La Ley 19/2013, de transparencia, acceso a la información pública y buen gobierno. Especial referencia a la Comunidad de Madrid. La LO 3/2018 de Protección de Datos: principios y derechos. Especialidades en el Sector Público.

La **Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno**, tiene por objeto (art. 1) ampliar y reforzar la transparencia de la actividad pública, reconocer y garantizar el acceso a la información relativa a esa actividad, y establecer las obligaciones de buen gobierno que deben cumplir los responsables públicos. Se estructura en un Título Preliminar, el **Título I (Transparencia de la actividad pública**, con publicidad activa y derecho de acceso), el **Título II (Buen gobierno)** y el **Título III (Consejo de Transparencia y Buen Gobierno)**.

El **ámbito subjetivo de aplicación** (Capítulo I, arts. 2-4) comprende: la Administración General del Estado, las Administraciones de las Comunidades Autónomas y de las Ciudades de Ceuta y Melilla, las entidades que integran la Administración Local, las entidades gestoras y servicios comunes de la Seguridad Social, los organismos autónomos, las entidades públicas empresariales, las autoridades administrativas independientes, las sociedades mercantiles públicas, las fundaciones del sector público, las universidades públicas, las Corporaciones de Derecho Público (en lo relativo a sus funciones públicas), y también la Casa de S.M. el Rey, el Congreso, el Senado, el Tribunal Constitucional, el Consejo General del Poder Judicial, el Banco de España, el Consejo de Estado, el Defensor del Pueblo, el Tribunal de Cuentas, el Consejo Económico y Social y las instituciones autonómicas análogas, en relación con sus actividades sujetas a Derecho Administrativo.

El art. 3 amplía el ámbito a **otros sujetos obligados**: los partidos políticos, organizaciones sindicales y organizaciones empresariales, y las entidades privadas que perciban durante el período de un año ayudas o subvenciones públicas en una cuantía superior a 100.000 euros o cuando al menos el 40 % del total de sus ingresos anuales tenga carácter de ayuda o subvención pública, siempre que alcancen como mínimo 5.000 euros. El art. 4 impone a estos sujetos el deber de **suministrar información** a la Administración a la que estén vinculados para que esta pueda cumplir sus propias obligaciones de transparencia.

El Capítulo II del Título I regula la **publicidad activa**: la obligación de los sujetos incluidos en el ámbito de aplicación de publicar, de oficio y sin necesidad de solicitud, la información cuyo conocimiento sea relevante para garantizar la transparencia de su actividad.

El **art. 5 (principios generales)** exige que la información se publique de forma clara, estructurada y en un lenguaje accesible y entendible para los ciudadanos, se mantenga actualizada, esté sujeta al principio de gratuidad y se ofrezca en formatos reutilizables. Debe indicarse la fecha de actualización.

Los artículos siguientes concretan el contenido mínimo publicable:

• **Art. 6, información institucional, organizativa y de planificación**: funciones que desarrollan, normativa aplicable, estructura organizativa (organigramas actualizados) y planes y programas anuales y plurianuales con sus objetivos concretos, actividades, medios y tiempo previsto para su consecución, así como el grado de cumplimiento.
• **Art. 7, información de relevancia jurídica**: directrices, instrucciones, circulares y respuestas a consultas que supongan una interpretación del Derecho, anteproyectos de ley y proyectos de reglamentos cuya iniciativa corresponda al órgano, con las memorias e informes que conformen los expedientes, y los documentos sometidos a información pública durante su tramitación.
• **Art. 8, información económica, presupuestaria y estadística**: contratos (objeto, importe de licitación y adjudicación, procedimiento, número de licitadores, adjudicatario), convenios, subvenciones y ayudas públicas concedidas, presupuestos, cuentas anuales e informes de auditoría, retribuciones de altos cargos, declaraciones de bienes y actividades de los representantes locales y altos cargos, e informes de fiscalización de los órganos de control externo.

El **art. 10** crea el **Portal de la Transparencia**, dependiente actualmente del ministerio competente en la materia, a través del cual se facilita el acceso a toda la información de la Administración General del Estado sujeta a publicidad activa. El **art. 11** exige que la información se difunda en formatos reutilizables, interoperables y accesibles, conforme al esquema nacional de interoperabilidad.

