Capítulo 3
Procedimientos relativos al ejercicio de la potestad sancionadora
SECCIÓN 1.ª DISPOSICIONES GENERALES
Artículo 120. Ámbito de aplicación
- Las disposiciones contenidas en el presente capítulo serán de aplicación a los procedimientos
relativos al ejercicio por la Agencia Española de Protección de Datos de la potestad sancionadora
que le viene atribuida por la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de datos de
carácter personal, en la Ley 34/2002, de 11 de julio, de Servicios de la sociedad de la información y
de comercio electrónico, y en la Ley 32/2003, de 3 de noviembre, General de Telecomunicaciones.
- No obstante, las disposiciones previstas en el artículo 121 y en la sección cuarta de este
capítulo únicamente serán aplicables a los procedimientos referidos al ejercicio de la potestad
sancionadora prevista en la Ley Orgánica 15/1999, de 13 de diciembre.
Artículo 121. Inmovilización de ficheros
- En el supuesto previsto como infracción muy grave en la Ley Orgánica 15/1999, de 13 de
diciembre, consistente en la utilización o cesión ilícita de los datos de carácter personal en la que se
impida gravemente o se atente de igual modo contra el ejercicio de los derechos de los ciudadanos
y el libre desarrollo de la personalidad que la Constitución y las leyes garantizan, el Director de
la Agencia Española de Protección de Datos podrá, en cualquier momento del procedimiento,
requerir a los responsables de ficheros o tratamientos de datos de carácter personal, tanto de
titularidad pública como privada, la cesación en la utilización o cesión ilícita de los datos.
- El requerimiento deberá ser atendido en el plazo improrrogable de tres días, durante el cual
el responsable del fichero podrá formular las alegaciones que tenga por convenientes en orden al
levantamiento de la medida.
- Si el requerimiento fuera desatendido, el Director de la Agencia Española de Protección
de Datos podrá, mediante resolución motivada, acordar la inmovilización de tales ficheros o
tratamientos, a los solos efectos de restaurar los derechos de las personas afectadas.
SECCIÓN 2.ª ACTUACIONES PREVIAS
Artículo 122. Iniciación
- Con anterioridad a la iniciación del procedimiento sancionador, se podrán realizar actuaciones
previas con objeto de determinar si concurren circunstancias que justifiquen tal iniciación. En
especial, estas actuaciones se orientarán a determinar, con la mayor precisión posible, los hechos
que pudieran justificar la incoación del procedimiento, identificar la persona u órgano que pudiera
resultar responsable y fijar las circunstancias relevantes que pudieran concurrir en el caso.
- Las actuaciones previas se llevarán a cabo de oficio por la Agencia Española de Protección
de Datos, bien por iniciativa propia o como consecuencia de la existencia de una denuncia o una
petición razonada de otro órgano.
- Cuando las actuaciones se lleven a cabo como consecuencia de la existencia de una
denuncia o de una petición razonada de otro órgano, la Agencia Española de Protección de Datos
acusará recibo de la denuncia o petición, pudiendo solicitar cuanta documentación se estime
oportuna para poder comprobar los hechos susceptibles de motivar la incoación del procedimiento
sancionador.
- Estas actuaciones previas tendrán una duración máxima de doce meses a contar desde la
fecha en la que la denuncia o petición razonada a las que se refiere el apartado 2 hubieran tenido
entrada en la Agencia Española de Protección de Datos o, en caso de no existir aquéllas, desde
que el Director de la Agencia acordase la realización de dichas actuaciones.
El vencimiento del plazo sin que haya sido dictado y notificado acuerdo de inicio de
procedimiento sancionador producirá la caducidad de las actuaciones previas.
Artículo 123. Personal competente para la realización de las actuaciones previas
- Las actuaciones previas serán llevadas a cabo por el personal del área de la Inspección de
Datos habilitado para el ejercicio de funciones inspectoras.
- En supuestos excepcionales, el Director de la Agencia Española de Protección de Datos
podrá designar para la realización de actuaciones específicas a funcionarios de la propia Agencia no habilitados con carácter general para el ejercicio de funciones inspectoras o a funcionarios
que no presten sus funciones en la Agencia, siempre que reúnan las condiciones de idoneidad y
especialización necesarias para la realización de tales actuaciones. En estos casos, la autorización
indicará expresamente la identificación del funcionario y las concretas actuaciones previas de
inspección a realizar.
- Los funcionarios que ejerzan la inspección a los que se refieren los dos apartados anteriores
tendrán la consideración de autoridad pública en el desempeño de sus cometidos.
Estarán obligados a guardar secreto sobre las informaciones que conozcan en el ejercicio de
las mencionadas funciones, incluso después de haber cesado en las mismas.
