Tema 25 del temario de Gestión Administrativa de la Junta de Andalucía 2026

Artículo 9. Sistemas de identificación de los interesados en el procedimiento

Las Administraciones están obligadas a verificar la identidad de los interesados comprobando su nombre y apellidos o razón social según consten en el DNI o documento equivalente. Los interesados pueden identificarse electrónicamente mediante sistemas basados en certificados electrónicos cualificados de firma electrónica, en certificados cualificados de sello electrónico, o mediante cualquier otro sistema que las Administraciones consideren válido, siempre que exista registro previo del usuario que garantice su identidad y previa comunicación al órgano estatal competente en administración digital.

Artículo 10. Sistemas de firma admitidos por las Administraciones Públicas

Los interesados pueden firmar por cualquier medio que permita acreditar la autenticidad de la expresión de su voluntad y consentimiento y la integridad e inalterabilidad del documento. Si optan por relacionarse electrónicamente, son válidos a efectos de firma los sistemas de firma electrónica cualificada y avanzada basados en certificados cualificados de firma, los de sello electrónico cualificado y avanzado basados en certificados cualificados de sello, y cualquier otro sistema que las Administraciones consideren válido con registro previo del usuario y previa comunicación al órgano estatal competente.

Artículo 11. Uso de medios de identificación y firma en el procedimiento administrativo

Con carácter general, para cualquier actuación del procedimiento basta con que el interesado acredite previamente su identidad. Las Administraciones solo pueden exigir el uso de firma para cinco actuaciones: formular solicitudes, presentar declaraciones responsables o comunicaciones, interponer recursos, desistir de acciones y renunciar a derechos.

Artículo 12. Asistencia en el uso de medios electrónicos a los interesados

Las Administraciones deben garantizar que los interesados puedan relacionarse electrónicamente, poniendo a su disposición los canales, sistemas y aplicaciones necesarios. Deben asistir en el uso de medios electrónicos a los interesados no obligados a relacionarse por esa vía que lo soliciten, especialmente en identificación y firma electrónica, presentación de solicitudes en el registro electrónico general y obtención de copias auténticas. Si alguno de ellos no dispone de los medios necesarios, su identificación o firma puede realizarla válidamente un funcionario público habilitado, previa identificación del interesado y su consentimiento expreso, del que debe quedar constancia.

Artículo 13. Derechos de las personas en sus relaciones con las Administraciones Públicas

Quienes tienen capacidad de obrar conforme al artículo 3 son titulares, en sus relaciones con las Administraciones, de un catálogo de derechos: comunicarse a través de un Punto de Acceso General electrónico; ser asistidos en el uso de medios electrónicos; utilizar las lenguas oficiales de su Comunidad Autónoma; acceder a la información pública, archivos y registros conforme a la Ley 19/2013; ser tratados con respeto y deferencia por autoridades y empleados públicos, que han de facilitarles el ejercicio de sus derechos; exigir responsabilidades a las Administraciones y autoridades; obtener y utilizar los medios de identificación y firma de esta ley; a la protección de datos; y cualesquiera otros que reconozcan la Constitución y las leyes.

Artículo 14. Derecho y obligación de relacionarse electrónicamente con las Administraciones Públicas

Estarán obligadas a relacionarse a través de medios electrónicos con las Administraciones: las personas jurídicas, las entidades sin personalidad jurídica, quienes ejerzan una actividad profesional que requiera colegiación obligatoria, y los empleados públicos para los trámites propios de su condición. Las personas físicas podrán elegir en todo momento si se comunican electrónicamente o no.

Artículo 16. Registros

Cada Administración dispondrá de un Registro Electrónico General en el que se asiente todo documento presentado o recibido en cualquier órgano, organismo o entidad vinculada, pudiendo anotarse también la salida de documentos oficiales. Los organismos vinculados pueden tener su propio registro, interoperable e interconectado con el general, que funciona como portal de acceso a todos ellos. Las disposiciones de creación de los registros se publican en el diario oficial. Los documentos pueden presentarse en el registro electrónico de la Administración a la que se dirijan o de cualquier otro sujeto del artículo 2.1, en las oficinas de Correos, en las representaciones diplomáticas u oficinas consulares de España en el extranjero, en las oficinas de asistencia en materia de registros y en cualquier otro lugar que establezcan las disposiciones vigentes. Lo presentado presencialmente deberá ser digitalizado por la oficina de asistencia en materia de registros para incorporarlo al expediente electrónico, devolviéndose los originales al interesado.

Artículo 17. Archivo de documentos

Cada Administración deberá mantener un archivo electrónico único de los documentos electrónicos correspondientes a procedimientos finalizados. Los documentos se conservarán en un formato que garantice la autenticidad, integridad y conservación, así como su consulta con independencia del tiempo transcurrido, asegurando la posibilidad de trasladar los datos a otros formatos y soportes. Su eliminación deberá ser autorizada conforme a la normativa aplicable. Los medios o soportes contarán con las medidas de seguridad del Esquema Nacional de Seguridad, que garanticen integridad, autenticidad, confidencialidad, calidad, protección y conservación, e identifiquen a los usuarios y controlen los accesos.

Artículo 26. Emisión de documentos por las Administraciones Públicas

Documento público administrativo es el válidamente emitido por un órgano de una Administración Pública. Se emiten por escrito a través de medios electrónicos, salvo que su naturaleza exija otra forma. Para que un documento electrónico sea válido necesita cinco cosas: información archivada en soporte electrónico con formato identificable, datos de identificación, referencia temporal, los metadatos mínimos exigidos y la firma electrónica que corresponda.

Artículo 27. Validez y eficacia de las copias realizadas por las Administraciones Públicas

Cada Administración determinará los órganos competentes para expedir copias auténticas de documentos públicos administrativos o privados. Las copias auténticas de documentos privados surten únicamente efectos administrativos. Las realizadas por una Administración tienen validez en las restantes. Pueden hacerse mediante funcionario habilitado o mediante actuación administrativa automatizada, manteniéndose un registro actualizado de funcionarios habilitados, interoperable e interconectado con los de las demás Administraciones, en el que constarán al menos los que presten servicio en las oficinas de asistencia en materia de registros.

Artículo 28. Documentos aportados por los interesados al procedimiento administrativo

Los interesados tienen derecho a no aportar documentos que ya se encuentren en poder de la Administración actuante o hayan sido elaborados por cualquier otra Administración, salvo que se opongan a ello.

Artículo 41. Condiciones generales para la práctica de las notificaciones

Las notificaciones se practican preferentemente por medios electrónicos, y siempre que el interesado esté obligado a esa vía. Solo caben en papel dos supuestos: la comparecencia espontánea del interesado que pide la notificación personal en ese momento, y la entrega directa por un empleado público cuando sea necesaria para asegurar la eficacia de la actuación. Sea cual sea el medio, la notificación vale si permite acreditar el envío o puesta a disposición, la recepción o acceso, las fechas y horas, el contenido íntegro y la identidad de remitente y destinatario. Nunca se practican electrónicamente las que lleven elementos no convertibles a formato electrónico ni las que contengan medios de pago como cheques. Si el interesado es notificado por varios cauces, vale la fecha de la primera.

Artículo 43. Práctica de las notificaciones a través de medios electrónicos

Las notificaciones electrónicas se practican por comparecencia en la sede electrónica, a través de la dirección electrónica habilitada única, o por ambos sistemas. Se entienden practicadas en el momento en que se accede a su contenido. Cuando la notificación electrónica sea obligatoria o el interesado la haya elegido expresamente, se entiende rechazada si transcurren diez días naturales desde su puesta a disposición sin acceder a ella. Los interesados pueden acceder a sus notificaciones desde el Punto de Acceso General electrónico.

Artículo 53. Derechos del interesado en el procedimiento administrativo

Los interesados en un procedimiento tienen derecho, entre otros, a conocer el estado de la tramitación, a no presentar documentos originales salvo que la norma lo exija, a no aportar datos que ya obren en poder de la Administración, y a formular alegaciones y aportar documentos en cualquier fase anterior al trámite de audiencia.

Artículo 70. Expediente Administrativo

El expediente administrativo es el conjunto ordenado de documentos y actuaciones que sirven de antecedente y fundamento a la resolución, así como las diligencias encaminadas a ejecutarla. Tiene formato electrónico y se forma agregando ordenadamente documentos, pruebas, dictámenes, informes, acuerdos, notificaciones y demás diligencias, con un índice numerado cuando se remita, y debe constar en él copia electrónica certificada de la resolución. Al remitirlo se envía completo, foliado, autentificado y con índice también autentificado. No forma parte del expediente la información de carácter auxiliar o de apoyo —notas, borradores, opiniones, resúmenes, comunicaciones e informes internos o entre órganos— ni los juicios de valor.

Artículo 38. La sede electrónica

La sede electrónica es aquella dirección electrónica disponible para los ciudadanos a través de redes de telecomunicaciones cuya titularidad corresponde a una Administración Pública, o bien a uno o varios organismos públicos o entidades de Derecho Público en el ejercicio de sus competencias. Establecer una sede conlleva la responsabilidad del titular respecto de la integridad, veracidad y actualización de la información y los servicios accesibles a través de ella. Cada Administración determina las condiciones e instrumentos de creación de sus sedes con sujeción a los principios de transparencia, publicidad, responsabilidad, calidad, seguridad, disponibilidad, accesibilidad, neutralidad e interoperabilidad, garantizando en todo caso la identificación del órgano titular y los medios para formular sugerencias y quejas. Dispondrán de sistemas que permitan comunicaciones seguras cuando sean necesarias, publicarán respetando la accesibilidad y los estándares abiertos, y se identificarán mediante certificados reconocidos o cualificados de autenticación de sitio web o medio equivalente.

Artículo 39. Portal de internet

El portal de internet es el punto de acceso electrónico cuya titularidad corresponde a una Administración Pública, organismo público o entidad de Derecho Público, que permite el acceso a través de internet a la información publicada y, en su caso, a la sede electrónica correspondiente.

Artículo 40. Sistemas de identificación de las Administraciones Públicas

Las Administraciones podrán identificarse mediante un sello electrónico basado en certificado electrónico reconocido o cualificado. Esos certificados incluirán el número de identificación fiscal y la denominación correspondiente y, en su caso, la identidad de la persona titular cuando se trate de sellos de órganos administrativos. La relación de sellos utilizados por cada Administración, con las características de los certificados y los prestadores que los expiden, deberá ser pública y accesible por medios electrónicos, y cada Administración facilitará la verificación de sus sellos. Además, se entenderá identificada la Administración respecto de la información que publique como propia en su portal de internet.

Artículo 41. Actuación administrativa automatizada

Es actuación administrativa automatizada cualquier acto o actuación realizada íntegramente a través de medios electrónicos por una Administración en el marco de un procedimiento administrativo en la que no haya intervenido de forma directa un empleado público. En estos casos deberá establecerse previamente el órgano u órganos competentes para la definición de las especificaciones, programación, mantenimiento, supervisión y control de calidad y, en su caso, auditoría del sistema de información y de su código fuente. Asimismo, se indicará el órgano responsable a efectos de impugnación.

Artículo 42. Sistemas de firma para la actuación administrativa automatizada

Para la actuación administrativa automatizada, cada Administración podrá determinar los supuestos de utilización de dos sistemas de firma electrónica: el sello electrónico de Administración, órgano, organismo público o entidad de Derecho Público, basado en certificado reconocido o cualificado; y el código seguro de verificación (CSV) vinculado a la Administración, órgano, organismo o entidad, permitiéndose en todo caso la comprobación de la integridad del documento mediante el acceso a la sede electrónica correspondiente.

Artículo 43. Firma electrónica del personal al servicio de las Administraciones Públicas

Sin perjuicio de lo previsto en los artículos 38, 41 y 42, la actuación de una Administración, órgano, organismo público o entidad de Derecho Público, cuando utilice medios electrónicos, se realizará mediante firma electrónica del titular del órgano o empleado público. Cada Administración determinará los sistemas de firma que debe utilizar su personal, que podrán identificar de forma conjunta al titular del puesto de trabajo o cargo y a la Administración u órgano en que presta servicios. Por razones de seguridad pública, los sistemas de firma podrán referirse sólo al número de identificación profesional del empleado público.

Artículo 44. Intercambio electrónico de datos en entornos cerrados de comunicación

Los documentos electrónicos transmitidos en entornos cerrados de comunicaciones establecidos entre Administraciones, órganos, organismos públicos y entidades de Derecho Público serán válidos a efectos de autenticación e identificación de emisores y receptores. Si los participantes pertenecen a una misma Administración, será ella quien determine las condiciones y garantías, que comprenderán al menos la relación de emisores y receptores autorizados y la naturaleza de los datos a intercambiar. Si pertenecen a distintas Administraciones, esas condiciones se establecerán mediante convenio suscrito entre ellas. En todo caso deberá garantizarse la seguridad del entorno cerrado y la protección de los datos transmitidos.

Artículo 45. Aseguramiento e interoperabilidad de la firma electrónica

Las Administraciones podrán determinar los trámites e informes que incluyan firma electrónica reconocida o cualificada y avanzada basada en certificados electrónicos reconocidos o cualificados de firma. Para favorecer la interoperabilidad y posibilitar la verificación automática de la firma, cuando una Administración utilice sistemas de firma distintos de los basados en certificado reconocido o cualificado y remita o ponga a disposición de otros órganos, organismos, entidades de Derecho Público o Administraciones documentación firmada electrónicamente, podrá superponer un sello electrónico basado en certificado reconocido o cualificado.

Artículo 46. Archivo electrónico de documentos

Todos los documentos utilizados en las actuaciones administrativas se almacenarán por medios electrónicos, salvo cuando no sea posible. Los documentos electrónicos que contengan actos administrativos que afecten a derechos o intereses de los particulares deberán conservarse en soportes de esa naturaleza, en el mismo formato en que se originaron o en otro que asegure la identidad e integridad de la información necesaria para reproducirlos, garantizando siempre la posibilidad de trasladar los datos a otros formatos y soportes. Los medios o soportes contarán con las medidas de seguridad del Esquema Nacional de Seguridad, que garanticen integridad, autenticidad, confidencialidad, calidad, protección y conservación, aseguren la identificación de los usuarios y el control de accesos, el cumplimiento de la legislación de protección de datos y la recuperación y conservación a largo plazo.

Artículo 46 bis. Ubicación de los sistemas de información y comunicaciones para el registro de datos

Los sistemas de información y comunicaciones para la recogida, almacenamiento, procesamiento y gestión del censo electoral, los padrones municipales de habitantes y otros registros de población, los datos fiscales relacionados con tributos propios o cedidos y los datos de los usuarios del Sistema Nacional de Salud, así como los correspondientes tratamientos de datos personales, deberán ubicarse y prestarse dentro del territorio de la Unión Europea. Esos datos no podrán transferirse a un tercer país u organización internacional, salvo que exista una decisión de adecuación de la Comisión Europea o cuando lo exija el cumplimiento de obligaciones internacionales asumidas por el Reino de España.

Artículo 155. Transmisiones de datos entre Administraciones Públicas

Conforme al Reglamento (UE) 2016/679 y a la Ley Orgánica 3/2018, cada Administración deberá facilitar el acceso de las demás a los datos de los interesados que obren en su poder, especificando condiciones, protocolos y criterios con las máximas garantías de seguridad, integridad y disponibilidad. En ningún caso cabrá un tratamiento ulterior para fines incompatibles con el fin inicial, si bien no se considera incompatible el tratamiento con fines de archivo en interés público, investigación científica e histórica o estadísticos. Fuera de ese caso, la Administración cesionaria que pretenda un tratamiento ulterior para una finalidad que estime compatible deberá comunicarlo previamente a la cedente, que podrá oponerse motivadamente en el plazo de diez días; si la cedente es la Administración General del Estado, podrá además suspender cautelarmente la transmisión por razones de seguridad nacional. Mientras la cedente no comunique su decisión, la cesionaria no podrá emplear los datos para la nueva finalidad.

Artículo 156. Esquema Nacional de Interoperabilidad y Esquema Nacional de Seguridad

El Esquema Nacional de Interoperabilidad comprende el conjunto de criterios y recomendaciones en materia de seguridad, conservación y normalización de la información, de los formatos y de las aplicaciones que deberán tener en cuenta las Administraciones para sus decisiones tecnológicas, de modo que se garantice la interoperabilidad. El Esquema Nacional de Seguridad tiene por objeto establecer la política de seguridad en la utilización de medios electrónicos, y está constituido por los principios básicos y requisitos mínimos que garanticen adecuadamente la seguridad de la información tratada.

Artículo 157. Reutilización de sistemas y aplicaciones de propiedad de la Administración

Las Administraciones pondrán a disposición de cualquiera que lo solicite las aplicaciones desarrolladas por sus servicios o contratadas y de cuyos derechos de propiedad intelectual sean titulares, salvo que la información asociada esté especialmente protegida por una norma; cedente y cesionaria podrán acordar la repercusión del coste. Esas aplicaciones podrán declararse de fuentes abiertas. Con carácter previo a adquirir, desarrollar o mantener una aplicación, las Administraciones deberán consultar el directorio general de aplicaciones, dependiente de la Administración General del Estado, para comprobar si existen soluciones reutilizables; y de existir una solución disponible, estarán obligadas a usarla, salvo que la decisión de no reutilizarla se justifique en términos de eficiencia conforme al artículo 7 de la Ley Orgánica 2/2012, de Estabilidad Presupuestaria.

Artículo 158. Transferencia de tecnología entre Administraciones

Las Administraciones mantendrán directorios actualizados de aplicaciones para su libre reutilización, conforme al Esquema Nacional de Interoperabilidad, plenamente interoperables con el directorio general de la Administración General del Estado, de modo que se garantice su compatibilidad informática e interconexión. La Administración General del Estado mantendrá ese directorio general, prestará apoyo para la libre reutilización e impulsará el desarrollo de aplicaciones, formatos y estándares comunes en el marco de los esquemas nacionales de interoperabilidad y seguridad.

Artículo 1. Objeto y ámbito de aplicación

El Reglamento desarrolla dos leyes: la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, en lo referido a la actuación y el funcionamiento electrónico del sector público. Su ámbito subjetivo de aplicación es el establecido en el artículo 2 de la Ley 39/2015 y en el artículo 2 de la Ley 40/2015.

Artículo 2. Principios generales

El sector público deberá respetar en sus actuaciones y relaciones electrónicas: a) neutralidad tecnológica y adaptabilidad al progreso (estándares abiertos y, en su caso y de forma complementaria, de uso generalizado); b) accesibilidad (igualdad y no discriminación, en particular de personas con discapacidad y mayores); c) facilidad de uso (minimizar el conocimiento necesario); d) interoperabilidad (compartir datos); e) proporcionalidad (garantías y medidas de seguridad adecuadas); f) personalización y proactividad (servicios precumplimentados).

Artículo 3. Derecho y obligación de relacionarse electrónicamente con las Administraciones Públicas

Están obligados a relacionarse electrónicamente, al menos, los sujetos del artículo 14.2 de la Ley 39/2015. Las personas físicas no obligadas pueden optar por ello al inicio del procedimiento o en una fase posterior, y también dejar de hacerlo, comunicándolo al órgano competente para tramitarlo: los efectos se producen a partir del quinto día hábil siguiente a aquel en que este tenga constancia. En el ámbito estatal la obligatoriedad puede establecerse por real decreto acordado en Consejo de Ministros o por orden de la persona titular del Departamento competente.

Artículo 4. Canales de asistencia para el acceso a los servicios electrónicos

Las Administraciones Públicas prestarán la asistencia necesaria para facilitar el acceso de las personas interesadas a los servicios electrónicos de su ámbito competencial a través de alguno o algunos de estos canales: presencial (oficinas de asistencia que se determinen), portales de internet y sedes electrónicas, redes sociales, telefónico, correo electrónico y cualquier otro canal que pueda establecerse de acuerdo con el artículo 12 de la Ley 39/2015.

Artículo 5. Portales de internet de las Administraciones Públicas

Portal de internet es el punto de acceso electrónico cuya titularidad corresponde a una Administración Pública, organismo público o entidad de derecho público y que permite el acceso a través de internet a la información y, en su caso, a la sede electrónica o sede electrónica asociada. Cada Administración podrá determinar los contenidos y canales mínimos de sus portales y criterios obligatorios de imagen institucional. Los portales dispondrán de sistemas que permitan establecer medidas de seguridad conforme al Real Decreto 3/2010, de 8 de enero (Esquema Nacional de Seguridad).

Artículo 6. Creación y supresión de portales de internet en el ámbito estatal

En el ámbito estatal los portales se crean o suprimen por orden de la persona titular del ministerio o resolución de la persona titular del órgano superior (Administración General del Estado) y por resolución de la persona titular de la Presidencia o de la Dirección (organismos y entidades). Crear exige informe favorable de la Comisión Ministerial de Administración Digital y posterior comunicación a dos ministerios; suprimir, previa comunicación a ambos. La dirección incluirá el dominio de segundo nivel «.gob.es» y los portales estarán referenciados en el PAGe.

Artículo 7. Punto de Acceso General electrónico

Las Administraciones Públicas contarán con un Punto de Acceso General electrónico (PAGe), que facilita el acceso a servicios, trámites e información y dispone de una sede electrónica que da acceso a todas las sedes y sedes asociadas; esa sede podrá incluir un área personalizada. El PAGe de la Administración General del Estado lo gestiona el Ministerio de Política Territorial y Función Pública en colaboración con la Secretaría General de Administración Digital; en su sede está alojada la Dirección Electrónica Habilitada única y podrá interoperar con portales web oficiales de la Unión Europea.

Artículo 8. Carpeta Ciudadana del sector público estatal

La Carpeta Ciudadana es el área personalizada de las personas interesadas en su relación con el sector público estatal. Además del interesado pueden acceder sus representantes legales y quien ostente un poder general otorgado por él e inscrito en el Registro Electrónico de Apoderamientos. Es accesible a través de la sede electrónica del PAGe de la Administración General del Estado y podrá ofrecer, entre otras funcionalidades, seguimiento de procedimientos, acceso a comunicaciones y notificaciones, conocer qué datos obran en poder del sector público estatal y obtener certificaciones.

Artículo 9. Sedes electrónicas de las Administraciones Públicas

Una sede electrónica es aquella dirección electrónica disponible para la ciudadanía por medio de redes de telecomunicaciones. Mediante ella se realizarán todas las actuaciones y trámites referidos a procedimientos o a servicios que requieran la identificación de la Administración Pública y, en su caso, la identificación o firma electrónica de las personas interesadas. Su titularidad corresponde a una Administración Pública, o bien a uno o varios organismos públicos o entidades de derecho público en el ámbito de sus competencias.

Artículo 10. Creación y supresión de las sedes electrónicas y sedes electrónicas asociadas

Pueden crearse una o varias sedes asociadas a una sede electrónica por razones técnicas y organizativas; la asociada es sede a todos los efectos. El acto de creación o supresión se publica en el boletín oficial que corresponda (en las entidades locales, el de la provincia) y en el directorio del PAGe, y determina, al menos, ámbito de aplicación, dirección electrónica de referencia, titular y órgano u órganos gestores. En el ámbito estatal se hace por orden o resolución con informe previo favorable de dos ministerios, que exige una memoria justificativa y económica.

