DOUE-L-2025-81924
Europeo
Unión Europea
Reglamento
20251126
2518/2025

Reglamento (UE) 2025/2518 del Parlamento Europeo y del Consejo, de 26 de noviembre de 2025, por el que se establecen normas procedimentales adicionales sobre la garantía del cumplimiento del Reglamento (UE) 2016/679.
Diario Oficial de la Unión Europea
20251212
2518
L
1
27
/doue/2025/2518/L00001-00027.pdf
L
20260101
N
N
N
L
https://data.europa.eu/eli/reg/2025/2518/spa
Comités consultivos
Derechos de los ciudadanos
Derechos fundamentales
Ficheros con datos personales
Información
Organismo y agencia CE
Procedimiento administrativo
Aplicable desde el 2 de abril de 2027.
DE CONFORMIDAD con
el Reglamento 2016/679, de 27 de abril
Derecho Administrativo
Unión Europea
EL PARLAMENTO EUROPEO Y EL CONSEJO DE LA UNIÓN EUROPEA,
Visto el Tratado de Funcionamiento de la Unión Europea, y en particular su artículo 16,
Vista la propuesta de la Comisión Europea,
Previa transmisión del proyecto de acto legislativo a los Parlamentos nacionales,
Visto el dictamen del Comité Económico y Social Europeo (1),
Previa consulta al Comité de las Regiones,
De conformidad con el procedimiento legislativo ordinario (2),
Considerando lo siguiente:
(1) | El Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo (3) establece un sistema de ejecución descentralizado que tiene el objetivo de garantizar la interpretación y aplicación coherentes de dicho Reglamento en asuntos relativos a tratamientos transfronterizos. En estos asuntos, el sistema de ejecución descentralizado requiere la cooperación entre las autoridades de control a fin de llegar a un consenso. Cuando las autoridades de control no puedan llegar a un consenso, el Reglamento (UE) 2016/679 dispone que la resolución de conflictos se realice por parte del Comité Europeo de Protección de Datos (en lo sucesivo, «Comité»).
(2) | A fin de garantizar el funcionamiento correcto y eficaz del mecanismo de cooperación y del mecanismo de resolución de conflictos establecidos en los artículos 60 y 65 del Reglamento (UE) 2016/679, respectivamente, es necesario establecer normas relativas a la tramitación de los procedimientos por parte de las autoridades de control en asuntos relativos a tratamientos transfronterizos, y por el Comité durante la resolución de conflictos, incluido al dar curso a reclamaciones. Por ello, también es necesario establecer normas relativas al ejercicio del derecho a ser oído antes de la adopción de decisiones por las autoridades de control y, según proceda, por el Comité.
(3) | A falta de normas de la Unión en la materia, corresponde a cada Estado miembro configurar, de conformidad con el principio de autonomía procesal de los Estados miembros, la regulación de los procedimientos administrativos y judiciales destinados a garantizar un nivel elevado de salvaguardia de los derechos que el Derecho de la Unión confiere a los justiciables. Por consiguiente, el Derecho procesal de cada Estado miembro debe aplicarse a las autoridades de control en la medida en que el presente Reglamento no armonice una materia y siempre que dicha regulación procesal nacional no obstaculice los principios de efectividad y equivalencia del Derecho de la Unión.
(4) | El presente Reglamento tiene por objeto garantizar que las investigaciones en los asuntos relativos a tratamientos transfronterizos se realicen de conformidad con el principio de buena administración, en particular que se realicen de forma imparcial, justa y dentro de un plazo razonable. Por consiguiente, el presente Reglamento establece algunos principios horizontales relativos a los procedimientos para la ejecución del Reglamento (UE) 2016/679 en tales asuntos.
(5) | Las reclamaciones son una fuente primordial de información para detectar las infracciones de la protección de datos. La información aportada por un reclamante como parte de la reclamación presentada o al dar a conocer su opinión puede consistir en argumentos y pruebas que puedan contribuir al avance de la investigación. Hay que establecer procedimientos claros y eficientes para dar curso a las reclamaciones en asuntos relativos a tratamientos transfronterizos, ya que es posible que una autoridad de control distinta de aquella ante la que se ha presentado la reclamación sea la que dé curso a la reclamación.
(6) | Debe entenderse por «reclamación» la reclamación presentada por un interesado ante una autoridad de control de conformidad con el artículo 77, apartado 1, o el artículo 80 del Reglamento (UE) 2016/679. No se ha de considerar reclamación la mera transmisión de información sobre presuntas infracciones que no se refieran al tratamiento de datos personales que conciernan al interesado, las solicitudes de asesoramiento de los responsables o encargados del tratamiento o las solicitudes de carácter general relativas a la aplicación del Reglamento (UE) 2016/679 procedentes ya sea de los responsables del tratamiento, de los encargados del tratamiento o de personas físicas.
(7) | Para que una reclamación relativa a un tratamiento transfronterizo sea admisible, debe contener información precisa. No debe exigirse ninguna información adicional a la mencionada en el presente Reglamento para que dicha reclamación sea admisible. Siguen siendo de aplicación las modalidades y requisitos administrativos para la admisibilidad de reclamaciones que establezca el Derecho nacional de la autoridad de control ante la que se haya presentado la reclamación, como, por ejemplo, la lengua, los plazos de prescripción, los medios de identificación, el formato electrónico, el uso de una plantilla específica o la firma.
(8) | Los datos de contacto de la persona que presenta la reclamación pueden comprender una dirección postal, un lugar de residencia y, en su caso, una dirección de correo electrónico. Debe indicarse claramente en el momento en que se presenta la reclamación si un reclamante es una persona física que no está en condiciones de ejercer su derecho a presentar una reclamación sin la asistencia de un representante legal, por ejemplo, por ser menor o por tener una discapacidad o vulnerabilidad y que, por tanto, ejerce sus derechos a través de otra persona, como un progenitor, un tutor legal o un miembro de la familia, siempre que dicha representación esté permitida por el Derecho nacional.
(9) | Cuando la reclamación sea presentada por una entidad, organización o asociación sin ánimo de lucro a que se refiere el artículo 80 del Reglamento (UE) 2016/679, se debe proporcionar una prueba acreditativa de que la entidad, organización o asociación ha sido correctamente constituida con arreglo al Derecho de un Estado miembro, junto con el nombre y los detalles de contacto de dicha entidad, organización o asociación así como una prueba de que dicha entidad, organización o asociación actúa con arreglo al mandato del interesado. Las modalidades y los procedimientos de dicha prueba se determinarán de conformidad con el Derecho del Estado miembro de la autoridad de control ante la que se haya presentado la reclamación.
(10) | No se debe exigir al reclamante que se ponga en contacto con la parte investigada antes de presentar una reclamación para que esta sea admisible. Cuando la reclamación se refiera al ejercicio de un derecho del interesado que implique que este presente una solicitud ante el responsable del tratamiento, dicha solicitud debe dirigirse al responsable del tratamiento antes de la presentación de la reclamación.
(11) | La autoridad de control ante la que se haya presentado la reclamación debe determinar, mediante conclusiones preliminares, si la reclamación versa sobre un tratamiento transfronterizo, qué autoridad de control se presume competente para actuar en calidad de autoridad de control principal con arreglo al artículo 56, apartado 1, del Reglamento (UE) 2016/679, y si es de aplicación el artículo 56, apartado 2, de dicho Reglamento. Si no se ha iniciado un procedimiento de resolución temprana, la autoridad de control ante la que se haya presentado la reclamación debe transmitir las reclamaciones admitidas a la autoridad de control que se presume competente para actuar como autoridad de control principal e informar de ello al reclamante. La estimación de la admisibilidad de la reclamación por parte de la autoridad de control ante la que se haya presentado debe ser vinculante para la autoridad de control principal.
(12) | Es importante que las autoridades de control faciliten la presentación de toda la información requerida por parte del reclamante, por ejemplo, ofreciendo plantillas o formularios electrónicos, teniendo en cuenta las orientaciones pertinentes del Comité. Las autoridades de control pueden facilitar la presentación de reclamaciones en un formato electrónico de fácil manejo y teniendo en cuenta las necesidades de las personas con discapacidad, siempre que la información al reclamante se corresponda con la información específica requerida. No se debe exigir información adicional para determinar la admisibilidad de la reclamación.
(13) | A fin de que se pueda dar curso a una reclamación de forma más fácil, las autoridades de control deben poder solicitar información complementaria al reclamante. En caso de que falte parte de la información necesaria para que la reclamación sea admisible, la autoridad de control ante la que se haya presentado la reclamación puede ponerse en contacto con el reclamante para obtener la información necesaria, cuando resulte factible. Cuando una reclamación sea inadmitida, la autoridad de control debe declarar su inadmisibilidad e informar al reclamante de la información que falta en el plazo que se establece en el presente Reglamento, a fin de que dicho reclamante pueda presentar una reclamación admisible.
(14) | Cuando la autoridad de control principal, tras recibir de una autoridad de control una reclamación admitida relativa a un tratamiento transfronterizo, requiera información adicional del reclamante para poder realizar la investigación completa de la reclamación, la autoridad de control ante la que se haya presentado la reclamación debe proporcionar asistencia a la autoridad de control principal, por ejemplo, poniéndose en contacto con el reclamante para solicitar la información requerida, en caso necesario.
(15) | Cuando la autoridad de control principal inicie una investigación sobre la base de una reclamación, las partes investigadas deben ser informadas sin demora de la presentación de dicha reclamación y de sus principales elementos. No obstante, la comunicación de dicha información por parte de la autoridad de control principal podría aplazarse el tiempo necesario para proteger la integridad de la investigación y permitir que las medidas de investigación se realicen eficazmente.
(16) | A fin de garantizar el funcionamiento eficaz de los mecanismos de cooperación y coherencia previstos en el capítulo VII del Reglamento (UE) 2016/679, es importante que los asuntos relativos a tratamientos transfronterizos se resuelvan en tiempo oportuno y en consonancia con el espíritu de cooperación leal y eficaz que subyace al artículo 60 del Reglamento (UE) 2016/679. La autoridad de control principal debe ejercer sus competencias en un marco de estrecha cooperación con las demás autoridades de control interesadas. Del mismo modo, las autoridades de control interesadas deben participar activamente en las investigaciones en una fase temprana, procurando llegar a un consenso, haciendo pleno uso de los instrumentos previstos en el Reglamento (UE) 2016/679. Es importante que la cooperación entre las autoridades de control se base en un diálogo abierto que permita a las autoridades de control interesadas influir de manera significativa en el curso de la investigación compartiendo sus experiencias y opiniones con la autoridad de control principal, teniendo debidamente en cuenta el margen de apreciación de que goza cada autoridad de control. Las autoridades de control deben tramitar los procedimientos de manera rápida y eficiente y cooperar entre sí leal y eficazmente, también prestando apoyo cuando sea necesario y respondiendo a las solicitudes sin demora.
(17) | Las autoridades de control deben decidir sobre las reclamaciones en un plazo razonable. Por ello, el presente Reglamento establece varios plazos. El plazo razonable depende de las circunstancias de cada asunto y, en particular, de su contexto, de los distintos trámites procedimentales seguidos por la autoridad de control principal, del comportamiento de las partes investigadas y del reclamante durante el procedimiento y de la complejidad del asunto. Con el fin de proteger eficazmente los derechos y libertades fundamentales de los interesados en relación con el tratamiento de datos personales, es importante que se pueda dar curso a las reclamaciones de manera eficiente y oportuna. En función de las circunstancias del asunto, el tiempo necesario para dar curso a una reclamación podría ser más corto que el plazo que se establece en el presente Reglamento. Una cooperación eficaz entre la autoridad de control principal y las otras autoridades de control interesadas también puede tener un efecto positivo en la tramitación expeditiva de los asuntos.
(18) | Un reclamante debe tener la posibilidad de comunicarse exclusivamente con la autoridad de control ante la que se haya presentado su reclamación. Esta posibilidad no impide que el reclamante se comunique directamente con otra autoridad de control, incluida la autoridad de control principal.
(19) | Es importante tener en cuenta los datos personales tratados y la situación del interesado, por ejemplo cuando una reclamación esté relacionada con el tratamiento de datos personales de menores.
(20) | La autoridad de control principal debe proporcionar a la autoridad de control ante la que se haya presentado la reclamación la información necesaria sobre el avance de la investigación a efectos de proporcionar información actualizada al reclamante.
(21) | Con el fin de que las autoridades de control pongan fin rápidamente a las infracciones del Reglamento (UE) 2016/679 y ofrezcan una resolución rápida a los reclamantes, estas deben esforzarse, cuando sea posible, por resolver las reclamaciones mediante un procedimiento de resolución temprana con arreglo al presente Reglamento. A tal fin, la autoridad de control debe determinar si ya se ha puesto fin a la infracción alegada en la reclamación, de modo que la reclamación carezca de objeto. Los Estados miembros no están obligados a instaurar nuevos procedimientos en el Derecho nacional para que sus autoridades de control puedan resolver una reclamación mediante un procedimiento de resolución temprana.
(22) | Una reclamación solo debe resolverse por un procedimiento de resolución temprana cuando el reclamante no haya presentado a su debido tiempo una objeción a la conclusión de que se ha puesto fin a la presunta infracción y de que, por tanto, la reclamación carece de objeto. La resolución temprana de una reclamación debe aplicarse, por consiguiente, a los casos en que el reclamante esté debidamente en condiciones de evaluar el resultado propuesto.
