Explicación del Tema 5 de Agentes de Hacienda Pública

Normas y principios del funcionamiento electrónico

La Ley 39/2015, de 1 de octubre, regula la identificación y firma de los interesados, la asistencia, la relación electrónica, los registros, los documentos, el archivo y las notificaciones dentro del procedimiento administrativo común. La Ley 40/2015, de 1 de octubre, establece el régimen de las sedes y portales, la identificación y firma de las Administraciones, la actuación automatizada, el archivo, el intercambio de datos y la interoperabilidad. El Real Decreto 203/2021, de 30 de marzo, desarrolla conjuntamente esas previsiones y ordena los instrumentos y servicios electrónicos.

El artículo 3.2 de la Ley 40/2015 obliga a las Administraciones a relacionarse entre sí y con sus órganos, organismos y entidades vinculados o dependientes por medios electrónicos que garanticen la interoperabilidad y seguridad de los sistemas, la protección de los datos personales y la prestación conjunta de servicios a los interesados. La actuación electrónica debe respetar todos los principios generales de la actividad administrativa: servicio efectivo, simplicidad, claridad, proximidad, participación, objetividad, transparencia, racionalización, agilidad, buena fe, responsabilidad, planificación, eficacia, economía y eficiencia, entre otros enumerados por el artículo 3.1.

El artículo 2 del Reglamento aprobado por el Real Decreto 203/2021 añade principios específicamente aplicables al medio electrónico. La neutralidad tecnológica y adaptabilidad evitan imponer una tecnología injustificadamente cerrada; la accesibilidad exige que servicios, diseños y contenidos puedan ser utilizados por todas las personas; la facilidad de uso reclama servicios centrados en sus destinatarios; la interoperabilidad permite compartir datos y documentos sin perder significado ni garantías; la proporcionalidad limita la exigencia de identificaciones, firmas o medidas técnicas a lo necesario; y la personalización y proactividad permiten ofrecer información y servicios ajustados a las circunstancias conocidas, siempre dentro de las competencias y de la normativa de protección de datos.

Estas exigencias no reducen las garantías del procedimiento. Un documento, una notificación o una resolución no son válidos por el solo hecho de haberse generado electrónicamente: deben proceder del órgano competente, incorporar el contenido y las firmas exigibles, respetar los derechos del interesado y quedar conservados de forma auténtica e íntegra. Tampoco puede trasladarse a la persona una carga técnica desproporcionada cuando la ley le reconoce asistencia o libertad de canal.

Punto de Acceso General electrónico y Carpeta Ciudadana

El Punto de Acceso General electrónico —PAGe— es el portal que facilita el acceso a los servicios, procedimientos e informaciones de las Administraciones. En el ámbito estatal, el artículo 7 del Real Decreto 203/2021 lo configura como vía de entrada a los órganos de la Administración General del Estado y a sus organismos y entidades vinculados o dependientes. No sustituye a todas las sedes, sino que las ordena y hace localizables desde un punto común.

La Carpeta Ciudadana del sector público estatal, regulada en el artículo 8, es un área personalizada accesible a través del PAGe. Permite a cada interesado o a su representante, previa identificación, consultar la información y los servicios que le afectan: estado de los procedimientos en los que tenga la condición de interesado, actos de trámite y resoluciones, comunicaciones y notificaciones, datos que obran en poder del sector público estatal y otros contenidos disponibles. El acceso a una información desde la Carpeta no altera por sí mismo los efectos jurídicos que la ley atribuye a una notificación formal.

Portal de internet y sede electrónica

El portal de internet es, conforme al artículo 39 de la Ley 40/2015, el punto de acceso electrónico cuya titularidad corresponde a una Administración, organismo público o entidad de Derecho público y que permite acceder a la información publicada y, en su caso, a la sede electrónica. Su función principal es informativa y de orientación.

La sede electrónica es la dirección electrónica disponible para la ciudadanía cuya titularidad corresponde a una Administración Pública o a uno o varios organismos públicos o entidades de Derecho público. El artículo 38 de la Ley 40/2015 exige que su establecimiento determine titularidad, responsabilidad, integridad, veracidad y actualización de la información y los servicios. Las sedes deben utilizar comunicaciones seguras y disponer de sistemas que permitan identificarlas y garantizar una conexión cifrada cuando resulte necesaria.

Los artículos 9 a 14 del Real Decreto 203/2021 distinguen las sedes electrónicas de las sedes asociadas, que pueden crearse por razones técnicas u organizativas sin perder la vinculación con la sede principal. El acto de creación debe publicarse, identificar el ámbito de aplicación, titularidad, órganos responsables, canales de acceso y medios para formular sugerencias y quejas. Entre los servicios mínimos figuran la identificación de la sede, la fecha y hora oficial, la relación de sistemas de identificación y firma admitidos, el registro electrónico, el acceso al expediente cuando proceda, la comprobación de autenticidad mediante código seguro de verificación y la información sobre protección de datos.

Interoperabilidad y seguridad

El artículo 156 de la Ley 40/2015 define el Esquema Nacional de Interoperabilidad —ENI— como el conjunto de criterios y recomendaciones sobre seguridad, conservación, normalización de la información, formatos y aplicaciones que deben tenerse en cuenta para adoptar decisiones tecnológicas interoperables. El Esquema Nacional de Seguridad —ENS— fija la política de seguridad en la utilización de medios electrónicos y los principios y requisitos mínimos que protegen la información y los servicios.

El Real Decreto 311/2022 aplica el ENS al sector público y a determinados sistemas de entidades privadas que presten servicios o aporten soluciones al sector público. Sus artículos 5 a 14 ordenan principios como seguridad integral, gestión basada en riesgos, prevención, detección, respuesta y conservación, líneas de defensa, vigilancia continua, diferenciación de responsabilidades y política de seguridad. Cuando el sistema trata datos personales, su artículo 3 exige aplicar conjuntamente el ENS y la normativa de protección de datos, atendiendo al análisis de riesgos y, cuando proceda, a la evaluación de impacto.

Identificación y firma de los interesados

El artículo 9 de la Ley 39/2015 permite a las Administraciones verificar la identidad de los interesados mediante la comprobación de su nombre y apellidos o denominación y del número de documento identificativo. Para actuar electrónicamente admite, entre otros, sistemas basados en certificados electrónicos cualificados de firma o de sello expedidos por prestadores incluidos en la lista de confianza y sistemas de clave concertada u otros que la Administración considere válidos, con las condiciones legales de registro previo y comunicación a los órganos estatales competentes.

La identificación responde a quién realiza la actuación. La firma añade la acreditación de autenticidad de la voluntad y el consentimiento y garantiza la integridad e inalterabilidad del documento firmado. Por ello, el artículo 11.1 establece que, con carácter general, basta que el interesado acredite previamente su identidad; el apartado 2 reserva la firma para formular solicitudes, presentar declaraciones responsables o comunicaciones, interponer recursos, desistir de acciones y renunciar a derechos. Fuera de esos casos no puede exigirse indiscriminadamente una firma reforzada.

El artículo 10 admite como sistemas de firma los de firma electrónica cualificada y avanzada basados en certificados cualificados, los sellos electrónicos cualificados y avanzados basados en certificados cualificados de sello y cualquier otro sistema que la Administración considere válido en los términos legales. Cuando se utiliza un sistema de firma admitido, la identidad se entiende acreditada por el propio acto de firma.