Artículo 11. Contenido y servicios de las sedes electrónicas y sedes asociadas

Toda sede o sede asociada tiene un contenido mínimo: identificación de la sede y de su titular, acto de creación, información de uso (mapa), sistemas de identificación y firma admitidos, normativa del Registro, fecha y hora oficial y calendario de días inhábiles, incidencias técnicas, y relación actualizada de servicios y de actuaciones automatizadas. Y, al menos, estos servicios: acceso a trámites con plazos máximos, enlace de sugerencias y quejas, verificación de certificados y sellos, comprobación de documentos con código seguro de verificación, modelos y directorio de oficinas.

Artículo 12. Responsabilidad sobre la sede electrónica o sede electrónica asociada

El titular de la sede electrónica y, en su caso, de la sede asociada responde de la integridad, veracidad y actualización de la información y los servicios de su competencia accesibles desde ella. Si la sede contiene un enlace o vínculo a otra sede, responde el titular de esta última. Si contiene procedimientos o servicios cuya competencia corresponde a otro órgano, organismo o entidad, de la misma o de diferente Administración, responde el titular de la competencia. En estos dos casos, sin perjuicio de la debida diligencia del titular de la sede respecto de la incorporación de los contenidos.

Artículo 13. Actuación administrativa automatizada

La tramitación electrónica de una actuación administrativa podrá llevarse a cabo, entre otras formas, de manera automatizada. En el ámbito estatal, la determinación de una actuación como automatizada se autoriza por resolución del titular del órgano administrativo competente por razón de la materia o del órgano ejecutivo competente del organismo o entidad, y se publica en la sede electrónica o sede asociada. La resolución expresa los recursos que procedan, el órgano y el plazo, y establece medidas adecuadas para salvaguardar los derechos y libertades y los intereses legítimos.

Artículo 14. Régimen de subsanación

Si el obligado a usar medios electrónicos no los utiliza, se le requiere subsanar en diez días; si no, se le tendrá por desistido o se le podrá declarar decaído en su derecho al trámite, previa resolución. Igual para las personas físicas no obligadas que hayan optado por la vía electrónica. En solicitudes de iniciación, la fecha de subsanación es la de presentación. Diez días también por incumplir formatos y estándares u otro defecto subsanable; este último plazo es ampliable hasta cinco días por dificultades especiales, salvo en procedimientos selectivos o de concurrencia competitiva.

Artículo 15. Sistemas de identificación, firma y verificación

Las Administraciones admiten sistemas de firma electrónica conformes a la normativa vigente. Para identificarse ellas pueden usar: identificación de sedes y sedes asociadas, sello electrónico, firma para la actuación automatizada, firma de su personal e intercambio de datos en entornos cerrados. Los sistemas del artículo 9.2.c) de la Ley 39/2015 requieren autorización previa de la Secretaría General de Administración Digital. La Administración no responde del uso por terceros de los medios del interesado, salvo que concurran los requisitos del artículo 32 de la Ley 40/2015.

Artículo 16. Plataformas de verificación de certificados electrónicos y de otros sistemas de identificación

La Administración General del Estado dispondrá de una plataforma para verificar la vigencia y el contenido de los certificados cualificados admitidos en el sector público, libre y gratuitamente para este. Órgano responsable: la Secretaría General de Administración Digital. Está disponible para todo el sector público previa formalización del instrumento de adhesión. Su declaración de prácticas de validación es pública, electrónica y gratuita. Los prestadores cualificados de servicios de confianza deben facilitarle acceso electrónico y gratuito para verificar la vigencia de sus certificados.

Artículo 17. Política de firma electrónica y de certificados en el ámbito estatal

La política de firma electrónica y de certificados en el ámbito estatal la constituyen las directrices y normas técnicas sobre el uso de certificados y firma electrónica. Contiene en todo caso: su ámbito de aplicación; los requisitos de las firmas electrónicas presentadas ante la Administración General del Estado y sus organismos y entidades; y las especificaciones técnicas y operativas de los servicios de confianza. La aprueba por Resolución la persona titular de la Secretaría de Estado de Digitalización e Inteligencia Artificial y se publica en el BOE y en la sede electrónica del PAGe.

Artículo 18. Identificación de las sedes electrónicas y de las sedes electrónicas asociadas

Las sedes electrónicas y sedes asociadas se identifican y garantizan una comunicación segura mediante certificados cualificados de autenticación de sitio web o medio equivalente, ajustados al Esquema Nacional de Interoperabilidad y a la normativa de identidad y firma electrónica. En el ámbito estatal se identifican mediante certificados cualificados de autenticación de sitio web; las direcciones que sean sede deben hacerlo constar de forma visible e inequívoca, seguir la imagen institucional de la Administración General del Estado e incluir el nombre de dominio «.gob.es».

Artículo 19. Identificación mediante sello electrónico basado en certificado electrónico cualificado que reúna los requisitos exigidos por la legislación de firma electrónica

Las Administraciones pueden identificarse con sello electrónico basado en certificado cualificado, que incluye el número de identificación fiscal y la denominación y, en su caso, la identidad del titular en los sellos de órganos administrativos. La relación de sellos de cada Administración es pública y accesible por medios electrónicos. En el ámbito estatal los crea por resolución la persona titular de la Subsecretaría o de la Presidencia o Dirección del organismo o entidad; el certificado contiene al menos la denominación «sello electrónico» y el nombre y el NIF del suscriptor.

Artículo 20. Sistemas de firma electrónica para la actuación administrativa automatizada

En la tramitación automatizada, cada Administración Pública puede determinar los supuestos de utilización de estos sistemas de firma: a) sello electrónico basado en certificado electrónico cualificado; b) código seguro de verificación vinculado a la Administración, órgano, organismo o entidad, que permite en todo caso comprobar la integridad del documento accediendo a la sede electrónica. Cada Administración determina los medios de firma admitidos en sus entidades de derecho privado cuando tramiten de forma automatizada ejerciendo potestades administrativas.

Artículo 21. Sistemas de firma basados en código seguro de verificación para la actuación administrativa automatizada

Las Administraciones pueden usar código seguro de verificación (CSV) en actuaciones automatizadas. Vincula al órgano, organismo o entidad y, en su caso, al firmante, y permite comprobar la integridad del documento en la sede o sede asociada de forma directa y gratuita. Si el documento se modifica, surge otro con CSV diferente. En el ámbito estatal exige resolución, previo informe del Centro Criptológico Nacional y de la Secretaría General de Administración Digital; la verificación en sede estará disponible al menos cinco años, salvo plazo superior en normativa especial.

Artículo 22. Sistemas de firma electrónica del personal al servicio de las Administraciones Públicas

La actuación de la Administración por medios electrónicos se realiza mediante firma electrónica del titular del órgano competente o del empleado público a través del que se ejerza la competencia. Cada Administración determina los sistemas de firma de su personal, que podrán identificar conjuntamente al titular del puesto o cargo y a la Administración u órgano en que presta servicios. Los certificados de empleado público serán cualificados. Cada Administración determina los medios de firma admitidos en sus entidades de derecho privado cuando ejerzan potestades administrativas.

Artículo 23. Certificados electrónicos de empleado público con número de identificación profesional

Los prestadores cualificados de servicios de confianza podrán consignar un número de identificación profesional en el certificado de empleado público, a petición de su Administración, para actuaciones que afecten a información clasificada, seguridad pública, defensa nacional u otras con anonimato legalmente justificado. En el ámbito estatal lo solicita el titular de la Subsecretaría o de la Presidencia o Dirección del organismo. La Administración solicitante conserva la documentación de la identidad del titular. Son cualificados y limitados a las actuaciones que justificaron su emisión.

Artículo 24. Sistemas de identificación y firma electrónica del personal al servicio de la Administración General del Estado y sus organismos públicos y entidades de derecho público vinculados o dependientes

El personal de la Administración General del Estado y sus organismos y entidades podrá identificarse con los sistemas de la Ley 39/2015 que se establezcan según el nivel de seguridad del trámite de acuerdo al Esquema Nacional de Seguridad. Podrá firmar con certificados electrónicos cualificados facilitados a sus empleados, utilizables en el desempeño efectivo del puesto, para trámites y actuaciones por razón del mismo, o para relacionarse con las Administraciones públicas cuando estas lo admitan. Los registros de personal podrán recoger los datos para la identificación electrónica.

Artículo 25. Intercambio electrónico de datos en entornos cerrados de comunicación

Los documentos transmitidos en entornos cerrados de comunicaciones entre Administraciones, órganos, organismos y entidades de derecho público son válidos a efectos de autenticación e identificación de emisores y receptores. Si los participantes son de una misma Administración, esta fija las condiciones y garantías, que comprenden al menos la relación de emisores y receptores autorizados y la naturaleza de los datos; si son de distintas, se fijan por convenio. En el ámbito estatal las establece la Secretaría General de Administración Digital. Rige el Esquema Nacional de Seguridad.

Artículo 26. Sistemas de identificación de las personas interesadas en el procedimiento

Los interesados podrán identificarse con cualquier sistema con registro previo como usuario que permita garantizar su identidad. Se admiten: a) certificados cualificados de firma electrónica y b) de sello electrónico, de prestadores de la «Lista de confianza de prestadores cualificados de servicios de confianza»; c) clave concertada y otros sistemas que las Administraciones consideren válidos, previa autorización de la Secretaría General de Administración Digital, denegable solo por motivos de seguridad pública. Uno de los sistemas a) y b) debe ser posible para todo procedimiento.

Artículo 27. Atributos mínimos de los certificados electrónicos cuando se utilizan para la identificación de las personas interesadas ante las Administraciones Públicas

Fija los atributos mínimos de los certificados usados para identificarse. Persona física (certificado cualificado de firma): nombre y apellidos y número de DNI, NIE, Número de Identificación Consular Central o NIF que conste de manera inequívoca. Representante de persona jurídica: denominación y NIF de la persona jurídica, más nombre y apellidos y DNI, NIE o NIF del representante. Persona jurídica (certificado cualificado de sello): denominación y NIF. La identidad del solicitante se comprueba conforme al artículo 7 de la Ley 6/2020.

Artículo 28. Sistemas de clave concertada y otros sistemas de identificación de las personas interesadas

Los sistemas de clave concertada u otros que las Administraciones consideren válidos para identificar a personas físicas deben ajustarse al Esquema Nacional de Seguridad y contener, como mínimo, nombre y apellidos y número de DNI, NIE, Consular Central o NIF, y el pasaporte si así se establece. Los autoriza previamente la Secretaría General de Administración Digital; solo cabe denegar por seguridad pública, previo informe vinculante de la Secretaría de Estado de Seguridad. En el ámbito estatal se crean por orden o resolución; si abarcan toda la AGE, por Acuerdo del Consejo de Ministros.

Artículo 29. Sistemas de firma electrónica de las personas interesadas admitidos por las Administraciones Públicas y régimen de uso

Si el interesado opta por relacionarse electrónicamente, valen como firma: a) firma electrónica reconocida o cualificada y avanzada con certificado cualificado; b) sello electrónico cualificado y avanzado con certificado cualificado; c) cualquier otro sistema que las Administraciones consideren válido, con registro previo como usuario. Uno de los de a) y b) debe ser posible en todos los procedimientos y trámites. Los de c) necesitan autorización previa de la Secretaría General de Administración Digital, que solo podrá denegarse por motivos de seguridad pública.

Artículo 30. Identificación o firma electrónica de las personas interesadas mediante personal funcionario público habilitado

El interesado no incluido en los apartados 2 y 3 del artículo 14 de la Ley 39/2015 que no disponga de medios electrónicos puede ser identificado o firmar mediante personal funcionario público habilitado. Debe identificarse ante el funcionario y prestar consentimiento expreso, del que queda constancia por escrito. El funcionario le entrega la documentación del trámite y copia del consentimiento. En el ámbito estatal, el funcionario ha de estar inscrito en el Registro de Funcionarios Habilitados de la Administración General del Estado.

Artículo 31. Registro de Funcionarios Habilitados de la Administración General del Estado

Crea el Registro de Funcionarios Habilitados de la AGE y sus organismos y entidades. Constan inscritos: a) los habilitados para la identificación y firma electrónica de interesados; b) los habilitados para expedir copias auténticas, a quienes habilitan los órganos de emisión, custodia o archivo de los documentos; c) el personal de las oficinas de asistencia en materia de registros. Lo gestiona la Secretaría de Estado de Política Territorial y Función Pública, en colaboración con la Secretaría General de Administración Digital. Su funcionamiento se regula por orden conjunta.

Artículo 32. Acreditación en la actuación por medio de representante

Los interesados con capacidad de obrar pueden actuar por representante: persona física con capacidad de obrar o persona jurídica si lo prevén sus Estatutos. Los representantes de obligados a relacionarse electrónicamente también lo están. La representación se acredita por cualquier medio válido en Derecho que deje constancia fidedigna, entre otros: apoderamiento apud acta (personal o electrónico), inscripción en el registro electrónico de apoderamientos, certificado electrónico cualificado de representante o documento público notarial o inscripción en un registro mercantil.

Artículo 33. Registro Electrónico de Apoderamientos de la Administración General del Estado

En el Registro Electrónico de Apoderamientos de la AGE se inscriben los apoderamientos generales del artículo 6.4.a) de la Ley 39/2015 otorgados apud acta, y pueden inscribirse los del 6.4.b) y 6.4.c) si el organismo o entidad no tiene registro particular. Consta el bastanteo de los servicios jurídicos. Lo gestiona el Ministerio de Política Territorial y Función Pública con la colaboración del de Asuntos Económicos y Transformación Digital. Cada organismo o entidad puede tener registro particular, donde no caben los poderes del 6.4.a). Son interoperables y no públicos.

Artículo 34. Acreditación de la representación mediante certificado electrónico cualificado de representante

La representación puede acreditarse ante la Administración con un certificado electrónico cualificado de representante de persona jurídica acorde al artículo 28 y al Anexo I del Reglamento (UE) 910/2014 (Reglamento eIDAS) y a la Política marco de Firma Electrónica y de certificados, que además se haya expedido a quien tenga un poder general para cualquier actuación administrativa y ante cualquier Administración. Si el certificado es de alcance no general, su aceptación queda sujeta al Reglamento eIDAS, a esa Política Marco y, además, a los requisitos que disponga cada Administración.

Artículo 35. Acreditación y verificación de las representaciones que resulten de un documento público notarial o certificación de un Registro Mercantil

Si la representación resulta de documento público notarial o de certificación de un registro mercantil, el interesado debe aportar la certificación registral electrónica o, al menos, expresar el código seguro u otro sistema de acceso y verificación del documento electrónico. Las Administraciones verifican autenticidad e integridad con acceso electrónico y gratuito a la dirección que habilitan el Consejo General del Notariado o el Colegio de Registradores. Para comprobar vigencia, revocación o cese de representaciones inscritas, consultan electrónica y gratuitamente el Registro Mercantil.

Artículo 36. Autorización de representantes de terceros por la Administración General del Estado y sus organismos públicos y entidades de derecho público vinculados o dependientes

La AGE y sus organismos y entidades pueden habilitar, con carácter general o específico, a personas físicas o jurídicas autorizadas para realizar determinadas transacciones electrónicas en representación de las personas interesadas. Se requiere la firma previa de un convenio con la organización o corporación, que especifica al menos los procedimientos y trámites y las condiciones y obligaciones de la entidad firmante y de los habilitados, y determina la presunción de validez de la representación. Los trámites se publican en la sede electrónica del PAGe y en las sedes respectivas.

Artículo 37. Registro electrónico

Las Administraciones disponen de registros electrónicos plenamente interoperables. Cada Administración tiene un Registro Electrónico General donde se asienta todo documento presentado o recibido en cualquier órgano, organismo o entidad; estos organismos y entidades pueden tener registro propio, interoperable e interconectado con el General. Admiten documentos electrónicos normalizados y cualquier otra solicitud, escrito o comunicación dirigida a cualquier Administración. No se tienen por presentados los documentos cuyo régimen especial establezca otra forma de presentación.

Artículo 38. Registro Electrónico General de la Administración General del Estado

El Registro Electrónico General de la AGE lo gestiona el Ministerio de Política Territorial y Función Pública en colaboración con el de Asuntos Económicos y Transformación Digital. Es el conjunto agregado de: a) los asientos de las aplicaciones de las unidades que anotan en registro; b) las anotaciones de cualquier aplicación que dé soporte a procedimientos específicos; c) las anotaciones del servicio electrónico para solicitudes, escritos y comunicaciones sin modelos normalizados. Sus anotaciones tienen plena eficacia y validez para todas las Administraciones Públicas.

Artículo 39. Presentación y tratamiento de documentos en registro

Las Administraciones pueden determinar formatos y estándares de los documentos. Si se detecta código malicioso en documentos ya registrados, se requiere su subsanación. Los documentos en soporte no electrónico se presentan en las oficinas de asistencia en materia de registros; digitalizados, son copia electrónica auténtica y se devuelven inmediatamente. Si el tamaño excede la capacidad del SIR, la remisión puede sustituirse por la puesta a disposición en un repositorio de intercambio de ficheros. El archivo corresponde al órgano competente para la tramitación.

Artículo 40. Oficinas de asistencia en materia de registros en el ámbito de la Administración General del Estado

Las Oficinas de asistencia en materia de registros tienen naturaleza de órgano administrativo y se crean, modifican o suprimen conforme al artículo 59.2 de la Ley 40/2015. La Administración General del Estado cuenta con un directorio geográfico de ellas, gestionado por el Ministerio de Política Territorial y Función Pública, al que el órgano del que dependa cada Oficina comunica de forma inmediata la norma que la cree, modifique o suprima. Entre sus funciones: digitalizar y anotar en registro, emitir recibo con fecha y hora y expedir copias electrónicas auténticas.

Artículo 41. Comunicaciones administrativas a las personas interesadas por medios electrónicos

Cuando la relación con las Administraciones Públicas deba ser electrónica, se comunican al interesado por esos medios, al menos: la fecha y, en su caso, hora de inicio del cómputo de plazos que haya de cumplir la Administración; la fecha de recepción de la solicitud en el órgano competente, el plazo máximo para resolver y notificar y los efectos del silencio; y las solicitudes de pronunciamiento a un órgano de la Unión Europea, de informe preceptivo o de pronunciamiento jurisdiccional, el procedimiento europeo no finalizado y el requerimiento de anulación o revisión entre administraciones.

Artículo 42. Práctica de las notificaciones a través de medios electrónicos

Las notificaciones electrónicas se practican por comparecencia en la sede electrónica o sede asociada, a través de la Dirección Electrónica Habilitada única (DEHú) o por ambos sistemas; si son ambos, cuenta el acceso o rechazo ocurrido en primer lugar. La comparecencia voluntaria del no obligado, con posterior acceso o rechazo expreso, tiene plenos efectos jurídicos. El acuse de recibo identifica acto, destinatario, fechas y horas. El sucesor comunica la sucesión en 15 días hábiles. Los emisores de ámbito estatal notifican en la DEHú y, de forma complementaria, pueden hacerlo en su sede.

Artículo 43. Aviso de puesta a disposición de la notificación

Sea la notificación en papel o electrónica, se envía al interesado o a su representante un aviso de su puesta a disposición en la Dirección Electrónica Habilitada única, en la sede electrónica o sede asociada o en ambas. El aviso es meramente informativo: su falta no impide la plena validez de la notificación, y se practica si se ha comunicado un dispositivo electrónico o dirección de correo electrónico. Si el obligado a relacionarse electrónicamente no tiene datos de contacto, en los procedimientos iniciados de oficio la primera notificación se hace en papel.

Artículo 44. Notificación a través de la Dirección Electrónica Habilitada única

La Dirección Electrónica Habilitada única (DEHú) es el sistema de información para la notificación electrónica; la gestiona el Ministerio de Asuntos Económicos y Transformación Digital en colaboración con el de Política Territorial y Función Pública y se aloja en la sede electrónica del PAGe de la Administración General del Estado. Ante una incidencia técnica, los emisores podrán ampliar el plazo no vencido. El acceso al contenido, el rechazo expreso o la presunción de rechazo por el transcurso de diez días naturales desde la puesta a disposición dan por efectuada la notificación.

Artículo 45. Notificación electrónica en sede electrónica o sede electrónica asociada

Antes de acceder al contenido de la notificación en la sede electrónica o sede asociada, el interesado es informado de que la comparecencia y acceso, el rechazo expreso o la presunción de rechazo por el transcurso de diez días naturales desde la puesta a disposición dan por efectuado el trámite y el procedimiento continúa. Debe quedar constancia de ello con fecha y hora. El estado se sincroniza automáticamente con la Dirección Electrónica Habilitada única si la notificación también está en ella. La obligación de notificar en plazo se cumple con la puesta a disposición.

Artículo 46. Documento administrativo electrónico

Documento administrativo electrónico es la información de cualquier naturaleza en forma electrónica, archivada en un soporte electrónico, según un formato determinado y susceptible de identificación y tratamiento diferenciado admitido en el Esquema Nacional de Interoperabilidad, que haya sido generada, recibida o incorporada por las Administraciones Públicas en el ejercicio de sus funciones sujetas a Derecho administrativo. Si el órgano actuante debe facilitar al interesado un ejemplar, se podrá sustituir por la entrega de los datos necesarios para su acceso electrónico.

Artículo 47. Requisitos de validez y eficacia de las copias auténticas de documentos

Tiene la consideración de copia auténtica de un documento público administrativo o privado original, o de otra copia auténtica, la realizada, cualquiera que sea su soporte, por los órganos competentes de las Administraciones Públicas en las que quede garantizada la identidad del órgano que ha realizado la copia y su contenido. Las copias auténticas se expiden siempre a partir de un original o de otra copia auténtica y tienen la misma validez y eficacia que los documentos originales.

Artículo 48. Órganos competentes para la emisión de copias auténticas de documentos en el ámbito estatal

En el ámbito estatal expiden copias auténticas: los órganos a los que corresponda la emisión de los documentos originales; los de custodia y archivo de documentos; los que hayan previsto sus normas de competencia; y las oficinas de asistencia en materia de registros, respecto de lo presentado por las personas interesadas. La expedición podrá hacerse mediante actuación administrativa automatizada o por personal funcionario habilitado inscrito en el Registro de Funcionarios Habilitados de la Administración General del Estado. Los titulares de esos órganos designan a los habilitados.

Artículo 49. Emisión de copias de documentos aportados en papel por el interesado

Cuando el interesado presenta en papel una copia de un documento público administrativo o de un documento privado para incorporarlo a un expediente administrativo, la Administración Pública la digitaliza y ese proceso genera una copia electrónica que tiene el mismo valor que la copia presentada en papel.

Artículo 50. Referencia temporal de los documentos administrativos electrónicos

Todos los documentos administrativos electrónicos llevan asociada una de dos modalidades de referencia temporal: marca de tiempo (asignación electrónica de la fecha y, en su caso, la hora) o sello electrónico cualificado de tiempo (fecha y hora, con intervención de un prestador cualificado de servicios de confianza). Los sellos no cualificados se asimilan a todos los efectos a las marcas de tiempo. La marca de tiempo se usa cuando las normas reguladoras no establezcan el sello cualificado. Los prestadores de sellado de tiempo deben estar en la «Lista de confianza».

Artículo 51. Configuración del expediente administrativo electrónico

El foliado de los expedientes administrativos electrónicos se lleva a cabo mediante un índice electrónico autenticado, que garantiza la integridad del expediente y permite su recuperación siempre que sea preciso. Un mismo documento electrónico puede formar parte de distintos expedientes administrativos. El índice lo firma el titular del órgano que conforme el expediente para su tramitación, o bien puede ser sellado electrónicamente cuando el expediente se forme de manera automática, a través de un sistema que garantice su integridad.