(23) | La resolución temprana de una reclamación puede resultar especialmente útil para resolver con rapidez las reclamaciones relativas a la vulneración de los derechos del interesado en virtud del capítulo III del Reglamento (UE) 2016/679 con un resultado positivo para el reclamante. Dicha resolución temprana debe permitir a la autoridad de control ante la que se haya presentado la reclamación o a la autoridad de control principal determinar, sobre la base de una colaboración preliminar con el responsable del tratamiento y siempre que se hayan obtenido elementos de prueba, que la reclamación carece de objeto.
(24) | La resolución temprana de una reclamación mediante un procedimiento de resolución temprana debe entenderse sin perjuicio del ejercicio por parte de la autoridad de control principal de sus competencias de conformidad con el Reglamento (UE) 2016/679 sobre el mismo asunto, por ejemplo, en caso de infracciones sistémicas o reiteradas de dicho Reglamento.
(25) | Cuando la autoridad de control principal a la que se haya transmitido la reclamación considere que la reclamación puede resolverse mediante un procedimiento de resolución temprana, debe transmitir un proyecto de decisión con arreglo al artículo 60, apartado 3, del Reglamento (UE) 2016/679 a las demás autoridades de control interesadas, con vistas a que se adopte una decisión definitiva de conformidad con el artículo 60, apartado 7, del Reglamento (UE) 2016/679 por la que se establezca que se ha puesto fin a la presunta infracción y que la reclamación, o parte de ella, ha sido resuelta por la autoridad de control principal. Así, el proyecto de decisión presentado podrá simplificarse y limitarse a informar de que la reclamación se ha resuelto, total o parcialmente, mediante un procedimiento de resolución temprana, indicando los motivos que sustentan la decisión y el alcance de la resolución y confirmando que la reclamación, por tanto, carece de objeto. En tales casos, la autoridad de control principal debe presentar directamente su proyecto de decisión a las otras autoridades de control interesadas, sin necesidad de redactar y difundir una síntesis de las cuestiones clave o las observaciones preliminares.
(26) | Cuando la autoridad de control principal se haya formado una opinión preliminar sobre las principales cuestiones de una investigación, debe tener la posibilidad de cooperar con las otras autoridades de control interesadas a través de un procedimiento de cooperación simple. El procedimiento de cooperación simple debe aplicarse caso por caso, siempre que la autoridad de control principal considere que no existen dudas razonables sobre el objeto de la investigación y que las cuestiones de hecho y de derecho especificadas no requieren una ulterior cooperación, que sería necesaria en una investigación compleja, en particular cuando dichas cuestiones puedan abordarse sobre la base de las características del asunto y de decisiones anteriores en asuntos análogos. Además, es importante que la jurisprudencia existente y las directrices adoptadas por el Comité sobre las presuntas infracciones del Reglamento (UE) 2016/679 que deban investigarse también sean tomadas en consideración por parte de la autoridad de control principal cuando considere que es probable llegar a un consenso sobre los principales elementos de un asunto. En principio, el procedimiento de cooperación simple no se aplica cuando el asunto plantea problemas sistémicos o recurrentes en varios Estados miembros, se refiere a una cuestión jurídica general con respecto a la interpretación, aplicación o ejecución del Reglamento (UE) 2016/679, está relacionado con la intersección de la protección de datos con otros ámbitos jurídicos, afecta a un gran número de interesados en varios Estados miembros, o está relacionado con un gran número de reclamaciones en varios Estados miembros o puede existir un riesgo alto para los derechos y libertades de los interesados.
(27) | Cuando la autoridad de control principal tenga la intención de aplicar el procedimiento de cooperación simple, debe informar de ello a las otras autoridades de control interesadas y aportar toda la información pertinente sobre las características del asunto y la reclamación, incluidos los principales hechos pertinentes y la presunta infracción que vaya a investigarse. Cuando sea de aplicación el procedimiento de cooperación simple, la autoridad de control principal debe seguir cooperando con las otras autoridades de control interesadas y presentar un proyecto de decisión dentro de los plazos establecidos en el presente Reglamento.
(28) | Cuando una autoridad de control esté obligada a adoptar ciertos actos de procedimiento en determinados plazos, el objetivo de dichos plazos es garantizar que el procedimiento avance y concluya en un plazo razonable. Estos plazos no impiden que las autoridades de control adopten los actos de procedimiento necesarios tras su expiración. Por tanto, hay que garantizar que la realización de tales actos de procedimiento una vez expirados sus plazos correspondientes no pueda considerarse motivo de ilegalidad o de nulidad del acto de procedimiento de que se trate o de la decisión definitiva.
(29) | La autoridad de control principal debe poder prorrogar el plazo para la presentación de un proyecto de decisión. Tales prórrogas solo deben aplicarse con carácter excepcional en razón de la complejidad de un asunto. Las otras autoridades de control interesadas deben ser informadas y deben tener la oportunidad de formular objeciones a la prórroga, que la autoridad de control principal debe tener en cuenta al determinar si procede aplicar dicha prórroga, y, en su caso, la duración de esta.
(30) | Cuando la autoridad de control principal prorrogue el plazo para presentar un proyecto de decisión, las otras autoridades de control interesadas deben poder informar a la autoridad de control principal de su valoración en cuanto a la necesidad de actuar para proteger los derechos y libertades de los interesados. Cuando la autoridad de control principal haya sido informada de dicha valoración y no presente un proyecto de decisión en el plazo prorrogado, se presume que se cumplen las condiciones para considerar que es urgente intervenir con arreglo al artículo 66, apartado 1, del Reglamento (UE) 2016/679. No obstante dicha posibilidad, el procedimiento de urgencia sigue a disposición de las autoridades de control en las condiciones establecidas en el artículo 66 del Reglamento (UE) 2016/679.
(31) | A fin de garantizar que los procedimientos se tramiten de manera eficiente, es preferible, sin perjuicio de la autonomía procesal de los Estados miembros, que las vías de recurso contra los trámites procedimentales adoptados por las autoridades de control solo estén disponibles en combinación con un recurso contra una decisión definitiva, salvo que el trámite procedimental en sí afecte irreversiblemente a los derechos de la parte investigada o del reclamante, con independencia de la decisión definitiva.
(32) | Es especialmente importante que las autoridades de control lleguen a un consenso sobre los aspectos clave del asunto lo antes posible y antes de la adopción del proyecto de decisión a que se refiere el artículo 60 del Reglamento (UE) 2016/679.
(33) | El intercambio de información pertinente entre la autoridad de control principal y las otras autoridades de control interesadas constituye un elemento importante en apoyo del espíritu de cooperación leal y eficaz. Dicho intercambio y el suministro oportuno de información específica por parte de la autoridad de control principal es un proceso constante en el curso de una investigación y los documentos y detalles requeridos pueden variar en función de la complejidad del asunto. Dependiendo de la fase de la investigación y de las circunstancias de un asunto, dicha información pertinente podría incluir, entre otras cosas, el intercambio de correspondencia con el responsable del tratamiento o el interesado en relación con una reclamación o investigación, los documentos preparatorios para una auditoría o inspección o valoraciones tecnológicas o jurídicas preliminares por parte de la autoridad de control principal en el marco de una etapa concreta de la investigación.
(34) | Si bien la autoridad de control principal debe proporcionar toda información pertinente a las otras autoridades de control interesadas tan pronto como se disponga de ella, las otras autoridades de control interesadas también deben poner a disposición de forma proactiva toda información pertinente que consideren útil para evaluar los elementos de hecho y de derecho del asunto. El intercambio de información pertinente debe facilitar una cooperación rápida y eficaz entre las autoridades de control y puede, en determinados casos, basarse en resúmenes, extractos o copias de documentos para agilizar la comprensión de un asunto, mientras que permita aportar información complementaria cuando resulte necesaria. A fin de facilitar el intercambio efectivo y adecuado de información pertinente entre las autoridades de control, el Comité debe poder concretar las modalidades y requisitos para el intercambio de esta información.
(35) | Como parte de la información pertinente sobre un asunto específico, la autoridad de control principal debe proporcionar a las otras autoridades de control interesadas un resumen de las cuestiones clave en el que exponga su opinión preliminar sobre las principales cuestiones de una investigación. Este resumen debe comunicarse en una fase suficientemente temprana para permitir la inclusión efectiva de las opiniones expresadas por las otras autoridades de control interesadas, pero al mismo tiempo en una fase en la que la autoridad de control principal disponga de elementos suficientes para formar su opinión sobre el asunto, cuando sea necesario, mediante un análisis preliminar y posibles primeras medidas de investigación. El resumen de las cuestiones clave también debe incluir, cuando proceda, la determinación preliminar de posibles medidas correctoras cuando la autoridad de control principal disponga de suficientes elementos para formarse una opinión preliminar sobre estas medidas, en particular cuando puedan identificarse con facilidad, en esta fase inicial, las disposiciones del Reglamento (UE) 2016/679 a las que afecta la presunta infracción.
(36) | Las autoridades de control interesadas deben tener la oportunidad de formular sus observaciones sobre el resumen de las cuestiones clave, también sobre una amplia variedad de cuestiones, como el objeto de la investigación, la determinación de las presuntas infracciones y la identificación de cuestiones de hecho y de derecho pertinentes para la investigación. Dado que el objeto de la investigación determina las cuestiones que requieren una investigación por parte de la autoridad de control principal, las autoridades de control deben esforzarse por llegar a un consenso lo antes posible sobre el objeto de la investigación.
(37) | En aras de una cooperación efectiva e inclusiva entre la autoridad de control principal y todas las otras autoridades de control interesadas, resulta importante que el resumen de las cuestiones clave y las observaciones de las autoridades de control interesadas sean concisos y redactados en términos suficientemente claros y precisos para que sean fácilmente comprensibles para todas las autoridades de control. Los argumentos jurídicos deben agruparse en función de la parte del resumen de las cuestiones clave a la que se refieren. El resumen de las cuestiones clave y las observaciones de las autoridades de control interesadas pueden completarse con documentos adicionales. Sin embargo, una mera referencia en las observaciones de una autoridad de control interesada a los documentos complementarios no puede paliar la ausencia de los argumentos esenciales de hecho o de derecho que han de figurar en las observaciones. Es necesario indicar los elementos esenciales de hecho y de derecho en los que se basan dichos documentos, al menos de forma sumaria, coherente y comprensible, en la propia observación.
(38) | Las autoridades de control deben poder utilizar todos los medios necesarios para llegar a un consenso en un espíritu de cooperación leal y eficaz. En caso de divergencia de opiniones entre la autoridad de control principal y las otras autoridades de control interesadas en relación con el objeto de una investigación basada en una reclamación, incluido respecto a las disposiciones del Reglamento (UE) 2016/679 afectadas por la presunta infracción que va a investigarse, o cuando las observaciones de las autoridades de control interesadas se refieran a un cambio importante en la compleja valoración jurídica o fáctica, o a la determinación preliminar de posibles medidas correctoras, las autoridades de control interesadas pueden utilizar los instrumentos previstos en los artículos 61 y 62 del Reglamento (UE) 2016/679.
(39) | El Reglamento (UE) 2016/679 permite a la autoridad de control solicitar una decisión vinculante urgente por parte del Comité cuando una autoridad de control competente no haya tomado una medida adecuada en una situación en la que sea urgente intervenir a fin de proteger los derechos y las libertades de los interesados. En virtud del presente Reglamento, cuando, tras la utilización de los medios establecidos en el presente Reglamento, las autoridades de control no lleguen a un consenso sobre el objeto de una investigación basada en una reclamación debe presumirse que se cumplen las condiciones a que se refiere el artículo 66, apartado 3, del Reglamento (UE) 2016/679 para solicitar una decisión vinculante urgente y la autoridad de control principal debe solicitar una decisión vinculante urgente del Comité. La decisión vinculante urgente del Comité sobre el objeto de una investigación basada en una reclamación no puede prejuzgar el resultado de la investigación de la autoridad de control principal ni la efectividad del derecho de las partes afectadas a ser oídas.
(40) | Deben conferirse derechos procesales al reclamante en la medida en que se vean afectados sus derechos y libertades como interesado. Los trámites procedimentales establecidos en el presente Reglamento, relativos a la cooperación entre autoridades de control, no confieren derechos al reclamante ni a las partes investigadas. Así pues, el presente Reglamento aclara qué disposiciones sobre los trámites procedimentales no confieren derechos a las personas o partes investigadas o no limitan esos derechos.
(41) | Los reclamantes deben tener la oportunidad de dar a conocer su opinión antes de que se adopte una decisión que les afecte negativamente. Por consiguiente, en caso de rechazo o de desestimación total o parcial de una reclamación en un asunto relativo a tratamientos transfronterizos, el reclamante debe tener la oportunidad de dar a conocer su opinión antes de la transmisión de un proyecto de decisión con arreglo al artículo 60, apartado 3, del Reglamento (UE) 2016/679, de la presentación de un proyecto de decisión revisado con arreglo al artículo 60, apartado 5, de dicho Reglamento o de la adopción de una decisión vinculante del Comité con arreglo al artículo 65, apartado 1, letra a), de dicho Reglamento.
(42) | Es necesario aclarar el reparto de responsabilidades entre la autoridad de control principal y la autoridad de control ante la que se haya presentado la reclamación en caso de rechazo o de desestimación total o parcial de la reclamación en un asunto relativo a un tratamiento transfronterizo. Como punto de contacto para el reclamante durante la investigación, la autoridad de control ante la que se ha presentado la reclamación debe ofrecer al reclamante la oportunidad de dar a conocer su opinión sobre la propuesta de rechazo o de desestimación total o parcial de la reclamación y dicha autoridad debe ser responsable de todas las comunicaciones con el reclamante. Todas estas comunicaciones deben transmitirse a la autoridad de control principal. Dado que, de conformidad con el artículo 60, apartados 8 y 9 del Reglamento (UE) 2016/679, la autoridad de control ante la que se haya presentado la reclamación tiene la responsabilidad de adoptar la decisión definitiva de rechazo o de desestimación total o parcial de la reclamación, la autoridad de control principal debe preparar el proyecto de decisión con arreglo al artículo 60, apartado 3, del Reglamento (UE) 2016/679 en cooperación con la autoridad de control ante la que se haya presentado la reclamación. Esta cooperación incluye la posibilidad de solicitar la asistencia de la autoridad de control ante la que se haya presentado la reclamación para preparar dicho proyecto.