Artículo 124. Obtención de información
Los inspectores podrán recabar cuantas informaciones precisen para el cumplimiento de
sus cometidos. A tal fin podrán requerir la exhibición o el envío de los documentos y datos y
examinarlos en el lugar en que se encuentren depositados, como obtener copia de los mismos,
inspeccionar los equipos físicos y lógicos, así como requerir la ejecución de tratamientos y
programas o procedimientos de gestión y soporte del fichero o ficheros sujetos a investigación,
accediendo a los lugares donde se hallen instalados.
Artículo 125. Actuaciones presenciales
- En el desarrollo de las actuaciones previas se podrán realizar visitas de inspección por parte
de los inspectores designados, en los locales o sede del inspeccionado, o donde se encuentren
ubicados los ficheros, en su caso. A tal efecto, los inspectores habrán sido previamente autorizados
por el Director de la Agencia Española de Protección de Datos.
Las inspecciones podrán realizarse en el domicilio del inspeccionado, en la sede o local
concreto relacionado con el mismo o en cualquiera de sus locales, incluyendo aquéllos en que el
tratamiento sea llevado a cabo por un encargado.
La autorización se limitará a indicar la habilitación del inspector autorizado y la identificación
de la persona u órgano inspeccionado.
- En el supuesto contemplado en el apartado anterior, las inspecciones concluirán con
el levantamiento de la correspondiente acta, en la que quedará constancia de las actuaciones
practicadas durante la visita o visitas de inspección.
- El acta, que se emitirá por duplicado, será firmada por los inspectores actuantes y por el
inspeccionado, que podrá hacer constar en la misma las alegaciones o manifestaciones que tenga
por conveniente.
En caso de negativa del inspeccionado a la firma del acta, se hará constar expresamente esta
circunstancia en la misma. En todo caso, la firma por el inspeccionado del acta no supondrá su
conformidad, sino tan sólo la recepción de la misma.
Se entregará al inspeccionado uno de los originales del acta de inspección, incorporándose
el otro a las actuaciones.
Artículo 126. Resultado de las actuaciones previas
- Finalizadas las actuaciones previas, éstas se someterán a la decisión del Director de la
Agencia Española de Protección de Datos.
Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de
infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de
archivo que se notificará al investigado y al denunciante, en su caso.
- En caso de apreciarse la existencia de indicios susceptibles de motivar la imputación de
una infracción, el Director de la Agencia Española de Protección de Datos dictará acuerdo de inicio
de procedimiento sancionador o de infracción de las Administraciones públicas, que se tramitarán
conforme a lo dispuesto, respectivamente, en las secciones tercera y cuarta del presente capítulo.
SECCIÓN 3.ª PROCEDIMIENTO SANCIONADOR
Artículo 127. Iniciación del procedimiento
Con carácter específico el acuerdo de inicio del procedimiento sancionador deberá contener:
- Identificación de la persona o personas presuntamente responsables.
- Descripción sucinta de los hechos imputados, su posible calificación y las sanciones que
pudieran corresponder, sin perjuicio de lo que resulte de la instrucción.
- Indicación de que el órgano competente para resolver el procedimiento es el Director de
la Agencia Española de Protección de Datos.
- Indicación al presunto responsable de que puede reconocer voluntariamente su
responsabilidad, en cuyo caso se dictará directamente resolución.
- Designación de instructor y, en su caso, secretario, con expresa indicación del régimen
de recusación de los mismos.
- Indicación expresa del derecho del responsable a formular alegaciones, a la audiencia en
el procedimiento y a proponer las pruebas que estime procedentes.
- Medidas de carácter provisional que pudieran acordarse, en su caso, conforme a lo
establecido en la sección primera del presente capítulo.
Artículo 128. Plazo máximo para resolver
- El plazo para dictar resolución será el que determinen las normas aplicables a cada
procedimiento sancionador y se computará desde la fecha en que se dicte el acuerdo de inicio
hasta que se produzca la notificación de la resolución sancionadora, o se acredite debidamente el
intento de notificación.
- El vencimiento del citado plazo máximo, sin que se haya dictada y notificada resolución
expresa, producirá la caducidad del procedimiento y el archivo de las actuaciones.
SECCIÓN 4.ª PROCEDIMIENTO DE DECLARACIÓN DE INFRACCIÓN DE LA LEY ORGÁNICA
15/1999, DE 13 DE DICIEMBRE, POR LAS ADMINISTRACIONES PÚBLICAS
Artículo 129. Disposición general
El procedimiento por el que se declare la existencia de una infracción de la Ley Orgánica
15/1999, de 13 de diciembre, cometida por las Administraciones públicas será el establecido en la
sección tercera de este capítulo.