Artículo 52. Ejercicio del derecho de acceso al expediente electrónico y obtención de copias de los documentos electrónicos

El derecho de acceso al expediente electrónico de las personas interesadas que se relacionen electrónicamente con las Administraciones Públicas y, en su caso, a obtener copia total o parcial, se entiende satisfecho con su puesta a disposición en el Punto de Acceso General electrónico de la Administración competente o en la sede electrónica o sede asociada que corresponda. La Administración destinataria de la solicitud remite al interesado o a su representante la dirección electrónica o localizador y garantiza el acceso el tiempo que determine la política de gestión de documentos electrónicos.

Artículo 53. Tiempo de conservación y destrucción de documentos

Los documentos en papel que no puedan devolverse al interesado al presentarlos se conservan a su disposición seis meses una vez digitalizados; el mismo plazo rige para los presentados en formato electrónico dentro de un dispositivo, una vez incorporados al expediente. La Administración correspondiente puede fijar reglamentariamente un plazo mayor. Después, la destrucción se hace según las competencias del Ministerio de Cultura y Deporte o del órgano autonómico competente, y siempre que no tengan valor histórico, artístico u otro relevante ni un valor especial por su firma u otras expresiones.

Artículo 54. Conservación de documentos electrónicos

Las Administraciones Públicas y sus organismos públicos y entidades de derecho público deben conservar en soporte electrónico todos los documentos de un expediente y los de valor probatorio creados al margen de un procedimiento. Cada Administración regula los períodos mínimos de conservación. Si hay procedimientos judiciales que afecten o puedan afectar a los documentos, se conservan hasta que conste su terminación en las sucesivas instancias. La conservación comprende, como mínimo, identificación, contenido, metadatos, firma, estructura y formato.

Artículo 55. Archivo electrónico único

El archivo electrónico único de cada Administración es el conjunto de sistemas y servicios que sustenta la gestión, custodia y recuperación de documentos y expedientes electrónicos y de otras agrupaciones documentales o de información, una vez finalizados los procedimientos o actuaciones. En el de la Administración General del Estado serán accesibles todos los documentos y expedientes electrónicos del sector público estatal, una vez finalizados los procedimientos y en los plazos que determine la Comisión Superior Calificadora de Documentos Administrativos.

Artículo 56. Relaciones interadministrativas e interorgánicas por medios electrónicos

De acuerdo con el artículo 3.2 de la Ley 40/2015, las Administraciones Públicas, en el ejercicio de sus competencias, están obligadas a relacionarse a través de medios electrónicos entre sí y con sus órganos, organismos públicos y entidades vinculados o dependientes. La misma obligación se aplica a las entidades de derecho privado vinculadas o dependientes de las Administraciones públicas cuando actúen en el ejercicio de potestades administrativas.

Artículo 57. Comunicaciones en la Administración General del Estado

Los órganos de la Administración General del Estado y los organismos públicos y entidades de derecho público vinculados o dependientes de esta deben utilizar medios electrónicos para comunicarse entre sí. Las comunicaciones se efectúan a través del Registro Electrónico General de la Administración General del Estado, del registro del organismo o entidad de que se trate o por cualquier otro medio electrónico que permita dejar constancia de su recepción. La obligación alcanza a las entidades de derecho privado vinculadas o dependientes cuando ejerzan potestades administrativas.

Artículo 58. Adhesión a sedes electrónicas y sedes electrónicas asociadas

Las Administraciones Públicas y los organismos públicos y entidades de derecho público vinculados o dependientes pueden adherirse voluntariamente a las sedes electrónicas o sedes asociadas disponibles, de titularidad de la misma Administración o de otra Administración Pública. La adhesión se hace mediante la formalización del correspondiente instrumento de adhesión y sin que se constituya como sede electrónica asociada.

Artículo 59. Adhesión a la Carpeta Ciudadana del sector público estatal

Las Administraciones Públicas pueden integrar sus áreas personalizadas o carpetas ciudadanas, si las hubiere, o determinadas funcionalidades de las mismas, con la Carpeta Ciudadana prevista en el artículo 8 del Reglamento. Con ello el interesado puede acceder a sus contenidos o funcionalidades mediante procedimientos seguros que garanticen la integridad y confidencialidad de sus datos de carácter personal, independientemente de cuál haya sido su punto de acceso.

Artículo 60. Sistema de interconexión de Registros

Las aplicaciones o sistemas de información del Registro Electrónico General de cada Administración y del registro electrónico de cada organismo público o entidad de derecho público deben ser interoperables. Las interconexiones entre Registros se realizan a través del Sistema de Interconexión de Registros (SIR), gestionado por el Ministerio de Asuntos Económicos y Transformación Digital en colaboración con el Ministerio de Política Territorial y Función Pública. En la Administración General del Estado deben permitir además la interoperabilidad con los sistemas de gestión de expedientes.

Artículo 61. Transmisiones de datos

Las transmisiones de datos del artículo 155 de la Ley 40/2015 tienen la consideración de certificados administrativos. Si el interesado no aporta datos que ya obren en poder de las Administraciones, el órgano tramitador los incorpora si puede acceder a ellos electrónicamente; excepcionalmente, los solicita por otros medios y conserva la acreditación de lo que imposibilitó el acceso. Toda transmisión se efectúa a solicitud del órgano o entidad tramitadora, que identifica datos, titulares y finalidad. El cesionario responde del correcto acceso y de la utilización de los datos.

Artículo 62. Plataformas de intermediación de datos

Las plataformas de intermediación de datos dejan constancia de la fecha y hora de la transmisión y del procedimiento, trámite o actuación a que se refiere la consulta, y deben ser interoperables con la Plataforma de Intermediación de la Administración General del Estado y entre ellas. La adhesión exige garantizar las condiciones de seguridad exigidas por los cedentes. La Plataforma estatal la gestiona la Secretaría General de Administración Digital y es el punto de conexión con el sistema técnico del Reglamento (UE) n.º 2018/1724.

Artículo 63. Remisión electrónica de expedientes administrativos en el ámbito de las Administraciones públicas mediante puesta a disposición

Cuando una Administración Pública solicita a otra un expediente electrónico, la remisión por esta, a través de un nodo de interoperabilidad, de la dirección electrónica o localizador que dé acceso al expediente puesto a disposición equivale a la remisión del mismo. Se exige que se garantice la integridad del acceso durante el tiempo que determine la correspondiente política de gestión de documentos electrónicos y el cumplimiento de la normativa de interoperabilidad aplicable al tipo de expediente. El mismo procedimiento se puede utilizar dentro de una misma Administración Pública.

Artículo 64. Reutilización de sistemas y aplicaciones de las Administraciones Públicas

Las Administraciones Públicas ponen a disposición de la que lo solicite las aplicaciones de cuyos derechos de propiedad intelectual sean titulares, salvo que la información asociada sea objeto de especial protección por una norma; cedentes y cesionarias pueden acordar repercutir el coste. Mantienen directorios de aplicaciones, interoperables con el Directorio general de la Administración General del Estado, que deben consultar antes de adquirir, desarrollar o mantener una aplicación. La no reutilización de una solución disponible se justifica en términos de eficiencia.

Artículo 65. Adhesión a las plataformas de la Administración General del Estado

La adhesión a plataformas, registros o servicios electrónicos de la Administración General del Estado la realiza el órgano competente de cada Administración, que acepta en su integridad las condiciones de uso. Los modelos de adhesión se aprueban por Resolución de la Secretaría General de Administración Digital o, en su caso, del órgano competente de la plataforma. No cambia la titularidad de las actuaciones administrativas. Para comunidades autónomas y entidades locales es voluntaria, pero la no adhesión debe justificarse en términos de eficiencia.

Artículo 1. Objeto y finalidad

El decreto tiene por objeto establecer los principios generales y adoptar medidas de simplificación administrativa y racionalización organizativa, así como el uso de los medios electrónicos por la Administración de la Junta de Andalucía y las entidades del artículo 2. Sus finalidades son tres: mejorar la eficacia y la eficiencia en la actuación administrativa; garantizar los derechos de la ciudadanía; y preservar la seguridad jurídica determinando las condiciones de validez y eficacia en el uso de los medios electrónicos. Ciudadanía: todos aquellos a quienes se reconozca capacidad de obrar.

Artículo 2. Ámbito de aplicación

Se aplica a la Administración de la Junta de Andalucía (organización central y periférica) y a las agencias administrativas. A las agencias públicas empresariales, a las de régimen especial y a los consorcios del artículo 12.3 de la Ley 9/2007 se les aplica cuando el decreto se refiera específicamente a ellos y, en todo caso, cuando ejerzan potestades administrativas. No se aplica a ninguna de esas entidades en sus relaciones de derecho privado. A las entidades instrumentales privadas, en cuanto a los portales de Internet (artículos 15 y 16) y los Registros Electrónicos (artículos 47 y 48).

Artículo 3. Principios generales

Seis principios de simplificación y racionalización: orientación y servicio efectivo a la ciudadanía; eficacia y eficiencia; celeridad; economía procedimental y organizativa; racionalización y agilidad de procedimientos y actividades materiales de gestión; transparencia administrativa. En administración electrónica, ocho: accesibilidad y no discriminación; reducción de la brecha digital (personas mayores o con discapacidad); seguridad; conservación; interoperabilidad; proporcionalidad; impulso de la actuación administrativa automatizada; usabilidad. Se garantiza la protección de datos.

Artículo 4. Competencias de las Consejerías

Cada Consejería encomendará a uno de sus órganos directivos las funciones de impulso, implantación, coordinación, seguimiento y evaluación de las determinaciones del decreto. Esas funciones se ejercen en el ámbito de la Consejería correspondiente, de sus entidades instrumentales y consorcios adscritos, y dentro del marco de la planificación y coordinación general que establezcan las Consejerías competentes en materia de administración pública y transformación digital.

Artículo 5. Comisión Interdepartamental de Coordinación y Racionalización Administrativa

La Comisión Interdepartamental de Coordinación y Racionalización Administrativa es un órgano colegiado decisorio y de asesoramiento, adscrito a la Secretaría General con competencias en administración pública. Preside la persona titular de la Viceconsejería de esa materia; vicepresidencia primera, la de la Secretaría General; vicepresidencia segunda, la del órgano directivo central de transformación digital. Vocalías: telecomunicaciones y seguridad TIC, jefatura de la Inspección General de Servicios y Secretarías Generales Técnicas. La secretaría asiste con voz pero sin voto.

Artículo 6. Criterios para la simplificación de procedimientos, agilización de trámites y reducción de cargas

Los criterios se aplican en el diseño y rediseño funcional de los procedimientos y al tramitarlos. De simplificación y agilización: unificar o eliminar procedimientos, reducir términos y plazos, suprimir trámites sin valor añadido, proactividad, modelos de declaración, respuesta inmediata o resolución automatizada, agilizar comunicaciones, desconcentrar competencias y orientación a la ciudadanía. De reducción de cargas: suprimir cargas y documentación, aportar esta en la audiencia anterior a la propuesta de resolución, declaraciones responsables, agrupación y normalización documental.

Artículo 7. Memoria de cumplimiento de los principios de buena regulación en los procedimientos de elaboración de normas de la Junta de Andalucía

Los proyectos de disposiciones reglamentarias y los anteproyectos de ley deben incorporar una memoria que justifique los principios de necesidad, eficacia, proporcionalidad, seguridad jurídica, transparencia y eficiencia. En los reglamentos expone ocho extremos (interés general, objetivos, medidas menos restrictivas, rango, trámites, cargas, plazo máximo e impacto, no coincidencia de órganos), sintetizados en el preámbulo. En los anteproyectos de ley se añaden tres (silencio desestimatorio, nuevos trámites, límites a actividades económicas) y se sintetizan en la exposición de motivos.

Artículo 8. Informe en materia de simplificación y organización

El órgano directivo central con competencias en organización de los servicios públicos y simplificación administrativa informa, con carácter preceptivo y no vinculante, las disposiciones reglamentarias y los proyectos de ley antes de su aprobación, en lo relativo a organización y procedimientos administrativos. No hace falta informe en las delegaciones de competencias. Lo solicita la persona titular de la Secretaría General Técnica de la Consejería promotora, con memoria y proyecto. El plazo de emisión se interrumpe si se pide subsanación de deficiencias o ampliación de información.

Artículo 9. Revisión normativa

La Consejería de administración pública elabora, al menos cada cuatro años, Planes de Calidad y Simplificación Normativa; los aprueba el Consejo de Gobierno mediante acuerdo, y esa Consejería impulsa y coordina su seguimiento y revisión. Objetivo: revisar, simplificar y, en su caso, consolidar las disposiciones vigentes del Derecho propio. Valoran, al menos: reducir normas, adaptarlas a la buena regulación, consolidar y simplificar, y rediseñar procedimientos. El informe de evaluación, previo conocimiento de la Comisión Interdepartamental, se publica en el Portal de la Junta de Andalucía.

Artículo 10. Registro de Procedimientos y Servicios

Se crea el Registro de Procedimientos y Servicios como inventario de los procedimientos y servicios de la Administración de la Junta de Andalucía, sus agencias y, en su caso, consorcios adscritos. Es único. Lo mantiene la Consejería competente en administración pública; las Consejerías responden de la integridad, veracidad y actualización de sus datos. Alta y modificación: en la fecha de publicación de la norma o acto en el diario oficial; si el servicio carece de norma, cuando sea efectiva su creación. Baja: al derogarse la disposición o quedar sin efecto el acto que lo creó. No es público ni tiene efectos constitutivos.

Artículo 11. Catálogo de Procedimientos y Servicios

El Catálogo de Procedimientos y Servicios ofrece información general, permanente y actualizada sobre los procedimientos administrativos y servicios dirigidos a la ciudadanía. Se nutre del Registro de Procedimientos y Servicios y comprende, al menos, la información de los apartados 8 y 9 del artículo 10. Su gestión y funcionamiento corresponden a la Consejería competente en materia de administración pública. Está publicado en el Portal de la Junta de Andalucía y en las sedes electrónicas, y es el instrumento de publicidad activa de los procedimientos administrativos.

Artículo 12. Formularios

Los formularios se inscriben en el Registro de Procedimientos y Servicios y son intuitivos, accesibles y de lenguaje claro e inclusivo (principios de accesibilidad, neutralidad e interoperabilidad). Incluyen cláusula de protección de datos, señalan los datos de aportación obligatoria y permiten oponerse expresamente a la consulta de datos. La persona física elige medios presenciales o electrónicos. Los obligatorios se publican en el BOJA; si la presentación es solo electrónica, a efectos informativos. Se normalizan e inscriben previa solicitud de la Secretaría General Técnica.

Artículo 13. Manual y herramientas para simplificación de procedimientos y agilización de trámites

El Manual para la simplificación de los procedimientos administrativos y agilización de trámites es la guía de orientación para facilitar el análisis, diagnóstico y mejora de los procedimientos, de acuerdo con los criterios del artículo 6, y se aprueba por orden de la Consejería competente en materia de administración pública. Esa misma Consejería elabora y mantiene actualizadas otras herramientas, como guías de orientación para los órganos directivos, útiles también para elaborar disposiciones generales que regulen nuevos procedimientos o modifiquen los existentes.

Artículo 14. Régimen general de los puntos de acceso electrónico

Punto de acceso electrónico es el conjunto de páginas web agrupadas en un dominio de Internet que ofrece a la ciudadanía, de forma fácil e integrada, el acceso a la información y a los recursos y servicios disponibles. Responde a diez principios (veracidad, transparencia, publicidad, calidad, seguridad, disponibilidad, accesibilidad, neutralidad, interoperabilidad y actualización) y atiende a la identidad corporativa y a las normas sobre la presencia de la Junta en Internet. Tipos: Portal de la Junta de Andalucía, portales de Internet específicos y sedes electrónicas.

Artículo 15. Portal de la Junta de Andalucía

El Portal de la Junta de Andalucía (www.juntadeandalucia.es) es el punto de acceso general electrónico: su titularidad, gestión y administración corresponde a la Administración de la Junta y ofrece servicios e informaciones de manera gratuita. Da acceso a la información institucional, de transparencia y participación, a todos los puntos de acceso electrónico y a los datos en formato abierto. La infraestructura la mantiene la Consejería competente en política digital aplicada al Gobierno Abierto; las Consejerías responden de la integridad, veracidad y actualización de sus datos.

Artículo 16. Portales de Internet específicos

Pueden crearse portales específicos para difundir la información de una concreta competencia o materia; su creación y supresión se guía por criterios de racionalidad, eficiencia y proximidad a la ciudadanía. En el ámbito de una Consejería se crean por orden de su titular, previo informe preceptivo y vinculante de la Consejería competente en política digital aplicada al Gobierno Abierto. La orden fija el ámbito y el titular responsable. Los perfiles de contratante y el punto general de entrada de facturas electrónicas se rigen por su legislación específica y, supletoriamente, por el decreto.

Artículo 17. Creación y requisitos de las sedes electrónicas

Son sedes electrónicas los puntos de acceso electrónico creados específicamente con esa denominación. Hay cuatro tipos: general, de cada Consejería, derivadas y compartidas. Se crean mediante orden, que establece la Consejería, agencia o consorcio titular y responsable, la dirección electrónica, el ámbito de aplicación y los contenidos y servicios. La identificación o firma electrónica de la ciudadanía en los procedimientos tiene lugar necesariamente en una sede electrónica. Se garantiza la disponibilidad, autenticidad, integridad, confidencialidad y trazabilidad de sus contenidos y servicios.

Artículo 18. Contenidos y servicios de las sedes electrónicas

Los puntos de acceso que sean sede deben hacerlo constar de forma visible e inequívoca. Toda sede tiene doce contenidos y servicios mínimos, letras a) a l): identificación de la sede y de su titularidad; fecha y hora oficial, la misma para todas las sedes; información de uso; relación de procedimientos y acceso al Catálogo; acceso al Registro Electrónico Único y al calendario de días inhábiles; directorio de códigos de órganos; sistemas de identificación y firma admitidos; sellos electrónicos; Carpeta Ciudadana; notificaciones electrónicas; sedes derivadas, y sugerencias y reclamaciones.

Artículo 19. Sede electrónica general de la Administración de la Junta de Andalucía

En la Sede electrónica general, además de los contenidos mínimos del artículo 18, se encuentran todos los procedimientos y los servicios de administración electrónica; en particular, acceso a la relación de sedes, al directorio geográfico de oficinas de asistencia, al Registro electrónico de apoderamientos, a la pasarela de pagos y al sistema para contrastar copias en papel. Se crea por orden conjunta de administración pública y transformación digital. Mantenimiento y evolución tecnológica: transformación digital; gestión de contenidos generales: administración pública.

Artículo 20. Sedes electrónicas de las Consejerías, sedes derivadas y sedes compartidas

Cada Consejería tiene una sede electrónica creada por orden suya, previo informe preceptivo favorable de la Consejería de transformación digital. Las sedes derivadas de la sede de una Consejería, o para una agencia o consorcio dependiente, se crean por orden, previo informe preceptivo y vinculante de transformación digital. Las derivadas de la sede general, por orden conjunta de administración pública y transformación digital. Las compartidas con otras Administraciones, por convenio de colaboración suscrito por transformación digital y las Consejerías afectadas, publicado en el BOJA.

Artículo 21. Política de firma electrónica

La política de firma electrónica que rige en la Administración de la Junta de Andalucía, en sus agencias y, en su caso, en los consorcios adscritos no se desarrolla en el articulado: el artículo 21 se limita a declarar que es la que se establece en el Anexo I.

Artículo 22. Identificación y firma de la ciudadanía mediante sistemas no basados en certificados electrónicos

Para identificarse ante la Administración de la Junta de Andalucía, sus agencias y, en su caso, consorcios adscritos, pueden admitirse los sistemas no basados en certificados electrónicos del Anexo II; para firmar por medios electrónicos se consideran válidos los del Anexo III, en sus términos y condiciones. En los asientos registrales de entrada de los documentos firmados así se hace constar el concreto sistema de firma utilizado. Si se admite uno de estos sistemas de firma para un trámite o procedimiento, siempre es además de los sistemas del artículo 21.

Artículo 23. Apoderamientos electrónicos

La ciudadanía puede otorgar apoderamientos electrónicos conforme a la legislación del procedimiento administrativo común. Esos apoderamientos deben constar en el Registro correspondiente, y en ese mismo Registro constan también los funcionarios públicos habilitados para su inscripción, en los términos establecidos en el artículo 45.

Artículo 24. Identificación y firma electrónica de autoridades y personal de la Administración de la Junta de Andalucía

Autoridades y personal de la Administración de la Junta de Andalucía pueden usar cuatro sistemas de firma: los del DNI, el certificado proporcionado con carácter general a la ciudadanía, el certificado de personal y el sistema del artículo 25. El certificado de personal solo puede usarse en el ejercicio de las funciones propias del puesto o para relacionarse con las Administraciones Públicas cuando estas lo admitan; debe usarse cuando sea requerido y no se usa si sus datos son inexactos o incorrectos, si no reflejan su relación con la Administración o si lo aconsejan razones de seguridad.

Artículo 25. Sistema de identificación y firma del personal para los trámites y actuaciones que realice con la Administración de la Junta de Andalucía por razón de su condición de empleado público

La Administración de la Junta de Andalucía y sus agencias admitirán, para los trámites que su personal realice con ella como empleado público, el sistema de identificación de GUIA (Gestión Unificada de Identidades de Andalucía), plataforma corporativa que gestiona las autorizaciones de acceso a los sistemas de información. Además, podrán admitirlo como firma electrónica, en particular para permisos y licencias, si se acredita la autenticidad de la voluntad y el consentimiento, en los términos reglamentarios y para sistemas categorizados de nivel bajo conforme al Esquema Nacional de Seguridad.

Artículo 26. Registro Electrónico Único

Hay un registro electrónico único para los órganos y entidades del artículo 2.1, con constancia de la entrada y salida de documentos. Lo gestiona la Consejería de administración pública; el soporte tecnológico es de la de transformación digital. Es accesible en las sedes electrónicas, se rige por su fecha y hora oficial, recibe automáticamente los documentos y emite un justificante que llega inmediatamente a la dirección electrónica indicada. Las dudas sobre emisión o recepción las gestiona el órgano o entidad competente para tramitar el documento. Es interoperable con otros registros.

Artículo 27. Presentación de documentos

Los formularios relacionan los documentos exigidos y el Registro admite otros voluntarios. Lo presentado en papel en una oficina de atención en materia de registros se digitaliza allí y se devuelven los originales, salvo custodia por la Administración o soportes no digitalizables. Se rechaza el escrito en que no conste nombre, firma y DNI, con destinatario desconocido o dirigido a una Administración no integrada en el sistema de interoperabilidad; cabe pedir recibo del intento. Caben límites de tamaño justificados y rechazar documentos con código malicioso, informando al presentador.

Artículo 28. Funcionamiento del Registro Electrónico Único

El Registro Electrónico Único funciona ininterrumpidamente para recibir solicitudes, escritos y comunicaciones. Solo puede interrumpirse por razones justificadas de mantenimiento técnico u operativo indispensable y por el tiempo imprescindible. En ese caso el órgano competente podrá ampliar los plazos no vencidos y deberá publicar la incidencia técnica y la ampliación concreta del plazo por los mismos medios en que se publicó el establecimiento de dicho plazo.

