LAS AUTORIDADES INDEPENDIENTES DE CONTROL DE PROTECCIÓN DE DATOS PERSONALES EN ESPAÑA. ESPECIAL REFERENCIA AL CONSEJO DE TRANSPARENCIA Y PROTECCIÓN DE DATOS DE ANDALUCÍA.

Al frente de este Área existirá un puesto de Director que asumirá la responsabilidad del ejercicio de todos los cometidos encomendados al Consejo en materia de protección de datos. El director de área actúa bajo la supervisión directa de la dirección del Consejo, al que asiste, en todas las funciones derivadas de dicho ámbito, así como en la planificación, coordinación e intermediación entre ésta y las unidades que, con rango de Gabinete, se le adscriben y de las cuales es responsable inmediato.

Del examen del conjunto de funciones y poderes, ya reseñados anteriormente, que el RGPD enumera como propios de las Autoridades de control, se infiere que su actividad en materia de protección de datos se desarrollará en dos bloques fundamentales:

Un primer bloque que se centrará en el cumplimiento del RGPD, desde el punto de vista de la responsabilidad proactiva, auténtico pilar de la nueva normativa europea. En este mismo bloque se incluye como una faceta destacada la actividad de promoción y cooperación en el ámbito de la protección de datos personales, que como todo derecho fundamental exige de los poderes públicos una actividad administrativa positiva que promueva las condiciones para que ese derecho fundamental sea real y efectivo, removiendo los obstáculos que impidan su plenitud.

El RGPD describe la responsabilidad proactiva como la necesidad de que el responsable del tratamiento aplique medidas técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme con la norma. En síntesis, este principio exige una actitud consciente, diligente y proactiva por parte de las organizaciones frente a todos los tratamientos de datos personales que lleven a cabo, exigiendo que el responsable adopte medidas preventivas dirigidas a reducir los riesgos de incumplimiento y, además, que esté en condiciones de demostrar que ha implantado esas medidas y que las mismas son las adecuadas para lograr la finalidad perseguida.

Para promover el cumplimiento de este principio, la autoridad de control tiene a su disposición una serie de mecanismos. Así, sin ánimo exhaustivo, puede citarse:

• Las actividades dirigidas a impulsar los mecanismos voluntarios de autorregulación que favorecen la efectividad del derecho fundamental a la protección de datos personales.
• La elaboración y publicación de los criterios para la acreditación de organismos de supervisión de los códigos de conducta y de los propios organismos de certificación, o la adopción de cláusulas contractuales tipo de encargado de tratamiento, o la autorización de acuerdos administrativos o normas corporativas vinculantes.
• De igual modo, facilitar el cumplimiento del RGPD por parte de responsables y encargados requiere una importante tarea de 
  • asesoramiento, en especial en los casos de consultas previas del artículo 36.
  • También se incluye en este bloque, la elaboración de una lista relativa al requisito de la evaluación de impacto ¹² en materia de protección de datos, recogida en el artículo 35.4: “la autoridad de control establecerá y publicará una lista de operaciones de tratamiento que requieran una evaluación de impacto”.
  • El adecuado cumplimento del RGPD requiere, como parece lógico, una máxima coordinación entre todos los sujetos que intervienen en el proceso, desde autoridades de control nacionales e internacionales, responsables y encargados de tratamiento, etc.
  • Con carácter general, el artículo 31 RGPD indica que el responsable y el encargado de tratamiento y, en su caso, sus representantes cooperarán con la autoridad de control que lo solicite en el desempeño de sus funciones.
  • También se integra en este conjunto de actuaciones, las derivadas de la relación con los delegados de protección de datos en su ámbito de competencia. En este sentido, la autoridad de control deberá ser informada, a través de esta área, de las designaciones de delegados de protección de datos y de todas sus variaciones ¹³.
  • Por otro lado, aunque en el mismo bloque, se incardina la actividad de promoción dirigida tanto a la ciudadanía como a responsables y encargados.

  Para el ejercicio de estas tareas, la dirección del área dispondrá de un Gabinete denominado de “Cumplimiento”, que estará auxiliado por dos Departamentos.

  Un segundo bloque de la actuación del Consejo en la materia se ocupa del ejercicio de las potestades de investigación y correctivas (por utilizar la terminología del RGPD) o sancionadoras.

  En efecto, el artículo 57.1.h) del Reglamento dispone que entre las funciones de la autoridad de control se encuentra la de “llevar a cabo las investigaciones sobre la aplicación del Reglamento, en particular basándose en información recibida de otra autoridad de control u otra autoridad pública”.

  Para facilitar el ejercicio de esta función, el artículo 58.1 del Reglamento confiere a la autoridad de control los siguientes poderes:

• Ordenar al responsable y al encargado del tratamiento y, en su caso, al representante del responsable o del encargado, que faciliten cualquier información que requiera para el desempeño de sus funciones;
• Llevar a cabo investigaciones en forma de auditorías de protección de datos;
• Llevar a cabo una revisión de las certificaciones expedidas en virtud del artículo 42, apartado 7;
• Notificar al responsable o al encargado del tratamiento las presuntas infracciones del presente Reglamento;
• Obtener del responsable y del encargado del tratamiento el acceso a todos los datos personales y a toda la información necesaria para el ejercicio de sus funciones;
• Obtener el acceso a todos los locales del responsable y del encargado del tratamiento, incluidos cualesquiera equipos y medios de tratamiento de datos, de conformidad con el Derecho procesal de la Unión o de los Estados miembros.

La autoridad de control mediante el ejercicio de esta función investiga el cumplimiento de la legislación por parte de los responsables y encargados del tratamiento, investigación que puede iniciarse bien en virtud de una reclamación presentada ante la autoridad de control, o bien de oficio o a instancia de otra autoridad.

En este área también se incluyen las auditorías preventivas de datos (artículo 58.1.b RGPD). Estas auditorías tendrán por objeto el análisis del cumplimiento de las disposiciones de Reglamento a partir de la realización de actividades de investigación sobre entidades pertenecientes al sector inspeccionado o sobre los responsables objeto de la auditoría.

Como complemento a la función de investigación, el Reglamento atribuye a las autoridades de control, las funciones sancionadoras (o poderes correctivos) que se relacionan en el artículo 58.2 RGPD, que incluyen advertencias, apercibimientos, multas administrativas, etc.

Para el ejercicio de estas tareas, la dirección del área dispondrá de un Gabinete denominado de “Investigación y Correctivo”, que estará auxiliado por dos Departamentos.