La APDCAT, Autoritat Catalana de Protecció de Dades, es una autoridad independiente de protección de datos. Supervisa a las instituciones y administraciones catalanas comprendidas en su ámbito, pero también a determinadas entidades privadas. Una universidad privada del sistema universitario catalán, una concesionaria de servicios públicos o un proveedor que trata datos por encargo de una entidad supervisada pueden entrar en su competencia. La sede en Barcelona, por sí sola, no resuelve la cuestión.
Para dirigirse a la autoridad adecuada hay que identificar al responsable, la finalidad del tratamiento y su conexión con el artículo 3 de la Ley 32/2010. Después se elige el trámite: reclamar por un derecho desatendido, denunciar un posible incumplimiento, comunicar una brecha o solicitar una consulta previa son actuaciones diferentes. Esta guía desarrolla ese recorrido con el marco comprobado el 28 de septiembre de 2026.
Qué es la APDCAT y cómo se garantiza su independencia
La Ley 32/2010, de 1 de octubre, regula la Autoridad Catalana de Protección de Datos. Su antecedente fue la Agencia creada por la Ley 5/2002; por tanto, 2010 corresponde a la reorganización y denominación de la autoridad, no al comienzo de toda supervisión autonómica. El artículo 51 del RGPD permite que un Estado disponga de varias autoridades de control y exige que cooperen dentro del sistema europeo.
Según el artículo 2 de la ley catalana, la APDCAT tiene personalidad jurídica propia y autonomía orgánica y funcional. Actúa con independencia de las administraciones que controla, aunque se relaciona con el Gobierno mediante el departamento determinado reglamentariamente. Esa relación institucional no equivale a recibir instrucciones sobre cómo resolver un expediente. Tampoco convierte a la autoridad en un servicio interno de la Generalitat para atender sus propias reclamaciones.
La dirección es designada por el Parlament conforme al artículo 7: se exige una mayoría de tres quintos en primera votación y, si no se alcanza, mayoría absoluta en la segunda votación prevista por la norma. El mandato dura cinco años y puede renovarse una vez. Para quien presenta una reclamación, lo relevante es que la decisión procede de un órgano de supervisión independiente, no del organismo cuyo tratamiento está cuestionando.
El ámbito incluye entidades privadas en supuestos concretos
El ámbito competencial publicado por la APDCAT, actualizado el 28 de noviembre de 2025, reproduce los grupos del artículo 3 y aclara su alcance sobre encargados del tratamiento. No conviene reducir esa enumeración a una oposición entre empresa privada y administración. Hay criterios de pertenencia institucional, financiación, control y finalidad de la actividad.
Quedan comprendidas las instituciones públicas catalanas, la Administración de la Generalitat, los entes locales y las entidades públicas vinculadas o dependientes. Un ayuntamiento catalán que gestiona su padrón o una diputación que tramita una ayuda tienen un punto de partida claro. En cambio, una oficina de la Administración General del Estado situada en Cataluña no pasa a depender de la APDCAT por su dirección postal.
También entran las entidades privadas que cumplen al menos uno de los criterios legales de vinculación con la Generalitat, los entes locales o sus entidades: capital mayoritariamente público, ingresos presupuestarios mayoritariamente procedentes de esos entes, o mayoría de miembros designados por ellos en los órganos directivos. Deben comprobarse los datos de la entidad; una subvención aislada no demuestra por sí sola ninguno de esos requisitos.
La ley incluye expresamente a las universidades públicas y privadas del sistema universitario catalán y sus entes dependientes. Asimismo, comprende a las corporaciones de derecho público que cumplen sus funciones exclusivamente en Cataluña en los términos legales. Por eso, descartar automáticamente a una universidad por su naturaleza privada conduce a una selección incorrecta de autoridad. La denominación comercial del centro tampoco sustituye la comprobación de su pertenencia al sistema universitario.
Para las restantes entidades privadas que prestan servicios públicos, el alcance se vincula a los tratamientos destinados a prestar esos servicios. Existe además un supuesto para personas físicas o jurídicas que ejercen funciones públicas en materias de competencia de la Generalitat o de los entes locales, cuando concurren las condiciones territoriales y materiales del artículo 3. Una organización puede necesitar analizar separadamente actividades distintas; su contrato público no traslada necesariamente todo su negocio a la autoridad autonómica.
