Explicación del Tema 22 de Administrativo de la Seguridad Social

Marco y ámbito de aplicación

El artículo 18.4 CE ordena limitar por ley el uso de la informática para garantizar honor, intimidad y pleno ejercicio de derechos. El Reglamento (UE) 2016/679 —RGPD— establece el marco directamente aplicable para proteger a las personas físicas respecto del tratamiento y garantizar la libre circulación de datos. La Ley Orgánica 3/2018 —LOPDGDD— adapta el ordenamiento español, completa las habilitaciones europeas y regula derechos digitales.

El RGPD se aplica al tratamiento total o parcialmente automatizado y al tratamiento no automatizado de datos incluidos o destinados a incluirse en un fichero. Excluye actividades ajenas al Derecho de la Unión, actividad exclusivamente personal o doméstica y tratamientos de autoridades competentes con fines penales sometidos a su régimen específico. Territorialmente alcanza establecimientos en la Unión y determinados tratamientos de interesados situados en la Unión por responsables o encargados no establecidos cuando ofrecen bienes o servicios o controlan su comportamiento, conforme a los artículos 2 y 3.

La LOPDGDD se aplica en los términos de sus artículos 1 y 2. Su régimen general no se aplica al tratamiento de datos de personas fallecidas, pero el artículo 3 LOPDGDD permite que familiares, herederos o personas designadas soliciten acceso, rectificación o supresión, con límites derivados de la voluntad del fallecido y de la ley.

La protección se refiere a personas físicas. Los datos de una persona jurídica no quedan protegidos por el RGPD por el mero hecho de identificar a una sociedad, aunque una información empresarial puede ser también dato personal si identifica a una persona física, como sucede con el nombre profesional de un empresario individual. Tampoco quedan fuera de la norma los datos publicados o accesibles en internet: su publicidad no autoriza cualquier reutilización para una finalidad diferente.

El ámbito material depende de la existencia de un tratamiento y no del soporte utilizado. Una base de datos informática, un expediente electrónico o una grabación son ejemplos evidentes, pero también puede quedar comprendido un archivo en papel estructurado con criterios que permitan localizar información sobre personas. Por el contrario, una información verdaderamente anónima, respecto de la cual la persona ya no sea identificable por medios razonablemente utilizables, deja de ser dato personal.

Conviene separar el régimen general de otros marcos normativos. Los tratamientos realizados por autoridades competentes con fines de prevención, investigación, detección o enjuiciamiento de infracciones penales se someten a su legislación específica. Dentro del régimen general también pueden existir especialidades legales, pero una restricción de los derechos debe respetar el artículo 23 RGPD: ha de estar prevista legislativamente, preservar el contenido esencial de los derechos y ser necesaria y proporcionada para una finalidad legítima.

Conceptos y sujetos

El artículo 4 RGPD define:

• dato personal: información sobre una persona física identificada o identificable; puede identificarla un nombre, número, localización, identificador en línea o elementos de su identidad física, fisiológica, genética, psíquica, económica, cultural o social;
• tratamiento: cualquier operación o conjunto de operaciones, automatizadas o no, como recogida, registro, organización, conservación, adaptación, consulta, utilización, comunicación, difusión, cotejo, limitación, supresión o destrucción;
• interesado: la persona física a la que se refieren los datos;
• responsable: quien determina fines y medios del tratamiento;
• encargado: quien trata datos por cuenta del responsable;
• destinatario: quien recibe una comunicación de datos, con las precisiones del propio artículo;
• consentimiento: manifestación de voluntad libre, específica, informada e inequívoca mediante declaración o clara acción afirmativa;
• violación de seguridad: quebranto que ocasiona destrucción, pérdida, alteración, comunicación o acceso no autorizados;
• datos genéticos, biométricos y relativos a la salud: categorías definidas por su naturaleza y finalidad.

La diferencia entre responsable y encargado no depende del nombre del contrato. Quien decide para qué y cómo se tratan los datos es responsable; quien actúa siguiendo sus instrucciones es encargado. Una Administración puede ser responsable y contratar un servicio tecnológico como encargado, sin transferirle la decisión sobre los fines.

Dos o más entidades son corresponsables cuando determinan conjuntamente los objetivos y los medios esenciales. Deben distribuir de manera transparente sus responsabilidades, especialmente respecto de la información y el ejercicio de derechos, pero ese acuerdo interno no puede reducir la protección del interesado. El delegado de protección de datos, cuando su designación es obligatoria o voluntaria, asesora y supervisa el cumplimiento y sirve de punto de contacto; no sustituye al responsable ni asume por ello sus decisiones.

