Art. 54

1.   Each Member State shall provide by law for all of the following:

a) the establishment of each supervisory authority;

b) the qualifications and eligibility conditions required to be appointed as member of each supervisory authority;

c) the rules and procedures for the appointment of the member or members of each supervisory authority;

d) the duration of the term of the member or members of each supervisory authority of no less than four years, except for the first appointment after 24 May 2016, part of which may take place for a shorter period where that is necessary to protect the independence of the supervisory authority by means of a staggered appointment procedure;

e) whether and, if so, for how many terms the member or members of each supervisory authority is eligible for reappointment;

f) the conditions governing the obligations of the member or members and staff of each supervisory authority, prohibitions on actions, occupations and benefits incompatible therewith during and after the term of office and rules governing the cessation of employment.

2.   The member or members and the staff of each supervisory authority shall, in accordance with Union or Member State law, be subject to a duty of professional secrecy both during and after their term of office, with regard to any confidential information which has come to their knowledge in the course of the performance of their tasks or exercise of their powers. During their term of office, that duty of professional secrecy shall in particular apply to reporting by natural persons of infringements of this Regulation.

Art. 28

1. Each Member State shall provide that one or more public authorities are responsible for monitoring the application within its territory of the provisions adopted by the Member States pursuant to this Directive.

These authorities shall act with complete independence in exercising the functions entrusted to them.

2. Each Member State shall provide that the supervisory authorities are consulted when drawing up administrative measures or regulations relating to the protection of individuals' rights and freedoms with regard to the processing of personal data.

3. Each authority shall in particular be endowed with:

- investigative powers, such as powers of access to data forming the subject-matter of processing operations and powers to collect all the information necessary for the performance of its supervisory duties,

- effective powers of intervention, such as, for example, that of delivering opinions before processing operations are carried out, in accordance with Article 20, and ensuring appropriate publication of such opinions, of ordering the blocking, erasure or destruction of data, of imposing a temporary or definitive ban on processing, of warning or admonishing the controller, or that of referring the matter to national parliaments or other political institutions,

- the power to engage in legal proceedings where the national provisions adopted pursuant to this Directive have been violated or to bring these violations to the attention of the judicial authorities.

Decisions by the supervisory authority which give rise to complaints may be appealed against through the courts.

4. Each supervisory authority shall hear claims lodged by any person, or by an association representing that person, concerning the protection of his rights and freedoms in regard to the processing of personal data. The person concerned shall be informed of the outcome of the claim.

Each supervisory authority shall, in particular, hear claims for checks on the lawfulness of data processing lodged by any person when the national provisions adopted pursuant to Article 13 of this Directive apply. The person shall at any rate be informed that a check has taken place.

5. Each supervisory authority shall draw up a report on its activities at regular intervals. The report shall be made public.

6. Each supervisory authority is competent, whatever the national law applicable to the processing in question, to exercise, on the territory of its own Member State, the powers conferred on it in accordance with paragraph 3. Each authority may be requested to exercise its powers by an authority of another Member State.

The supervisory authorities shall cooperate with one another to the extent necessary for the performance of their duties, in particular by exchanging all useful information.

7. Member States shall provide that the members and staff of the supervisory authority, even after their employment has ended, are to be subject to a duty of professional secrecy with regard to confidential information to which they have access.

Artículo 48. La Presidencia de la Agencia Española de Protección de Datos.

1. La Presidencia de la Agencia Española de Protección de Datos la dirige, ostenta su representación y dicta sus resoluciones, circulares y directrices.

2. La Presidencia de la Agencia Española de Protección de Datos estará auxiliada por un Adjunto en el que podrá delegar sus funciones, a excepción de las relacionadas con los procedimientos regulados por el título VIII de esta ley orgánica, y que la sustituirá en el ejercicio de las mismas en los términos previstos en el Estatuto Orgánico de la Agencia Española de Protección de Datos.

Ambos ejercerán sus funciones con plena independencia y objetividad y no estarán sujetos a instrucción alguna en su desempeño. Les será aplicable la legislación reguladora del ejercicio del alto cargo de la Administración General del Estado.

En los supuestos de ausencia, vacante o enfermedad de la persona titular de la Presidencia o cuando concurran en ella alguno de los motivos de abstención o recusación previstos en el artículo 23 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, el ejercicio de las competencias relacionadas con los procedimientos regulados por el título VIII de esta ley orgánica serán asumidas por la persona titular del órgano directivo que desarrolle las funciones de inspección. En el supuesto de que cualquiera de las circunstancias mencionadas concurriera igualmente en dicha persona, el ejercicio de las competencias afectadas será asumido por las personas titulares de los órganos directivos con nivel de subdirección general, por el orden establecido en el Estatuto.

