PROTECCIÓN DE DATOS DE CARÁCTER PERSONAL

Colección Textos Legales, número 99

Quinta edición: abril de 2011

Actualización gratuita en internet hasta la aparición de una nueva edición

Edita: Agencia Estatal Boletín Oficial del Estado

© De los sumarios, selección y ordenación de textos, notas e índices, Agencia Estatal Boletín Oficial del Estado. Edición a cargo de Pilar Luisa Sánchez García

ISBN : 978-84-340-1968-3

NIPO : 007-11-061-3

MADRID, 2011

Imprenta Nacional de la Agencia Estatal Boletín Oficial del Estado.
Avda. de Manoteras, 54. 28050 Madrid

§ 1 LEY ORGÁNICA 15/1999, DE 13 DE DICIEMBRE (JEFATURA DEL ESTADO), DE PROTECCIÓN DE DATOS DE CARÁCTER PERSONAL

(«BOE» núm. 298, de 14 de diciembre de 1999)

TÍTULO PRIMERO

Disposiciones generales

Artículo 1. Objeto.– La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar [1].

Art. 2. Ámbito de aplicación. –1. La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico, que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado.

Se regirá por la presente Ley Orgánica todo tratamiento de datos de carácter personal:

a) Cuando el tratamiento sea efectuado en territorio español en el marco de las actividades de un establecimiento del responsable del tratamiento.

b) Cuando al responsable del tratamiento no establecido en territorio español, le sea de aplicación la legislación española en aplicación de normas de Derecho Internacional público.

c) Cuando el responsable del tratamiento no esté establecido en territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, salvo que tales medios se utilicen únicamente con fines de tránsito.

2. El régimen de protección de los datos de carácter personal que se establece en la presente Ley Orgánica no será de aplicación [2].

a) A los ficheros mantenidos por personas físicas en el ejercicio de actividades exclusivamente personales o domésticas.

b) A los ficheros sometidos a la normativa sobre protección de materias clasificadas [3].

c) A los ficheros establecidos para la investigación del terrorismo y de formas graves de delincuencia organizada. No obstante, en estos supuestos el responsable del fichero comunicará previamente la existencia del mismo, sus características generales y su finalidad a la Agencia de Protección de Datos.

3. Se regirán por sus disposiciones específicas, y por lo especialmente previsto, en su caso, por esta Ley Orgánica los siguientes tratamientos de datos personales:

a) Los ficheros regulados por la legislación de régimen electoral [4].

b) Los que sirvan a fines exclusivamente estadísticos, y estén amparados por la legislación estatal o autonómica sobre la función estadística pública [5].

c) Los que tengan por objeto el almacenamiento de los datos contenidos en los informes personales de calificación a que se refiere la legislación del régimen del personal de las Fuerzas Armadas [6].

d) Los derivados del Registro Civil [7]. del Registro Central de Penados y Rebeldes [8].

e) Los procedentes de imágenes y sonidos obtenidos mediante la utilización de videocámaras por las Fuerzas y Cuerpos de Seguridad, de conformidad con la legislación sobre la materia [9].

Art. 3. Definiciones.– A los efectos de la presente Ley Orgánica se entenderá por [10].

a) Datos de carácter personal: cualquier información concerniente a personas físicas identificadas o identificables.

b) Fichero: todo conjunto organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso.

c) Tratamiento de datos: operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.

d) Responsable del fichero o tratamiento: persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.

e) Afectado o interesado: persona física titular de los datos que sean objeto del tratamiento a que se refiere el apartado c) del presente artículo.

f) Procedimiento de disociación: todo tratamiento de datos personales de modo que la información que se obtenga no pueda asociarse a persona identificada o identificable.

g) Encargado del tratamiento: la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento.

h) Consentimiento del interesado: toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen.

i) Cesión o comunicación de datos: toda revelación de datos realizada a una persona distinta del interesado.

j) Fuentes accesibles al público: aquellos ficheros cuya consulta puede ser realizada, por cualquier persona, no impedida por una norma limitativa o sin más exigencia que, en su caso, el abono de una contraprestación. Tienen la consideración de fuentes de acceso público, exclusivamente, el censo promocional, los repertorios telefónicos en los términos previstos por su normativa específica [11]. las listas de personas pertenecientes a grupos de profesionales que contengan únicamente los datos de nombre, título, profesión, actividad, grado académico, dirección e indicación de su pertenencia al grupo. Asimismo, tienen el carácter de fuentes de acceso público los diarios y boletines oficiales y los medios de comunicación [12].

TÍTULO II

Principios de la protección de datos [13].

Art. 4. Calidad de los datos. –1. Los datos de carácter personal sólo se podrán recoger para su tratamiento, así como someterlos a dicho tratamiento, cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido.

2. Los datos de carácter personal objeto de tratamiento no podrán usarse para finalidades incompatibles con aquellas para las que los datos hubieran sido recogidos. No se considerará incompatible el tratamiento posterior de éstos con fines históricos, estadísticos o científicos [14].

3. Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado.

4. Si los datos de carácter personal registrados resultaran ser inexactos, en todo o en parte, o incompletos, serán cancelados y sustituidos de oficio por los correspondientes datos rectificados o completados, sin perjuicio de las facultades que a los afectados reconoce el artículo 16.

5. Los datos de carácter personal serán cancelados cuando hayan dejado de ser necesarios o pertinentes para la finalidad para la cual hubieran sido recabados o registrados.

No serán conservados en forma que permita la identificación del interesado durante un período superior al necesario para los fines en base a los cuales hubieran sido recabados o registrados.

Reglamentariamente se determinará el procedimiento por el que, por excepción, atendidos los valores históricos, estadísticos o científicos de acuerdo con la legislación específica, se decida el mantenimiento íntegro de determinados datos [15].

6. Los datos de carácter personal serán almacenados de forma que permitan el ejercicio del derecho de acceso, salvo que sean legalmente cancelados.

7. Se prohíbe la recogida de datos por medios fraudulentos, desleales o ilícitos.

Art. 5. Derecho de información en la recogida de datos [16]. .– 1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:

a) De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.

b) Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.

c) De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.

d) De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.

e) De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante.

Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo que tales medios se utilicen con fines de trámite, un representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento [17].

2. Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior.

3. No será necesaria la información a que se refieren las letras b), c) y d) del apartado 1 si el contenido de ella se deduce claramente de la naturaleza de los datos personales que se solicitan o de las circunstancias en que se recaban.

4. Cuando los datos de carácter personal no hayan sido recabados del interesado, éste deberá ser informado de forma expresa, precisa e inequívoca, por el responsable del fichero o su representante, dentro de los tres meses siguientes al momento del registro de los datos, salvo que ya hubiera sido informado con anterioridad, del contenido del tratamiento, de la procedencia de los datos, así como de lo previsto en las letras a), d) y e) del apartado 1 del presente artículo.

5. No será de aplicación lo dispuesto en el apartado anterior, cuando expresamente una ley lo prevea, cuando el tratamiento tenga fines históricos, estadísticos o científicos, o cuando la información al interesado resulte imposible o exija esfuerzos desproporcionados, a criterio de la Agencia de Protección de Datos o del organismo autonómico equivalente, en consideración al número de interesados, a la antigüedad de los datos y a las posibles medidas compensatorias [18].

Asimismo, tampoco regirá lo dispuesto en el apartado anterior cuando los datos procedan de fuentes accesibles al público y se destinen a la actividad de publicidad o prospección comercial, en cuyo caso, en cada comunicación que se dirija al interesado se le informará del origen de los datos y de la identidad del responsable del tratamiento así como de los derechos que le asisten.

Art. 6. Consentimiento del afectado [19]. .–1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa.

2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado.

3. El consentimiento a que se refiere el artículo podrá ser revocado cuando exista causa justificada para ello y no se le atribuyan efectos retroactivos.

4. En los casos en los que no sea necesario el consentimiento del afectado para el tratamiento de los datos de carácter personal, y siempre que una ley no disponga lo contrario, éste podrá oponerse a su tratamiento cuando existan motivos fundados y legítimos relativos a una concreta situación personal. En tal supuesto, el responsable del fichero excluirá del tratamiento los datos relativos al afectado.

Art. 7. Datos especialmente protegidos. –1. De acuerdo con lo establecido en el apartado 2 del artículo 16 de la Constitución, nadie podrá ser obligado a declarar sobre su ideología, religión o creencias.

Cuando en relación con estos datos se proceda a recabar el consentimiento a que se refiere el apartado siguiente, se advertirá al interesado acerca de su derecho a no prestarlo.

2. Sólo con el consentimiento expreso y por escrito del afectado podrán ser objeto de tratamiento los datos de carácter personal que revelen la ideología, afiliación sindical, religión y creencias. Se exceptúan los ficheros mantenidos por los partidos políticos, sindicatos, iglesias, confesiones o comunidades religiosas y asociaciones, fundaciones y otras entidades sin ánimo de lucro, cuya finalidad sea política, filosófica, religiosa o sindical, en cuanto a los datos relativos a sus asociados o miembros, sin perjuicio de que la cesión de dichos datos precisará siempre el previo consentimiento del afectado.

3. Los datos de carácter personal que hagan referencia al origen racial, a la salud y a la vida sexual sólo podrán ser recabados, tratados y cedidos cuando, por razones de interés general, así lo disponga una ley o el afectado consienta expresamente [20].

4. Quedan prohibidos los ficheros creados con la finalidad exclusiva de almacenar datos de carácter personal que revelen la ideología, afiliación sindical, religión [21]. creencias, origen racial o étnico, o vida sexual.

5. Los datos de carácter personal relativos a la comisión de infracciones penales o administrativas sólo podrán ser incluidos en ficheros de las Administraciones públicas competentes en los supuestos previstos en las respectivas normas reguladoras [22].

6. No obstante lo dispuesto en los apartados anteriores, podrán ser objeto de tratamiento los datos de carácter personal a que se refieren los apartados 2 y 3 de este artículo, cuando dicho tratamiento resulte necesario para la prevención o para el diagnóstico médicos, la prestación de asistencia sanitaria o tratamientos médicos o la gestión de servicios sanitarios, siempre que dicho tratamiento de datos se realice por un profesional sanitario sujeto al secreto profesional o por otra persona sujeta asimismo a una obligación equivalente de secreto [23].

También podrán ser objeto de tratamiento los datos a que se refiere el párrafo anterior cuando el tratamiento sea necesario para salvaguardar el interés vital del afectado o de otra persona, en el supuesto de que el afectado esté física o jurídicamente incapacitado para dar su consentimiento [24].

Art. 8. Datos relativos a la salud.– Sin perjuicio de lo que se dispone en el artículo 11 respecto de la cesión, las instituciones y los centros sanitarios públicos y privados y los profesionales correspondientes podrán proceder al tratamiento de los datos de carácter personal relativos a la salud de las personas que a ellos acudan o hayan de ser tratados en los mismos, de acuerdo con lo dispuesto en la legislación estatal o autonómica sobre sanidad [25].

Art. 9. Seguridad de los datos. –1. El responsable del fichero, y, en su caso, el encargado del tratamiento deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural.

2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas.

3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley [26].

Art. 10. Deber de secreto.– El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo [27].

Art. 11. Comunicación de datos. –1. Los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado.

2. El consentimiento exigido en el apartado anterior no será preciso [28].

a) Cuando la cesión está autorizada en una ley [29].

b) Cuando se trate de datos recogidos de fuentes accesibles al público [30].

c) Cuando el tratamiento responda a la libre y legítima aceptación de una relación jurídica cuyo desarrollo, cumplimiento y control implique necesariamente la conexión de dicho tratamiento con ficheros de terceros. En este caso la comunicación sólo será legítima en cuanto se limite a la finalidad que la justifique.

d) Cuando la comunicación que deba efectuarse tenga por destinatario al Defensor del Pueblo, el Ministerio Fiscal o los Jueces o Tribunales o el Tribunal de Cuentas, en el ejercicio de las funciones que tiene atribuidas. Tampoco será preciso el consentimiento cuando la comunicación tenga como destinatario a instituciones autonómicas con funciones análogas al Defensor del Pueblo o al Tribunal de Cuentas.

e) Cuando la cesión se produzca entre Administraciones públicas y tenga por objeto el tratamiento posterior de los datos con fines históricos, estadísticos o científicos [31].

f) Cuando la cesión de datos de carácter personal relativos a la salud sea necesaria para solucionar una urgencia que requiera acceder a un fichero o para realizar los estudios epidemiológicos en los términos establecidos en la legislación sobre sanidad estatal o autonómica [32].

3. Será nulo el consentimiento para la comunicación de los datos de carácter personal a un tercero, cuando la información que se facilite al interesado no le permita conocer la finalidad a que destinarán los datos cuya comunicación se autoriza o el tipo de actividad de aquel a quien se pretenden comunicar.

4. El consentimiento para la comunicación de los datos de carácter personal tiene también un carácter de revocable.

5. Aquel a quien se comuniquen los datos de carácter personal se obliga, por el solo hecho de la comunicación, a la observancia de las disposiciones de la presente Ley.

6. Si la comunicación se efectúa previo procedimiento de disociación, no será aplicable lo establecido en los apartados anteriores [33].

Art. 12. Acceso a los datos por cuenta de terceros.– 1. No se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento.

2. La realización de tratamientos por cuenta de terceros deberá estar regulada en un contrato que deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, estableciéndose expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas [34].

En el contrato se estipularán, asimismo, las medidas de seguridad a que se refiere el artículo 9 de esta Ley que el encargado del tratamiento está obligado a implementar.

3. Una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto del tratamiento.

4. En el caso de que el encargado del tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato, será considerado también responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente.

TÍTULO III

Derechos de las personas

Art. 13. Impugnación de valoraciones .–1. Los ciudadanos tienen derecho a no verse sometidos a una decisión con efectos jurídicos, sobre ellos o que les afecte de manera significativa, que se base únicamente en un tratamiento de datos destinados a evaluar determinados aspectos de su personalidad.

2. El afectado podrá impugnar los actos administrativos o decisiones privadas que impliquen una valoración de su comportamiento, cuyo único fundamento sea un tratamiento de datos de carácter personal que ofrezca una definición de sus características o personalidad.

3. En este caso, el afectado tendrá derecho a obtener información del responsable del fichero sobre los criterios de valoración y el programa utilizados en el tratamiento que sirvió para adoptar la decisión en que consistió el acto.

4. La valoración sobre el comportamiento de los ciudadanos, basada en un tratamiento de datos, únicamente podrá tener valor probatorio a petición del afectado.

Art. 14. Derecho de consulta al Registro General de Protección de Datos.– Cualquier persona podrá conocer, recabando a tal fin la información oportuna del Registro General de Protección de Datos, la existencia de tratamientos de datos de carácter personal, sus finalidades y la identidad del responsable del tratamiento. El Registro General será de consulta pública y gratuita [35].

Art. 15. Derecho de acceso [36]. .–1. El interesado tendrá derecho a solicitar y obtener gratuitamente información de sus datos de carácter personal sometidos a tratamiento, el origen de dichos datos, así como las comunicaciones realizadas o que se prevén hacer de los mismos.

2. La información podrá obtenerse mediante la mera consulta de los datos por medio de su visualización, o la indicación de los datos que son objeto de tratamiento mediante escrito, copia, telecopia o fotocopia, certificada o no, en forma legible e inteligible, sin utilizar claves o códigos que requieran el uso de dispositivos mecánicos específicos.

3. El derecho de acceso a que se refiere este artículo sólo podrá ser ejercitado a intervalos no inferiores a doce meses, salvo que el interesado acredite un interés legítimo al efecto, en cuyo caso podrán ejercitarlo antes.

Art. 16. Derecho de rectificación y cancelación [37]. .–1. El responsable del tratamiento tendrá la obligación de hacer efectivo el derecho de rectificación o cancelación del interesado en el plazo de diez días [38].

2. Serán rectificados o cancelados, en su caso, los datos de carácter personal cuyo tratamiento no se ajuste a lo dispuesto en la presente Ley y, en particular, cuando tales datos resulten inexactos o incompletos.

3. La cancelación dará lugar al bloqueo de los datos, conservándose únicamente a disposición de las Administraciones públicas, Jueces y Tribunales, para la atención de las posibles responsabilidades nacidas del tratamiento, durante el plazo de prescripción de éstas. Cumplido el citado plazo deberá procederse a la supresión.

4. Si los datos rectificados o cancelados hubieran sido comunicados previamente, el responsable del tratamiento deberá notificar la rectificación o cancelación efectuada a quien se hayan comunicado, en el caso de que se mantenga el tratamiento por este último, que deberá también proceder a la cancelación [39].

5. Los datos de carácter personal deberán ser conservados durante los plazos previstos en las disposiciones aplicables o, en su caso, en las relaciones contractuales entre la persona o entidad responsable del tratamiento y el interesado.

Art. 17. Procedimiento de oposición, acceso, rectificación o cancelación.– 1. Los procedimientos para ejercitar el derecho de oposición, acceso, así como los de rectificación y cancelación serán establecidos reglamentariamente [40].

2. No se exigirá contraprestación alguna por el ejercicio de los derechos de oposición, acceso, rectificación o cancelación.

Art. 18. Tutela de los derechos. –1. Las actuaciones contrarias a lo dispuesto en la presente Ley pueden ser objeto de reclamación por los interesados ante la Agencia de Protección de Datos, en la forma que reglamentariamente se determine.

2. El interesado al que se deniegue, total o parcialmente, el ejercicio de los derechos de oposición, acceso, rectificación o cancelación, podrá ponerlo en conocimiento de la Agencia de Protección de Datos o, en su caso, del organismo competente de cada Comunidad Autónoma, que deberá asegurarse de la procedencia o improcedencia de la denegación [41].

3. El plazo máximo en que debe dictarse la resolución expresa de tutela de derechos será de seis meses.

4. Contra las resoluciones de la Agencia de Protección de Datos procederá recurso contencioso-administrativo.

Art. 19. Derecho a indemnización .–1. Los interesados que, como consecuencia del incumplimiento de lo dispuesto en la presente Ley por el responsable o el encargado del tratamiento, sufran daño o lesión en sus bienes o derechos tendrán derecho a ser indemnizados.

2. Cuando se trate de ficheros de titularidad pública, la responsabilidad se exigirá de acuerdo con la legislación reguladora del régimen de responsabilidad de las Administraciones públicas [42].

3. En el caso de los ficheros de titularidad privada, la acción se ejercitará ante los órganos de la jurisdicción ordinaria.

TÍTULO IV

Disposiciones sectoriales

CAPÍTULO PRIMERO

Ficheros de titularidad pública

Art. 20. Creación, modificación o supresión. –1. La creación, modificación o supresión de los ficheros de las Administraciones públicas sólo podrán hacerse por medio de disposición general publicada en el «Boletín Oficial del Estado» o Diario oficial correspondiente [43].

2. Las disposiciones de creación o de modificación de ficheros deberán indicar:

a) La finalidad del fichero y los usos previstos para el mismo.

b) Las personas o colectivos sobre los que se pretenda obtener datos de carácter personal o que resulten obligados a suministrarlos.

c) El procedimiento de recogida de los datos de carácter personal.

d) La estructura básica del fichero y la descripción de los tipos de datos de carácter personal incluidos en el mismo.

e) Las cesiones de datos de carácter personal y, en su caso, las transferencias de datos que se prevean a países terceros.

f) Los órganos de las Administraciones responsables del fichero.

g) Los servicios o unidades ante los que pudiesen ejercitarse los derechos de acceso, rectificación, cancelación y oposición.

h) Las medidas de seguridad con indicación del nivel básico, medio o alto exigible [44].

3. En las disposiciones que se dicten para la supresión de los ficheros, se establecerá el destino de los mismos o, en su caso, las previsiones que se adopten para su destrucción.

Art. 21. Comunicación de datos entre Administraciones públicas. –1. Los datos de carácter personal recogidos o elaborados por las Administraciones públicas para el desempeño de sus atribuciones no serán comunicados a otras Administraciones públicas para el ejercicio de competencias diferentes o de competencias que versen sobre materias distintas, salvo cuando la comunicación hubiere sido prevista por las disposiciones de creación del fichero o por disposición de superior rango que regule su uso, o cuando la comunicación tenga por objeto el tratamiento posterior de los datos con fines históricos, estadísticos o científicos [45].

2. Podrán, en todo caso, ser objeto de comunicación los datos de carácter personal que una Administración pública obtenga o elabore con destino a otra.

3. No obstante lo establecido en el artículo 11.2. b) , la comunicación de datos recogidos de fuentes accesibles al público no podrá efectuarse a ficheros de titularidad privada, sino con el consentimiento del interesado o cuando una ley prevea otra cosa.

4. En los supuestos previstos en los apartados 1 y 2 del presente artículo no será necesario el consentimiento del afectado a que se refiere el artículo 11 de la presente Ley.

Art. 22. Ficheros de las Fuerzas y Cuerpos de Seguridad [46]. .–1. Los ficheros creados por las Fuerzas y Cuerpos de Seguridad que contengan datos de carácter personal que, por haberse recogido para fines administrativos, deban ser objeto de registro permanente, estarán sujetos al régimen general de la presente Ley.

2. La recogida y tratamiento para fines policiales de datos de carácter personal por las Fuerzas y Cuerpos de Seguridad sin consentimiento de las personas afectadas están limitados a aquellos supuestos y categorías de datos que resulten necesarios para la prevención de un peligro real para la seguridad pública o para la represión de infracciones penales, debiendo ser almacenados en ficheros específicos establecidos al efecto, que deberán clasificarse por categorías en función de su grado de fiabilidad.

3. La recogida y tratamiento por las Fuerzas y Cuerpos de Seguridad de los datos, a que hacen referencia los apartados 2 y 3 del artículo 7, podrán realizarse exclusivamente en los supuestos en que sea absolutamente necesario para los fines de una investigación concreta, sin perjuicio del control de legalidad de la actuación administrativa o de la obligación de resolver las pretensiones formuladas en su caso por los interesados que corresponden a los órganos jurisdiccionales [47].

4. Los datos personales registrados con fines policiales se cancelarán cuando no sean necesarios para las averiguaciones que motivaron su almacenamiento.

A estos efectos, se considerará especialmente la edad del afectado y el carácter de los datos almacenados, la necesidad de mantener los datos hasta la conclusión de una investigación o procedimiento concreto, la resolución judicial firme, en especial la absolutoria, el indulto, la rehabilitación y la prescripción de responsabilidad [48].

Art. 23. Excepciones a los derechos de acceso, rectificación y cancelación. –1. Los responsables de los ficheros que contengan los datos a que se refieren los apartados 2, 3 y 4 del artículo anterior podrán denegar el acceso, la rectificación o cancelación en función de los peligros que pudieran derivarse para la defensa del Estado o la seguridad pública, la protección de los derechos y libertades de terceros o las necesidades de las investigaciones que se estén realizando.

