Organización del tratamiento de datos personales en la Administración de la Generalitat de Catalunya

Decreto 152/2026, de 1 de septiembre, por el que se establece la organización del tratamiento de datos personales en la Administración de la Generalitat de Catalunya (DOGC de 3 de septiembre de 2026). Texto completo.

DECRETO 152/2026, DE 1 DE SEPTIEMBRE, POR EL QUE SE ESTABLECE LA ORGANIZACIÓN DEL TRATAMIENTO DE DATOS PERSONALES EN LA ADMINISTRACIÓN DE LA GENERALITAT DE CATALUNYA

El artículo 150 del Estatuto de Autonomía de Cataluña establece que corresponde a la Generalitat, en materia de organización de su Administración, la competencia exclusiva sobre la estructura, la regulación de los órganos y directivos públicos, el funcionamiento y la articulación territorial, así como sobre las diversas modalidades organizativas e instrumentales para la actuación administrativa.

El Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas con respecto al tratamiento de datos personales y a la libre circulación de estos datos (Reglamento General de Protección de Datos), junto con los criterios interpretativos del Comité Europeo de Protección de Datos (CEPD), se infiere que la condición de responsable del tratamiento se tiene que identificar atendiendo a criterios funcionales de conformidad con quien determina las finalidades y los medios del tratamiento. En el caso de la Administración de la Generalitat de Catalunya, esta determinación se efectúa de acuerdo con las competencias que la Ley atribuye a las administraciones públicas.

El Gobierno de la Generalitat de Catalunya ha impulsado una estrategia de renovación y mejora de los servicios públicos, con el objetivo de reformar la gestión pública y situar la ciudadanía en el centro de la toma de decisiones. Esta iniciativa tiene como finalidad avanzar hacia una Administración pública más eficaz, eficiente y adaptada a los retos actuales y a las demandas sociales y económicas del país.

En este sentido, el Acuerdo GOV/217/2024, de 8 de octubre, promueve la elaboración de una estrategia de transformación y mejora de los servicios públicos en el ámbito de la Administración de la Generalitat de Catalunya. Este Acuerdo establece la creación de la Comisión de Expertos para la Definición de la Estrategia de Transformación de la Administración de la Generalitat de Catalunya y la Mejora de los Servicios Públicos (CETRA), concebida como un órgano de estudio y asesoramiento en doce ámbitos prioritarios de actuación, y también la aprobación de un plan de choque con medidas de aplicación urgente para alcanzar los objetivos establecidos.

La presente iniciativa se enmarca en esta estrategia institucional y contribuye de manera transversal a la simplificación normativa y de procesos, al diseño de los servicios públicos desde las necesidades de la ciudadanía, a la digitalización integral de la Administración, a la transparencia en la trazabilidad de los trámites y a la implantación de instrumentos de evaluación de políticas públicas.

En el ámbito de las administraciones públicas, los tratamientos de datos personales tienen un carácter instrumental respecto de las funciones públicas atribuidas por la ley, mientras que la distribución de funciones entre órganos y unidades administrativas responde principalmente a criterios de organización interna. Esta distribución competencial interna no altera, por sí misma, la titularidad de la responsabilidad jurídica derivada del tratamiento de datos personales.

Desde la entrada en vigor del Reglamento General de Protección de Datos, la Administración de la Generalitat de Catalunya ha desplegado un modelo organizativo basado en la participación de varios roles especializados en materia de protección de datos.

La atribución fragmentada de la condición de responsable del tratamiento en unidades internas o departamentos de la Administración de la Generalitat dificulta el cumplimiento del principio de responsabilidad proactiva que el artículo 5.2 del Reglamento General de Protección de Datos exige a la Administración de la Generalitat como organización, que es quien asume la responsabilidad de los tratamientos de datos que realiza y genera disfunciones desde el punto de vista de la coherencia organizativa y la seguridad jurídica. Por este motivo, se considera necesario revisar la configuración organizativa de la Administración de la Generalitat de Catalunya en materia de tratamiento de datos personales, tomando como referencia su personalidad jurídica única y el carácter unitario de las funciones públicas que ejerce.

