estatuto propio.

1. – El director de la Agencia Vasca de Protección de Datos dirige la agencia y ostenta su representación. Será nombrado por decreto del Gobierno Vasco, por un periodo de cuatro años.

2. – Ejercerá sus funciones con plena independencia y objetividad, y no estará sujeto a instrucción alguna en el desempeño de aquellas. No obstante, el director deberá oír al Consejo Consultivo en aquellas propuestas que éste le realice en el ejercicio de sus funciones.

3. – El director de la Agencia Vasca de Protección de Datos sólo cesará antes de la expiración de su periodo por alguna de las siguientes causas:

   1. A petición propia.

   2. Por separación, acordada por el Consejo de Gobierno, previa instrucción de expediente, en el que necesariamente será oído el Consejo Consultivo, por incumplimiento grave de sus obligaciones, incapacidad sobrevenida para el ejercicio de su función, incompatibilidad o condena por delito doloso.

4. – El director de la Agencia Vasca de Protección de Datos tendrá la consideración de alto cargo, quedará en la situación de servicios especiales si anteriormente estuviera desempeñando una función pública, y estará sometido al régimen de incompatibilidades de los altos cargos de la Administración de la Comunidad Autónoma.

1. – El director de la Agencia Vasca de Protección de Datos estará asesorado por un Consejo Consultivo compuesto por los siguientes miembros:

   1. Un representante del Parlamento Vasco, designado por éste.

   2. Un representante de la Administración de la Comunidad Autónoma del País Vasco, designado por el Consejo de Gobierno.

   3. Un representante de los territorios históricos, designado por éstos de común acuerdo.

   4. Un representante de las entidades locales del ámbito territorial de la Comunidad Autónoma del País Vasco, designado por la asociación más representativa de las mismas en el citado ámbito territorial.

   5. Dos expertos, uno en informática y otro en el ámbito de los derechos fundamentales, designados por la Universidad del País Vasco previa consulta a las corporaciones de derecho público de la Comunidad Autónoma del País Vasco.

2. – El Consejo Consultivo aprobará sus propias normas de organización y funcionamiento, en las que se preverán las figuras de presidente y secretario, así como el sistema para su elección o designación.

1. – Son funciones de la Agencia Vasca de Protección de Datos, en relación con los ficheros a que se refiere el artículo 2.1 de esta ley y en el ámbito de las competencias de la Comunidad Autónoma del País Vasco:

   1. Velar por el cumplimiento de la legislación sobre protección de datos y controlar su aplicación, en especial en lo relativo a los derechos de información, acceso, rectificación, oposición y cancelación de datos.

   2. Emitir las autorizaciones previstas en las leyes y reglamentos.

   3. Dictar, en su caso, y sin perjuicio de las competencias de otros órganos, las instrucciones precisas para adecuar los tratamientos a los principios de la legislación vigente en materia de protección de datos.

   4. Atender las peticiones y reclamaciones formuladas por los afectados.

   5. Proporcionar información a las personas acerca de sus derechos en materia de tratamiento de los datos de carácter personal.

   6. Requerir a los responsables y a los encargados de los tratamientos, previa audiencia de éstos, la adopción de las medidas necesarias para la adecuación del tratamiento de datos a la legislación en vigor y, en su caso, ordenar la cesación de los tratamientos y la cancelación de los ficheros cuando no se ajuste a dicha legislación, salvo en la que se refiera a transferencias internacionales de datos.

   7. Ejercer la potestad sancionadora y, en su caso, proponer la iniciación de procedimientos disciplinarios contra quienes estime responsables de las infracciones tipificadas en el artículo 22 de esta ley, así como adoptar las medidas cautelares que procedan, salvo en lo que se refiera a las transferencias internacionales de datos. Todo ello en los términos previstos en esta ley.

   8. Informar, con carácter preceptivo, los proyectos de disposiciones generales que desarrollen esta ley.

   9. Recabar de los responsables de los ficheros cuanta ayuda e información estime necesaria para el desempeño de sus funciones.