2. Los responsables de los ficheros de la Hacienda Pública podrán, igualmente, denegar el ejercicio de los derechos a que se refiere el apartado anterior cuando el mismo obstaculice las actuaciones administrativas tendentes a asegurar el cumplimiento de las obligaciones tributarias y, en todo caso, cuando el afectado esté siendo objeto de actuaciones inspectoras.

3. El afectado al que se deniegue, total o parcialmente, el ejercicio de los derechos mencionados en los apartados anteriores podrá ponerlo en conocimiento del Director de la Agencia de Protección de Datos o del organismo competente de cada Comunidad Autónoma en el caso de ficheros mantenidos por Cuerpos de Policía propios de éstas, o por las Administraciones tributarias autonómicas, quienes deberán asegurarse de la procedencia o improcedencia de la denegación.

Art. 24. Otras excepciones a los derechos de los afectados. –1. Lo dispuesto en los apartados 1 y 2 del artículo 5 no será aplicable a la recogida de datos cuando la información al afectado impida o dificulte gravemente el cumplimiento de las funciones de control y verificación de las Administraciones públicas o cuando afecte a la Defensa Nacional, a la seguridad pública o a la persecución de infracciones penales o administrativas.

2. Lo dispuesto en el artículo 15 y en el apartado 1 del artículo 16 no será de aplicación si, ponderados los intereses en presencia, resultase que los derechos que dichos preceptos conceden al afectado hubieran de ceder ante razones de interés público o ante intereses de terceros más dignos de protección. Si el órgano administrativo responsable del fichero invocase lo dispuesto en este apartado, dictará resolución motivada e instruirá al afectado del derecho que le asiste a poner la negativa en conocimiento del Director de la Agencia de Protección de Datos o, en su caso, del órgano equivalente de las Comunidades Autónomas [49]. .

CAPÍTULO II

Ficheros de titularidad privada

Art. 25. Creación.– Podrán crearse ficheros de titularidad privada que contengan datos de carácter personal cuando resulte necesario para el logro de la actividad u objeto legítimos de la persona, empresa o entidad titular y se respeten las garantías que esta Ley establece para la protección de las personas.

Art. 26. Notificación e inscripción registral. –1. Toda persona o entidad que proceda a la creación de ficheros de datos de carácter personal lo notificará previamente a la Agencia de Protección de Datos.

2. Por vía reglamentaria se procederá a la regulación detallada de los distintos extremos que debe contener la notificación, entre los cuales figurarán necesariamente el responsable del fichero, la finalidad del mismo, su ubicación, el tipo de datos de carácter personal que contiene, las medidas de seguridad, con indicación del nivel básico, medio o alto exigible y las cesiones de datos de carácter personal que se prevean realizar y, en su caso, las transferencias de datos que se prevean a países terceros [50].

3. Deberán comunicarse a la Agencia de Protección de Datos los cambios que se produzcan en la finalidad del fichero automatizado, en su responsable y en la dirección de su ubicación.

4. El Registro General de Protección de Datos inscribirá el fichero si la notificación se ajusta a los requisitos exigibles.

En caso contrario podrá pedir que se completen los datos que falten o se proceda a su subsanación.

5. Transcurrido un mes desde la presentación de la solicitud de inscripción sin que la Agencia de Protección de Datos hubiera resuelto sobre la misma, se entenderá inscrito el fichero automatizado a todos los efectos.

Art. 27. Comunicación de la cesión de datos. –1. El responsable del fichero, en el momento en que se efectúe la primera cesión de datos, deberá informar de ello a los afectados, indicando, asimismo, la finalidad del fichero, la naturaleza de los datos que han sido cedidos y el nombre y dirección del cesionario [51].

2. La obligación establecida en el apartado anterior no existirá en el supuesto previsto en los apartados 2, letras c), d), e), y 6 del artículo 11, ni cuando la cesión venga impuesta por ley.

Art. 28. Datos incluidos en las fuentes de acceso público. –1. Los datos personales que figuren en el censo promocional, o las listas de personas pertenecientes a grupos de profesionales a que se refiere el artículo 3. j) de esta Ley deberán limitarse a los que sean estrictamente necesarios para cumplir la finalidad a que se destina cada listado. La inclusión de datos adicionales por las entidades responsables del mantenimiento de dichas fuentes requerirá el consentimiento del interesado, que podrá ser revocado en cualquier momento.

2. Los interesados tendrán derecho a que la entidad responsable del mantenimiento de los listados de los Colegios profesionales indique gratuitamente que sus datos personales no pueden utilizarse para fines de publicidad o prospección comercial.

Los interesados tendrán derecho a exigir gratuitamente la exclusión de la totalidad de sus datos personales que consten en el censo promocional por las entidades encargadas del mantenimiento de dichas fuentes.

La atención a la solicitud de exclusión de la información innecesaria o de inclusión de la objeción al uso de los datos para fines de publicidad o venta a distancia deberá realizarse en el plazo de diez días respecto de las informaciones que se realicen mediante consulta o comunicación telemática y en la siguiente edición del listado cualquiera que sea el soporte en que se edite.

3. Las fuentes de acceso público que se editen en forma de libro o algún otro soporte físico, perderán el carácter de fuente accesible con la nueva edición que se publique.

En el caso de que se obtenga telemáticamente una copia de la lista en formato electrónico, ésta perderá el carácter de fuente de acceso público en el plazo de un año, contado desde el momento de su obtención.

4. Los datos que figuren en las guías de servicios de telecomunicaciones disponibles al público se regirán por su normativa específica [52].

Art. 29. Prestación de servicios de información sobre solvencia patrimonial y crédito [53]. .–1. Quienes se dediquen a la prestación de servicios de información sobre la solvencia patrimonial y el crédito sólo podrán tratar datos de carácter personal obtenidos de los registros y las fuentes accesibles al público establecidos al efecto o procedentes de informaciones facilitadas por el interesado o con su consentimiento [54].

2. Podrán tratarse también datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. En estos casos se notificará a los interesados respecto de los que hayan registrado datos de carácter personal en ficheros, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos y se les informará de su derecho a recabar información de la totalidad de ellos, en los términos establecidos por la presente Ley [55].

3. En los supuestos a que se refieren los dos apartados anteriores, cuando el interesado lo solicite, el responsable del tratamiento le comunicará los datos, así como las evaluaciones y apreciaciones que sobre el mismo hayan sido comunicadas durante los últimos seis meses y el nombre y dirección de la persona o entidad a quien se hayan revelado los datos.

4. Sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquéllos.

Art. 30. Tratamientos con fines de publicidad y de prospección comercial [56]. .–1. Quienes se dediquen a la recopilación de direcciones, reparto de documentos, publicidad, venta a distancia, prospección comercial y otras actividades análogas, utilizarán nombres y direcciones u otros datos de carácter personal cuando los mismos figuren en fuentes accesibles al público o cuando hayan sido facilitados por los propios interesados u obtenidos con su consentimiento.

2. Cuando los datos procedan de fuentes accesibles al público, de conformidad con lo establecido en el párrafo segundo del artículo 5.5 de esta Ley, en cada comunicación que se dirija al interesado se informará del origen de los datos y de la identidad del responsable del tratamiento, así como de los derechos que le asisten.

3. En el ejercicio del derecho de acceso los interesados tendrán derecho a conocer el origen de sus datos de carácter personal, así como del resto de información a que se refiere el artículo 15.

4. Los interesados tendrán derecho a oponerse, previa petición y sin gastos, al tratamiento de los datos que les conciernan, en cuyo caso serán dados de baja del tratamiento, cancelándose las informaciones que sobre ellos figuren en aquél, a su simple solicitud.

Art. 31. Censo promocional. –1. Quienes pretendan realizar permanente o esporádicamente la actividad de recopilación de direcciones, reparto de documentos, publicidad, venta a distancia, prospección comercial u otras actividades análogas, podrán solicitar del Instituto Nacional de Estadística o de los órganos equivalentes de las Comunidades Autónomas una copia del censo promocional, formado con los datos de nombre, apellidos y domicilio que constan en el censo electoral.

2. El uso de cada lista de censo promocional tendrá un plazo de vigencia de un año. Transcurrido el plazo citado, la lista perderá su carácter de fuente de acceso público.

3. Los procedimientos mediante los que los interesados podrán solicitar no aparecer en el censo promocional se regularán reglamentariamente. Entre estos procedimientos, que serán gratuitos para los interesados, se incluirá el documento de empadronamiento. Trimestralmente se editará una lista actualizada del censo promocional, excluyendo los nombres y domicilios de los que así lo hayan solicitado.

4. Se podrá exigir una contraprestación por la facilitación de la citada lista en soporte informático [57].

Art. 32. Códigos tipo. –1. Mediante acuerdos sectoriales, convenios administrativos o decisiones de empresa, los responsables de tratamientos de titularidad pública y privada, así como las organizaciones en que se agrupen, podrán formular códigos tipo que establezcan las condiciones de organización, régimen de funcionamiento, procedimientos aplicables, normas de seguridad del entorno, programas o equipos, obligaciones de los implicados en el tratamiento y uso de la información personal, así como las garantías, en su ámbito, para el ejercicio de los derechos de las personas con pleno respeto a los principios y disposiciones de la presente Ley y sus normas de desarrollo.

2. Los citados códigos podrán contener o no reglas operacionales detalladas de cada sistema particular y estándares técnicos de aplicación.

En el supuesto de que tales reglas o estándares no se incorporen directamente al código, las instrucciones u órdenes que los establecieran deberán respetar los principios fijados en aquél.

3. Los códigos tipo tendrán el carácter de códigos deontológicos o de buena práctica profesional, debiendo ser depositados o inscritos en el Registro General de Protección de Datos y, cuando corresponda, en los creados a estos efectos por las Comunidades Autónomas, de acuerdo con el artículo 41. El Registro General de Protección de Datos podrá denegar la inscripción cuando considere que no se ajusta a las disposiciones legales y reglamentarias sobre la materia, debiendo, en este caso, el Director de la Agencia de Protección de Datos requerir a los solicitantes para que efectúen las correcciones oportunas [58].

TÍTULO V

Movimiento internacional de datos [59].

Art. 33. Norma general. –1. No podrán realizarse transferencias temporales ni definitivas de datos de carácter personal que hayan sido objeto de tratamiento o hayan sido recogidos para someterlos a dicho tratamiento con destino a países que no proporcionen un nivel de protección equiparable al que presta la presente Ley, salvo que, además de haberse observado lo dispuesto en ésta, se obtenga autorización previa del Director de la Agencia de Protección de Datos, que sólo podrá otorgarla si se obtienen garantías adecuadas [60].

2. El carácter adecuado del nivel de protección que ofrece el país de destino se evaluará por la Agencia de Protección de Datos atendiendo a todas las circunstancias que concurran en la transferencia o categoría de transferencia de datos. En particular, se tomará en consideración la naturaleza de los datos, la finalidad y la duración del tratamiento o de los tratamientos previstos, el país de origen y el país de destino final, las normas de derecho, generales o sectoriales, vigentes en el país tercero de que se trate, el contenido de los informes de la Comisión de la Unión Europea, así como las normas profesionales y las medidas de seguridad en vigor en dichos países [61].

Art. 34. Excepciones.– Lo dispuesto en el artículo anterior no será de aplicación [62].

a) Cuando la transferencia internacional de datos de carácter personal resulte de la aplicación de tratados o convenios en los que sea parte España.

b) Cuando la transferencia se haga a efectos de prestar o solicitar auxilio judicial internacional.

c) Cuando la transferencia sea necesaria para la prevención o para el diagnóstico médicos, la prestación de asistencia sanitaria o tratamiento médicos o la gestión de servicios sanitarios.

d) Cuando se refiera a transferencias dinerarias conforme a su legislación específica.

e) Cuando el afectado haya dado su consentimiento inequívoco a la transferencia prevista.

f) Cuando la transferencia sea necesaria para la ejecución de un contrato entre el afectado y el responsable del fichero o para la adopción de medidas precontractuales adoptadas a petición del afectado.

g) Cuando la transferencia sea necesaria para la celebración o ejecución de un contrato celebrado o por celebrar, en interés del afectado, por el responsable del fichero y un tercero.

h) Cuando la transferencia sea necesaria o legalmente exigida para la salvaguarda de un interés público. Tendrá esta consideración la transferencia solicitada por una Administración fiscal o aduanera para el cumplimiento de sus competencias.

i) Cuando la transferencia sea precisa para el reconocimiento, ejercicio o defensa de un derecho en un proceso judicial.

j) Cuando la transferencia se efectúe, a petición de persona con interés legítimo, desde un Registro público y aquélla sea acorde con la finalidad del mismo.

k) Cuando la transferencia tenga como destino un Estado miembro de la Unión Europea, o un Estado respecto del cual la Comisión de las Comunidades Europeas, en el ejercicio de sus competencias, haya declarado que garantiza un nivel de protección adecuado [63].

TÍTULO VI

Agencia de Protección de Datos [64].

Art. 35. Naturaleza y régimen jurídico. –1. La Agencia de Protección de Datos es un ente de derecho público, con personalidad jurídica propia y plena capacidad pública y privada, que actúa con plena independencia de las Administraciones públicas en el ejercicio de sus funciones. Se regirá por lo dispuesto en la presente Ley y en un Estatuto propio, que será aprobado por el Gobierno [65].

2. En el ejercicio de sus funciones públicas, y en defecto de lo que disponga la presente Ley y sus disposiciones de desarrollo, la Agencia de Protección de Datos actuará de conformidad con la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común. En sus adquisiciones patrimoniales y contratación estará sujeta al derecho privado.

3. Los puestos de trabajo de los órganos y servicios que integren la Agencia de Protección de Datos serán desempeñados por funcionarios de las Administraciones públicas y por personal contratado al efecto, según la naturaleza de las funciones asignadas a cada puesto de trabajo. Este personal está obligado a guardar secreto de los datos de carácter personal de que conozca en el desarrollo de su función.

4. La Agencia de Protección de Datos contará, para el cumplimiento de sus fines, con los siguientes bienes y medios económicos:

a) Las asignaciones que se establezcan anualmente con cargo a los Presupuestos Generales del Estado.

b) Los bienes y valores que constituyan su patrimonio, así como los productos y rentas del mismo.

c) Cualesquiera otros que legalmente puedan serle atribuidos.

5. La Agencia de Protección de Datos elaborará y aprobará con carácter anual el correspondiente anteproyecto de presupuesto y lo remitirá al Gobierno para que sea integrado, con la debida independencia, en los Presupuestos Generales del Estado.

Art. 36. El Director. –1. El Director de la Agencia de Protección de Datos dirige la Agencia y ostenta su representación. Será nombrado, de entre quienes componen el Consejo Consultivo, mediante Real Decreto, por un período de cuatro años.

2. Ejercerá sus funciones con plena independencia y objetividad y no estará sujeto a instrucción alguna en el desempeño de aquéllas.

En todo caso, el Director deberá oír al Consejo Consultivo en aquellas propuestas que éste le realice en el ejercicio de sus funciones.

3. El Director de la Agencia de Protección de Datos sólo cesará antes de la expiración del período a que se refiere el apartado 1, a petición propia o por separación acordada por el Gobierno, previa instrucción de expediente, en el que necesariamente serán oídos los restantes miembros del Consejo Consultivo, por incumplimiento grave de sus obligaciones, incapacidad sobrevenida para el ejercicio de su función, incompatibilidad o condena por delito doloso.

4. El Director de la Agencia de Protección de Datos tendrá la consideración de alto cargo y quedará en la situación de servicios especiales si con anterioridad estuviera desempeñando una función pública. En el supuesto de que sea nombrado para el cargo algún miembro de la carrera judicial o fiscal, pasará asimismo a la situación administrativa de servicios especiales.

Art. 37. Funciones.– 1. Son funciones de la Agencia de Protección de Datos:

a) Velar por el cumplimiento de la legislación sobre protección de datos y controlar su aplicación, en especial en lo relativo a los derechos de información, acceso, rectificación, oposición y cancelación de datos.

b) Emitir las autorizaciones previstas en la Ley o en sus disposiciones reglamentarias.

c) Dictar, en su caso, y sin perjuicio de las competencias de otros órganos, las instrucciones precisas para adecuar los tratamientos a los principios de la presente Ley.

d) Atender las peticiones y reclamaciones formuladas por las personas afectadas.

e) Proporcionar información a las personas acerca de sus derechos en materia de tratamiento de los datos de carácter personal.

f) Requerir a los responsables y los encargados de los tratamientos, previa audiencia de éstos, la adopción de las medidas necesarias para la adecuación del tratamiento de datos a las disposiciones de esta Ley y, en su caso, ordenar la cesación de los tratamientos y la cancelación de los ficheros, cuando no se ajuste a sus disposiciones.

g) Ejercer la potestad sancionadora en los términos previstos por el Título VII de la presente Ley.

h) Informar, con carácter preceptivo, los proyectos de disposiciones generales que desarrollen esta Ley.

i) Recabar de los responsables de los ficheros cuanta ayuda e información estime necesaria para el desempeño de sus funciones.

j) Velar por la publicidad de la existencia de los ficheros de datos con carácter personal, a cuyo efecto publicará periódicamente una relación de dichos ficheros con la información adicional que el Director de la Agencia determine.

k) Redactar una memoria anual y remitirla al Ministerio de Justicia.

l) Ejercer el control y adoptar las autorizaciones que procedan en relación con los movimientos internacionales de datos, así como desempeñar las funciones de cooperación internacional en materia de protección de datos personales.

m) Velar por el cumplimiento de las disposiciones que la Ley de la Función Estadística Pública establece respecto a la recogida de datos estadísticos y al secreto estadístico, así como dictar las instrucciones precisas, dictaminar sobre las condiciones de seguridad de los ficheros constituidos con fines exclusivamente estadísticos y ejercer la potestad a la que se refiere el artículo 46 [66].

n) Cuantas otras le sean atribuidas por normas legales o reglamentarias.

2. Las resoluciones de la Agencia Española de Protección de Datos se harán públicas, una vez hayan sido notificadas a los interesados [67]. La publicación se realizará preferentemente a través de medios informáticos o telemáticos.

Reglamentariamente podrán establecerse los términos en que se lleve a cabo la publicidad de las citadas resoluciones.

Lo establecido en los párrafos anteriores no será aplicable a las resoluciones referentes a la inscripción de un fichero o tratamiento en el Registro General de Protección de Datos ni a aquellas por las que se resuelva la inscripción en el mismo de los Códigos tipo, regulados por el artículo 32 de esta Ley Orgánica [68].

Art. 38. Consejo Consultivo.– El Director de la Agencia de Protección de Datos estará asesorado por un Consejo Consultivo compuesto por los siguientes miembros:

Un Diputado, propuesto por el Congreso de los Diputados.

Un Senador, propuesto por el Senado.

Un representante de la Administración Central, designado por el Gobierno.

Un representante de la Administración Local, propuesto por la Federación Española de Municipios y Provincias.

Un miembro de la Real Academia de la Historia, propuesto por la misma.

Un experto en la materia, propuesto por el Consejo Superior de Universidades.

Un representante de los usuarios y consumidores, seleccionado del modo que se prevea reglamentariamente.

Un representante de cada Comunidad Autónoma que haya creado una agencia de protección de datos en su ámbito territorial, propuesto de acuerdo con el procedimiento que establezca la respectiva Comunidad Autónoma.

Un representante del sector de ficheros privados, para cuya propuesta se seguirá el procedimiento que se regule reglamentariamente.

El funcionamiento del Consejo Consultivo se regirá por las normas reglamentarias que al efecto se establezcan [69].

Art. 39. El Registro General de Protección de Datos. –1. El Registro General de Protección de Datos es un órgano integrado en la Agencia de Protección de Datos.

2. Serán objeto de inscripción en el Registro General de Protección de Datos:

a) Los ficheros de que sean titulares las Administraciones públicas.

b) Los ficheros de titularidad privada.

c) Las autorizaciones a que se refiere la presente Ley.

d) Los códigos tipo a que se refiere el artículo 32 de la presente Ley.

e) Los datos relativos a los ficheros que sean necesarios para el ejercicio de los derechos de información, acceso, rectificación, cancelación y oposición.

3. Por vía reglamentaria se regulará el procedimiento de inscripción de los ficheros, tanto de titularidad pública como de titularidad privada, en el Registro General de Protección de Datos, el contenido de la inscripción, su modificación, cancelación, reclamaciones y recursos contra las resoluciones correspondientes y demás extremos pertinentes [70].

Art. 40. Potestad de inspección. –1. Las autoridades de control podrán inspeccionar los ficheros a que hace referencia la presente Ley, recabando cuantas informaciones precisen para el cumplimiento de sus cometidos.

A tal efecto, podrán solicitar la exhibición o el envío de documentos y datos y examinarlos en el lugar en que se encuentren depositados, así como inspeccionar los equipos físicos y lógicos utilizados para el tratamiento de los datos, accediendo a los locales donde se hallen instalados.

2. Los funcionarios que ejerzan la inspección a que se refiere el apartado anterior tendrán la consideración de autoridad pública en el desempeño de sus cometidos.

Estarán obligados a guardar secreto sobre las informaciones que conozcan en el ejercicio de las mencionadas funciones, incluso después de haber cesado en las mismas [71].

Art. 41. Órganos correspondientes de las Comunidades Autónomas. –1. Las funciones de la Agencia de Protección de Datos reguladas en el artículo 37, a excepción de las mencionadas en los apartados j) , k) y l), y en los apartados f) y g) en lo que se refiere a las transferencias internacionales de datos, así como en los artículos 46 y 49, en relación con sus específicas competencias serán ejercidas, cuando afecten a ficheros de datos de carácter personal creados o gestionados por las Comunidades Autónomas y por la Administración Local de su ámbito territorial, por los órganos correspondientes de cada Comunidad, que tendrán la consideración de autoridades de control, a los que garantizarán plena independencia y objetividad en el ejercicio de su cometido.

2. Las Comunidades Autónomas podrán crear y mantener sus propios registros de ficheros para el ejercicio de las competencias que se les reconoce sobre los mismos.

3. El Director de la Agencia de Protección de Datos podrá convocar regularmente a los órganos correspondientes de las Comunidades Autónomas a efectos de cooperación institucional y coordinación de criterios o procedimientos de actuación. El Director de la Agencia de Protección de Datos y los órganos correspondientes de las Comunidades Autónomas podrán solicitarse mutuamente la información necesaria para el cumplimiento de sus funciones.

Art. 42. Ficheros de las Comunidades Autónomas en materia de su exclusiva competencia. –1. Cuando el Director de la Agencia de Protección de Datos constate que el mantenimiento o uso de un determinado fichero de las Comunidades Autónomas contraviene algún precepto de esta Ley en materia de su exclusiva competencia podrá requerir a la Administración correspondiente que se adopten las medidas correctoras que determine en el plazo que expresamente se fije en el requerimiento.

2. Si la Administración pública correspondiente no cumpliera el requerimiento formulado, el Director de la Agencia de Protección de Datos podrá impugnar la resolución adoptada por aquella Administración.

TÍTULO VII

Infracciones y sanciones [72].

Art. 43. Responsables.– 1. Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley.