La seudonimización trata los datos de modo que no puedan atribuirse a una persona sin utilizar información adicional conservada separadamente. Reduce riesgos, pero los datos continúan siendo personales porque la reidentificación sigue siendo posible. La anonimización eficaz es diferente: rompe de manera irreversible el vínculo con la persona atendiendo a los medios razonablemente utilizables. Esta distinción explica por qué sustituir un nombre por un código no excluye por sí solo la aplicación del RGPD.

También deben distinguirse destinatario y tercero. El destinatario es quien recibe una comunicación de datos, con las precisiones del artículo 4; el tercero es quien no es el interesado, el responsable, el encargado ni las personas autorizadas para tratar los datos bajo su autoridad. Estas categorías permiten determinar si existe una comunicación legítima y qué información debe facilitarse al afectado.

Principios del tratamiento

El artículo 5.1 RGPD establece seis principios aplicables al tratamiento y su apartado 2 añade la responsabilidad proactiva del responsable:

1. Licitud, lealtad y transparencia: base jurídica válida, trato no engañoso e información comprensible. 2. Limitación de la finalidad: recogida para fines determinados, explícitos y legítimos y no uso posterior incompatible, con las especialidades de archivo público, investigación y estadística. 3. Minimización: datos adecuados, pertinentes y limitados a lo necesario. 4. Exactitud: datos correctos y actualizados; rectificación o supresión sin dilación de los inexactos. 5. Limitación del plazo de conservación: identificación solo durante el tiempo necesario, sin perjuicio de conservación compatible para archivo público, investigación o estadística con garantías. 6. Integridad y confidencialidad: seguridad adecuada frente a tratamiento ilícito, pérdida, destrucción o daño accidental. 7. Responsabilidad proactiva: el responsable debe cumplir y poder demostrar el cumplimiento.

La LOPDGDD desarrolla exactitud en su artículo 4 y consagra en el artículo 5 un deber de confidencialidad complementario al secreto profesional que persiste incluso después de terminar la relación con responsable o encargado. Los artículos 24, 25 y 32 RGPD conectan responsabilidad proactiva con medidas técnicas y organizativas, protección de datos desde el diseño y por defecto y seguridad proporcional al riesgo. El artículo 30 RGPD obliga al responsable y, cuando proceda, al encargado a mantener un registro interno de las actividades de tratamiento con el contenido legal; el artículo 31 LOPDGDD exige que los sujetos enumerados en la Ley 19/2013 hagan público su inventario, que debe ser accesible electrónicamente.

Los principios deben aplicarse conjuntamente. Un tratamiento puede tener base legal y, sin embargo, ser ilícito si se recogen datos excesivos o se conservan indefinidamente. Del mismo modo, haber informado al interesado no permite utilizar la información para una finalidad incompatible. En un procedimiento de prestaciones, por ejemplo, la Administración puede solicitar los datos necesarios para comprobar requisitos, pero no aprovecharlos para una finalidad ajena sin una nueva base jurídica y sin respetar el deber de información.

La minimización obliga a justificar cada categoría de datos, no a reunir toda la información que pudiera resultar útil. La exactitud exige adoptar medidas razonables para corregir información desactualizada, especialmente cuando puede influir en una decisión administrativa. La limitación de conservación obliga a definir plazos o criterios; no significa borrar automáticamente todo documento, pues pueden existir obligaciones de archivo, control, reclamación o conservación que justifiquen un plazo distinto.

La integridad y confidencialidad abarcan disponibilidad, autenticidad y protección frente a accesos indebidos, pérdidas o alteraciones. Las medidas no son idénticas para todos los tratamientos: se determinan atendiendo al riesgo, el estado de la técnica, los costes, la naturaleza de los datos y las consecuencias para las personas. Los datos de salud, discapacidad o situación económica pueden exigir garantías más intensas que una información ordinaria de contacto.

La protección desde el diseño exige considerar estas garantías antes de poner en funcionamiento un procedimiento, una aplicación o una base de datos. La protección por defecto impone que, sin intervención del usuario, solo se traten los datos necesarios para cada finalidad, durante el tiempo indispensable y con una accesibilidad limitada. Ambas reglas evitan que la privacidad se reduzca a una corrección posterior.