En consecuencia, este decreto no crea ni modifica la condición de responsable del tratamiento, que corresponde a la Administración de la Generalitat de Catalunya como sujeto jurídico único, y determina, de manera corporativa y en el ámbito de sus competencias, las finalidades y los medios esenciales de los tratamientos de datos. El objeto del decreto establece el modelo organizativo interno mediante el cual se ejercen las funciones inherentes a esta responsabilidad. Con esta finalidad, regula la organización y la atribución de funciones de los departamentos de la Administración de la Generalitat y de los órganos que intervienen en la gestión de los tratamientos de datos personales, de acuerdo con la estructura administrativa de la Generalitat. En este marco, los departamentos y los órganos a los cuales este decreto atribuye funciones específicas no actúan como encargados del tratamiento, sino como órganos integrados en la misma Administración responsable, que ejercen las funciones que les corresponden en materia del tratamiento de los datos personales.

Asimismo, el decreto configura un modelo de gobernanza basado en la distribución funcional de responsabilidades entre los departamentos de la Administración de la Generalitat, las unidades referentes en materia de protección de datos y el departamento competente en materia de administración digital, al cual se atribuyen las funciones de coordinación, homogeneización y establecimiento de criterios en materia de protección de datos personales. Este modelo responde a la necesidad de garantizar una aplicación unitaria, homogénea, coherente y eficaz de la normativa de protección de datos en el tratamiento de los datos personales, sin alterar la titularidad de la responsabilidad jurídica del tratamiento, que sigue correspondiendo a la Administración de la Generalitat como responsable único. Todo eso sin perjuicio de las funciones de información, asesoramiento, supervisión y colaboración que la normativa vigente atribuye al delegado o delegada de protección de datos.

Este decreto se adecua a los principios de buena regulación establecidos en el artículo 129 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y a los principios recogidos en los artículos 62 y 63 de la Ley 19/2014, del 29 de diciembre, de Transparencia, Acceso a la Información Pública y Buen Gobierno. En particular, responde a los principios de necesidad y eficacia, dado que establece el marco organizativo imprescindible para garantizar una aplicación coherente de la normativa de protección de datos; al principio de proporcionalidad, porque contiene la regulación estrictamente necesaria para alcanzar esta finalidad, y al principio de seguridad jurídica, en tanto que clarifica la identificación del responsable del tratamiento y la articulación interna de las funciones asociadas.

De conformidad con el artículo 23 de la Ley 13/2008, de 5 de noviembre, de la Presidencia de la Generalitat y del Gobierno; la Ley 26/2010 , del 3 de agosto, de Régimen Jurídico y de Procedimiento de las Administraciones Públicas de Cataluña, y la Ley 13/1989, de 14 de diciembre , de Organización, Procedimiento y Régimen Jurídico de la Administración de la Generalitat de Catalunya;

A propuesta del consejero de la Presidencia, y de acuerdo con el Gobierno,

Decreto:

Artículo 1

Objeto

Este decreto tiene por objeto determinar la condición de responsable del tratamiento de datos personales de la Administración de la Generalitat de Catalunya y establecer la organización y la atribución de funciones de los departamentos de la Administración de la Generalitat que deben llevar a cabo las actuaciones propias del responsable del tratamiento, de acuerdo con el Reglamento General de Protección de Datos y la normativa vigente en materia de protección de datos personales.

Artículo 2

Ámbito de aplicación

1. Este decreto se aplica al conjunto de los departamentos de la Administración de la Generalitat de Catalunya.

2. Las disposiciones de este decreto no son aplicables a las entidades con personalidad jurídica propia vinculadas o dependientes de la Administración de la Generalitat.

Artículo 3

Responsable del tratamiento

1. Corresponde a la Administración de la Generalitat de Catalunya la condición de responsable único de los tratamientos de datos personales que lleve a cabo en el ejercicio de las competencias que tiene atribuidas.