El Capítulo III regula el **derecho de acceso a la información pública**, reconocido a **todas las personas**, sin necesidad de motivar la solicitud ni acreditar un interés legítimo (art. 12). Por **información pública** (art. 13) se entiende cualquier contenido o documento, cualquiera que sea su formato o soporte, que obre en poder de alguno de los sujetos obligados y que haya sido elaborado o adquirido en el ejercicio de sus funciones.

El **art. 14 establece los límites** al derecho de acceso, que podrá ser denegado cuando el acceso suponga un perjuicio para: la seguridad nacional, la defensa, las relaciones exteriores, la seguridad pública, la prevención, investigación y sanción de ilícitos penales/administrativos/disciplinarios, la igualdad de las partes en procesos judiciales, las funciones administrativas de vigilancia, inspección y control, los intereses económicos y comerciales, la política económica y monetaria, el secreto profesional y la propiedad intelectual/industrial, la garantía de confidencialidad en la toma de decisiones, y el medio ambiente. Los límites se aplican de forma justificada y proporcionada, atendiendo al interés público. El **art. 15** regula la ponderación con la **protección de datos personales**: si la información contiene datos especialmente protegidos, el acceso solo se autoriza con consentimiento del afectado o si está amparado por ley; para el resto de datos personales, se pondera el interés público en la divulgación y los derechos del afectado. El **art. 16** permite el **acceso parcial** cuando la aplicación de algún límite no afecte a la totalidad de la información.

En cuanto a la **tramitación**: la solicitud (art. 17) puede presentarse por cualquier medio, identificando la información, sin necesidad de motivación; el **art. 18** enumera las causas de inadmisión (información en curso de elaboración, ya publicada, referida a información de carácter auxiliar o de apoyo, que requiera una acción previa de reelaboración, dirigida a un órgano que no la posea, o reiterativa/abusiva). La **resolución (art. 20)** debe dictarse en el **plazo máximo de un mes** desde la recepción de la solicitud, prorrogable por otro mes en atención al volumen o complejidad; transcurrido el plazo sin resolución expresa, se entiende **desestimada** (silencio negativo).

El **régimen de impugnaciones** (arts. 23-24) permite, frente a toda resolución expresa o presunta, interponer directamente recurso contencioso-administrativo o, con carácter potestativo y previo, una **reclamación ante el Consejo de Transparencia y Buen Gobierno**, en el plazo de un mes, que debe resolverse en un plazo máximo de tres meses (transcurrido el cual se entiende desestimada).

En el ámbito autonómico, la **Ley 10/2019, de 10 de abril, de Transparencia y de Participación de la Comunidad de Madrid** (que sustituyó a la anterior Ley 4/2016), regula de forma conjunta la transparencia -en su doble vertiente de publicidad activa y derecho de acceso a la información pública- y la **participación y colaboración ciudadana** en los asuntos públicos.

Su **ámbito subjetivo** es amplio: la Administración de la Comunidad de Madrid y su sector público institucional, la Asamblea de Madrid, las entidades locales del territorio madrileño, las universidades públicas, los colegios profesionales, los partidos políticos, sindicatos y organizaciones empresariales con actividad en la región, y las entidades privadas perceptoras de subvenciones públicas en los umbrales fijados por la ley.

La ley se estructura, entre otros, en: **Título Preliminar** (disposiciones generales y principios), **Título II (Publicidad activa)**, que refuerza las obligaciones estatales exigiendo información en formatos accesibles, estructurados y reutilizables a través del **Portal de Transparencia de la Comunidad de Madrid**, con actualización periódica y catálogos ampliados de información institucional, normativa, económica y de contratación; **Título III (Derecho de acceso a la información pública)**, que desarrolla el procedimiento de solicitud con previsión de un Registro de Solicitudes de Acceso; **Título IV (Participación y colaboración ciudadana)**, que regula instrumentos como la iniciativa legislativa popular, las consultas populares, los procesos de participación, el Registro de Transparencia y de Grupos de Interés, y un Código Ético para altos cargos; y un **Título de infracciones y sanciones**, que tipifica las conductas en muy graves, graves y leves.