La responsabilidad proactiva transforma el cumplimiento en una obligación demostrable. El responsable debe poder acreditar la base jurídica, los deberes de información, las medidas de seguridad, la atención de derechos y, cuando proceda, el registro de actividades, la evaluación de impacto, la gestión de violaciones de seguridad o la intervención del delegado de protección de datos. No basta con afirmar que se cumple: debe existir evidencia verificable.

Bases de licitud y consentimiento

El artículo 6 RGPD permite tratar datos si concurre una de seis bases: consentimiento; ejecución de contrato o medidas precontractuales; obligación legal; protección de intereses vitales; misión de interés público o ejercicio de poderes públicos; o interés legítimo del responsable o tercero, tras ponderación. La base del interés legítimo no se aplica al tratamiento realizado por autoridades públicas en ejercicio de sus funciones.

Las seis bases son alternativas y deben identificarse antes de iniciar el tratamiento. No es correcto solicitar consentimiento “por seguridad” cuando la verdadera causa es una obligación legal, porque la persona recibiría la impresión equivocada de que puede retirar libremente la autorización y detener el tratamiento. Tampoco toda relación económica se basa necesariamente en un contrato: el fundamento depende de la finalidad concreta y de la norma que legitima la operación.

En una Administración, la base ordinaria no es necesariamente el consentimiento. Cuando la ley atribuye una competencia, impone una obligación o configura una misión de interés público, el tratamiento se sustenta en el artículo 6.1.c o e y en una norma de Derecho de la Unión o interno que delimite finalidad y garantías. El artículo 8 LOPDGDD exige que los tratamientos basados en obligación legal, interés público o poderes públicos deriven de una norma con rango de ley en los términos establecidos.

El consentimiento debe poder demostrarse, presentarse de forma distinguible y poder retirarse con la misma facilidad con que se otorgó. Retirarlo no convierte en ilícito el tratamiento anterior ni impide continuar si existe otra base válida. No es libre si la ejecución de un contrato se condiciona a datos innecesarios o existe un desequilibrio que priva de elección real, según el artículo 7 RGPD. El artículo 6 LOPDGDD precisa que el consentimiento exige una manifestación de voluntad libre, específica, informada e inequívoca y que, cuando el tratamiento persiga varias finalidades, debe constar de manera específica e inequívoca para todas ellas.

El artículo 8 RGPD permite que los Estados miembros fijen entre trece y dieciséis años la edad para consentir por sí mismos el tratamiento vinculado a una oferta directa de servicios de la sociedad de la información. En España, el artículo 7 LOPDGDD sitúa con carácter general el consentimiento autónomo del menor en los catorce años, salvo que una ley exija asistencia de los titulares de la patria potestad o tutela. Por debajo de esa edad se requiere su consentimiento, sin perjuicio de los supuestos en que el tratamiento se apoye en otra base jurídica.

Categorías especiales y datos penales

El artículo 9 RGPD prohíbe como regla el tratamiento de datos que revelen origen étnico o racial, opiniones políticas, convicciones religiosas o filosóficas, afiliación sindical, datos genéticos, datos biométricos destinados a identificar de manera unívoca, datos de salud y datos sobre vida sexual u orientación sexual. Solo procede si concurre una excepción del apartado 2: consentimiento explícito cuando sea admisible, obligaciones laborales y de protección social, intereses vitales, actividades legítimas de entidades sin ánimo de lucro, datos manifiestamente públicos, reclamaciones, interés público esencial, medicina y salud pública, o archivo, investigación y estadística, con sus garantías.

En estas categorías deben superarse dos controles. Primero ha de existir una base de licitud del artículo 6; después debe concurrir alguna excepción del artículo 9.2 que levante la prohibición. Una Administración que trate datos de salud para reconocer una prestación no queda legitimada únicamente porque actúe en interés público: necesita además la cobertura específica que permita tratar esa categoría y debe aplicar garantías adecuadas.

El artículo 9 LOPDGDD aclara que el consentimiento por sí solo no basta para levantar la prohibición cuando la finalidad principal sea identificar ideología, afiliación sindical, religión, orientación sexual, creencias u origen racial o étnico. Los datos sobre condenas e infracciones penales se tratan bajo control de autoridad pública o cuando lo autorice el Derecho aplicable con garantías, conforme al artículo 10 RGPD y al artículo 10 LOPDGDD.