2. Cuando se trate de ficheros de titularidad pública se estará, en cuanto al procedimiento y a las sanciones, a lo dispuesto en los artículos 46 y 48 de la presente Ley [73].

Art. 44. Tipos de infracciones. –1. Las infracciones se calificarán como leves, graves o muy graves.

2. Son infracciones leves:

a) No remitir a la Agencia Española de Protección de Datos las notificaciones previstas en esta Ley o en sus disposiciones de desarrollo.

b) No solicitar la inscripción del fichero de datos de carácter personal en el Registro General de Protección de Datos.

c) El incumplimiento del deber de información al afectado acerca del tratamiento de sus datos de carácter personal cuando los datos sean recabados del propio interesado.

d) La transmisión de los datos a un encargado del tratamiento sin dar cumplimiento a los deberes formales establecidos en el artículo 12 de esta Ley.

3. Son infracciones graves:

a) Proceder a la creación de ficheros de titularidad pública o iniciar la recogida de datos de carácter personal para los mismos, sin autorización de disposición general, publicada en el «Boletín Oficial del Estado» o diario oficial correspondiente.

b) Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.

c) Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave.

d) La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley.

e) El impedimento o la obstaculización del ejercicio de los derechos de acceso, rectificación, cancelación y oposición.

f) El incumplimiento del deber de información al afectado acerca del tratamiento de sus datos de carácter personal cuando los datos no hayan sido recabados del propio interesado.

g) El incumplimiento de los restantes deberes de notificación o requerimiento al afectado impuestos por esta Ley y sus disposiciones de desarrollo.

h) Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen.

i) No atender los requerimientos o apercibimientos de la Agencia Española de Protección de Datos o no proporcionar a aquélla cuantos documentos e informaciones sean solicitados por la misma.

j) La obstrucción al ejercicio de la función inspectora.

k) La comunicación o cesión de los datos de carácter personal sin contar con legitimación para ello en los términos previstos en esta Ley y sus disposiciones reglamentarias de desarrollo, salvo que la misma sea constitutiva de infracción muy grave.

4. Son infracciones muy graves:

a) La recogida de datos en forma engañosa o fraudulenta.

b) Tratar o ceder los datos de carácter personal a los que se refieren los apartados 2, 3 y 5 del artículo 7 de esta Ley salvo en los supuestos en que la misma lo autoriza o violentar la prohibición contenida en el apartado 4 del artículo 7.

c) No cesar en el tratamiento ilícito de datos de carácter personal cuando existiese un previo requerimiento del Director de la Agencia Española de Protección de Datos para ello.

d) La transferencia internacional de datos de carácter personal con destino a países que no proporcionen un nivel de protección equiparable sin autorización del Director de la Agencia Española de Protección de Datos salvo en los supuestos en los que conforme a esta Ley y sus disposiciones de desarrollo dicha autorización no resulta necesaria [74].

Art. 45. Tipo de sanciones. –1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros.

2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros.

3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros.

4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:

a) El carácter continuado de la infracción.

b) El volumen de los tratamientos efectuados.

c) La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.

d) El volumen de negocio o actividad del infractor.

e) Los beneficios obtenidos como consecuencia de la comisión de la infracción.

f) El grado de intencionalidad.

g) La reincidencia por comisión de infracciones de la misma naturaleza.

h) La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.

i) La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.

j) Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora.

5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:

a) Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.

b) Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.

c) Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.

d) Cuando el infractor haya reconocido espontáneamente su culpabilidad.

e) Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.

6. Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador y, en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:

a) Que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.

b) Que el infractor no hubiese sido sancionado o apercibido con anterioridad.

Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento.

7. En ningún caso podrá imponerse una sanción más grave que la fijada en la Ley para la clase de infracción en la que se integre la que se pretenda sancionar.

8. El Gobierno actualizará periódicamente la cuantía de las sanciones de acuerdo con las variaciones que experimenten los índices de precios [75].

Art. 46. Infracciones de las Administraciones públicas. –1. Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados si los hubiera.

2. El órgano sancionador podrá proponer también la iniciación de actuaciones disciplinarias, si procedieran. El procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario de las Administraciones Públicas [76].

3. Se deberán comunicar al órgano sancionador las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores.

4. El Director de la Agencia comunicará al Defensor del Pueblo las actuaciones que efectúe y las resoluciones que dicte al amparo de los apartados anteriores [77].

Art. 47. Prescripción. –1. Las infracciones muy graves prescribirán a los tres años, las graves a los dos años y las leves al año.

2. El plazo de prescripción comenzará a contarse desde el día en que la infracción se hubiera cometido.

3. Interrumpirá la prescripción la iniciación, con conocimiento del interesado, del procedimiento sancionador, reanudándose el plazo de prescripción si el expediente sancionador estuviere paralizado durante más de seis meses por causas no imputables al presunto infractor.

4. Las sanciones impuestas por faltas muy graves prescribirán a los tres años, las impuestas por faltas graves a los dos años y las impuestas por faltas leves al año.

5. El plazo de prescripción de las sanciones comenzará a contarse desde el día siguiente a aquel en que adquiera firmeza la resolución por la que se impone la sanción.

6. La prescripción se interrumpirá por la iniciación, con conocimiento del interesado, del procedimiento de ejecución, volviendo a transcurrir el plazo si el mismo está paralizado durante más de seis meses por causa no imputable al infractor.

Art. 48. Procedimiento sancionador. –1. Por vía reglamentaria se establecerá el procedimiento a seguir para la determinación de las infracciones y la imposición de las sanciones a que hace referencia el presente Título [78].

2. Las resoluciones de la Agencia de Protección de Datos u órgano correspondiente de la Comunidad Autónoma agotan la vía administrativa.

3. Los procedimientos sancionadores tramitados por la Agencia Española de Protección de Datos, en ejercicio de las potestades que a la misma atribuyan esta u otras leyes, salvo los referidos a infracciones de la Ley 32/2003, de 3 de noviembre, General de Telecomunicaciones, tendrán una duración máxima de seis meses [79].

Art. 49. Potestad de inmovilización de ficheros. –En los supuestos constitutivos de infracción grave o muy grave en que la persistencia en el tratamiento de los datos de carácter personal o su comunicación o transferencia internacional posterior pudiera suponer un grave menoscabo de los derechos fundamentales de los afectados y en particular de su derecho a la protección de datos de carácter personal, el órgano sancionador podrá, además de ejercer la potestad sancionadora, requerir a los responsables de ficheros de datos de carácter personal, tanto de titularidad pública como privada, la cesación en la utilización o cesión ilícita de los datos. Si el requerimiento fuera desatendido, el órgano sancionador podrá, mediante resolución motivada, inmovilizar tales ficheros a los solos efectos de restaurar los derechos de las personas afectadas [80].

DISPOSICIONES ADICIONALES

Primera. Ficheros preexistentes. –Los ficheros y tratamientos automatizados inscritos o no en el Registro General de Protección de Datos deberán adecuarse a la presente Ley Orgánica dentro del plazo de tres años, a contar desde su entrada en vigor. En dicho plazo, los ficheros de titularidad privada deberán ser comunicados a la Agencia de Protección de Datos y las Administraciones públicas, responsables de ficheros de titularidad pública, deberán aprobar la pertinente disposición de regulación del fichero o adaptar la existente.

En el supuesto de ficheros y tratamientos no automatizados, su adecuación a la presente Ley Orgánica, y la obligación prevista en el párrafo anterior deberán cumplimentarse en el plazo de doce años a contar desde el 24 de octubre de 1995, sin perjuicio del ejercicio de los derechos de acceso, rectificación y cancelación por parte de los afectados.

Segunda . Ficheros y Registro de Población de las Administraciones públicas. –1. La Administración General del Estado y las Administraciones de las Comunidades Autónomas podrán solicitar al Instituto Nacional de Estadística, sin consentimiento del interesado, una copia actualizada del fichero formado con los datos del nombre, apellidos, domicilio, sexo y fecha de nacimiento que constan en los padrones municipales de habitantes y en el censo electoral correspondientes a los territorios donde ejerzan sus competencias, para la creación de ficheros o registros de población.

2. Los ficheros o registros de población tendrán como finalidad la comunicación de los distintos órganos de cada Administración pública con los interesados residentes en los respectivos territorios, respecto a las relaciones jurídico administrativas derivadas de las competencias respectivas de las Administraciones públicas.

Tercera. Tratamiento de los expedientes de las derogadas Leyes de Vagos y Maleantes y de Peligrosidad y Rehabilitación Social .–Los expedientes específicamente instruidos al amparo de las derogadas Leyes de Vagos y Maleantes, y de Peligrosidad y Rehabilitación Social, que contengan datos de cualquier índole susceptibles de afectar a la seguridad, al honor, a la intimidad o a la imagen de las personas, no podrán ser consultados sin que medie consentimiento expreso de los afectados, o hayan transcurrido cincuenta años desde la fecha de aquéllos.

En este último supuesto, la Administración General del Estado, salvo que haya constancia expresa del fallecimiento de los afectados, pondrá a disposición del solicitante la documentación, suprimiendo de la misma los datos aludidos en el párrafo anterior, mediante la utilización de los procedimientos técnicos pertinentes en cada caso.

Cuarta. Modificación del artículo 112.4 de la Ley General Tributaria.– El apartado cuarto del artículo 112 de la Ley General Tributaria pasa a tener la siguiente redacción:

«4. La cesión de aquellos datos de carácter personal, objeto de tratamiento, que se debe efectuar a la Administración tributaria conforme a lo dispuesto en el artículo 111, en los apartados anteriores de este artículo o en otra norma de rango legal, no requerirá el consentimiento del afectado. En este ámbito tampoco será de aplicación lo que respecto a las Administraciones públicas establece el apartado 1 del artículo 21 de la Ley Orgánica de Protección de Datos de carácter personal» [81].

Quinta. Competencias del Defensor del Pueblo y órganos autonómicos semejantes.– Lo dispuesto en la presente Ley Orgánica se entiende sin perjuicio de las competencias del Defensor del Pueblo y de los órganos análogos de las Comunidades Autónomas.

Sexta. Modificación del artículo 24.3 de la Ley de Ordenación y Supervisión de los Seguros Privados.– Se modifica el artículo 24.3, párrafo 2.ºde la Ley 30/1995, de 8 de noviembre, de Ordenación y Supervisión de los Seguros Privados, con la siguiente redacción:

«Las entidades aseguradoras podrán establecer ficheros comunes que contengan datos de carácter personal para la liquidación de siniestros y la colaboración estadístico actuarial con la finalidad de permitir la tarificación y selección de riesgos y la elaboración de estudios de técnica aseguradora. La cesión de datos a los citados ficheros no requerirá el consentimiento previo del afectado, pero sí la comunicación al mismo de la posible cesión de sus datos personales a ficheros comunes para los fines señalados con expresa indicación del responsable para que se puedan ejercitar los derechos de acceso, rectificación y cancelación previstos en la ley.

También podrán establecerse ficheros comunes cuya finalidad sea prevenir el fraude en el seguro sin que sea necesario el consentimiento del afectado. No obstante, será necesaria en estos casos la comunicación al afectado, en la primera introducción de sus datos, de quién sea el responsable del fichero y de las formas de ejercicio de los derechos de acceso, rectificación y cancelación.

En todo caso, los datos relativos a la salud sólo podrán ser objeto de tratamiento con el consentimiento expreso del afectado.»

DISPOSICIONES TRANSITORIAS

Primera. Tratamientos creados por Convenios internacionales.– La Agencia de Protección de Datos será el organismo competente para la protección de las personas físicas en lo que respecta al tratamiento de datos de carácter personal respecto de los tratamientos establecidos en cualquier Convenio Internacional del que sea parte España que atribuya a una autoridad nacional de control esta competencia, mientras no se cree una autoridad diferente para este cometido en desarrollo del Convenio [82].

Segunda. Utilización del censo promocional.– Reglamentariamente se desarrollarán los procedimientos de formación del censo promocional, de oposición a aparecer en el mismo, de puesta a disposición de sus solicitantes, y de control de las listas difundidas. El Reglamento establecerá los plazos para la puesta en operación del censo promocional.

Tercera. Subsistencia de normas preexistentes. –Hasta tanto se lleven a efectos las previsiones de la disposición final primera de esta Ley, continuarán en vigor, con su propio rango, las normas reglamentarias existentes y, en especial, los Reales Decretos 428/1993, de 26 de marzo; 1332/1994, de 20 de junio [83]. , y 994/1999, de 11 de junio [84]. , en cuanto no se opongan a la presente Ley.

DISPOSICIÓN DEROGATORIA

Única. Derogación normativa. –Queda derogada la Ley Orgánica 5/1992, de 29 de octubre, de Regulación del tratamiento automatizado de los datos de carácter personal.

DISPOSICIONES FINALES

Primera. Habilitación para el desarrollo reglamentario.– El Gobierno aprobará, o modificará, las disposiciones reglamentarias necesarias para la aplicación y desarrollo de la presente Ley.

Segunda. Preceptos con carácter de Ley ordinaria.– Los Títulos IV, VI excepto el último inciso del párrafo 4 del artículo 36 y VII de la presente Ley, la disposición adicional cuarta, la disposición transitoria primera y la final primera tienen el carácter de Ley ordinaria.

Tercera. Entrada en vigor. –La presente Ley entrará en vigor en el plazo de un mes, contado desde su publicación en el «Boletín Oficial del Estado».

[1] Artículo 18.1 de la Constitución Española.

[2] Véase el artículo 4 del Reglamento (§ 2).

[3] Véase la Ley 9/1968, de 5 de abril («BOE» núm. 84, de 6 de abril), sobre secretos oficiales, modificada por Ley 4/1978, de 7 de octubre («BOE» núm. 243, de 11 de octubre).

[4] Véase el artículo 41 de la Ley Orgánica 5/1985, de Régimen Electoral General (§ 15). Véase, asimismo, el Real Decreto 411/1986, de 10 de febrero, por el que se dispone la formación del fichero nacional de lectores ajustado a la renovación de los padrones municipales de habitantes de 1986.

[5] Ley 12/1989, de la Función Estadística Pública (§ 16).

[6] Ley 39/2007, de 19 de noviembre, de la carrera militar (§ 17).

[7] Véanse los artículos 17 a 35 del Decreto de 14 de noviembre de 1958 («BOE» núm. 296, de 11 de diciembre), por el que se aprueba el reglamento de la Ley del Registro Civil, modificados por Decreto 1138/1969, de 22 de mayo («BOE» núm. 144, de 17 de junio), Real Decreto 3455/1977, de 1 de diciembre («BOE» núm. 21, de 25 de enero de 1978), Real Decreto 1917/1986, de 29 de agosto («BOE» núm. 225, de 19 de septiembre) y Real Decreto 170/2007, de 9 de febrero («BOE» núm. 59, de 9 de marzo).

[8] Véase el Real Decreto 435/1992, de 30 de abril, sobre comunicación al Registro Central de Penados y Rebeldes y a la Oficina del Censo electoral de las condenas que lleven aparejada privación del derecho de sufragio (§ 18).

[9] Véanse el artículo 22 de esta Ley y la Ley Orgánica 4/1997, de 4 de agosto, por la que se regula la utilización de videocámaras por las Fuerzas y Cuerpos de Seguridad en los lugares públicos (§ 19), desarrollada por Real Decreto 596/1999, de 16 de abril.

[10] Artículo 5 del Reglamento (§ 2).

[11] Véase el artículo 67 del Real Decreto 1736/1998, de 31 de julio (§ 22).

[12] Véanse los artículos 28 de la presente Ley y 7 del Reglamento (§ 2).

[13] Artículos 8 a 11 del Reglamento (§ 2).

[14] Artículo 9 del Reglamento (§ 2).

[15] Véanse los artículos 157 y 158 del Reglamento de esta Ley (§ 2). Véase, asimismo, el artículo 57 de la Ley 16/1985, de 25 de junio, del Patrimonio Histórico Español.

[16] Véanse los artículos 24 de esta Ley y 18 del Reglamento (§ 2).

[17] Véase la norma segunda de la Instrucción 1/2000, de 1 de diciembre (§ 9).

[18] Véanse los artículos 153 a 156 del Reglamento (§ 2).

[19] Véanse los artículos 11 de esta Ley y 12 a 17 del Reglamento (§ 2).

[20] Véase el artículo 77.8 de la Ley 29/2006, de 26 de julio, de garantías y uso racional de los medicamentos y productos sanitarios, trascrito en nota al artículo 8 de la presente Ley.

[21] Véase el artículo 6.1 de la Ley Orgánica 7/1980, de 5 de julio, de Libertad Religiosa.

[22] Véanse los artículos 6 a 9 del Real Decreto 190/1996, de 9 de febrero, por el que se aprueba el Reglamento Penitenciario (§ 20).

El artículo 63 de la Ley Orgánica 1/2004, de 28 de diciembre, de medidas de protección integral contra la violencia de género, dispone:

«Artículo 63. De la protección de datos y las limitaciones a la publicidad. –1. En las actuaciones y procedimientos relacionados con la violencia de género se protegerá la intimidad de las víctimas; en especial, sus datos personales, los de sus descendientes y los de cualquier otra persona que esté bajo su guarda o custodia.

2. Los Jueces competentes podrán acordar, de oficio o a instancia de parte, que las vistas se desarrollen a puerta cerrada y que las actuaciones sean reservadas.»

[23] Véanse los artículos 6.2 de esta Ley y 10.3. c) de su Reglamento (§ 2). Véase, asimismo, el artículo 77.8 de la Ley 29/2006 de 26 de julio, de garantías y uso racional de los medicamentos y productos sanitarios, trascrito en nota al artículo 8 de la presente Ley.

[24] Véanse los artículos 9 y 22.3 de la presente Ley.

[25] Véase el artículo 10.5 del Reglamento de la presente Ley (§ 2). Los artículos 16 a 19 de la Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica, establecen:

«Art. 16. Usos de la historia clínica. –1. La historia clínica es un instrumento destinado fundamentalmente a garantizar una asistencia adecuada al paciente. Los profesionales asistenciales del centro que realizan el diagnóstico o el tratamiento del paciente tienen acceso a la historia clínica de éste como instrumento fundamental para su adecuada asistencia.

2. Cada centro establecerá los métodos que posibiliten en todo momento el acceso a la historia clínica de cada paciente por los profesionales que le asisten.

3. El acceso a la historia clínica con fines judiciales, epidemiológicos, de salud pública, de investigación o de docencia, se rige por lo dispuesto en la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal, y en la Ley 14/1986, General de Sanidad, y demás normas de aplicación en cada caso. El acceso a la historia clínica con estos fines obliga a preservar los datos de identificación personal del paciente, separados de los de carácter clínico-asistencial, de manera que como regla general quede asegurado el anonimato, salvo que el propio paciente haya dado su consentimiento para no separarlos. Se exceptúan los supuestos de investigación de la autoridad judicial en los que se considere imprescindible la unificación de los datos identificativos con los clínico-asistenciales, en los cuales se estará a lo que dispongan los jueces y tribunales en el proceso correspondiente. El acceso a los datos y documentos de la historia clínica queda limitado estrictamente a los fines específicos de cada caso.

4. El personal de administración y gestión de los centros sanitarios sólo puede acceder a los datos de la historia clínica relacionados con sus propias funciones.

5. El personal sanitario debidamente acreditado que ejerza funciones de inspección, evaluación, acreditación y planificación, tiene acceso a las historias clínicas en el cumplimiento de sus funciones de comprobación de la calidad de la asistencia, el respeto de los derechos del paciente o cualquier otra obligación del centro en relación con los pacientes y usuarios o la propia Administración sanitaria.

6. El personal que accede a los datos de la historia clínica en el ejercicio de sus funciones queda sujeto al deber de secreto.

7. Las Comunidades Autónomas regularán el procedimiento para que quede constancia del acceso a la historia clínica y de su uso.

Art. 17. La conservación de la documentación clínica.– 1. Los centros sanitarios tienen la obligación de conservar la documentación clínica en condiciones que garanticen su correcto mantenimiento y seguridad, aunque no necesariamente en el soporte original, para la debida asistencia al paciente durante el tiempo adecuado a cada caso y, como mínimo, cinco años contados desde la fecha del alta de cada proceso asistencial.

2. La documentación clínica también se conservará a efectos judiciales de conformidad con la legislación vigente. Se conservará, asimismo, cuando existan razones epidemiológicas, de investigación o de organización y funcionamiento del Sistema Nacional de Salud. Su tratamiento se hará de forma que se evite en lo posible la identificación de las personas afectadas.

3. Los profesionales sanitarios tienen el deber de cooperar en la creación y el mantenimiento de una documentación clínica ordenada y secuencial del proceso asistencial de los pacientes.

4. La gestión de la historia clínica por los centros con pacientes hospitalizados, o por los que atiendan a un número suficiente de pacientes bajo cualquier otra modalidad asistencial, según el criterio de los servicios de salud, se realizará a través de la unidad de admisión y documentación clínica, encargada de integrar en un solo archivo las historias clínicas. La custodia de dichas historias clínicas estará bajo la responsabilidad de la dirección del centro sanitario.

5. Los profesionales sanitarios que desarrollen su actividad de manera individual son responsables de la gestión y de la custodia de la documentación asistencial que generen.

6. Son de aplicación a la documentación clínica las medidas técnicas de seguridad establecidas por la legislación reguladora de la conservación de los ficheros que contienen datos de carácter personal y, en general, por la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal.

Art. 18. Derechos de acceso a la historia clínica.– 1. El paciente tiene el derecho de acceso, con las reservas señaladas en el apartado 3 de este artículo, a la documentación de la historia clínica y a obtener copia de los datos que figuran en ella. Los centros sanitarios regularán el procedimiento que garantice la observancia de estos derechos.

2. El derecho de acceso del paciente a la historia clínica puede ejercerse también por representación debidamente acreditada.

3. El derecho al acceso del paciente a la documentación de la historia clínica no puede ejercitarse en perjuicio del derecho de terceras personas a la confidencialidad de los datos que constan en ella recogidos en interés terapéutico del paciente, ni en perjuicio del derecho de los profesionales participantes en su elaboración, los cuales pueden oponer al derecho de acceso la reserva de sus anotaciones subjetivas.

4. Los centros sanitarios y los facultativos de ejercicio individual sólo facilitarán el acceso a la historia clínica de los pacientes fallecidos a las personas vinculadas a él, por razones familiares o de hecho, salvo que el fallecido lo hubiese prohibido expresamente y así se acredite. En cualquier caso el acceso de un tercero a la historia clínica motivado por un riesgo para su salud se limitará a los datos pertinentes. No se facilitará información que afecte a la intimidad del fallecido ni a las anotaciones subjetivas de los profesionales, ni que perjudique a terceros.

Art. 19. Derechos relacionados con la custodia de la historia clínica.– El paciente tiene derecho a que los centros sanitarios establezcan un mecanismo de custodia activa y diligente de las historias clínicas. Dicha custodia permitirá la recogida, la integración, la recuperación y la comunicación de la información sometida al principio de confidencialidad con arreglo a lo establecido por el artículo 16 de la presente Ley.»