Artículo 29. Comunicaciones electrónicas interiores en la Administración de la Junta de Andalucía

Las comunicaciones entre los órganos de la Administración de la Junta de Andalucía, y de estos con las agencias y consorcios adscritos, se realizan por medios electrónicos, asegurando la interoperabilidad y mediante estándares abiertos y, en su caso y de forma complementaria, estándares de uso generalizado por la ciudadanía. Se garantiza su trazabilidad integral y, cuando sea necesario, su carácter fehaciente. Las comunicaciones electrónicas internas se regulan por orden conjunta de las Consejerías competentes en administración pública y transformación digital.

Artículo 30. Medios de notificación electrónica y vías de acceso

La Junta, sus agencias y, en su caso, los consorcios pueden notificar electrónicamente: a) en el sistema de notificaciones de la Junta, al que accede el interesado o su representante con identificación electrónica o, en su caso, un funcionario habilitado que la entrega en persona si aquellos comparecen espontáneamente en las oficinas de asistencia en materia de registros y lo piden; b) en la sede o dirección electrónica habilitada de otras Administraciones, previo convenio de la Consejería de transformación digital. Cabe usarlos alternativa o conjuntamente; es eficaz la primera notificación.

Artículo 31. Sistema de notificaciones electrónicas de la Administración de la Junta de Andalucía

El sistema de notificaciones electrónicas de la Junta es el del Anexo IV. La ciudadanía puede darse de alta en cualquier momento con los medios de identificación de los artículos 21 y 22. Cabe el alta de oficio de quienes no lo hayan hecho voluntariamente si están obligados a relacionarse por medios electrónicos o si, sin estarlo, son interesados en un procedimiento. La Consejería de transformación digital responde de su mantenimiento y funcionamiento y coordina sus contenidos y servicios; los órganos y entidades del artículo 2.1 aportan la información y gestionan la puesta a disposición.

Artículo 32. Avisos de notificación

La ciudadanía puede indicar un correo electrónico y, opcionalmente, un dispositivo electrónico para recibir avisos de notificación por cinco vías: los formularios de los procedimientos; el sistema de notificaciones de la Junta; un punto centralizado de datos de contacto común a todas las Administraciones, cuando esté habilitado y accesible; los registros administrativos en que deba o pueda inscribirse para ejercer una actividad; y cualquier otra vía que se articule. Los medios indicados por la persona interesada son preferentes. La falta de aviso no impide la plena validez de la notificación.

Artículo 33. Comunicación previa y notificación a personas obligadas a relacionarse por medios electrónicos en procedimientos iniciados de oficio

En procedimientos de oficio, al obligado a relacionarse electrónicamente que no esté de alta en el sistema de notificaciones se le da de alta de oficio si se conocen sus datos de aviso. Si no se conocen, en información o actuaciones previas se le podrá enviar una comunicación en papel dándole diez días para darse de alta; después, alta de oficio sin datos de aviso. Sin alta ni aviso previo, el órgano gestor hace en papel la primera notificación. No procede si se inicia por convocatoria publicada en BOJA con solicitud electrónica obligatoria: alta de oficio con los datos de la solicitud.

Artículo 34. Notificaciones a personas no obligadas a relacionarse por medios electrónicos y que no hayan optado por la notificación electrónica

Las notificaciones en papel a personas no obligadas a relacionarse por medios electrónicos, y que no hayan optado por la notificación electrónica, se ponen además a su disposición por los medios del artículo 30.1 para que puedan acceder a su contenido de forma voluntaria, ofreciéndoles que el resto de notificaciones se hagan por medios electrónicos. Si la persona interesada es notificada por distintos medios, la fecha de notificación es la de la que se produjo en primer lugar.

Artículo 35. Garantías de constancia y permanencia de la notificación electrónica y de su rechazo

Los medios de notificación electrónica expresan la fecha y hora de puesta a disposición. Estados: no leída (puesta a disposición, mientras no cambie); leída (acceso al contenido); rechazada (rechazo o, para obligados o quienes eligieron el medio, diez días naturales sin acceder; accesible a efectos informativos); caducada (no obligados que no eligieron el medio, pasado el plazo de la normativa básica; no disponible, pero no rechazada). Antes del acceso se indica que puede rechazarse y que entonces se entenderá practicada. Permanecen en el sistema al menos cinco años.

Artículo 36. Impulso de los medios electrónicos

La Administración de la Junta adoptará las medidas adecuadas para implantar medios electrónicos en la gestión de su actividad, en las comunicaciones, relaciones, trámites y servicios con la ciudadanía y en sus comunicaciones internas. Su aplicación en ningún caso podrá implicar restricciones o discriminaciones en el acceso de la ciudadanía a servicios, actuaciones o procedimientos, y se promoverán acciones contra el riesgo de exclusión digital. Su uso garantizará la titularidad y el ejercicio de la competencia por el órgano que la tenga atribuida y los requisitos formales y materiales.

Artículo 37. Desarrollo de soluciones para la tramitación electrónica de los procedimientos

Pasar a medios electrónicos un procedimiento o servicio antes tramitado en papel exige un estudio previo de rediseño funcional y simplificación, a cargo del órgano o unidad administrativa competente por razón de la materia. Si las series documentales carecen de tabla de valoración, debe iniciarse el procedimiento para elaborarla. Los sistemas que produzcan o custodien documentos electrónicos se inscriben en el Registro General de los Sistemas de Información de la Junta de Andalucía. En todo caso se garantiza la plena interoperabilidad.

Artículo 38. Carpeta Ciudadana

La Carpeta Ciudadana es un servicio de administración electrónica para acceder a la información personal en poder de las Administraciones Públicas y a los procedimientos en que se es persona interesada. Se accede desde el punto de acceso general electrónico, las sedes electrónicas y las aplicaciones móviles específicas. Sus certificados, tarjetas y carnés tienen la consideración de copia electrónica auténtica. La Consejería competente en administración pública gestiona y supervisa el contenido; el soporte tecnológico es de la de transformación digital.

Artículo 39. Relaciones obligatorias por medios electrónicos

El deber de relacionarse por medios electrónicos no puede imponerse mediante actos administrativos generales de convocatoria. Tiene que estar previsto en una disposición normativa de rango legal o en una de rango reglamentario; en este segundo caso debe quedar acreditado que las personas afectadas tienen garantizado el acceso y la disponibilidad de los medios electrónicos necesarios por su capacidad económica o técnica, dedicación profesional u otros motivos.

Artículo 40. Actuación administrativa automatizada

Se promoverá activamente la actuación administrativa automatizada, en especial para decisiones por fórmulas matemáticas, certificación de hechos o datos preexistentes (incluso del silencio administrativo), constatación mecánica de requisitos, comunicación de actos preexistentes y práctica de notificaciones electrónicas. No cabe en actividades que supongan juicios de valor. La aprobación se publica, al menos, en la sede electrónica correspondiente. La actuación se imputa a la persona titular del órgano o entidad responsable del sello electrónico o código seguro de verificación.

Artículo 41. Publicación de actos y tablón de edictos electrónico

Cuando una disposición o acto dictado por la Administración de la Junta de Andalucía deba publicarse en un diario oficial, se publica en el Boletín Oficial de la Junta de Andalucía, sin perjuicio de otros diarios oficiales. Si se trata de notificaciones infructuosas, esa publicación es previa y complementaria a la del artículo 44 de la Ley 39/2015, de 1 de octubre. Para mejorar la difusión pueden implantarse medios electrónicos adicionales, en particular tablones de edictos electrónicos en la sede electrónica de la Consejería o entidad actuante y avisos de publicación.

Artículo 42. Comprobación, constancia y verificación de datos y documentos no aportados por las personas interesadas

Los datos y documentos que ya obren en poder de la Administración se comprueban de manera automatizada o de oficio por la persona instructora, preferentemente mediante consultas y transmisiones electrónicas de datos. Si no pueden obtenerse, se comunica a la persona interesada para que los aporte. Si hay discrepancias o algo que aclarar, el órgano competente puede requerir actuaciones a la persona interesada. Los datos en poder de otras Administraciones Públicas se obtienen conforme a los convenios de colaboración o, en su caso, los instrumentos o instrucciones de acceso.

Artículo 43. Gestión documental

La gestión documental es el conjunto de funciones y procesos reglados aplicados con carácter transversal a lo largo del ciclo de vida de los documentos y expedientes administrativos, para garantizar su protección, custodia, recuperación, conservación física y lógica y el mantenimiento de su contexto. Tiene seis finalidades principales; las fuentes de información para el Gobierno Abierto deben dar los datos desagregados por sexo. Se rige por la legislación de documentos, archivos y patrimonio documental, la política de gestión de documentos electrónicos y, supletoriamente, el decreto.

Artículo 44. Pagos electrónicos

La Consejería competente en materia de hacienda determina los medios de pago electrónico utilizables en la Administración de la Junta de Andalucía, que se rigen por la normativa específica que dicte y, supletoriamente, por el decreto. En todo caso, la implantación de aplicaciones y sistemas informáticos de soporte a los pagos electrónicos se ajusta al decreto, y sus vías de acceso electrónico se acomodan a lo que establece el capítulo III respecto a los puntos de acceso electrónico.

Artículo 45. Registro electrónico de apoderamientos

La Administración de la Junta de Andalucía dispone de un Registro electrónico de apoderamientos, único para todos los órganos, agencias y, en su caso, consorcios incluidos en el ámbito del decreto. Pueden inscribirse los apoderamientos o representaciones otorgados a terceras personas, los bastanteos de poderes y las personas adheridas a un convenio para la habilitación de representación de colectivos. Lo gestiona la Consejería competente en materia de administración pública, cuya persona titular fija por orden las personas funcionarias habilitables, los modelos de poderes y los formularios.

Artículo 46. Funcionarios públicos habilitados

SIRHUS actúa como sistema de constancia de los funcionarios públicos habilitados para identificación y firma electrónica en nombre de personas interesadas no obligadas a relacionarse electrónicamente que no dispongan de medios, y para expedir copias auténticas. Habilita la persona titular del órgano directivo central con competencia en materia de personal de la Consejería de adscripción o unidad equivalente en las agencias. La de identificación y firma alcanza a toda clase de procedimientos. Se cancela al llegar la fecha de baja, por revocación anterior o por cese en el puesto.

Artículo 47. Registro Electrónico de Órganos Colegiados de la Administración de la Junta de Andalucía

Se crea el Registro Electrónico de Órganos Colegiados como herramienta de gestión y coordinación para identificar los órganos colegiados adscritos o en los que participa la Administración de la Junta de Andalucía y sus entidades instrumentales, y sus acuerdos. Quedan excluidos diez tipos de órganos, como el Consejo de Gobierno o los órganos colegiados de contratación. Las Consejerías y entidades instrumentales responden de las inscripciones, de efectos meramente declarativos. Coordina la Consejería competente en materia de administración pública, que lo regula mediante orden.

Artículo 48. Registro Electrónico de Convenios de la Administración de la Junta de Andalucía

Se crea el Registro Electrónico de Convenios para inventariar los convenios de la Administración de la Junta de Andalucía y sus entidades instrumentales. La coordinación, el seguimiento de la calidad de la información y el correcto funcionamiento son de la Consejería competente en materia de administración pública, que lo regula mediante orden. Contiene al menos tipología, título, fecha de suscripción, vigencia, partes firmantes, objeto y compromisos económicos. Inscriben y actualizan las Consejerías y entidades instrumentales que los suscriban; los efectos son meramente declarativos.

Artículo 1. Objeto

El Decreto tiene por objeto regular las funciones generales de atención al ciudadano que se describen en sus diferentes capítulos. El ámbito que fija es el de actuación de la Administración de la Junta de Andalucía.

Artículo 2. Responsabilidad de informar

Los servicios centrales y periféricos de las Consejerías y Organismos Autónomos deben adoptar las medidas necesarias para que la información administrativa al ciudadano se desarrolle integrada en los procesos de ejecución de sus competencias. Esa función incumbe al personal adscrito a dichos servicios, en la forma y con el alcance previstos en los artículos siguientes del capítulo.

Artículo 3. Tipos de información administrativa

La información administrativa al ciudadano tiene dos modalidades. La general orienta e ilustra a quienes hayan de relacionarse con la Administración Andaluza, busca facilitar el acceso a los servicios públicos y trata de fines, competencias, funcionamiento, procedimientos, documentación, listas públicas y localización de dependencias. La particular posibilita el ejercicio de derechos e intereses legítimos concretos: aspectos jurídicos o técnicos de las iniciativas, estado de tramitación para el interesado e identificación de autoridades y personal responsables.

Artículo 4. Características de la información administrativa

La información facilitada será clara y sucinta y se suministrará por el medio más claro para su comprensión, así como en la forma y por los medios que dispongan la ley o los reglamentos. Tiene exclusivamente carácter ilustrativo, trata sobre el ordenamiento vigente o sobre hechos y situaciones producidas, y no origina derechos ni expectativas de derecho ni puede lesionar, directa o indirectamente, derechos o intereses de solicitantes, interesados, terceras personas o la Administración.

Artículo 5. Información administrativa general

La información administrativa general corresponde a las unidades o puestos de trabajo que singularmente puedan existir para esa función en cada centro o dependencias y, en su defecto, al personal que designe la autoridad responsable. Debe facilitarse sin demora ni restricciones sobre el tiempo de respuesta o sobre el medio de comunicación o soporte elegido por el solicitante, siempre que ese medio o soporte se encuentre a disposición del centro que haya de producir la información.

Artículo 6. Información administrativa particular

La información administrativa particular corresponde a las jefaturas de sección u órganos asimilados con responsabilidades en la materia o el procedimiento. La Administración dispondrá medios y cauces adecuados, incluida la comunicación personal si se solicita o si la confidencialidad o complejidad lo requiere y así se acuerda con el solicitante; las entrevistas se programan con horarios previos de citas y en ningún caso supondrán obstáculo o demora al ejercicio de los derechos. Para conocer el estado de tramitación u obtener copias hay que acreditar previamente la legitimación.

Artículo 7. Oficinas de Información Administrativa

Sin perjuicio de las funciones de información que deban desarrollar los distintos Centros Directivos, las Oficinas de Información Administrativa adscritas a la Consejería de Gobernación ejercen la información administrativa general en el ámbito de la Administración de la Junta de Andalucía. Para ello, los Centros directivos producen, actualizan y remiten periódicamente y con antelación suficiente la información de base a la Consejería de Gobernación, al mismo tiempo que a sus unidades de información, y esta Consejería adopta las medidas de coordinación.

Artículo 8. Tablones de anuncios

Los servicios centrales y periféricos de las Consejerías y Organismos Autónomos dispondrán de un tablón de anuncios permanente, situado en un lugar accesible para el público y destacado, de forma que atraiga la atención y su contenido resulte fácilmente legible. En él se exhibirá la información general que deba ponerse en conocimiento de los ciudadanos y así se haya ordenado.

Artículo 1. Objeto de la ley

La ley orgánica tiene dos objetos: a) adaptar el ordenamiento jurídico español al Reglamento (UE) 2016/679, de 27 de abril de 2016, y completar sus disposiciones; b) garantizar los derechos digitales de la ciudadanía conforme al mandato del artículo 18.4 de la Constitución. El derecho fundamental de las personas físicas a la protección de datos personales, amparado por ese artículo 18.4, se ejerce con arreglo al Reglamento (UE) 2016/679 y a esta ley orgánica.

Artículo 2. Ámbito de aplicación de los Títulos I a IX y de los artículos 89 a 94

Los Títulos I a IX y los artículos 89 a 94 se aplican a todo tratamiento total o parcialmente automatizado de datos personales y al no automatizado de datos contenidos o destinados a un fichero. La ley no se aplica a los tratamientos excluidos por el artículo 2.2 del Reglamento general, a los de personas fallecidas (sin perjuicio del artículo 3) ni a los de materias clasificadas. Régimen electoral, instituciones penitenciarias y Registro Civil, de la Propiedad y Mercantiles: legislación específica y, supletoriamente, Reglamento y ley. Órganos judiciales y Ministerio Fiscal: Reglamento y ley.

Artículo 3. Datos de las personas fallecidas

Las personas vinculadas al fallecido por razones familiares o de hecho y sus herederos pueden pedir al responsable o encargado el acceso a sus datos y, en su caso, su rectificación o supresión, salvo prohibición expresa del fallecido o de una ley; esa prohibición no afecta al acceso de los herederos a los datos patrimoniales. También pueden las personas o instituciones designadas expresamente (requisitos por real decreto). Menores: además, representantes legales o Ministerio Fiscal, de oficio o a instancia de interesado. Con discapacidad: además, los designados para funciones de apoyo.

Artículo 4. Exactitud de los datos

Los datos serán exactos y, si fuere necesario, actualizados. La inexactitud no es imputable al responsable, siempre que haya adoptado todas las medidas razonables para que se supriman o rectifiquen sin dilación, cuando los datos inexactos: a) se obtuvieron directamente del afectado; b) se obtuvieron de un mediador o intermediario previsto por las normas del sector, que asume las responsabilidades si comunica datos que no se correspondan con los facilitados por el afectado; c) se recibieron de otro responsable por el derecho a la portabilidad; d) se obtuvieron de un registro público.

Artículo 5. Deber de confidencialidad

Los responsables y encargados del tratamiento, así como todas las personas que intervengan en cualquier fase de este, están sujetos al deber de confidencialidad del artículo 5.1.f) del Reglamento (UE) 2016/679. Esta obligación general es complementaria de los deberes de secreto profesional, de conformidad con su normativa aplicable. Ambas obligaciones se mantienen aun cuando haya finalizado la relación del obligado con el responsable o encargado del tratamiento.

Artículo 6. Tratamiento basado en el consentimiento del afectado

El consentimiento del afectado es toda manifestación de voluntad libre, específica, informada e inequívoca por la que acepta, mediante una declaración o una clara acción afirmativa, el tratamiento de sus datos. Si el tratamiento se funda en el consentimiento para una pluralidad de finalidades, debe constar de manera específica e inequívoca que se otorga para todas ellas. No puede supeditarse la ejecución del contrato a que el afectado consienta tratamientos para finalidades sin relación con el mantenimiento, desarrollo o control de la relación contractual.

Artículo 7. Consentimiento de los menores de edad

El tratamiento de los datos de un menor de edad solo puede fundarse en su propio consentimiento cuando sea mayor de catorce años, salvo que la ley exija la asistencia de los titulares de la patria potestad o tutela para celebrar el acto o negocio jurídico en cuyo contexto se recaba el consentimiento. Para los menores de catorce años, el tratamiento fundado en el consentimiento solo es lícito si consta el del titular de la patria potestad o tutela, con el alcance que determinen esos titulares.

Artículo 8. Tratamiento de datos por obligación legal, interés público o ejercicio de poderes públicos

El tratamiento solo puede considerarse fundado en el cumplimiento de una obligación legal exigible al responsable cuando lo prevea una norma de Derecho de la Unión Europea o una norma con rango de ley, que podrá determinar las condiciones generales del tratamiento, los tipos de datos y las cesiones que procedan, e imponer condiciones especiales como medidas adicionales de seguridad. Solo puede considerarse fundado en una misión realizada en interés público o en el ejercicio de poderes públicos cuando derive de una competencia atribuida por una norma con rango de ley.

Artículo 9. Categorías especiales de datos

A fin de evitar situaciones discriminatorias, el solo consentimiento del afectado no basta para levantar la prohibición de tratar datos cuya finalidad principal sea identificar su ideología, afiliación sindical, religión, orientación sexual, creencias u origen racial o étnico; sí cabe tratarlos al amparo de los restantes supuestos del artículo 9.2 del Reglamento. Los tratamientos de sus letras g), h) e i) fundados en el Derecho español deben ampararse en una norma con rango de ley, que puede añadir requisitos de seguridad y confidencialidad y amparar tratamientos en el ámbito de la salud.

Artículo 10. Tratamiento de datos de naturaleza penal

El tratamiento de datos de condenas e infracciones penales, y procedimientos y medidas cautelares y de seguridad conexas, para fines distintos de la prevención, investigación, detección o enjuiciamiento de infracciones penales o de la ejecución de sanciones penales, solo cabe si lo ampara una norma de Derecho de la Unión, esta ley orgánica u otras normas de rango legal. El registro completo puede hacerse conforme a la regulación del Sistema de registros administrativos de apoyo a la Administración de Justicia. Fuera de eso, solo abogados y procuradores, con la información de sus clientes.

Artículo 11. Transparencia e información al afectado

Si los datos se obtienen del afectado, el responsable puede cumplir el deber de información dando la información básica e indicando una dirección electrónica u otro medio de acceso sencillo e inmediato al resto. La información básica contiene, al menos: identidad del responsable y de su representante, finalidad y posibilidad de ejercer los derechos; si hay elaboración de perfiles, también esa circunstancia y el derecho a oponerse a decisiones individuales automatizadas. Si los datos no se obtienen del afectado, se añaden las categorías de datos y las fuentes de las que procedan.

Artículo 12. Disposiciones generales sobre ejercicio de los derechos

Los derechos de los artículos 15 a 22 del Reglamento (UE) 2016/679 se ejercen directamente o por representante legal o voluntario. El responsable debe informar de los medios, que serán fácilmente accesibles, y no puede denegar el ejercicio solo porque el afectado opte por otro medio. El encargado puede tramitar las solicitudes si lo prevé el contrato o acto jurídico. La prueba de haber respondido recae en el responsable. Los titulares de la patria potestad pueden actuar por los menores de catorce años. Las actuaciones del responsable son gratuitas, con las salvedades que el artículo cita.

Artículo 13. Derecho de acceso

Si el responsable trata una gran cantidad de datos y el afectado no concreta, puede pedirle, antes de informar, que especifique los datos o actividades de tratamiento. El acceso se entiende otorgado con un sistema de acceso remoto, directo y seguro que garantice de modo permanente el acceso a la totalidad; basta comunicar cómo acceder. Puede considerarse repetitivo ejercerlo más de una vez en seis meses, salvo causa legítima. Si el afectado elige un medio distinto del ofrecido con coste desproporcionado, la solicitud es excesiva y él asume el exceso de costes.

Artículo 14. Derecho de rectificación

Al ejercer el derecho de rectificación, el afectado debe indicar en su solicitud dos cosas: a qué datos se refiere y la corrección que haya de realizarse. Además, cuando sea preciso, debe acompañar la documentación que justifique la inexactitud o el carácter incompleto de los datos objeto de tratamiento.

Artículo 15. Derecho de supresión

El derecho de supresión se ejerce conforme al artículo 17 del Reglamento (UE) 2016/679. Regla propia: cuando la supresión derive del ejercicio del derecho de oposición del artículo 21.2 del Reglamento, el responsable podrá conservar los datos identificativos del afectado necesarios con el fin de impedir tratamientos futuros para fines de mercadotecnia directa.

Artículo 16. Derecho a la limitación del tratamiento

El derecho a la limitación del tratamiento se ejerce conforme al artículo 18 del Reglamento (UE) 2016/679. Regla propia: el hecho de que el tratamiento de los datos personales esté limitado debe constar claramente en los sistemas de información del responsable.

Artículo 17. Derecho a la portabilidad

Artículo 18. Derecho de oposición

El derecho de oposición y los derechos relacionados con las decisiones individuales automatizadas, incluida la realización de perfiles, se ejercen de acuerdo con lo establecido, respectivamente, en los artículos 21 y 22 del Reglamento (UE) 2016/679. El artículo no añade ninguna regla propia: se limita a remitir.

