BOLETÍN OFICIAL DEL ESTADO
Núm. 16

Jueves 18 de enero de 2024

Sec. I. Pág. 6400

CAPÍTULO III
Régimen sancionador. Potestad correctiva de la Autoridad Vasca de Protección
de Datos
Artículo 24. Sujetos responsables.
1. Los responsables y encargados de los tratamientos a los que se refiere el
artículo 2 de esta ley están sujetos al régimen de infracciones y sanciones contenido en
este capítulo.
2. Asimismo, el régimen sancionador de esta ley será aplicable a:
a) Las entidades acreditadas de supervisión de los códigos de conducta aprobados
por la Autoridad Vasca de Protección de Datos, conforme a lo dispuesto en el artículo 18.
b) Las entidades de certificación acreditadas por la Autoridad Vasca de Protección
de Datos conforme a lo dispuesto en el artículo 19.
Artículo 25. Infracciones.
1. Constituyen infracciones de la presente ley los actos y conductas a las que se
refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, y los
artículos 72 a 74 de la Ley Orgánica 3/2018, de 5 de diciembre.
2. Asimismo, constituyen infracciones de la presente ley los actos y conductas a las
que se refieren los artículos 58 a 60 de la Ley Orgánica 7/2021, de 26 de mayo.
3. La Autoridad Vasca de Protección de Datos será competente para sancionar las
infracciones cometidas por los sujetos responsables a los que se refiere el artículo
anterior, a excepción de las conductas tipificadas en los artículos 58.j) y 59.j) de la Ley
Orgánica 7/2021, de 26 de mayo.
Artículo 26.

Prescripción de las infracciones.

1. Las infracciones a que se refieren los apartados 4, 5 y 6 del artículo 83 del
Reglamento (UE) 2016/679 prescribirán a los tres años, a los dos años o al año, según
se califiquen como muy graves, graves o leves, de acuerdo con los artículos 72 a 74 de
la Ley Orgánica 3/2018, de 5 de diciembre.
2. Las infracciones tipificadas en la Ley Orgánica 7/2021, de 26 de mayo,
prescribirán a los seis meses, a los dos años o a los tres años de haberse cometido,
según sean leves, graves o muy graves, respectivamente.
3. Interrumpirá la prescripción de la infracción la iniciación, con conocimiento de la
persona interesada, del procedimiento establecido en el capítulo IV de esta ley,
reiniciándose el plazo de prescripción si el expediente sancionador estuviere paralizado
durante más de seis meses por causas no imputables a la presunta persona infractora.
Artículo 27.

El régimen contenido en el presente artículo será de aplicación a:

a) Los entes de naturaleza jurídica privada pertenecientes al sector público vasco.
b) Las personas físicas y las entidades privadas que presten servicios públicos
mediante cualquier forma de gestión directa o indirecta o que ostenten la condición de
encargados del tratamiento sometidos a esta ley conforme a su artículo 2.2.
c) Las entidades acreditadas de supervisión de los códigos de conducta y las
entidades de certificación acreditadas por la Autoridad Vasca de Protección de Datos
cuando tengan naturaleza jurídica privada.
2. Las infracciones a que se refiere el artículo 25 de esta ley serán sancionadas con
multa en los términos recogidos en los apartados 4, 5 y 6 del artículo 83 del Reglamento
(UE) 2016/679, y en el artículo 62.2 de la Ley Orgánica 7/2021, de 26 de mayo.

cve: BOE-A-2024-900
Verificable en https://www.boe.es

1.

Sanciones administrativas y medidas correctivas.