Los artículos 15 a 34 del Real Decreto 203/2021 desarrollan la política de identificación y firma, la plataforma de verificación de certificados y otros sistemas. La Administración debe publicar los sistemas admitidos y no puede imponer uno concreto cuando la ley permita alternativas. Si una firma electrónica no reúne los requisitos exigidos, la eventual subsanación debe tratarse conforme al régimen jurídico aplicable sin confundir una deficiencia técnica reparable con la inexistencia de la actuación.

El Reglamento eIDAS, en su versión consolidada de 18 de octubre de 2024, aporta el marco europeo. Su artículo 6 regula el reconocimiento transfronterizo de los medios de identificación electrónica en las condiciones previstas por el propio Reglamento. El artículo 25 impide negar efectos jurídicos y admisibilidad probatoria a una firma por ser electrónica o no cualificada, aunque solo la firma electrónica cualificada tiene efecto jurídico equivalente al de la firma manuscrita. Los artículos 26 y 27 regulan la firma avanzada y su reconocimiento en servicios públicos. Los artículos 35 a 37 establecen reglas paralelas para los sellos, con presunción de integridad de los datos y corrección del origen en el sello cualificado. Los artículos 41, 43, 44 y 45 contemplan sellos de tiempo, servicios de entrega electrónica certificada y certificados de autenticación de sitios web.

Identificación y firma de las Administraciones

El artículo 40 de la Ley 40/2015 permite que las Administraciones se identifiquen mediante un sello electrónico basado en certificado cualificado que identifique a la Administración y, en su caso, al órgano. La relación de sellos utilizados debe ser pública y accesible electrónicamente.

La actuación administrativa automatizada es cualquier acto o actuación realizado íntegramente por medios electrónicos en un procedimiento sin intervención directa de un empleado público. El artículo 41 de la Ley 40/2015 exige determinar previamente:

• el órgano u órganos responsables de definir especificaciones, programar, mantener, supervisar y controlar la calidad y, cuando proceda, auditar el sistema y su código fuente;
• el órgano que debe considerarse responsable a efectos de impugnación.

La automatización no desplaza la competencia ni crea un órgano nuevo. La resolución sigue siendo imputable a la Administración y puede impugnarse. Conforme al artículo 42, puede firmarse mediante sello electrónico de la Administración u órgano o mediante código seguro de verificación —CSV— vinculado a la Administración y que permita comprobar la integridad del documento accediendo a la sede correspondiente.

El artículo 43 regula la firma electrónica del personal al servicio de las Administraciones. La actuación puede identificar conjuntamente al titular del puesto o cargo y a la Administración u órgano; por razones de seguridad pública, la identificación puede sustituirse por un número profesional si la norma lo permite. El artículo 44 reconoce la validez del intercambio electrónico de datos en entornos cerrados de comunicación cuando se determinen participantes, garantías y condiciones. El artículo 45 exige que los sistemas de firma sean interoperables y permitan verificar los datos firmados.

Los artículos 35 y 36 del Real Decreto 203/2021 completan este régimen para la Administración General del Estado: regulan la identificación mediante sello electrónico y los sistemas de firma aplicables a las actuaciones administrativas automatizadas, de acuerdo con la previa determinación de los órganos responsables exigida por la Ley 40/2015.

Regla general y sujetos obligados

El artículo 14.1 de la Ley 39/2015 reconoce a las personas físicas el derecho a elegir en todo momento si se comunican con las Administraciones por medios electrónicos, salvo que una norma les imponga esa vía. El medio elegido puede modificarse posteriormente. Esta libertad afecta a la relación procedimental, pero no impide que la Administración utilice internamente medios electrónicos ni que determinados actos deban documentarse electrónicamente.

El artículo 14.2 obliga, como mínimo, a relacionarse electrónicamente para realizar cualquier trámite de un procedimiento administrativo a:

• las personas jurídicas;
• las entidades sin personalidad jurídica;
• quienes ejerzan una actividad profesional para la que se requiera colegiación obligatoria, respecto de los trámites que realicen en ejercicio de esa actividad; esta categoría incluye expresamente a notarios y registradores de la propiedad y mercantiles;
• quienes representen a un interesado obligado a relacionarse electrónicamente;
• los empleados públicos, para los trámites y actuaciones que realicen con la Administración por razón de su condición, en la forma que determine reglamentariamente cada Administración.

El apartado 3 permite que las Administraciones establezcan reglamentariamente la obligación para determinados procedimientos y colectivos de personas físicas cuando, por su capacidad económica o técnica, dedicación profesional u otros motivos acreditados, tengan acceso y disponibilidad de los medios electrónicos necesarios. La habilitación no permite imponerla de forma genérica sin justificar el colectivo y el procedimiento.

Los artículos 3 y 4 del Real Decreto 203/2021 desarrollan la opción y los canales. Una persona no obligada puede comunicar su decisión de relacionarse electrónicamente o dejar de hacerlo mediante el modelo o trámite disponible; el cambio produce efectos para las actuaciones posteriores en los términos reglamentarios. Los canales de asistencia pueden ser presenciales, portales y sedes, redes sociales, telefónicos, correo electrónico u otros que se establezcan, pero cada actuación solo produce los efectos que le reconozca la norma: una consulta telefónica no equivale a registrar una solicitud.

Asistencia y funcionarios habilitados

El artículo 12 de la Ley 39/2015 obliga a garantizar que los interesados puedan relacionarse por medios electrónicos y a poner a su disposición canales, sistemas y aplicaciones. Quienes no estén obligados deben recibir asistencia, especialmente para identificación y firma, presentación mediante registro electrónico general y obtención de copias auténticas.

Si una persona no obligada carece de medios de identificación o firma, un funcionario habilitado puede realizar válidamente la identificación o firma electrónica utilizando su propio sistema. Es necesario que el interesado se identifique ante el funcionario y preste consentimiento expreso, del que debe quedar constancia para los casos de discrepancia o litigio. Las Administraciones deben mantener actualizado un registro u otro sistema equivalente de funcionarios habilitados, interoperable con los de las restantes Administraciones en los términos del artículo 12.3.

El artículo 13 de la Ley 39/2015 completa el estatuto de relación: derecho a comunicarse por el PAGe, ser asistido, utilizar las lenguas oficiales, acceder a información pública, ser tratado con respeto, exigir responsabilidades, obtener y utilizar medios de identificación y firma y proteger los datos personales. Estos derechos generales no sustituyen los derechos específicos de quien ya tiene condición de interesado en un procedimiento, enumerados en el artículo 53.

Las oficinas de asistencia en materia de registros, desarrolladas por el artículo 40 del Real Decreto 203/2021, cumplen una función presencial y electrónica: digitalizan documentos, expiden copias auténticas, ayudan a presentar solicitudes e identifican o firman por los no obligados cuando concurren los requisitos. La asistencia no convierte el canal electrónico en voluntario para quien está legalmente obligado, aunque permite resolver incidencias y obtener orientación.