(43) | La aplicación efectiva de la normativa de la Unión sobre protección de datos personales debe respetar plenamente los derechos de defensa de las partes investigadas, lo que constituye un principio fundamental del Derecho de la Unión de obligado cumplimiento en cualquier circunstancia y estos derechos revisten especial importancia en procedimientos que puedan dar lugar a la imposición de sanciones.
(44) | Con el fin de salvaguardar efectivamente el derecho a una buena administración y los derechos de defensa reconocidos en la Carta de los Derechos Fundamentales de la Unión Europea (en lo sucesivo, «Carta»), es importante establecer normas claras sobre el ejercicio del derecho de toda persona a ser oída antes de que se tome en contra suya una medida individual que la afecte negativamente.
(45) | Las normas relativas al procedimiento administrativo aplicado por las autoridades de control al hacer cumplir el Reglamento (UE) 2016/679 deben garantizar que las partes investigadas tengan efectivamente la oportunidad de dar a conocer sus opiniones sobre la veracidad y la pertinencia de los hechos y circunstancias invocados por la autoridad de control y las objeciones presentadas a lo largo de todo el procedimiento, permitiéndoles así ejercer su derecho de defensa. Las observaciones preliminares establecen la posición preliminar sobre la presunta infracción del Reglamento (UE) 2016/679 tras una investigación. Constituyen, por tanto, una garantía procesal esencial que garantiza el respeto del derecho a ser oído. Debe proporcionarse a las partes investigadas los documentos necesarios para defenderse eficazmente y para formular observaciones sobre las alegaciones formuladas en su contra, recibiendo acceso al expediente administrativo.
(46) | Estas normas se deben entender sin perjuicio de la posibilidad de que las autoridades de control concedan un mayor acceso al expediente administrativo para estudiar las opiniones de cualquiera de las partes investigadas o del reclamante durante el procedimiento, de conformidad con el Derecho nacional de la autoridad de control principal.
(47) | Las observaciones preliminares definen el objeto de la investigación y, por lo tanto, el objeto de cualquier decisión definitiva futura, en su caso, adoptada sobre la base de una decisión vinculante emitida por el Comité en virtud del artículo 65, apartado 1, letra a), del Reglamento (UE) 2016/679, que pueda dirigirse a los responsables o encargados del tratamiento. Las observaciones preliminares, aun sucintas, deben ser lo suficientemente claras como para permitir a las partes investigadas identificar adecuadamente la naturaleza de la presunta infracción del Reglamento (UE) 2016/679. La obligación de proporcionar a las partes investigadas toda la información necesaria para que puedan defenderse adecuadamente se cumple si la decisión definitiva no afirma que las partes investigadas han cometido infracciones distintas de las mencionadas en las observaciones preliminares y solo tiene en cuenta los hechos sobre los que las partes investigadas han tenido la oportunidad de dar a conocer sus opiniones. No obstante, la decisión definitiva de la autoridad de control principal no tiene por qué ser necesariamente una reproducción de las observaciones preliminares. Debe permitirse que la autoridad de control principal tenga en cuenta las respuestas de las partes investigadas a las observaciones preliminares en la decisión definitiva y, en su caso, en el proyecto de decisión revisado con arreglo al artículo 60, apartado 5, del Reglamento (UE) 2016/679. La autoridad de control principal debe poder realizar su propia apreciación de los hechos y los argumentos jurídicos presentados por las partes investigadas, bien para rechazar los argumentos cuando la autoridad de control principal los considere infundados, o bien para completar y reformular sus conclusiones, tanto de hecho como de derecho, en apoyo de los argumentos que mantiene. Por ejemplo, tener en cuenta una alegación formulada por una parte investigada durante el procedimiento administrativo, sin que se le haya dado la oportunidad de ser oída al respecto antes de la adopción de la decisión definitiva, no puede constituir, en cuanto tal, una vulneración del derecho de defensa.
(48) | El presente Reglamento establece normas para las situaciones en las que el Derecho nacional exige a la autoridad de control principal intervenir en ulteriores procedimientos nacionales relacionados con el mismo asunto, tales como procedimientos de recurso administrativo.
(49) | Las partes investigadas deben tener derecho a ser oídas antes de la presentación de un proyecto de decisión revisado con arreglo al artículo 60, apartado 5, del Reglamento (UE) 2016/679 o de la adopción de una decisión vinculante por el Comité en virtud del artículo 65, apartado 1, letra a), de dicho Reglamento. Entre los nuevos elementos de derecho figuran objeciones pertinentes y motivadas, en caso de que, en virtud del artículo 60, apartado 4, del Reglamento (UE) 2016/679, dichas objeciones contengan valoraciones jurídicas diferentes de las propuestas por la autoridad de control principal en el proyecto de decisión presentado.
(50) | Debe darse a los reclamantes la posibilidad de asociarse a los procedimientos incoados por una autoridad de control con vistas a identificar o aclarar cuestiones relacionadas con una posible infracción del Reglamento (UE) 2016/679. El hecho de que una autoridad de control ya haya iniciado una investigación sobre el asunto de la reclamación o vaya a dar curso a la reclamación en una investigación de oficio posterior a la recepción de la reclamación no impide que un interesado pueda ser considerado reclamante. Una investigación por parte de una autoridad de control de una posible infracción del Reglamento (UE) 2016/679 por parte de un responsable o encargado del tratamiento es un procedimiento iniciado por una autoridad de control, por propia iniciativa o sobre la base de una reclamación, en el cumplimiento de sus funciones con arreglo al artículo 57, apartado 1, de dicho Reglamento. Las partes investigadas y el reclamante no se encuentran en la misma situación procesal, y es esencial salvaguardar el derecho de defensa de la parte investigada. Las partes investigadas y el reclamante pueden invocar el derecho fundamental a ser oídos cuando la decisión afecte negativamente a su situación jurídica.
(51) | Debe darse a los reclamantes la oportunidad de presentar por escrito sus opiniones sobre las observaciones preliminares en la medida en que dichas opiniones se refieran a su reclamación relativa al tratamiento de sus datos personales. Sin embargo, no han de tener acceso a secretos comerciales u otro tipo de información confidencial perteneciente a las partes investigadas o terceras personas tanto físicas como jurídicas.
(52) | A la hora de fijar plazos para que las partes investigadas y los reclamantes presenten sus opiniones sobre las observaciones preliminares, es importante que las autoridades de control tengan en cuenta la complejidad de las cuestiones planteadas en las observaciones preliminares, a fin de garantizar que las partes investigadas y los reclamantes tengan la oportunidad suficiente de expresar de manera significativa sus opiniones sobre las cuestiones planteadas.
(53) | El intercambio de opiniones entre las autoridades de control previo a la presentación de un proyecto de decisión implica un diálogo abierto y un amplio intercambio de opiniones en el que las autoridades de control deben hacer todo lo posible por llegar a un consenso sobre el camino a seguir en una investigación. Por el contrario, las objeciones pertinentes y motivadas por las que se expresa el desacuerdo con arreglo al artículo 60, apartado 4, del Reglamento (UE) 2016/679, que aumentan el riesgo de necesitar una resolución de conflictos entre autoridades de control con arreglo al artículo 65 de dicho Reglamento y retrasan la adopción de una decisión definitiva por parte de la autoridad de control competente, deben formularse únicamente en el caso de que las autoridades de control no lleguen a un consenso y cuando sean necesarias para garantizar la interpretación coherente del Reglamento (UE) 2016/679. Estas objeciones deben utilizarse cuando estén en juego cuestiones de aplicación coherente del Reglamento (UE) 2016/679.
(54) | En aras de una conclusión eficaz e inclusiva del procedimiento de resolución de conflictos, en el que todas las autoridades de control deben estar en condiciones de aportar sus opiniones y teniendo en cuenta las limitaciones de tiempo que se aplican a la resolución de conflictos, la forma y la estructura de las objeciones pertinentes y motivadas deben cumplir determinados requisitos.
(55) | El acceso al expediente administrativo está previsto como parte de los derechos de defensa y del derecho a una buena administración reconocidos en la Carta. Debe proporcionarse el acceso al expediente administrativo a las partes investigadas cuando se les notifiquen las observaciones preliminares y debe fijarse el plazo para que presenten su contestación a dichas observaciones por escrito.
(56) | Al conceder acceso al expediente administrativo a las partes investigadas y al reclamante, las autoridades de control deben garantizar la protección de los secretos comerciales y otra información confidencial. La categoría de «otra información confidencial» abarca la información que no constituye secreto comercial pero que puede considerarse confidencial de conformidad con el Derecho de la Unión y nacional debido a que su divulgación perjudicaría de forma significativa a un responsable o un encargado del tratamiento o una persona física o jurídica. La información confidencial debe comprender, en particular, la información que conozca solamente un número reducido de personas y cuya divulgación pueda acarrear un grave perjuicio a la persona que la proporcionó o a terceros, así como cuando los intereses que puedan resultar perjudicados por la divulgación de dicha información sean, objetivamente, dignos de protección. Las autoridades de control deben poder solicitar que las partes investigadas que presenten o hayan presentado documentos o declaraciones identifiquen la información confidencial.
(57) | Cuando sea necesario recurrir a secretos comerciales o a otro tipo de información confidencial para probar la comisión de una infracción, la autoridad de control debe determinar, para cada uno de los documentos, de manera proporcionada si la necesidad de divulgarlo es superior al daño que pueda derivarse de su divulgación.
(58) | El acceso a los documentos incluidos en el expediente administrativo que se derive del acceso a documentos públicos se debe proporcionar de conformidad con el Derecho nacional de los Estados miembros. A este respecto, es importante proteger la integridad del proceso de toma de decisiones hasta que la autoridad de control competente adopte la decisión definitiva.
(59) | Es importante que el Comité facilite el acceso a las decisiones adoptadas de conformidad con los mecanismos de cooperación y coherencia, poniendo a disposición en línea el texto de las decisiones definitivas adoptadas por las autoridades nacionales de control a través de registros de fácil acceso. De conformidad con el Derecho nacional aplicable, las autoridades de control pueden expurgar nombres, cualquier dato que pueda permitir identificar a las partes investigadas o al reclamante y otra información protegida en virtud del Derecho de la Unión o nacional aplicable.
(60) | Es importante que la comunicación al reclamante de una versión de la decisión definitiva de conformidad con el presente Reglamento se siga haciendo sin perjuicio de la posibilidad de que una autoridad de control, ejerciendo sus poderes correctivos, decida si publicar la decisión o no.
(61) | Al remitir un asunto a la resolución de conflictos con arreglo al artículo 65 del Reglamento (UE) 2016/679, la autoridad de control principal debe proporcionar al Comité todos los documentos e información necesarios para permitirle evaluar la admisibilidad de las objeciones pertinentes y motivadas y adoptar la decisión en virtud del artículo 65, apartado 1, letra a), de dicho Reglamento. Una vez que el Comité esté en posesión de todos los documentos e información necesarios, su presidente debe registrar la remisión del asunto de conformidad con el artículo 65, apartado 2, del Reglamento (UE) 2016/679.
(62) | La decisión vinculante del Comité en virtud del artículo 65, apartado 1, letra a), del Reglamento (UE) 2016/679 debe referirse exclusivamente a asuntos que hayan dado lugar a la activación de la resolución de conflictos y estar redactada de manera que permita a la autoridad de control principal adoptar su decisión definitiva sobre la base de la decisión del Comité.
(63) | Con el fin de racionalizar la resolución de los conflictos entre autoridades de control sometidos al Comité con arreglo al artículo 65, apartado 1, letras b) y c), del Reglamento (UE) 2016/679, es necesario especificar las normas de procedimiento relativas a los documentos e información que deben presentarse al Comité y en los que este debe basar su decisión. También es necesario especificar cuándo el Comité debe registrar la remisión del asunto para la resolución de conflictos.
(64) | Con el fin de racionalizar el procedimiento para la adopción de dictámenes urgentes y decisiones vinculantes urgentes del Comité en virtud del artículo 66, apartado 2, del Reglamento (UE) 2016/679, es necesario especificar normas de procedimiento relativas al calendario de las solicitudes de dictamen urgente o de decisión vinculante urgente, así como los documentos e información que deben presentarse al Comité y en los que este debe basar su decisión.
(65) | El Reglamento (UE) 2016/679 establece que el interesado tiene derecho a la tutela judicial efectiva cuando una autoridad de control competente no dé curso a una reclamación. El presente Reglamento no crea nuevos recursos judiciales además de los ya establecidos por el Reglamento (UE) 2016/679 ni limita la aplicación de los recursos judiciales establecidos por dicho Reglamento. Ciertas disposiciones del presente Reglamento revisten especial importancia para que la decisión definitiva adoptada por las autoridades de control al dar curso a las reclamaciones se presente en tiempo útil. Al determinar si una autoridad de control ha dado curso a una reclamación, debe tenerse en cuenta si la autoridad de control ha cumplido determinados plazos establecidos en el presente Reglamento y en el Reglamento (UE) 2016/679. Para ello, es esencial salvaguardar el derecho del reclamante a que se dé curso a su reclamación en un plazo razonable. Las disposiciones del presente Reglamento se entienden sin perjuicio de la posibilidad de que el Derecho nacional disponga vías de recurso para la parte investigada, habida cuenta de su derecho a que sus asuntos se tramiten en un plazo razonable.