Como órgano de garantía se crea el **Consejo de Transparencia y Participación de la Comunidad de Madrid**, adscrito a la **Asamblea de Madrid** (a diferencia del órgano estatal, adscrito al ministerio competente), encargado de: resolver las reclamaciones frente a resoluciones (expresas o presuntas) en materia de acceso a la información; supervisar el cumplimiento de las obligaciones de publicidad activa; emitir recomendaciones e instrucciones interpretativas; elaborar una memoria anual; e incoar (el Presidente) e instruir (el Pleno) los procedimientos sancionadores.

La **Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD)** adapta el ordenamiento español al **Reglamento (UE) 2016/679 (RGPD)** y deroga la anterior LO 15/1999. Su **Título II (arts. 4 a 10)** desarrolla los principios de la protección de datos:

• **Art. 4, exactitud de los datos**: el responsable adoptará las medidas razonables para que se supriman o rectifiquen sin dilación los datos personales inexactos respecto de los fines para los que se tratan.
• **Art. 5, deber de confidencialidad**: el responsable y encargado del tratamiento, y todas las personas que intervengan en cualquier fase de este, están sujetas al deber de secreto, obligación que subsiste aun cuando finalice la relación con el responsable o encargado.
• **Art. 6, consentimiento del afectado**: se entiende otorgado cuando el tratamiento resulte necesario para la ejecución de un contrato o precontrato, cuando el afectado haya manifestado su consentimiento mediante una clara acción afirmativa, admitiéndose el tratamiento sin consentimiento expreso en determinados supuestos previstos por ley.
• **Art. 7, consentimiento de menores**: el tratamiento de datos de mayores de 14 años podrá fundarse en su propio consentimiento, salvo en los casos en que la ley exija la asistencia de los titulares de la patria potestad o tutela; por debajo de esa edad se requiere el consentimiento de estos.
• **Art. 8, tratamiento por obligación legal, interés público o ejercicio de poderes públicos**: ampara el tratamiento realizado por responsables públicos y privados con fundamento en una norma con rango de ley o de Derecho de la Unión, que podrá establecer condiciones específicas (finalidades, categorías de datos, cesiones, plazos de conservación, medidas de seguridad).
• **Art. 9, categorías especiales de datos**: ideología, afiliación sindical, religión, creencias, origen racial o étnico, salud, orientación sexual, datos genéticos y biométricos; su tratamiento sigue sujeto a la reserva de ley del art. 9.2 RGPD.
• **Art. 10, datos de naturaleza penal**: el tratamiento de datos relativos a infracciones y condenas penales solo puede efectuarse por autoridades competentes, salvo previsión expresa en el Derecho de la Unión o en norma con rango de ley.

El **Título III de la LOPDGDD (arts. 11 a 18)** desarrolla los **derechos de las personas** en materia de protección de datos. El **Capítulo I (art. 11)** exige que el responsable facilite al afectado, en el momento de recabar los datos, información **concisa, transparente, inteligible y de fácil acceso**, con un lenguaje claro y sencillo, con especial cuidado cuando la información se dirija a menores.

El **Capítulo II (arts. 12-18) regula el ejercicio de los derechos**. El **art. 12 (disposiciones generales)** establece que los derechos de acceso, rectificación, supresión, limitación del tratamiento, portabilidad y oposición son **personalísimos**, se ejercitan por el propio afectado ante el responsable, son en principio **gratuitos** (salvo solicitudes manifiestamente infundadas o excesivas) y deben resolverse en el plazo de **un mes**, prorrogable.

Los artículos siguientes desarrollan cada derecho: **art. 13, derecho de acceso** (obtener confirmación de si se están tratando datos propios y acceder a ellos, así como a la información sobre el tratamiento); **art. 14, derecho de rectificación** (corregir datos inexactos o incompletos); **art. 15, derecho de supresión** («derecho al olvido»); **art. 16, derecho a la limitación del tratamiento** (marcar los datos para restringir su tratamiento futuro); **art. 17, derecho a la portabilidad** (recibir los datos en formato estructurado y transmitirlos a otro responsable); y **art. 18, derecho de oposición**, incluida la oposición a decisiones basadas únicamente en un tratamiento automatizado y a la elaboración de perfiles.

Además, el **Título X de la ley (Garantía de los derechos digitales)** reconoce derechos como la neutralidad de la red, el acceso universal a Internet, la seguridad digital, el derecho al olvido en búsquedas de Internet y en redes sociales, el testamento digital, el derecho a la desconexión digital en el ámbito laboral, la protección de menores en Internet y el derecho de rectificación en instancias educativas y medios de comunicación.