Incumplimiento de la obligación electrónica

Cuando un sujeto obligado presenta presencialmente una solicitud, el artículo 68.4 de la Ley 39/2015 —regla general del procedimiento conectada con el artículo 14— exige que la Administración le requiera para subsanarla mediante presentación electrónica. A estos efectos, se considera como fecha de presentación aquella en la que se haya realizado la subsanación. Esta consecuencia diferencia el incumplimiento del canal de una mera irregularidad sin efectos temporales.

La obligación de relacionarse electrónicamente no determina por sí sola que toda notificación deba practicarse de una única forma en cualquier materia. La regla general del artículo 41 y las especialidades sectoriales deben analizarse junto con la condición del interesado y el procedimiento concreto.

Registro electrónico y presentación

Cada Administración debe disponer de un Registro Electrónico General, en el que se asienta todo documento presentado o recibido por sus órganos, organismos o entidades vinculados o dependientes y también la salida de documentos oficiales. Los organismos pueden disponer de registro propio, plenamente interoperable e interconectado con el general. El artículo 16 de la Ley 39/2015 exige publicar la disposición de creación y mantener accesible la relación actualizada de trámites que pueden iniciarse.

Los documentos dirigidos a una Administración pueden presentarse en su registro electrónico o en los de los restantes sujetos del artículo 2.1; en oficinas de Correos, en la forma reglamentaria; en representaciones diplomáticas u oficinas consulares españolas en el extranjero; en oficinas de asistencia en materia de registros; y en otros lugares establecidos. Los registros deben ser interoperables para asegurar compatibilidad, interconexión y transmisión telemática de asientos y documentos.

El registro emite automáticamente un recibo, copia autenticada del documento, que indica fecha y hora de presentación y número de entrada, e incluye recibo de los documentos acompañados. No se tienen por presentados los documentos cuyo régimen especial exige otra forma o que contengan código malicioso o dispositivos incompatibles en los supuestos reglamentarios; la incidencia debe comunicarse para que pueda corregirse cuando proceda.

El artículo 31 establece las reglas temporales:

• el registro permite presentar documentos todos los días del año durante las veinticuatro horas;
• se rige, para los plazos de los interesados, por la fecha y hora oficial de la sede de acceso;
• una presentación realizada en día inhábil se entiende efectuada en la primera hora del primer día hábil siguiente, salvo que una norma permita expresamente la recepción en inhábil; los documentos presentados en el inhábil se ordenan según la hora efectiva;
• el inicio del cómputo de los plazos que deba cumplir la Administración viene determinado por la fecha y hora de presentación en su registro electrónico, y la fecha y hora efectiva de inicio deben comunicarse a quien presentó el documento;
• sede y registro deben publicar los días que se consideran inhábiles.

Estas reglas se coordinan con el cómputo general del artículo 30: cuando los plazos se señalan por días, se entienden hábiles salvo que una ley o el Derecho de la Unión dispongan que sean naturales; si son naturales, debe indicarse expresamente. La presentación electrónica en un día inhábil conserva su orden real y se considera anterior, según ese orden, a los documentos presentados durante el primer día hábil siguiente.

Los artículos 37 a 40 del Real Decreto 203/2021 desarrollan el Registro Electrónico General de la AGE, la presentación y tratamiento de documentos y las oficinas de asistencia. Cuando se presenta un documento a través de una oficina, se digitaliza y se devuelve el original, salvo que la norma determine su custodia o que el objeto no pueda digitalizarse.

Notificaciones electrónicas

Toda notificación debe contener el texto íntegro de la resolución, indicar si pone fin a la vía administrativa, expresar recursos, órgano y plazo, y cursarse dentro de los diez días desde que se dictó el acto, conforme al artículo 40 de la Ley 39/2015. El artículo 41 dispone que se practiquen preferentemente por medios electrónicos y, en todo caso, cuando el interesado esté obligado a recibirlas por esa vía. Se exceptúan, entre otras, aquellas en las que el acto deba entregarse directamente por un empleado público o contenga medios de pago a favor del obligado.

La persona puede indicar un dispositivo o correo para recibir un aviso de puesta a disposición. Ese dato no sirve por sí mismo para practicar la notificación. La falta de aviso tampoco impide que la notificación sea válida, según el artículo 41.6, aunque la Administración debe enviarlo cuando disponga del dato.

El artículo 43 considera practicada la notificación electrónica en el momento en que se accede a su contenido. Si es obligatoria o ha sido elegida expresamente y transcurren diez días naturales desde su puesta a disposición sin acceder, se entiende rechazada, salvo imposibilidad técnica o material acreditada. El rechazo hace que el trámite se tenga por efectuado y continúe el procedimiento, conforme al artículo 41.5.

El Real Decreto 203/2021, en sus artículos 41 a 45, regula las comunicaciones y la práctica mediante la Dirección Electrónica Habilitada única —DEHú— y las sedes electrónicas o sedes asociadas. La comparecencia consiste en que el interesado, debidamente identificado, accede al contenido. Si una notificación se practica por varios cauces, se toma como fecha la del primer acceso o recepción válidos.

Con independencia del medio inicialmente previsto, el artículo 41.1 de la Ley 39/2015 permite que la notificación se practique cuando el interesado o su representante comparece espontáneamente en una oficina de asistencia y solicita recibirla personalmente en ese momento. Si se realiza en papel, el artículo 42 exige ponerla también a disposición en la sede electrónica para que pueda accederse voluntariamente a ella. Cuando se desconoce al interesado o no se ha podido practicar la notificación, el artículo 44 establece el anuncio en el BOE; los artículos 45 y 46 regulan la publicación y las cautelas necesarias cuando publicar íntegramente el acto pueda lesionar derechos o intereses legítimos.

Documento y copia auténtica

El artículo 26 de la Ley 39/2015 exige que el documento administrativo electrónico contenga información archivada en soporte electrónico con un formato identificable, datos de individualización, referencia temporal, metadatos mínimos y las firmas que correspondan. Los documentos meramente informativos o que no formen parte de un expediente pueden no requerir firma, pero debe identificarse su origen.

Las copias auténticas realizadas por una Administración tienen la misma validez y eficacia que los originales, conforme al artículo 27, siempre que quede garantizada la identidad del órgano que las expide y su contenido. Pueden obtenerse mediante actuación automatizada, funcionario habilitado u órgano competente. Una copia electrónica de un documento en papel exige digitalización que garantice imagen fiel e íntegra; una copia en papel de un documento electrónico debe permitir verificar su autenticidad mediante CSV u otro sistema.

El artículo 28 reconoce el derecho a no aportar documentos que ya estén en poder de la Administración actuante o hayan sido elaborados por otra Administración. La consulta o recabado electrónico se efectúa salvo oposición cuando esta sea jurídicamente posible; no cabe oponerse si la aportación se exige en el ejercicio de potestades sancionadoras o inspectoras. La Administración puede solicitar excepcionalmente el original o un nuevo documento si no puede obtenerlo, si la copia presenta dudas o si una ley especial lo exige.

Expediente electrónico

El expediente es el conjunto ordenado de documentos y actuaciones que sirven de antecedente y fundamento a la resolución y las diligencias para ejecutarla. El artículo 70 de la Ley 39/2015, desarrollado por los artículos 51 y 52 del Real Decreto 203/2021, exige formato electrónico, índice numerado y autenticado y copia electrónica certificada de la resolución cuando se remite. El índice garantiza integridad y recuperación; no convierte en parte del expediente la información auxiliar o de apoyo, como notas, borradores o bases de datos, salvo informes solicitados antes de resolver.