(66) | La aplicación del presente Reglamento requiere herramientas digitales adecuadas que apoyen el intercambio rápido y seguro de información. Es importante que todas las autoridades de protección de datos dispongan de una herramienta electrónica común segura y adecuada, teniendo en cuenta la experiencia adquirida con el uso de las herramientas existentes. También es importante que se proporcionen los recursos necesarios para la aplicación de dicha herramienta electrónica y que esta proporcione la recopilación y consolidación, por parte del Comité, de estadísticas sobre la aplicación de la legislación en los asuntos relativos a tratamientos transfronterizos.
(67) | Los capítulos III y IV del presente Reglamento se refieren a la cooperación entre las autoridades de control, los derechos procesales de las partes investigadas y la participación de los reclamantes. Para garantizar la seguridad jurídica, dichas disposiciones no deben aplicarse a investigaciones en curso en el momento de la entrada en vigor del presente Reglamento. Deben aplicarse a las investigaciones de oficio iniciadas después de transcurridos quince meses desde la fecha de entrada en vigor del presente Reglamento y a las investigaciones basadas en reclamaciones cuando la reclamación se haya presentado después de transcurridos quince meses desde la fecha de entrada en vigor del presente Reglamento. Los capítulos V y VI del presente Reglamento establecen normas de procedimiento para los asuntos remitidos a resolución de conflictos con arreglo al artículo 65 del Reglamento (UE) 2016/679 y para las solicitudes de dictamen urgente o de decisión vinculante urgente con arreglo al artículo 66 del Reglamento (UE) 2016/679. Por razones de seguridad jurídica, dichos capítulos no deben aplicarse a los asuntos que se hayan remitido a la resolución de conflictos antes de la entrada en vigor del presente Reglamento. Deben aplicarse a todos los asuntos remitidos a la resolución de conflictos después de transcurridos quince meses desde la fecha de entrada en vigor del presente Reglamento.
(68) | El Supervisor Europeo de Protección de Datos y el Comité a los que se consultó de conformidad con el artículo 42, apartados 1 y 2, del Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo (4), emitieron su dictamen conjunto el 19 de septiembre de 2023.
HAN ADOPTADO EL PRESENTE REGLAMENTO:
CAPÍTULO I
DISPOSICIONES GENERALES
Artículo 1
Objeto y ámbito de aplicación
El presente Reglamento establece las normas de procedimiento para dar curso a reclamaciones y realizar investigaciones en asuntos basados en reclamaciones o iniciados de oficio por parte de autoridades de control en el cumplimiento del Reglamento (UE) 2016/679 cuando dichos asuntos se refieran a tratamientos transfronterizos. Dar curso a reclamaciones y realizar investigaciones en asuntos relativos a tratamientos transfronterizos incluye determinar si un asunto se refiere a un tratamiento transfronterizo.
Artículo 2
Definiciones
A los efectos del presente Reglamento, se aplicarán las definiciones del artículo 4 del Reglamento (UE) 2016/679.
Asimismo, se entenderá por:
«parte investigada»: los responsables o los encargados del tratamiento investigados por una presunta infracción del Reglamento (UE) 2016/679 relativa a un tratamiento transfronterizo;
Artículo 3
Principios relativos a la aplicación del Reglamento (UE) 2016/679 en asuntos relativos a tratamientos transfronterizos
1. Las autoridades de control tramitarán los procedimientos comprendidos en el ámbito de aplicación del presente Reglamento de manera oportuna y eficiente. Cooperarán entre sí leal y eficazmente, lo que incluye la prestación de apoyo cuando sea necesario y la respuesta sin demora a las solicitudes.
2. La autoridad de control podrá acumular o separar procedimientos de conformidad con el Derecho procesal nacional, en la medida en que acumular o separar tales procedimientos no menoscabe los derechos de las partes investigadas o del reclamante.
3. Todo reclamante tendrá la posibilidad de comunicarse exclusivamente con la autoridad de control ante la que haya presentado su reclamación, con arreglo al artículo 77 del Reglamento (UE) 2016/679.
4. Una reclamación a la que se haya dado curso siempre dará lugar a una decisión que será objeto de tutela judicial efectiva en el sentido del artículo 78 del Reglamento (UE) 2016/679.
5. En aras de la eficiencia del procedimiento, las autoridades de control podrán limitar la extensión de los documentos que presenten la parte investigada y el reclamante, teniendo en cuenta la complejidad del asunto y los documentos que ya se hayan presentado.
CAPÍTULO II
PRESENTACIÓN DE RECLAMACIONES Y RESOLUCIÓN TEMPRANA
Artículo 4
Reclamaciones relativas a tratamientos transfronterizos
1. Una reclamación sobre la base del Reglamento (UE) 2016/679 relativa a tratamientos transfronterizos será admisible siempre que contenga la información siguiente:
a) | el nombre y los datos de contacto de la persona que presenta la reclamación;
b) | cuando la reclamación la presente una entidad, organización o asociación sin ánimo de lucro a que se refiere el artículo 80 del Reglamento (UE) 2016/679, una prueba acreditativa de que dicha entidad, organización o asociación ha sido correctamente constituida con arreglo al Derecho de un Estado miembro;
c) | cuando la reclamación se presente en virtud del artículo 80, apartado 1, del Reglamento (UE) 2016/679, el nombre y los datos de contacto de la entidad, organización o asociación sin ánimo de lucro que presente tal reclamación, y una prueba acreditativa de que dicha entidad, organización o asociación actúa por mandato de un interesado;
d) | la información que facilite la identificación del responsable o del encargado del tratamiento objeto de la reclamación;
e) | la descripción de la presunta infracción del Reglamento (UE) 2016/679.
No se requerirá ninguna información adicional a la mencionada en el párrafo primero para que una reclamación relativa a tratamientos transfronterizos sea admisible.
Seguirán siendo de aplicación las modalidades y requisitos administrativos que establezca el Derecho procesal nacional de la autoridad de control ante la que se haya presentado la reclamación.
2. Cuando la autoridad de control ante la que se haya presentado la reclamación determine que la reclamación no contiene la información a que se refiere el apartado 1, párrafo primero, declarará la inadmisibilidad de esta en un plazo de dos semanas a partir de su recepción e informará al reclamante de los motivos de la inadmisibilidad.
3. No se exigirá al reclamante que se haya puesto en contacto con la parte investigada antes de presentar una reclamación para que esta sea admisible.
Sin perjuicio de lo establecido en el párrafo primero, cuando una reclamación se refiera al ejercicio de un derecho del interesado que implique que el interesado en cuestión presente una solicitud ante el responsable del tratamiento, dicha solicitud debe dirigirse al responsable del tratamiento antes de la presentación de la reclamación.
4. La autoridad de control ante la que se haya presentado la reclamación determinará, mediante unas conclusiones preliminares, lo siguiente:
a) | si la reclamación se refiere a tratamientos transfronterizos;
b) | qué autoridad de control presume que debe ser competente para actuar como autoridad de control principal de conformidad con el artículo 56, apartado 1, del Reglamento (UE) 2016/679, y
c) | si es de aplicación el artículo 56, apartado 2, del Reglamento (UE) 2016/679.
5. Cuando una reclamación relativa a tratamientos transfronterizos sea admisible y a falta de una resolución temprana de conformidad con el artículo 5, la autoridad de control ante la que se haya presentado la reclamación la transmitirá a la autoridad de control que se presume competente para actuar como autoridad de control principal en un plazo no superior a seis semanas a partir de la recepción de la reclamación e informará al reclamante de dicha transmisión.
La estimación de la admisibilidad de la reclamación por parte de la autoridad de control ante la que se haya presentado será vinculante para la autoridad de control principal.
6. En un plazo de seis semanas a partir de la recepción de una reclamación, la autoridad de control que se presume competente para actuar como autoridad de control principal confirmará su competencia o, cuando existan puntos de vista enfrentados sobre cuál de las otras autoridades de control interesadas es competente para el establecimiento principal, remitirá el asunto al Comité Europeo de Protección de Datos (en lo sucesivo, «Comité») para la resolución de conflictos de conformidad con el artículo 65, apartado 1, letra b), del Reglamento (UE) 2016/679.
Cuando la autoridad de control que se presume competente para actuar como autoridad de control principal no confirme su competencia o no remita el asunto al Comité en el plazo a que se refiere el párrafo primero, la autoridad de control ante la que se haya presentado la reclamación remitirá el asunto al Comité para la resolución de conflictos con arreglo al artículo 65, apartado 1, letra b), del Reglamento (UE) 2016/679.
7. Sin perjuicio de su admisibilidad, la autoridad de control ante la que se haya presentado una reclamación o la autoridad de control principal podrán solicitar al reclamante que presente información complementaria para facilitar que se dé curso a la reclamación y permitir su investigación exhaustiva.
8. La autoridad de control principal informará sin demora a la parte investigada de la presentación de una reclamación y de sus principales elementos.
Artículo 5
Resolución temprana
1. Una reclamación relativa a tratamientos transfronterizos relativa al ejercicio de los derechos del interesado reconocidos en el capítulo III del Reglamento (UE) 2016/679 podrá, cuando proceda, ser resuelta mediante un procedimiento que permita su resolución temprana tramitado por:
a) | la autoridad de control ante la que se haya presentado la reclamación, tras haber determinado esta mediante unas conclusiones preliminares que la reclamación se refiere a un tratamiento transfronterizo y antes de la posible transmisión de la reclamación a la autoridad de control que se presuma competente para actuar como autoridad de control principal, o
b) | la autoridad de control principal a la que se haya transmitido la reclamación, en todo momento antes de la presentación de las observaciones preliminares a las autoridades de control interesadas de conformidad con el artículo 19 del presente Reglamento, o, cuando se aplique el procedimiento de cooperación simple a que se refiere su artículo 6 del presente Reglamento, antes de la presentación del proyecto de decisión.
Las autoridades de control podrán fomentar y facilitar la resolución temprana de las reclamaciones y comunicarse a tal efecto con la parte investigada o con el reclamante, según proceda.
2. A efectos de una resolución temprana, cuando la autoridad de control a que se refiere el apartado 1, párrafo primero, letras a) o b), determine, sobre la base de elementos de prueba, que se ha puesto fin a la presunta infracción, dicha autoridad de control considerará que la reclamación carece de objeto.
Cuando se haya determinado que la reclamación carece de objeto, la autoridad de control a que se refiere el apartado 1, párrafo primero, letras a) o b), utilizando un lenguaje claro y sencillo, informará al reclamante de:
a) | que se ha puesto fin a la presunta infracción y que considera que la reclamación carece de objeto;
b) | las consecuencias de la resolución temprana, y
c) | la posibilidad de que el reclamante formule objeciones a la resolución temprana en un plazo de cuatro semanas a partir de la recepción de dicha información.
3. En un procedimiento ante la autoridad de control ante la que se haya presentado una reclamación, si el reclamante no formula objeciones en el plazo establecido en el apartado 2, párrafo segundo, letra c), dicha autoridad de control determinará, en un plazo de dos semanas a partir del vencimiento de dicho plazo, que la reclamación se ha resuelto e informará de la resolución al reclamante, a la parte investigada y, en su caso, a la autoridad de control principal.
4. En un procedimiento ante la autoridad de control principal a la que se haya transmitido la reclamación, cuando el reclamante no formule objeciones en el plazo establecido en el apartado 2, párrafo segundo, letra c), del presente artículo, dicha autoridad de control principal transmitirá un proyecto de decisión de conformidad con el artículo 60, apartado 3, del Reglamento (UE) 2016/679 en un plazo de cuatro semanas a partir del vencimiento de dicho plazo, con vistas a adoptar una decisión definitiva de conformidad con el artículo 60, apartado 7, del Reglamento (UE) 2016/679 por la que se establezca que la reclamación se ha resuelto.
5. La resolución temprana de una reclamación se entenderá sin perjuicio del ejercicio por parte de la autoridad de control principal de las competencias establecidas en el artículo 58 del Reglamento (UE) 2016/679 con respecto al mismo asunto.
6. Los artículos 10 a 20 no se aplicarán a las reclamaciones resueltas en virtud del presente artículo.
CAPÍTULO III
COOPERACIÓN CON ARREGLO AL ARTÍCULO 60 DEL REGLAMENTO (UE) 2016/679
SECCIÓN 1
COOPERACIÓN SIMPLE
Artículo 6
Procedimiento de cooperación simple
1. Una vez que la autoridad de control principal se haya formado una opinión preliminar sobre las principales cuestiones de una investigación, podrá cooperar con las otras autoridades de control interesadas mediante un procedimiento de cooperación simple, de conformidad con el presente artículo, cuando:
a) | considere que no existe ninguna duda razonable en cuanto al objeto de la investigación, en particular en lo que respecta a las disposiciones del Reglamento (UE) 2016/679 afectadas por la presunta infracción que debe investigarse, y
b) | las cuestiones de hecho y de derecho especificadas por la autoridad de control principal no requieran una ulterior cooperación con las otras autoridades de control interesadas que sería necesaria en una investigación compleja, en particular cuando dichas cuestiones puedan abordarse sobre la base de decisiones anteriores en asuntos análogos.
Cuando la autoridad de control principal aplique el procedimiento de cooperación simple a que se refiere el párrafo primero, no se aplicarán los artículos 10, 11, 16, 19 y 20, el artículo 23, apartado 1, letras a) y b), ni el artículo 23, apartado 2, del presente Reglamento. La autoridad de control principal transmitirá un proyecto de decisión de conformidad con el artículo 60, apartado 3, del Reglamento (UE) 2016/679 dentro del plazo a que se refiere el artículo 12, apartado 6, del presente Reglamento.