El ejercicio del resto de competencias será asumido por el Adjunto en los términos previstos en el Estatuto Orgánico de la Agencia Española de Protección de Datos y, en su defecto, por las personas titulares de los órganos directivos con nivel de subdirección general, por el orden establecido en el Estatuto.

3. La Presidencia de la Agencia Española de Protección de Datos y su Adjunto serán nombrados por el Gobierno, a propuesta del Ministerio de Justicia, entre personas de reconocida competencia profesional, en particular en materia de protección de datos. Dos meses antes de producirse la expiración del mandato o, en el resto de las causas de cese, cuando se haya producido éste, el Ministerio de Justicia ordenará la publicación en el Boletín Oficial del Estado de la convocatoria pública de candidatos.

Previa evaluación del mérito, capacidad, competencia e idoneidad de los candidatos, el Gobierno remitirá al Congreso de los Diputados una propuesta de Presidencia y Adjunto acompañada de un informe justificativo que, tras la celebración de la preceptiva audiencia de los candidatos, deberá ser ratificada por la Comisión de Justicia en votación pública por mayoría de tres quintos de sus miembros en primera votación o, de no alcanzarse ésta, por mayoría absoluta en segunda votación, que se realizará inmediatamente después de la primera. En este último supuesto, los votos favorables deberán proceder de Diputados pertenecientes, al menos, a dos grupos parlamentarios diferentes.

4. La Presidencia y el Adjunto de la Agencia Española de Protección de Datos serán nombrados por el Consejo de Ministros mediante real decreto.

5. El mandato de la Presidencia y del Adjunto de la Agencia Española de Protección de Datos tiene una duración de cinco años y puede ser renovado para otro período de igual duración.

La Presidencia y el Adjunto solo cesarán antes de la expiración de su mandato, a petición propia o por separación acordada por el Consejo de Ministros, por:

a) Incumplimiento grave de sus obligaciones,

b) incapacidad sobrevenida para el ejercicio de su función,

c) incompatibilidad, o

d) condena firme por delito doloso.

En los supuestos previstos en las letras a), b) y c) será necesaria la ratificación de la separación por las mayorías parlamentarias previstas en el apartado 3 de este artículo.

6. Los actos y disposiciones dictados por la Presidencia de la Agencia Española de Protección de Datos ponen fin a la vía administrativa, siendo recurribles, directamente, ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional.

Artículo 49. Consejo Consultivo de la Agencia Española de Protección de Datos.

1. La Presidencia de la Agencia Española de Protección de Datos estará asesorada por un Consejo Consultivo compuesto por los siguientes miembros:

a) Un Diputado, propuesto por el Congreso de los Diputados.

b) Un Senador, propuesto por el Senado.

c) Un representante designado por el Consejo General del Poder Judicial.

d) Un representante de la Administración General del Estado con experiencia en la materia, propuesto por el Ministro de Justicia.

e) Un representante de cada Comunidad Autónoma que haya creado una Autoridad de protección de datos en su ámbito territorial, propuesto de acuerdo con lo que establezca la respectiva Comunidad Autónoma.

f) Un experto propuesto por la Federación Española de Municipios y Provincias.

g) Un experto propuesto por el Consejo de Consumidores y Usuarios.

h) Dos expertos propuestos por las Organizaciones Empresariales.

i) Un representante de los profesionales de la protección de datos y de la privacidad, propuesto por la asociación de ámbito estatal con mayor número de asociados.

j) Un representante de los organismos o entidades de supervisión y resolución extrajudicial de conflictos previstos en el Capítulo IV del Título V, propuesto por el Ministro de Justicia.

k) Un experto, propuesto por la Conferencia de Rectores de las Universidades Españolas.

l) Un representante de las organizaciones que agrupan a los Consejos Generales, Superiores y Colegios Profesionales de ámbito estatal de las diferentes profesiones colegiadas, propuesto por el Ministro de Justicia.

m) Un representante de los profesionales de la seguridad de la información, propuesto por la asociación de ámbito estatal con mayor número de asociados.

n) Un experto en transparencia y acceso a la información pública propuesto por el Consejo de Transparencia y Buen Gobierno.

ñ) Dos expertos propuestos por las organizaciones sindicales más representativas.

2. A los efectos del apartado anterior, la condición de experto requerirá acreditar conocimientos especializados en el Derecho y la práctica en materia de protección de datos mediante el ejercicio profesional o académico.

3. Los miembros del Consejo Consultivo serán nombrados por orden del Ministro de Justicia, publicada en el Boletín Oficial del Estado.

4. El Consejo Consultivo se reunirá cuando así lo disponga la Presidencia de la Agencia Española de Protección de Datos y, en todo caso, una vez al semestre.