El interesado tiene derecho a conocer el estado de tramitación y acceder y obtener copia de los documentos del procedimiento, conforme al artículo 53.1.a. El acceso electrónico debe respetar la protección de datos, la confidencialidad y los límites que resulten aplicables.

Archivo electrónico único y conservación

El artículo 17 de la Ley 39/2015 obliga a cada Administración a mantener un archivo electrónico único de los documentos electrónicos correspondientes a procedimientos finalizados. Deben conservarse en un formato que permita garantizar autenticidad, integridad y conservación, así como consulta con independencia del tiempo transcurrido. Los soportes deben contar con medidas de seguridad que aseguren identificación de usuarios, control de accesos, cumplimiento de las garantías de protección de datos y recuperación y conservación a largo plazo.

El archivo no es un simple repositorio. Los artículos 46 de la Ley 40/2015 y 53 a 55 del Real Decreto 203/2021 exigen conservar documentos, metadatos, firmas y trazabilidad durante el periodo establecido por la normativa de archivos y por las autoridades calificadoras. La migración a nuevos formatos o soportes debe preservar autenticidad e integridad. La eliminación solo procede de acuerdo con la normativa aplicable, no por una decisión técnica informal.

Los artículos 56 a 60 del Real Decreto 203/2021 completan las relaciones interadministrativas, adhesión a sedes y Carpeta Ciudadana e interconexión de registros. Los artículos 155 a 158 de la Ley 40/2015 regulan transmisión de datos, ENI y ENS, reutilización de sistemas y transferencia tecnológica. El intercambio debe hacerse con finalidad y competencia legítimas y respetando la normativa de protección de datos.

Gobierno abierto y sus instrumentos

El gobierno abierto describe una forma de actuación pública basada en apertura, transparencia, participación, colaboración, integridad y responsabilidad por los resultados. No constituye una única institución ni sustituye el procedimiento representativo: se materializa mediante derechos, obligaciones de publicación, consultas, acceso a información, datos abiertos, evaluación, controles y responsabilidades.

Su fundamento constitucional se relaciona con el mandato de facilitar la participación del artículo 9.2 CE, el derecho de participación del artículo 23 y el acceso de los ciudadanos a archivos y registros del artículo 105.b, con los límites que establezca la ley. El artículo 3 de la Ley 40/2015 incorpora transparencia y participación entre los principios administrativos. La Ley 19/2013 regula publicidad activa, acceso y buen gobierno; la Ley 37/2007, la reutilización de información; y la Ley 39/2015 y la Ley del Gobierno, la participación en la producción normativa.

Debe distinguirse:

• publicidad activa: la entidad publica de oficio categorías legales de información;
• derecho de acceso: una persona solicita información pública que obra en poder de un sujeto obligado;
• participación: personas y organizaciones aportan información, opiniones o propuestas a una decisión o norma;
• rendición de cuentas: los responsables explican decisiones, recursos y resultados y se someten a evaluación y control;
• reutilización: documentos públicos se emplean para fines distintos del servicio público inicial, incluso comerciales, bajo condiciones legales.

Ámbito subjetivo de la Ley 19/2013

Los artículos 2 a 4 de la Ley 19/2013 establecen distintos niveles de sujeción. El artículo 2 incluye a la Administración General del Estado, comunidades autónomas, entidades locales, entidades gestoras y servicios comunes de la Seguridad Social, organismos autónomos, agencias estatales, entidades públicas empresariales y entidades de Derecho público, corporaciones de Derecho público respecto de actividades sujetas a Derecho administrativo, órganos constitucionales y de relevancia constitucional en sus actividades administrativas, sociedades mercantiles con participación pública superior al 50 %, fundaciones del sector público y asociaciones constituidas por los sujetos comprendidos.

El artículo 3 somete a determinadas obligaciones de publicidad activa a partidos políticos, organizaciones sindicales y empresariales, y a entidades privadas que perciban durante un año ayudas o subvenciones públicas superiores a 100.000 euros, o cuando al menos el 40 % de sus ingresos anuales tengan carácter de ayuda o subvención pública y alcancen como mínimo 5.000 euros.

El artículo 4 impone a quienes presten servicios públicos o ejerzan potestades administrativas el deber de suministrar a la Administración, organismo o entidad vinculada, previo requerimiento, la información necesaria para cumplir las obligaciones legales. El deber puede alcanzar a adjudicatarios de contratos del sector público en los términos del contrato.

Publicidad activa

El artículo 5 exige publicar periódicamente y de forma actualizada la información relevante para garantizar transparencia, control y funcionamiento. Debe ser clara, estructurada, comprensible, accesible, interoperable y, preferentemente, reutilizable. La publicación debe respetar los límites del artículo 14, la protección de datos del artículo 15 y la accesibilidad universal.

Las categorías principales son:

El artículo 8.2 adapta determinadas obligaciones de partidos políticos, sindicatos, organizaciones empresariales y entidades privadas: deben publicar contratos celebrados con Administraciones, convenios suscritos con ellas y subvenciones públicas recibidas. La información de contratos debe incluir objeto, duración, importe de licitación y adjudicación, procedimiento e identidad del adjudicatario, entre otros extremos previstos.

El artículo 9 atribuye al Consejo de Transparencia y Buen Gobierno el control del cumplimiento en la Administración General del Estado, sin perjuicio de otras competencias. El artículo 10 regula el Portal de la Transparencia, dependiente del Ministerio de la Presidencia según la denominación empleada por la ley, como punto de acceso a la información estatal. El artículo 11 exige accesibilidad, interoperabilidad y reutilización.

Datos abiertos y reutilización

La Ley 37/2007 define la reutilización como el uso por personas físicas o jurídicas de documentos elaborados o custodiados por sujetos públicos para fines comerciales o no comerciales distintos del propósito inicial de servicio público. No es reutilización el intercambio de documentos entre sujetos públicos para sus propias funciones.

Los artículos 2 y 3 delimitan sujetos, documentos y exclusiones. Quedan fuera, entre otros, documentos cuyo suministro no constituya función pública, documentos sometidos a derechos de propiedad intelectual o industrial de terceros, determinados documentos de entidades culturales y educativas y aquellos cuyo acceso esté excluido o limitado. La apertura no elimina la protección de datos ni convierte en reutilizable información a la que no existe derecho de acceso.

El artículo 5 obliga a facilitar documentos en los formatos o lenguas preexistentes y, cuando sea posible y apropiado, en formato abierto, legible por máquina, accesible, fácil de localizar y reutilizable, junto con metadatos. No impone crear documentos, adaptarlos de manera desproporcionada ni mantener su producción para satisfacer a un reutilizador.

La reutilización puede hacerse sin condiciones o mediante licencias tipo, conforme al artículo 4. Las condiciones deben ser objetivas, proporcionadas, no discriminatorias y justificadas por un objetivo de interés público; pueden exigir citar la fuente, no alterar ni desnaturalizar la información y mencionar la fecha de actualización. Los artículos 3.bis y 3.ter establecen reglas específicas para los datos de investigación financiada públicamente y los conjuntos de datos de alto valor. Estos últimos deben ofrecerse en formato legible por máquina, mediante interfaces de programación adecuadas y, cuando proceda, descarga masiva; el artículo 7.9 establece su gratuidad como regla, con las excepciones legales.