   10. Velar por la publicidad de la existencia de los ficheros de datos con carácter personal, a cuyo efecto publicará anualmente una relación de dichos ficheros con la información adicional que el director de la Agencia Vasca de Protección de Datos determine.

   11. Redactar una memoria anual y remitirla a la Vicepresidencia del Gobierno Vasco.

   12. Velar por el cumplimiento de las disposiciones que la legislación sobre la función estadística pública establece respecto a la recogida de datos estadísticos y al secreto estadístico, así como dictar las instrucciones precisas, dictaminar sobre las condiciones de seguridad de los ficheros constituidos con fines exclusivamente estadísticos y ejercer la potestad a la que se refiere el artículo 24.

   13. Colaborar con la Agencia de Protección de Datos del Estado y entidades similares de otras comunidades autónomas en cuantas actividades sean necesarias para una mejor protección de la seguridad de los ficheros de datos de carácter personal y de los derechos de los ciudadanos en relación con los mismos.

   14. Atender a las consultas que en materia de protección de datos de carácter personal le formulen las administraciones públicas, instituciones y corporaciones a que se refiere el artículo 2.1 de esta ley, así como otras personas físicas o jurídicas, en relación con los tratamientos de datos de carácter personal incluidos en el ámbito de aplicación de esta ley.

   15. Cuantas otras le sean atribuidas por las leyes y reglamentos.

2. – A los efectos de las funciones a que se refiere el número anterior, la Agencia Vasca de Protección de Datos tendrá la consideración de autoridad de control, y la ley le garantiza la plena independencia y objetividad en el ejercicio de su cometido.

1. – Se crea el Registro de Protección de Datos, como órgano integrado en la Agencia Vasca de Protección de Datos en los términos que se establezcan en los estatutos de ésta.

2. – Serán objeto de inscripción en el Registro de Protección de Datos:

   1. Los ficheros a los que se refiere el artículo 2.1 de esta ley.

   2. Las autorizaciones a las que se refiere la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal.

   3. Los códigos tipo que afecten a los ficheros inscritos.

   4. Los datos relativos a los ficheros inscritos que sean necesarios para el ejercicio de los derechos de información, acceso, rectificación, cancelación y oposición.

3. – El Registro de Protección de Datos podrá denegar la inscripción solicitada cuando considere que la petición no se ajusta a derecho. En este caso, el director de la Agencia Vasca de Protección de Datos deberá requerir al solicitante para que efectúe las correcciones oportunas.

4. – Reglamentariamente se regulará el procedimiento de inscripción de los ficheros a los que se refiere el artículo 2.1 de esta ley en el Registro de Protección de Datos, el contenido de la inscripción, su modificación, cancelación, reclamaciones y recursos contra las resoluciones correspondientes, y demás extremos pertinentes.

5. – El Registro de Protección de Datos será de consulta pública y gratuita. Cualquier persona podrá conocer, recabando la información oportuna del citado registro, la existencia de tratamientos de datos de carácter personal, sus finalidades y la identidad del responsable del tratamiento.

1. – La Agencia Vasca de Protección de Datos, como autoridad de control, podrá inspeccionar los ficheros a los que se refiere el artículo 2.1 de esta ley, recabando cuanta información precise para el cumplimiento de su cometido. A tal efecto, podrá solicitar la exhibición o el envío de documentos y datos y examinarlos en el lugar en que se encuentren depositados, así como inspeccionar los equipos físicos y lógicos utilizados para el tratamiento de datos, accediendo a los locales donde se hallen instalados.

2. – Los funcionarios que ejerzan la inspección a que se refiere el número anterior tendrán la consideración de autoridad pública en el desempeño de sus cometidos, y estarán obligados a guardar secreto sobre las informaciones que conozcan en el ejercicio de sus funciones, incluso después de haber cesado en las mismas.