Y el artículo 77.8 de la Ley 29/2006, de 26 de julio, de garantías y uso racional de los medicamentos y productos sanitarios, dispone:

«Art. 77. La receta médica y la prescripción hospitalaria.

[.......]

8. El Gobierno determinará con carácter básico los requisitos mínimos que han de cumplir las recetas médicas extendidas y/o editadas en soporte informático con el fin de asegurar la accesibilidad de todos los ciudadanos, en condiciones de igualdad efectiva en el conjunto del territorio español, a la prestación farmacéutica del Sistema Nacional de Salud.

No será necesario el consentimiento del interesado para el tratamiento y la cesión de datos que sean consecuencia de la implantación de sistemas de información basados en receta médica en soporte papel o electrónico, de conformidad con lo dispuesto en los artículos 7, apartados 3 y 6; 8; y 11, apartado 2.a), de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. Las citadas actuaciones deberán tener por finalidad facilitar la asistencia médica y farmacéutica al paciente y permitir el control de la prestación farmacéutica del Sistema Nacional de Salud.»

[26] Véanse los artículos 79 y siguientes del Reglamento de la presente Ley (§ 2).

[27] El artículo 197 del Código Penal, dispone:

«Artículo 197. 1. El que, para descubrir los secretos o vulnerar la intimidad de otro, sin su consentimiento, se apodere de sus papeles, cartas, mensajes de correo electrónico o cualesquiera otros documentos o efectos personales o intercepte sus telecomunicaciones o utilice artificios técnicos de escucha, transmisión, grabación o reproducción del sonido o de la imagen, o de cualquier otra señal de comunicación, será castigado con las penas de prisión de uno a cuatro años y multa de doce a veinticuatro meses.

2. Las mismas penas se impondrán al que, sin estar autorizado, se apodere, utilice o modifique, en perjuicio de tercero, datos reservados de carácter personal o familiar de otro que se hallen registrados en ficheros o soportes informáticos, electrónicos o telemáticos, o en cualquier otro tipo de archivo o registro público o privado. Iguales penas se impondrán a quien, sin estar autorizado, acceda por cualquier medio a los mismos y a quien los altere o utilice en perjuicio del titular de los datos o de un tercero.

3. El que por cualquier medio o procedimiento y vulnerando las medidas de seguridad establecidas para impedirlo, acceda sin autorización a datos o programas informáticos contenidos en un sistema informático o en parte del mismo o se mantenga dentro del mismo en contra de la voluntad de quien tenga el legítimo derecho a excluirlo, será castigado con pena de prisión de seis meses a dos años.

Cuando de acuerdo con lo establecido en el artículo 31 bis una persona jurídica sea responsable de los delitos comprendidos en este artículo, se le impondrá la pena de multa de seis meses a dos años. Atendidas las reglas establecidas en el artículo 66 bis, los jueces y tribunales podrán asimismo imponer las penas recogidas en las letras b) a g) del apartado 7 del artículo 33.

4. Se impondrá la pena de prisión de dos a cinco años si se difunden, revelan o ceden a terceros los datos o hechos descubiertos o las imágenes captadas a que se refieren los números anteriores.

Será castigado con las penas de prisión de uno a tres años y multa de doce a veinticuatro meses, el que, con conocimiento de su origen ilícito y sin haber tomado parte en su descubrimiento, realizare la conducta descrita en el párrafo anterior.

5. Si los hechos descritos en los apartados 1 y 2 de este artículo se realizan por las personas encargadas o responsables de los ficheros, soportes informáticos, electrónicos o telemáticos, archivos o registros, se impondrá la pena de prisión de tres a cinco años, y si se difunden, ceden o revelan los datos reservados, se impondrá la pena en su mitad superior.

6. Igualmente, cuando los hechos descritos en los apartados anteriores afecten a datos de carácter personal que revelen la ideología, religión, creencias, salud, origen racial o vida sexual, o la víctima fuere un menor de edad o un incapaz, se impondrán las penas previstas en su mitad superior.

7. Si los hechos se realizan con fines lucrativos, se impondrán las penas respectivamente previstas en los apartados 1 al 4 de este artículo en su mitad superior. Si además afectan a datos de los mencionados en el apartado 5, la pena a imponer será la de prisión de cuatro a siete años.

8. Si los hechos descritos en los apartados anteriores se cometiesen en el seno de una organización o grupo criminales, se aplicarán respectivamente las penas superiores en grado.»

[28] Artículo 10 del Reglamento de la presente Ley (§ 2).

[29] Véanse los artículos 9.2 de la Ley 42/1997, de 14 de noviembre, Ordenadora de la Inspección de Trabajo y Seguridad Social y 77.8 de la Ley 29/2006 de 26 de julio, de garantías y uso racional de los medicamentos y productos sanitarios, trascrito en nota al artículo 8 de la presente Ley.

[30] Véanse los artículos 3. j) y 21.3 de la presente Ley.

[31] Véanse los artículos 21 de la presente Ley y 15 de la Ley de la Función Estadística Pública (§ 16).

[32] Véanse los artículos 8 de esta Ley y 10.3 de la Ley 14/1986, de 25 de abril, General de Sanidad.

[33] Véanse los artículos 3. f) y 27 de esta Ley y 20 del Reglamento (§ 2).

[34] Véanse el artículo 88.6 del Reglamento de la presente Ley y la norma sexta.2 de la Instrucción 1/2000, de 1 de diciembre (§ 9).

[35] Véase el artículo 39 de la presente Ley.

[36] Véanse los artículos 24.2 de esta Ley y 27 a 30 del Reglamento (§ 2). Véase, asimismo, la norma segunda de la Instrucción 1/1998, de 19 de enero, relativa al ejercicio de los derechos de acceso, rectificación y cancelación (§ 8).

[37] Véase la norma tercera de la Instrucción 1/1998, de 19 de enero, relativa al ejercicio de los derechos de acceso, rectificación y cancelación.

[38] Véanse los artículos 24.2 de la presente Ley y 23 a 26 y 31 a 32 del Reglamento (§ 2).

[39] Véase el artículo 17 del Reglamento de esta Ley (§ 2).

[40] Artículos 117 a 119 del Reglamento de la presente Ley (§ 2).Véase la Instrucción 1/1998, de 19 de enero, relativa al ejercicio de los derechos de acceso, rectificación y cancelación (§ 8).

[41] Artículos 29, 30, 32 y 33 del Reglamento de la presente Ley (§ 2).

[42] Véase el Real Decreto 429/1993, de 26 de marzo, por el que se aprueba el Reglamento de los procedimientos de las administraciones públicas en materia de responsabilidad patrimonial.

[43] Artículos 52 a 54 del Reglamento de la presente Ley (§ 2).

[44] Véanse los artículos 79 a 114 del Reglamento de la presente Ley (§ 2).

[45] Inciso declarado nulo por Sentencia 292/2000, de 30 de noviembre, del Pleno del Tribunal Constitucional (Suplemento al «BOE» núm. 4, de 4 de enero de 2000).

[46] Véanse el artículo 2.3. e) de la presente Ley y nota al mismo.

[47] Véase la Ley Orgánica 10/2007, de 8 de octubre («BOE» núm 242, de 9 de octubre), reguladora de la base de datos policial sobre identificadores obtenidos a partir del ADN.

[48] Véanse los artículos 85, 136 y 137 de la Ley Orgánica 10/1995, de 23 de noviembre, del Código Penal, el Real Decreto 95/2009, de 6 de febrero, por el que se regula el Sistema de registros administrativos de apoyo a la Administración de Justicia y el artículo 3 del Real Decreto 1879/1994, de 16 de septiembre («BOE» núm.240, de 7 de octubre), por el que se aprueban determinadas normas procedimentales en materia de Justicia e Interior.

[49] El inciso y el apartado que figuran en cursiva han sido declarados nulos por Sentencia 292/2000, de 30 de noviembre, del Pleno del Tribunal Constitucional (Suplemento al «BOE» núm. 4, de 4 de enero de 2000).

[50] Véanse los artículos 55 a 64 del Reglamento de la presente Ley (§ 2) y la norma tercera de la Instrucción 1/2000, de 1 de diciembre (§ 9).

[51] Véase el artículo 11.3 de la presente Ley.

[52] Véanse los artículos 33 y siguientes de la Ley 32/2003, de 3 de noviembre, General de Telecomunicaciones (§ 21), el Real Decreto 424/2005, de15 de abril (§ 22) y la Ley 25/2007, de 18 de octubre, de conservación de datos relativos a las comunicaciones electrónicas y a las redes públicas de comunicaciones ( § 23).

[53] Artículos 37 a 44 del Reglamento de esta Ley (§ 2).Véanse la Instrucción 1/1995, de 1 de marzo, de la Agencia de Protección de Datos, relativa a prestación de servicios de información sobre solvencia patrimonial y crédito (§ 3) y la norma cuarta de la Instrucción 1/1998 relativa al ejercicio de los derechos de acceso, rectificación y cancelación (§ 8).

[54] Véase el artículo 37.1 del Reglamento de la presente Ley (§ 2).

[55] Véanse los artículos 37.3 y 44.3 del Reglamento de la presente Ley (§ 2).

[56] Véanse los artículos 45 a 51 del Reglamento de la presente Ley (§ 2) y la norma quinta de la Instrucción 1/1998, relativa al ejercicio de los derechos de acceso, rectificación y cancelación (§ 8).

[57] Véase la disposición transitoria segunda de esta Ley.

La disposición final segunda de la Ley 43/2010, de 30 de diciembre, del Servicio Postal Universal, de los Derechos de los Usuarios y del Mercado Postal establece:

«Disposición final segunda.Puesta en funcionamiento del censo promocional .–La Comisión Nacional del Sector Postal, en colaboración con los organismos competentes, en el plazo de un año desde la entrada en vigor de la presente Ley, adoptará las medidas necesarias para garantizar el efectivo funcionamiento del censo promocional a que se refiere el artículo 31 de la Ley Orgánica de Protección de Datos».

[58] Véanse los artículos 71 a 78 y 145 a 152 y la disposición transitoria primera del Reglamento de la presente Ley (§ 2). Véase la norma primera de la Instrucción 1/2004, de 22 de diciembre (§ 10).

[59] Artículos 65 a 70 del Reglamento de la presente Ley (§ 2). Véase la Instrucción 1/2000, de 1 de diciembre, de la Agencia de Protección de Datos, relativa a las normas por las que se rigen los movimientos internacionales de datos (§ 9).

[60] Véase el artículo 137 del Reglamento (§ 2).

[61] La Orden de 2 de febrero de 1995 («BOE» núm.35, de 10 de febrero), por la que se aprueba la primera relación de países con protección de datos de carácter personal equiparable a la española, a efectos de transferencia internacional de datos, establece:

«[.......]

Primero.–Los países cuyo régimen legal de protección de datos de carácter personal, objeto de tratamiento automatizado, se considera que proporciona un nivel de protección equiparable al de la Ley Orgánica 5/1992, de 29 de octubre, tanto respecto a ficheros de titularidad pública como a los de titularidad privada, son los países parte del Convenio para la Protección de las Personas con relación al Tratamiento Automatizado de los Datos de Carácter Personal, abierto a la firma en Estrasburgo el 28 de enero de 1981, y concretamente los siguientes:

Alemania, Austria, Bélgica, Dinamarca –con la excepción del territorio de las Islas Féroe y de Groenlandia–, Eslovenia, Finlandia, Francia, Irlanda, Islandia, Luxemburgo, Noruega –con la excepción del territorio de Svalbard–, Países Bajos, Portugal, Reino Unido –inclusive el territorio de las Islas de Man y Jersey– y Suecia.

Segundo.–Asimismo se considera que proporcionan un nivel de protección equiparable al de la Ley Orgánica 5/1992, de 29 de octubre, respecto a ficheros de titularidad pública y de titularidad privada, Australia, Israel, Hungría, Nueva Zelanda, República Checa, República de Slovakia, San Marino y Suiza.

Tercero.–Se considera que proporcionan un nivel de protección equiparable al de la Ley Orgánica 5/1992, de 29 de octubre, respecto de los datos registrados en ficheros de titularidad pública, la República de Andorra y Japón.

Cuarto.–También se considera que proporciona un nivel de protección equiparable al de la Ley Orgánica 5/1992, de 29 de octubre, la legislación de Canadá respecto de los ficheros de titularidad pública, y que disponen de un régimen de protección equiparable al de dicha Ley, respecto de los ficheros de titularidad privada, las provincias canadienses de Quebec, Ontario, Saskatchewan y Columbia Británica.

Quinto.–De conformidad con lo dispuesto en los artículos 32 y 33 de la Ley Orgánica 5/1992, de 29 de octubre, y 3 y 4 del Real Decreto 1332/1994, de 20 de junio, lo dispuesto en la presente Orden se entiende sin perjuicio de lo establecido en tratados o convenios en los que sea parte España, y de las restantes excepciones legales, así como de las facultades que corresponden a la Agencia de Protección de Datos para autorizar las transferencias internacionales de datos, si se obtienen garantías adecuadas.»

Y la Orden de 31 de julio de 1998 («BOE» núm. 200, de 21 de agosto), por la que se amplia la relación de países con protección de datos de carácter personal equiparable a la española, dispone:

«[.......]

Primero.–Se incluye a Italia y a Grecia entre los países relacionados en el apartado primero de la Orden de 2 de febrero de 1995 por la que se aprueba la primera relación de países con protección de datos de carácter personal equiparable a la española, a efectos de transferencia internacional de datos.»

[62] Véase el artículo 66.2. b) del Reglamento de la presente Ley (§ 2).

[63] Véase la norma quinta de la Instrucción 1/2000, de 1 de diciembre (§ 9).

[64] El artículo 79 de la Ley 62/2003, de 30 de diciembre, de Medidas Fiscales, Administrativas y del Orden Social, establece:

«Art. 79. Agencia Española de Protección de Datos.– La Agencia de Protección de Datos pasa a denominarse Agencia Española de Protección de Datos.

Las referencias a la Agencia de Protección de Datos realizadas en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, así como en las normas a las que se refiere su disposición transitoria tercera y cualesquiera otras que se encuentren en vigor deberán entenderse realizadas a la Agencia Española de Protección de Datos.»

[65] Véanse el Real Decreto 428/1993, de 26 de marzo, por el que se aprueba el Estatuto de la Agencia de Protección de Datos (§ 3) y la disposición adicional décima de la Ley 6/1997, de 14 de abril, de Organización y Funcionamiento de la Administración General del Estado.

[66] Artículos 10 a 33 de la citada Ley (§ 16).

[67] Véase la Instrucción 1/2004, de 22 de diciembre (§ 10).

[68] Apartado adicionado por Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social.

[69] Véanse los artículos 18 a 22 del Estatuto de la Agencia de Protección de Datos (§ 3).

[70] Véanse los artículos 55 a 64 del Reglamento de la presente Ley (§ 2).

[71] Véase el artículo 123 del Reglamento de la presente Ley (§ 2).

[72] Véase la disposición final segunda de esta Ley.

[73] Apartado redactado de acuerdo con la Ley 2/2011, de 4 de marzo.

[74] Los apartados 2 a 4 del presente artículo han sido redactados de acuerdo con la Ley 2/2011, de 4 de marzo, de Economía Sostenible.

[75] Este artículo figura conforme a la redacción dada por la Ley 2/2011, de 4 de marzo, de Economía Sostenible.

[76] Véase el Real Decreto 33/1986, de 10 de enero («BOE» núm. 15, de 17 de enero), por el que se aprueba el Reglamento de Régimen disciplinario de los funcionarios de la Administración del Estado, modificado por Real Decreto 1085/1990, de 31 de agosto («BOE» núm. 213, de 15 de septiembre), y por Ley 31/1991, de 30 de diciembre.

[77] Los apartados 1 a 3 se incluyen en la redacción dada por la Ley 2/2011, de 4 de marzo.

[78] Véanse los artículos 120 y siguientes del Reglamento de la presente Ley (§ 2).

[79] Apartado adicionado por Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social.

[80] Artículo redactado de acuerdo con la Ley 2/2011, de 4 de marzo.

[81] En la actualidad, artículo 94.5 de la Ley 58/2003, de 17 de diciembre, que establece:

«5. La cesión de datos de carácter personal que se deba efectuar a la Administración tributaria conforme a lo dispuesto en el artículo anterior, en los apartados anteriores de este artículo o en otra norma de rango legal, no requerirá el consentimiento del afectado. En este ámbito no será de aplicación lo dispuesto en el apartado 1 del artículo 21 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal.»

[82] Véase la disposición final segunda de la presente Ley.

[83] Derogado por Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal (§ 2).

[84] Derogado por Real Decreto 1720/2007, de 21 de diciembre (§ 2).

§ 2 REAL DECRETO 1720/2007, DE 21 DE DICIEMBRE (JUSTICIA), POR EL QUE SE APRUEBA EL REGLAMENTO DE DESARROLLO DE LA LEY ORGÁNICA 15/1999, DE 13 DE DICIEMBRE, DE PROTECCIÓN DE DATOS DE CARÁCTER PERSONAL

(«BOE» núm. 17, de 19 de enero de 2008)

La actual Ley Orgánica 15/1999, de 13 de diciembre de Protección de datos de carácter personal adaptó nuestro ordenamiento a lo dispuesto por la Directiva 95/46/CE del Parlamento Europeo y del Consejo de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, derogando a su vez la hasta entonces vigente Ley Orgánica 5/1992, de 29 de octubre, de Regulación del tratamiento automatizado de datos de carácter personal.

La nueva ley, que ha nacido con una amplia vocación de generalidad, prevé en su artículo 1 que «tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal». Comprende por tanto el tratamiento automatizado y el no automatizado de los datos de carácter personal.

A fin de garantizar la necesaria seguridad jurídica en un ámbito tan sensible para los derechos fundamentales como el de la protección de datos, el legislador declaró subsistentes las normas reglamentarias existentes y, en especial, los reales decretos 428/1993, de 26 de marzo, por el que se aprueba el Estatuto de la Agencia de Protección de Datos, 1332/1994, de 20 de junio, por el que se desarrollan determinados aspectos de la Ley Orgánica 5/1992, de 29 de octubre de Regulación del tratamiento automatizado de los datos de carácter personal y 994/1999, de 11 de junio, por el que se aprueba el Reglamento de Medidas de seguridad de los ficheros automatizados que contengan datos de carácter personal, a la vez que habilitó al Gobierno para la aprobación o modificación de las disposiciones reglamentarias necesarias para la aplicación y desarrollo de la Ley Orgánica 15/1999.

Por otra parte, la Ley 34/2002, de 11 de julio, de Servicios de la sociedad de la información y de comercio electrónico y la Ley 32/2003, de 3 de noviembre, General de Telecomunicaciones atribuyen competencias en materia sancionadora a la Agencia Española de Protección de Datos. Éstas requieren de desarrollo reglamentario con la peculiaridad de que ambas normas se ordenan a la tutela no sólo de los derechos de las personas físicas, sino también de las jurídicas.

II

Este Reglamento comparte con la Ley Orgánica la finalidad de hacer frente a los riesgos que para los derechos de la personalidad pueden suponer el acopio y tratamiento de datos personales. Por ello, ha de destacarse que esta norma reglamentaria nace con la vocación de no reiterar los contenidos de la norma superior y de desarrollar, no sólo los mandatos contenidos en la Ley Orgánica de acuerdo con los principios que emanan de la Directiva, sino también aquellos que en estos años de vigencia de la Ley se ha demostrado que precisan de un mayor desarrollo normativo.

Por tanto, se aprueba este Reglamento partiendo de la necesidad de dotar de coherencia a la regulación reglamentaria en todo lo relacionado con la transposición de la Directiva y de desarrollar los aspectos novedosos de la Ley Orgánica 15/1999, junto con aquellos en los que la experiencia ha aconsejado un cierto de grado de precisión que dote de seguridad jurídica al sistema.

III

El reglamento viene a abarcar el ámbito tutelado anteriormente por los reales decretos 1332/1994, de 20 de junio, y 994/1999, de 11 de junio, teniendo en cuenta la necesidad de fijar criterios aplicables a los ficheros y tratamientos de datos personales no automatizados. Por otra parte, la atribución de funciones a la Agencia Española de Protección de Datos por la Ley 34/2002, de 11 de julio, de Servicios de la sociedad de la información y de comercio electrónico y la Ley 32/2003, de 3 de noviembre, General de Telecomunicaciones obliga a desarrollar también los procedimientos para el ejercicio de la potestad sancionadora por la Agencia.

El reglamento se estructura en nueve títulos cuyo contenido desarrolla los aspectos esenciales en esta materia.

El título I contempla el objeto y ámbito de aplicación del reglamento. A lo largo de la vigencia de la Ley Orgánica 15/1999, se ha advertido la conveniencia de desarrollar el apartado 2 de su artículo 2 para aclarar qué se entiende por ficheros y tratamientos relacionados con actividades personales o domésticas, aspecto muy relevante dado que están excluidos de la normativa sobre protección de datos de carácter personal.

Por otra parte, el presente reglamento no contiene previsiones para los tratamientos de datos personales a los que se refiere el apartado 3 del artículo 2 de la ley orgánica, dado que se rigen por sus disposiciones específicas y por lo especialmente previsto, en su caso, por la propia Ley Orgánica 15/1999. En consecuencia, se mantiene el régimen jurídico propio de estos tratamientos y ficheros.

Además, en este título se aporta un conjunto de definiciones que ayudan al correcto entendimiento de la norma, lo que resulta particularmente necesario en un ámbito tan tecnificado como el de la protección de datos personales. Por otra parte, fija el criterio a seguir en materia de cómputo de plazos con el fin de homogeneizar esta cuestión evitando distinciones que suponen diferencias de trato de los ficheros públicos respecto de los privados.

El título II, se refiere a los principios de la protección de datos. Reviste particular importancia la regulación del modo de captación del consentimiento atendiendo a aspectos muy específicos como el caso de los servicios de comunicaciones electrónicas y, muy particularmente, la captación de datos de los menores. Asimismo, se ofrece lo que no puede definirse sino como un estatuto del encargado del tratamiento, que sin duda contribuirá a clarificar todo lo relacionado con esta figura. Las previsiones en este ámbito se completan con lo dispuesto en el título VIII en materia de seguridad dotando de un marco coherente a la actuación del encargado.

El título III se ocupa de una cuestión tan esencial como los derechos de las personas en este ámbito. Estos derechos de acceso, rectificación, cancelación y oposición al tratamiento, según ha afirmado el Tribunal Constitucional en su sentencia número 292/2000, constituyen el haz de facultades que emanan del derecho fundamental a la protección de datos y «sirven a la capital función que desempeña este derecho fundamental: garantizar a la persona un poder de control sobre sus datos personales, lo que sólo es posible y efectivo imponiendo a terceros los mencionados deberes de hacer».