Los artículos 6 a 9 regulan la gratuidad o las tarifas admisibles, la transparencia de sus condiciones, las licencias y la prohibición de acuerdos exclusivos salvo excepciones tasadas. Los artículos 10 y 10 bis regulan las solicitudes —con plazo general de resolución de veinte días, ampliable por otros veinte— y las unidades responsables. En el ámbito de la Administración General del Estado, el artículo 11 tipifica infracciones por incumplir las condiciones de reutilización y prevé multas y, para infracciones graves y muy graves, posibles consecuencias adicionales sobre la licencia y la facultad de reutilizar.

Titularidad, objeto y límites

El artículo 12 de la Ley 19/2013 reconoce a todas las personas el derecho de acceso. No se reserva a ciudadanos españoles, interesados en un procedimiento ni personas que acrediten un interés específico. El artículo 13 define información pública como los contenidos o documentos, cualquiera que sea su formato o soporte, que obren en poder de un sujeto incluido en el ámbito de la ley y hayan sido elaborados o adquiridos en el ejercicio de sus funciones.

El derecho se refiere a información existente, aunque para proporcionarla pueda ser necesario realizar un tratamiento razonable. No obliga, por regla general, a crear un informe nuevo, emitir una opinión jurídica o reelaborar de forma compleja datos dispersos. Si la información forma parte de un procedimiento en curso en el que el solicitante es interesado, se aplica prioritariamente la normativa procedimental correspondiente, de acuerdo con la disposición adicional primera.

El artículo 14 permite limitar el acceso cuando suponga un perjuicio para seguridad nacional, defensa, relaciones exteriores, seguridad pública, prevención, investigación y sanción de ilícitos, igualdad de las partes y tutela judicial, funciones administrativas de vigilancia, inspección y control, intereses económicos y comerciales, política económica y monetaria, secreto profesional y propiedad intelectual o industrial, confidencialidad en procesos de decisión o protección ambiental. No operan automáticamente: debe justificarse que el perjuicio es real y ponderarse el interés público o privado superior que pueda justificar el acceso. La aplicación debe ser proporcionada y atender al objeto y finalidad de protección; cuando el límite deje de ser relevante, puede decaer.

Protección de datos y acceso parcial

El artículo 15 coordina transparencia y protección de datos. El acceso a datos que revelen ideología, afiliación sindical, religión o creencias requiere consentimiento expreso y escrito del afectado, salvo que los hubiera hecho manifiestamente públicos. Para datos sobre origen racial, salud, vida sexual, datos genéticos o biométricos, o infracciones penales o administrativas sin amonestación pública, se exige consentimiento expreso o cobertura legal.

Cuando la información contiene datos meramente identificativos relacionados con organización, funcionamiento o actividad pública del órgano, se concede el acceso como regla general, salvo que prevalezcan la protección de datos u otros derechos. En los demás casos, debe ponderarse razonadamente el interés público en divulgar y los derechos de los afectados, atendiendo, entre otros criterios, al tiempo transcurrido, finalidad histórica, científica o estadística, condición del solicitante y posible afectación a menores o a la seguridad.

La disociación que impida identificar a las personas permite facilitar información sin aplicar esas restricciones, siempre que la anonimización sea efectiva. El artículo 16 exige conceder acceso parcial cuando un límite afecte solo a una parte, salvo que la información resultante sea distorsionada o carezca de sentido; debe advertirse qué parte se ha omitido.

Solicitud, inadmisión y tramitación

La solicitud se dirige al titular del órgano administrativo o entidad que posea la información. El artículo 17 exige identidad del solicitante, información solicitada, dirección de contacto —preferentemente electrónica— y modalidad elegida para acceder. No es obligatorio motivarla; la motivación voluntaria puede considerarse, pero su ausencia no permite rechazarla.

El artículo 18 establece causas tasadas de inadmisión mediante resolución motivada: información en curso de elaboración o publicación general; información auxiliar o de apoyo como notas, borradores, opiniones, resúmenes, comunicaciones e informes internos; necesidad de reelaboración previa; solicitud dirigida a un órgano que no posee la información y desconoce el competente; o solicitud manifiestamente repetitiva o abusiva no justificada por la finalidad de transparencia. La inadmisión no debe utilizarse para eludir una búsqueda o tratamiento ordinarios.

Si la solicitud se refiere a información que no obra en poder del destinatario, este la remite al competente si lo conoce e informa al solicitante. Cuando la información haya sido elaborada principalmente por otro órgano, se remite a este para que decida. Si la petición no identifica suficientemente la información, se concede un plazo de diez días para concretarla, con suspensión del plazo para resolver y advertencia de desistimiento. Si puede afectar a derechos o intereses de terceros identificados, se les concede quince días para alegar; se informa al solicitante de la suspensión del plazo, conforme al artículo 19.

Resolución, formalización y tutela

El artículo 20 fija un plazo máximo de un mes desde la recepción por el órgano competente. Puede ampliarse otro mes si el volumen o complejidad lo hacen necesario, previa notificación. Deben motivarse las resoluciones que denieguen, concedan parcialmente, utilicen una modalidad distinta o permitan acceso pese a oposición de un tercero. Transcurrido el plazo sin resolución, la solicitud se entiende desestimada.

El acceso se formaliza preferentemente por vía electrónica y, como regla, de forma simultánea a la resolución o dentro de los diez días siguientes. Es gratuito, sin perjuicio de tasas por copias o transposición a formatos distintos del original, conforme al artículo 22. Si existe oposición de tercero, el acceso solo se materializa cuando ha transcurrido el plazo para recurrir sin impugnación o el recurso ha sido resuelto confirmando el acceso.

En el ámbito de la Administración General del Estado, el artículo 21 atribuye a las unidades de información funciones de coordinación, recepción y tramitación de solicitudes, seguimiento de la publicidad activa, control de la información solicitada y apoyo a los órganos responsables. Estas unidades organizan la gestión de la transparencia, pero la resolución corresponde al órgano o entidad competente en cada caso.

El artículo 23 dispone que las resoluciones son recurribles directamente ante la jurisdicción contencioso-administrativa, sin perjuicio de la reclamación potestativa del artículo 24. Esta reclamación se interpone ante el Consejo de Transparencia y Buen Gobierno, con carácter potestativo y previo al recurso judicial, en el plazo de un mes desde el día siguiente a la notificación o desde que se produzcan los efectos del silencio. Si la denegación se funda en protección de derechos o intereses de terceros, se les da audiencia. El Consejo debe resolver y notificar en tres meses; el silencio es desestimatorio.

El Consejo de Transparencia y Buen Gobierno es un organismo público con personalidad jurídica propia y plena capacidad, que actúa con autonomía e independencia, conforme a los artículos 33 a 40. Promueve transparencia, controla publicidad activa, conoce reclamaciones y formula recomendaciones. En el ámbito autonómico y local, la competencia puede corresponder al órgano independiente determinado por la legislación o convenio aplicable.

Participación pública

La participación puede producirse en procedimientos concretos, elaboración normativa, planificación y evaluación de políticas. Sus efectos dependen de cada regulación: formular una observación no atribuye necesariamente la condición de interesado ni obliga a aceptar la propuesta, pero exige que el cauce sea real y que la decisión final respete motivación, transparencia y reglas procedimentales.

