El Consejo de Transparencia y Protección de Datos de Andalucía, conocido como CTPDA, interviene en dos materias que pueden coincidir en un expediente: el acceso a información pública y la protección de datos personales. No son dos nombres para el mismo derecho. Saber qué información se solicita, quién la trata y con qué finalidad permite elegir el procedimiento adecuado y preparar una reclamación que pueda tramitarse.
Esta guía se centra en esa elección y en la respuesta de las entidades sometidas a su supervisión. La ubicación en Andalucía no basta para atribuir al Consejo cualquier problema de privacidad. Tampoco la forma privada de una entidad permite descartarlo automáticamente. Hay que examinar el responsable, el tratamiento concreto y las normas que delimitan la competencia autonómica, especialmente cuando intervienen servicios públicos gestionados por terceros.
Qué es el Consejo y cómo se garantiza su independencia
El artículo 43 de la Ley 1/2014 de Transparencia Pública de Andalucía configura el Consejo como una autoridad independiente, con personalidad jurídica propia, autonomía y plena independencia en el ejercicio de sus funciones. Su relación con la Administración de la Junta se articula a través de la consejería competente en materia de Presidencia. No debe presentarse como un departamento subordinado que recibe instrucciones sobre cómo resolver una reclamación.
Esa independencia tampoco significa que el Consejo esté adscrito al Parlamento de Andalucía. Conviene distinguir las relaciones institucionales, el nombramiento de sus órganos y el control de su actividad de una dependencia jerárquica inexistente. Para el ciudadano, la consecuencia práctica es que puede someter a supervisión actuaciones de administraciones incluidas en el ámbito competencial del Consejo, aunque la entidad reclamada forme parte de la propia Junta.
La coexistencia de transparencia y protección de datos exige ponderar derechos, no elegir siempre uno de ellos. Una administración puede tener que publicar determinada información y, al mismo tiempo, evitar que aparezcan datos innecesarios. El Consejo puede examinar problemas en ambos ámbitos, pero las solicitudes, reclamaciones y fundamentos jurídicos deben identificarse por separado. Una respuesta que sirve para transparencia puede resultar insuficiente para una solicitud de acceso a datos personales.
La competencia se analiza por entidad y por tratamiento
El artículo 57 de la LOPDGDD contempla tratamientos del sector público autonómico y local, así como los supuestos de prestación de servicios mediante gestión directa o indirecta previstos en su apartado primero. Incluye también tratamientos realizados por personas físicas o jurídicas para ejercer funciones públicas en materias autonómicas o locales y los expresamente previstos en los estatutos de autonomía. Su aplicación requiere completar ese marco con la normativa andaluza.
El artículo 82 del Estatuto de Autonomía para Andalucía atribuye competencia ejecutiva sobre datos gestionados por instituciones autonómicas, la Administración autonómica y las administraciones locales, entidades de derecho público y privado dependientes de ellas y universidades del sistema universitario andaluz. Esta enumeración ofrece una referencia concreta para identificar el ámbito. No debe sustituirse por la afirmación de que toda persona jurídica privada queda excluida, ni por una conclusión automática sobre una universidad sin comprobar su encaje legal.
Por eso, un expediente de un ayuntamiento andaluz ofrece un punto de partida diferente al de una tienda que vende por Internet. Pero en una concesión, una entidad instrumental o un servicio externalizado no conviene resolver la competencia mirando únicamente si aparece una sociedad mercantil. Hay que identificar quién decide los fines y medios del tratamiento, qué función se desarrolla y cuál es la relación jurídica con la administración.
La guía de la AEPD ayuda a situar la distribución general. Las referencias a la autoridad catalana y a la autoridad vasca sirven para comparar ámbitos autonómicos, pero sus reglas no se trasladan automáticamente a Andalucía. Tampoco conviene decidir un caso universitario, concesional o mixto a partir de una clasificación genérica de todas las entidades privadas.
Antes de presentar un escrito, reúne la denominación jurídica de la entidad, su aviso de privacidad y la relación con el servicio discutido. Si un portal lo explota un proveedor tecnológico, distingue al proveedor del responsable del expediente administrativo. Explica esas circunstancias en la reclamación. Una identificación precisa permite resolver una duda competencial sin que el ciudadano tenga que reconstruir toda la organización administrativa por su cuenta.
Acceso a información pública y acceso a tus datos
Una petición de información pública busca documentos o contenidos comprendidos en el régimen de transparencia. Una solicitud del artículo 15 del RGPD busca conocer si se tratan datos personales del solicitante y acceder a ellos, junto con la información prevista por ese artículo. Pueden referirse al mismo expediente, pero no tienen idéntico objeto, límites ni plazos. Indicar expresamente qué derecho se ejerce ayuda a evitar respuestas equivocadas.
Imagina que una persona solicita las cantidades pagadas por un ayuntamiento en determinados contratos. El cauce ordinario puede ser el acceso a información pública. Si pide conocer los datos personales que ese ayuntamiento mantiene sobre ella y sus destinatarios, la petición se sitúa en protección de datos. Si necesita consultar un expediente como parte interesada, también puede existir un régimen procedimental específico que deba examinarse antes de elegir entre esas dos vías.