A continuación, los títulos IV a VII permiten clarificar aspectos importantes para el tráfico ordinario, como la aplicación de criterios específicos a determinado tipo de ficheros de titularidad privada que por su trascendencia lo requerían –los relativos a la solvencia patrimonial y crédito y los utilizados en actividades de publicidad y prospección comercial–, el conjunto de obligaciones materiales y formales que deben conducir a los responsables a la creación e inscripción de los ficheros, los criterios y procedimientos para la realización de las transferencias internacionales de datos, y, finalmente, la regulación de un instrumento, el código tipo, llamado a jugar cada vez un papel más relevante como elemento dinamizador del derecho fundamental a la protección de datos.

El título VIII regula un aspecto esencial para la tutela del derecho fundamental a la protección de datos, la seguridad, que repercute sobre múltiples aspectos organizativos, de gestión y aún de inversión, en todas las organizaciones que traten datos personales. La repercusión del deber de seguridad obligaba a un particular rigor ya que en esta materia han confluido distintos elementos muy relevantes. Por una parte, la experiencia dimanante de la aplicación del Real Decreto 994/1999 permitía conocer las dificultades que habían enfrentado los responsables e identificar los puntos débiles y fuertes de la regulación. Por otra, se reclamaba la adaptación de la regulación en distintos aspectos. En este sentido, el reglamento trata de ser particularmente riguroso en la atribución de los niveles de seguridad, en la fijación de las medidas que corresponda adoptar en cada caso y en la revisión de las mismas cuando ello resulte necesario. Por otra parte, ordena con mayor precisión el contenido y las obligaciones vinculadas al mantenimiento del documento de seguridad. Además, se ha pretendido regular la materia de modo que contemple las múltiples formas de organización material y personal de la seguridad que se dan en la práctica. Por último, se regula un conjunto de medidas destinadas a los ficheros y tratamientos estructurados y no automatizados que ofrezca a los responsables un marco claro de actuación.

Finalmente en el título IX, dedicado a los procedimientos tramitados por la Agencia Española de Protección de Datos, se ha optado por normar exclusivamente aquellas especialidades que diferencian a los distintos procedimientos tramitados por la Agencia de las normas generales previstas para los procedimientos en la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, cuya aplicación se declara supletoria al presente reglamento.

En su virtud, a propuesta del Ministro de Justicia, con la aprobación previa de la Ministra de Administraciones Públicas, de acuerdo con el Consejo de Estado y previa deliberación del Consejo de Ministros en su reunión del día 21 de diciembre de 2007, dispongo:

Artículo único. Aprobación del reglamento.– Se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, cuyo texto se incluye a continuación.

DISPOSICIONES TRANSITORIAS

Primera. Adaptación de los códigos tipo inscritos en el Registro General de Protección de Datos.– En el plazo de un año desde la entrada en vigor del presente real decreto deberán notificarse a la Agencia Española de Protección de Datos las modificaciones que resulten necesarias en los códigos tipo inscritos en el Registro General de Protección de Datos para adaptar su contenido a lo dispuesto en el título VII del mismo.

Segunda. Plazos de implantación de las medidas de seguridad.– La implantación de las medidas de seguridad previstas en el presente real decreto deberá producirse con arreglo a las siguientes reglas:

1.ª Respecto de los ficheros automatizados que existieran en la fecha de entrada en vigor del presente real decreto:

a) En el plazo de un año desde su entrada en vigor, deberán implantarse las medidas de seguridad de nivel medio exigibles a los siguientes ficheros:

1.º Aquellos de los que sean responsables las Entidades Gestoras y Servicios Comunes de la Seguridad Social y se relacionen con el ejercicio de sus competencias.

2.º Aquellos de los que sean responsables las mutuas de accidentes de trabajo y enfermedades profesionales de la Seguridad Social.

3.º Aquellos que contengan un conjunto de datos de carácter personal que ofrezcan una definición de las características o de la personalidad de los ciudadanos y que permitan evaluar determinados aspectos de la personalidad o del comportamiento de los mismos, respecto de las medidas de este nivel que no fueran exigibles conforme a lo previsto en el artículo 4.4 del Reglamento de Medidas de seguridad de los ficheros automatizados de datos de carácter personal, aprobado por Real Decreto 994/1999, de 11 de junio.

b) En el plazo de un año desde su entrada en vigor deberán implantarse las medidas de seguridad de nivel medio y en el de dieciocho meses desde aquella fecha, las de nivel alto exigibles a los siguientes ficheros:

1.º Aquellos que contengan datos derivados de actos de violencia de género.

2.º Aquellos de los que sean responsables los operadores que presten servicios de comunicaciones electrónicas disponibles al público o exploten redes públicas de comunicaciones electrónicas respecto a los datos de tráfico y a los datos de localización.

c) En los demás supuestos, cuando el presente reglamento exija la implantación de una medida adicional, no prevista en el Reglamento de Medidas de seguridad de los ficheros automatizados de datos de carácter personal, aprobado por Real Decreto 994/1999, de 11 de junio , dicha medida deberá implantarse en el plazo de un año desde la entrada en vigor del presente real decreto.

2.ª Respecto de los ficheros no automatizados que existieran en la fecha de entrada en vigor del presente real decreto:

a) Las medidas de seguridad de nivel básico deberán implantarse en el plazo de un año desde su entrada en vigor.

b) Las medidas de seguridad de nivel medio deberán implantarse en el plazo de dieciocho meses desde su entrada en vigor.

c) Las medidas de seguridad de nivel alto deberán implantarse en el plazo de dos años desde su entrada en vigor.

3.ª Los ficheros, tanto automatizados como no automatizados, creados con posterioridad a la fecha de entrada en vigor del presente real decreto deberán tener implantadas, desde el momento de su creación la totalidad de las medidas de seguridad reguladas en el mismo.

Tercera. Régimen transitorio de las solicitudes para el ejercicio de los derechos de las personas.– A las solicitudes para el ejercicio de los derechos de acceso, oposición, rectificación y cancelación que hayan sido efectuadas antes de la entrada en vigor del presente real decreto, no les será de aplicación el mismo, rigiéndose por la normativa anterior.

Cuarta. Régimen transitorio de los procedimientos.– A los procedimientos ya iniciados antes de la entrada en vigor del presente real decreto, no les será de aplicación el mismo, rigiéndose por la normativa anterior.

Quinta. Régimen transitorio de las actuaciones previas.– A las actuaciones previas iniciadas con anterioridad a la entrada en vigor del presente real decreto, no les será de aplicación el mismo, rigiéndose por la normativa anterior.

El presente real decreto se aplicará a las actuaciones previas que se inicien después de su entrada en vigor.

DISPOSICIÓN DEROGATORIA

Única. Derogación normativa.– Quedan derogados el Real Decreto 1332/1994, de 20 de junio, por el que se desarrollan determinados aspectos de la Ley Orgánica 5/1992, de 29 de octubre, de Regulación del tratamiento automatizado de los datos de carácter personal, el Real Decreto 994/1999, de 11 de junio, por el que se aprueba el Reglamento de Medidas de seguridad de los ficheros automatizados que contengan datos de carácter personal y todas las normas de igual o inferior rango que contradigan o se opongan a lo dispuesto en el presente real decreto.

DISPOSICIONES FINALES

Primera. Título competencial.– El título I, con excepción del apartado c) del artículo 4, los títulos II, III, VII y VIII, así como los artículos 52, 53.3, 53.4, 54, 55.1, 55.3, 56, 57, 58 y 63.3 del reglamento se dictan al amparo de lo dispuesto en el artículo 149.1.1.ª de la Constitución, que atribuye al Estado la competencia exclusiva para la regulación de las condiciones básicas que garanticen la igualdad de todos los españoles en el ejercicio de los derechos y en el cumplimiento de los deberes constitucionales.

Segunda. Entrada en vigor.– El presente real decreto entrará en vigor a los tres meses de su íntegra publicación en el «Boletín Oficial del Estado».

REGLAMENTO DE DESARROLLO DE LA LEY ORGÁNICA 15/1999, DE 13 DE DICIEMBRE, DE PROTECCIÓN DE DATOS DE CARÁCTER PERSONAL

TÍTULO I

Disposiciones generales

Artículo 1. Objeto.– 1. El presente reglamento tiene por objeto el desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de datos de carácter personal.

2. Asimismo, el capítulo III del título IX de este reglamento desarrolla las disposiciones relativas al ejercicio por la Agencia Española de Protección de Datos de la potestad sancionadora, en aplicación de lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, en el título VII de la Ley 34/2002, de 11 de julio, de Servicios de la sociedad de la información y de comercio electrónico, y en el título VIII de la Ley 32/2003, de 3 de noviembre, General de Telecomunicaciones.

Art. 2. Ámbito objetivo de aplicación.– 1. El presente reglamento será de aplicación a los datos de carácter personal registrados en soporte físico, que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado.

2. Este reglamento no será aplicable a los tratamientos de datos referidos a personas jurídicas, ni a los ficheros que se limiten a incorporar los datos de las personas físicas que presten sus servicios en aquéllas, consistentes únicamente en su nombre y apellidos, las funciones o puestos desempeñados, así como la dirección postal o electrónica, teléfono y número de fax profesionales.

3. Asimismo, los datos relativos a empresarios individuales, cuando hagan referencia a ellos en su calidad de comerciantes, industriales o navieros, también se entenderán excluidos del régimen de aplicación de la protección de datos de carácter personal.

4. Este reglamento no será de aplicación a los datos referidos a personas fallecidas. No obstante, las personas vinculadas al fallecido, por razones familiares o análogas, podrán dirigirse a los responsables de los ficheros o tratamientos que contengan datos de éste con la finalidad de notificar el óbito, aportando acreditación suficiente del mismo, y solicitar, cuando hubiere lugar a ello, la cancelación de los datos.

Art. 3. Ámbito territorial de aplicación.– 1. Se regirá por el presente reglamento todo tratamiento de datos de carácter personal:

a) Cuando el tratamiento sea efectuado en el marco de las actividades de un establecimiento del responsable del tratamiento, siempre que dicho establecimiento se encuentre ubicado en territorio español.

Cuando no resulte de aplicación lo dispuesto en el párrafo anterior, pero exista un encargado del tratamiento ubicado en España, serán de aplicación al mismo las normas contenidas en el título VIII del presente reglamento.

b) Cuando al responsable del tratamiento no establecido en territorio español, le sea de aplicación la legislación española, según las normas de Derecho internacional público.

c) Cuando el responsable del tratamiento no esté establecido en territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, salvo que tales medios se utilicen únicamente con fines de tránsito.

En este supuesto, el responsable del tratamiento deberá designar un representante establecido en territorio español.

2. A los efectos previstos en los apartados anteriores, se entenderá por establecimiento, con independencia de su forma jurídica, cualquier instalación estable que permita el ejercicio efectivo y real de una actividad.

Art. 4. Ficheros o tratamientos excluidos.– El régimen de protección de los datos de carácter personal que se establece en el presente reglamento no será de aplicación a los siguientes ficheros y tratamientos:

a) A los realizados o mantenidos por personas físicas en el ejercicio de actividades exclusivamente personales o domésticas.

Sólo se considerarán relacionados con actividades personales o domésticas los tratamientos relativos a las actividades que se inscriben en el marco de la vida privada o familiar de los particulares.

b) A los sometidos a la normativa sobre protección de materias clasificadas.

c) A los establecidos para la investigación del terrorismo y de formas graves de delincuencia organizada. No obstante el responsable del fichero comunicará previamente la existencia del mismo, sus características generales y su finalidad a la Agencia Española de Protección de Datos.

Art. 5. Definiciones.– 1. A los efectos previstos en este reglamento, se entenderá por:

a) Afectado o interesado: persona física titular de los datos que sean objeto del tratamiento.

b) Cancelación: procedimiento en virtud del cual el responsable cesa en el uso de los datos. La cancelación implicará el bloqueo de los datos, consistente en la identificación y reserva de los mismos con el fin de impedir su tratamiento excepto para su puesta a disposición de las Administraciones públicas, Jueces y Tribunales, para la atención de las posibles responsabilidades nacidas del tratamiento y sólo durante el plazo de prescripción de dichas responsabilidades. Transcurrido ese plazo deberá procederse a la supresión de los datos.

c) Cesión o comunicación de datos: tratamiento de datos que supone su revelación a una persona distinta del interesado.

d) Consentimiento del interesado: toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen.

e) Dato disociado: aquél que no permite la identificación de un afectado o interesado.

f) Datos de carácter personal: cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo concerniente a personas físicas identificadas o identificables.

g) Datos de carácter personal relacionados con la salud: las informaciones concernientes a la salud pasada, presente y futura, física o mental, de un individuo. En particular, se consideran datos relacionados con la salud de las personas los referidos a su porcentaje de discapacidad y a su información genética.

h) Destinatario o cesionario: la persona física o jurídica, pública o privada u órgano administrativo, al que se revelen los datos.

Podrán ser también destinatarios los entes sin personalidad jurídica que actúen en el tráfico como sujetos diferenciados.

i) Encargado del tratamiento: la persona física o jurídica, pública o privada, u órgano administrativo que, solo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento o del responsable del fichero, como consecuencia de la existencia de una relación jurídica que le vincula con el mismo y delimita el ámbito de su actuación para la prestación de un servicio.

Podrán ser también encargados del tratamiento los entes sin personalidad jurídica que actúen en el tráfico como sujetos diferenciados.

j) Exportador de datos personales: la persona física o jurídica, pública o privada, u órgano administrativo situado en territorio español que realice, conforme a lo dispuesto en el presente Reglamento, una transferencia de datos de carácter personal a un país tercero.

k) Fichero: todo conjunto organizado de datos de carácter personal, que permita el acceso a los datos con arreglo a criterios determinados, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso.

l) Ficheros de titularidad privada: los ficheros de los que sean responsables las personas, empresas o entidades de derecho privado, con independencia de quien ostente la titularidad de su capital o de la procedencia de sus recursos económicos, así como los ficheros de los que sean responsables las corporaciones de derecho público, en cuanto dichos ficheros no se encuentren estrictamente vinculados al ejercicio de potestades de derecho público que a las mismas atribuye su normativa específica.

m) Ficheros de titularidad pública: los ficheros de los que sean responsables los órganos constitucionales o con relevancia constitucional del Estado o las instituciones autonómicas con funciones análogas a los mismos, las Administraciones públicas territoriales, así como las entidades u organismos vinculados o dependientes de las mismas y las Corporaciones de derecho público siempre que su finalidad sea el ejercicio de potestades de derecho público.

n) Fichero no automatizado: todo conjunto de datos de carácter personal organizado de forma no automatizada y estructurado conforme a criterios específicos relativos a personas físicas, que permitan acceder sin esfuerzos desproporcionados a sus datos personales, ya sea aquél centralizado, descentralizado o repartido de forma funcional o geográfica.

ñ) Importador de datos personales: la persona física o jurídica, pública o privada, u órgano administrativo receptor de los datos en caso de transferencia internacional de los mismos a un tercer país, ya sea responsable del tratamiento, encargada del tratamiento o tercero.

o) Persona identificable: toda persona cuya identidad pueda determinarse, directa o indirectamente, mediante cualquier información referida a su identidad física, fisiológica, psíquica, económica, cultural o social. Una persona física no se considerará identificable si dicha identificación requiere plazos o actividades desproporcionados.

p) Procedimiento de disociación: todo tratamiento de datos personales que permita la obtención de datos disociados.

q) Responsable del fichero o del tratamiento: persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que sólo o conjuntamente con otros decida sobre la finalidad, contenido y uso del tratamiento, aunque no lo realizase materialmente.

Podrán ser también responsables del fichero o del tratamiento los entes sin personalidad jurídica que actúen en el tráfico como sujetos diferenciados.

r) Tercero: la persona física o jurídica, pública o privada u órgano administrativo distinta del afectado o interesado, del responsable del tratamiento, del responsable del fichero, del encargado del tratamiento y de las personas autorizadas para tratar los datos bajo la autoridad directa del responsable del tratamiento o del encargado del tratamiento.

Podrán ser también terceros los entes sin personalidad jurídica que actúen en el tráfico como sujetos diferenciados.

s) Transferencia internacional de datos: tratamiento de datos que supone una transmisión de los mismos fuera del territorio del Espacio Económico Europeo, bien constituya una cesión o comunicación de datos, bien tenga por objeto la realización de un tratamiento de datos por cuenta del responsable del fichero establecido en territorio español.

t) Tratamiento de datos: cualquier operación o procedimiento técnico, sea o no automatizado, que permita la recogida, grabación, conservación, elaboración, modificación, consulta, utilización, modificación, cancelación, bloqueo o supresión, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.

2. En particular, en relación con lo dispuesto en el título VIII de este reglamento se entenderá por:

a) Accesos autorizados: autorizaciones concedidas a un usuario para la utilización de los diversos recursos. En su caso, incluirán las autorizaciones o funciones que tenga atribuidas un usuario por delegación del responsable del fichero o tratamiento o del responsable de seguridad.

b) Autenticación: procedimiento de comprobación de la identidad de un usuario.

c) Contraseña: información confidencial, frecuentemente constituida por una cadena de caracteres, que puede ser usada en la autenticación de un usuario o en el acceso a un recurso.

d) Control de acceso: mecanismo que en función de la identificación ya autenticada permite acceder a datos o recursos.

e) Copia de respaldo: copia de los datos de un fichero automatizado en un soporte que posibilite su recuperación.

f) Documento: todo escrito, gráfico, sonido, imagen o cualquier otra clase de información que puede ser tratada en un sistema de información como una unidad diferenciada.

g) Ficheros temporales: ficheros de trabajo creados por usuarios o procesos que son necesarios para un tratamiento ocasional o como paso intermedio durante la realización de un tratamiento.

h) Identificación: procedimiento de reconocimiento de la identidad de un usuario.

i) Incidencia: cualquier anomalía que afecte o pudiera afectar a la seguridad de los datos.

j) Perfil de usuario: accesos autorizados a un grupo de usuarios.

k) Recurso: cualquier parte componente de un sistema de información.

l) Responsable de seguridad: persona o personas a las que el responsable del fichero ha asignado formalmente la función de coordinar y controlar las medidas de seguridad aplicables.

m) Sistema de información: conjunto de ficheros, tratamientos, programas, soportes y en su caso, equipos empleados para el tratamiento de datos de carácter personal.

n) Sistema de tratamiento: modo en que se organiza o utiliza un sistema de información. Atendiendo al sistema de tratamiento, los sistemas de información podrán ser automatizados, no automatizados o parcialmente automatizados.

ñ) Soporte: objeto físico que almacena o contiene datos o documentos, u objeto susceptible de ser tratado en un sistema de información y sobre el cual se pueden grabar y recuperar datos.

o) Transmisión de documentos: cualquier traslado, comunicación, envío, entrega o divulgación de la información contenida en el mismo.

p) Usuario: sujeto o proceso autorizado para acceder a datos o recursos. Tendrán la consideración de usuarios los procesos que permitan acceder a datos o recursos sin identificación de un usuario físico.

Art. 6. Cómputo de plazos.– En los supuestos en que este reglamento señale un plazo por días se computarán únicamente los hábiles. Cuando el plazo sea por meses, se computarán de fecha a fecha.

Art. 7. Fuentes accesibles al público.– 1. A efectos del artículo 3, párrafo j), de la Ley Orgánica 15/1999, se entenderá que sólo tendrán el carácter de fuentes accesibles al público:

a) El censo promocional, regulado conforme a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre [1].

b) Las guías de servicios de comunicaciones electrónicas, en los términos previstos por su normativa específica.

c) Las listas de personas pertenecientes a grupos de profesionales que contengan únicamente los datos de nombre, título, profesión, actividad, grado académico, dirección profesional e indicación de su pertenencia al grupo. La dirección profesional podrá incluir los datos del domicilio postal completo, número telefónico, número de fax y dirección electrónica. En el caso de Colegios profesionales, podrán indicarse como datos de pertenencia al grupo los de número de colegiado, fecha de incorporación y situación de ejercicio profesional.

d) Los diarios y boletines oficiales.

e) Los medios de comunicación social.

2. En todo caso, para que los supuestos enumerados en el apartado anterior puedan ser considerados fuentes accesibles al público, será preciso que su consulta pueda ser realizada por cualquier persona, no impedida por una norma limitativa, o sin más exigencia que, en su caso, el abono de una contraprestación.

TÍTULO II

Principios de protección de datos

CAPÍTULO I

Calidad de los datos

Art. 8. Principios relativos a la calidad de los datos.– 1. Los datos de carácter personal deberán ser tratados de forma leal y lícita. Se prohíbe la recogida de datos por medios fraudulentos, desleales o ilícitos.

2. Los datos de carácter personal sólo podrán ser recogidos para el cumplimiento de finalidades determinadas, explícitas y legítimas del responsable del tratamiento.

3. Los datos de carácter personal objeto de tratamiento no podrán usarse para finalidades incompatibles con aquellas para las que los datos hubieran sido recogidos [2].

4. Sólo podrán ser objeto de tratamiento los datos que sean adecuados, pertinentes y no excesivos en relación con las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido.

5. Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado. Si los datos fueran recogidos directamente del afectado, se considerarán exactos los facilitados por éste.

Si los datos de carácter personal sometidos a tratamiento resultaran ser inexactos, en todo o en parte, o incompletos, serán cancelados y sustituidos de oficio por los correspondientes datos rectificados o completados en el plazo de diez días desde que se tuviese conocimiento de la inexactitud, salvo que la legislación aplicable al fichero establezca un procedimiento o un plazo específico para ello.

Cuando los datos hubieran sido comunicados previamente, el responsable del fichero o tratamiento deberá notificar al cesionario, en el plazo de diez días, la rectificación o cancelación efectuada, siempre que el cesionario sea conocido.

En el plazo de diez días desde la recepción de la notificación, el cesionario que mantuviera el tratamiento de los datos, deberá proceder a la rectificación y cancelación notificada.

Esta actualización de los datos de carácter personal no requerirá comunicación alguna al interesado, sin perjuicio del ejercicio de los derechos por parte de los interesados reconocidos en la Ley Orgánica 15/1999, de 13 de diciembre.

Lo dispuesto en este apartado se entiende sin perjuicio de las facultades que a los afectados reconoce el título III de este reglamento.

6. Los datos de carácter personal serán cancelados cuando hayan dejado de ser necesarios o pertinentes para la finalidad para la cual hubieran sido recabados o registrados [3].

No obstante, podrán conservarse durante el tiempo en que pueda exigirse algún tipo de responsabilidad derivada de una relación u obligación jurídica o de la ejecución de un contrato o de la aplicación de medidas precontractuales solicitadas por el interesado.

Una vez cumplido el período al que se refieren los párrafos anteriores, los datos sólo podrán ser conservados previa disociación de los mismos, sin perjuicio de la obligación de bloqueo prevista en la Ley Orgánica 15/1999, de 13 de diciembre [4]. y en el presente reglamento.

7. Los datos de carácter personal serán tratados de forma que permitan el ejercicio del derecho de acceso, en tanto no proceda su cancelación.

Art. 9. Tratamiento con fines estadísticos, históricos o científicos.– 1. No se considerará incompatible, a los efectos previstos en el apartado 3 del Art. anterior, el tratamiento de los datos de carácter personal con fines históricos, estadísticos o científicos.

