Proveedores del sector público
Contratos de encargo con administraciones vascas, auditorías y notificación de brechas.
Ley 16/2023 art. 2.2Euskadi
Delegado de protección de datos en el País Vasco
Si tu empresa trabaja para una administración vasca, una parte de tus tratamientos responde ante la Autoridad Vasca de Protección de Datos.
En resumen: la Ley 16/2023 regula la Autoridad Vasca de Protección de Datos. Además del sector público autonómico, foral y local, quedan sometidas a ella las personas o empresas privadas que actúan como encargadas del tratamiento de esas administraciones y las que prestan servicios públicos, en los tratamientos vinculados a ese servicio (art. 2). Para su actividad propia, responden ante la AEPD.
Autoridad de control: Autoridad Vasca y AEPD
Sector público vasco, sus encargados y quien presta servicios públicos: Autoridad Vasca de Protección de Datos (Ley 16/2023). Resto de la actividad privada: AEPD.
País Vasco
Proveedor de una administración vasca: qué cambia
Una empresa de software, de mantenimiento o de servicios que trata datos por cuenta de un ayuntamiento, una diputación foral o el Gobierno Vasco queda sometida a la Ley 16/2023 en esos tratamientos (art. 2.2). Las inspecciones y los procedimientos los lleva la Autoridad Vasca.
Como en toda España (art. 77 LOPDGDD), a las administraciones públicas no se les imponen multas, sino apercibimientos. Las entidades privadas incluidas en el ámbito de la ley sí pueden ser multadas.
Ayuntamiento, diputación foral o Gobierno VascoAutoridad Vasca
Empresa encargada de un ente público vascoAutoridad Vasca, para esos tratamientos
Concesionaria de un servicio públicoAutoridad Vasca, para ese servicio
Misma empresa, con sus clientes privadosAEPD
Universidades del sistema vascoAutoridad Vasca
Puntos frecuentes en País Vasco
Industria y cooperativas
Control de accesos, videovigilancia en planta y datos de socios trabajadores.
LOPDGDD art. 89Tecnología
Software con IA, alojamiento y proveedores fuera de la UE.
RGPD art. 44Dudas habituales en País Vasco
¿Mi empresa responde ante la Autoridad Vasca?
Para los tratamientos que realizas como encargada de una administración vasca o para prestar un servicio público, sí. Para el resto de tu actividad, ante la AEPD.
¿Desde cuándo?
La Ley 16/2023 se publicó en el BOE en enero de 2024 y sustituyó a la ley de 2004 que creó la antigua Agencia Vasca.
¿Las normas de fondo cambian?
No: el RGPD y la LOPDGDD son los mismos. Cambia quién inspecciona y tramita las reclamaciones.
¿Tu organización está en País Vasco?
Trabajo en remoto desde Italia, dentro de la Unión Europea. La primera evaluación es gratuita: miro tu situación y te digo por escrito qué falta y en qué orden resolverlo.
Actualizado el 27 de octubre de 2026 · Pietro Cravero, delegado de protección de datos certificado (IDcert).