La AVPD es actualmente la Autoridad Vasca de Protección de Datos, denominada en euskera Datuak Babesteko Euskal Agintaritza. La Ley 16/2023 sustituyó el régimen de la antigua Agencia y está en vigor desde el 5 de enero de 2024. Su competencia abarca el sector público vasco y determinados tratamientos de universidades, corporaciones, operadores privados de servicios públicos y encargados. Una empresa privada no queda excluida automáticamente.
La primera tarea para reclamar o responder a un expediente consiste en identificar el tratamiento concreto y el apartado legal que determina la competencia. Después hay que distinguir la tutela de un derecho de la investigación de una infracción. La ley vasca establece procedimientos y plazos propios: conocerlos permite interpretar las comunicaciones recibidas sin confundir una admisión a trámite con una resolución favorable. El marco de esta guía se comprobó el 28 de septiembre de 2026.
De la antigua Agencia a la autoridad de la Ley 16/2023
La Ley 16/2023, de 21 de diciembre, publicada en el BOPV el 4 de enero de 2024, reemplazó la Ley 2/2004. La referencia antigua sigue apareciendo en documentos históricos y en el nombre con el que muchas personas buscan el organismo. Sirve para entender su origen, pero no debe emplearse como descripción del régimen institucional vigente.
El artículo 3 configura a la AVPD como autoridad administrativa independiente, con personalidad jurídica propia y capacidad pública y privada. Se relaciona con el Gobierno Vasco a través del departamento que se determine, lo que no suprime su independencia al ejercer las funciones de control. El artículo 6 remite a las funciones y poderes de los artículos 57 y 58 del RGPD y a los correspondientes de la Ley Orgánica 7/2021.
Esa segunda referencia importa cuando se examinan tratamientos de autoridades competentes para prevenir o perseguir infracciones penales. No todo dato tratado por una institución pública se analiza necesariamente bajo el mismo régimen sustantivo. La finalidad y la autoridad que interviene pueden cambiar la norma aplicable. La presente guía se centra en la supervisión ordinaria de protección de datos y señala las especialidades que ayudan a seleccionar el cauce adecuado.
Quién está dentro: administraciones, universidades y operadores privados
El artículo 2 incluye a la Administración general autonómica, las administraciones forales y locales de Euskadi, sus administraciones institucionales y el sector público previsto por la ley. También enumera instituciones como el Parlamento Vasco, las juntas generales, el Tribunal Vasco de Cuentas Públicas y el Ararteko. La supervisión no depende de que un organismo se presente comercialmente como agencia, sociedad o fundación: debe comprobarse su encaje jurídico.
La norma incorpora a la UPV/EHU y a las demás universidades del Sistema Universitario Vasco, junto a sus entes dependientes. También comprende corporaciones de derecho público representativas de intereses económicos o profesionales dentro del ámbito territorial y condiciones que establece. Limitar la competencia a la universidad pública o a una lista de departamentos administrativos dejaría fuera sujetos expresamente recogidos en la ley.
Hay dos conexiones especialmente relevantes para entidades privadas. La primera afecta a personas físicas o jurídicas cuando tratan datos para ejercer funciones públicas en materias de competencia de las administraciones autonómica, forales o locales señaladas. La segunda alcanza a entidades privadas que prestan servicios públicos mediante gestión directa o indirecta, en cuanto a tratamientos cuya finalidad esté vinculada a esos servicios. Esa precisión sobre la finalidad impide extender sin examen la supervisión a cualquier otra actividad de la misma empresa.
Además, el artículo 2.2 somete a la ley a personas y entidades públicas o privadas que prestan servicios como encargados a los responsables incluidos en el apartado primero. Una empresa informática que administra por cuenta de un ayuntamiento su base de usuarios puede entrar por esta vía. No es necesario convertirla artificialmente en organismo público: basta con describir correctamente su función como encargada y el tratamiento al que se refiere el asunto.
Por ejemplo, una empresa que gestiona un servicio municipal y vende otros servicios al mercado necesita separar finalidades, responsables y contratos. La información sobre usuarios del servicio público no se analiza necesariamente igual que su propia base comercial. Nuestra explicación de responsable frente a encargado permite ordenar esa primera decisión antes de escoger autoridad o redactar una reclamación.