Artículo 19. Tratamiento de datos de contacto, de empresarios individuales y de profesionales liberales

Salvo prueba en contrario, se presume amparado en el artículo 6.1.f) del Reglamento (UE) 2016/679 el tratamiento de los datos de contacto, y en su caso de función o puesto, de las personas físicas que presten servicios en una persona jurídica, si se refiere únicamente a los datos necesarios para su localización profesional y su finalidad es únicamente mantener relaciones con esa persona jurídica. Igual para empresarios individuales y profesionales liberales cuando los datos se refieran a ellos solo en esa condición y no se traten para relacionarse con ellos como personas físicas.

Artículo 20. Sistemas de información crediticia

Salvo prueba en contrario, es lícito tratar impagos en sistemas comunes de información crediticia si: los facilita el acreedor o quien actúe por su cuenta; son deudas ciertas, vencidas y exigibles no reclamadas; el acreedor informó al afectado en el contrato o al requerir el pago; duran mientras persista el incumplimiento, máximo cinco años desde el vencimiento; y la consulta está restringida. El sistema notifica la inclusión en los treinta días siguientes a recibir la deuda, con los datos bloqueados. Sistema y acreedores son corresponsables. La presunción no ampara el perfilado.

Artículo 21. Tratamientos relacionados con la realización de determinadas operaciones mercantiles

Salvo prueba en contrario, se presumen lícitos los tratamientos de datos, incluida su comunicación con carácter previo, derivados de una modificación estructural de sociedades o de la aportación o transmisión de negocio o de rama de actividad empresarial, si son necesarios para el buen fin de la operación y garantizan, cuando proceda, la continuidad en la prestación de los servicios. Si la operación no llega a concluirse, la entidad cesionaria debe suprimir los datos con carácter inmediato, sin obligación de bloqueo.

Artículo 22. Tratamientos con fines de videovigilancia

Personas físicas o jurídicas, públicas o privadas, pueden tratar imágenes de cámaras para la seguridad de personas, bienes e instalaciones. La vía pública solo se capta en lo imprescindible, con mayor extensión para bienes o instalaciones estratégicos o infraestructuras de transporte, y nunca el interior de un domicilio privado. Se suprimen en un mes desde su captación, salvo para acreditar actos contra personas, bienes o instalaciones: entonces van a la autoridad competente en setenta y dos horas desde que se conoce la grabación. No hay bloqueo. Se informa con un dispositivo visible.

Artículo 23. Sistemas de exclusión publicitaria

Es lícito tratar datos para evitar el envío de comunicaciones comerciales a quienes se hayan negado u opuesto a recibirlas. Pueden crearse sistemas de información, generales o sectoriales, con solo los datos imprescindibles para identificar a los afectados. Sus responsables comunican la creación a la autoridad de control, que publica la relación en su sede electrónica. El responsable ante quien alguien rechace las comunicaciones comerciales debe informarle de estos sistemas. Quien haga mercadotecnia directa debe consultarlos antes, salvo que el afectado le hubiera dado su consentimiento.

Artículo 24. Tratamiento de datos para la protección de las personas que informen sobre infracciones normativas

Declara lícitos los tratamientos de datos personales necesarios para garantizar la protección de las personas que informen sobre infracciones normativas. Esos tratamientos se rigen por tres normas: el Reglamento (UE) 2016/679, la propia Ley Orgánica 3/2018 y la Ley reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción.

Artículo 25. Tratamiento de datos en el ámbito de la función estadística pública

La función estadística pública trata los datos según su legislación específica, el Reglamento (UE) 2016/679 y la ley orgánica. La comunicación de datos a los órganos estadísticos solo se ampara en el artículo 6.1 e) del Reglamento si la estadística la exige una norma de Derecho de la Unión Europea o figura en los instrumentos de programación estadística legalmente previstos. Los datos de los artículos 9 y 10 del Reglamento son de aportación estrictamente voluntaria y requieren consentimiento expreso. Los derechos de los artículos 15 a 22 pueden denegarse si hay secreto estadístico.

Artículo 26. Tratamiento de datos con fines de archivo en interés público por parte de las Administraciones Públicas

Declara lícito el tratamiento por las Administraciones Públicas de datos con fines de archivo en interés público. Se somete al Reglamento (UE) 2016/679 y a la Ley Orgánica 3/2018, con las especialidades derivadas de la Ley 16/1985, del Patrimonio Histórico Español, del Real Decreto 1708/2011, que establece el Sistema Español de Archivos, y de la legislación autonómica que resulte de aplicación.

Artículo 27. Tratamiento de datos relativos a infracciones y sanciones administrativas

El tratamiento de datos de infracciones y sanciones administrativas, incluidos los registros, exige dos condiciones: que el responsable sea el órgano competente para instruir el procedimiento sancionador, declarar la infracción o imponer la sanción, y que se limite a los datos estrictamente necesarios. Si falta alguna, hace falta consentimiento del interesado o autorización por norma con rango de ley. Fuera de esos casos, solo cabe si lo realizan abogados y procuradores para recoger la información facilitada por sus clientes para el ejercicio de sus funciones.

Artículo 28. Obligaciones generales del responsable y encargado del tratamiento

Responsables y encargados determinan las medidas técnicas y organizativas apropiadas para garantizar y acreditar que el tratamiento es conforme con el Reglamento (UE) 2016/679, la ley orgánica, sus normas de desarrollo y la legislación sectorial, y valoran si procede la evaluación de impacto y la consulta previa. Tendrán en cuenta los mayores riesgos de: discriminación, usurpación de identidad o fraude; privación de derechos; categorías especiales de datos; perfiles; menores y personas con discapacidad; tratamiento masivo, y transferencias habituales sin nivel adecuado de protección.

Artículo 29. Supuestos de corresponsabilidad en el tratamiento

Cuando hay varios corresponsables del tratamiento, las responsabilidades a las que se refiere el artículo 26.1 del Reglamento (UE) 2016/679 se determinan atendiendo a las actividades que efectivamente desarrolle cada uno de ellos. El único criterio que da el artículo es, pues, la actividad efectiva de cada corresponsable.

Artículo 30. Representantes de los responsables o encargados del tratamiento no establecidos en la Unión Europea

Si el Reglamento (UE) 2016/679 se aplica, por su artículo 3.2, a un responsable o encargado no establecido en la Unión Europea y el tratamiento se refiere a afectados que se hallen en España, la Agencia Española de Protección de Datos o las autoridades autonómicas podrán imponer al representante, solidariamente con aquel, las medidas del Reglamento. Ello no excluye la responsabilidad del responsable o encargado ni la acción de repetición del representante. De los daños y perjuicios del artículo 82 del Reglamento responden solidariamente responsables, encargados y representantes.

Artículo 31. Registro de las actividades de tratamiento

Responsables y encargados o, en su caso, sus representantes mantendrán el registro de actividades de tratamiento del artículo 30 del Reglamento (UE) 2016/679, salvo la excepción de su apartado 5. El registro podrá organizarse en torno a conjuntos estructurados de datos y especificará, según sus finalidades, las actividades de tratamiento. Si hay delegado de protección de datos, se le comunicará cualquier adición, modificación o exclusión. Los sujetos del artículo 77.1 publicarán un inventario accesible por medios electrónicos con la información del artículo 30 del Reglamento y su base legal.

Artículo 32. Bloqueo de los datos

El responsable debe bloquear los datos cuando los rectifique o suprima. Bloquear es identificarlos y reservarlos, con medidas técnicas y organizativas, para impedir su tratamiento, incluida su visualización, salvo su puesta a disposición de jueces y tribunales, Ministerio Fiscal o Administraciones Públicas competentes para exigir responsabilidades, solo por el plazo de prescripción de estas; después se destruyen. Si el sistema no permite el bloqueo o exige un esfuerzo desproporcionado, se hace un copiado seguro. Las autoridades de protección de datos pueden fijar excepciones.

Artículo 33. Encargado del tratamiento

El acceso del encargado a los datos necesarios para prestar el servicio no es comunicación de datos si se cumple la normativa. Es responsable, y no encargado, quien en su propio nombre y sin que conste que actúa por cuenta de otro establezca relaciones con los afectados (salvo encargos de contratación del sector público) y quien, figurando como encargado, use los datos para fines propios. Al acabar el servicio, el responsable decide si los datos se destruyen, se devuelven o se entregan a un nuevo encargado. El encargado puede conservarlos bloqueados si pudieran derivarse responsabilidades.

Artículo 34. Designación de un delegado de protección de datos

Deben designar delegado de protección de datos los responsables y encargados en los supuestos del artículo 37.1 del Reglamento (UE) 2016/679 y, en todo caso, las entidades de las letras a) a o), como colegios profesionales, centros docentes y universidades, entidades de crédito, aseguradoras, centros sanitarios, seguridad privada o federaciones deportivas con datos de menores. Los demás pueden hacerlo voluntariamente. Designaciones, nombramientos y ceses se comunican en diez días a la Agencia Española de Protección de Datos o a las autoridades autonómicas, que llevan una lista actualizada.

Artículo 35. Cualificación del delegado de protección de datos

El cumplimiento de los requisitos para designar al delegado de protección de datos, sea persona física o jurídica, podrá demostrarse, entre otros medios, mediante mecanismos voluntarios de certificación. Esos mecanismos tendrán particularmente en cuenta la obtención de una titulación universitaria que acredite conocimientos especializados en el derecho y la práctica en materia de protección de datos.

Artículo 36. Posición del delegado de protección de datos

El delegado es interlocutor del responsable o encargado ante la AEPD y las autoridades autonómicas; puede inspeccionar procedimientos y emitir recomendaciones. Si es persona física integrada en la organización, no puede ser removido ni sancionado por desempeñar sus funciones, salvo dolo o negligencia grave. Se garantiza su independencia, evitando conflictos de intereses. Accede a datos y procesos sin que quepa oponerle confidencialidad o secreto. Si aprecia una vulneración relevante, la documenta y la comunica inmediatamente a los órganos de administración y dirección.

Artículo 37. Intervención del delegado de protección de datos en caso de reclamación ante las autoridades de protección de datos

Si hay delegado designado, el afectado puede dirigirse a él antes de reclamar ante la AEPD o la autoridad autonómica; el delegado le comunicará la decisión en el plazo máximo de dos meses desde la recepción de la reclamación. Si el afectado reclama ante la autoridad, esta puede remitir la reclamación al delegado para que responda en un mes; si no comunica la respuesta, la autoridad continúa el procedimiento. El procedimiento ante la AEPD es el del Título VIII y sus normas de desarrollo; las comunidades autónomas regulan el suyo.

Artículo 38. Códigos de conducta

Los códigos de conducta vinculan a quienes se adhieran y pueden tener mecanismos de resolución extrajudicial de conflictos. Pueden promoverlos también empresas o grupos de empresas. Los adheridos someten al organismo de supervisión las reclamaciones que no consideren procedente atender; si este las rechaza o no se le someten, el afectado puede acudir a la AEPD o a la autoridad autonómica. Los aprueba la AEPD o la autoridad autonómica competente, que mantienen registros interconectados y accesibles por medios electrónicos. Un real decreto fijará el contenido del registro.

Artículo 39. Acreditación de instituciones de certificación

Sin perjuicio de las funciones y poderes de acreditación de la autoridad de control competente, la acreditación de las instituciones de certificación podrá ser llevada a cabo por la Entidad Nacional de Acreditación (ENAC). La ENAC comunicará a la Agencia Española de Protección de Datos y a las autoridades de protección de datos de las comunidades autónomas las concesiones, denegaciones o revocaciones de las acreditaciones, así como su motivación.

Artículo 40. Régimen de las transferencias internacionales de datos

Las transferencias internacionales de datos se rigen por el Reglamento (UE) 2016/679, por esta ley orgánica y sus normas de desarrollo aprobadas por el Gobierno, y por las circulares de la Agencia Española de Protección de Datos y de las autoridades autonómicas de protección de datos, en el ámbito de sus respectivas competencias. En todo caso, a los tratamientos en que consista la propia transferencia se les aplican las disposiciones de esas normas, en particular las que regulan los principios de protección de datos.

Artículo 41. Supuestos de adopción por la Agencia Española de Protección de Datos

La AEPD y las autoridades autonómicas de protección de datos podrán adoptar cláusulas contractuales tipo para transferencias internacionales, que se someterán previamente al dictamen del Comité Europeo de Protección de Datos. También podrán aprobar normas corporativas vinculantes: el procedimiento se inicia a instancia de una entidad situada en España, dura como máximo nueve meses, se suspende al remitir el expediente al Comité para dictamen y continúa tras su notificación a la autoridad competente.

Artículo 42. Supuestos sometidos a autorización previa de las autoridades de protección de datos

Las transferencias a países u organizaciones internacionales sin decisión de adecuación de la Comisión ni amparo en las garantías previstas requieren autorización previa de la AEPD o, en su caso, de la autoridad autonómica. Puede otorgarse: a) si se basan en cláusulas contractuales que no sean las cláusulas tipo; b) si las realizan los responsables o encargados del artículo 77.1 con base en acuerdos internacionales no normativos, incluidos los memorandos de entendimiento. Duración máxima: seis meses. La remisión del expediente al Comité Europeo suspende el procedimiento.

Artículo 43. Supuestos sometidos a información previa a la autoridad de protección de datos competente

Los responsables del tratamiento deben informar a la AEPD o, en su caso, a las autoridades autonómicas de cualquier transferencia internacional que pretendan realizar sobre la base de su necesidad para fines relacionados con intereses legítimos imperiosos. También informarán a los afectados de la transferencia y de esos intereses. La información se facilita con carácter previo a la transferencia. No se aplica a las actividades de las autoridades públicas en el ejercicio de sus poderes públicos.

Artículo 44. Disposiciones generales

La AEPD es una autoridad administrativa independiente de ámbito estatal, con personalidad jurídica y plena capacidad pública y privada, que actúa con plena independencia de los poderes públicos. Su denominación oficial es «Agencia Española de Protección de Datos, Autoridad Administrativa Independiente». Se relaciona con el Gobierno a través del Ministerio de Justicia. Es representante común de las autoridades españolas en el Comité Europeo de Protección de Datos. Colabora con el Consejo General del Poder Judicial y, en su caso, la Fiscalía General del Estado.

Artículo 45. Régimen jurídico

La Agencia Española de Protección de Datos se rige por el Reglamento (UE) 2016/679, por esta ley orgánica y por sus disposiciones de desarrollo. Supletoriamente, en cuanto sea compatible con su plena independencia, se rige por las normas citadas en el artículo 110.1 de la Ley 40/2015, de Régimen Jurídico del Sector Público. Su Estatuto lo aprueba el Gobierno, a propuesta de la propia Agencia, mediante real decreto.

Artículo 46. Régimen económico presupuestario y de personal

La Agencia elabora y aprueba su presupuesto y lo remite al Gobierno para integrarlo, con independencia, en los Presupuestos Generales del Estado. Modificaciones: hasta el 3 % de la cifra inicial del presupuesto total de gastos las autoriza la Presidencia (sin incrementar gastos de personal); las restantes que no excedan del 5 %, el Ministerio de Hacienda; las demás, el Gobierno. El resultado positivo de sus ingresos va a reservas. Personal funcionario o laboral. Aprueba su relación de puestos de trabajo. Control de la Intervención General de la Administración del Estado.

Artículo 47. Funciones y potestades de la Agencia Española de Protección de Datos

Corresponde a la Agencia Española de Protección de Datos supervisar la aplicación de la ley orgánica y del Reglamento (UE) 2016/679 y, en particular, ejercer las funciones del artículo 57 y las potestades del artículo 58 de ese reglamento, de la propia ley orgánica y de sus disposiciones de desarrollo. Además, desempeña las funciones y potestades que le atribuyan otras leyes o normas de Derecho de la Unión Europea.

Artículo 48. La Presidencia de la Agencia Española de Protección de Datos

La Presidencia dirige la Agencia, la representa y dicta sus resoluciones, circulares y directrices; la auxilia un Adjunto. Ambos actúan con plena independencia y objetividad. Los nombra el Gobierno a propuesta del Ministerio de Justicia, con ratificación de la Comisión de Justicia del Congreso por tres quintos o, en segunda votación, mayoría absoluta con votos de al menos dos grupos. Mandato de cinco años, renovable por otro igual. Cese anticipado: a petición propia o por separación por cuatro causas. Sus actos ponen fin a la vía administrativa y se recurren ante la Audiencia Nacional.

Artículo 49. Consejo Consultivo de la Agencia Española de Protección de Datos

El Consejo Consultivo asesora a la Presidencia de la Agencia. Lo integran un Diputado, un Senador, un representante del Consejo General del Poder Judicial, otro de la Administración General del Estado, uno por cada Comunidad Autónoma con Autoridad de protección de datos, representantes y expertos; son dos los expertos de las Organizaciones Empresariales y dos los de las organizaciones sindicales más representativas. Los nombra el Ministro de Justicia por orden publicada en el BOE. Se reúne cuando lo disponga la Presidencia y, en todo caso, una vez al semestre. Sus decisiones no vinculan.

Artículo 50. Publicidad

La Agencia publica las resoluciones de su Presidencia que: declaren haber lugar o no a la atención de los derechos de los artículos 15 a 22 del Reglamento (UE) 2016/679; pongan fin a los procedimientos sancionadores y a los de apercibimiento; archiven las actuaciones previas de investigación; se dicten respecto de las entidades del artículo 77.1 de la ley orgánica; impongan medidas cautelares; y las demás que disponga su Estatuto.

Artículo 51. Ámbito y personal competente

La Agencia investiga a través de las actuaciones del Título VIII y de los planes de auditoría preventivas. La investigación la realizan funcionarios de la Agencia o funcionarios ajenos a ella habilitados expresamente por su Presidencia. En actuaciones conjuntas, el personal de autoridades de control de otros Estados miembros actúa con arreglo a la ley orgánica y bajo la orientación y en presencia del personal de la Agencia. Los funcionarios que investigan son agentes de la autoridad en el ejercicio de sus funciones y deben guardar secreto, incluso después de haber cesado.

Artículo 52. Deber de colaboración

Las Administraciones Públicas, incluidas las tributarias y de la Seguridad Social, y los particulares deben dar a la Agencia los datos, informes, antecedentes y justificantes necesarios para investigar. Si no ha podido identificar al responsable por otros medios, la Agencia puede recabar de las Administraciones los datos imprescindibles y, de operadores y prestadores, datos de telefonía (número de origen ocultado, abonado, confirmación de llamada) o de Internet (dirección de protocolo, fecha y hora, abonado). Quedan excluidos los datos de tráfico tratados solo para cumplir la Ley 25/2007.

Artículo 53. Alcance de la actividad de investigación

Quienes investigan pueden recabar informaciones, realizar inspecciones, requerir la exhibición o el envío de documentos y datos, examinarlos donde estén depositados o donde se realicen los tratamientos, obtener copia, inspeccionar los equipos físicos y lógicos y requerir la ejecución de tratamientos y programas o procedimientos de gestión y soporte. El acceso al domicilio constitucionalmente protegido del inspeccionado exige su consentimiento o autorización judicial. En órganos u oficinas judiciales, la inspección se efectúa a través y por mediación del Consejo General del Poder Judicial.

Artículo 53 bis. Actuaciones de investigación a través de sistemas digitales

Las actuaciones de investigación pueden hacerse por sistemas digitales que, mediante videoconferencia u otro sistema similar, permitan la comunicación bidireccional y simultánea de imagen y sonido y la interacción visual, auditiva y verbal entre la Agencia y el inspeccionado. Deben garantizar la transmisión y recepción seguras de documentos e información y, en su caso, recoger las evidencias y el resultado asegurando su autoría, autenticidad e integridad. Se usan cuando lo determine la Agencia y con la conformidad del inspeccionado sobre su uso y sobre la fecha y hora.

Artículo 54. Planes de auditoría

La Presidencia de la Agencia puede acordar planes de auditoría preventiva referidos a los tratamientos de un sector concreto de actividad, para analizar el cumplimiento del Reglamento (UE) 2016/679 y de la ley orgánica mediante actividades de investigación. A resultas de ellos puede dictar directrices generales o específicas para un concreto responsable o encargado y pedir, al elaborarlas, la colaboración de los organismos de supervisión de los códigos de conducta y de resolución extrajudicial de conflictos, si los hubiere. Las directrices son de obligado cumplimiento.

Artículo 55. Potestades de regulación. Circulares de la Agencia Española de Protección de Datos

La Presidencia de la Agencia puede dictar disposiciones que fijen los criterios a que responderá la actuación de esta autoridad al aplicar el Reglamento (UE) 2016/679 y la ley orgánica; se denominan «Circulares de la Agencia Española de Protección de Datos». Se elaboran conforme al procedimiento del Estatuto de la Agencia, que debe prever los informes técnicos y jurídicos necesarios y la audiencia a los interesados. Son obligatorias una vez publicadas en el Boletín Oficial del Estado.

Artículo 56. Acción exterior

La Agencia Española de Protección de Datos es titular de la acción exterior del Estado en protección de datos. Las comunidades autónomas, mediante sus autoridades autonómicas, son sujetos de la acción exterior en sus competencias y pueden celebrar acuerdos internacionales administrativos y acuerdos no normativos, estos últimos no vinculantes jurídicamente. La Agencia es la representante común en el Comité Europeo de Protección de Datos, informa a las autonómicas de sus decisiones y recaba su parecer en materias de su competencia. Colabora con otros Estados, en particular en Iberoamérica.

Artículo 57. Autoridades autonómicas de protección de datos

Las autoridades autonómicas de protección de datos pueden ejercer, de acuerdo con la normativa autonómica, las funciones y potestades de los artículos 57 y 58 del Reglamento (UE) 2016/679 sobre tres grupos de tratamientos: los del sector público de la Comunidad Autónoma o de las Entidades Locales de su ámbito territorial (y de quienes presten servicios por gestión directa o indirecta); los de personas físicas o jurídicas para el ejercicio de funciones públicas en materias de competencia autonómica o local; y los previstos expresamente en los Estatutos de Autonomía. Pueden dictar circulares.

Artículo 58. Cooperación institucional

La Presidencia de la Agencia Española de Protección de Datos convoca a las autoridades autonómicas, por iniciativa propia o cuando lo solicite otra autoridad, para contribuir a la aplicación coherente del Reglamento (UE) 2016/679 y de la ley orgánica. En todo caso se celebran reuniones semestrales de cooperación. La Presidencia y las autoridades autonómicas pueden solicitar y deben intercambiarse la información necesaria para sus funciones, en particular la relativa al Comité Europeo de Protección de Datos, y pueden constituir grupos de trabajo sobre asuntos de interés común.

Artículo 59. Tratamientos contrarios al Reglamento (UE) 2016/679

Si la Presidencia de la Agencia Española de Protección de Datos considera que un tratamiento realizado en materias de competencia de las autoridades autonómicas vulnera el Reglamento (UE) 2016/679, puede requerirlas para que adopten, en el plazo de un mes, las medidas necesarias para su cesación. Si la autoridad autonómica no atiende el requerimiento en plazo o las medidas adoptadas no suponen la cesación del tratamiento ilícito, la Agencia puede ejercer las acciones que procedan ante la jurisdicción contencioso-administrativa.

Artículo 60. Coordinación en caso de emisión de dictamen por el Comité Europeo de Protección de Datos

Cuando las autoridades autonómicas de protección de datos, como autoridades competentes, deban someter su proyecto de decisión al Comité Europeo de Protección de Datos o le soliciten el examen de un asunto, todas las comunicaciones entre el Comité y esas autoridades se practican por conducto de la Agencia Española de Protección de Datos. En estos casos, la Agencia es asistida por un representante de la Autoridad autonómica en su intervención ante el Comité.