Para la determinación de los fines a los que se refiere el párrafo anterior se estará a la legislación que en cada caso resulte aplicable y, en particular, a lo dispuesto en la Ley 12/1989, de 9 de mayo, Reguladora de la función estadística pública, la Ley 16/1985, de 25 junio, del Patrimonio histórico español y la Ley 13/1986, de 14 de abril de Fomento y coordinación general de la investigación científica y técnica, y sus respectivas disposiciones de desarrollo, así como a la normativa autonómica en estas materias.

2. Por vía de excepción a lo dispuesto en el apartado 6 del artículo anterior, la Agencia Española de Protección de Datos o, en su caso, las autoridades de control de las comunidades autónomas podrán, previa solicitud del responsable del tratamiento y conforme al procedimiento establecido en la sección segunda del capítulo VII del título IX del presente reglamento, acordar el mantenimiento íntegro de determinados datos, atendidos sus valores históricos, estadísticos o científicos de acuerdo con las normas a las que se refiere el apartado anterior [5].

Art. 10. Supuestos que legitiman el tratamiento o cesión de los datos.– 1. Los datos de carácter personal únicamente podrán ser objeto de tratamiento o cesión si el interesado hubiera prestado previamente su consentimiento para ello.

2. No obstante, será posible el tratamiento o la cesión de los datos de carácter personal sin necesidad del consentimiento del interesado cuando:

a) Lo autorice una norma con rango de ley o una norma de derecho comunitario y, en particular, cuando concurra uno de los supuestos siguientes:

El tratamiento o la cesión tengan por objeto la satisfacción de un interés legítimo del responsable del tratamiento o del cesionario amparado por dichas normas, siempre que no prevalezca el interés o los derechos y libertades fundamentales de los interesados previstos en el artículo 1 de la Ley Orgánica 15/1999, de 13 de diciembre.

El tratamiento o la cesión de los datos sean necesarios para que el responsable del tratamiento cumpla un deber que le imponga una de dichas normas.

b) Los datos objeto de tratamiento o de cesión figuren en fuentes accesibles al público y el responsable del fichero, o el tercero a quien se comuniquen los datos, tenga un interés legítimo para su tratamiento o conocimiento, siempre que no se vulneren los derechos y libertades fundamentales del interesado.

No obstante, las Administraciones públicas sólo podrán comunicar al amparo de este apartado los datos recogidos de fuentes accesibles al público a responsables de ficheros de titularidad privada cuando se encuentren autorizadas para ello por una norma con rango de ley.

3. Los datos de carácter personal podrán tratarse sin necesidad del consentimiento del interesado cuando:

a) Se recojan para el ejercicio de las funciones propias de las Administraciones públicas en el ámbito de las competencias que les atribuya una norma con rango de ley o una norma de derecho comunitario.

b) Se recaben por el responsable del tratamiento con ocasión de la celebración de un contrato o precontrato o de la existencia de una relación negocial, laboral o administrativa de la que sea parte el afectado y sean necesarios para su mantenimiento o cumplimiento.

c) El tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del apartado 6 del artículo 7 de la Ley Orgánica 15/1999, de 13 de diciembre.

4. Será posible la cesión de los datos de carácter personal sin contar con el consentimiento del interesado cuando:

a) La cesión responda a la libre y legítima aceptación de una relación jurídica cuyo desarrollo, cumplimiento y control comporte la comunicación de los datos. En este caso la comunicación sólo será legítima en cuanto se limite a la finalidad que la justifique.

b) La comunicación que deba efectuarse tenga por destinatario al Defensor del Pueblo, el Ministerio Fiscal o los Jueces o Tribunales o el Tribunal de Cuentas o a las instituciones autonómicas con funciones análogas al Defensor del Pueblo o al Tribunal de Cuentas y se realice en el ámbito de las funciones que la ley les atribuya expresamente.

c) La cesión entre Administraciones públicas cuando concurra uno de los siguientes supuestos:

Tenga por objeto el tratamiento de los datos con fines históricos, estadísticos o científicos.

Los datos de carácter personal hayan sido recogidos o elaborados por una Administración pública con destino a otra.

La comunicación se realice para el ejercicio de competencias idénticas o que versen sobre las mismas materias.

5. Los datos especialmente protegidos podrán tratarse y cederse en los términos previstos en los artículos 7 y 8 de la Ley Orgánica 15/1999, de 13 de diciembre.

En particular, no será necesario el consentimiento del interesado para la comunicación de datos personales sobre la salud, incluso a través de medios electrónicos, entre organismos, centros y servicios del Sistema Nacional de Salud cuando se realice para la atención sanitaria de las personas, conforme a lo dispuesto en el Capítulo V de la Ley 16/2003, de 28 de mayo, de cohesión y calidad del Sistema Nacional de Salud.

Art. 11. Verificación de datos en solicitudes formuladas a las Administraciones públicas.–Cuando se formulen solicitudes por medios electrónicos en las que el interesado declare datos personales que obren en poder de las Administraciones públicas, el órgano destinatario de la solicitud podrá efectuar en el ejercicio de sus competencias las verificaciones necesarias para comprobar la autenticidad de los datos [6]. .

CAPÍTULO II

Consentimiento para el tratamiento de los datos y deber de información

Sección 1.ª Obtención del consentimiento del afectado

Art. 12. Principios generales.– 1. El responsable del tratamiento deberá obtener el consentimiento del interesado para el tratamiento de sus datos de carácter personal salvo en aquellos supuestos en que el mismo no sea exigible con arreglo a lo dispuesto en las leyes.

La solicitud del consentimiento deberá ir referida a un tratamiento o serie de tratamientos concretos, con delimitación de la finalidad para los que se recaba, así como de las restantes condiciones que concurran en el tratamiento o serie de tratamientos.

2. Cuando se solicite el consentimiento del afectado para la cesión de sus datos, éste deberá ser informado de forma que conozca inequívocamente la finalidad a la que se destinarán los datos respecto de cuya comunicación se solicita el consentimiento y el tipo de actividad desarrollada por el cesionario. En caso contrario, el consentimiento será nulo.

3. Corresponderá al responsable del tratamiento la prueba de la existencia del consentimiento del afectado por cualquier medio de prueba admisible en derecho.

Art. 13. Consentimiento para el tratamiento de datos de menores de edad.– 1. Podrá procederse al tratamiento de los datos de los mayores de catorce años con su consentimiento, salvo en aquellos casos en los que la Ley exija para su prestación la asistencia de los titulares de la patria potestad o tutela. En el caso de los menores de catorce años se requerirá el consentimiento de los padres o tutores.

2. En ningún caso podrán recabarse del menor datos que permitan obtener información sobre los demás miembros del grupo familiar, o sobre las características del mismo, como los datos relativos a la actividad profesional de los progenitores, información económica, datos sociológicos o cualesquiera otros, sin el consentimiento de los titulares de tales datos. No obstante, podrán recabarse los datos de identidad y dirección del padre, madre o tutor con la única finalidad de recabar la autorización prevista en el apartado anterior.

3. Cuando el tratamiento se refiera a datos de menores de edad, la información dirigida a los mismos deberá expresarse en un lenguaje que sea fácilmente comprensible por aquéllos, con expresa indicación de lo dispuesto en este artículo.

4. Corresponderá al responsable del fichero o tratamiento articular los procedimientos que garanticen que se ha comprobado de modo efectivo la edad del menor y la autenticidad del consentimiento prestado en su caso, por los padres, tutores o representantes legales.

Art. 14. Forma de recabar el consentimiento.– 1. El responsable del tratamiento podrá solicitar el consentimiento del interesado a través del procedimiento establecido en este artículo, salvo cuando la Ley exija al mismo la obtención del consentimiento expreso para el tratamiento de los datos.

2. El responsable podrá dirigirse al afectado, informándole en los términos previstos en los artículos 5 de la Ley Orgánica 15/1999, de 13 de diciembre y 12.2 de este reglamento y deberá concederle un plazo de treinta días para manifestar su negativa al tratamiento, advirtiéndole de que en caso de no pronunciarse a tal efecto se entenderá que consiente el tratamiento de sus datos de carácter personal.

En particular, cuando se trate de responsables que presten al afectado un servicio que genere información periódica o reiterada, o facturación periódica, la comunicación podrá llevarse a cabo de forma conjunta a esta información o a la facturación del servicio prestado, siempre que se realice de forma claramente visible.

3. En todo caso, será necesario que el responsable del tratamiento pueda conocer si la comunicación ha sido objeto de devolución por cualquier causa, en cuyo caso no podrá proceder al tratamiento de los datos referidos a ese interesado.

4. Deberá facilitarse al interesado un medio sencillo y gratuito para manifestar su negativa al tratamiento de los datos. En particular, se considerará ajustado al presente reglamento los procedimientos en el que tal negativa pueda efectuarse, entre otros, mediante un envío prefranqueado al responsable del tratamiento, la llamada a un número telefónico gratuito o a los servicios de atención al público que el mismo hubiera establecido.

5. Cuando se solicite el consentimiento del interesado a través del procedimiento establecido en este artículo, no será posible solicitarlo nuevamente respecto de los mismos tratamientos y para las mismas finalidades en el plazo de un año a contar de la fecha de la anterior solicitud.

Art. 15. Solicitud del consentimiento en el marco de una relación contractual para fines no relacionados directamente con la misma.– Si el responsable del tratamiento solicitase el consentimiento del afectado durante el proceso de formación de un contrato para finalidades que no guarden relación directa con el mantenimiento, desarrollo o control de la relación contractual, deberá permitir al afectado que manifieste expresamente su negativa al tratamiento o comunicación de datos.

En particular, se entenderá cumplido tal deber cuando se permita al afectado la marcación de una casilla claramente visible y que no se encuentre ya marcada en el documento que se le entregue para la celebración del contrato o se establezca un procedimiento equivalente que le permita manifestar su negativa al tratamiento.

Art. 16. Tratamiento de datos de facturación y tráfico en servicios de comunicaciones electrónicas.– La solicitud del consentimiento para el tratamiento o cesión de los datos de tráfico, facturación y localización por parte de los sujetos obligados, o en su caso la revocación de aquél, según la legislación reguladora de las telecomunicaciones se someterá a lo establecido en su normativa específica y, en lo que no resulte contrario a la misma, a lo establecido en la presente sección [7].

Art. 17. Revocación del consentimiento.– 1. El afectado podrá revocar su consentimiento a través de un medio sencillo, gratuito y que no implique ingreso alguno para el responsable del fichero o tratamiento. En particular, se considerará ajustado al presente reglamento el procedimiento en el que tal negativa pueda efectuarse, entre otros, mediante un envío prefranqueado al responsable del tratamiento o la llamada a un número telefónico gratuito o a los servicios de atención al público que el mismo hubiera establecido.

No se considerarán conformes a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, los supuestos en que el responsable establezca como medio para que el interesado pueda manifestar su negativa al tratamiento el envío de cartas certificadas o envíos semejantes, la utilización de servicios de telecomunicaciones que implique una tarificación adicional al afectado o cualesquiera otros medios que impliquen un coste adicional al interesado.

2. El responsable cesará en el tratamiento de los datos en el plazo máximo de diez días a contar desde el de la recepción de la revocación del consentimiento, sin perjuicio de su obligación de bloquear los datos conforme a lo dispuesto en el artículo 16.3 de la Ley Orgánica 15/1999, de 13 de diciembre.

3. Cuando el interesado hubiera solicitado del responsable del tratamiento la confirmación del cese en el tratamiento de sus datos, éste deberá responder expresamente a la solicitud.

4. Si los datos hubieran sido cedidos previamente, el responsable del tratamiento, una vez revocado el consentimiento, deberá comunicarlo a los cesionarios, en el plazo previsto en el apartado 2, para que éstos, cesen en el tratamiento de los datos en caso de que aún lo mantuvieran, conforme al artículo 16.4 de la Ley Orgánica 15/1999, de 13 de diciembre.

Sección 2.ª Deber de información al interesado

Art. 18. Acreditación del cumplimiento del deber de información.– 1. El deber de información al que se refiere el artículo 5 de la Ley Orgánica 15/1999, de 13 de diciembre, deberá llevarse a cabo a través de un medio que permita acreditar su cumplimiento, debiendo conservarse mientras persista el tratamiento de los datos del afectado.

2. El responsable del fichero o tratamiento deberá conservar el soporte en el que conste el cumplimiento del deber de informar. Para el almacenamiento de los soportes, el responsable del fichero o tratamiento podrá utilizar medios informáticos o telemáticos. En particular podrá proceder al escaneado de la documentación en soporte papel, siempre y cuando se garantice que en dicha automatización no ha mediado alteración alguna de los soportes originales [8].

Art. 19. Supuestos especiales.– En los supuestos en que se produzca una modificación del responsable del fichero como consecuencia de una operación de fusión, escisión, cesión global de activos y pasivos, aportación o transmisión de negocio o rama de actividad empresarial, o cualquier operación de reestructuración societaria de análoga naturaleza, contemplada por la normativa mercantil, no se producirá cesión de datos, sin perjuicio del cumplimiento por el responsable de lo dispuesto en el artículo 5 de la Ley Orgánica 15/1999, de 13 de diciembre.

CAPÍTULO III

Encargado del tratamiento

Art. 20. Relaciones entre el responsable y el encargado del tratamiento.– 1. El acceso a los datos por parte de un encargado del tratamiento que resulte necesario para la prestación de un servicio al responsable no se considerará comunicación de datos, siempre y cuando se cumpla lo establecido en la Ley Orgánica 15/1999, de 13 de diciembre y en el presente capítulo.

El servicio prestado por el encargado del tratamiento podrá tener o no carácter remunerado y ser temporal o indefinido.

No obstante, se considerará que existe comunicación de datos cuando el acceso tenga por objeto el establecimiento de un nuevo vínculo entre quien accede a los datos y el afectado.

2. Cuando el responsable del tratamiento contrate la prestación de un servicio que comporte un tratamiento de datos personales sometido a lo dispuesto en este capítulo deberá velar por que el encargado del tratamiento reúna las garantías para el cumplimiento de lo dispuesto en este Reglamento.

3. En el caso de que el encargado del tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato al que se refiere el apartado 2 del artículo 12 de la Ley Orgánica 15/1999, de 13 de diciembre, será considerado, también, responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente.

No obstante, el encargado del tratamiento no incurrirá en responsabilidad cuando, previa indicación expresa del responsable, comunique los datos a un tercero designado por aquél, al que hubiera encomendado la prestación de un servicio conforme a lo previsto en el presente capítulo [9].

Art. 21. Posibilidad de subcontratación de los servicios.– 1. El encargado del tratamiento no podrá subcontratar con un tercero la realización de ningún tratamiento que le hubiera encomendado el responsable del tratamiento, salvo que hubiera obtenido de éste autorización para ello. En este caso, la contratación se efectuará siempre en nombre y por cuenta del responsable del tratamiento.

2. No obstante lo dispuesto en el apartado anterior, será posible la subcontratación sin necesidad de autorización siempre y cuando se cumplan los siguientes requisitos:

a) Que se especifiquen en el contrato los servicios que puedan ser objeto de subcontratación y, si ello fuera posible, la empresa con la que se vaya a subcontratar.

Cuando no se identificase en el contrato la empresa con la que se vaya a subcontratar, será preciso que el encargado del tratamiento comunique al responsable los datos que la identifiquen antes de proceder a la subcontratación.

b) Que el tratamiento de datos de carácter personal por parte del subcontratista se ajuste a las instrucciones del responsable del fichero.

c) Que el encargado del tratamiento y la empresa subcontratista formalicen el contrato, en los términos previstos en el artículo anterior.

En este caso, el subcontratista será considerado encargado del tratamiento, siéndole de aplicación lo previsto en el artículo 20.3 de este reglamento.

3. Si durante la prestación del servicio resultase necesario subcontratar una parte del mismo y dicha circunstancia no hubiera sido prevista en el contrato, deberán someterse al responsable del tratamiento los extremos señalados en el apartado anterior.

Art. 22. Conservación de los datos por el encargado del tratamiento.– 1. Una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento o al encargado que éste hubiese designado, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto del tratamiento.

No procederá la destrucción de los datos cuando exista una previsión legal que exija su conservación, en cuyo caso deberá procederse a la devolución de los mismos garantizando el responsable del fichero dicha conservación.

2. El encargado del tratamiento conservará, debidamente bloqueados, los datos en tanto pudieran derivarse responsabilidades de su relación con el responsable del tratamiento.

TÍTULO III

Derechos de acceso, rectificación, cancelación y oposición

CAPÍTULO I

Disposiciones generales

Art. 23. Carácter personalísimo.– 1. Los derechos de acceso, rectificación, cancelación y oposición son personalísimos y serán ejercidos por el afectado.

2. Tales derechos se ejercitarán:

a) Por el afectado, acreditando su identidad, del modo previsto en el artículo siguiente.

b) Cuando el afectado se encuentre en situación de incapacidad o minoría de edad que le imposibilite el ejercicio personal de estos derechos, podrán ejercitarse por su representante legal, en cuyo caso será necesario que acredite tal condición.

c) Los derechos también podrán ejercitarse a través de representante voluntario, expresamente designado para el ejercicio del derecho. En ese caso, deberá constar claramente acreditada la identidad del representado, mediante la aportación de copia de su Documento Nacional de Identidad o documento equivalente, y la representación conferida por aquél.

Cuando el responsable del fichero sea un órgano de las Administraciones públicas o de la Administración de Justicia, podrá acreditarse la representación por cualquier medio válido en derecho que deje constancia fidedigna, o mediante declaración en comparecencia personal del interesado.

3. Los derechos serán denegados cuando la solicitud sea formulada por persona distinta del afectado y no se acreditase que la misma actúa en representación de aquél.

Art. 24. Condiciones generales para el ejercicio de los derechos de acceso, rectificación, cancelación y oposición.– 1. Los derechos de acceso, rectificación, cancelación y oposición son derechos independientes, de tal forma que no puede entenderse que el ejercicio de ninguno de ellos sea requisito previo para el ejercicio de otro.

2. Deberá concederse al interesado un medio sencillo y gratuito para el ejercicio de los derechos de acceso, rectificación, cancelación y oposición.

3. El ejercicio por el afectado de sus derechos de acceso, rectificación, cancelación y oposición será gratuito y en ningún caso podrá suponer un ingreso adicional para el responsable del tratamiento ante el que se ejercitan.

No se considerarán conformes a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, y en el presente Reglamento los supuestos en que el responsable del tratamiento establezca como medio para que el interesado pueda ejercitar sus derechos el envío de cartas certificadas o semejantes, la utilización de servicios de telecomunicaciones que implique una tarificación adicional al afectado o cualesquiera otros medios que impliquen un coste excesivo para el interesado.

4. Cuando el responsable del fichero o tratamiento disponga de servicios de cualquier índole para la atención a su público o el ejercicio de reclamaciones relacionadas con el servicio prestado o los productos ofertados al mismo, podrá concederse la posibilidad al afectado de ejercer sus derechos de acceso, rectificación, cancelación y oposición a través de dichos servicios. En tal caso, la identidad del interesado se considerará acreditada por los medios establecidos para la identificación de los clientes del responsable en la prestación de sus servicios o contratación de sus productos.

5. El responsable del fichero o tratamiento deberá atender la solicitud de acceso, rectificación, cancelación u oposición ejercida por el afectado aún cuando el mismo no hubiese utilizado el procedimiento establecido específicamente al efecto por aquél, siempre que el interesado haya utilizado un medio que permita acreditar el envío y la recepción de la solicitud, y que ésta contenga los elementos referidos en el párrafo 1 del artículo siguiente.

Art. 25. Procedimiento.– 1. Salvo en el supuesto referido en el párrafo 4 del artículo anterior, el ejercicio de los derechos deberá llevarse a cabo mediante comunicación dirigida al responsable del fichero, que contendrá:

a) Nombre y apellidos del interesado; fotocopia de su documento nacional de identidad, o de su pasaporte u otro documento válido que lo identifique y, en su caso, de la persona que lo represente, o instrumentos electrónicos equivalentes; así como el documento o instrumento electrónico acreditativo de tal representación. La utilización de firma electrónica identificativa del afectado eximirá de la presentación de las fotocopias del DNI o documento equivalente.

El párrafo anterior se entenderá sin perjuicio de la normativa específica aplicable a la comprobación de datos de identidad por las Administraciones Públicas en los procedimientos administrativos.

b) Petición en que se concreta la solicitud.

c) Dirección a efectos de notificaciones, fecha y firma del solicitante.

d) Documentos acreditativos de la petición que formula, en su caso.

2. El responsable del tratamiento deberá contestar la solicitud que se le dirija en todo caso, con independencia de que figuren o no datos personales del afectado en sus ficheros.

3. En el caso de que la solicitud no reúna los requisitos especificados en el apartado primero, el responsable del fichero deberá solicitar la subsanación de los mismos.

4. La respuesta deberá ser conforme con los requisitos previstos para cada caso en el presente título.

5. Corresponderá al responsable del tratamiento la prueba del cumplimiento del deber de respuesta al que se refiere el apartado 2, debiendo conservar la acreditación del cumplimiento del mencionado deber.

6. El responsable del fichero deberá adoptar las medidas oportunas para garantizar que las personas de su organización que tienen acceso a datos de carácter personal puedan informar del procedimiento a seguir por el afectado para el ejercicio de sus derechos.

7. El ejercicio de los derechos de acceso, rectificación, cancelación y oposición podrá modularse por razones de seguridad pública en los casos y con el alcance previsto en las Leyes.

8. Cuando las leyes aplicables a determinados ficheros concretos establezcan un procedimiento especial para la rectificación o cancelación de los datos contenidos en los mismos, se estará a lo dispuesto en aquéllas.

Art. 26. Ejercicio de los derechos ante un encargado del tratamiento.– Cuando los afectados ejercitasen sus derechos ante un encargado del tratamiento y solicitasen el ejercicio de su derecho ante el mismo, el encargado deberá dar traslado de la solicitud al responsable, a fin de que por el mismo se resuelva, a menos que en la relación existente con el responsable del tratamiento se prevea precisamente que el encargado atenderá, por cuenta del responsable, las solicitudes de ejercicio por los afectados de sus derechos de acceso, rectificación, cancelación u oposición.

CAPÍTULO II

Derecho de acceso

Art. 27. Derecho de acceso.– 1. El derecho de acceso es el derecho del afectado a obtener información sobre si sus propios datos de carácter personal están siendo objeto de tratamiento, la finalidad del tratamiento que, en su caso, se esté realizando, así como la información disponible sobre el origen de dichos datos y las comunicaciones realizadas o previstas de los mismos.

2. En virtud del derecho de acceso el afectado podrá obtener del responsable del tratamiento información relativa a datos concretos, a datos incluidos en un determinado fichero, o a la totalidad de sus datos sometidos a tratamiento.

No obstante, cuando razones de especial complejidad lo justifiquen, el responsable del fichero podrá solicitar del afectado la especificación de los ficheros respecto de los cuales quiera ejercitar el derecho de acceso, a cuyo efecto deberá facilitarle una relación de todos ellos.