El reparto con la AEPD y la particularidad foral
Una empresa ordinaria de Bilbao no queda bajo la AVPD únicamente por tener allí su domicilio. Cuando su tratamiento no se encuadra en los supuestos autonómicos, corresponde examinar la competencia estatal y, si procede, las reglas europeas para tratamientos transfronterizos. La AEPD no es una instancia superior ante la que recurrir automáticamente cualquier decisión vasca: el control judicial y los recursos tienen sus propios cauces.
La distinción entre haciendas resulta especialmente útil. Un tratamiento de la Hacienda foral de Bizkaia y otro de la Agencia Estatal de Administración Tributaria corresponden a organizaciones diferentes, aunque afecten a la misma persona. La administración foral está comprendida en el ámbito vasco; la oficina de un organismo estatal no cambia de autoridad por operar en Euskadi. Comprueba quién firma la comunicación o figura como responsable del servicio utilizado.
La APDCAT catalana y el CTPDA andaluz ofrecen referencias comparativas, pero sus leyes no son intercambiables. Tampoco es exacto afirmar que todas las autoridades autonómicas supervisan exclusivamente administraciones públicas. Las competencias se delimitan mediante normas propias y se coordinan dentro del marco de la LOPDGDD y el RGPD.
Si una reclamación se presenta ante la AVPD y corresponde a otra autoridad, el artículo 33 prevé su traslado inmediato y la notificación al reclamante del traslado y archivo provisional. Eso no permite prometer que cualquier error de destinatario carezca de consecuencias sobre cualquier plazo. Guarda el justificante, comprueba la remisión y atiende las notificaciones posteriores, especialmente si tienes pendiente otra actuación administrativa o judicial.
Cómo presentar una reclamación útil
La página oficial sobre cómo reclamar indica que la presentación es gratuita y explica las vías electrónicas y los restantes registros admitidos. El acceso electrónico permite consultar expediente y notificaciones; debe utilizarse la identificación exigida por la sede. Las personas obligadas legalmente a relacionarse electrónicamente con la administración deben atender esa obligación, aunque existan alternativas para otros solicitantes.
Para reclamar por un derecho desatendido, empieza por identificar la petición realizada al responsable: acceso, rectificación, supresión u otro derecho aplicable. Adjunta la solicitud y la respuesta, o acredita que transcurrió el plazo sin contestación. El artículo 12 del RGPD fija como regla un mes desde la recepción para responder, sin dilación indebida; permite ampliar otros dos meses si es necesario por complejidad o número de solicitudes, comunicando la ampliación y sus motivos dentro del primero.
Si el responsable decide no actuar, debe informar sin demora y, como máximo, en un mes de las razones y de la posibilidad de reclamar y acudir a los tribunales. No puede convertir el silencio en una denegación informal. La guía sobre el derecho de acceso del RGPD ayuda a concretar lo que se solicita y a distinguir una respuesta incompleta de una petición que exige aclaraciones justificadas.
Cuando el problema es una posible infracción, describe la conducta y aporta indicios. Una publicación indebida puede acreditarse con su dirección, fecha y una captura pertinente; un acceso irregular puede requerir explicar qué expediente estaba afectado y por qué se conoce el acceso. Evita incluir datos ajenos que no aportan nada. La finalidad del escrito es hacer investigables los hechos, no reproducir toda la documentación que posee el reclamante.
Qué significan la admisión, la investigación y la resolución
Antes de actuar, la AVPD examina su competencia y el posible carácter transfronterizo. Una vez verificada, puede trasladar la reclamación al responsable o encargado para que aclare los hechos en un mes; si se comunicó la designación de un delegado, el traslado se realiza a través de este. Esta intervención previa puede permitir explicar o corregir el problema, pero no equivale por sí sola a una resolución del expediente.
El artículo 34 establece que la decisión de admisión o inadmisión se notificará dentro de los tres meses siguientes a la recepción de la reclamación. Si transcurre ese plazo sin notificación, la reclamación se entiende admitida desde entonces. Hay causas legales de suspensión que deben considerarse al calcularlo. La admisión abre la tramitación y determina el tipo de procedimiento; no declara que los hechos sean ciertos ni que exista una infracción.
Para la tutela de derechos, el artículo 37 fija un plazo máximo de seis meses desde la notificación del acuerdo de admisión o desde el transcurso de los tres meses sin notificación de esa decisión. Si vence el plazo para resolver, el afectado puede considerar desestimada la reclamación. No debe confundir este efecto con el de una admisión tácita favorable a la continuación del procedimiento: corresponden a momentos y decisiones diferentes.