5. Las decisiones tomadas por el Consejo Consultivo no tendrán en ningún caso carácter vinculante.

6. En todo lo no previsto por esta ley orgánica, el régimen, competencias y funcionamiento del Consejo Consultivo serán los establecidos en el Estatuto Orgánico de la Agencia Española de Protección de Datos.

---

Article 48. The Presidency of the Spanish Data Protection Agency.

1. The Presidency of the Spanish Data Protection Agency directs it, represents it and issues its resolutions, circulars and guidelines.

2. The Presidency of the Spanish Data Protection Agency shall be assisted by a Deputy to whom it may delegate its functions, with the exception of those related to the procedures regulated by Title VIII of this Organic Law, and who shall substitute it in the exercise of the same under the terms provided in the Organic Statute of the Spanish Data Protection Agency.

Both shall exercise their functions with full independence and objectivity and shall not be subject to any instruction in their performance. The legislation regulating the exercise of senior positions in the General State Administration shall be applicable to them.

3. The Presidency of the Spanish Data Protection Agency and its Deputy shall be appointed by the Government, at the proposal of the Ministry of Justice, from among persons of recognized professional competence, particularly in the field of data protection.

Two months prior to the expiration of the term of office or, in the case of other causes for dismissal, when the latter has occurred, the Ministry of Justice shall order the publication in the Official State Gazette of the public call for candidates.

After evaluating the merit, capacity, competence and suitability of the candidates, the Government shall submit to the Congress of Deputies a proposal for the Presidency and Deputy, accompanied by a report justifying it, which, after holding the mandatory hearing of the candidates, shall be ratified by the Justice Committee in a public vote by a majority of three-fifths of its members in the first vote or, if this is not reached, by an absolute majority in the second vote, which shall be held immediately after the first vote. In the latter case, the votes in favor must come from Members belonging to at least two different parliamentary groups.

4. The Presidency and the Deputy of the Spanish Data Protection Agency will be appointed by the Council of Ministers by Royal Decree.

5. The term of office of the Presidency and the Deputy of the Spanish Data Protection Agency is five years and may be renewed for another term of the same duration.

The Presidency and the Deputy shall only cease before the expiration of their term of office, at their own request or by separation agreed by the Council of Ministers, by:

a) Serious non-compliance with its obligations,

b) supervening incapacity to perform his or her duties,

c) incompatibility, or

d) conviction for an intentional crime.

In the cases provided for in letters a), b) and c), the ratification of the separation by the parliamentary majorities provided for in paragraph 3 of this article shall be necessary.

6. The acts and provisions issued by the Presidency of the Spanish Data Protection Agency put an end to administrative proceedings, and may be appealed directly before the Contentious-Administrative Chamber of the National High Court.

Article 49. Advisory Council of the Spanish Data Protection Agency.

1. The Presidency of the Spanish Data Protection Agency will be advised by an Advisory Council composed of the following members:

a) One Deputy, proposed by the Congress of Deputies.

b) One Senator, nominated by the Senate.

c) A representative appointed by the General Council of the Judiciary.

d) A representative of the General State Administration with experience in the field, proposed by the Minister of Justice.

e) A representative of each Autonomous Community that has created a Data Protection Authority in its territorial area, proposed in accordance with the provisions of the respective Autonomous Community.

f) An expert proposed by the Spanish Federation of Municipalities and Provinces.

g) An expert proposed by the Consumers and Users Council.

h) Two experts proposed by the Business Organizations.

i) A representative of data protection and privacy professionals, proposed by the statewide association with the largest number of members.

j) A representative of the bodies or entities for the supervision and extrajudicial resolution of conflicts provided for in Chapter IV of Title V, proposed by the Minister of Justice.

k) An expert, proposed by the Conference of Rectors of Spanish Universities.

I) A representative of the organizations that bring together the General Councils, Higher Councils and Professional Associations at the state level of the different collegiate professions, proposed by the Minister of Justice.

m) A representative of the information security professionals, proposed by the statewide association with the largest number of members.

n) An expert in transparency and access to public information proposed by the Council for Transparency and Good Governance.

ñ) Two experts proposed by the most representative trade union organizations.

2. For the purposes of the preceding paragraph, the status of expert shall require accreditation of specialized knowledge in data protection law and practice through professional or academic practice.

3. The members of the Advisory Council shall be appointed by order of the Minister of Justice, published in the Official State Gazette.

4. The Advisory Council shall meet when so ordered by the Presidency of the Spanish Data Protection Agency and, in any case, once every six months.

5. The decisions taken by the Advisory Council shall in no case be binding.

6. In all matters not provided for in this Organic Law, the regime, competences and operation of the Advisory Council shall be those established in the Organic Statute of the Spanish Data Protection Agency.