El artículo 133 de la Ley 39/2015 prevé una consulta pública previa antes de elaborar un proyecto o anteproyecto de ley o reglamento. Se recaba opinión sobre problemas que se pretenden solucionar, necesidad y oportunidad de la norma, objetivos y posibles alternativas regulatorias y no regulatorias. Cuando el texto ya está elaborado, la audiencia permite a personas afectadas y organizaciones representativas formular aportaciones; puede abrirse además información pública. Los trámites deben realizarse de forma que sus posibles destinatarios tengan acceso a documentos claros y puedan pronunciarse.

Puede prescindirse de consulta, audiencia e información pública en normas presupuestarias u organizativas y cuando concurran razones graves de interés público; también de consulta previa cuando la propuesta no tenga impacto económico significativo, no imponga obligaciones relevantes o regule aspectos parciales. La omisión exige apoyarse en la habilitación legal y justificarse en la memoria correspondiente, no en una fórmula genérica.

En el ámbito estatal, los artículos 25 a 28 de la Ley 50/1997 regulan el Plan Anual Normativo, el procedimiento de elaboración, la tramitación urgente y el informe anual de evaluación. El artículo 26 diferencia consulta previa y audiencia e información pública, fija la documentación e informes y exige explicar las aportaciones recibidas. El artículo 83 de la Ley 39/2015 regula la información pública en procedimientos: se anuncia en el diario oficial para que cualquier persona examine el expediente o la parte acordada y formule alegaciones durante un plazo no inferior a veinte días. Comparecer no confiere por sí mismo condición de interesado y no comparecer no impide a quien ya lo sea interponer recursos.

Rendición de cuentas

La rendición de cuentas vincula la potestad con la obligación de explicar qué se decidió, con qué fundamento, qué recursos se utilizaron y qué resultados se obtuvieron. Se concreta en publicidad de planes, presupuestos, contratos y subvenciones; indicadores y evaluaciones; motivación y acceso a expedientes; controles parlamentarios, administrativos, financieros y jurisdiccionales; y responsabilidades disciplinarias, contables, sancionadoras o penales cuando procedan.

El artículo 6.2 de la Ley 19/2013 exige publicar planes y programas anuales y plurianuales, objetivos concretos, actividades, medios y tiempo previsto y evaluar periódicamente su grado de cumplimiento y resultados mediante indicadores. Los artículos 7 y 8 permiten conocer la producción normativa y la actividad económica. Los artículos 25 y 28 de la Ley 50/1997 añaden planificación y evaluación normativa. Transparencia sin evaluación muestra datos; evaluación sin publicidad limita el control externo. La rendición de cuentas integra ambas.

Ámbito y principios de buen gobierno

El título II de la Ley 19/2013 se aplica, en el ámbito de la AGE, a miembros del Gobierno, secretarios de Estado y demás altos cargos; en el resto de entidades, a altos cargos o asimilados según la normativa aplicable. El artículo 25 delimita el ámbito y permite que las normas autonómicas identifiquen sus sujetos.

El artículo 26 distingue principios generales y de actuación. Entre los generales figuran el respeto a la Constitución y al ordenamiento, la transparencia, la eficacia, la economía y la eficiencia, la dedicación al servicio público, la imparcialidad, el trato igual y no discriminatorio, la diligencia, la conducta digna y la responsabilidad por las decisiones propias y por la actividad de los organismos dirigidos. Entre los principios de actuación se encuentran la plena dedicación y el respeto a las incompatibilidades y los conflictos de intereses, la reserva, la comunicación de irregularidades, el ejercicio de los poderes exclusivamente para su finalidad, la abstención cuando pueda resultar afectada la objetividad, el rechazo de regalos que excedan de los usos habituales, la transparencia, la adecuada conservación de los recursos públicos y la prohibición de utilizar el cargo para obtener ventajas personales o materiales.

Infracciones y sanciones

Los artículos 27 a 29 separan tres ámbitos:

• incumplimientos de las normas de conflicto de intereses;
• infracciones en materia de gestión económico-presupuestaria, como comprometer gastos o reconocer obligaciones sin crédito, omitir controles, incumplir reglas sobre pagos o causar menoscabo a fondos públicos en los supuestos tipificados;
• infracciones disciplinarias, clasificadas en muy graves, graves y leves, como incumplimiento del deber de respeto constitucional, abuso de autoridad, revelación indebida, negligencia grave, incumplimiento de incompatibilidades o incorrección, según la conducta y gravedad legalmente definidas.

El artículo 30 gradúa las sanciones según la gravedad. Las infracciones leves se sancionan con amonestación. Las graves llevan alguna de estas consecuencias: declaración del incumplimiento y publicación en el BOE o diario correspondiente, o pérdida de la indemnización por cese cuando el cargo la tuviera reconocida. A las muy graves se aplican en todo caso esas consecuencias y, además, la destitución —salvo cese previo— y la prohibición de ocupar un alto cargo o puesto asimilado durante cinco a diez años. Específicamente, la comisión de cualquiera de las infracciones económico-presupuestarias del artículo 28 conlleva restituir las cantidades indebidamente percibidas o satisfechas y, en su caso, indemnizar a la Hacienda Pública.

El artículo 31 exige que el procedimiento se inicie de oficio, identifica los órganos competentes para ordenar su incoación, instruirlo y resolverlo según el ámbito y declara recurribles sus resoluciones ante el orden contencioso-administrativo. La responsabilidad administrativa se exige sin perjuicio de la posible responsabilidad contable y de las restantes responsabilidades que procedan. El artículo 32 fija la prescripción: cinco años para infracciones muy graves, tres para graves y uno para leves; las sanciones prescriben en esos mismos plazos según su clase.

Marco y ámbito de aplicación

El artículo 18.4 CE ordena limitar por ley el uso de la informática para garantizar honor, intimidad y pleno ejercicio de derechos. El Reglamento (UE) 2016/679 —RGPD— establece el marco directamente aplicable para proteger a las personas físicas respecto del tratamiento y garantizar la libre circulación de datos. La Ley Orgánica 3/2018 —LOPDGDD— adapta el ordenamiento español, completa las habilitaciones europeas y regula derechos digitales.

El RGPD se aplica al tratamiento total o parcialmente automatizado y al tratamiento no automatizado de datos incluidos o destinados a incluirse en un fichero. Excluye actividades ajenas al Derecho de la Unión, actividad exclusivamente personal o doméstica y tratamientos de autoridades competentes con fines penales sometidos a su régimen específico. Territorialmente alcanza establecimientos en la Unión y determinados tratamientos de interesados situados en la Unión por responsables o encargados no establecidos cuando ofrecen bienes o servicios o controlan su comportamiento, conforme a los artículos 2 y 3.

La LOPDGDD se aplica en los términos de sus artículos 1 y 2. Su régimen general no se aplica al tratamiento de datos de personas fallecidas, pero el artículo 3 LOPDGDD permite que familiares, herederos o personas designadas soliciten acceso, rectificación o supresión, con límites derivados de la voluntad del fallecido y de la ley.