Por ejemplo, una empresa que gestiona un servicio municipal puede tratar datos de usuarios de ese servicio y, por separado, datos de clientes de una actividad comercial propia. El análisis debe distinguir ambas finalidades. Si un proveedor únicamente actúa por cuenta de un ayuntamiento, habrá que identificar el encargo y las instrucciones: la APDCAT señala que su ámbito comprende también esos tratamientos realizados por terceros. La distinción entre responsable y encargado del tratamiento ayuda a describir correctamente el caso.
Cómo decidir entre APDCAT y AEPD
Empieza por la información de privacidad del servicio y contrástala con su realidad jurídica. Identifica quién decide para qué se usan los datos, quién opera la plataforma y si existe un vínculo de los enumerados en la ley. Conserva el aviso de privacidad, el contrato o la comunicación que permita explicar esa relación. No basta con señalar el nombre de la aplicación: puede pertenecer a un proveedor distinto del responsable.
Una tienda privada que gestiona sus propias ventas en Girona y no encaja en los supuestos autonómicos estará, como regla, bajo la autoridad estatal, sin perjuicio de los mecanismos europeos aplicables a tratamientos transfronterizos. Para entender sus funciones puede consultarse la guía de la AEPD. Un servicio prestado conjuntamente por varias entidades exige estudiar sus funciones respectivas, no escoger autoridad según cuál tenga una oficina más cercana.
Si persiste una duda, describe los hechos y el vínculo institucional al consultar el canal oficial. Conserva la presentación y cualquier comunicación sobre traslado a otra autoridad. No des por supuesto que un envío al destinatario equivocado garantiza todos los efectos procesales o suspende otros plazos. La cooperación entre autoridades facilita el reparto, pero el interesado sigue necesitando controlar las notificaciones de su expediente.
La Autoridad Vasca de Protección de Datos y el Consejo andaluz de Transparencia y Protección de Datos tienen sus propias normas de competencia. Sus ámbitos no son idénticos al catalán. Compararlos sirve para localizar la norma pertinente, no para trasladar sin comprobación la respuesta que habría recibido una entidad de otra comunidad autónoma.
Elegir el trámite adecuado y preparar la documentación
Una reclamación de tutela se refiere a un derecho previamente ejercido ante el responsable. Si una persona solicita acceder a sus datos y no obtiene respuesta o considera insuficiente la recibida, debe conservar la solicitud, la acreditación de entrega y la contestación. En el trámite oficial de tutela de derechos se explica el procedimiento y el traslado de asuntos ajenos a su competencia. Conviene utilizar el formulario y canal vigentes al presentar el escrito.
El artículo 12 del RGPD establece, con carácter general, respuesta sin dilación indebida y dentro del mes siguiente a la recepción de la solicitud. Cabe una ampliación de otros dos meses cuando sea necesaria por complejidad o número de solicitudes, informando dentro del primer mes de la ampliación y sus motivos. Si el responsable no actúa, debe comunicar sin demora y como máximo en un mes sus razones, la posibilidad de reclamar y la de acudir a los tribunales. Nuestra guía sobre el derecho de acceso desarrolla el contenido de la respuesta.
Una denuncia por un tratamiento presuntamente ilícito responde a otro problema: por ejemplo, publicación de documentos con datos innecesarios o accesos indebidos a un expediente. Debe indicar qué ocurrió, cuándo, quién intervino y qué pruebas existen. No hace falta convertir cada denuncia en una solicitud de acceso previa. Tampoco conviene adjuntar indiscriminadamente expedientes completos de otras personas; selecciona lo que acredita los hechos y explica dónde puede obtenerse el resto.
Imaginemos que un ayuntamiento publica una relación de ayudas con información social excesiva. La persona afectada puede guardar la dirección de la página, la fecha y una captura pertinente, pedir al responsable que limite la exposición y presentar la reclamación correspondiente. Solicitar esa corrección urgente no exige esperar a que concluya toda la investigación. A la vez, reclamar ante la autoridad no equivale a obtener automáticamente una indemnización: la reparación de daños tiene sus propios requisitos y vías.
Qué puede ordenar la autoridad y cuándo hay multa
Dentro de su competencia, la APDCAT investiga reclamaciones, inspecciona, asesora y ejerce los poderes del artículo 58 del RGPD. Puede requerir información, ordenar que se atienda un derecho o que un tratamiento se adecue a la normativa, limitarlo e imponer otras medidas previstas legalmente. La publicación de una guía ayuda a interpretar obligaciones; una resolución que impone una medida concreta exige atender lo que ordena y su plazo.