La investigación previa de una posible infracción tiene, en el artículo 38, una duración máxima de 18 meses. Su inicio de cómputo depende del supuesto: acuerdo de admisión, cumplimiento del plazo para adoptarlo o decisión de inicio de la autoridad en los casos del artículo 36. El procedimiento sancionador posterior tiene un máximo de 12 meses desde el acuerdo de inicio para dictar resolución; transcurrido sin ella, se produce su caducidad. No son 30 meses automáticos desde cualquier primera queja.
El artículo 32 contempla suspensiones, entre otras, por actuaciones de cooperación europea y en los supuestos legales de procedimiento administrativo. El artículo 39.4 regula separadamente una vía de apercibimiento, previa audiencia, con un máximo de seis meses desde el acuerdo de inicio. Al revisar plazos, identifica el procedimiento abierto, su acto inicial y las suspensiones comunicadas. Copiar un calendario genérico de la AEPD puede ocultar esas diferencias.
Multas y régimen de las entidades públicas
La ley vasca distingue entre el artículo 27, relativo a multas y medidas correctivas para los sujetos que enumera, y el artículo 28, destinado a las administraciones, entidades e instituciones públicas vascas de su ámbito. El primero menciona, entre otros, entes de naturaleza privada del sector público, prestadores privados de servicios públicos y encargados comprendidos en la ley. Por eso no puede concluirse que toda organización supervisada por la AVPD esté protegida frente a una multa.
El artículo 28 vasco dispone expresamente que, para su régimen público, se declare la infracción y se dirija un apercibimiento, además de establecer las medidas procedentes para cesar la conducta o corregir sus efectos. Conviene atribuir esa fórmula a la norma autonómica concreta. El artículo 77 vigente de la LOPDGDD, para los sujetos allí enumerados, habla de declaración y medidas cuando procedan y excluye la multa del artículo 58.2.i del RGPD; ya no contiene la antigua fórmula estatal de sancionar con apercibimiento.
La consecuencia práctica exige comprobar qué régimen corresponde al sujeto y al expediente. La referencia a un apercibimiento en la ley vasca no autoriza a reproducir como vigente la anterior redacción estatal ni a confundirla con el procedimiento separado del artículo 39.4. Tampoco significa que una declaración de infracción sea una mera recomendación que la institución pueda ignorar.
El artículo 28 contempla posibles actuaciones disciplinarias cuando existen indicios suficientes y amonestaciones de cargos en las condiciones que establece, incluida la desatención de informes técnicos o recomendaciones. Para contextualizar la distinción pueden consultarse las guías de infracciones de la LOPDGDD y régimen de las administraciones públicas. No es correcto trasladar automáticamente el máximo económico de un caso privado a una institución pública.
Preparación del responsable: registro, delegado y brechas
Un ayuntamiento o entidad foral debe poder relacionar el requerimiento recibido con su registro de actividades de tratamiento, el servicio responsable y las medidas existentes. Esa trazabilidad permite localizar contratos, accesos, plazos de conservación y decisiones. Al contestar, distingue lo que estaba implantado cuando ocurrieron los hechos de las correcciones posteriores; presentar una mejora reciente como si siempre hubiera existido perjudica la fiabilidad de la respuesta.
El RGPD exige delegado en autoridades y organismos públicos, salvo tribunales actuando en su función judicial. Las entidades privadas deben comprobar los demás supuestos europeos y nacionales de designación obligatoria de DPO. Cuando un proyecto exige una evaluación de impacto, su realización corresponde al responsable; la consulta previa del artículo 36 se activa ante el alto riesgo que persiste sin medidas de mitigación suficientes, no por cualquier tratamiento novedoso.
Si una brecha corresponde a un tratamiento supervisado por la AVPD, debe notificarse a esta sin dilación indebida y, de ser posible, dentro de las 72 horas desde su conocimiento, salvo que sea improbable el riesgo para los derechos y libertades. Una notificación tardía debe explicar los motivos. Todas las brechas se documentan, aunque no se notifiquen; si es probable un alto riesgo, se examina además la comunicación a las personas conforme al artículo 34 y sus excepciones.
En una brecha de seguridad, restablecer la disponibilidad de una aplicación no resuelve todas las preguntas. Deben valorarse copias extraídas, alteraciones, destinatarios y consecuencias para las personas. Mantener una cronología de descubrimientos y decisiones permite completar la información conforme avanza la investigación. Esa preparación también facilita acreditar ante la AVPD que las medidas ordenadas se ejecutaron y que el problema detectado no continúa en otro servicio de la misma entidad.