Conceptos y sujetos

El artículo 4 RGPD define:

• dato personal: información sobre una persona física identificada o identificable; puede identificarla un nombre, número, localización, identificador en línea o elementos de su identidad física, fisiológica, genética, psíquica, económica, cultural o social;
• tratamiento: cualquier operación o conjunto de operaciones, automatizadas o no, como recogida, registro, organización, conservación, adaptación, consulta, utilización, comunicación, difusión, cotejo, limitación, supresión o destrucción;
• interesado: la persona física a la que se refieren los datos;
• responsable: quien determina fines y medios del tratamiento;
• encargado: quien trata datos por cuenta del responsable;
• destinatario: quien recibe una comunicación de datos, con las precisiones del propio artículo;
• consentimiento: manifestación de voluntad libre, específica, informada e inequívoca mediante declaración o clara acción afirmativa;
• violación de seguridad: quebranto que ocasiona destrucción, pérdida, alteración, comunicación o acceso no autorizados;
• datos genéticos, biométricos y relativos a la salud: categorías definidas por su naturaleza y finalidad.

La diferencia entre responsable y encargado no depende del nombre del contrato. Quien decide para qué y cómo se tratan los datos es responsable; quien actúa siguiendo sus instrucciones es encargado. Una Administración puede ser responsable y contratar un servicio tecnológico como encargado, sin transferirle la decisión sobre los fines.

Principios del tratamiento

El artículo 5.1 RGPD establece seis principios aplicables al tratamiento y su apartado 2 añade la responsabilidad proactiva del responsable:

1. Licitud, lealtad y transparencia: base jurídica válida, trato no engañoso e información comprensible. 2. Limitación de la finalidad: recogida para fines determinados, explícitos y legítimos y no uso posterior incompatible, con las especialidades de archivo público, investigación y estadística. 3. Minimización: datos adecuados, pertinentes y limitados a lo necesario. 4. Exactitud: datos correctos y actualizados; rectificación o supresión sin dilación de los inexactos. 5. Limitación del plazo de conservación: identificación solo durante el tiempo necesario, sin perjuicio de conservación compatible para archivo público, investigación o estadística con garantías. 6. Integridad y confidencialidad: seguridad adecuada frente a tratamiento ilícito, pérdida, destrucción o daño accidental. 7. Responsabilidad proactiva: el responsable debe cumplir y poder demostrar el cumplimiento.

La LOPDGDD desarrolla exactitud en su artículo 4 y consagra en el artículo 5 un deber de confidencialidad complementario al secreto profesional que persiste incluso después de terminar la relación con responsable o encargado. Los artículos 24, 25 y 32 RGPD conectan responsabilidad proactiva con medidas técnicas y organizativas, protección de datos desde el diseño y por defecto y seguridad proporcional al riesgo. El artículo 30 RGPD obliga al responsable y, cuando proceda, al encargado a mantener un registro interno de las actividades de tratamiento con el contenido legal; el artículo 31 LOPDGDD exige que los sujetos enumerados en la Ley 19/2013 hagan público su inventario, que debe ser accesible electrónicamente.

Bases de licitud y consentimiento

El artículo 6 RGPD permite tratar datos si concurre una de seis bases: consentimiento; ejecución de contrato o medidas precontractuales; obligación legal; protección de intereses vitales; misión de interés público o ejercicio de poderes públicos; o interés legítimo del responsable o tercero, tras ponderación. La base del interés legítimo no se aplica al tratamiento realizado por autoridades públicas en ejercicio de sus funciones.

En una Administración, la base ordinaria no es necesariamente el consentimiento. Cuando la ley atribuye una competencia, impone una obligación o configura una misión de interés público, el tratamiento se sustenta en el artículo 6.1.c o e y en una norma de Derecho de la Unión o interno que delimite finalidad y garantías. El artículo 8 LOPDGDD exige que los tratamientos basados en obligación legal, interés público o poderes públicos deriven de una norma con rango de ley en los términos establecidos.

El consentimiento debe poder demostrarse, presentarse de forma distinguible y poder retirarse con la misma facilidad con que se otorgó. Retirarlo no convierte en ilícito el tratamiento anterior ni impide continuar si existe otra base válida. No es libre si la ejecución de un contrato se condiciona a datos innecesarios o existe un desequilibrio que priva de elección real, según el artículo 7 RGPD. El artículo 6 LOPDGDD precisa que el consentimiento exige una manifestación de voluntad libre, específica, informada e inequívoca y que, cuando el tratamiento persiga varias finalidades, debe constar de manera específica e inequívoca para todas ellas.

El artículo 8 RGPD permite que los Estados miembros fijen entre trece y dieciséis años la edad para consentir por sí mismos el tratamiento vinculado a una oferta directa de servicios de la sociedad de la información. En España, el artículo 7 LOPDGDD sitúa con carácter general el consentimiento autónomo del menor en los catorce años, salvo que una ley exija asistencia de los titulares de la patria potestad o tutela. Por debajo de esa edad se requiere su consentimiento, sin perjuicio de los supuestos en que el tratamiento se apoye en otra base jurídica.

Categorías especiales y datos penales

El artículo 9 RGPD prohíbe como regla el tratamiento de datos que revelen origen étnico o racial, opiniones políticas, convicciones religiosas o filosóficas, afiliación sindical, datos genéticos, datos biométricos destinados a identificar de manera unívoca, datos de salud y datos sobre vida sexual u orientación sexual. Solo procede si concurre una excepción del apartado 2: consentimiento explícito cuando sea admisible, obligaciones laborales y de protección social, intereses vitales, actividades legítimas de entidades sin ánimo de lucro, datos manifiestamente públicos, reclamaciones, interés público esencial, medicina y salud pública, o archivo, investigación y estadística, con sus garantías.

El artículo 9 LOPDGDD aclara que el consentimiento por sí solo no basta para levantar la prohibición cuando la finalidad principal sea identificar ideología, afiliación sindical, religión, orientación sexual, creencias u origen racial o étnico. Los datos sobre condenas e infracciones penales se tratan bajo control de autoridad pública o cuando lo autorice el Derecho aplicable con garantías, conforme al artículo 10 RGPD y al artículo 10 LOPDGDD.

Deber de información

Cuando los datos se obtienen del interesado, el artículo 13 RGPD obliga a informar de identidad y contacto del responsable y delegado, fines y base jurídica, interés legítimo si procede, destinatarios, transferencias internacionales, plazo de conservación, derechos, posibilidad de retirar consentimiento, reclamación, obligación de facilitar datos y decisiones automatizadas. Si se obtienen de otra fuente, el artículo 14 añade categorías y origen y permite excepciones tasadas, como imposibilidad o esfuerzo desproporcionado en determinados supuestos con medidas compensatorias.

El artículo 11 LOPDGDD permite ofrecer la información básica en una primera capa —responsable, finalidad y posibilidad de ejercer derechos— e indicar una dirección electrónica u otro medio para acceder al resto. La información debe ser concisa, transparente, inteligible, de fácil acceso y con lenguaje claro, especialmente si se dirige a menores.

Reglas comunes de ejercicio

El artículo 12 RGPD obliga al responsable a facilitar el ejercicio y a comunicar de forma concisa, transparente, inteligible y accesible. No puede negarse a actuar salvo que demuestre que no puede identificar al interesado. Si existen dudas razonables sobre identidad, puede pedir información adicional necesaria, sin convertir esta facultad en una exigencia general desproporcionada de documentos. De acuerdo con el artículo 11 RGPD, si las finalidades del tratamiento no requieren identificar al interesado, el responsable no está obligado a obtener o conservar información adicional únicamente para identificarlo; el interesado puede facilitar datos adicionales que permitan ejercer sus derechos.