2. La autoridad de control principal notificará a las otras autoridades de control interesadas su intención de aplicar el procedimiento de cooperación simple y proporcionará información sobre las características del asunto pertinentes para determinar si se han cumplido las condiciones establecidas en el apartado 1 del presente artículo, en un plazo de seis semanas a partir de la confirmación por parte de la autoridad de control principal de su competencia de conformidad con el artículo 4, apartado 6, del presente Reglamento o a partir de una decisión vinculante del Comité con arreglo al artículo 65, apartado 1, letra b), del Reglamento (UE) 2016/679.
3. Cuando alguna de las otras autoridades de control interesadas se oponga a la aplicación del procedimiento de cooperación simple en un plazo de dos semanas a partir de su notificación, no se aplicará dicho procedimiento y la autoridad de control principal elaborará un resumen de las cuestiones clave de conformidad con el artículo 10 y cooperará con las otras autoridades de control interesadas con arreglo a los procedimientos establecidos en el capítulo III.
4. Al aplicar el procedimiento de cooperación simple, la autoridad de control principal garantizará, antes de la presentación de un proyecto de decisión, que, cuando proceda, las partes investigadas tengan derecho a ser oídas y que se ofrezca al reclamante la oportunidad de dar a conocer su opinión. A efectos del presente apartado, seguirán siendo de aplicación las modalidades y requisitos administrativos que establezca el Derecho procesal nacional de la autoridad de control principal o de la autoridad de control ante la que se haya presentado la reclamación, cuando proceda.
5. El capítulo III del presente Reglamento no se aplicará a los asuntos tramitados por la autoridad de control interesada con arreglo al artículo 56, apartado 2, del Reglamento (UE) 2016/679.
SECCIÓN 2
LOGRO DEL CONSENSO EN EL SENTIDO DEL ARTÍCULO 60, APARTADO 1, DEL REGLAMENTO (UE) 2016/679
Artículo 7
Concesión o limitación de derechos
Las disposiciones de la presente sección se refieren a la cooperación entre autoridades de control y no confieren derechos a los particulares o a las partes investigadas, ni limitan sus derechos.
Artículo 8
Cooperación entre las autoridades de control
Las autoridades de control podrán utilizar, mientras cooperan esforzándose por llegar a un consenso de acuerdo con el artículo 60, apartado 1, del Reglamento (UE) 2016/679, todos los medios que se disponen en dicho Reglamento, incluida la asistencia mutua con arreglo a su artículo 61 y las operaciones conjuntas con arreglo a su artículo 62.
Artículo 9
Información pertinente que debe intercambiarse entre la autoridad de control principal y las otras autoridades de control interesadas
1. La autoridad de control principal y las otras autoridades de control interesadas intercambiarán la información pertinente a que se refiere el artículo 60, apartados 1 y 3, del Reglamento (UE) 2016/679. Dicha información incluirá, cuando proceda:
a) | la información relativa a la iniciación de la investigación sobre una presunta infracción del Reglamento (UE) 2016/679;
b) | los requerimientos de información contemplados en el artículo 58, apartado 1, letra e), del Reglamento (UE) 2016/679 y los documentos relacionados que se deriven de dichos requerimientos;
c) | la información sobre el uso de los otros poderes de investigación a que se refiere el artículo 58, apartado 1, del Reglamento (UE) 2016/679 y los documentos relacionados que se deriven del ejercicio de dichos poderes de investigación;
d) | en caso de que se prevea un rechazo o desestimación total o parcial de una reclamación, los motivos del rechazo o la desestimación de la reclamación por parte de la autoridad de control principal;
e) | la información sobre la posible resolución temprana de la reclamación con arreglo al artículo 5 del presente Reglamento;
f) | el resumen de las cuestiones clave y las observaciones sobre dicho resumen a que se refiere el artículo 10 del presente Reglamento;
g) | la información sobre el objeto de la investigación;
h) | la información sobre los acontecimientos o las conclusiones que puedan dar lugar a la modificación del objeto de la investigación o al inicio de una nueva investigación;
i) | la información sobre las medidas adoptadas y el análisis jurídico realizado para probar la existencia de la infracción del Reglamento (UE) 2016/679 antes de la preparación de las observaciones preliminares y antes de la preparación del proyecto de decisión;
j) | las observaciones preliminares;
k) | la contestación de las partes investigadas a las observaciones preliminares;
l) | la opinión del reclamante sobre la versión no confidencial de las observaciones preliminares y, cuando proceda, sobre otros aspectos de la investigación sobre los que el reclamante haya podido formular observaciones por escrito;
m) | en caso de rechazo o desestimación total o parcial de la reclamación, las observaciones formuladas por escrito por el reclamante;
n) | la información sobre cualquier medida pertinente adoptada por la autoridad de control principal tras recibir las contestaciones de las partes investigadas a las observaciones preliminares y antes de la transmisión del proyecto de decisión a que se refiere el artículo 60, apartado 3, del Reglamento (UE) 2016/679;
o) | las opiniones de las partes investigadas sobre un proyecto de decisión revisado;
p) | cualquier otra información que se considere útil y pertinente para la investigación.
2. Durante la investigación, la autoridad de control principal y las otras autoridades de control interesadas intercambiarán la información a que se refiere el apartado 1 del presente artículo lo antes posible y, a más tardar, una semana a partir de que dicha información esté disponible, salvo que se disponga de otro modo en el presente Reglamento o en el Reglamento (UE) 2016/679.
3. El Comité podrá especificar las modalidades y los requisitos para el intercambio de la información pertinente entre las autoridades de control.
Artículo 10
Resumen de las cuestiones clave
1. Una vez que la autoridad de control principal haya llegado a una opinión preliminar sobre las principales cuestiones de una investigación, elaborará un resumen de las cuestiones clave a efectos de la cooperación contemplada en el artículo 60, apartado 1, del Reglamento (UE) 2016/679.
2. El resumen de las cuestiones clave incluirá lo siguiente:
a) | los principales hechos pertinentes;
b) | una delimitación preliminar del objeto de la investigación, en particular de las disposiciones del Reglamento (UE) 2016/679 afectadas por la presunta infracción que debe investigarse;
c) | las cuestiones de hecho y de derecho especificadas;
d) | un análisis de las opiniones pertinentes expresadas por la parte investigada o por el reclamante, cuando dichas opiniones estén disponibles en el momento de redactar el resumen de las cuestiones clave;
e) | cuando proceda, la especificación preliminar de las posibles medidas correctoras.
3. La autoridad de control principal proporcionará a las otras autoridades de control interesadas el resumen de las cuestiones clave sin demora y en un plazo de tres meses a partir de la confirmación por parte de la autoridad de control principal de su competencia de conformidad con el artículo 4, apartado 6, del presente Reglamento o a partir de una decisión vinculante del Comité con arreglo al artículo 65, apartado 1, letra b), del Reglamento (UE) 2016/679.
4. Las autoridades de control interesadas podrán formular observaciones sobre el resumen de las cuestiones clave en un plazo de cuatro semanas a partir de la recepción de dicho resumen. La autoridad de control principal podrá prorrogar dicho plazo dos semanas debido a la complejidad del asunto o a petición de las otras autoridades de control interesadas.
5. Cuando las autoridades de control interesadas formulen observaciones de conformidad con el apartado 4, dichas observaciones se pondrán en conocimiento de todas las otras autoridades de control interesadas. La autoridad de control principal responderá a dichas observaciones en un plazo de cuatro semanas desde el vencimiento del plazo a que se refiere el apartado 4, indicando si tiene intención de tenerlas en cuenta y de qué manera. La autoridad de control principal podrá prorrogar tal plazo dos semanas debido a la complejidad del asunto.
6. Al transferir el asunto a la autoridad de control principal, la autoridad de control ante la que se haya presentado la reclamación podrá proporcionar a la autoridad de control principal información pertinente para la preparación del resumen de las cuestiones clave.
7. El Comité podrá especificar las modalidades y los requisitos para la presentación de observaciones por parte de las autoridades de control interesadas sobre el resumen de las cuestiones clave.
Artículo 11
Utilización de medios para llegar a un consenso
1. De conformidad con el artículo 60, apartado 1, del Reglamento (UE) 2016/679, la autoridad de control principal y las otras autoridades de control interesadas se esforzarán por llegar a un consenso sobre los asuntos relativos a tratamientos transfronterizos, de conformidad con el presente artículo, y podrán utilizar todos los medios que se disponen en el Reglamento (UE) 2016/679, incluida la asistencia mutua con arreglo a su artículo 61 y las operaciones conjuntas con arreglo a su artículo 62.
2. Cuando una autoridad de control interesada no esté de acuerdo con la autoridad de control principal y a falta de consenso, dicha autoridad de control podrá presentar una solicitud de asistencia mutua con arreglo al artículo 61 del Reglamento (UE) 2016/679 a la autoridad de control principal o podrá solicitar a la autoridad de control principal que realice operaciones conjuntas de conformidad con el artículo 62 de dicho Reglamento, o ambas cosas, con el fin de llegar a un consenso sobre lo siguiente:
a) | el objeto de la investigación en los asuntos basados en reclamaciones, en particular las disposiciones del Reglamento (UE) 2016/679 afectadas por la presunta infracción que debe investigarse;
b) | las cuestiones de hecho o de derecho a que se refiere el artículo 10, apartado 2, letra c) del presente Reglamento, cuando proceda;
c) | la especificación preliminar de las posibles medidas correctoras de conformidad con el artículo 10, apartado 2, letra e), del presente Reglamento.
3. La solicitud a que se refiere el apartado 2 del presente artículo se presentará en un plazo de un mes a partir del vencimiento del plazo a que se refiere el artículo 10, apartado 5.
4. Cuando se presente una solicitud con arreglo al apartado 2 del presente artículo para realizar operaciones conjuntas de conformidad con el artículo 62 del Reglamento (UE) 2016/679, la autoridad de control principal responderá a dicha solicitud en un plazo de un mes a partir de su recepción.
5. La autoridad de control principal colaborará con las otras autoridades de control interesadas, sobre la base de sus observaciones sobre el resumen de las cuestiones clave y, en su caso, en respuesta a las solicitudes previstas en los artículos 61 y 62 del Reglamento (UE) 2016/679, en un esfuerzo por llegar a un consenso. El consenso sobre las cuestiones a que se refiere el apartado 2 del presente artículo se utilizará como base para que la autoridad de control principal prosiga la investigación y elabore las observaciones preliminares o, en su caso, comunique a la autoridad de control ante la que se haya presentado la reclamación su motivación a efectos del artículo 16, apartado 1 del presente Reglamento.
6. Cuando, en una investigación basada en una reclamación, tras los procedimientos establecidos en el artículo 10, apartado 5, del presente Reglamento y en el apartado 5 del presente artículo, no se haya llegado a un consenso entre la autoridad de control principal y una o varias de las otras autoridades de control interesadas sobre la delimitación preliminar del objeto de la investigación a que se refiere el artículo 10, apartado 2, letra b) del presente Reglamento, se presumirá que se cumplen las condiciones para solicitar una decisión vinculante urgente con arreglo al artículo 66, apartado 3, del Reglamento (UE) 2016/679 y la autoridad de control principal solicitará una decisión vinculante urgente del Comité de conformidad con el artículo 66, apartado 3, del Reglamento (UE) 2016/679.
7. Al solicitar una decisión vinculante urgente del Comité de conformidad con el apartado 6 del presente artículo, la autoridad de control principal proporcionará al Comité lo siguiente:
a) | la información a que se refiere el artículo 10, apartado 2;
b) | las observaciones de las otras autoridades de control interesadas que no estén de acuerdo con la delimitación preliminar del objeto de la investigación por parte de la autoridad de control principal;
c) | la información adicional intercambiada entre la autoridad de control principal y las otras autoridades de control interesadas con arreglo al artículo 10, apartado 5, y al artículo 11, apartado 5;
d) | cualquier otro documento o información pertinente que solicite el Comité.
8. El Comité adoptará una decisión vinculante urgente respecto al objeto de la investigación sobre la base de toda la información recibida.
Artículo 12
Plazos para la presentación del proyecto de decisión
1. La autoridad de control principal transmitirá un proyecto de decisión de conformidad con el artículo 60, apartado 3, del Reglamento (UE) 2016/679 en un plazo de quince meses a partir de la confirmación por parte de la autoridad de control principal de su competencia de conformidad con el artículo 4, apartado 6, del presente Reglamento o a partir de una decisión vinculante adoptada por el Comité con arreglo al artículo 65, apartado 1, letra b), del Reglamento (UE) 2016/679.
2. Cuando la autoridad de control principal presente una solicitud de conformidad con el artículo 11, apartado 6, el plazo a que se refiere el apartado 1 del presente artículo se suspenderá hasta que el Comité haya adoptado su decisión vinculante.
3. Con carácter excepcional, la autoridad de control principal podrá prorrogar el plazo a que se refiere el apartado 1 una vez, por un período no superior a doce meses, debido a la complejidad del asunto. La autoridad de control principal informará a las otras autoridades de control interesadas de su intención de prorrogar el plazo a que se refiere el apartado 1, indicando la duración y los motivos de la prórroga prevista, al menos cuatro semanas antes de que expire el plazo a que se refiere el apartado 1.
4. Toda autoridad de control interesada podrá formular objeciones a la prórroga del plazo en un plazo de dos semanas a partir de la fecha en que se le haya informado de ello de conformidad con el apartado 3. Dicha autoridad expondrá los motivos de su objeción. Al determinar si procede prorrogar el plazo a que se refiere el apartado 1 y, en su caso, la duración de dicha prórroga, la autoridad de control principal tendrá debidamente en cuenta dicha objeción.