Artículo 61. Intervención en caso de tratamientos transfronterizos

Las autoridades autonómicas tienen la condición de autoridad de control principal o interesada en el procedimiento del artículo 60 del Reglamento (UE) 2016/679 cuando se trate de un tratamiento del artículo 57 de la ley orgánica realizado por un responsable o encargado de los previstos en el artículo 56 del Reglamento, salvo que desarrolle significativamente tratamientos de la misma naturaleza en el resto del territorio español. En esos casos intervienen ellas en el procedimiento e informan a la Agencia sobre su desarrollo cuando deba aplicarse el mecanismo de coherencia.

Artículo 62. Coordinación en caso de resolución de conflictos por el Comité Europeo de Protección de Datos

Cuando las autoridades autonómicas, como autoridades principales, deban solicitar al Comité Europeo de Protección de Datos una decisión vinculante, todas las comunicaciones entre ellas y el Comité se practican por conducto de la Agencia. Las autoridades autonómicas que sean autoridad interesada no principal informan a la Agencia cuando el asunto se remita al Comité y le facilitan la documentación e información necesarias para su tramitación. La Agencia es asistida por un representante de la autoridad autonómica interesada en su intervención ante el Comité.

Artículo 63. Régimen jurídico

El Título se aplica a los procedimientos de la Agencia cuando un afectado reclame que no se ha atendido su solicitud de ejercicio de los derechos de los artículos 15 a 22 del Reglamento (UE) 2016/679 y cuando la Agencia investigue una posible infracción del reglamento o de la ley orgánica. Se rigen por el Reglamento, la ley orgánica, sus disposiciones reglamentarias de desarrollo y, subsidiariamente y en cuanto no las contradigan, por las normas generales sobre los procedimientos administrativos. El Gobierno los regulará por real decreto, asegurando los derechos de defensa y audiencia.

Artículo 64. Forma de iniciación del procedimiento y duración

Si el procedimiento se refiere solo a la falta de atención de un derecho, se inicia por acuerdo de admisión a trámite y se resuelve en seis meses desde su notificación al reclamante; vencido el plazo, la reclamación puede considerarse estimada. Si versa sobre una posible infracción, se inicia por acuerdo de inicio y dura doce meses como máximo desde él; el de apercibimiento, seis meses; vencidos, caducidad y archivo. Los plazos se suspenden automáticamente al recabar información de la Unión Europea o de otras autoridades de control, y por resolución motivada si es de un órgano jurisdiccional.

Artículo 65. Admisión a trámite de las reclamaciones

La Agencia evalúa la admisibilidad de cada reclamación. Inadmite las que no versen sobre protección de datos, carezcan manifiestamente de fundamento, sean abusivas o no aporten indicios racionales de infracción; puede inadmitir si, previa advertencia, se adoptaron medidas correctivas y no hubo perjuicio (infracciones del artículo 74) o el derecho queda plenamente garantizado. Antes puede remitirla al delegado de protección de datos o al responsable o encargado, que responde en un mes. La decisión se notifica en tres meses; si no, se entiende que prosigue la tramitación.

Artículo 66. Determinación del alcance territorial

Salvo en los supuestos del artículo 64.4, la Agencia debe, antes de cualquier otra actuación —incluida la admisión a trámite de una reclamación o el comienzo de actuaciones previas de investigación—, examinar su competencia y determinar el carácter nacional o transfronterizo del procedimiento. Si considera que no es la autoridad de control principal, remite la reclamación, sin más trámite, a la que considere competente y lo notifica a quien la hubiera formulado. El acuerdo de remisión implica el archivo provisional del procedimiento.

Artículo 67. Actuaciones previas de investigación

Antes del acuerdo de inicio del procedimiento, y una vez admitida a trámite la reclamación si la hubiese, la Agencia Española de Protección de Datos podrá realizar actuaciones previas de investigación para determinar mejor los hechos y circunstancias que justifican la tramitación. Actuará en todo caso cuando haya que investigar tratamientos que impliquen un tráfico masivo de datos personales. Duración máxima: dieciocho meses desde el acuerdo de admisión a trámite o desde el acuerdo que decida iniciarlas si la Agencia actúa por propia iniciativa.

Artículo 68. Acuerdo de inicio del procedimiento para el ejercicio de la potestad sancionadora

Concluidas, en su caso, las actuaciones previas, corresponde a la Presidencia de la Agencia Española de Protección de Datos dictar, cuando proceda, el acuerdo de inicio del procedimiento sancionador. En él se concretan cuatro extremos: los hechos, la identificación de la persona o entidad contra la que se dirige, la infracción que hubiera podido cometerse y su posible sanción. Si la Agencia es autoridad de control principal y debe seguirse el procedimiento del artículo 60 del Reglamento (UE) 2016/679, el proyecto de acuerdo de inicio se somete a lo dispuesto en ese artículo.

Artículo 69. Medidas provisionales y de garantía de los derechos

Durante las actuaciones previas o iniciado el procedimiento sancionador, la Agencia podrá acordar motivadamente medidas provisionales necesarias y proporcionadas; en especial, las del artículo 66.1 del Reglamento (UE) 2016/679, el bloqueo cautelar de los datos y la obligación inmediata de atender el derecho solicitado. Ante un menoscabo grave, podrá ordenar el bloqueo y la cesación del tratamiento y, si se incumple, inmovilizar. Si se reclama por falta de atención en plazo de derechos, podrá obligar a atenderlos en cualquier momento, con resolución motivada y audiencia del responsable.

Artículo 70. Sujetos responsables

Están sujetos al régimen sancionador del Reglamento (UE) 2016/679 y de la ley orgánica cinco sujetos: los responsables de los tratamientos; los encargados de los tratamientos; los representantes de los responsables o encargados no establecidos en el territorio de la Unión Europea; las entidades de certificación, y las entidades acreditadas de supervisión de los códigos de conducta. Al delegado de protección de datos no se le aplica el régimen sancionador del Título.

Artículo 71. Infracciones

Son infracciones los actos y conductas a los que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 y, además, los que resulten contrarios a la propia ley orgánica. El artículo no enumera conductas concretas: define la infracción por remisión a esos tres apartados y a la propia ley.

Artículo 72. Infracciones consideradas muy graves

Son muy graves y prescriben a los tres años las infracciones que supongan una vulneración sustancial de los artículos que menciona el artículo 83.5 del Reglamento (UE) 2016/679. Entre otras: tratar datos vulnerando principios y garantías o sin condición de licitud, usarlos para una finalidad no compatible sin consentimiento ni base legal, omitir el deber de informar, vulnerar la confidencialidad, no atender reiteradamente los derechos, incumplir el bloqueo, resistir u obstruir la inspección y revertir deliberadamente una anonimización. Igual consideración y plazo tienen las del artículo 83.6.

Artículo 73. Infracciones consideradas graves

Son graves y prescriben a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en el artículo 83.4 del Reglamento (UE) 2016/679. Entre otras: tratar datos de un menor sin el consentimiento exigido, no adoptar las medidas técnicas y organizativas apropiadas, encargar el tratamiento sin contrato u otro acto jurídico escrito previo, subcontratar sin autorización previa del responsable, no disponer del registro de actividades, no designar delegado cuando sea exigible o usar un sello no otorgado por entidad acreditada o expirado.

Artículo 74. Infracciones consideradas leves

Son leves y prescriben al año las restantes infracciones de carácter meramente formal de los artículos mencionados en los apartados 4 y 5 del artículo 83 del Reglamento (UE) 2016/679. Entre otras: no facilitar toda la información exigida, cobrar un canon que exceda de los costes afrontados, no suprimir datos de una persona fallecida cuando sea exigible, tener un Registro de actividades que no incorpore toda la información, notificar de forma incompleta, tardía o defectuosa una violación de seguridad o no publicar o no comunicar los datos de contacto del delegado.

Artículo 75. Interrupción de la prescripción de la infracción

La prescripción de la infracción se interrumpe con la iniciación del procedimiento sancionador con conocimiento del interesado. El plazo se reinicia si el expediente sancionador está paralizado durante más de seis meses por causas no imputables al presunto infractor. Cuando la Agencia Española de Protección de Datos sea autoridad de control principal y deba seguirse el procedimiento del artículo 60 del Reglamento (UE) 2016/679, lo que interrumpe la prescripción es el conocimiento formal por el interesado del acuerdo de inicio.

Artículo 76. Sanciones y medidas correctivas

Las sanciones se gradúan con los criterios del artículo 83.2 del Reglamento (UE) 2016/679; además podrán valorarse: carácter continuado, vinculación de la actividad con tratamientos, beneficios obtenidos, conducta del afectado que pudo inducir, fusión por absorción posterior no imputable a la absorbente, afectación a menores, tener delegado sin ser obligatorio y sometimiento voluntario a resolución alternativa de conflictos. Se publica en el Boletín Oficial del Estado si sanciona la Agencia, supera un millón de euros y el infractor es persona jurídica; con autoridad autonómica, su normativa.

Artículo 77. Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento

Rige para tratamientos de órganos constitucionales y jurisdiccionales, Administraciones, organismos y entidades de Derecho público, autoridades administrativas independientes, Banco de España, corporaciones de Derecho público (potestades públicas), fundaciones del sector público, Universidades Públicas, consorcios y grupos parlamentarios y políticos locales. Si infringen, la autoridad declara la infracción y fija medidas; puede proponer actuaciones disciplinarias. Se comunica al Defensor del Pueblo o institución autonómica análoga y la Agencia lo publica en su web identificando al infractor.

Artículo 78. Prescripción de las sanciones

Las sanciones prescriben según su importe: al año las de 40.000 euros o menos; a los dos años las de 40.001 a 300.000 euros; a los tres años las superiores a 300.000 euros. El plazo se cuenta desde el día siguiente a aquel en que sea ejecutable la resolución sancionadora o haya transcurrido el plazo para recurrirla. Se interrumpe al iniciarse, con conocimiento del interesado, el procedimiento de ejecución, y vuelve a transcurrir si este queda paralizado más de seis meses por causa no imputable al infractor.

Artículo 79. Los derechos en la Era digital

Los derechos y libertades consagrados en la Constitución y en los Tratados y Convenios Internacionales en que España sea parte son plenamente aplicables en Internet. Quienes contribuirán a garantizar su aplicación son dos: los prestadores de servicios de la sociedad de la información y los proveedores de servicios de Internet.

Artículo 80. Derecho a la neutralidad de Internet

Los usuarios tienen derecho a la neutralidad de Internet. Los proveedores de servicios de Internet proporcionarán una oferta transparente de servicios, sin discriminación por dos clases de motivos: técnicos o económicos.

Artículo 81. Derecho de acceso universal a Internet

Todos tienen derecho a acceder a Internet con independencia de su condición personal, social, económica o geográfica. Se garantizará un acceso universal, asequible, de calidad y no discriminatorio para toda la población. El acceso procurará superar la brecha de género (ámbito personal y laboral) y la brecha generacional (acciones de formación y acceso a las personas mayores). La garantía efectiva atenderá la realidad de los entornos rurales y el acceso garantizará condiciones de igualdad a las personas con necesidades especiales.

Artículo 82. Derecho a la seguridad digital

Los usuarios tienen derecho a la seguridad de las comunicaciones que transmitan y reciban a través de Internet. A los proveedores de servicios de Internet les corresponde informar a los usuarios de sus derechos.

Artículo 83. Derecho a la educación digital

El sistema educativo garantizará la plena inserción del alumnado en la sociedad digital y un uso crítico y seguro de los medios digitales, con actuaciones de carácter inclusivo. Las Administraciones educativas incluirán en el currículo la competencia digital y los riesgos del mal uso de las TIC, con especial atención a la violencia en la red. El profesorado recibirá competencias digitales y formación. Los títulos universitarios garantizarán formación en su uso y seguridad. Los temarios de acceso a cuerpos superiores y a los que accedan a datos personales incluirán estas materias.

Artículo 84. Protección de los menores en Internet

Padres, madres, tutores, curadores o representantes legales procurarán que los menores hagan un uso equilibrado y responsable de los dispositivos digitales y de los servicios de la sociedad de la información. Si la utilización o difusión de imágenes o información personal de menores en redes sociales y servicios equivalentes puede implicar una intromisión ilegítima en sus derechos fundamentales, intervendrá el Ministerio Fiscal, que instará las medidas cautelares y de protección de la Ley Orgánica 1/1996, de Protección Jurídica del Menor.

Artículo 85. Derecho de rectificación en Internet

Todos tienen derecho a la libertad de expresión en Internet. Los responsables de redes sociales y servicios equivalentes adoptarán protocolos adecuados para posibilitar la rectificación ante usuarios que difundan contenidos contra el honor, la intimidad personal y familiar y el derecho a comunicar o recibir libremente información veraz. Los medios de comunicación digitales que deban atender una rectificación publicarán en sus archivos digitales un aviso aclaratorio de que la noticia original no refleja la situación actual del individuo, en lugar visible junto con la información original.

Artículo 86. Derecho a la actualización de informaciones en medios de comunicación digitales

Toda persona puede solicitar motivadamente a los medios de comunicación digitales un aviso de actualización suficientemente visible junto a las noticias que le conciernan, cuando la información original no refleje su situación actual por circunstancias posteriores a la publicación y ello le cause un perjuicio. En particular, procede cuando la noticia se refiera a actuaciones policiales o judiciales afectadas en beneficio del interesado por decisiones judiciales posteriores; en ese caso el aviso hará referencia a la decisión posterior.

Artículo 87. Derecho a la intimidad y uso de dispositivos digitales en el ámbito laboral

Trabajadores y empleados públicos tienen derecho a la protección de su intimidad en el uso de los dispositivos digitales puestos a su disposición por el empleador. Este solo puede acceder a sus contenidos para controlar el cumplimiento de las obligaciones laborales o estatutarias y garantizar la integridad de los dispositivos. Debe establecer criterios de utilización, con participación de los representantes de los trabajadores, e informar de ellos a los trabajadores. Si admite el uso privado, el acceso exige especificar de modo preciso los usos autorizados y establecer garantías.

Artículo 88. Derecho a la desconexión digital en el ámbito laboral

Trabajadores y empleados públicos tienen derecho a la desconexión digital para garantizar, fuera del tiempo de trabajo, su descanso, permisos y vacaciones y su intimidad personal y familiar. Las modalidades de ejercicio se sujetan a la negociación colectiva o, en su defecto, a lo acordado entre la empresa y los representantes de los trabajadores. El empleador, previa audiencia de dichos representantes, elaborará una política interna dirigida a trabajadores, incluidos los directivos, con las modalidades de ejercicio y acciones de formación y sensibilización.

Artículo 89. Derecho a la intimidad frente al uso de dispositivos de videovigilancia y de grabación de sonidos en el lugar de trabajo

Los empleadores pueden tratar imágenes de cámaras o videocámaras para el control de trabajadores o empleados públicos, dentro de su marco legal, informando con carácter previo y de forma expresa, clara y concisa a estos y, en su caso, a sus representantes. Ante un acto ilícito flagrante basta con que exista al menos el dispositivo del artículo 22.4. En ningún caso se admiten videovigilancia ni grabación de sonidos en lugares de descanso o esparcimiento (vestuarios, aseos, comedores y análogos). Grabar sonidos solo cabe por riesgos relevantes para la seguridad.

Artículo 90. Derecho a la intimidad ante la utilización de sistemas de geolocalización en el ámbito laboral

Los empleadores pueden tratar los datos obtenidos mediante sistemas de geolocalización para ejercer las funciones de control de trabajadores o empleados públicos, dentro de su marco legal y con sus límites. Con carácter previo deben informar de forma expresa, clara e inequívoca a los trabajadores o empleados públicos y, en su caso, a sus representantes, de la existencia y características de los dispositivos, y también del posible ejercicio de los derechos de acceso, rectificación, limitación del tratamiento y supresión.

Artículo 91. Derechos digitales en la negociación colectiva

Los convenios colectivos podrán establecer garantías adicionales de los derechos y libertades relacionados con el tratamiento de los datos personales de los trabajadores y con la salvaguarda de derechos digitales en el ámbito laboral. Es una posibilidad («podrán»), no una obligación, y las garantías que se prevén son adicionales.

Artículo 92. Protección de datos de los menores en Internet

Los centros educativos y cualesquiera personas físicas o jurídicas que desarrollen actividades en las que participen menores de edad deben garantizar la protección del interés superior del menor y sus derechos fundamentales, especialmente el de protección de datos personales, al publicar o difundir sus datos a través de servicios de la sociedad de la información. Si la publicación o difusión va a hacerse en redes sociales o servicios equivalentes, deben contar con el consentimiento del menor o sus representantes legales, conforme al artículo 7 de la ley orgánica.

Artículo 93. Derecho al olvido en búsquedas de Internet

Toda persona tiene derecho a que los motores de búsqueda eliminen, de los resultados obtenidos al buscar por su nombre, los enlaces con información sobre ella que sea inadecuada, inexacta, no pertinente, no actualizada o excesiva, o que haya devenido tal por el transcurso del tiempo. También cuando sus circunstancias personales evidencien la prevalencia de sus derechos. El derecho subsiste aunque sea lícito conservar la información en el sitio web y este no la borre. No impide acceder a la información con otros criterios de búsqueda distintos del nombre.

Artículo 94. Derecho al olvido en servicios de redes sociales y servicios equivalentes

Toda persona puede obtener, a su simple solicitud, la supresión de los datos personales que ella misma facilitó para su publicación en redes sociales y servicios equivalentes. Los facilitados por terceros se suprimen cuando sean inadecuados, inexactos, no pertinentes, no actualizados o excesivos, o cuando sus circunstancias personales evidencien la prevalencia de sus derechos; se exceptúan los facilitados por personas físicas en actividades personales o domésticas. Los facilitados durante la minoría de edad, por él o por terceros, se suprimen sin dilación por simple solicitud.

Artículo 95. Derecho de portabilidad en servicios de redes sociales y servicios equivalentes

Los usuarios de redes sociales y servicios de la sociedad de la información equivalentes tienen derecho a recibir y transmitir los contenidos que hubieran facilitado a los prestadores, y a que estos los transmitan directamente a otro prestador designado por el usuario, siempre que sea técnicamente posible. Los prestadores podrán conservar copia de los contenidos, sin difundirla a través de Internet, cuando la conservación sea necesaria para cumplir una obligación legal.

Artículo 96. Derecho al testamento digital

Las personas vinculadas al fallecido por razones familiares o de hecho y sus herederos pueden dirigirse a los prestadores para acceder a los contenidos e impartir instrucciones sobre su utilización, destino o supresión, salvo prohibición expresa del fallecido o de una ley; la prohibición no afecta al acceso de los herederos a los contenidos del caudal relicto. También el albacea o la persona o institución designada. Si el fallecido es menor: representantes legales o Ministerio Fiscal, de oficio o a instancia de interesado. Los requisitos se fijarán por real decreto.

Artículo 97. Políticas de impulso de los derechos digitales

El Gobierno, en colaboración con las comunidades autónomas, elaborará un Plan de Acceso a Internet con tres objetivos: superar las brechas digitales (entre otras medidas, con un bono social de acceso a Internet), impulsar espacios de conexión de acceso público y fomentar medidas educativas en competencias digitales básicas. Además se aprobará un Plan de Actuación para que los menores de edad hagan un uso equilibrado y responsable de dispositivos digitales y redes sociales. El Gobierno presentará un informe anual ante la comisión parlamentaria correspondiente del Congreso de los Diputados.

Artículo 1. Objeto

El Reglamento establece dos grupos de normas: las de protección de las personas físicas en lo que respecta al tratamiento de los datos personales y las de libre circulación de tales datos. Protege los derechos y libertades fundamentales de las personas físicas y, en particular, su derecho a la protección de los datos personales. La libre circulación de los datos personales en la Unión no podrá ser restringida ni prohibida por motivos relacionados con la protección de las personas físicas en lo que respecta al tratamiento de datos personales.

Artículo 2. Ámbito de aplicación material

Se aplica al tratamiento total o parcialmente automatizado de datos personales y al no automatizado de datos contenidos o destinados a un fichero. No se aplica al tratamiento: en actividades no comprendidas en el Derecho de la Unión; por los Estados miembros en actividades del capítulo 2 del título V del TUE; por una persona física en actividades exclusivamente personales o domésticas; ni por las autoridades competentes con fines penales, incluida la protección frente a amenazas a la seguridad pública. A las instituciones de la Unión se les aplica el Reglamento (CE) n.º 45/2001.

Artículo 3. Ámbito territorial

1) Tratamiento en el contexto de las actividades de un establecimiento del responsable o del encargado en la Unión, tenga lugar este en la Unión o no. 2) Tratamiento de datos de interesados que se encuentren en la Unión por responsable o encargado no establecido en ella, si se relaciona con la oferta de bienes o servicios a esos interesados en la Unión (se les requiera o no su pago) o con el control de su comportamiento, en la medida en que este tenga lugar en la Unión. 3) Responsable no establecido en la Unión sino en un lugar donde rige el Derecho de los Estados miembros por el Derecho internacional público.

Artículo 4. Definiciones

Recoge 26 definiciones. Datos personales: toda información sobre una persona física identificada o identificable (el interesado). Tratamiento: cualquier operación sobre datos personales, por procedimientos automatizados o no. Responsable: quien, solo o junto con otros, determina los fines y medios. Encargado: quien trata datos por cuenta del responsable. Consentimiento: manifestación de voluntad libre, específica, informada e inequívoca, mediante una declaración o una clara acción afirmativa. Limitación del tratamiento: marcado de los datos conservados para limitar su tratamiento en el futuro.

Artículo 5. Principios relativos al tratamiento

Los datos serán: tratados de manera lícita, leal y transparente; recogidos con fines determinados, explícitos y legítimos (limitación de la finalidad); adecuados, pertinentes y limitados a lo necesario (minimización de datos); exactos y, si fuera necesario, actualizados (exactitud); mantenidos de forma que se permita identificar a los interesados no más tiempo del necesario, salvo fines de archivo, investigación o estadísticos conforme al artículo 89.1 (limitación del plazo de conservación); y tratados con seguridad adecuada (integridad y confidencialidad). El responsable responde de cumplirlo y debe ser capaz de demostrarlo (responsabilidad proactiva).

Artículo 6. Licitud del tratamiento

El tratamiento solo será lícito si se cumple al menos una condición: a) consentimiento para uno o varios fines específicos; b) ejecución de un contrato o medidas precontractuales a petición del interesado; c) obligación legal del responsable; d) intereses vitales del interesado o de otra persona física; e) misión en interés público o ejercicio de poderes públicos; f) intereses legítimos del responsable o de un tercero, si no prevalecen los del interesado, en particular si es un niño. La letra f) no se aplica a las autoridades públicas en el ejercicio de sus funciones.

Artículo 7. Condiciones para el consentimiento

Si el tratamiento se basa en el consentimiento, el responsable deberá ser capaz de demostrar que el interesado consintió. Si se da en una declaración escrita que también se refiera a otros asuntos, la solicitud se distinguirá claramente de ellos, de forma inteligible y de fácil acceso y con lenguaje claro y sencillo; no vincula la parte que infrinja el Reglamento. El interesado puede retirarlo en cualquier momento, sin afectar a la licitud del tratamiento basada en el consentimiento previo a la retirada; será informado de ello antes de consentir y será tan fácil retirarlo como darlo.