Debe informar sobre las actuaciones sin dilación indebida y, como máximo, en un mes desde la solicitud. El plazo puede ampliarse otros dos meses por complejidad o número de solicitudes, pero la ampliación y sus motivos se comunican dentro del primer mes. Si no actúa, debe informar también dentro de un mes de las razones y de la posibilidad de reclamar ante una autoridad de control y acudir a los tribunales.

El ejercicio es gratuito. Ante solicitudes manifiestamente infundadas o excesivas, especialmente repetitivas, el responsable puede cobrar un canon razonable basado en costes administrativos o negarse a actuar; le corresponde demostrar el carácter abusivo. La información se facilita por medios electrónicos de uso común cuando la solicitud se presenta electrónicamente, salvo petición distinta posible.

El artículo 12 LOPDGDD permite ejercer los derechos directamente o mediante representante legal o voluntario. El responsable debe indicar medios fácilmente accesibles y no puede rechazar una solicitud porque se use otro medio válido. Puede encomendar al encargado la atención si así se establece en el contrato. Cuando las leyes aplicables permitan conservar datos o restrinjan derechos por razones de interés público, la limitación debe tener base normativa y respetar necesidad y proporcionalidad, conforme al artículo 23 RGPD.

Acceso

El artículo 15 RGPD reconoce el derecho a saber si se tratan datos y, si es así, obtener copia e información sobre fines, categorías, destinatarios, transferencias, plazo de conservación, derechos, reclamación, origen y lógica y consecuencias de decisiones automatizadas. La primera copia es gratuita; las adicionales pueden devengar un canon razonable. El derecho a obtener copia no debe perjudicar derechos y libertades de terceros.

El artículo 13 LOPDGDD considera repetitivo, salvo causa legítima, ejercer acceso más de una vez en seis meses. Si el interesado elige un medio distinto del ofrecido que implica coste desproporcionado, puede asumir el exceso, sin que ello permita negar el contenido del derecho.

Rectificación y supresión

El artículo 16 RGPD permite rectificar sin dilación datos inexactos y completar los incompletos mediante declaración adicional. El artículo 14 LOPDGDD exige indicar a qué datos se refiere y qué corrección debe realizarse, acompañando, cuando sea necesario, documentación justificativa.

El artículo 17 RGPD reconoce la supresión cuando los datos ya no son necesarios, se retira el consentimiento sin otra base, prospera la oposición, el tratamiento es ilícito, existe obligación legal de borrar o se recogieron en relación con servicios de la sociedad de la información ofrecidos a menores. Si se hicieron públicos, el responsable adopta medidas razonables para informar a otros responsables de la petición de borrar enlaces o copias.

La supresión no procede cuando el tratamiento sea necesario para libertad de expresión e información, obligación legal o misión pública, salud pública, archivo en interés público, investigación o estadística cuando borrarlos impida gravemente los fines, o formulación, ejercicio o defensa de reclamaciones. El artículo 15 LOPDGDD remite a este régimen y conserva las especialidades nacionales aplicables.

Limitación y comunicación a destinatarios

El artículo 18 RGPD permite limitar el tratamiento cuando se impugna la exactitud mientras se verifica; el tratamiento es ilícito y se solicita limitación en vez de supresión; el responsable ya no necesita los datos pero el interesado sí para reclamaciones; o se ha ejercido oposición mientras se comprueban motivos prevalentes. Durante la limitación, salvo conservación, solo cabe tratar con consentimiento, para reclamaciones, protección de derechos o interés público importante. Antes de levantarla se informa al interesado.

El artículo 19 exige comunicar rectificación, supresión o limitación a cada destinatario, salvo imposibilidad o esfuerzo desproporcionado, e informar al interesado de los destinatarios si lo solicita. El artículo 16 LOPDGDD completa el derecho de limitación.

Portabilidad

El artículo 20 RGPD reconoce el derecho a recibir datos facilitados al responsable en formato estructurado, de uso común y lectura mecánica y transmitirlos a otro responsable cuando el tratamiento se base en consentimiento o contrato y se efectúe por medios automatizados. Si es técnicamente posible, puede pedirse transmisión directa. No se aplica al tratamiento necesario para una misión de interés público o ejercicio de poderes públicos y no debe perjudicar derechos de terceros. No equivale a trasladar cualquier expediente administrativo. El artículo 17 LOPDGDD remite a estos requisitos.

Oposición

El artículo 21 RGPD permite oponerse, por motivos relacionados con la situación particular, a tratamientos basados en misión pública, poderes públicos o interés legítimo, incluida elaboración de perfiles. El responsable debe cesar salvo que acredite motivos legítimos imperiosos prevalentes o necesidad para reclamaciones. En mercadotecnia directa, la oposición impide continuar sin ponderación adicional. También se contemplan tratamientos científicos, históricos o estadísticos con las condiciones del precepto. El artículo 18 LOPDGDD completa su ejercicio.

Decisiones individuales automatizadas

El artículo 22 RGPD reconoce el derecho a no ser objeto de una decisión basada únicamente en tratamiento automatizado, incluida elaboración de perfiles, que produzca efectos jurídicos o afecte significativamente de modo similar. Puede admitirse si es necesaria para un contrato, está autorizada por una norma con garantías o se basa en consentimiento explícito. En los supuestos contractuales o consentidos deben garantizarse, como mínimo, intervención humana, posibilidad de expresar el punto de vista e impugnar la decisión. Salvo excepciones legales y garantías adecuadas, no puede fundarse en categorías especiales.

Una herramienta que auxilia a un empleado no produce necesariamente una decisión exclusivamente automatizada; lo decisivo es si existe una intervención humana real con capacidad de valorar y cambiar el resultado. En el sector público, la autorización normativa y las garantías deben conectarse además con los órganos responsables de la actuación automatizada del artículo 41 de la Ley 40/2015.

Tutela ante la autoridad y los tribunales

El interesado puede presentar una reclamación ante una autoridad de control, especialmente en el Estado de residencia habitual, lugar de trabajo o lugar de la posible infracción, conforme al artículo 77 RGPD. La autoridad debe informar de curso y resultado y de la posibilidad de tutela judicial. Los artículos 78 y 79 reconocen recursos judiciales efectivos frente a decisiones de la autoridad y frente a responsable o encargado.

En España, la Agencia Española de Protección de Datos —AEPD— es una autoridad administrativa independiente de ámbito estatal, con personalidad jurídica y plena capacidad pública y privada, que actúa con plena independencia de los poderes públicos. Así la configura el artículo 44 LOPDGDD; los artículos 45 a 48 regulan su régimen jurídico, económico y de personal, sus funciones y potestades y su Presidencia. Este régimen completa el RGPD: su artículo 51 exige autoridades de control, el artículo 55 delimita su competencia, el 57 enumera sus funciones y el 58 sus poderes de investigación, corrección, autorización y consulta. La reclamación no sustituye la obligación inicial del responsable de contestar ni impide el ejercicio de otras acciones.