5. Cuando la autoridad de control principal prorrogue el plazo a que se refiere el apartado 1 del presente artículo, de conformidad con los apartados 3 y 4 del presente artículo, toda otra autoridad de control interesada podrá informar a la autoridad de control principal de que considera necesario actuar para proteger los derechos y libertades de los interesados. Cuando la autoridad de control principal no presente un proyecto de decisión dentro del plazo prorrogado, la autoridad de control que haya informado a la autoridad de control principal de la necesidad de actuar para proteger los derechos y libertades de los interesados podrá adoptar una medida provisional en el territorio de su Estado miembro de conformidad con el artículo 55 del Reglamento (UE) 2016/679. En tal caso, se presumirá que se cumplen las condiciones para considerar que es urgente intervenir con arreglo al artículo 66, apartado 1, del Reglamento (UE) 2016/679.
6. Cuando se aplique el procedimiento de cooperación simple con arreglo al artículo 6 del presente Reglamento, la autoridad de control principal transmitirá un proyecto de decisión de conformidad con el artículo 60, apartado 3, del Reglamento (UE) 2016/679 en un plazo de doce meses a partir de la confirmación por parte de la autoridad de control principal de su competencia de conformidad con el artículo 4, apartado 6, del presente Reglamento o a partir de una decisión vinculante adoptada por el Comité con arreglo al artículo 65, apartado 1, letra b), del Reglamento (UE) 2016/679.
Cuando el Derecho nacional exija procedimientos nacionales previos o posteriores que requieran la transmisión de un proyecto de decisión de conformidad con el artículo 60, apartado 3, del Reglamento (UE) 2016/679 tras la expiración del plazo a que se refiere el párrafo primero, la autoridad de control principal podrá prorrogar dicho plazo una vez, por un período no superior a dos meses. En tal caso, la autoridad de control principal informará a las otras autoridades de control interesadas de la prórroga del plazo, estableciendo la duración de dicha prórroga, al menos dos semanas antes de que expire el plazo a que se refiere el párrafo primero.
Artículo 13
Procedimientos nacionales posteriores
1. Cuando el Derecho nacional exija que se inicien procedimientos nacionales posteriores relacionados con el mismo asunto tras la adopción de una decisión con arreglo al artículo 18 o 21, la autoridad de control principal:
a) | no elaborará un nuevo resumen de las cuestiones clave;
b) | repetirá los trámites procedimentales de conformidad con el artículo 16 o los artículos 19 y 20 únicamente cuando la valoración de los hechos o jurídica de la autoridad de control principal difiera de una decisión anterior adoptada con arreglo al artículo 18 o 21, y
c) | presentará un proyecto de decisión antes de adoptar cualquier decisión posterior que sea diferente de una decisión adoptada anteriormente con arreglo al artículo 18 o 21.
2. Los plazos a que se refiere el artículo 12 se aplicarán a la presentación de un proyecto de decisión en cualquier procedimiento posterior a que se refiere el apartado 1 del presente artículo.
SECCIÓN 3
APLICACIÓN DE LOS PLAZOS
Artículo 14
Legalidad y validez de los trámites procedimentales y de la decisión definitiva
Cuando el presente Reglamento o el artículo 65, apartado 6, del Reglamento (UE) 2016/679 exijan que una autoridad de control adopte un trámite procedimental en un plazo determinado, la adopción de ese trámite tras la expiración de dicho plazo no afectará a la legalidad o validez de ese trámite procedimental o de la decisión definitiva.
Artículo 15
Plazos y derecho a la tutela judicial efectiva
Para determinar si una autoridad de control no ha dado curso a una reclamación de conformidad con el artículo 78, apartado 2, del Reglamento (UE) 2016/679, se tendrá en cuenta si dicha autoridad de control, en el plazo que se establece en el presente Reglamento o en el artículo 65, apartado 6, del Reglamento (UE) 2016/679, incluidas las posibles prórrogas de dicho plazo:
a) | no ha presentado un proyecto de decisión o un proyecto de decisión revisado, o
b) | no ha adoptado una decisión definitiva.
SECCIÓN 4
RECHAZO O DESESTIMACIÓN TOTAL O PARCIAL DE LAS RECLAMACIONES
Artículo 16
Procedimiento para el rechazo o la desestimación total o parcial de una reclamación en el sentido del artículo 60, apartados 8 y 9, del Reglamento (UE) 2016/679
1. Cuando la autoridad de control principal tenga la intención de rechazar o desestimar total o parcialmente una reclamación, antes de transmitir un proyecto de decisión con arreglo al artículo 60, apartado 3, del Reglamento (UE) 2016/679, comunicará a la autoridad de control ante la que se haya presentado la reclamación los motivos de su opinión preliminar por la que considera que la reclamación ha de ser rechazada o desestimada total o parcialmente.
La autoridad de control ante la que se haya presentado la reclamación informará al reclamante de los motivos de la opinión preliminar a que se refiere el párrafo primero, le ofrecerá la oportunidad de dar a conocer su opinión por escrito y le informará de las consecuencias de no dar a conocer su opinión.
La autoridad de control principal fijará un plazo adecuado para que el reclamante dé a conocer su opinión. Dicho plazo no será inferior a tres semanas ni superior a seis semanas.
2. La autoridad de control ante la que se haya presentado la reclamación transmitirá a la autoridad de control principal todas las opiniones que haya dado a conocer el reclamante lo antes posible y, a más tardar, en un plazo de una semana a partir de la fecha en que estén disponibles.
3. Cuando las opiniones dadas a conocer por el reclamante de conformidad con el apartado 1 del presente artículo no den lugar a un cambio de la opinión preliminar a que se refiere el apartado 1, párrafo primero, del presente artículo, la autoridad de control principal, en cooperación con la autoridad de control ante la que se haya presentado la reclamación, elaborará un proyecto de decisión y lo transmitirá a las otras autoridades de control interesadas, de conformidad con el artículo 60, apartado 3, del Reglamento (UE) 2016/679.
4. Cuando el proyecto de decisión transmitido con arreglo al apartado 3 concluya que la reclamación debe rechazarse o desestimarse parcialmente, la autoridad de control principal continuará su investigación en cooperación con las otras autoridades de control interesadas sobre la parte de la reclamación que quede por investigar.
Artículo 17
Proyecto de decisión revisado por la que se rechaza o se desestima total o parcialmente una reclamación
Cuando la autoridad de control principal determine que el proyecto de decisión revisado en el sentido del artículo 60, apartado 5, del Reglamento (UE) 2016/679, por la que se rechaza o se desestima total o parcialmente una reclamación, plantea nuevos elementos sobre los que el reclamante debe tener la oportunidad de dar a conocer su opinión, la autoridad de control ante la que se haya presentado la reclamación ofrecerá al reclamante, antes de la presentación del proyecto de decisión revisado con arreglo a dicho artículo, la posibilidad de dar a conocer su opinión sobre esos nuevos elementos de conformidad con el artículo 16 del presente Reglamento.
Artículo 18
Decisión por la que se rechaza o se desestima total o parcialmente una reclamación
Al adoptar una decisión de rechazo o de desestimación total o parcial de una reclamación de conformidad con el artículo 60, apartados 8 o 9, del Reglamento (UE) 2016/679, la autoridad de control ante la que se haya presentado la reclamación informará al reclamante de los recursos judiciales de que dispone de conformidad con el artículo 78 del Reglamento (UE) 2016/679.
SECCIÓN 5
DECISIONES DIRIGIDAS A LAS PARTES INVESTIGADAS
Artículo 19
Observaciones preliminares y derecho de las partes a ser oídas
1. Tras las consultas y los procedimientos previstos en los artículos 10 y 11 del presente Reglamento, cuando la autoridad de control principal tenga la intención de transmitir un proyecto de decisión en el sentido del artículo 60, apartado 3, del Reglamento (UE) 2016/679 a las otras autoridades de control interesadas por la que se constate una infracción del Reglamento (UE) 2016/679, elaborará un proyecto de observaciones preliminares.
2. En las observaciones preliminares se recogerán las conclusiones de la investigación y se presentarán las alegaciones formuladas de manera exhaustiva y suficientemente clara para que las partes investigadas puedan tener conocimiento de la conducta investigada por la autoridad de control principal. En particular, las observaciones preliminares expondrán claramente todos los hechos, la enumeración de las pruebas invocadas y la valoración jurídica en su conjunto que se aleguen contra las partes interesadas de modo que estas puedan dar a conocer su opinión sobre dichos hechos y sobre las conclusiones jurídicas que la autoridad de control principal tenga intención de reflejar en el proyecto de decisión en el sentido del artículo 60, apartado 3, del Reglamento (UE) 2016/679.
En las observaciones preliminares se indicarán, a partir de la información disponible en ese momento y sin perjuicio de la opinión de las partes investigadas, las medidas correctoras que la autoridad de control principal considere aplicar.
Cuando la autoridad de control principal, a partir de la información disponible en ese momento y sin perjuicio de la opinión de las partes investigadas, considere imponer una multa administrativa de conformidad con el artículo 83 del Reglamento (UE) 2016/679, enumerará en las observaciones preliminares los principales elementos de hecho y de derecho de los que tenga conocimiento y en los que tenga intención de basarse al decidir si imponer una multa administrativa y al determinar su cuantía, habida cuenta de los elementos enumerados en el artículo 83, apartado 2, del Reglamento (UE) 2016/679, especialmente los factores agravantes o atenuantes que tenga intención de tener en cuenta.
3. La autoridad de control principal transmitirá las observaciones preliminares a las otras autoridades de control interesadas. Dichas autoridades podrán formular observaciones sobre esas observaciones a la autoridad de control principal en un plazo de cuatro semanas a partir de la remisión de las observaciones preliminares a las otras autoridades de control interesadas. A petición de una de las otras autoridades de control interesadas, la autoridad de control principal prorrogará dicho plazo por un período de dos semanas.
4. La autoridad de control principal notificará las observaciones preliminares, modificadas, cuando proceda, para tener en cuenta las observaciones formuladas por las otras autoridades de control interesadas, a cada una de las partes investigadas.
5. Al notificar las observaciones preliminares a las partes investigadas, la autoridad de control principal fijará un plazo adecuado entre tres y seis semanas a partir de la fecha de notificación, para que estas puedan presentar sus opiniones por escrito, o celebrará una audiencia en el mismo plazo con el fin de que las partes investigadas den a conocer su opinión oralmente.
6. Al notificar las observaciones preliminares a las partes investigadas, la autoridad de control principal proporcionará a dichas partes el acceso al expediente administrativo de conformidad con los artículos 24 y 25.
7. Las partes investigadas podrán, en su contestación a las observaciones preliminares, exponer todos los hechos y argumentos jurídicos de que tengan conocimiento que sean pertinentes para su defensa contra las alegaciones de la autoridad de control principal. Adjuntarán los documentos pertinentes para demostrar los hechos expuestos. La autoridad de control principal basará su proyecto de decisión únicamente en las alegaciones y hechos y en la valoración jurídica basada en dichos hechos, respecto de los cuales se haya dado a las partes investigadas la oportunidad de presentar sus opiniones.
Artículo 20
Transmisión de las observaciones preliminares a los reclamantes
1. Cuando la autoridad de control principal formule observaciones preliminares en relación con un asunto respecto del cual haya recibido una reclamación, la autoridad de control ante la que se haya presentado la reclamación proporcionará al reclamante dichas observaciones preliminares, de conformidad con las normas sobre el acceso al expediente administrativo y a la información confidencial con arreglo a los artículos 24 y 25, y la autoridad de control principal fijará un plazo adecuado entre tres y seis semanas, dentro del cual el reclamante podrá dar a conocer su opinión por escrito.
2. A efectos del apartado 1, seguirán siendo de aplicación las modalidades y requisitos administrativos que establezca el Derecho procesal nacional de la autoridad de control ante la que se haya presentado la reclamación.
3. El apartado 1 del presente artículo se aplicará también cuando la autoridad de control principal:
a) | dé curso a una reclamación junto con otras reclamaciones;
b) | dé curso por separado a una parte de una reclamación, o
c) | modifique el objeto de la investigación en las observaciones preliminares de cualquier modo, lo que incluye tras una decisión vinculante del Comité de conformidad con el artículo 11, apartado 8.
Artículo 21
Adopción de la decisión definitiva
1. Tras transmitir el proyecto de decisión a las otras autoridades de control interesadas de conformidad con el artículo 60, apartado 3, del Reglamento (UE) 2016/679 y cuando ninguna de dichas otras autoridades de control se oponga al proyecto de decisión en los plazos a que se refiere el artículo 60, apartados 4 o 5, del Reglamento (UE) 2016/679, según proceda, la autoridad de control principal, en un plazo de un mes a partir del final del período a que se refiere el artículo 60, apartados 4 o 5, del Reglamento (UE) 2016/679:
a) | adoptará la decisión a que se refiere el artículo 60, apartado 7, o, cuando proceda, el artículo 60, apartado 9, del Reglamento (UE) 2016/679, y
b) | notificará la decisión a que se refiere la letra a) al establecimiento principal o al establecimiento único del responsable o el encargado del tratamiento, según proceda.
2. La información que debe proporcionarse al reclamante de conformidad con el artículo 60, apartados 7 y 9, del Reglamento (UE) 2016/679 consistirá en lo siguiente:
a) | una versión de la decisión adoptada que incluya íntegramente su parte dispositiva y la motivación de dicha decisión que no incluya elementos considerados confidenciales de conformidad con el artículo 25 del presente Reglamento, o
b) | un resumen de la decisión adoptada, incluidos los hechos pertinentes y la motivación de dicha decisión.