Artículo 8. Condiciones aplicables al consentimiento del niño en relación con los servicios de la sociedad de la información

Cuando se aplique el artículo 6.1.a) en la oferta directa a niños de servicios de la sociedad de la información, el tratamiento es lícito si el niño tiene como mínimo 16 años. Si es menor de 16, únicamente lo es si el consentimiento lo dio o autorizó el titular de la patria potestad o tutela, y solo en la medida en que se dio o autorizó. Los Estados miembros podrán establecer por ley una edad inferior, siempre que no sea inferior a 13 años. El responsable hará esfuerzos razonables para verificarlo, teniendo en cuenta la tecnología disponible. No afecta al Derecho contractual de los Estados miembros.

Artículo 9. Tratamiento de categorías especiales de datos personales

Prohíbe tratar datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas o la afiliación sindical, y tratar datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos de salud o de la vida u orientación sexual. La prohibición no se aplica cuando concurre una de las circunstancias del apartado 2, letras a) a j), como el consentimiento explícito del interesado. Los Estados miembros podrán mantener o introducir condiciones adicionales para datos genéticos, biométricos o de salud.

Artículo 10. Tratamiento de datos personales relativos a condenas e infracciones penales

El tratamiento de datos personales relativos a condenas e infracciones penales o medidas de seguridad conexas, sobre la base del artículo 6, apartado 1, solo podrá llevarse a cabo bajo la supervisión de las autoridades públicas o cuando lo autorice el Derecho de la Unión o de los Estados miembros que establezca garantías adecuadas para los derechos y libertades de los interesados. Un registro completo de condenas penales solo podrá llevarse bajo el control de las autoridades públicas.

Artículo 11. Tratamiento que no requiere identificación

Si los fines del tratamiento no requieren o ya no requieren que el responsable identifique al interesado, aquel no estará obligado a mantener, obtener o tratar información adicional para identificarlo con la única finalidad de cumplir el Reglamento. Cuando el responsable sea capaz de demostrar que no está en condiciones de identificarlo, le informará en consecuencia, de ser posible, y no se aplicarán los artículos 15 a 20, excepto cuando el interesado, para ejercer sus derechos en virtud de esos artículos, facilite información adicional que permita su identificación.

Artículo 12. Transparencia de la información, comunicación y modalidades de ejercicio de los derechos del interesado

El responsable facilita la información de forma concisa, transparente, inteligible y de fácil acceso, con lenguaje claro y sencillo, por escrito o por otros medios (verbalmente si el interesado lo solicita y se demuestra su identidad por otros medios). Responde a las solicitudes sin dilación indebida y, en cualquier caso, en un mes desde la recepción, prorrogable otros dos meses. Si no da curso, lo comunica a más tardar transcurrido un mes. Es gratuito, pero ante solicitudes manifiestamente infundadas o excesivas puede cobrar un canon razonable o negarse a actuar, y debe demostrarlo.

Artículo 13. Información que deberá facilitarse cuando los datos personales se obtengan del interesado

Cuando los datos se obtienen del interesado, el responsable le informa en el momento en que se obtienen: identidad y contacto del responsable y, en su caso, de su representante; contacto del delegado de protección de datos; fines y base jurídica; intereses legítimos; destinatarios, y transferencias a un tercer país. Además: plazo de conservación o criterios para fijarlo, derechos, retirada del consentimiento, reclamación ante una autoridad de control, si debe facilitar los datos y decisiones automatizadas. No se aplica cuando y en la medida en que el interesado ya disponga de la información.

Artículo 14. Información que deberá facilitarse cuando los datos personales no se hayan obtenido del interesado

Si los datos no se han obtenido del interesado, el responsable le informa, entre otros extremos, de fines y base jurídica, categorías de datos, destinatarios, derechos y fuente de la que proceden. Lo hace en un plazo razonable y a más tardar dentro de un mes; si los usa para comunicarse con el interesado, a más tardar en la primera comunicación; si prevé comunicarlos a otro destinatario, a más tardar cuando se comuniquen por primera vez. No se aplica, entre otros casos, si el interesado ya dispone de la información o si comunicarla resulta imposible o supone un esfuerzo desproporcionado.

Artículo 15. Derecho de acceso del interesado

El interesado puede obtener del responsable confirmación de si se tratan o no sus datos y, en tal caso, acceder a ellos y a esta información: fines, categorías de datos, destinatarios (en particular en terceros países u organizaciones internacionales), plazo previsto de conservación o criterios para fijarlo, derechos de rectificación, supresión, limitación y oposición, reclamación ante una autoridad de control, origen de los datos y decisiones automatizadas. El responsable facilita una copia; por cualquier otra puede percibir un canon razonable basado en los costes administrativos.

Artículo 16. Derecho de rectificación

El interesado tiene derecho a obtener del responsable del tratamiento, sin dilación indebida, la rectificación de los datos personales inexactos que le conciernan. Además, teniendo en cuenta los fines del tratamiento, tiene derecho a que se completen los datos personales que sean incompletos, inclusive mediante una declaración adicional.

Artículo 17. Derecho de supresión («el derecho al olvido»)

El responsable debe suprimir sin dilación indebida los datos cuando: ya no sean necesarios para los fines; se retire el consentimiento y no haya otro fundamento jurídico; el interesado se oponga en los términos de la letra c); se hayan tratado ilícitamente; lo exija una obligación legal, o se obtuvieran en la oferta de servicios de la sociedad de la información. Si los hizo públicos, adopta medidas razonables para informar a los responsables que los traten. No se aplica si el tratamiento es necesario, entre otros casos, para la libertad de expresión e información o para reclamaciones.

Artículo 18. Derecho a la limitación del tratamiento

El interesado puede obtener la limitación cuando: impugne la exactitud de los datos, en un plazo que permita al responsable verificarla; el tratamiento sea ilícito y se oponga a la supresión y solicite en su lugar limitar su uso; el responsable ya no necesite los datos pero el interesado sí para reclamaciones, o se haya opuesto en virtud del artículo 21.1, mientras se verifica si prevalecen los motivos del responsable. Los datos limitados solo se tratan, salvo su conservación, con su consentimiento o en los demás casos del apartado 2. El responsable informa antes de levantar la limitación.

Artículo 19. Obligación de notificación relativa a la rectificación o supresión de datos personales o la limitación del tratamiento

El responsable del tratamiento comunica cualquier rectificación o supresión de datos personales o limitación del tratamiento, efectuada con arreglo al artículo 16, al artículo 17, apartado 1, y al artículo 18, a cada uno de los destinatarios a los que se hayan comunicado los datos personales, salvo que sea imposible o exija un esfuerzo desproporcionado. Además, informa al interesado acerca de dichos destinatarios, si este así lo solicita.

Artículo 20. Derecho a la portabilidad de los datos

El interesado tiene derecho a recibir los datos personales que le incumban y que haya facilitado a un responsable, en un formato estructurado, de uso común y lectura mecánica, y a transmitirlos a otro responsable sin que lo impida el primero, cuando el tratamiento se base en el consentimiento o en un contrato y se efectúe por medios automatizados. Tiene derecho a la transmisión directa de responsable a responsable cuando sea técnicamente posible. No se aplica al tratamiento necesario para una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable.

Artículo 21. Derecho de oposición

El interesado puede oponerse en cualquier momento, por motivos relacionados con su situación particular, al tratamiento basado en el artículo 6.1, letras e) o f); el responsable deja de tratar los datos salvo que acredite motivos legítimos imperiosos que prevalezcan o para reclamaciones. Si el tratamiento tiene por objeto la mercadotecnia directa, puede oponerse en todo momento y los datos dejan de tratarse para dichos fines. El derecho se menciona explícitamente a más tardar en la primera comunicación, claramente y al margen de cualquier otra información.

Artículo 22. Decisiones individuales automatizadas, incluida la elaboración de perfiles

Todo interesado tiene derecho a no ser objeto de una decisión basada únicamente en el tratamiento automatizado, incluida la elaboración de perfiles, que produzca efectos jurídicos en él o le afecte significativamente de modo similar. No se aplica si es necesaria para celebrar o ejecutar un contrato con un responsable, la autoriza el Derecho de la Unión o de los Estados miembros con medidas adecuadas, o se basa en el consentimiento explícito. En los casos de contrato y consentimiento, el responsable garantiza como mínimo intervención humana, expresar su punto de vista e impugnarla.

Artículo 23. Limitaciones

El Derecho de la Unión o de los Estados miembros puede limitar, mediante medidas legislativas, las obligaciones y derechos de los artículos 12 a 22 y 34 (y del 5 en lo que se corresponda con los artículos 12 a 22) si la limitación respeta en lo esencial los derechos y libertades fundamentales y es necesaria y proporcionada en una sociedad democrática para salvaguardar los objetivos de las letras a) a j), como la seguridad del Estado, la defensa o la seguridad pública. La medida contendrá como mínimo, en su caso, las disposiciones de las letras a) a h) del apartado 2.

Artículo 24. Responsabilidad del responsable del tratamiento

El responsable del tratamiento aplicará medidas técnicas y organizativas apropiadas para garantizar y poder demostrar que el tratamiento es conforme con el Reglamento, teniendo en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento y los riesgos para las personas físicas. Se revisarán y actualizarán cuando sea necesario. Cuando sean proporcionadas, incluirán las oportunas políticas de protección de datos. La adhesión a códigos de conducta (artículo 40) o a un mecanismo de certificación (artículo 42) podrá usarse como elemento para demostrar el cumplimiento.

Artículo 25. Protección de datos desde el diseño y por defecto

Desde el diseño: el responsable aplicará medidas técnicas y organizativas apropiadas, como la seudonimización, tanto al determinar los medios de tratamiento como en el propio tratamiento, para aplicar los principios de protección de datos, como la minimización. Por defecto: garantizará que solo se traten los datos necesarios para cada fin específico, obligación que se aplica a la cantidad de datos recogidos, la extensión del tratamiento, el plazo de conservación y la accesibilidad. Un mecanismo de certificación del artículo 42 podrá acreditar el cumplimiento.

Artículo 26. Corresponsables del tratamiento

Son corresponsables dos o más responsables que determinan conjuntamente los objetivos y los medios del tratamiento. Fijarán de modo transparente y de mutuo acuerdo sus responsabilidades respectivas, en particular sobre los derechos del interesado y la información de los artículos 13 y 14, salvo, y en la medida en que, las rija el Derecho de la Unión o de los Estados miembros. El acuerdo podrá designar un punto de contacto y sus aspectos esenciales se pondrán a disposición del interesado, que podrá ejercer sus derechos frente a, y en contra de, cada uno de los responsables.

Artículo 27. Representantes de responsables o encargados del tratamiento no establecidos en la Unión

Cuando se aplique el artículo 3, apartado 2, el responsable o el encargado designará por escrito un representante en la Unión. No se exige al tratamiento ocasional, sin manejo a gran escala de categorías especiales de datos o de datos de condenas e infracciones penales y que sea improbable que entrañe riesgo, ni a las autoridades u organismos públicos. Estará establecido en uno de los Estados miembros en que estén los interesados y atenderá, junto al responsable o al encargado, o en su lugar, las consultas. Su designación no impide las acciones contra el propio responsable o encargado.

Artículo 28. Encargado del tratamiento

El responsable elegirá únicamente un encargado con garantías suficientes. El encargado no recurrirá a otro sin autorización previa por escrito, específica o general, del responsable. El tratamiento se rige por contrato u otro acto jurídico, por escrito, inclusive en formato electrónico. Si el otro encargado incumple, el inicial sigue siendo plenamente responsable ante el responsable. La Comisión podrá fijar y una autoridad de control podrá adoptar cláusulas contractuales tipo. El encargado que infrinja el Reglamento al determinar fines y medios será considerado responsable de ese tratamiento.

Artículo 29. Tratamiento bajo la autoridad del responsable o del encargado del tratamiento

El encargado del tratamiento y cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo podrán tratar esos datos siguiendo instrucciones del responsable, a no ser que estén obligados a ello en virtud del Derecho de la Unión o de los Estados miembros.

Artículo 30. Registro de las actividades de tratamiento

Cada responsable y, en su caso, su representante llevarán un registro de las actividades de tratamiento. Cada encargado y, en su caso, su representante, uno de todas las categorías de actividades de tratamiento por cuenta de un responsable. Constarán por escrito, inclusive en formato electrónico, y se pondrán a disposición de la autoridad de control que lo solicite. No obliga a la empresa u organización que emplee a menos de 250 personas, salvo que el tratamiento pueda entrañar un riesgo, no sea ocasional o incluya categorías especiales de datos o datos de condenas e infracciones penales.

Artículo 31. Cooperación con la autoridad de control

El responsable y el encargado del tratamiento y, en su caso, sus representantes cooperarán con la autoridad de control que lo solicite en el desempeño de sus funciones.

Artículo 32. Seguridad del tratamiento

El responsable y el encargado aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros: seudonimización y cifrado; capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes; capacidad de restaurar la disponibilidad y el acceso de forma rápida; y un proceso de verificación, evaluación y valoración regulares. La adhesión a un código de conducta o a un mecanismo de certificación podrá servir para demostrar el cumplimiento del apartado 1.

Artículo 33. Notificación de una violación de la seguridad de los datos personales a la autoridad de control

El responsable notificará la violación de la seguridad de los datos personales a la autoridad de control competente sin dilación indebida y, de ser posible, a más tardar 72 horas después de tener constancia de ella, a menos que sea improbable que constituya un riesgo para los derechos y libertades de las personas físicas; pasado ese plazo, indicará los motivos de la dilación. El encargado la notificará sin dilación indebida al responsable. Si no es posible facilitar la información simultáneamente, se facilitará de manera gradual. El responsable documentará cualquier violación.

Artículo 34. Comunicación de una violación de la seguridad de los datos personales al interesado

Si es probable que la violación de la seguridad entrañe un alto riesgo para los derechos y libertades de las personas físicas, el responsable la comunica al interesado sin dilación indebida y en lenguaje claro y sencillo. No es necesaria si se cumple alguna de tres condiciones: medidas de protección aplicadas a los datos afectados, como el cifrado; medidas ulteriores que garanticen que ya no exista la probabilidad del alto riesgo, o esfuerzo desproporcionado, caso en que se opta por una comunicación pública o medida semejante.

Artículo 35. Evaluación de impacto relativa a la protección de datos

Cuando sea probable que un tipo de tratamiento entrañe un alto riesgo para los derechos y libertades de las personas físicas, el responsable realiza, antes del tratamiento, una evaluación de impacto y recaba el asesoramiento del delegado de protección de datos, si ha sido nombrado. Se requiere en particular en los casos del apartado 3, como la observación sistemática a gran escala de una zona de acceso público. La autoridad de control establece y publica la lista de tratamientos que la requieren y puede publicar la de los que no. El apartado 7 fija su contenido mínimo.

Artículo 36. Consulta previa

El responsable consulta a la autoridad de control antes de proceder al tratamiento cuando la evaluación de impacto muestre que entrañaría un alto riesgo si no toma medidas para mitigarlo. Si la autoridad considera que el tratamiento podría infringir el Reglamento, asesora por escrito en ocho semanas desde la solicitud de la consulta, prorrogables seis semanas según la complejidad; de la prórroga informa en un mes desde la recepción de la solicitud, indicando los motivos. Los plazos pueden suspenderse hasta que obtenga la información solicitada.

Artículo 37. Designación del delegado de protección de datos

Responsable y encargado designan delegado de protección de datos siempre que el tratamiento lo lleve a cabo una autoridad u organismo público (excepto los tribunales en ejercicio de su función judicial), o sus actividades principales requieran observación habitual y sistemática de interesados a gran escala o consistan en el tratamiento a gran escala de categorías especiales o de datos de condenas e infracciones penales. Un grupo empresarial puede nombrar uno único si es fácilmente accesible desde cada establecimiento. Puede ser de plantilla o actuar por contrato de servicios.

Artículo 38. Posición del delegado de protección de datos

Responsable y encargado garantizan que el delegado participe de forma adecuada y en tiempo oportuno en todas las cuestiones de protección de datos personales, lo respaldan con recursos y acceso a datos y operaciones, y garantizan que no reciba ninguna instrucción en el desempeño de sus funciones. No será destituido ni sancionado por desempeñarlas y rinde cuentas directamente al más alto nivel jerárquico. Los interesados pueden ponerse en contacto con él; está obligado al secreto o la confidencialidad y puede desempeñar otras funciones que no den lugar a conflicto de intereses.

Artículo 39. Funciones del delegado de protección de datos

El delegado de protección de datos tiene como mínimo cinco funciones: informar y asesorar al responsable o encargado y a los empleados que se ocupen del tratamiento; supervisar el cumplimiento del Reglamento, de otras disposiciones y de las políticas del responsable o encargado, incluidas la asignación de responsabilidades, la concienciación y formación del personal y las auditorías; asesorar, si se le solicita, sobre la evaluación de impacto y supervisar su aplicación; cooperar con la autoridad de control, y actuar como su punto de contacto.

Artículo 40. Códigos de conducta

Estados miembros, autoridades de control, Comité y Comisión promueven los códigos de conducta. Pueden elaborarlos, modificarlos o ampliarlos las asociaciones y otros organismos representativos de categorías de responsables o encargados, que presentan el proyecto a la autoridad de control competente; esta dictamina, lo aprueba si considera suficientes las garantías y lo registra y publica si no se refiere a varios Estados miembros. Si guarda relación con varios, lo presenta antes al Comité. La Comisión puede decidir su validez general en la Unión. El Comité archiva los códigos en un registro.

Artículo 41. Supervisión de códigos de conducta aprobados

Puede supervisar el cumplimiento de un código de conducta un organismo con el nivel adecuado de pericia en relación con el objeto del código y acreditado por la autoridad de control competente. Para acreditarse ha de demostrar independencia y pericia, tener procedimientos de evaluación y supervisión y de tratamiento de reclamaciones, y demostrar que no hay conflicto de intereses. Ante una infracción del código toma las medidas oportunas, incluida la suspensión o exclusión, e informa a la autoridad de control. No se aplica al tratamiento de autoridades y organismos públicos.

Artículo 42. Certificación

Estados miembros, autoridades de control, Comité y Comisión promueven mecanismos de certificación, sellos y marcas de protección de datos. La certificación es voluntaria, está disponible a través de un proceso transparente y no limita la responsabilidad del responsable o encargado. La expiden los organismos de certificación o la autoridad de control competente, por un período máximo de tres años, renovable en las mismas condiciones mientras se cumplan los criterios. Si los criterios los aprueba el Comité, puede dar lugar al Sello Europeo de Protección de Datos.

Artículo 43. Organismo de certificación

Los organismos de certificación con un nivel adecuado de pericia en protección de datos expiden y renuevan las certificaciones una vez informada la autoridad de control. Los acredita la autoridad de control competente, el organismo nacional de acreditación o ambos. La acreditación se expide por un período máximo de cinco años y puede renovarse en las mismas condiciones si el organismo cumple los requisitos. Los organismos comunican a las autoridades de control las razones de la expedición o retirada de la certificación. La acreditación se revoca si sus condiciones no se cumplen.

Artículo 44. Principio general de las transferencias

Solo se pueden transferir datos personales a un tercer país u organización internacional si el responsable y el encargado del tratamiento cumplen las condiciones del capítulo, a reserva de las demás disposiciones del Reglamento. Esas condiciones incluyen las de las transferencias ulteriores desde ese tercer país u organización a otro tercer país u otra organización internacional. Todo el capítulo se aplica para que el nivel de protección de las personas físicas garantizado por el Reglamento no se vea menoscabado.

Artículo 45. Transferencias basadas en una decisión de adecuación

Cabe transferir datos a un tercer país, territorio, sector u organización internacional cuando la Comisión haya decidido que garantizan un nivel de protección adecuado; no hace falta ninguna autorización específica. La Comisión decide mediante acto de ejecución, con revisión periódica al menos cada cuatro años, supervisa de manera continuada y, si la protección deja de ser adecuada, deroga, modifica o suspende la decisión sin efecto retroactivo. Publica la lista en el Diario Oficial de la Unión Europea y en su página web.

Artículo 46. Transferencias mediante garantías adecuadas

A falta de decisión de adecuación, el responsable o el encargado solo puede transmitir datos a un tercer país u organización internacional si ofrece garantías adecuadas y los interesados cuentan con derechos exigibles y acciones legales efectivas. Sin autorización expresa de una autoridad de control valen: instrumento vinculante entre autoridades u organismos públicos, normas corporativas vinculantes, cláusulas tipo, código de conducta y mecanismo de certificación. Con autorización de la autoridad competente: cláusulas contractuales y disposiciones en acuerdos administrativos.

Artículo 47. Normas corporativas vinculantes

La autoridad de control competente aprueba las normas corporativas vinculantes, conforme al mecanismo de coherencia, si son jurídicamente vinculantes y las cumplen todos los miembros del grupo empresarial o de la unión de empresas, incluidos sus empleados; si confieren expresamente a los interesados derechos exigibles, y si recogen el contenido mínimo del apartado 2 (estructura y contacto, transferencias, principios, derechos, responsabilidad, reclamaciones, auditorías, formación…). La Comisión podrá especificar el formato y los procedimientos de intercambio de información.

Artículo 48. Transferencias o comunicaciones no autorizadas por el Derecho de la Unión

Una sentencia de un órgano jurisdiccional o una decisión de una autoridad administrativa de un tercer país que exijan a un responsable o encargado transferir o comunicar datos personales únicamente será reconocida o ejecutable si se basa en un acuerdo internacional, como un tratado de asistencia jurídica mutua, vigente entre el país tercero requirente y la Unión o un Estado miembro. Todo ello sin perjuicio de otros motivos para la transferencia al amparo del capítulo.

Artículo 49. Excepciones para situaciones específicas

Sin decisión de adecuación ni garantías adecuadas, solo cabe transferir si se da alguna condición: consentimiento explícito e informado; contrato con el interesado o en su interés; razones importantes de interés público; reclamaciones; intereses vitales, o registro público. En su defecto, si no es repetitiva, afecta a un número limitado de interesados y responde a intereses legítimos imperiosos del responsable, que informa a la autoridad de control y al interesado. Las letras a), b) y c) y el párrafo segundo no se aplican a las autoridades públicas en el ejercicio de sus poderes públicos.

Artículo 50. Cooperación internacional en el ámbito de la protección de datos personales

Respecto de terceros países y organizaciones internacionales, la Comisión y las autoridades de control tomarán medidas apropiadas para: crear mecanismos de cooperación internacional; prestarse asistencia mutua a escala internacional (notificación, remisión de reclamaciones, asistencia en las investigaciones e intercambio de información); asociar a partes interesadas a los debates y actividades, y promover el intercambio y la documentación de la legislación y las prácticas, inclusive en materia de conflictos de jurisdicción con terceros países.

Artículo 51. Autoridad de control

Cada Estado miembro establecerá que una o varias autoridades públicas independientes («autoridad de control») supervisen la aplicación del Reglamento, para proteger los derechos y libertades fundamentales de las personas físicas y facilitar la libre circulación de datos en la Unión. Las autoridades cooperan entre sí y con la Comisión. Si hay varias en un Estado, este designa la que las representa en el Comité. Los Estados notifican a la Comisión sus disposiciones legales a más tardar el 25 de mayo de 2018 y, sin dilación, las modificaciones posteriores.

