Artículo 18. DECRETO 77/2026, de 19 de mayo, País Vasco, Estatuto de la Autoridad Vasca de Protección de Datos

1.– La Autoridad Vasca de Protección de Datos podrá efectuar inspecciones periódicas o circunstanciales, de oficio o a instancia de las personas afectadas, de cualesquiera de los tratamientos realizados por los responsables a que se refiere el artículo 2.1 y 2.2 de la Ley 16/2023, de 21 de diciembre, de la Autoridad Vasca de Protección de Datos, y los artículos 2.1 y 2.2 de la Ley Orgánica 7/2021, de 26 de mayo, de protección de datos personales tratados para fines de prevención, detección, investigación y enjuiciamiento de infracciones penales y de ejecución de sanciones penales, así como de los equipos informáticos correspondientes en los locales en que se hallen. A tal efecto podrá:

a) Acceder a los locales en que se encuentren los sistemas de información o se lleven materialmente a cabo los tratamientos de datos.

b) Examinar los soportes de información que contengan los datos personales y obtener copia de los datos sometidos a tratamiento.

c) Examinar, en el lugar en que se encuentren, los sistemas de información que traten datos personales, incluyendo los equipos físicos y lógicos en que se lleve a cabo el tratamiento.

d) Requerir el envío de los programas y aplicaciones o de la documentación pertinente, a fin de analizar el tratamiento del que sean objeto los datos, y obtener copia de ellos.

e) Requerir la ejecución de los programas, aplicaciones o procedimientos de gestión y soporte del tratamiento que se encuentren sujetos a investigación.

f) Realizar auditorías de los sistemas de información, sistemas de decisión individual automatizada, sistemas de inteligencia artificial y sistemas algorítmicos, y de dispositivos, equipos o programas que faciliten el tratamiento de los datos, a fin de determinar su conformidad o no con la legislación vigente.

g) Requerir la exhibición o remisión de cualquier otra información que resulte precisa para el ejercicio de las funciones inspectoras.

h) Revisar las medidas técnicas y organizativas adoptadas en relación con los tratamientos.

2.– Las funciones inspectoras serán desempeñadas por personal funcionario adscrito a los puestos que tengan asignada la función de inspección en la relación de puestos de trabajo de la Autoridad Vasca de Protección de Datos.

3.– Este personal tendrá acceso a los locales en que se hallen los equipos físicos y/o soportes de información que contengan los datos personales, previa exhibición al responsable del tratamiento de la autorización expedida por la Presidencia de la Autoridad Vasca de Protección de Datos.

Cuando dichos locales tengan la consideración legal de domicilio, la labor inspectora deberá realizarse con el consentimiento de la persona física o jurídica o con autorización judicial.