En cualquier caso, se proporcionará al reclamante, previa solicitud, una versión de la decisión a que se refiere el párrafo primero del presente artículo que incluya íntegramente su parte dispositiva y la motivación de dicha decisión que no incluya elementos considerados confidenciales de conformidad con el artículo 25 del presente Reglamento.
Las modalidades y los requisitos administrativos con arreglo al Derecho procesal nacional de la autoridad de control principal seguirán aplicándose.
Artículo 22
Derecho a ser oído en relación con el proyecto de decisión revisado por la que se constata una infracción
1. Cuando la autoridad de control principal determine que el proyecto de decisión revisado en el sentido del artículo 60, apartado 5, del Reglamento (UE) 2016/679, por la que se constata una infracción del Reglamento (UE) 2016/679, plantea nuevos elementos sobre los que las partes investigadas han de tener la oportunidad de dar a conocer sus opiniones, la autoridad de control principal ofrecerá a las partes investigadas, antes de la presentación del proyecto de decisión revisado con arreglo al artículo 60, apartado 5, de dicho Reglamento, la oportunidad de dar a conocer sus opiniones sobre esos nuevos elementos.
2. La autoridad de control principal fijará un plazo adecuado entre tres y seis semanas para que las partes investigadas puedan dar a conocer sus opiniones.
3. La autoridad de control principal informará a las otras autoridades de control interesadas de las opiniones que hayan dado a conocer las partes investigadas lo antes posible y, a más tardar, en un plazo de una semana a partir de la fecha en que estén disponibles.
SECCIÓN 6
OBJECIONES PERTINENTES Y MOTIVADAS
Artículo 23
Objeciones pertinentes y motivadas
1. Una objeción pertinente y motivada tal como se define en el artículo 4, punto 24, del Reglamento (UE) 2016/679 deberá:
a) | basarse en elementos de hecho y de derecho incluidos en el proyecto de decisión o en el expediente de cooperación;
b) | no referirse al objeto de una investigación cuando ninguna de las autoridades de control interesadas haya formulado observaciones de conformidad con el artículo 10, apartado 4 del presente Reglamento, o cuando se haya llegado a un consenso a raíz de las observaciones recibidas, ni al objeto de una investigación según se defina en una decisión vinculante del Comité adoptada con arreglo al artículo 11, apartado 8 del presente Reglamento;
c) | no referirse a un proyecto de decisión adoptado de conformidad con el artículo 5 del presente Reglamento.
2. No obstante lo dispuesto en el apartado 1, letra b), la autoridad de control interesada podrá formular objeciones pertinentes y motivadas que se refieran al objeto de una investigación conforme a lo dispuesto en el apartado 1, letra b), en casos debidamente justificados, siempre que:
a) | la autoridad de control principal no haya investigado todos los elementos del resumen de las cuestiones clave sobre los que se haya llegado a un consenso de conformidad con el artículo 10, apartado 5, o con el artículo 11, apartado 5, o no haya respetado la decisión vinculante del Comité adoptada en virtud del artículo 11, apartado 8, o
b) | se demuestre, a partir de nuevos elementos, que no estaban disponibles en el momento en que se llegó al consenso sobre el resumen de las cuestiones clave de conformidad con el artículo 10, apartado 5, o con el artículo 11, apartado 5, o en el momento de la decisión vinculante del Comité en virtud del artículo 11, apartado 8, que el proyecto de decisión entraña un riesgo importante para los derechos y libertades fundamentales del interesado y, en su caso, para la libre circulación de datos personales dentro de la Unión, o ambos.
3. Una objeción pertinente y motivada deberá ser suficientemente clara, coherente y precisa y, en caso necesario, identificará los elementos del proyecto de decisión que deban modificarse para que las autoridades de control puedan preparar sus posiciones y, en su caso, para que el Comité pueda resolver eficazmente el conflicto.
CAPÍTULO IV
EXPEDIENTE ADMINISTRATIVO, EXPEDIENTE DE COOPERACIÓN Y TRATAMIENTO DE LA INFORMACIÓN CONFIDENCIAL
Artículo 24
Expediente administrativo
1. El expediente administrativo de una investigación relativa a una presunta infracción del Reglamento (UE) 2016/679 estará compuesto por los documentos que la autoridad de control principal y las otras las autoridades de control interesadas hayan obtenido o elaborado y que la autoridad de control principal haya reunido durante el procedimiento de investigación, incluidas todas las pruebas inculpatorias y exculpatorias.
El expediente administrativo no incluirá las comunicaciones internas en una autoridad de control.
2. Previa solicitud de la parte investigada, o del reclamante cuando la decisión pueda afectar negativamente a sus intereses, la autoridad de control principal concederá acceso al expediente administrativo a las partes investigadas, o al reclamante, permitiéndoles ejercer su derecho a ser oídas.
El párrafo primero se entenderá sin perjuicio de las normas más favorables sobre la concesión de acceso al expediente administrativo con arreglo al Derecho nacional de la autoridad de control principal.
Cuando se conceda acceso de conformidad con el párrafo primero, la autoridad de control principal proporcionará dicho acceso a la parte investigada, mientras que la autoridad de control ante la que se haya presentado la reclamación proporcionará el acceso al reclamante.
3. No obstante el acceso concedido en virtud del Derecho de la Unión o nacional, quedarán excluidos del acceso los siguientes documentos o sus partes:
a) | la correspondencia o las deliberaciones entre las autoridades de control;
b) | la información confidencial con arreglo al artículo 25, apartado 1
4. La autoridad de control principal concederá acceso a las objeciones pertinentes y motivadas formuladas con arreglo al artículo 60, apartado 4, del Reglamento (UE) 2016/679 sobre cuya base esa autoridad de control tenga la intención de adoptar un proyecto de decisión revisado únicamente cuando dicho acceso sea necesario para que las partes investigadas o el reclamante puedan dar a conocer sus opiniones y defender sus derechos.
Artículo 25
Indicación y protección de la información confidencial
1. Toda información, documentos o partes de documentos se considerará confidencial en la medida en que contenga secretos comerciales, tal como se definen en la Directiva (UE) 2016/943 del Parlamento Europeo y del Consejo (5), u otra información confidencial de conformidad con el Derecho de la Unión o nacional.
2. Salvo disposición en contrario del Derecho de la Unión o nacional, la información recogida, elaborada u obtenida por una autoridad de control en un asunto relativo a tratamientos transfronterizos con arreglo al Reglamento (UE) 2016/679 que se considere confidencial con arreglo al apartado 1 no se comunicará ni se pondrá a disposición de la parte investigada, el reclamante o un tercero.
3. La parte investigada, el reclamante o un tercero que presente información que considere confidencial indicará claramente la información que considere como tal, exponiendo los motivos de la confidencialidad solicitada. La parte investigada, el reclamante o el tercero siempre proporcionará la versión completa de la información. En la medida de lo posible, también proporcionará una propuesta de versión no confidencial.
4. Sin perjuicio de lo dispuesto en el apartado 3, la autoridad de control ante la que se presente la información podrá exigir a las partes investigadas, o a cualquier otra persona que presente documentos, que indiquen los documentos o partes de documentos que consideren que contienen secretos comerciales u otra información confidencial que les pertenezca y que especifiquen a las personas afectadas por la confidencialidad de dichos secretos comerciales u otra información confidencial.
5. La autoridad de control a la que se presente la información fijará un plazo adecuado no superior a seis semanas para que las partes investigadas y cualquier otra persona que alegue que la información presentada es confidencial:
a) | justifiquen sus alegaciones de que la información presentada contiene secretos comerciales u otra información confidencial en relación con cada documento, parte de un documento, declaración o parte de una declaración;
b) | propongan, cuando sea posible, una versión no confidencial de los documentos y declaraciones en la que se expurguen los secretos comerciales u otra información confidencial;
c) | proporcionen una descripción concisa y no confidencial de cada fragmento o elemento expurgado.
6. Si las partes investigadas o cualquier otra persona no cumplen lo dispuesto en los apartados 4 y 5, la autoridad de control a la que se presente la información podrá presumir que los documentos o declaraciones en cuestión no contienen secretos comerciales u otra información confidencial.
7. La autoridad de control a la que se presente la información determinará si la información o las partes pertinentes y específicas de los documentos son confidenciales, de conformidad con el apartado 1. Garantizará que la expurgación de documentos se limite a lo necesario y proporcionado para proteger la información confidencial. La autoridad de control a la que se presente la información informará a las demás autoridades de control del carácter confidencial de la información cuando esta se transmita.
8. La información que se considere confidencial con arreglo al Derecho nacional de la autoridad de control a la que se presente la información y que se intercambie entre las autoridades de control en aplicación del Reglamento (UE) 2016/679 seguirá siendo tratada como confidencial por la autoridad de control que la reciba.
Artículo 26
Expediente de cooperación
1. A efectos del intercambio de información pertinente entre la autoridad de control principal y las otras autoridades de control interesadas de conformidad con el artículo 9, la autoridad de control principal garantizará que dicha información pertinente se ponga a disposición a través de un expediente de cooperación dedicado a cada reclamación o investigación. El expediente de cooperación incluirá toda la información intercambiada con arreglo al artículo 9.
2. El expediente de cooperación se conservará en formato electrónico y, mediante una herramienta electrónica común, será accesible a distancia para las autoridades de control y, cuando se remita un asunto a la resolución de conflictos con arreglo al artículo 65, apartado 1, letra a), del Reglamento (UE) 2016/679 y, en su caso, cuando se solicite un dictamen urgente o una decisión vinculante urgente de conformidad con el artículo 66 de dicho Reglamento, será accesible para el Comité. El expediente de cooperación no será directamente accesible para las partes investigadas, los reclamantes o terceros.
CAPÍTULO V
RESOLUCIÓN DE CONFLICTOS
Artículo 27
Remisión a la resolución de conflictos conforme al artículo 65, apartado 1, letra a), del Reglamento (UE) 2016/679
1. En un plazo de tres meses a partir del vencimiento del plazo establecido en el artículo 60, apartado 4, del Reglamento (UE) 2016/679, la autoridad de control principal presentará un proyecto de decisión revisado de conformidad con el artículo 60, apartado 5, de dicho Reglamento o remitirá el asunto al Comité para la resolución de conflictos con arreglo al artículo 65, apartado 1, letra a), de dicho Reglamento.
2. En un plazo de tres meses a partir del vencimiento del plazo a que se refiere el artículo 60, apartado 5, del Reglamento (UE) 2016/679, la autoridad de control principal presentará otro proyecto de decisión revisado de conformidad con el artículo 60, apartado 5, de dicho Reglamento o remitirá el asunto al Comité para la resolución de conflictos con arreglo al artículo 65, apartado 1, letra a), de dicho Reglamento.
3. Al remitir el asunto para la resolución del conflicto con arreglo al artículo 65, apartado 1, letra a), del Reglamento (UE) 2016/679, la autoridad de control principal proporcionará al Comité lo siguiente:
a) | el proyecto de decisión o el proyecto de decisión revisado con las objeciones pertinentes y motivadas;
b) | el resumen de los hechos pertinentes;
c) | las opiniones expresadas por escrito por las partes investigadas de conformidad con el artículo 19 y, en su caso, el artículo 22 del presente Reglamento, al menos en la medida en que dichas opiniones estén relacionadas con el asunto sometido al Comité;
d) | las opiniones expresadas por escrito por los reclamantes, en su caso, de conformidad con los artículos 16, 17 y 20 del presente Reglamento, al menos en la medida en que dichas opiniones estén relacionadas con el asunto sometido al Comité;
e) | las objeciones pertinentes y motivadas que la autoridad de control principal no haya seguido y las objeciones que la autoridad de control principal haya rechazado por no ser pertinentes ni motivadas;
f) | los motivos por los que la autoridad de control principal no haya seguido las objeciones pertinentes y motivadas o haya rechazado las objeciones por no ser pertinentes ni motivadas.
4. El Comité podrá solicitar más documentos a una autoridad de control en relación con el asunto que se le haya sometido.
5. En un plazo de cuatro semanas a partir de la presentación de los documentos a que se refiere el apartado 3 del presente artículo, el Comité determinará con carácter preliminar si las objeciones a que se refiere el artículo 65, apartado 1, letra a), del Reglamento (UE) 2016/679 son pertinentes y motivadas y si cumplen lo dispuesto en el artículo 23 del presente Reglamento. Dentro de ese mismo plazo, el presidente del Comité registrará la remisión del asunto que se le haya sometido. Tan pronto como se registre la remisión, se proporcionará el expediente a los miembros del Comité.
6. El plazo para la adopción de la decisión vinculante del Comité que se establece en el artículo 65, apartado 2, del Reglamento (UE) 2016/679 se suspenderá durante el plazo que se establece en el apartado 5 del presente artículo.
Artículo 28
Consulta de la parte investigada y del reclamante antes de la adopción de la decisión con arreglo al artículo 65, apartado 1, letra a), del Reglamento (UE) 2016/679
1. Antes de adoptar la decisión vinculante en virtud del artículo 65, apartado 1, letra a), del Reglamento (UE) 2016/679, el Comité ofrecerá a la parte investigada o, cuando la decisión del Comité pueda dar lugar al rechazo o la desestimación total o parcial de la reclamación, al reclamante la oportunidad de dar a conocer su opinión por escrito sobre cualquier nuevo elemento de hecho o de derecho en el que deba basarse su decisión, incluidas las objeciones pertinentes y motivadas que tenga intención de observar en su decisión.
2. Cuando se dé a la parte investigada o al reclamante, según proceda, la oportunidad de dar a conocer su opinión de conformidad con el apartado 1, el Comité fijará un plazo adecuado no superior a dos semanas para que den a conocer su opinión.