3. El derecho de acceso es independiente del que otorgan a los afectados las leyes especiales y en particular la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común [10].

Art. 28. Ejercicio del derecho de acceso.– 1. Al ejercitar el derecho de acceso, el afectado podrá optar por recibir la información a través de uno o varios de los siguientes sistemas de consulta del fichero:

a) Visualización en pantalla.

b) Escrito, copia o fotocopia remitida por correo, certificado o no.

c) Telecopia.

d) Correo electrónico u otros sistemas de comunicaciones electrónicas.

e) Cualquier otro sistema que sea adecuado a la configuración o implantación material del fichero o a la naturaleza del tratamiento, ofrecido por el responsable.

2. Los sistemas de consulta del fichero previstos en el apartado anterior podrán restringirse en función de la configuración o implantación material del fichero o de la naturaleza del tratamiento, siempre que el que se ofrezca al afectado sea gratuito y asegure la comunicación escrita si éste así lo exige.

3. El responsable del fichero deberá cumplir al facilitar el acceso lo establecido en el Título VIII de este Reglamento.

Si tal responsable ofreciera un determinado sistema para hacer efectivo el derecho de acceso y el afectado lo rechazase, aquél no responderá por los posibles riesgos que para la seguridad de la información pudieran derivarse de la elección.

Del mismo modo, si el responsable ofreciera un procedimiento para hacer efectivo el derecho de acceso y el afectado exigiese que el mismo se materializase a través de un procedimiento que implique un coste desproporcionado, surtiendo el mismo efecto y garantizando la misma seguridad el procedimiento ofrecido por el responsable, serán de cuenta del afectado los gastos derivados de su elección.

Art. 29. Otorgamiento del acceso.– 1. El responsable del fichero resolverá sobre la solicitud de acceso en el plazo máximo de un mes a contar desde la recepción de la solicitud. Transcurrido el plazo sin que de forma expresa se responda a la petición de acceso, el interesado podrá interponer la reclamación prevista en el artículo 18 de la Ley Orgánica 15/1999, de 13 de diciembre.

En el caso de que no disponga de datos de carácter personal de los afectados deberá igualmente comunicárselo en el mismo plazo.

2. Si la solicitud fuera estimada y el responsable no acompañase a su comunicación la información a la que se refiere el artículo 27.1, el acceso se hará efectivo durante los diez días siguientes a dicha comunicación.

3. La información que se proporcione, cualquiera que sea el soporte en que fuere facilitada, se dará en forma legible e inteligible, sin utilizar claves o códigos que requieran el uso de dispositivos mecánicos específicos.

Dicha información comprenderá todos los datos de base del afectado, los resultantes de cualquier elaboración o proceso informático, así como la información disponible sobre el origen de los datos, los cesionarios de los mismos y la especificación de los concretos usos y finalidades para los que se almacenaron los datos.

Art. 30. Denegación del acceso.– 1. El responsable del fichero o tratamiento podrá denegar el acceso a los datos de carácter personal cuando el derecho ya se haya ejercitado en los doce meses anteriores a la solicitud, salvo que se acredite un interés legítimo al efecto.

2. Podrá también denegarse el acceso en los supuestos en que así lo prevea una Ley o una norma de derecho comunitario de aplicación directa o cuando éstas impidan al responsable del tratamiento revelar a los afectados el tratamiento de los datos a los que se refiera el acceso.

3. En todo caso, el responsable del fichero informará al afectado de su derecho a recabar la tutela de la Agencia Española de Protección de Datos o, en su caso, de las autoridades de control de las comunidades autónomas, conforme a lo dispuesto en el artículo 18 de la Ley Orgánica 15/1999, de 13 de diciembre.

CAPÍTULO III

Derechos de rectificación y cancelación

Art. 31. Derechos de rectificación y cancelación.– 1. El derecho de rectificación es el derecho del afectado a que se modifiquen los datos que resulten ser inexactos o incompletos.

2. El ejercicio del derecho de cancelación dará lugar a que se supriman los datos que resulten ser inadecuados o excesivos, sin perjuicio del deber de bloqueo conforme a este reglamento.

En los supuestos en que el interesado invoque el ejercicio del derecho de cancelación para revocar el consentimiento previamente prestado, se estará a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre y en el presente reglamento [11].

Art. 32. Ejercicio de los derechos de rectificación y cancelación.– 1. La solicitud de rectificación deberá indicar a qué datos se refiere y la corrección que haya de realizarse y deberá ir acompañada de la documentación justificativa de lo solicitado.

En la solicitud de cancelación, el interesado deberá indicar a qué datos se refiere, aportando al efecto la documentación que lo justifique, en su caso.

2. El responsable del fichero resolverá sobre la solicitud de rectificación o cancelación en el plazo máximo de diez días a contar desde la recepción de la solicitud. Transcurrido el plazo sin que de forma expresa se responda a la petición, el interesado podrá interponer la reclamación prevista en el artículo 18 de la Ley Orgánica 15/1999, de 13 de diciembre.

En el caso de que no disponga de datos de carácter personal del afectado deberá igualmente comunicárselo en el mismo plazo.

3. Si los datos rectificados o cancelados hubieran sido cedidos previamente, el responsable del fichero deberá comunicar la rectificación o cancelación efectuada al cesionario, en idéntico plazo, para que éste, también en el plazo de diez días contados desde la recepción de dicha comunicación, proceda, asimismo, a rectificar o cancelar los datos.

La rectificación o cancelación efectuada por el cesionario no requerirá comunicación alguna al interesado, sin perjuicio del ejercicio de los derechos por parte de los interesados reconocidos en la Ley Orgánica 15/1999, de 13 de diciembre.

Art. 33. Denegación de los derechos de rectificación y cancelación.– 1. La cancelación no procederá cuando los datos de carácter personal deban ser conservados durante los plazos previstos en las disposiciones aplicables o, en su caso, en las relaciones contractuales entre la persona o entidad responsable del tratamiento y el interesado que justificaron el tratamiento de los datos.

2. Podrá también denegarse los derechos de rectificación o cancelación en los supuestos en que así lo prevea una ley o una norma de derecho comunitario de aplicación directa o cuando éstas impidan al responsable del tratamiento revelar a los afectados el tratamiento de los datos a los que se refiera el acceso.

3. En todo caso, el responsable del fichero informará al afectado de su derecho a recabar la tutela de la Agencia Española de Protección de Datos o, en su caso, de las autoridades de control de las Comunidades Autónomas, conforme a lo dispuesto en el artículo 18 de la Ley Orgánica 15/1999, de 13 de diciembre.

CAPÍTULO IV

Derecho de oposición

Art. 34. Derecho de oposición.– El derecho de oposición es el derecho del afectado a que no se lleve a cabo el tratamiento de sus datos de carácter personal o se cese en el mismo en los siguientes supuestos:

a) Cuando no sea necesario su consentimiento para el tratamiento, como consecuencia de la concurrencia de un motivo legítimo y fundado, referido a su concreta situación personal, que lo justifique, siempre que una Ley no disponga lo contrario.

b) Cuando se trate de ficheros que tengan por finalidad la realización de actividades de publicidad y prospección comercial, en los términos previstos en el artículo 51 de este reglamento, cualquiera que sea la empresa responsable de su creación.

c) Cuando el tratamiento tenga por finalidad la adopción de una decisión referida al afectado y basada únicamente en un tratamiento automatizado de sus datos de carácter personal, en los términos previstos en el artículo 36 de este reglamento.

Art. 35. Ejercicio del derecho de oposición.– 1. El derecho de oposición se ejercitará mediante solicitud dirigida al responsable del tratamiento.

Cuando la oposición se realice con base en la letra a) del artículo anterior, en la solicitud deberán hacerse constar los motivos fundados y legítimos, relativos a una concreta situación personal del afectado, que justifican el ejercicio de este derecho.

2. El responsable del fichero resolverá sobre la solicitud de oposición en el plazo máximo de diez días a contar desde la recepción de la solicitud. Transcurrido el plazo sin que de forma expresa se responda a la petición, el interesado podrá interponer la reclamación prevista en el artículo 18 de la Ley Orgánica 15/1999, de 13 de diciembre.

En el caso de que no disponga de datos de carácter personal de los afectados deberá igualmente comunicárselo en el mismo plazo.

3. El responsable del fichero o tratamiento deberá excluir del tratamiento los datos relativos al afectado que ejercite su derecho de oposición o denegar motivadamente la solicitud del interesado en el plazo previsto en el apartado 2 de este artículo.

Art. 36. Derecho de oposición a las decisiones basadas únicamente en un tratamiento automatizado de datos.– 1. Los interesados tienen derecho a no verse sometidos a una decisión con efectos jurídicos sobre ellos o que les afecte de manera significativa, que se base únicamente en un tratamiento automatizado de datos destinado a evaluar determinados aspectos de su personalidad, tales como su rendimiento laboral, crédito, fiabilidad o conducta.

2. No obstante, los afectados podrán verse sometidos a una de las decisiones contempladas en el apartado 1 cuando dicha decisión:

a) Se haya adoptado en el marco de la celebración o ejecución de un contrato a petición del interesado, siempre que se le otorgue la posibilidad de alegar lo que estimara pertinente, a fin de defender su derecho o interés. En todo caso, el responsable del fichero deberá informar previamente al afectado, de forma clara y precisa, de que se adoptarán decisiones con las características señaladas en el apartado 1 y cancelará los datos en caso de que no llegue a celebrarse finalmente el contrato.

b) Esté autorizada por una norma con rango de Ley que establezca medidas que garanticen el interés legítimo del interesado.

TÍTULO IV

Disposiciones aplicables a determinados ficheros de titularidad privada

CAPÍTULO I

Ficheros de información sobre solvencia patrimonial y crédito

Sección 1.ª Disposiciones generales

Art. 37. Régimen aplicable.– 1. El tratamiento de datos de carácter personal sobre solvencia patrimonial y crédito, previsto en el apartado 1 del artículo 29 de la Ley Orgánica 15/1999, de 13 de diciembre, se someterá a lo establecido, con carácter general, en dicha ley orgánica y en el presente reglamento.

2. El ejercicio de los derechos de acceso, rectificación, cancelación y oposición en el caso de los ficheros a que se refiere el apartado anterior, se rige por lo dispuesto en los capítulos I a IV del título III del presente reglamento, con los siguientes criterios:

a) Cuando la petición de ejercicio de los derechos se dirigiera al responsable del fichero, éste estará obligado a satisfacer, en cualquier caso, dichos derechos.

b) Si la petición se dirigiera a las personas y entidades a las que se presta el servicio, éstas únicamente deberán comunicar al afectado aquellos datos relativos al mismo que les hayan sido comunicados y a facilitar la identidad del responsable para que, en su caso, puedan ejercitar sus derechos ante el mismo.

3. De conformidad con el apartado 2 del artículo 29 de la Ley Orgánica 15/1999, de 13 de diciembre, también podrán tratarse los datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés.

Estos datos deberán conservarse en ficheros creados con la exclusiva finalidad de facilitar información crediticia del afectado y su tratamiento se regirá por lo dispuesto en el presente reglamento y, en particular, por las previsiones contenidas en la sección segunda de este capítulo.

Sección 2.ª Tratamiento de datos relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés

Art. 38. Requisitos para la inclusión de los datos. –1. Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos:

a) Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada y respecto de la cual no se haya entablado reclamación judicial, arbitral o administrativa, o tratándose de servicios financieros, no se haya planteado una reclamación en los términos previstos en el Reglamento de los Comisionados para la defensa del cliente de servicios financieros, aprobado por Real Decreto 303/2004, de 20 de febrero [12]. .

b) Que no hayan transcurrido seis años desde la fecha en que hubo de procederse al pago de la deuda o del vencimiento de la obligación o del plazo concreto si aquélla fuera de vencimiento periódico.

c) Requerimiento previo de pago a quien corresponda el cumplimiento de la obligación.

2. No podrán incluirse en los ficheros de esta naturaleza datos personales sobre los que exista un principio de prueba que de forma indiciaria contradiga alguno de los requisitos anteriores.

Tal circunstancia determinará asimismo la cancelación cautelar del dato personal desfavorable en los supuestos en que ya se hubiera efectuado su inclusión en el fichero [13].

3. El acreedor o quien actúe por su cuenta o interés estará obligado a conservar a disposición del responsable del fichero común y de la Agencia Española de Protección de Datos documentación suficiente que acredite el cumplimiento de los requisitos establecidos en este artículo y del requerimiento previo al que se refiere el artículo siguiente.

Art. 39. Información previa a la inclusión.– El acreedor deberá informar al deudor, en el momento en que se celebre el contrato y, en todo caso, al tiempo de efectuar el requerimiento al que se refiere la letra c) del apartado 1 del artículo anterior, que en caso de no producirse el pago en el término previsto para ello y cumplirse los requisitos previstos en el citado artículo, los datos relativos al impago podrán ser comunicados a ficheros relativos al cumplimiento o incumplimiento de obligaciones dinerarias.

Art. 40. Notificación de inclusión.– 1. El responsable del fichero común deberá notificar a los interesados respecto de los que hayan registrado datos de carácter personal, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos, informándole asimismo de la posibilidad de ejercitar sus derechos de acceso, rectificación, cancelación y oposición, en los términos establecidos por la Ley Orgánica 15/1999, de 13 de diciembre [14].

2. Se efectuará una notificación por cada deuda concreta y determinada con independencia de que ésta se tenga con el mismo o con distintos acreedores.

3. La notificación deberá efectuarse a través de un medio fiable, auditable e independiente de la entidad notificante, que la permita acreditar la efectiva realización de los envíos.

4. En todo caso, será necesario que el responsable del fichero pueda conocer si la notificación ha sido objeto de devolución por cualquier causa, en cuyo caso no podrá proceder al tratamiento de los datos referidos a ese interesado.

No se entenderán suficientes para que no se pueda proceder al tratamiento de los datos referidos a un interesado las devoluciones en las que el destinatario haya rehusado recibir el envío.

5. Si la notificación de inclusión fuera devuelta, el responsable del fichero común comprobará con la entidad acreedora que la dirección utilizada para efectuar esta notificación se corresponde con la contractualmente pactada con el cliente a efectos de comunicaciones y no procederá al tratamiento de los datos si la mencionada entidad no confirma la exactitud de este dato.

Art. 41. Conservación de los datos.– 1. Sólo podrán ser objeto de tratamiento los datos que respondan con veracidad a la situación de la deuda en cada momento concreto.

El pago o cumplimiento de la deuda determinará la cancelación inmediata de todo dato relativo a la misma.

2. En los restantes supuestos, los datos deberán ser cancelados cuando se hubieran cumplido seis años contados a partir del vencimiento de la obligación o del plazo concreto si aquélla fuera de vencimiento periódico.

Art. 42. Acceso a la información contenida en el fichero.– 1. Los datos contenidos en el fichero común sólo podrán ser consultados por terceros cuando precisen enjuiciar la solvencia económica del afectado. En particular, se considerará que concurre dicha circunstancia en los siguientes supuestos:

a) Que el afectado mantenga con el tercero algún tipo de relación contractual que aún no se encuentre vencida.

b) Que el afectado pretenda celebrar con el tercero un contrato que implique el pago aplazado del precio.

c) Que el afectado pretenda contratar con el tercero la prestación de un servicio de facturación periódica.

2. Los terceros deberán informar por escrito a las personas en las que concurran los supuestos contemplados en las letras b) y c) precedentes de su derecho a consultar el fichero.

En los supuestos de contratación telefónica de los productos o servicios a los que se refiere el párrafo anterior, la información podrá realizarse de forma no escrita, correspondiendo al tercero la prueba del cumplimiento del deber de informar.

Art. 43. Responsabilidad.– 1. El acreedor o quien actúe por su cuenta o interés deberá asegurarse que concurren todos los requisitos exigidos en los artículos 38 y 39 en el momento de notificar los datos adversos al responsable del fichero común.

2. El acreedor o quien actúe por su cuenta o interés será responsable de la inexistencia o inexactitud de los datos que hubiera facilitado para su inclusión en el fichero, en los términos previstos en la Ley Orgánica 15/1999, de 13 de diciembre.

Art. 44. Ejercicio de los derechos de acceso, rectificación, cancelación y oposición.– 1. El ejercicio de los derechos de acceso, rectificación, cancelación y oposición se rige por lo dispuesto en los capítulos I a IV del título III de este reglamento, sin perjuicio de lo señalado en el presente artículo.

2. Cuando el interesado ejercite su derecho de acceso en relación con la inclusión de sus datos en un fichero regulado por el artículo 29.2 de la Ley Orgánica 15/1999, de 13 de diciembre, se tendrán en cuenta las siguientes reglas:

1.ª Si la solicitud se dirigiera al titular del fichero común, éste deberá comunicar al afectado todos los datos relativos al mismo que obren en el fichero.

En este caso, el titular del fichero común deberá, además de dar cumplimiento a lo establecido en el presente reglamento, facilitar las evaluaciones y apreciaciones que sobre el afectado se hayan comunicado en los últimos seis meses y el nombre y dirección de los cesionarios.

2.ª Si la solicitud se dirigiera a cualquier otra entidad participante en el sistema, deberá comunicar al afectado todos los datos relativos al mismo a los que ella pueda acceder, así como la identidad y dirección del titular del fichero común para que pueda completar el ejercicio de su derecho de acceso.

3. Cuando el interesado ejercite sus derechos de rectificación o cancelación en relación con la inclusión de sus datos en un fichero regulado por el artículo 29.2 de la Ley Orgánica 15/1999, de 13 de diciembre, se tendrán en cuenta las siguientes reglas:

1.ª Si la solicitud se dirige al titular del fichero común, éste tomará las medidas oportunas para trasladar dicha solicitud a la entidad que haya facilitado los datos, para que ésta la resuelva. En el caso de que el responsable del fichero común no haya recibido contestación por parte de la entidad en el plazo de siete días, procederá a la rectificación o cancelación cautelar de los mismos.

2.ª Si la solicitud se dirige a quien haya facilitado los datos al fichero común procederá a la rectificación o cancelación de los mismos en sus ficheros y a notificarlo al titular del fichero común en el plazo de diez días, dando asimismo respuesta al interesado en los términos previstos en el artículo 33 de este reglamento.

3.ª Si la solicitud se dirige a otra entidad participante en el sistema, que no hubiera facilitado al fichero común los datos, dicha entidad informará al afectado sobre este hecho en el plazo máximo de diez días, proporcionándole, además, la identidad y dirección del titular del fichero común para, que en su caso, puedan ejercitar sus derechos ante el mismo.

CAPÍTULO II

Tratamientos para actividades de publicidad y prospección comercial

Art. 45. Datos susceptibles de tratamiento e información al interesado.– 1. Quienes se dediquen a la recopilación de direcciones, reparto de documentos, publicidad, venta a distancia, prospección comercial y otras actividades análogas, así como quienes realicen estas actividades con el fin de comercializar sus propios productos o servicios o los de terceros, sólo podrán utilizar nombres y direcciones u otros datos de carácter personal cuando los mismos se encuentren en uno de los siguientes casos:

a) Figuren en alguna de las fuentes accesibles al público a las que se refiere la letra j) del artículo 3 de la Ley Orgánica 15/1999, de 13 de diciembre y el artículo 7 de este reglamento y el interesado no haya manifestado su negativa u oposición a que sus datos sean objeto de tratamiento para las actividades descritas en este apartado.

b) Hayan sido facilitados por los propios interesados u obtenidos con su consentimiento para finalidades determinadas, explícitas y legítimas relacionadas con la actividad de publicidad o prospección comercial, habiéndose informado a los interesados sobre los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad.

2. Cuando los datos procedan de fuentes accesibles al público y se destinen a la actividad de publicidad o prospección comercial, deberá informarse al interesado en cada comunicación que se le dirija del origen de los datos y de la identidad del responsable del tratamiento así como de los derechos que le asisten, con indicación de ante quién podrán ejercitarse.

A tal efecto, el interesado deberá ser informado de que sus datos han sido obtenidos de fuentes accesibles al público y de la entidad de la que hubieran sido obtenidos.

Art. 46. Tratamiento de datos en campañas publicitarias.– 1. Para que una entidad pueda realizar por sí misma una actividad publicitaria de sus productos o servicios entre sus clientes será preciso que el tratamiento se ampare en alguno de los supuestos contemplados en el artículo 6 de la Ley Orgánica 15/1999, de 13 de diciembre.

2. En caso de que una entidad contrate o encomiende a terceros la realización de una determinada campaña publicitaria de sus productos o servicios, encomendándole el tratamiento de determinados datos, se aplicarán las siguientes normas:

a) Cuando los parámetros identificativos de los destinatarios de la campaña sean fijados por la entidad que contrate la campaña, ésta será responsable del tratamiento de los datos.

b) Cuando los parámetros fueran determinados únicamente por la entidad o entidades contratadas, dichas entidades serán las responsable del tratamiento.

c) Cuando en la determinación de los parámetros intervengan ambas entidades, serán ambas responsables del tratamiento.

3. En el supuesto contemplado en el apartado anterior, la entidad que encargue la realización de la campaña publicitaria deberá adoptar las medidas necesarias para asegurarse de que la entidad contratada ha recabado los datos cumpliendo las exigencias establecidas en la Ley Orgánica 15/1999, de 13 de diciembre, y en el presente reglamento.

4. A los efectos previstos en este artículo, se consideran parámetros identificativos de los destinatarios las variables utilizadas para identificar el público objetivo o destinatario de una campaña o promoción comercial de productos o servicios que permitan acotar los destinatarios individuales de la misma.

Art. 47. Depuración de datos personales.– Cuando dos o más responsables por sí mismos o mediante encargo a terceros pretendieran constatar sin consentimiento de los afectados, con fines de promoción o comercialización de sus productos o servicios y mediante un tratamiento cruzado de sus ficheros quiénes ostentan la condición de clientes de una u otra o de varios de ellos, el tratamiento así realizado constituirá una cesión o comunicación de datos.

Art. 48. Ficheros de exclusión del envío de comunicaciones comerciales.– Los responsables a los que el afectado haya manifestado su negativa a recibir publicidad podrán conservar los mínimos datos imprescindibles para identificarlo y adoptar las medidas necesarias que eviten el envío de publicidad.

Art. 49. Ficheros comunes de exclusión del envío de comunicaciones comerciales.– 1. Será posible la creación de ficheros comunes, de carácter general o sectorial, en los que sean objeto de tratamiento los datos de carácter personal que resulten necesarios para evitar el envío de comunicaciones comerciales a los interesados que manifiesten su negativa u oposición a recibir publicidad.

A tal efecto, los citados ficheros podrán contener los mínimos datos imprescindibles para identificar al afectado.

2. Cuando el afectado manifieste ante un concreto responsable su negativa u oposición a que sus datos sean tratados con fines de publicidad o prospección comercial, aquél deberá ser informado de la existencia de los ficheros comunes de exclusión generales o sectoriales, así como de la identidad de su responsable, su domicilio y la finalidad del tratamiento.

