Agencia Española de Protección de Datos: funciones, competencias y marco legal

La Agencia Española de Protección de Datos (AEPD) es la autoridad pública que supervisa la aplicación de las normas de protección de datos personales en España. Como autoridad de control, no sustituye a las empresas ni a las administraciones en su responsabilidad cotidiana: vigila que cumplan sus obligaciones y ofrece vías para que las personas ejerzan sus derechos. Su papel combina supervisión, orientación y actuación administrativa.

La independencia importa porque permite que la Agencia ejerza sus funciones de control sin quedar subordinada a las entidades que supervisa. El Estatuto de la AEPD, aprobado por el Real Decreto 389/2021, regula su naturaleza, autonomía, funciones y organización. Por eso conviene evitar describirla como un departamento ministerial o como una entidad que decide al margen de la ley: es un organismo público sometido a un marco jurídico y a procedimientos administrativos.

En la práctica, la AEPD es el punto de referencia estatal para cuestiones de protección de datos dentro de su ámbito de competencia. No es un tribunal ni un servicio de asesoría privada: puede tramitar reclamaciones y ejercer las potestades que reconoce la legislación, pero no ofrece una garantía automática de que toda reclamación terminará en una sanción o en una compensación económica para quien la presenta.

El marco principal combina el Reglamento General de Protección de Datos (RGPD), aplicable en la Unión Europea, con la Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD). La legislación europea establece principios y obligaciones comunes; la ley española complementa ese marco y concreta aspectos de aplicación nacional. La AEPD supervisa el cumplimiento, pero no crea por sí sola el conjunto de reglas de privacidad.

El Real Decreto 389/2021 cumple otra función: aprueba el Estatuto de la Agencia. No debe confundirse con el RGPD o la LOPDGDD, que regulan el tratamiento de datos y los derechos correspondientes. Esta distinción ayuda a leer correctamente una resolución o una guía: una norma puede fijar obligaciones para responsables y encargados, mientras el Estatuto establece cómo se organiza la autoridad encargada de supervisar determinadas obligaciones.

La aplicación de estas normas depende del caso: qué datos se tratan, quién determina los fines y medios del tratamiento, qué actividad se realiza y qué autoridad resulta competente. Por eso una guía general sirve para orientarse, pero no reemplaza el análisis jurídico de una situación concreta ni permite deducir, sin más datos, que toda conducta cuestionada infringe la ley.

La AEPD controla la aplicación de la normativa, promueve que el público conozca los riesgos y derechos relacionados con el tratamiento de datos y facilita información sobre el ejercicio de esos derechos. También puede investigar y aplicar medidas correctivas dentro de las competencias que le atribuye la ley. La Agencia, por tanto, no se limita a sancionar: la prevención y la orientación son parte de su trabajo.

Para entender los papeles, ayuda separar tres actores: la persona interesada, cuyos datos se tratan; el responsable o encargado del tratamiento, que debe cumplir las obligaciones que le correspondan; y la autoridad de control, que supervisa el sistema y puede intervenir conforme a sus facultades. La AEPD no decide por la empresa qué datos son necesarios en cada proceso ni asume por ella la obligación de documentar y proteger el tratamiento.

La distinción es útil tanto para particulares como para profesionales. Una persona que pide acceso a sus datos se dirige primero a la entidad que los trata; una organización que diseña un proceso debe evaluar sus obligaciones antes de que exista una queja; y la Agencia entra en juego como supervisora o canal institucional cuando se cumplen las condiciones correspondientes.

La AEPD puede controlar la aplicación del RGPD y de las demás normas de protección de datos que resulten pertinentes. La supervisión no equivale a una multa inmediata: la autoridad puede analizar la información disponible, investigar los hechos y, según las circunstancias y el procedimiento, adoptar medidas dentro de sus competencias. El objetivo de una actuación concreta depende de la infracción alegada y de lo que permita acreditar el expediente.

El RGPD contempla sanciones administrativas que pueden alcanzar, para ciertas infracciones, los 20 millones de euros o el 4 % del volumen de negocio total anual mundial, aplicándose el importe que resulte mayor según las reglas pertinentes. Es un límite máximo normativo, no una tarifa habitual ni una predicción del resultado de un caso. La cuantía concreta depende de factores legales y de las circunstancias acreditadas; no se puede calcular únicamente a partir de que se haya presentado una queja.