La presencia de datos personales en un documento no justifica siempre denegar el acceso a todo su contenido. Deben aplicarse los límites y la ponderación que correspondan, valorar el acceso parcial y evitar una identificación innecesaria. A la inversa, que exista interés público en la transparencia no autoriza a publicar sin límite domicilios, firmas, información de salud o circunstancias familiares. La decisión debe explicar qué información se facilita y qué se protege.
Reclamar por un derecho de protección de datos no atendido
Primero debes haber ejercido el derecho ante el responsable. Conserva la solicitud y una prueba de recepción, además de cualquier respuesta. El plazo general del artículo 12 del RGPD es de un mes desde la recepción, sin dilación indebida, con posibilidad de ampliación hasta dos meses más cuando resulte necesario por la complejidad o el número de solicitudes. La ampliación y sus motivos deben comunicarse dentro del primer mes.
Si el responsable no actúa, debe informar sin dilación y, como máximo, dentro de ese mes sobre los motivos y las posibilidades de reclamar ante una autoridad y acudir a la vía judicial. No basta con remitir indefinidamente a otro departamento. Cuando la respuesta recibida sea insatisfactoria, explica qué parte del derecho sigue sin atenderse y adjunta el intercambio completo, evitando que la autoridad solo vea fragmentos aislados.
El procedimiento oficial de reclamación por protección de datos permite localizar el cauce y sus requisitos. Comprueba que el asunto pertenece al ámbito del Consejo y utiliza la modalidad correspondiente. La guía de reclamación ante la AEPD desarrolla cómo ordenar hechos y pruebas, aunque la autoridad receptora y el formulario deban adaptarse al caso andaluz.
Comunicar otra posible infracción no es ejercer un derecho
Si una administración publica un documento con información personal excesiva, la cuestión puede ser la licitud o minimización de esa publicación. No debe transformarse necesariamente en una solicitud de acceso previa. Expón qué página, documento o comunicación consideras irregular, cuándo lo advertiste y cómo te afecta. Para este tipo de reclamación no existe una obligación universal de agotar primero todos los contactos informales con la entidad.
Una captura útil muestra la dirección, fecha y contexto de la publicación. Si aportas un documento, señala dónde aparecen los datos relevantes y limita información de terceros que no sea necesaria para acreditar los hechos. No difundas públicamente el archivo como método de presión: eso puede ampliar la exposición. Conserva la evidencia de forma segura y utiliza el canal oficial para trasladarla a la autoridad.
Distingue observaciones de conclusiones. Haber recibido por error un documento ajeno permite describir esa recepción, pero no demuestra que toda una base de datos sea accesible. El Consejo puede investigar a partir de indicios sin que el reclamante tenga que efectuar una auditoría técnica. Tampoco es necesario proponer una multa concreta: lo esencial es permitir que se identifiquen los hechos, el responsable y la posible vulneración.
El cauce de transparencia tiene reglas propias
Cuando se reclama por una denegación de información pública o por falta de respuesta a esa solicitud, debe utilizarse el procedimiento de transparencia aplicable. No copies el plazo general de un mes del RGPD para describir toda petición de información pública. La ley andaluza contiene reglas específicas y algunas se refieren expresamente a la Administración de la Junta y a sus entidades, por lo que no deben extenderse sin examen a cualquier sujeto.
Para la Administración de la Junta y sus entidades instrumentales, el artículo 32 fija un máximo de veinte días hábiles desde la recepción por el órgano competente para resolver, prorrogable por igual periodo cuando el volumen o la complejidad lo requieran. No es un plazo general de respuesta de cualquier ayuntamiento ni un sustituto del artículo 12 del RGPD. Identificar el sujeto y el derecho permite calcular correctamente cuándo procede el siguiente paso.
La reclamación de transparencia tampoco es una denuncia sancionadora automática. Permite revisar el acceso solicitado en los términos legales, mientras que otras actuaciones pueden seguir cauces distintos. Aporta la petición inicial, la resolución si existe y las fechas relevantes. Si la entidad invoca protección de datos para denegar, explica por qué consideras posible facilitar la información solicitada o una versión parcial sin sacrificar derechos de terceros.
La reforma de la Ley 1/2014 publicada en el BOE el 6 de marzo de 2026 suprimió diversos preceptos de su régimen sancionador. Las referencias a su régimen sancionador deben comprobarse en el texto consolidado vigente, no en resúmenes que reproduzcan artículos suprimidos. Esa reforma no cambia por sí sola los máximos de multa del RGPD ni permite mezclar infracciones de transparencia con infracciones de protección de datos. Mantener separadas ambas materias evita atribuir a una resolución consecuencias que no tiene.
Qué debe hacer una entidad cuando recibe un requerimiento
La unidad que recibe la notificación debe registrar el expediente y trasladarlo sin demora a quienes puedan coordinar la respuesta. Conviene que intervengan el responsable operativo, los servicios jurídicos, seguridad cuando proceda y el delegado de protección de datos. El régimen de designación del DPO en España ayuda a comprobar cuándo es obligatorio y cómo organizar su intervención, sin convertirlo en sustituto de la responsabilidad de la entidad.