2. Las funciones inherentes a la condición de responsable único de los tratamientos de datos personales se ejercen por las personas titulares de los departamentos de la Administración de la Generalitat y por los órganos a los cuales este decreto atribuye funciones específicas, sin perjuicio de las delegaciones de competencias que se puedan efectuar de acuerdo con la normativa aplicable.

3. La condición de responsable único de la Administración de la Generalitat no altera la vinculación de cada tratamiento a las finalidades derivadas de las competencias que el ordenamiento jurídico atribuye a cada departamento de la Administración de la Generalitat.

Artículo 4

Funciones de los departamentos de la Administración de la Generalitat

1. Corresponde a la persona titular de cada departamento de la Administración de la Generalitat ejercer las funciones del responsable de tratamiento respecto de los tratamientos de datos personales vinculados al ejercicio de sus competencias.

A estos efectos, se le atribuyen las siguientes funciones:

a) Adoptar las medidas técnicas y organizativas necesarias para asegurar y poder acreditar la conformidad de los tratamientos de datos con la normativa aplicable, incorporando los principios de protección de datos desde el diseño y por defecto.

b) Formalizar los acuerdos de encargo de tratamiento en el ámbito de las competencias del departamento, incluidos los vinculados a las soluciones o los sistemas de información que gestione, así como los acuerdos de corresponsabilidad que correspondan.

c) Realizar las evaluaciones de riesgos y, en su caso, de impacto en protección de datos, y colaborar con el impulsor del proyecto en aquellas evaluaciones que afecten a varios departamentos de la Administración de la Generalitat.

d) Aplicar las medidas técnicas y organizativas de seguridad adecuadas a los riesgos identificados, en coherencia con las políticas corporativas de seguridad y protección de datos.

e) Mantener actualizadas en el registro de actividad de tratamientos de la Administración de la Generalitat las actividades de tratamiento derivadas de sus competencias.

f) Informar debidamente a las personas interesadas sobre el tratamiento de sus datos personales.

g) Tramitar y resolver las peticiones de ejercicio de derechos relacionados con la protección de datos, respecto de los tratamientos propios del departamento.

h) Establecer mecanismos internos para garantizar la detección de las incidencias para facilitar, si procede, la notificación de violaciones de seguridad, de forma que se lleve a cabo su inmediata gestión, teniendo en cuenta los procedimientos establecidos por la gestión de incidentes de seguridad.

i) Dar respuesta a los requerimientos y solicitudes que, en materia de protección de datos, formule la Autoridad Catalana de Protección de Datos o cualquier otra autoridad de control competente, las cuales se canalizan a través del delegado o delegada de protección de datos.

j) Garantizar la formación y sensibilización en materia de protección de datos del personal del departamento, promoviendo buenas prácticas y protocolos internos que aseguren el cumplimiento de la normativa.

k) Cualquier otra función análoga que le corresponda en el ámbito de sus competencias.

2. El ejercicio de las funciones atribuidas en el apartado anterior se realiza de acuerdo con las instrucciones, criterios y procedimientos establecidos por el departamento competente en administración digital, en coherencia con las políticas corporativas de seguridad y protección de datos.

Artículo 5

Unidad referente

1. Cada departamento de la Administración de la Generalitat designa una unidad referente en materia de datos personales dentro de su estructura.

2. Corresponde a la unidad referente dar apoyo técnico y administrativo a la persona titular del departamento, en el ejercicio de las funciones que le corresponde de acuerdo con las funciones que le atribuye el artículo 4.

3. La unidad referente ejerce la función de interlocutor ordinario con el delegado o delegada de protección de datos.

Artículo 6

Funciones del departamento competente en materia de administración digital

1. Corresponde al departamento competente en materia de administración digital, a través del órgano que tenga atribuidas las funciones de impulso del modelo corporativo de gobierno de datos, con rango orgánico mínimo de dirección general, las funciones siguientes:

a) Aprobar las directrices e instrucciones necesarias para garantizar un cumplimiento unitario, efectivo, homogéneo y coordinado de las obligaciones del responsable del tratamiento en materia de protección de datos personales, así como resolver cualquier duda o cuestiones controvertidas entre los diferentes departamentos de la Administración de la Generalitat.