3. El plazo para la adopción de la decisión vinculante del Comité que se establece en el artículo 65, apartado 2, del Reglamento (UE) 2016/679 se suspenderá hasta que la parte investigada o el reclamante, según proceda, hayan dado a conocer su opinión o hasta que expire el plazo a que se refiere el apartado 2 del presente artículo, si esta fecha es anterior.
Artículo 29
Procedimiento en relación con las decisiones adoptadas con arreglo al artículo 65, apartado 1, letra b), del Reglamento (UE) 2016/679
1. Al remitir un asunto al Comité de conformidad con el artículo 65, apartado 1, letra b), del Reglamento (UE) 2016/679, la autoridad de control que remita el asunto proporcionará al Comité todo lo siguiente:
a) | el resumen de los hechos pertinentes, también en relación con el tratamiento en cuestión;
b) | la valoración de esos hechos pertinentes a fin de determinar si una autoridad de control es competente para actuar como autoridad de control principal de conformidad con el artículo 56, apartado 1, del Reglamento (UE) 2016/679, en particular la valoración de si el tratamiento debe considerarse tratamiento transfronterizo y de dónde se encuentra el establecimiento principal del responsable o encargado del tratamiento;
c) | las opiniones dadas a conocer por el responsable o encargado del tratamiento cuyo establecimiento principal sea objeto de la remisión;
d) | las opiniones de otras autoridades de control interesadas en la remisión;
e) | cualquier otro documento o información que la autoridad de control que remita el asunto considere pertinente y necesario para hallar una solución al asunto.
2. El Comité podrá solicitar más documentos a una autoridad de control en relación con el asunto que se le haya sometido.
3. En un plazo de una semana a partir del momento en que se le hayan proporcionado los documentos y la información a que se refiere el apartado 1, el presidente del Comité registrará la remisión del asunto que se le haya sometido. Tan pronto como se registre la remisión, se proporcionará el expediente a los miembros del Comité.
Artículo 30
Procedimiento en relación con las decisiones adoptadas con arreglo al artículo 65, apartado 1, letra c), del Reglamento (UE) 2016/679
1. Cuando se remita un asunto al Comité en virtud del artículo 65, apartado 1, letra c), del Reglamento (UE) 2016/679, la autoridad de control o la Comisión proporcionarán al Comité lo siguiente:
a) | el resumen de los hechos pertinentes;
b) | el dictamen, según el caso, emitido por el Comité de conformidad con el artículo 64 del Reglamento (UE) 2016/679; o la decisión, en su caso, adoptada por la autoridad de control competente tras el dictamen emitido por el Comité de conformidad con el artículo 64 del Reglamento (UE) 2016/679;
c) | las opiniones de la autoridad de control que remite el asunto o de la Comisión sobre si, en su caso, la autoridad de control estaba obligada a remitir el proyecto de decisión al Comité de conformidad con el artículo 64, apartado 1, del Reglamento (UE) 2016/679, o si la autoridad de control no siguió el dictamen del Comité emitido de conformidad con el artículo 64 del Reglamento (UE) 2016/679, incluida una indicación de qué partes de ese dictamen no se siguieron y una referencia a la parte pertinente de la decisión adoptada.
2. El Comité solicitará lo siguiente:
a) | la opinión de la autoridad de control que presuntamente haya incumplido el requisito de remitir un proyecto de decisión al Comité o no haya seguido un dictamen del Comité;
b) | cualquier otro documento o información que dicha autoridad de control considere pertinente y necesario para hallar una solución al asunto.
3. El Comité podrá solicitar más documentos a una autoridad de control en relación con el asunto que se le haya sometido.
4. En un plazo de una semana a partir de la presentación de los documentos y de la información a que se refiere el apartado 2, el presidente del Comité registrará la remisión del asunto que se le haya sometido. Tan pronto como se registre la remisión, se proporcionará el expediente a los miembros del Comité.
5. Cuando alguna autoridad de control declare la intención de presentar su opinión sobre el asunto remitido, lo hará en un plazo de dos semanas a partir de la remisión a que se refiere el apartado 1.
CAPÍTULO VI
PROCEDIMIENTO DE URGENCIA
Artículo 31
Dictamen urgente con arreglo al artículo 66, apartado 2, del Reglamento (UE) 2016/679
1. La solicitud de dictamen urgente del Comité de conformidad con el artículo 66, apartado 2, del Reglamento (UE) 2016/679 se presentará a más tardar cuatro semanas antes de la caducidad de las medidas provisionales adoptadas en virtud del artículo 66, apartado 1, de dicho Reglamento y contendrá lo siguiente:
a) | el resumen de los hechos pertinentes, incluidas las alegaciones de infracción del Reglamento (UE) 2016/679;
b) | la medida provisional adoptada en el territorio del Estado miembro de la autoridad de control que solicita el dictamen urgente, su duración y los motivos para adoptarla, incluida una justificación de la necesidad urgente de actuar para proteger los derechos y libertades de interesados;
c) | la justificación de la necesidad urgente de adoptar medidas definitivas, incluida una explicación del carácter excepcional de las circunstancias que requieran la adopción de tales medidas definitivas.
2. El Comité podrá solicitar más documentos a una autoridad de control en relación con el asunto que se le haya sometido para que emita un dictamen urgente.
3. En un plazo de una semana a partir de que se le proporcionen los documentos y la información a que se refiere el apartado 1, el presidente del Comité registrará la remisión del asunto que se le haya sometido. Tan pronto como se registre la remisión, se proporcionará el expediente a los miembros del Comité.
Artículo 32
Decisión vinculante urgente contemplada en el artículo 66, apartado 2, del Reglamento (UE) 2016/679
1. La solicitud de decisión vinculante urgente del Comité contemplada en el artículo 66, apartado 2, del Reglamento (UE) 2016/679 se presentará a más tardar cuatro semanas antes de la caducidad de las medidas provisionales adoptadas en virtud del artículo 61, apartado 8, el artículo 62, apartado 7, o el artículo 66, apartado 1, de dicho Reglamento. La solicitud contendrá lo siguiente:
a) | el resumen de los hechos pertinentes, incluidas las alegaciones de infracción del Reglamento (UE) 2016/679;
b) | la medida provisional adoptada en el territorio del Estado miembro de la autoridad de control que solicita la decisión vinculante urgente, su duración y los motivos para adoptarla, incluida la justificación de la necesidad urgente de actuar para proteger los derechos y libertades de interesados;
c) | la información sobre cualquier medida de investigación adoptada en el territorio del Estado miembro de la autoridad de control que requiere la decisión vinculante urgente y las respuestas recibidas de las partes investigadas o cualquier otra información que obre en poder de dicha autoridad de control requirente;
d) | la justificación de la necesidad urgente de adoptar medidas definitivas, teniendo en cuenta el carácter excepcional de las circunstancias que requieran la adopción de tales medidas, o la prueba de que una autoridad de control no ha cumplido lo dispuesto en el artículo 61, apartado 5, o en el artículo 62, apartado 2, del Reglamento (UE) 2016/679;
e) | cuando la autoridad de control requirente no sea la autoridad de control principal, la opinión de la autoridad de control principal;
f) | cuando proceda, la opinión del establecimiento local de las partes investigadas a las que se hayan dirigido las medidas provisionales a que se refiere el artículo 66, apartado 1, del Reglamento (UE) 2016/679.
2. El Comité podrá solicitar más documentos a una autoridad de control en relación con el asunto que se le haya sometido.
3. En un plazo de una semana a partir de la recepción de los documentos y la información a que se refiere el apartado 1, el presidente del Comité registrará la remisión del asunto que se le haya sometido. Tan pronto como se registre la remisión, se proporcionará el expediente a los miembros del Comité.
4. Cuando el Comité adopte una decisión vinculante urgente en la que se indique que han de adoptarse medidas definitivas, la autoridad de control a la que vaya dirigida la decisión adoptará dichas medidas antes de que caduquen las medidas provisionales adoptadas en virtud del artículo 66, apartado 1, del Reglamento (UE) 2016/679.
5. Cuando una decisión vinculante urgente indique que no es necesario adoptar urgentemente medidas definitivas, la autoridad de control principal y las otras autoridades de control interesadas seguirán el procedimiento establecido en el artículo 60 del Reglamento (UE) 2016/679.
Artículo 33
Dictamen urgente o decisión vinculante urgente contemplada en el artículo 66, apartado 3, del Reglamento (UE) 2016/679
1. Una solicitud de dictamen urgente o de decisión vinculante urgente del Comité de conformidad con el artículo 66, apartado 3, del Reglamento (UE) 2016/679 contendrá lo siguiente:
a) | el resumen de los hechos pertinentes;
b) | una justificación de la necesidad urgente de adoptar medidas adecuadas para proteger los derechos y libertades de los interesados, teniendo en cuenta el carácter excepcional de las circunstancias que requieran la adopción de tales medidas, en particular cualquier elemento que la autoridad de control competente debiera haber tenido en cuenta para proteger los derechos y libertades de los interesados;
c) | cuando sea pertinente y esté disponible, la información sobre cualquier medida de investigación adoptada por la autoridad de control requirente en el territorio del Estado miembro de la autoridad de control que requiere un dictamen urgente o una decisión vinculante urgente y las respuestas recibidas de las partes investigadas o cualquier otra información que obre en poder de la autoridad de control requirente;
d) | las opiniones de la autoridad de control competente a que se refiere el artículo 66, apartado 3, del Reglamento (UE) 2016/679.
2. El Comité podrá solicitar más documentos a una autoridad de control en relación con el asunto que se le haya sometido.
3. En un plazo de una semana a partir de la presentación de los documentos y la información a que se refiere el apartado 1, el presidente del Comité registrará la remisión del asunto que se le haya sometido. Tan pronto como se registre la remisión, se proporcionará el expediente a los miembros del Comité.
CAPÍTULO VII
DISPOSICIONES GENERALES Y FINALES
Artículo 34
Estadísticas sobre la aplicación de la legislación en los asuntos relativos a tratamientos transfronterizos
1. Como parte del informe anual que debe elaborarse de conformidad con el artículo 71 del Reglamento (UE) 2016/679, el Comité proporcionará estadísticas sobre la aplicación del Reglamento (UE) 2016/679 en los asuntos que entren en el ámbito de aplicación del presente Reglamento y, en particular:
a) | el número de asuntos iniciados tanto de los basados en reclamaciones como de los iniciados de oficio;
b) | el número de asuntos concluidos tanto de los basados en reclamaciones como de los iniciados e de oficio;
c) | el número de investigaciones requeridas por autoridades de control interesadas con arreglo al artículo 61, apartado 1, del Reglamento (UE) 2016/679;
d) | el número de reclamaciones presentadas;
e) | el número de reclamaciones total o parcialmente rechazadas o desestimadas;
f) | la duración media de los asuntos concluidos, tanto de los iniciados de oficio como de los basados en reclamaciones;
g) | el número y los importes de las multas administrativas impuestas en virtud de los artículos 83 y 84 del Reglamento (UE) 2016/679.
2. Cuando las estadísticas a que se refiere el apartado 1 no se encuentren directamente a disposición del Comité, las autoridades de control, previa solicitud, las proporcionarán al Comité de manera oportuna.
Artículo 35
Informe de la Comisión
La Comisión, como parte de su informe sobre la evaluación y revisión del Reglamento (UE) 2016/679 con arreglo al artículo 97 de dicho Reglamento, también informará sobre la aplicación y el funcionamiento del presente Reglamento.
Artículo 36
Disposiciones transitorias
Los capítulos III y IV se aplicarán a las investigaciones iniciadas de oficio después del 2 de abril de 2027 y a las investigaciones basadas en reclamaciones cuando la reclamación se haya presentado después del 2 de abril de 2027.
Los capítulos V y VI del presente Reglamento se aplicarán a todos los asuntos remitidos a resolución de conflictos con arreglo al artículo 65 y al procedimiento de urgencia previsto en el artículo 66, apartados 2 y 3, del Reglamento (UE) 2016/679 después del 2 de abril de 2027.
Artículo 37
Entrada en vigor y aplicación
1. El presente Reglamento entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea.
2. El presente Reglamento será aplicable a partir del 2 de abril de 2027.
El presente Reglamento será obligatorio en todos sus elementos y directamente aplicable en cada Estado miembro.
Hecho en Estrasburgo, el 26 de noviembre de 2025.
Por el Parlamento Europeo
La Presidenta
R. METSOLA
Por el Consejo
La Presidenta
M. BJERRE
(1) DO C, C/2024/1578, 5.3.2024, ELI: http://data.europa.eu/eli/C/2024/1578/oj.
(2) Posición del Parlamento Europeo de 21 de octubre de 2025 (pendiente de publicación en el Diario Oficial) y Decisión del Consejo, de 17 de noviembre de 2025.
(3) Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento General de Protección de Datos) (DO L 119 de 4.5.2016, p. 1, ELI: http://data.europa.eu/eli/reg/2016/679/oj).
(4) Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo, de 23 de octubre de 2018, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones, órganos y organismos de la Unión, y a la libre circulación de esos datos, y por el que se derogan el Reglamento (CE) n.o 45/2001 y la Decisión n.o 1247/2002/CE (DO L 295 de 21.11.2018, p. 39, ELI: http://data.europa.eu/eli/reg/2018/1725/oj).
(5) Directiva (UE) 2016/943 del Parlamento Europeo y del Consejo, de 8 de junio de 2016, relativa a la protección de los conocimientos técnicos y la información empresarial no divulgados (secretos comerciales) contra su obtención, utilización y revelación ilícitas (DO L 157 de 15.6.2016, p. 1, ELI: http://data.europa.eu/eli/dir/2016/943/oj).