Deber de información

Cuando los datos se obtienen del interesado, el artículo 13 RGPD obliga a informar de identidad y contacto del responsable y delegado, fines y base jurídica, interés legítimo si procede, destinatarios, transferencias internacionales, plazo de conservación, derechos, posibilidad de retirar consentimiento, reclamación, obligación de facilitar datos y decisiones automatizadas. Si se obtienen de otra fuente, el artículo 14 añade categorías y origen y permite excepciones tasadas, como imposibilidad o esfuerzo desproporcionado en determinados supuestos con medidas compensatorias.

El artículo 11 LOPDGDD permite ofrecer la información básica en una primera capa —responsable, finalidad y posibilidad de ejercer derechos— e indicar una dirección electrónica u otro medio para acceder al resto. La información debe ser concisa, transparente, inteligible, de fácil acceso y con lenguaje claro, especialmente si se dirige a menores.

La información del artículo 13 debe facilitarse en el momento de obtener los datos. Cuando estos no proceden del interesado, el artículo 14 exige informar dentro de un plazo razonable y, como máximo, en un mes; si antes se comunica con la persona o se revelan los datos a un destinatario, la información debe facilitarse en ese momento. Las excepciones —por ejemplo, que la persona ya disponga de la información o que una norma imponga la obtención o comunicación— deben interpretarse conforme a sus requisitos y no como una dispensa general.

La transparencia acompaña al tratamiento durante toda su vida. Si cambia sustancialmente la finalidad o la información ofrecida, el responsable debe valorar una nueva comunicación antes de continuar. La presentación por capas simplifica la primera lectura, pero no reduce el contenido obligatorio: la segunda capa debe ser accesible de forma inmediata y contener todos los extremos exigidos.

Reglas comunes de ejercicio

El artículo 12 RGPD obliga al responsable a facilitar el ejercicio y a comunicar de forma concisa, transparente, inteligible y accesible. No puede negarse a actuar salvo que demuestre que no puede identificar al interesado. Si existen dudas razonables sobre identidad, puede pedir información adicional necesaria, sin convertir esta facultad en una exigencia general desproporcionada de documentos. De acuerdo con el artículo 11 RGPD, si las finalidades del tratamiento no requieren identificar al interesado, el responsable no está obligado a obtener o conservar información adicional únicamente para identificarlo; el interesado puede facilitar datos adicionales que permitan ejercer sus derechos.

Debe informar sobre las actuaciones sin dilación indebida y, como máximo, en un mes desde la solicitud. El plazo puede ampliarse otros dos meses por complejidad o número de solicitudes, pero la ampliación y sus motivos se comunican dentro del primer mes. Si no actúa, debe informar también dentro de un mes de las razones y de la posibilidad de reclamar ante una autoridad de control y acudir a los tribunales.

El ejercicio es gratuito. Ante solicitudes manifiestamente infundadas o excesivas, especialmente repetitivas, el responsable puede cobrar un canon razonable basado en costes administrativos o negarse a actuar; le corresponde demostrar el carácter abusivo. La información se facilita por medios electrónicos de uso común cuando la solicitud se presenta electrónicamente, salvo petición distinta posible.

El artículo 12 LOPDGDD permite ejercer los derechos directamente o mediante representante legal o voluntario. El responsable debe indicar medios fácilmente accesibles y no puede rechazar una solicitud porque se use otro medio válido. Puede encomendar al encargado la atención si así se establece en el contrato. Cuando las leyes aplicables permitan conservar datos o restrinjan derechos por razones de interés público, la limitación debe tener base normativa y respetar necesidad y proporcionalidad, conforme al artículo 23 RGPD.

La prueba de haber respondido recae sobre el responsable. Esto exige conservar constancia de la solicitud, la verificación de identidad que resulte proporcionada, la decisión adoptada, la fecha y el medio de respuesta. Si actúa un representante, debe acreditarse la representación; los titulares de la patria potestad pueden ejercer los derechos en nombre de menores de catorce años conforme al artículo 12.6 LOPDGDD.

La solicitud no necesita utilizar una fórmula jurídica exacta. Si del contenido se desprende con claridad que se pretende conocer, corregir, borrar o limitar datos, el responsable debe facilitar su ejercicio y no aprovechar defectos formales subsanables para rechazarla. Cuando existan dudas razonables sobre la identidad puede solicitar información adicional, pero no deben pedirse documentos innecesarios ni recopilar más datos de los imprescindibles.