El **Título V de la LOPDGDD** (arts. 28-33) regula al **responsable y encargado del tratamiento**, desarrollando el principio de **responsabilidad proactiva (accountability)** del RGPD.

El **Capítulo I (medidas de responsabilidad activa)** contiene: el **art. 28, obligaciones generales**, que exige adoptar las medidas técnicas y organizativas apropiadas atendiendo a la naturaleza, ámbito, contexto y fines del tratamiento y a los riesgos para los derechos y libertades de las personas; el **art. 29, corresponsables del tratamiento**, cuando dos o más sujetos determinen conjuntamente los fines y medios del tratamiento, debiendo repartir de forma transparente sus responsabilidades mediante un acuerdo; el **art. 30**, sobre la figura del representante de responsables o encargados no establecidos en la Unión Europea; el **art. 31, registro de actividades de tratamiento**, obligatorio con carácter general para responsables y encargados, debiendo contener la información detallada por el RGPD (finalidades, categorías de interesados y de datos, cesiones, transferencias internacionales, plazos de supresión y medidas de seguridad); y el **art. 32, medidas de bloqueo de datos**, que obliga a bloquearlos cuando se ejerciten los derechos de rectificación, supresión u oposición, en tanto puedan derivarse responsabilidades del tratamiento, conservándolos únicamente a disposición de jueces, tribunales y Administraciones públicas para la exigencia de posibles responsabilidades.

El **Capítulo II (art. 33) regula al encargado del tratamiento**: actúa por cuenta del responsable en virtud de un contrato u otro acto jurídico que vincule ambas partes, quedando sujeto al deber de confidencialidad, pudiendo subcontratar únicamente con autorización del responsable, y debiendo devolver o destruir los datos personales al finalizar la prestación del servicio, salvo obligación legal de conservación.

El **Capítulo III del Título V (arts. 34 a 37)** regula la figura del **Delegado de Protección de Datos (DPD o DPO)**.

El **art. 34 exige su designación** con carácter obligatorio, entre otros supuestos, para: la **Administración General del Estado, las Administraciones de las Comunidades Autónomas y las Entidades que integran la Administración Local**, así como los organismos vinculados o dependientes de ellas y las universidades públicas; los colegios profesionales; los centros docentes; las entidades que traten datos de categorías especiales a gran escala o realicen un tratamiento que implique una observación habitual y sistemática de interesados a gran escala; las entidades de seguros, financieras y de seguridad privada; los operadores de comunicaciones electrónicas; y los prestadores de servicios de la sociedad de la información que elaboren perfiles de usuarios a gran escala.

El **art. 35, posición del DPD**, garantiza que actuará con **autonomía e independencia** dentro de la organización: será informado con prontitud de cualquier cuestión relacionada con la protección de datos, no recibirá instrucciones sobre el ejercicio de sus funciones ni podrá ser destituido o sancionado por desempeñarlas, y podrá ser un miembro de la plantilla del responsable/encargado o desempeñar sus funciones externamente, incluso de forma compartida por varias entidades (art. 34.5, especialmente relevante en el sector público, atendiendo a su estructura organizativa y tamaño).

El **art. 36 enumera sus funciones**: informar y asesorar al responsable, encargado y empleados sobre sus obligaciones; supervisar el cumplimiento de la normativa y de las políticas del responsable; cooperar con la autoridad de control (la Agencia Española de Protección de Datos u órgano autonómico equivalente); y actuar como **punto de contacto** de la autoridad de control y de los propios interesados. El **art. 37, recursos del DPD**, obliga al responsable/encargado a facilitarle los recursos humanos, técnicos y materiales, así como la formación, necesarios para el desempeño de sus funciones, y a publicar y comunicar sus datos de contacto a la autoridad de control.