Artículo 52. Independencia

Cada autoridad de control actúa con total independencia. Sus miembros son ajenos a toda influencia externa, directa o indirecta, y no solicitan ni admiten instrucciones; mientras dure su mandato no participan en actividades profesionales incompatibles, remuneradas o no. El Estado miembro garantiza recursos humanos, técnicos y financieros, locales e infraestructuras; personal propio elegido por la autoridad, y un presupuesto anual, público e independiente, que podrá formar parte del presupuesto general del Estado, con un control financiero que no afecte a su independencia.

Artículo 53. Condiciones generales aplicables a los miembros de la autoridad de control

Cada miembro de la autoridad de control es nombrado mediante un procedimiento transparente por el Parlamento, el Gobierno, el Jefe de Estado o un organismo independiente encargado del nombramiento según el Derecho de los Estados miembros. Debe tener la titulación, la experiencia y las aptitudes necesarias, en particular en protección de datos personales. Sus funciones concluyen por terminación del mandato, dimisión o jubilación obligatoria. Solo puede ser destituido por conducta irregular grave o si deja de cumplir las condiciones exigidas.

Artículo 54. Normas relativas al establecimiento de la autoridad de control

Cada Estado miembro establece por ley: el establecimiento de cada autoridad de control; las cualificaciones y condiciones de idoneidad de sus miembros; las normas de nombramiento; la duración del mandato, no inferior a cuatro años (salvo el primer nombramiento posterior al 24 de mayo de 2016, parte del cual puede ser más breve por nombramiento escalonado); si el mandato es renovable y cuántas veces, y las obligaciones, prohibiciones e incompatibilidades. Miembros y personal están sujetos al deber de secreto profesional durante su mandato y después del mismo.

Artículo 55. Competencia

Cada autoridad de control es competente para desempeñar sus funciones y ejercer sus poderes en el territorio de su Estado miembro. Cuando el tratamiento lo efectúan autoridades públicas u organismos privados que actúan con arreglo al artículo 6, apartado 1, letras c) o e), es competente la autoridad de control del Estado miembro de que se trate y no se aplica el artículo 56. Las autoridades de control no son competentes para controlar los tratamientos efectuados por los tribunales en el ejercicio de su función judicial.

Artículo 56. Competencia de la autoridad de control principal

La autoridad de control del establecimiento principal o del único establecimiento del responsable o encargado es la autoridad de control principal para el tratamiento transfronterizo. No obstante, cada autoridad puede tratar una reclamación o posible infracción que se refiera únicamente a un establecimiento de su Estado miembro o afecte de manera sustancial únicamente a interesados de su Estado: informa sin dilación a la principal, que decide en tres semanas si trata el caso. Si no lo trata, lo trata la autoridad que informó. La principal es el único interlocutor del responsable o encargado.

Artículo 57. Funciones

Enumera las funciones de cada autoridad de control en su territorio: controlar y hacer aplicar el Reglamento, sensibilizar al público (con especial atención a los niños) y a responsables y encargados, asesorar al Parlamento nacional y al Gobierno, tratar reclamaciones, cooperar con otras autoridades y llevar registros internos de infracciones. Su desempeño es gratuito para el interesado y, en su caso, para el delegado de protección de datos; ante solicitudes manifiestamente infundadas o excesivas puede establecer una tasa razonable o negarse a actuar, y le corresponde demostrarlo.

Artículo 58. Poderes

Cada autoridad de control dispone de poderes de investigación (información, auditorías, acceso a datos y a locales), correctivos (advertencia si las operaciones previstas pueden infringir el Reglamento, apercibimiento si lo han infringido, órdenes, limitación o prohibición del tratamiento, multa administrativa, suspensión de flujos de datos) y de autorización y consultivos (dictámenes, acreditación, normas corporativas vinculantes). Su ejercicio está sujeto a garantías adecuadas, incluida la tutela judicial efectiva. Cada Estado miembro podrá establecer por ley otros poderes.

Artículo 59. Informe de actividad

Cada autoridad de control elaborará un informe anual de sus actividades, que podrá incluir una lista de tipos de infracciones notificadas y de tipos de medidas adoptadas. Los informes se transmiten al Parlamento nacional, al Gobierno y a las demás autoridades designadas en virtud del Derecho de los Estados miembros, y se ponen a disposición del público, de la Comisión y del Comité.

Artículo 60. Cooperación entre la autoridad de control principal y las demás autoridades de control interesadas

La autoridad de control principal coopera con las demás autoridades interesadas buscando el consenso. Les transmite sin dilación un proyecto de decisión; si alguna formula una objeción pertinente y motivada en cuatro semanas y la principal no la sigue, somete el asunto al mecanismo de coherencia; si prevé seguirla, presenta un proyecto revisado, sujeto a un plazo de dos semanas. Sin objeciones, todas quedan vinculadas. La principal adopta y notifica la decisión; si la reclamación se desestima o rechaza, la adopta la autoridad ante la que se presentó.

Artículo 61. Asistencia mutua

Las autoridades de control se facilitan información útil y se prestan asistencia mutua. La requerida responde sin dilación indebida y a más tardar en un mes desde la solicitud; solo puede negarse si no es competente o si responder infringiría el Reglamento o el Derecho aplicable, y debe explicar sus motivos. No se cobra tasa alguna, aunque cabe convenir indemnización recíproca por gastos específicos en circunstancias excepcionales. Si no se informa en un mes desde la recepción de la solicitud, la requirente puede adoptar una medida provisional en su territorio.

Artículo 62. Operaciones conjuntas de las autoridades de control

Las autoridades de control realizan, en su caso, operaciones conjuntas (incluidas investigaciones y medidas de ejecución). Si el responsable o encargado tiene establecimientos en varios Estados miembros o es probable que un número significativo de interesados de más de uno se vean sustancialmente afectados, una autoridad de cada uno tiene derecho a participar. Los poderes de investigación del personal de la autoridad de origen solo se ejercen bajo la orientación y en presencia de la de acogida. El Estado de acogida responde de los daños; el de origen le restituye íntegramente lo abonado.

Artículo 63. Mecanismo de coherencia

Para contribuir a que el Reglamento se aplique de forma coherente en toda la Unión, las autoridades de control cooperarán entre sí y, en su caso, con la Comisión. Esa cooperación se produce en el marco del mecanismo de coherencia que establece la sección que este artículo abre.

Artículo 64. Dictamen del Comité

El Comité emite dictamen cuando una autoridad de control competente proyecta adoptar alguna de las seis medidas del apartado 1. Además, cualquier autoridad de control, el presidente del Comité o la Comisión pueden pedir que examine un asunto de aplicación general o con efecto en más de un Estado miembro. El dictamen se adopta en ocho semanas por mayoría simple, prorrogables seis más; entretanto la autoridad no adopta su proyecto. Recibido el dictamen, comunica en dos semanas al presidente si mantiene o modifica el proyecto.

Artículo 65. Resolución de conflictos por el Comité

El Comité adopta una decisión vinculante en tres casos: objeción pertinente y motivada de una autoridad interesada que la autoridad principal no sigue o rechaza; puntos de vista enfrentados sobre qué autoridad es competente para el establecimiento principal; y falta de solicitud o de seguimiento del dictamen del Comité. Plazo: un mes desde la remisión, por dos tercios, prorrogable un mes más; si no se logra, dos semanas más por mayoría simple, con voto del presidente si hay empate. La decisión definitiva se adopta a más tardar un mes tras la notificación.

Artículo 66. Procedimiento de urgencia

En circunstancias excepcionales, una autoridad de control interesada que considere urgente proteger los derechos y libertades de interesados puede adoptar inmediatamente medidas provisionales con efectos en su propio territorio y validez no superior a tres meses, y las comunica sin dilación, con sus motivos, a las demás autoridades interesadas, al Comité y a la Comisión. Para medidas definitivas, o si la autoridad competente no actúa, cabe pedir motivadamente al Comité un dictamen o decisión vinculante urgente, que se adopta en dos semanas por mayoría simple.

Artículo 67. Intercambio de información

La Comisión podrá adoptar actos de ejecución de ámbito general para especificar cómo se intercambia información por medios electrónicos entre las autoridades de control, y entre estas y el Comité, en especial el formato normalizado contemplado en el artículo 64. Esos actos se adoptan por el procedimiento de examen a que se refiere el artículo 93, apartado 2.

Artículo 68. Comité Europeo de Protección de Datos

Se crea el Comité Europeo de Protección de Datos como organismo de la Unión con personalidad jurídica, representado por su presidente. Lo componen el director de una autoridad de control de cada Estado miembro y el Supervisor Europeo de Protección de Datos, o sus representantes; si un Estado tiene varias autoridades, se nombra un representante común conforme a su Derecho. La Comisión participa en actividades y reuniones sin derecho a voto y designa un representante. En los casos del artículo 65, el Supervisor solo vota en las decisiones que el apartado 6 delimita.

Artículo 69. Independencia

El Comité actúa con total independencia en el desempeño de sus funciones o el ejercicio de sus competencias con arreglo a los artículos 70 y 71. No solicitará ni admitirá instrucciones de nadie, sin perjuicio de las solicitudes de la Comisión contempladas en el artículo 70, apartados 1 y 2.

Artículo 70. Funciones del Comité

El Comité garantiza la aplicación coherente del Reglamento, a iniciativa propia o, en su caso, a instancia de la Comisión. Entre otras funciones, asesora a la Comisión y le facilita dictámenes; emite directrices, recomendaciones y buenas prácticas; aprueba criterios de certificación y requisitos de acreditación; alienta códigos de conducta; promueve la cooperación y lleva registros públicos. La Comisión puede señalar un plazo según la urgencia. El Comité hace públicos sus textos y, cuando proceda, consulta a las partes interesadas, que comentan en un plazo razonable.

Artículo 71. Informes

El Comité elabora un informe anual sobre la protección de las personas físicas en lo que respecta al tratamiento en la Unión y, si procede, en terceros países y organizaciones internacionales. El informe se hace público y se transmite al Parlamento Europeo, al Consejo y a la Comisión. Incluye un examen de la aplicación práctica de las directrices, recomendaciones y buenas prácticas y de las decisiones vinculantes indicadas en el artículo 65.

Artículo 72. Procedimiento

El Comité toma sus decisiones por mayoría simple de sus miembros, salvo que el Reglamento disponga otra cosa. En cambio, su reglamento interno lo adopta por mayoría de dos tercios de sus miembros. El propio Comité organiza sus disposiciones de funcionamiento.

Artículo 73. Presidencia

El Comité elige de entre sus propios miembros, por mayoría simple, a un presidente y a dos vicepresidentes. El mandato, tanto del presidente como de los vicepresidentes, es de cinco años de duración y puede renovarse una vez.

Artículo 74. Funciones del presidente

El presidente del Comité tiene tres funciones: convocar las reuniones y preparar su orden del día; notificar las decisiones adoptadas con arreglo al artículo 65 a la autoridad de control principal y a las autoridades de control interesadas; y garantizar el ejercicio puntual de las funciones del Comité, en particular en relación con el mecanismo de coherencia. El reparto de funciones entre presidente y vicepresidentes lo determina el Comité en su reglamento interno.

Artículo 75. Secretaría

El Comité cuenta con una secretaría de la que se hace cargo el Supervisor Europeo de Protección de Datos, pero que sigue exclusivamente las instrucciones del presidente del Comité. El personal del Supervisor que participe en las funciones del Comité depende de un superior jerárquico distinto del que desempeña las del Supervisor. El Comité, en consulta con el Supervisor, elabora y publica, si procede, un memorando de entendimiento. La secretaría presta apoyo analítico, administrativo y logístico y responde, en particular, de las siete tareas del apartado 6.

Artículo 76. Confidencialidad

Los debates del Comité son confidenciales cuando el propio Comité lo considere necesario, tal como establezca su reglamento interno. El acceso a los documentos presentados a los miembros del Comité, los expertos y los representantes de terceras partes se rige por el Reglamento (CE) n.º 1049/2001 del Parlamento Europeo y del Consejo.

Artículo 77. Derecho a presentar una reclamación ante una autoridad de control

Todo interesado que considere que el tratamiento de datos personales que le conciernen infringe el Reglamento tiene derecho a presentar una reclamación ante una autoridad de control, en particular en el Estado miembro de su residencia habitual, de su lugar de trabajo o del lugar de la supuesta infracción, sin perjuicio de cualquier otro recurso administrativo o acción judicial. La autoridad ante la que se reclama informa al reclamante sobre el curso y el resultado de la reclamación, incluida la posibilidad de acceder a la tutela judicial.

Artículo 78. Derecho a la tutela judicial efectiva contra una autoridad de control

Toda persona física o jurídica tiene derecho a la tutela judicial efectiva contra una decisión jurídicamente vinculante de una autoridad de control que le concierna. Todo interesado la tiene también si la autoridad competente no da curso a una reclamación o no le informa en tres meses sobre su curso o resultado. Las acciones se ejercitan ante los tribunales del Estado miembro en que esté establecida la autoridad, que remitirá al tribunal el dictamen o decisión del Comité que haya precedido a la decisión impugnada. Todo ello sin perjuicio de otros recursos administrativos o extrajudiciales.

Artículo 79. Derecho a la tutela judicial efectiva contra un responsable o encargado del tratamiento

Todo interesado tiene derecho a la tutela judicial efectiva si considera que sus derechos según el Reglamento han sido vulnerados por un tratamiento de sus datos personales, sin perjuicio de los recursos administrativos o extrajudiciales, incluida la reclamación ante una autoridad de control. Las acciones se ejercitan ante los tribunales del Estado miembro donde el responsable o encargado tenga un establecimiento o, alternativamente, donde el interesado tenga su residencia habitual, salvo que aquel sea una autoridad pública de un Estado miembro que actúe en ejercicio de sus poderes públicos.

Artículo 80. Representación de los interesados

El interesado puede dar mandato a una entidad, organización o asociación sin ánimo de lucro, correctamente constituida con arreglo al Derecho de un Estado miembro, con objetivos estatutarios de interés público y que actúe en el ámbito de la protección de datos, para que reclame y ejerza en su nombre los derechos de los artículos 77, 78 y 79, y el de ser indemnizado si lo establece el Derecho del Estado miembro. Además, cualquier Estado miembro puede disponer que esas entidades reclamen y ejerzan los derechos de los artículos 78 y 79 con independencia del mandato del interesado.

Artículo 81. Suspensión de los procedimientos

Si un tribunal competente de un Estado miembro tiene información de que ante un tribunal de otro Estado miembro pende un procedimiento sobre el mismo asunto y el tratamiento por el mismo responsable o encargado, se pondrá en contacto con él para confirmarlo. Cualquier tribunal competente distinto de aquel ante el que se ejercitó la acción en primer lugar podrá suspender su procedimiento. Si el otro procedimiento pende en primera instancia, podrá también inhibirse, a instancia de una de las partes, si el primer tribunal es competente y la acumulación es conforme a Derecho.

Artículo 82. Derecho a indemnización y responsabilidad

Quien sufra daños y perjuicios materiales o inmateriales por una infracción del Reglamento tiene derecho a que le indemnice el responsable o el encargado. El responsable que participe responde si la operación incumple el Reglamento; el encargado, únicamente si incumple las obligaciones dirigidas específicamente a los encargados o actúa al margen o en contra de las instrucciones legales del responsable. Quedan exentos si demuestran que no son en modo alguno responsables del hecho. Si son varios, cada uno responde de todos los daños y quien pague el total puede reclamar a los demás su parte.

Artículo 83. Condiciones generales para la imposición de multas administrativas

Las multas han de ser en cada caso efectivas, proporcionadas y disuasorias, y se imponen a título adicional o sustitutivo de las medidas del artículo 58.2, letras a) a h) y j). Hay dos topes: 10 000 000 EUR o, en empresas, el 2 % del volumen de negocio total anual global del ejercicio anterior (apartado 4: obligaciones del responsable y del encargado, de los organismos de certificación y del de supervisión); y 20 000 000 EUR o el 4 % (apartados 5 y 6: principios básicos, derechos de los interesados, transferencias, incumplimiento de resoluciones). Siempre se opta por la mayor cuantía.

Artículo 84. Sanciones

Los Estados miembros establecen las normas sobre otras sanciones aplicables a las infracciones del Reglamento, en particular las que no se sancionen con multas administrativas conforme al artículo 83, y adoptan todas las medidas necesarias para garantizar su observancia. Esas sanciones han de ser efectivas, proporcionadas y disuasorias. Cada Estado notifica a la Comisión las disposiciones legislativas que adopte a más tardar el 25 de mayo de 2018 y, sin dilación, cualquier modificación posterior.

Artículo 85. Tratamiento y libertad de expresión y de información

Los Estados miembros conciliarán por ley el derecho a la protección de datos con la libertad de expresión y de información, incluido el tratamiento con fines periodísticos y de expresión académica, artística o literaria. Para esos tratamientos establecerán exenciones o excepciones de los capítulos II, III, IV, V, VI, VII y IX, si son necesarias para esa conciliación. Cada Estado notificará a la Comisión las disposiciones legislativas que adopte y, sin dilación, cualquier modificación posterior, legislativa u otra.

Artículo 86. Tratamiento y acceso del público a documentos oficiales

Los datos personales de documentos oficiales en posesión de una autoridad pública, un organismo público o una entidad privada para la realización de una misión en interés público podrán ser comunicados por esa autoridad, organismo o entidad de conformidad con el Derecho de la Unión o de los Estados miembros que se les aplique, a fin de conciliar el acceso del público a documentos oficiales con el derecho a la protección de los datos personales.

Artículo 87. Tratamiento del número nacional de identificación

Los Estados miembros podrán determinar adicionalmente las condiciones específicas para el tratamiento de un número nacional de identificación o de cualquier otro medio de identificación de carácter general. En ese caso, el número o el medio de identificación se utilizará únicamente con las garantías adecuadas para los derechos y las libertades del interesado con arreglo al Reglamento.

Artículo 88. Tratamiento en el ámbito laboral

Los Estados miembros podrán, mediante disposiciones legislativas o convenios colectivos, establecer normas más específicas sobre el tratamiento de datos de los trabajadores en el ámbito laboral (contratación, organización del trabajo, salud y seguridad, extinción…). Esas normas incluirán medidas para preservar la dignidad humana, los intereses legítimos y los derechos fundamentales, con especial atención a la transparencia, a la transferencia de datos dentro de un grupo empresarial y a los sistemas de supervisión. Se notifican a la Comisión a más tardar el 25 de mayo de 2018.

Artículo 89. Garantías y excepciones aplicables al tratamiento con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos

El tratamiento con fines de archivo en interés público, de investigación científica o histórica o estadísticos está sujeto a garantías adecuadas: medidas técnicas y organizativas, en particular para la minimización de datos, que podrán incluir la seudonimización. El Derecho de la Unión o de los Estados miembros puede exceptuar los derechos de los artículos 15, 16, 18 y 21 (investigación científica o histórica o estadísticos) y los de los artículos 15, 16, 18, 19, 20 y 21 (archivo en interés público). Si el tratamiento sirve también a otro fin, las excepciones solo valen para esos fines.

Artículo 90. Obligaciones de secreto

Los Estados miembros podrán adoptar normas específicas para fijar los poderes de las autoridades de control del artículo 58.1, letras e) y f), respecto de responsables o encargados sujetos a secreto profesional o a otras obligaciones de secreto equivalentes, cuando sea necesario y proporcionado para conciliar la protección de datos con la obligación de secreto. Solo se aplican a los datos recibidos como resultado o con ocasión de la actividad cubierta por el secreto. Se notifican a la Comisión a más tardar el 25 de mayo de 2018 y, sin dilación, sus modificaciones posteriores.

Artículo 91. Normas vigentes sobre protección de datos de las iglesias y asociaciones religiosas

Si en un Estado miembro iglesias, asociaciones o comunidades religiosas aplican, en el momento de la entrada en vigor del Reglamento, un conjunto de normas de protección de las personas físicas en lo que respecta al tratamiento, podrán seguir aplicándolas siempre que sean conformes con el Reglamento. Las iglesias y asociaciones religiosas que las apliquen estarán sujetas al control de una autoridad de control independiente, que podrá ser específica si cumple las condiciones del capítulo VI.

Artículo 92. Ejercicio de la delegación

La delegación de poderes de los artículos 12.8 y 43.8 se otorga a la Comisión por tiempo indefinido a partir del 24 de mayo de 2016. El Parlamento Europeo o el Consejo pueden revocarla en cualquier momento; la revocación surte efecto al día siguiente de su publicación en el Diario Oficial de la Unión Europea o en la fecha posterior que indique, y no afecta a los actos delegados ya en vigor. La Comisión notifica cada acto delegado simultáneamente a ambos, y el acto solo entra en vigor si en tres meses ninguno formula objeciones; el plazo se amplía tres meses a iniciativa de uno u otro.

Artículo 93. Procedimiento de comité

La Comisión estará asistida por un comité, que será un comité en el sentido del Reglamento (UE) n.º 182/2011. Cuando se haga referencia al apartado 2 de este artículo, se aplicará el artículo 5 de ese Reglamento; cuando se haga referencia al apartado 3, se aplicará su artículo 8, en relación con su artículo 5.

Artículo 94. Derogación de la Directiva 95/46/CE

Queda derogada la Directiva 95/46/CE con efecto a partir del 25 de mayo de 2018. Toda referencia a la Directiva derogada se entenderá hecha al Reglamento, y toda referencia al Grupo de protección de las personas en lo que respecta al tratamiento de datos personales, establecido por el artículo 29 de esa Directiva, se entenderá hecha al Comité Europeo de Protección de Datos establecido por el Reglamento.

Artículo 95. Relación con la Directiva 2002/58/CE

El Reglamento no impondrá obligaciones adicionales a las personas físicas o jurídicas en materia de tratamiento en el marco de la prestación de servicios públicos de comunicaciones electrónicas en redes públicas de comunicación de la Unión, en los ámbitos en los que estén sujetas a obligaciones específicas con el mismo objetivo establecidas en la Directiva 2002/58/CE.

Artículo 96. Relación con acuerdos celebrados anteriormente

Los acuerdos internacionales que impliquen la transferencia de datos personales a terceros países u organizaciones internacionales, celebrados por los Estados miembros antes del 24 de mayo de 2016 y que cumplan lo dispuesto en el Derecho de la Unión aplicable antes de esa fecha, seguirán en vigor hasta que sean modificados, sustituidos o revocados.

Artículo 97. Informes de la Comisión

A más tardar el 25 de mayo de 2020, y después cada cuatro años, la Comisión presentará al Parlamento Europeo y al Consejo un informe sobre la evaluación y revisión del Reglamento; los informes se harán públicos. Examinará en particular el capítulo V (transferencias a países terceros u organizaciones internacionales) y el capítulo VII (cooperación y coherencia). Puede solicitar información a los Estados miembros y a las autoridades de control, tendrá en cuenta las posiciones y conclusiones del Parlamento Europeo y del Consejo y, en caso necesario, propondrá modificar el Reglamento.

Artículo 98. Revisión de otros actos jurídicos de la Unión en materia de protección de datos

La Comisión presentará, si procede, propuestas legislativas para modificar otros actos jurídicos de la Unión en materia de protección de datos personales, a fin de garantizar la protección uniforme y coherente de las personas físicas en relación con el tratamiento. Se tratará en particular de las normas sobre el tratamiento por parte de las instituciones, órganos y organismos de la Unión y sobre la libre circulación de tales datos.

Artículo 99. Entrada en vigor y aplicación

El Reglamento entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea y será aplicable a partir del 25 de mayo de 2018. Son dos momentos distintos: el de la entrada en vigor, fijado por un plazo desde la publicación, y el de la aplicación, fijado por una fecha concreta.