La respuesta debe ser completa y comprensible. Si se acepta, ha de ejecutar el derecho y comunicar la actuación realizada; si se deniega total o parcialmente, debe explicar los motivos y señalar la posibilidad de reclamar ante la autoridad de control y acudir a los tribunales. Una ampliación del plazo no autoriza a guardar silencio: debe comunicarse durante el primer mes y justificarse por la complejidad o el número de solicitudes.

Acceso

El artículo 15 RGPD reconoce el derecho a saber si se tratan datos y, si es así, obtener copia e información sobre fines, categorías, destinatarios, transferencias, plazo de conservación, derechos, reclamación, origen y lógica y consecuencias de decisiones automatizadas. La primera copia es gratuita; las adicionales pueden devengar un canon razonable. El derecho a obtener copia no debe perjudicar derechos y libertades de terceros.

El artículo 13 LOPDGDD considera repetitivo, salvo causa legítima, ejercer acceso más de una vez en seis meses. Si el interesado elige un medio distinto del ofrecido que implica coste desproporcionado, puede asumir el exceso, sin que ello permita negar el contenido del derecho.

Cuando el responsable trata una gran cantidad de información y la solicitud no concreta su alcance, puede pedir que se especifiquen los datos o actividades a los que se refiere. También puede atender el acceso mediante un sistema remoto, directo y seguro que permita consultar permanentemente la totalidad de los datos, aunque la persona conserva el derecho a recibir la información del artículo 15 RGPD que no aparezca en ese sistema. Acceder no significa obtener documentos indiscriminadamente: el objeto es conocer los datos personales y la información sobre su tratamiento, respetando los derechos de terceros.

Rectificación y supresión

El artículo 16 RGPD permite rectificar sin dilación datos inexactos y completar los incompletos mediante declaración adicional. El artículo 14 LOPDGDD exige indicar a qué datos se refiere y qué corrección debe realizarse, acompañando, cuando sea necesario, documentación justificativa.

El artículo 17 RGPD reconoce la supresión cuando los datos ya no son necesarios, se retira el consentimiento sin otra base, prospera la oposición, el tratamiento es ilícito, existe obligación legal de borrar o se recogieron en relación con servicios de la sociedad de la información ofrecidos a menores. Si se hicieron públicos, el responsable adopta medidas razonables para informar a otros responsables de la petición de borrar enlaces o copias.

La supresión no procede cuando el tratamiento sea necesario para libertad de expresión e información, obligación legal o misión pública, salud pública, archivo en interés público, investigación o estadística cuando borrarlos impida gravemente los fines, o formulación, ejercicio o defensa de reclamaciones. El artículo 15 LOPDGDD remite a este régimen y conserva las especialidades nacionales aplicables.

En el ordenamiento español, rectificación y supresión se conectan con el bloqueo del artículo 32 LOPDGDD. Bloquear consiste en identificar y reservar los datos mediante medidas que impidan su tratamiento, incluida su visualización, salvo para ponerlos a disposición de jueces y tribunales, Ministerio Fiscal o Administraciones competentes con el fin de exigir posibles responsabilidades. El bloqueo dura durante los correspondientes plazos de prescripción y, una vez transcurridos, procede la destrucción.

Por tanto, supresión no siempre significa borrado físico inmediato. El dato deja de utilizarse para la finalidad ordinaria, pero puede conservarse inaccesible durante el periodo necesario para responder de la licitud del tratamiento. Esta figura es diferente de la limitación solicitada por el interesado: el bloqueo es una consecuencia legal vinculada a rectificar o suprimir, mientras que la limitación es un derecho del artículo 18 RGPD con causas y efectos propios.

Limitación y comunicación a destinatarios

El artículo 18 RGPD permite limitar el tratamiento cuando se impugna la exactitud mientras se verifica; el tratamiento es ilícito y se solicita limitación en vez de supresión; el responsable ya no necesita los datos pero el interesado sí para reclamaciones; o se ha ejercido oposición mientras se comprueban motivos prevalentes. Durante la limitación, salvo conservación, solo cabe tratar con consentimiento, para reclamaciones, protección de derechos o interés público importante. Antes de levantarla se informa al interesado.

El artículo 19 exige comunicar rectificación, supresión o limitación a cada destinatario, salvo imposibilidad o esfuerzo desproporcionado, e informar al interesado de los destinatarios si lo solicita. El artículo 16 LOPDGDD completa el derecho de limitación.