Cuando el director de la Agencia Vasca de Protección de Datos constate que el mantenimiento y uso de un determinado fichero incluido en el ámbito de aplicación de esta ley contraviene algún precepto de la misma o de las disposiciones que la desarrollen, podrá requerir a la administración pública, institución o corporación titular del fichero que adopte las medidas correctoras que determine en el plazo que expresamente se fije en el requerimiento. Si la administración requerida incumpliera el requerimiento formulado, el director de la Agencia Vasca de Protección de Datos, sin perjuicio de otras medidas que pueda adoptar de acuerdo con el artículo 17.f) de esta ley, podrá recurrir la resolución o la actitud omisiva adoptada por aquella administración, teniendo, a estos efectos, la condición de interesado.

Los responsables de los ficheros a los que se refiere el artículo 2.1 de esta ley y los encargados de los tratamientos de los mismos estarán sujetos al régimen de infracciones y sanciones establecido en esta ley.

1. – Las infracciones se calificarán como leves, graves o muy graves.

2. – Son infracciones leves:

   1. No atender, por motivos formales, la solicitud del interesado de rectificación o cancelación de los datos personales objeto de tratamiento, cuando legalmente proceda.

   2. No proporcionar la información que solicite la Agencia Vasca de Protección de Datos en el ejercicio de las competencias que tiene legalmente atribuidas, en relación con aspectos no sustantivos de la protección de datos.

   3. No solicitar la inscripción del fichero de datos de carácter personal en el Registro de Protección de Datos, cuando no sea constitutivo de infracción grave.

   4. Proceder a la recogida de datos de carácter personal de los propios afectados sin proporcionarles la información legalmente exigida.

   5. Incumplir el deber de secreto legalmente establecido,salvo que constituya infracción grave.

3. – Son infracciones graves:

   1. Proceder a la creación de ficheros, o iniciar la recogida de datos de carácter personal para los mismos, sin autorización de disposición general publicada en el Boletín Oficial del País Vasco o en el del territorio histórico correspondiente.

   2. Proceder a la recogida de datos de carácter personal sin recabar el consentimiento expreso de las personas afectadas, en los casos en que éste sea exigido.

   3. Tratar los datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías legalmente establecidos o con incumplimiento de los preceptos de protección que impongan las disposiciones reglamentarias de desarrollo, cuando no constituya infracción muy grave.

   4. El impedimento o la obstaculización del ejercicio de los derechos de acceso y oposición y la negativa a facilitar la información que sea solicitada.

   5. Mantener datos de carácter personal inexactos o no efectuar las rectificaciones o cancelaciones de los mismos que legalmente proceda cuando resulten afectados los derechos de las personas amparadas por la legislación de protección de datos de carácter personal.

   6. La vulneración del deber de guardar secreto sobre los datos de carácter personal incorporados a ficheros que contengan datos relativos a la comisión de infracciones administrativas o penales o a Hacienda pública, así como aquellos otros ficheros que contengan un conjunto de datos de carácter personal suficientes para obtener una evaluación de la personalidad del individuo.

   7. Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad.

   8. No remitir a la Agencia Vasca de Protección de Datos las comunicaciones previstas en las leyes y reglamentos, así como no proporcionar a la misma cuantos documentos e informaciones deba recibir o sean requeridos por aquélla a tales efectos.

   9. La obstrucción al ejercicio de la función inspectora.

   10. No inscribir el fichero de datos de carácter personal en el Registro de Protección de Datos, cuando haya sido requerido para ello por el director de la Agencia Vasca de Protección de Datos.

   11. Incumplir el deber de información legalmente establecido, cuando los datos hayan sido recabados de persona distinta del afectado.

4. – Son infracciones muy graves:

   1. La recogida de datos en forma engañosa y fraudulenta.

   2. La comunicación o cesión de datos de carácter personal, fuera de los casos en que estén permitidas.

   3. Recabar y tratar datos de carácter personal que revelen ideología, afiliación sindical, religión o creencias, cuando no medie consentimiento expreso del afectado.

   4. Recabar y tratar datos referidos al origen racial, a la salud o a la vida sexual, cuando no lo disponga una ley o el afectado no haya consentido expresamente.

   5. Crear ficheros con la finalidad exclusiva de almacenar datos de carácter personal que revelen la ideología, afiliación sindical, religión, creencias, origen racial o étnico o vida sexual.