La LOPDGDD contempla varias **especialidades** cuando el responsable o encargado del tratamiento es una Administración pública u organismo del sector público:

• **Legitimación específica (art. 8)**: el tratamiento por las Administraciones públicas se ampara habitualmente en el cumplimiento de una obligación legal, el ejercicio de poderes públicos o el interés público, conforme a una norma con rango de ley o de Derecho de la Unión, que puede fijar condiciones concretas de finalidad, categorías de datos, cesiones y plazos de conservación.
• **Publicidad del registro de actividades (art. 31)**: las Administraciones y entidades del sector público deben, además de llevar el registro de actividades de tratamiento, **hacerlo público** a través de medios electrónicos, en conexión directa con las obligaciones de publicidad activa de la Ley 19/2013.
• **Delegado de Protección de Datos obligatorio (art. 34.1.a)**: su designación es preceptiva en todas las Administraciones públicas y organismos dependientes o vinculados, admitiéndose (art. 34.5) un **DPD único para varios organismos**, atendiendo a su estructura organizativa y tamaño.
• **Medidas de seguridad**: las Administraciones públicas aplican, además de las exigidas por el RGPD, el marco propio del **Esquema Nacional de Seguridad (Real Decreto 311/2022)**, que categoriza los sistemas y establece medidas de seguridad proporcionadas al riesgo.
• **Régimen sancionador especial (art. 77)**: cuando la entidad infractora es una Administración pública, órgano constitucional o estatutario, o entidad de derecho público sujeta a la Ley 40/2015, la autoridad de control **no impone multa económica**; dicta una resolución que puede incluir apercibimiento, la propuesta de adopción de medidas para que cese la conducta infractora o se corrijan sus efectos, y, en su caso, la propuesta de inicio de actuaciones disciplinarias, comunicándose la resolución al superior jerárquico del responsable o al Defensor del Pueblo, Tribunal de Cuentas u órganos análogos autonómicos, según proceda.
• **Coordinación con la transparencia**: la propia LOPDGDD reconoce el interés público en el tratamiento de datos de quienes ejercen funciones públicas cuando se realiza en cumplimiento de las obligaciones de publicidad activa y acceso a la información de la Ley 19/2013, debiendo ponderarse en todo caso los límites del art. 15 de dicha ley.

• **Ley 19/2013, de 9 de diciembre**, de transparencia, acceso a la información pública y buen gobierno: Título I (transparencia), Título II (buen gobierno), Título III (Consejo de Transparencia y Buen Gobierno).
• Publicidad activa: **arts. 5-11**; principios generales (art. 5) y contenidos mínimos: institucional/organizativa (art. 6), jurídica (art. 7), económico-presupuestaria (art. 8); Portal de la Transparencia (art. 10).
• Derecho de acceso: **arts. 12-24**; reconocido a toda persona sin motivar la solicitud (art. 12); límites tasados (art. 14); resolución en **1 mes, prorrogable 1 mes** (art. 20), silencio negativo; reclamación potestativa ante el Consejo de Transparencia y Buen Gobierno, plazo de resolución **3 meses** (art. 24).
• Entidades privadas obligadas (art. 3): subvenciones > **100.000 €/año** o ≥ **40 %** de ingresos anuales de origen público (mínimo 5.000 €).
• Comunidad de Madrid: **Ley 10/2019, de 10 de abril**, de Transparencia y de Participación (deroga la Ley 4/2016); crea el Portal de Transparencia de la CM y el **Consejo de Transparencia y Participación de la Comunidad de Madrid**, adscrito a la **Asamblea de Madrid**.
• **LO 3/2018, de 5 de diciembre** (LOPDGDD): desarrolla el RGPD (Reglamento UE 2016/679); deroga la LO 15/1999.
• Principios (Título II): **arts. 4-10** (exactitud, confidencialidad, consentimiento, consentimiento de menores desde **14 años**, tratamiento por interés público/obligación legal -art. 8-, categorías especiales -art. 9-, datos de naturaleza penal -art. 10-).
• Derechos de las personas (Título III): **arts. 11-18** (transparencia/información, acceso, rectificación, supresión, limitación, portabilidad y oposición); plazo general de respuesta: **1 mes**.
• Responsable y encargado (Título V, Cap. I y II): **arts. 28-33** (obligaciones generales, corresponsables, registro de actividades, bloqueo de datos, encargado del tratamiento).
• Delegado de Protección de Datos (Título V, Cap. III): **arts. 34-37**; obligatorio en AAPP (art. 34.1.a), puede ser único para varios organismos (art. 34.5); actúa con autonomía e independencia (art. 35).
• Especialidades sector público: registro de actividades **público** (art. 31); régimen sancionador **sin multa** para AAPP -apercibimiento/propuesta disciplinaria- (art. 77); marco de seguridad propio: **Esquema Nacional de Seguridad** (RD 311/2022).