b) Establecer los criterios corporativos para el acceso a los datos personales y para su uso ulterior con finalidades compatibles, de acuerdo con la normativa de protección de datos y con las políticas que despliegan el modelo de gobierno del dato.

c) Promover, gestionar y mantener el sistema corporativo del Registro de actividades de tratamiento de la Administración de la Generalitat, velar por su coherencia e integridad, y establecer los criterios comunes de descripción de las actividades de tratamiento.

d) Promover, gestionar y mantener el sistema corporativo que permita tramitar y hacer efectivas las solicitudes de derechos ARSOPOL, y resolver aquellas solicitudes de carácter transversal y que afecten a dos o más departamentos de la Administración de la Generalitat.

e) Establecer protocolos que faciliten las notificaciones de violaciones de seguridad, y velar para que se apliquen de manera homogénea en toda la Administración.

f) Impulsar, en coordinación con la Escuela de Administración Pública de Cataluña, la formación y concienciación del personal de la Administración en materia de protección de datos, mediante programas formativos, guías y campañas de sensibilización.

g) Impulsar la cooperación institucional en materia de protección de datos, tanto dentro de la Administración de la Generalitat como con otras administraciones públicas y con la Autoridad Catalana de Protección de Datos, así como con los órganos e instituciones europeas e internacionales competentes.

h) Velar por la integración de los principios de protección de datos desde el diseño y por defecto en todos los proyectos y servicios digitales transversales y corporativos de la Administración de la Generalitat.

i) Cualquier otra función análoga que le corresponda con el fin de asegurar el cumplimiento efectivo, unitario, homogéneo y coordinado de las obligaciones del responsable del tratamiento, en materia de protección de datos.

2. Las funciones que establece este artículo se entienden sin perjuicio de las que corresponden al departamento competente en materia de administración digital de acuerdo con el artículo 4 respecto de los tratamientos de datos personales vinculados al ejercicio de sus competencias y de las soluciones o los sistemas de información que gestiona.

3. Las actuaciones de cooperación con los órganos e instituciones europeas e internacionales competentes establecida en el apartado 1.g) se ejercen sin perjuicio de las atribuciones institucionales de la Autoridad Catalana de Protección de Datos, y con plena observancia de los canales de relación previstos en el Reglamento General de Protección de Datos.

Artículo 7

Comisión Interdepartamental para los Tratamientos de Datos Personales

1. Se crea la Comisión Interdepartamental para los Tratamientos de Datos Personales como órgano colegiado de participación, estudio y propuesta de criterios para la aplicación homogénea y unitaria de la normativa de protección de datos en el tratamiento de datos personales.

2. La Comisión se integra en el departamento competente en materia de administración digital, el cual tiene que dar el apoyo técnico y administrativo necesario.

3. Corresponden a la Comisión las funciones siguientes:

a) Velar por la homogeneidad en la aplicación de criterios de actuación respecto de los tratamientos de datos, dentro de los ámbitos competenciales propios de cada departamento de la Administración de la Generalitat.

b) Compartir criterios de actuación y posibles soluciones teniendo en cuenta las especificidades propias del ámbito de las competencias de cada uno de los departamentos de la Administración de la Generalitat.

c) Debatir aspectos concretos de la aplicación de la normativa en materia de protección y su tratamiento de datos, con el fin de identificar y acordar posibles criterios de interpretación y soluciones de actuación.

4. La Comisión cuenta con la participación, el asesoramiento y la asistencia de la figura del delegado o delegada de protección de datos.

5. La Comisión tiene la composición siguiente:

a) La presidencia, que corresponde al titular de la secretaría competente en administración digital o persona en quien delegue, con rango orgánico mínimo de subdirector o subdirectora general o asimilado.

b) Una persona designada por cada uno de los departamentos de la Administración de la Generalitat, con rango orgánico mínimo de subdirector.

c) Una persona designada por la dirección general competente en materia de coordinación de protección de datos con rango orgánico mínimo de servicio, que ejerce también las funciones de secretaría, con voz y voto.