La respuesta debe relacionar cada cuestión con una evidencia identificable. Para una publicación, pueden ser relevantes la norma invocada, la versión publicada, la configuración de acceso y las fechas de retirada. Para una solicitud de derechos, importan su entrada, las búsquedas realizadas y las comunicaciones enviadas. Una colección de políticas generales no demuestra por sí sola lo ocurrido en el expediente concreto.
Si se detecta un error, documenta la corrección y su fecha real. No presentes una medida recién implantada como si hubiera estado vigente antes del incidente. El registro de actividades de tratamiento ayuda a localizar responsables, finalidades y destinatarios, pero debe contrastarse con el funcionamiento efectivo del servicio. La autoridad puede necesitar saber tanto qué ocurrió como qué se ha hecho para impedir que se repita.
Medidas correctoras y régimen de las entidades públicas
El artículo 77 de la LOPDGDD establece un régimen específico para las entidades que enumera. Cuando corresponde aplicarlo, la resolución declara la infracción y establece, en su caso, medidas para cesar la conducta o corregir sus efectos, junto con las demás consecuencias legalmente previstas. El artículo 77.2 excluye la multa administrativa del artículo 58.2.i RGPD, pero eso no significa que las entidades incluidas queden fuera de su control.
Tampoco debe extenderse automáticamente a toda entidad con participación pública o a cualquier contratista. Primero hay que comprobar si está incluida en la enumeración legal y en qué condición actúa. La explicación de infracciones en administraciones públicas permite entender esta diferencia. La clasificación de infracciones en la LOPDGDD es otro plano y no reemplaza el análisis del sujeto responsable.
Corregir una publicación o responder finalmente a un derecho puede ser relevante, pero no garantiza el archivo de toda actuación. La autoridad valora hechos, diligencia, efectos y marco jurídico. Del mismo modo, una declaración de infracción no concede automáticamente una indemnización al reclamante. La compensación por daños tiene presupuestos y cauces propios que deben distinguirse de las potestades supervisoras y correctoras del Consejo.
Brechas de datos y organización cotidiana
Una brecha de datos personales requiere una evaluación separada de la reclamación ciudadana. El responsable notifica a la autoridad competente sin dilación indebida y, de ser posible, dentro de las 72 horas siguientes a tener conocimiento, salvo que sea improbable que exista riesgo para los derechos y libertades. Si se excede ese plazo, debe explicar los motivos. Todas las brechas deben documentarse, incluso cuando no proceda notificarlas.
La comunicación a las personas afectadas depende del alto riesgo del artículo 34 y se realiza sin dilación indebida cuando corresponde. La guía sobre notificación de brechas explica esas decisiones, pero una entidad sometida al Consejo debe comprobar su canal autonómico competente: no puede utilizar indistintamente una reclamación personal y una notificación del responsable. La identificación del destinatario forma parte de la preparación del procedimiento interno.
Para mantener evidencia útil, una entidad necesita relacionar solicitudes, incidentes, publicaciones y tareas correctoras con sus responsables y fechas. La comparación de herramientas para gestionar el cumplimiento puede orientar la selección de apoyo documental sin sustituir decisiones jurídicas. Los derechos digitales de la LOPDGDD, por ejemplo en el empleo, amplían el contexto organizativo, pero no reemplazan los derechos de los artículos 15 a 22 del RGPD.
Preguntas frecuentes
¿El Consejo controla a cualquier empresa que tenga sede en Andalucía?
No. Debe existir un tratamiento comprendido en su ámbito competencial. El domicilio por sí solo no decide la cuestión y la forma jurídica privada tampoco resuelve todos los supuestos. Identifica al responsable, la función realizada y el vínculo con el servicio público, cuando exista. En actividades privadas ordinarias ajenas a ese ámbito, la referencia será normalmente la AEPD, sin perjuicio de las reglas europeas de competencia.
¿Puedo pedir al Consejo que me facilite directamente mis datos?
El ejercicio inicial del derecho se dirige al responsable que trata los datos. Si no responde en plazo o la respuesta resulta insatisfactoria, puedes reclamar ante la autoridad competente aportando la solicitud y las pruebas correspondientes. Una petición de información pública tiene otro objeto y otro procedimiento. Explicar qué deseas obtener evita que el escrito se tramite bajo un régimen que no responde a tu necesidad.
¿Una resolución sin multa significa que no hay que hacer nada más?
No. Una resolución puede exigir medidas concretas y su acreditación, además de declarar una infracción. Lee su parte dispositiva, identifica quién ejecutará cada actuación y conserva la evidencia de cumplimiento. Las entidades sujetas al régimen del artículo 77 no quedan dispensadas de corregir sus tratamientos. El seguimiento debe comprobar que el cambio funciona, no solo que se ha aprobado un documento interno.
Marco europeo: Reglamento General de Protección de Datos, texto oficial.