La naturaleza del sujeto es decisiva para el régimen sancionador. El artículo 77 vigente de la LOPDGDD establece, para los responsables y encargados enumerados en su apartado primero, una resolución que declara la infracción y, cuando corresponde, fija medidas para corregirla. Excluye la multa administrativa del artículo 58.2.i del RGPD. No debe describirse automáticamente esa declaración como un apercibimiento obligatorio conforme a la antigua redacción estatal.
La ausencia de multa no elimina las consecuencias: deben ejecutarse las medidas y pueden proponerse actuaciones disciplinarias cuando concurran los presupuestos legales. Las particularidades se explican también en el artículo sobre administraciones públicas y protección de datos. Para los sujetos que no se benefician del régimen especial, las multas deben examinarse conforme al RGPD y a la legislación aplicable. Estar dentro de la competencia autonómica no equivale a estar exento.
Al leer una resolución, separa hechos probados, norma infringida y parte dispositiva. Una calificación del catálogo de infracciones de la LOPDGDD no permite anticipar por sí sola un importe. Comprueba también si el documento inicia un procedimiento, propone una sanción o lo resuelve, y si existen recursos posteriores. Las decisiones publicadas sobre otros responsables orientan, pero no sustituyen la evaluación de tu tratamiento.
Qué debe tener preparado una entidad supervisada
Un responsable necesita conocer sus tratamientos y acreditar las decisiones adoptadas. El registro de actividades permite relacionar finalidades, categorías de datos, destinatarios, plazos y medidas. En una administración, resulta útil vincular cada actividad con el área que la gestiona y con los sistemas utilizados, para localizar rápidamente al interlocutor cuando llega un requerimiento. El registro debe reflejar la práctica, no limitarse a un listado histórico de aplicaciones.
Las autoridades y organismos públicos deben designar delegado de protección de datos conforme al artículo 37.1.a del RGPD, con la excepción de los tribunales que actúan en ejercicio de su función judicial. Las entidades privadas deben comprobar los demás supuestos europeos y nacionales, desarrollados en nuestra guía sobre DPO obligatorio en España. El delegado asesora y supervisa; su designación no traslada a esa persona la responsabilidad de todas las decisiones del organismo.
Una evaluación de impacto se realiza antes de tratamientos que probablemente entrañen un alto riesgo. La consulta previa del artículo 36 responde a una condición más concreta: que la evaluación muestre un alto riesgo residual que el responsable no pueda mitigar suficientemente con las medidas previstas. No se consulta automáticamente cualquier proyecto digital ni se pide a la APDCAT que autorice todas las evaluaciones. Conviene presentar el análisis, las medidas previstas y el riesgo que persiste, en lugar de una descripción comercial de la herramienta.
En proyectos de transparencia, publicar información pública exige valorar los datos personales afectados y las reglas de acceso pertinentes. El acceso a los propios datos del artículo 15 del RGPD tampoco se confunde con una petición general de información pública. Precisar qué información se solicita y con qué derecho evita enviar la misma petición a procedimientos incompatibles. La colaboración con el delegado debe empezar al diseñar la publicación o el servicio, cuando todavía puede reducirse la exposición.
Brechas: destinatario correcto y evaluación del riesgo
Cuando el tratamiento está bajo su competencia, la notificación de una violación de seguridad de datos personales se dirige a la APDCAT. Conforme al artículo 33 del RGPD, debe hacerse sin dilación indebida y, de ser posible, dentro de las 72 horas desde que se tiene constancia, salvo que sea improbable que exista un riesgo para los derechos y libertades. Si se presenta después, deben explicarse los motivos del retraso. La duda sobre el alcance completo no justifica esperar a tener una investigación perfecta.
La información puede completarse por fases cuando no sea posible facilitarla de una vez. Todas las brechas deben documentarse, incluidas aquellas que no se notifican por resultar improbable el riesgo. Si es probable un alto riesgo para las personas, debe valorarse la comunicación a los afectados sin dilación indebida conforme al artículo 34 y sus excepciones. La guía sobre brechas de seguridad desarrolla esa distinción entre documentación, notificación y comunicación individual.
Por ejemplo, un acceso no autorizado a expedientes sociales requiere identificar datos expuestos, destinatarios, tiempo de exposición y posibles consecuencias. Recuperar el sistema no demuestra que nadie copiara los documentos. La entidad debe conservar los indicios, explicar las incertidumbres y revisar su evaluación cuando obtiene información nueva. El canal de notificación de brechas del responsable tampoco es la vía para que un ciudadano denuncie lo sucedido: cada actuación tiene un propósito y una documentación propios.