6. La Comisión Interdepartamental para los Tratamientos de Datos Personal debe tener una composición paritaria, como mínimo en los miembros no natos.

7. Corresponde a la secretaría competente en materia de administración digital, nombrar a los miembros a propuesta de cada uno de los departamentos de la Administración de la Generalitat.

8. Corresponde a cada departamento de la Administración de la Generalitat designar a los vocales suplentes para los casos de ausencia, de vacante, de enfermedad o por cualquier otra causa justificada.

9. Cuando así lo considere oportuno, o a petición de los miembros de la Comisión, y en función de los temas para tratar, la presidencia puede convocar personas expertas o especialistas en materia de protección de datos, que asisten con voz pero sin voto.

10. La Comisión se reúne un mínimo de seis veces el año.

11. La Comisión aprueba el reglamento de funcionamiento interno y, en todo lo que no establezcan el reglamento y este decreto, se aplica la normativa sobre órganos colegiados de la Administración de la Generalitat.

12. La asistencia a las sesiones de la Comisión no comporta ninguna retribución ni percepción de dietas.

Artículo 8

Coordinación con la figura del delegado o delegada de protección de datos

1. Las funciones atribuidas en este decreto se entienden establecidas sin perjuicio de las competencias, prerrogativas y facultades de información, de asesoramiento y de supervisión que la normativa vigente en materia de protección de datos personales atribuye a la figura del delegado o delegada de protección de datos.

2. Asimismo, el ejercicio de las funciones previstas en este decreto se debe llevar a cabo en colaboración y de acuerdo con las funciones propias del delegado o delegada de protección de datos, en los términos establecidos por la normativa aplicable.

Disposiciones adicionales

Disposición adicional primera

Soluciones o sistemas corporativos transversales

Las funciones del responsable del tratamiento vinculadas a las soluciones o los sistemas corporativos transversales corresponden al departamento o departamentos de la Administración de la Generalitat que tengan atribuida la gestión.

Disposición adicional segunda

Modelo de gobernanza de datos de salud

En la aplicación del Espacio Europeo de Datos de Salud, el departamento de la Administración de la Generalitat de Catalunya competente en materia de salud y las entidades de su sector público pueden dotarse del modelo propio de gobernanza de datos necesario para adecuar el tratamiento primario y secundario de los datos de salud electrónicos a lo que establece el Reglamento (UE) 2025/327 del Parlamento Europeo y del Consejo, de 11 de febrero de 2025, relativo al Espacio Europeo de Datos de Salud, así como las modificaciones introducidas en la Directiva 2011/24/UE y el Reglamento (UE) 2024/2847, y en la normativa que los despliegue.

Disposición transitoria primera

Implementación del nuevo modelo organizativo

Las funciones de naturaleza transversal atribuidas al departamento competente en materia de administración digital deben implementarse a medida que se desplieguen los recursos necesarios para poder hacerlas efectivas.

Disposición transitoria segunda

Atribución temporal de funciones como unidad referente

Mientras no se aprueben los decretos de reestructuración de los departamentos de la Administración de la Generalitat, la persona titular de la secretaría general debe atribuir, con carácter temporal, el ejercicio de las funciones de la unidad referente a una unidad administrativa del departamento.

Disposición final primera

Atribución inicial de funciones

A la entrada en vigor de este decreto, se atribuye a la Dirección General de Inteligencia Artificial, Eficiencia y Datos en la Administración las funciones establecidas en el artículo 6 de este decreto.

Disposición final segunda

Adaptaciones organizativas

En el plazo de seis meses desde la publicación en el Diari Oficial de la Generalitat de Catalunya de este decreto, los departamentos de la Administración de la Generalitat deben llevar a cabo las adaptaciones organizativas y dotarse de los recursos necesarios para garantizar el desarrollo correcto de las funciones asignadas.

Disposición final tercera

Entrada en vigor

Este decreto entra en vigor 30 días después de su publicación en el Diari Oficial de la Generalitat de Catalunya.