La cifra máxima tampoco debe atribuirse indistintamente a toda conducta o a cualquier entidad. Para valorar el riesgo real, una organización debe identificar las operaciones de tratamiento, las obligaciones aplicables, las medidas de cumplimiento y los posibles efectos de una infracción. Para la ciudadanía, la decisión práctica es aportar hechos y pruebas; para una empresa o administración, documentar cómo cumple y responder de forma trazable a las solicitudes y requerimientos.

Cuando una persona quiere acceder a sus datos, rectificarlos, pedir su supresión, o ejercer otros derechos reconocidos, el primer paso normalmente es dirigirse al responsable del tratamiento. Conviene hacerlo por un canal que permita conservar constancia de la petición y de la fecha. La AEPD indica que, para reclamar por una respuesta insuficiente o por falta de respuesta, es importante haber acudido antes a la entidad responsable y poder acreditarlo.

Si existen indicios o pruebas de una posible vulneración, la reclamación puede presentarse mediante la sede electrónica de la Agencia. Es útil explicar los hechos en orden, identificar a la entidad, describir qué derecho se ejerció y adjuntar la solicitud original, la contestación recibida y cualquier documento pertinente. Una exposición concreta y documentada facilita que la Agencia entienda qué se pide y qué elementos respaldan la reclamación, aunque no determina por sí sola su admisión o resultado.

La AEPD señala un plazo máximo de tres meses para decidir sobre la admisión o inadmisión de una reclamación. Ese plazo se refiere a esa decisión inicial; no debe confundirse con una promesa de resolución final del fondo del asunto dentro del mismo periodo. Para dudas generales, la Agencia publica información y canales de atención. La ruta útil es, por tanto: ejercer el derecho ante la entidad, conservar la prueba y consultar las instrucciones oficiales antes de presentar la reclamación.

La AEPD forma parte del sistema europeo de autoridades de protección de datos, que comparten el marco del RGPD y cooperan en asuntos transfronterizos. El Comité Europeo de Protección de Datos (CEPD) contribuye a la coherencia de la aplicación del Reglamento, pero no reemplaza a las autoridades nacionales en la tramitación ordinaria de todos los casos. La cooperación cobra relevancia cuando un tratamiento afecta a personas o actividades en más de un país.

La existencia de una autoridad española no significa que la AEPD sea siempre la única competente. En tratamientos transfronterizos pueden intervenir mecanismos de cooperación y reglas para determinar qué autoridad actúa como principal; además, España cuenta con autoridades autonómicas en ámbitos específicos. La competencia depende del responsable, del tratamiento y de las reglas aplicables, de modo que no basta con que una persona resida en España para concluir, sin más, qué autoridad llevará un expediente.

Las estadísticas sancionadoras comparan actividad registrada, pero no miden por sí solas la gravedad de las infracciones, la calidad de la supervisión ni la probabilidad de sanción para una entidad particular. Del mismo modo, la cooperación europea no implica que todos los países apliquen idénticos procedimientos en cada detalle: el marco común se combina con autoridades y circunstancias distintas. Para un caso real, lo prudente es comprobar la competencia y las instrucciones oficiales vigentes.

La web de la AEPD reúne información sobre derechos, reclamaciones, funciones, instrucciones y materiales de orientación. Estos recursos ayudan a traducir obligaciones generales a preguntas prácticas: qué información comunicar, cómo responder a una solicitud o qué elementos documentar. Para empresas, autónomos y administraciones, son un punto de partida para revisar procesos; para particulares, aclaran qué pasos seguir y qué pruebas conservar.

Al consultar una guía, hay que comprobar su fecha, destinatarios y alcance. Un documento centrado en una tecnología concreta puede explicar riesgos relevantes, pero no sustituye las obligaciones generales ni convierte cada recomendación en una regla independiente. Asimismo, una instrucción o resolución debe leerse según su contexto y naturaleza jurídica: no todos los materiales publicados tienen el mismo efecto.

Una comprobación sencilla antes de actuar es plantearse tres preguntas: ¿qué tratamiento y qué datos están implicados?, ¿qué entidad es responsable y qué respuesta se recibió?, y ¿qué norma o recurso oficial explica el paso siguiente? Si se trata de una organización, añádase una cuarta: ¿puede demostrarse con documentos quién accede a los datos, para qué se usan y cómo se gestionan las solicitudes? La AEPD es útil precisamente como autoridad y fuente de orientación, pero el cumplimiento sigue correspondiendo a cada responsable.