Portabilidad

El artículo 20 RGPD reconoce el derecho a recibir datos facilitados al responsable en formato estructurado, de uso común y lectura mecánica y transmitirlos a otro responsable cuando el tratamiento se base en consentimiento o contrato y se efectúe por medios automatizados. Si es técnicamente posible, puede pedirse transmisión directa. No se aplica al tratamiento necesario para una misión de interés público o ejercicio de poderes públicos y no debe perjudicar derechos de terceros. No equivale a trasladar cualquier expediente administrativo. El artículo 17 LOPDGDD remite a estos requisitos.

Acceso y portabilidad pueden proporcionar información, pero su finalidad y alcance son distintos. El acceso se aplica cualquiera que sea el soporte o la base jurídica y permite controlar el tratamiento mediante copia e información contextual. La portabilidad busca facilitar la reutilización y el traslado de los datos que el interesado haya facilitado, y exige conjuntamente base contractual o consentimiento y tratamiento automatizado.

Oposición

El artículo 21 RGPD permite oponerse, por motivos relacionados con la situación particular, a tratamientos basados en misión pública, poderes públicos o interés legítimo, incluida elaboración de perfiles. El responsable debe cesar salvo que acredite motivos legítimos imperiosos prevalentes o necesidad para reclamaciones. En mercadotecnia directa, la oposición impide continuar sin ponderación adicional. También se contemplan tratamientos científicos, históricos o estadísticos con las condiciones del precepto. El artículo 18 LOPDGDD completa su ejercicio.

Decisiones individuales automatizadas

El artículo 22 RGPD reconoce el derecho a no ser objeto de una decisión basada únicamente en tratamiento automatizado, incluida elaboración de perfiles, que produzca efectos jurídicos o afecte significativamente de modo similar. Puede admitirse si es necesaria para un contrato, está autorizada por una norma con garantías o se basa en consentimiento explícito. En los supuestos contractuales o consentidos deben garantizarse, como mínimo, intervención humana, posibilidad de expresar el punto de vista e impugnar la decisión. Salvo excepciones legales y garantías adecuadas, no puede fundarse en categorías especiales.

Una herramienta que auxilia a un empleado no produce necesariamente una decisión exclusivamente automatizada; lo decisivo es si existe una intervención humana real con capacidad de valorar y cambiar el resultado. En el sector público, la autorización normativa y las garantías deben conectarse además con los órganos responsables de la actuación automatizada del artículo 41 de la Ley 40/2015.

Tutela ante la autoridad y los tribunales

El interesado puede presentar una reclamación ante una autoridad de control, especialmente en el Estado de residencia habitual, lugar de trabajo o lugar de la posible infracción, conforme al artículo 77 RGPD. La autoridad debe informar de curso y resultado y de la posibilidad de tutela judicial. Los artículos 78 y 79 reconocen recursos judiciales efectivos frente a decisiones de la autoridad y frente a responsable o encargado.

En España, la Agencia Española de Protección de Datos —AEPD— es una autoridad administrativa independiente de ámbito estatal, con personalidad jurídica y plena capacidad pública y privada, que actúa con plena independencia de los poderes públicos. Así la configura el artículo 44 LOPDGDD; los artículos 45 a 48 regulan su régimen jurídico, económico y de personal, sus funciones y potestades y su Presidencia. Este régimen completa el RGPD: su artículo 51 exige autoridades de control, el artículo 55 delimita su competencia, el 57 enumera sus funciones y el 58 sus poderes de investigación, corrección, autorización y consulta. La reclamación no sustituye la obligación inicial del responsable de contestar ni impide el ejercicio de otras acciones.

La independencia significa que la Agencia ejerce sus funciones sin instrucciones de los poderes públicos, aunque la ley establezca el departamento a través del cual se relaciona formalmente con el Gobierno. Puede investigar tratamientos, acceder a información, ordenar que se atiendan derechos, limitar o prohibir operaciones, imponer medidas correctivas y ejercer la potestad sancionadora dentro de sus competencias.

La reclamación puede plantearse, entre otros supuestos, cuando el responsable no responde en plazo, rechaza injustificadamente un derecho o realiza un tratamiento contrario a la normativa. El procedimiento ante la autoridad no transforma cualquier discrepancia administrativa en una infracción de protección de datos: debe existir una cuestión relativa al tratamiento de información personal. La tutela judicial continúa disponible frente a decisiones de la autoridad y frente a responsables o encargados.