   6. No cesar en el uso ilegítimo de los tratamientos de datos de carácter personal cuando sea requerido para ello por el director de la Agencia Vasca de Protección de Datos o por los titulares del derecho de acceso.

   7. Tratar los datos de carácter personal de forma ilegítima o con menosprecio de los principios y garantías que les sean de aplicación, cuando con ello se impida o se atente contra el ejercicio de los derechos fundamentales.

   8. La vulneración del deber de guardar secreto sobre los datos de carácter personal a que hace referencia la letra e) de este mismo apartado, así como los que hayan sido recabados para fines policiales sin consentimiento de las personas afectadas.

   9. No atender u obstaculizar de forma sistemática el ejercicio de los derechos de acceso, rectificación, cancelación u oposición.

   10. No atender de forma sistemática el deber legal de notificación de la inclusión de datos de carácter personal en un fichero.

5. – La tipificación de infracciones que contiene este artículo se entiende sin perjuicio de las tipificadas en la legislación estatal sobre protección de datos, en aquellos aspectos sobre los que la Comunidad Autónoma del País Vasco carece de competencia.

1. – Las infracciones leves serán sancionadas con multa de 601,01 a 60.101,21 euros.

2. – Las infracciones graves serán sancionadas con multa de 60.101,21 a 300.506,05 euros.

3. – Las infracciones muy graves serán sancionadas con multa de 300.506,05 a 601.012,1 euros.

4. – La cuantía de las sanciones se graduará atendiendo a la naturaleza de los derechos personales afectados, al volumen de los tratamientos efectuados, a los beneficios obtenidos, al grado de intencionalidad, a la reincidencia, a los daños y perjuicios causados a las personas interesadas y a terceras personas, y a cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora.

5. – Si, en razón de las circunstancias concurrentes, se apreciara una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho, el órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquélla en que se integra la considerada en el caso de que se trate.

6. – En ningún caso podrá imponerse una sanción más grave que la fijada en la ley para la clase de infracción en la que se integre la que se pretenda sancionar.

7. – El Gobierno Vasco actualizará periódicamente la cuantía de las sanciones, de acuerdo con las variaciones que experimenten los índices de precios.

1. – Cuando, instruido el correspondiente procedimiento, se llegue a la conclusión de que se ha cometido alguna o algunas de las infracciones a que se refiere el artículo anterior, en relación con los ficheros a que se refiere el artículo 2.1 de esta ley, el director de la Agencia Vasca de Protección de Datos dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados, si los hubiera, y la misma agota la vía administrativa.

2. – El director de la Agencia Vasca de Protección de Datos podrá proponer también la iniciación de actuaciones disciplinarias, si procedieran. El procedimiento y las sanciones a aplicar serán los establecidos en la legislación reguladora del régimen disciplinario de los funcionarios y personal al servicio de las administraciones públicas, instituciones y corporaciones a las que se refiere el artículo 2.1 de esta ley. A estos efectos, las infracciones tipificadas en esta ley completarán el régimen disciplinario que sea de aplicación.

3. – En el supuesto de que haya que seguir un procedimiento sancionador, se estará a lo dispuesto en la Ley 2/1998, de 20 de febrero, de la Potestad Sancionadora de las Administraciones Públicas de la Comunidad Autónoma del País Vasco.

4. – Se deberán comunicar a la Agencia Vasca de Protección de Datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los números anteriores.

5. – El director de la Agencia Vasca de Protección de Datos comunicará al Ararteko las actuaciones que efectúe y las resoluciones que dicte al amparo de los números anteriores.

En los supuestos, constitutivos de infracción muy grave, de utilización o cesión ilícita de los datos de carácter personal en que se impida gravemente o se atente de igual modo contra el ejercicio de los derechos de los ciudadanos y el libre desarrollo de la personalidad que la Constitución y las leyes garantizan, el director de la Agencia Vasca de Protección de Datos podrá requerir a los responsables de ficheros de datos de carácter personal la cesación en la utilización o cesión ilícita de los datos. Si el requerimiento fuera desatendido, podrá, mediante resolución motivada, inmovilizar tales ficheros a los solos efectos de restaurar los derechos de las personas afectadas.