El afectado podrá solicitar su exclusión respecto de un fichero o tratamiento concreto o su inclusión en ficheros comunes de excluidos de carácter general o sectorial.

3. La entidad responsable del fichero común podrá tratar los datos de los interesados que hubieran manifestado su negativa u oposición al tratamiento de sus datos con fines de publicidad o prospección comercial, cumpliendo las restantes obligaciones establecidas en la Ley Orgánica 15/1999, de 13 de diciembre, y en el presente Reglamento.

4. Quienes pretendan efectuar un tratamiento relacionado con actividades de publicidad o prospección comercial deberán previamente consultar los ficheros comunes que pudieran afectar a su actuación, a fin de evitar que sean objeto de tratamiento los datos de los afectados que hubieran manifestado su oposición o negativa a ese tratamiento.

Art. 50. Derechos de acceso, rectificación y cancelación.– 1. El ejercicio de los derechos de acceso, rectificación y cancelación en relación con los tratamientos vinculados a actividades de publicidad y prospección comercial se someterá a lo previsto en los capítulos I a IV del título III de este reglamento.

2. Si el derecho se ejercitase ante una entidad que hubiese encargado a un tercero la realización de una campaña publicitaria, aquélla estará obligada, en el plazo de diez días, desde la recepción de la comunicación de la solicitud de ejercicio de derechos del afectado, a comunicar la solicitud al responsable del fichero a fin de que el mismo otorgue al afectado su derecho en el plazo de diez días desde la recepción de la comunicación, dando cuenta de ello al afectado.

Lo dispuesto en el párrafo anterior se entenderá sin perjuicio del deber impuesto a la entidad mencionada en el apartado anterior, en todo caso, por el párrafo segundo del artículo 5.5 de la Ley Orgánica 15/1999, de 13 de diciembre.

Art. 51. Derecho de oposición [15] .– 1. Los interesados tendrán derecho a oponerse, previa petición y sin gastos, al tratamiento de los datos que les conciernan, en cuyo caso serán dados de baja del tratamiento, cancelándose las informaciones que sobre ellos figuren en aquél, a su simple solicitud.

La oposición a la que se refiere el párrafo anterior deberá entenderse sin perjuicio del derecho del interesado a revocar cuando lo estimase oportuno el consentimiento que hubiera otorgado, en su caso, para el tratamiento de los datos.

2. A tal efecto, deberá concederse al interesado un medio sencillo y gratuito para oponerse al tratamiento. En particular, se considerará cumplido lo dispuesto en este precepto cuando los derechos puedan ejercitarse mediante la llamada a un número telefónico gratuito o la remisión de un correo electrónico.

3. Cuando el responsable del fichero o tratamiento disponga de servicios de cualquier índole para la atención a sus clientes o el ejercicio de reclamaciones relacionadas con el servicio prestado o los productos ofertados al mismo, deberá concederse la posibilidad al afectado de ejercer su oposición a través de dichos servicios.

No se considerarán conformes a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, los supuestos en que el responsable del tratamiento establezca como medio para que el interesado pueda ejercitar su oposición el envío de cartas certificadas o envíos semejantes, la utilización de servicios de telecomunicaciones que implique una tarificación adicional al afectado o cualesquiera otros medios que impliquen un coste excesivo para el interesado.

En todo caso, el ejercicio por el afectado de sus derechos no podrá suponer un ingreso adicional para el responsable del tratamiento ante el que se ejercitan.

4. Si el derecho de oposición se ejercitase ante una entidad que hubiera encomendado a un tercero la realización de una campaña publicitaria, aquélla estará obligada, en el plazo de diez días, desde la recepción de la comunicación de la solicitud de ejercicio de derechos del afectado, a comunicar la solicitud al responsable del fichero a fin de que el mismo atienda el derecho del afectado en el plazo de diez días desde la recepción de la comunicación, dando cuenta de ello al afectado.

Lo dispuesto en el párrafo anterior se entenderá sin perjuicio del deber impuesto a la entidad mencionada en el apartado anterior, en todo caso, por el párrafo segundo del artículo 5.5 de la Ley Orgánica 15/1999, de 13 de diciembre.

TÍTULO V

Obligaciones previas al tratamiento de los datos

CAPÍTULO I

Creación, modificación o supresión de ficheros de titularidad pública [16].

Art. 52. Disposición o Acuerdo de creación, modificación o supresión del fichero.– 1. La creación, modificación o supresión de los ficheros de titularidad pública sólo podrá hacerse por medio de disposición general o acuerdo publicados en el «Boletín Oficial del Estado» o diario oficial correspondiente.

2. En todo caso, la disposición o acuerdo deberá dictarse y publicarse con carácter previo a la creación, modificación o supresión del fichero [17].

Art. 53. Forma de la disposición o acuerdo.– 1. Cuando la disposición se refiera a los órganos de la Administración General del Estado o a las entidades u organismos vinculados o dependientes de la misma, deberá revestir la forma de orden ministerial o resolución del titular de la entidad u organismo correspondiente.

2. En el caso de los órganos constitucionales del Estado, se estará a lo que establezcan sus normas reguladoras.

3. En relación con los ficheros de los que sean responsables las comunidades autónomas, entidades locales y las entidades u organismos vinculados o dependientes de las mismas, las universidades públicas, así como los órganos de las comunidades autónomas con funciones análogas a los órganos constitucionales del Estado, se estará a su legislación específica.

4. La creación, modificación o supresión de los ficheros de los que sean responsables las corporaciones de derecho público y que se encuentren relacionados con el ejercicio por aquéllas de potestades de derecho público deberá efectuarse a través de acuerdo de sus órganos de gobierno, en los términos que establezcan sus respectivos Estatutos, debiendo ser igualmente objeto de publicación en el «Boletín Oficial del Estado» o diario oficial correspondiente.

Art. 54. Contenido de la disposición o acuerdo.– 1. La disposición o acuerdo de creación del fichero deberá contener los siguientes extremos:

a) La identificación del fichero o tratamiento, indicando su denominación, así como la descripción de su finalidad y usos previstos.

b) El origen de los datos, indicando el colectivo de personas sobre los que se pretende obtener datos de carácter personal o que resulten obligados a suministrarlos, el procedimiento de recogida de los datos y su procedencia.

c) La estructura básica del fichero mediante la descripción detallada de los datos identificativos, y en su caso, de los datos especialmente protegidos, así como de las restantes categorías de datos de carácter personal incluidas en el mismo y el sistema de tratamiento utilizado en su organización.

d) Las comunicaciones de datos previstas, indicando en su caso, los destinatarios o categorías de destinatarios.

e) Las transferencias internacionales de datos previstas a terceros países, con indicación, en su caso, de los países de destino de los datos.

f) Los órganos responsables del fichero.

g) Los servicios o unidades ante los que pudiesen ejercitarse los derechos de acceso, rectificación, cancelación y oposición.

h) El nivel básico, medio o alto de seguridad que resulte exigible, de acuerdo con lo establecido en el título VIII del presente reglamento.

2. La disposición o acuerdo de modificación del fichero deberá indicar las modificaciones producidas en cualquiera de los extremos a los que se refiere el apartado anterior.

3. En las disposiciones o acuerdos que se dicten para la supresión de los ficheros se establecerá el destino que vaya a darse a los datos o, en su caso, las previsiones que se adopten para su destrucción.

CAPÍTULO II

Notificación e inscripción de los ficheros de titularidad pública o privada

Art. 55. Notificación de ficheros.– 1. Todo fichero de datos de carácter personal de titularidad pública será notificado a la Agencia Española de Protección de Datos por el órgano competente de la Administración responsable del fichero para su inscripción en el Registro General de Protección de Datos, en el plazo de treinta días desde la publicación de su norma o acuerdo de creación en el diario oficial correspondiente.

2. Los ficheros de datos de carácter personal de titularidad privada serán notificados a la Agencia Española de Protección de Datos por la persona o entidad privada que pretenda crearlos, con carácter previo a su creación. La notificación deberá indicar la identificación del responsable del fichero, la identificación del fichero, sus finalidades y los usos previstos, el sistema de tratamiento empleado en su organización, el colectivo de personas sobre el que se obtienen los datos, el procedimiento y procedencia de los datos, las categorías de datos, el servicio o unidad de acceso, la indicación del nivel de medidas de seguridad básico, medio o alto exigible, y en su caso, la identificación del encargado del tratamiento en donde se encuentre ubicado el fichero y los destinatarios de cesiones y transferencias internacionales de datos.

3. Cuando la obligación de notificar afecte a ficheros sujetos a la competencia de la autoridad de control de una comunidad autónoma que haya creado su propio registro de ficheros, la notificación se realizará a la autoridad autonómica competente, que dará traslado de la inscripción al Registro General de Protección de Datos.

El Registro General de Protección de Datos podrá solicitar de las autoridades de control de las comunidades autónomas el traslado al que se refiere el párrafo anterior, procediendo, en su defecto, a la inclusión de oficio del fichero en el Registro.

4. La notificación se realizará conforme al procedimiento establecido en la sección primera del capítulo IV del título IX del presente reglamento.

Art. 56. Tratamiento de datos en distintos soportes.– 1. La notificación de un fichero de datos de carácter personal es independiente del sistema de tratamiento empleado en su organización y del soporte o soportes empleados para el tratamiento de los datos.

2. Cuando los datos de carácter personal objeto de un tratamiento estén almacenados en diferentes soportes, automatizados y no automatizados o exista una copia en soporte no automatizado de un fichero automatizado sólo será precisa una sola notificación, referida a dicho fichero.

Art. 57. Ficheros en los que exista más de un responsable.– Cuando se tenga previsto crear un fichero del que resulten responsables varias personas o entidades simultáneamente, cada una de ellas deberá notificar, a fin de proceder a su inscripción en el Registro General de Protección de Datos y, en su caso, en los Registros de Ficheros creados por las autoridades de control de las comunidades autónomas, la creación del correspondiente fichero.

Art. 58. Notificación de la modificación o supresión de ficheros.– 1. La inscripción del fichero deberá encontrarse actualizada en todo momento. Cualquier modificación que afecte al contenido de la inscripción de un fichero deberá ser previamente notificada a la Agencia Española de Protección de Datos o a las autoridades de control autonómicas competentes, a fin de proceder a su inscripción en el registro correspondiente, conforme a lo dispuesto en el artículo 55.

2. Cuando el responsable del fichero decida su supresión, deberá notificarla a efectos de que se proceda a la cancelación de la inscripción en el registro correspondiente [18].

3. Tratándose de ficheros de titularidad pública, cuando se pretenda la modificación que afecte a alguno de los requisitos previstos en el artículo 55 o la supresión del fichero deberá haberse adoptado, con carácter previo a la notificación la correspondiente norma o acuerdo en los términos previstos en el capítulo I de este título.

Art. 59. Modelos y soportes para la notificación.– 1. La Agencia Española de Protección de Datos publicará mediante la correspondiente Resolución del Director los modelos o formularios electrónicos de notificación de creación, modificación o supresión de ficheros, que permitan su presentación a través de medios telemáticos o en soporte papel, así como, previa consulta de las autoridades de protección de datos de las comunidades autónomas, los formatos para la comunicación telemática de ficheros públicos por las autoridades de control autonómicas, de conformidad con lo establecido en los artículos 55 y 58 del presente reglamento [19].

2. Los modelos o formularios electrónicos de notificación se podrán obtener gratuitamente en la página web de la Agencia Española de Protección de Datos.

3. El Director de la Agencia Española de Protección de Datos podrá establecer procedimientos simplificados de notificación en atención a las circunstancias que concurran en el tratamiento o el tipo de fichero al que se refiera la notificación.

Art. 60. Inscripción de los ficheros.– 1. El Director de la Agencia Española de Protección de Datos, a propuesta del Registro General de Protección de Datos, dictará resolución acordando, en su caso, la inscripción, una vez tramitado el procedimiento previsto en el capítulo IV del título IX.

2. La inscripción contendrá el código asignado por el Registro, la identificación del responsable del fichero, la identificación del fichero o tratamiento, la descripción de su finalidad y usos previstos, el sistema de tratamiento empleado en su organización, en su caso, el colectivo de personas sobre el que se obtienen los datos, el procedimiento y procedencia de los datos, las categorías de datos, el servicio o unidad de acceso, y la indicación del nivel de medidas de seguridad exigible conforme a lo dispuesto en el artículo 81.

Asimismo, se incluirán, en su caso, la identificación del encargado del tratamiento en donde se encuentre ubicado el fichero y los destinatarios de cesiones y transferencias internacionales.

En el caso de ficheros de titularidad pública también se hará constar la referencia de la disposición general por la que ha sido creado, y en su caso, modificado.

3. La inscripción de un fichero en el Registro General de Protección de Datos, no exime al responsable del cumplimiento del resto de las obligaciones previstas en la Ley Orgánica 15/1999, de 13 de diciembre, y demás disposiciones reglamentarias.

Art. 61. Cancelación de la inscripción.– 1. Cuando el responsable del tratamiento comunicase, en virtud de lo dispuesto en el artículo 58 de este reglamento, la supresión del fichero, el Director de la Agencia Española de Protección de Datos, previa la tramitación del procedimiento establecido en la sección primera del capítulo IV del título IX, dictará resolución acordando la cancelación de la inscripción correspondiente al fichero.

2. El Director de la Agencia Española de Protección de Datos podrá, en ejercicio de sus competencias, acordar de oficio la cancelación de la inscripción de un fichero cuando concurran circunstancias que acrediten la imposibilidad de su existencia, previa la tramitación del procedimiento establecido en la sección segunda del capítulo IV del título IX de este reglamento.

Art. 62. Rectificación de errores.– El Registro General de Protección de Datos podrá rectificar en cualquier momento, de oficio o a instancia de los interesados, los errores materiales, de hecho o aritméticos que pudieran existir en las inscripciones, de conformidad con lo dispuesto en el artículo 105 de la Ley 30/1992, de 26 de noviembre [20].

Art. 63. Inscripción de oficio de ficheros de titularidad pública.– 1. En supuestos excepcionales con el fin de garantizar el derecho a la protección de datos de los afectados, y sin perjuicio de la obligación de notificación, se podrá proceder a la inscripción de oficio de un determinado fichero en el Registro General de Protección de Datos.

2. Para que lo dispuesto en el apartado anterior resulte de aplicación, será requisito indispensable que la correspondiente norma o acuerdo regulador de los ficheros que contengan datos de carácter personal haya sido publicado en el correspondiente diario oficial y cumpla los requisitos establecidos en la Ley Orgánica 15/1999, de 13 de diciembre, y el presente reglamento.

3. El Director de la Agencia Española de Protección de Datos podrá, a propuesta del Registro General de Protección de Datos, acordar la inscripción del fichero de titularidad pública en el Registro, notificándose dicho acuerdo al órgano responsable del fichero.

Cuando la inscripción se refiera a ficheros sujetos a la competencia de la autoridad de control de una comunidad autónoma que haya creado su propio registro de ficheros, se comunicará a la referida autoridad de control autonómica para que proceda, en su caso, a la inscripción de oficio.

Art. 64. Colaboración con las autoridades de control de las comunidades autónomas.– El Director de la Agencia Española de Protección de Datos podrá celebrar con los directores de las autoridades de control de las comunidades autónomas los convenios de colaboración o acuerdos que estime pertinentes, a fin de garantizar la inscripción en el Registro General de Protección de Datos de los ficheros sometidos a la competencia de dichas autoridades autonómicas.

TÍTULO VI

Transferencias internacionales de datos

CAPÍTULO I

Disposiciones generales

Art. 65. Cumplimiento de las disposiciones de la Ley Orgánica 15/1999, de 13 de diciembre.– La transferencia internacional de datos no excluye en ningún caso la aplicación de las disposiciones contenidas en la Ley Orgánica 15/1999, de 13 de diciembre, y en el presente reglamento [21].

Art. 66. Autorización y notificación.– 1. Para que la transferencia internacional de datos pueda considerarse conforme a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, y en el presente Reglamento será necesaria la autorización del Director de la Agencia Española de Protección de Datos, que se otorgará en caso de que el exportador aporte las garantías a las que se refiere el artículo 70 del presente reglamento.

La autorización se otorgará conforme al procedimiento establecido en la sección primera del capítulo V del título IX de este reglamento.

2. La autorización no será necesaria:

a) Cuando el Estado en el que se encontrase el importador ofrezca un nivel adecuado de protección conforme a lo previsto en el capítulo II de este título.

b) Cuando la transferencia se encuentre en uno de los supuestos contemplados en los apartados a) a j) del artículo 34 de la Ley Orgánica 15/1999, de 13 de diciembre.

3. En todo caso, la transferencia internacional de datos deberá ser notificada a fin de proceder a su inscripción en el Registro General de Protección de Datos, conforme al procedimiento establecido en la sección primera del capítulo IV del título IX del presente reglamento.

CAPÍTULO II

Transferencias a estados que proporcionen un nivel adecuado de protección

Art. 67. Nivel adecuado de protección acordado por la Agencia Española de Protección de Datos.– 1. No será precisa autorización del Director de la Agencia Española de Protección de Datos a una transferencia internacional de datos cuando las normas aplicables al Estado en que se encontrase el importador ofrezcan dicho nivel adecuado de protección a juicio del Director de la Agencia Española de Protección de Datos.

El carácter adecuado del nivel de protección que ofrece el país de destino se evaluará atendiendo a todas las circunstancias que concurran en la transferencia o categoría de transferencia de datos. En particular, se tomará en consideración la naturaleza de los datos, la finalidad y la duración del tratamiento o de los tratamientos previstos, el país de origen y el país de destino final, las normas de Derecho, generales o sectoriales, vigentes en el país tercero de que se trate, el contenido de los informes de la Comisión de la Unión Europea, así como las normas profesionales y las medidas de seguridad en vigor en dichos países.

Las resoluciones del Director de la Agencia Española de Protección de Datos por las que se acordase que un determinado país proporciona un nivel adecuado de protección de datos serán publicadas en el «Boletín Oficial del Estado».

2. El Director de la Agencia Española de Protección de Datos acordará la publicación de la relación de países cuyo nivel de protección haya sido considerado equiparable conforme a lo dispuesto en el apartado anterior.

Esta lista se publicará y mantendrá actualizada asimismo a través de medios informáticos o telemáticos.

Art. 68. Nivel adecuado de protección declarado por Decisión de la Comisión Europea.– No será necesaria la autorización del Director de la Agencia Española de Protección de Datos para la realización de una transferencia internacional de datos que tuvieran por importador una persona o entidad, pública o privada, situada en el territorio de un Estado respecto del que se haya declarado por la Comisión Europea la existencia de un nivel adecuado de protección.

Art. 69. Suspensión temporal de las transferencias.– 1. En los supuestos previstos en los artículos precedentes, el Director de la Agencia Española de Protección de Datos, en uso de la potestad que le otorga el artículo 37.1 f) de la Ley Orgánica 15/1999, de 13 de diciembre, podrá acordar, previa audiencia del exportador, la suspensión temporal de la transferencia de datos hacia un importador ubicado en un tercer Estado del que se haya declarado la existencia de un nivel adecuado de protección, cuando concurra alguna de las circunstancias siguientes:

a) Que las autoridades de Protección de Datos del Estado importador o cualquier otra competente, en caso de no existir las primeras, resuelvan que el importador ha vulnerado las normas de protección de datos establecidas en su derecho interno.

b) Que existan indicios racionales de que se estén vulnerando las normas o, en su caso, los principios de protección de datos por la entidad importadora de la transferencia y que las autoridades competentes en el Estado en que se encuentre el importador no han adoptado o no van a adoptar en el futuro las medidas oportunas para resolver el caso en cuestión, habiendo sido advertidas de la situación por la Agencia Española de Protección de Datos. En este caso se podrá suspender la transferencia cuando su continuación pudiera generar un riesgo inminente de grave perjuicio a los afectados.

2. La suspensión se acordará previa la tramitación del procedimiento establecido en la sección segunda del capítulo V del título IX del presente reglamento.

En estos casos, la decisión del Director de la Agencia Española de Protección de Datos será notificada a la Comisión Europea.

CAPÍTULO III

Transferencias a Estados que no proporcionen un nivel adecuado de protección

Art. 70. Transferencias sujetas a autorización del Director de la Agencia Española de Protección de Datos [22] . –1. Cuando la transferencia tenga por destino un Estado respecto del que no se haya declarado por la Comisión Europea o no se haya considerado por el Director de la Agencia Española de Protección de Datos que existe un nivel adecuado de protección, será necesario recabar la autorización del Director de la Agencia Española de Protección de Datos.

La autorización de la transferencia se tramitará conforme al procedimiento establecido en la sección primera del capítulo V del título IX del presente reglamento.

2. La autorización podrá ser otorgada en caso de que el responsable del fichero o tratamiento aporte un contrato escrito, celebrado entre el exportador y el importador, en el que consten las necesarias garantías de respeto a la protección de la vida privada de los afectados y a sus derechos y libertades fundamentales y se garantice el ejercicio de sus respectivos derechos.

A tal efecto, se considerará que establecen las adecuadas garantías los contratos que se celebren de acuerdo con lo previsto en las Decisiones de la Comisión Europea 2001/497/CE, de 15 de Junio de 2001, 2002/16/CE, de 27 de diciembre de 2001, y 2004/915/CE, de 27 de diciembre de 2004 o de lo que dispongan las Decisiones de la Comisión que den cumplimiento a lo establecido en el artículo 26.4 de la Directiva 95/46/CE.

3. En el supuesto contemplado en el apartado anterior, el Director de la Agencia Española de Protección de Datos podrá denegar o, en uso de la potestad que le otorga el artículo 37.1 f) de la Ley Orgánica 15/1999, de 13 de diciembre, suspender temporalmente, previa audiencia del exportador, la transferencia, cuando concurra alguna de las circunstancias siguientes:

a) Que la situación de protección de los derechos fundamentales y libertades públicas en el país de destino o su legislación impidan garantizar el íntegro cumplimiento del contrato y el ejercicio por los afectados de los derechos que el contrato garantiza.

b) Que la entidad destinataria haya incumplido previamente las garantías establecidas en cláusulas contractuales de este tipo.

c) Que existan indicios racionales de que las garantías ofrecidas por el contrato no están siendo o no serán respetadas por el importador.

d) Que existan indicios racionales de que los mecanismos de aplicación del contrato no son o no serán efectivos.

e) Que la transferencia, o su continuación, en caso de haberse iniciado, pudiera crear una situación de riesgo de daño efectivo a los afectados.

La suspensión se acordará previa la tramitación del procedimiento establecido en la sección segunda del capítulo V del título IX del presente reglamento.

Las resoluciones del Director de la Agencia Española de Protección de Datos por las que se deniegue o suspenda una transferencia internacional de datos en virtud de las causas a las que se refiere este apartado serán notificadas a la Comisión de las Comunidades Europeas cuando así sea exigible [23].

4. También podrá otorgarse la autorización para la transferencia internacional de datos en el seno de grupos multinacionales de empresas cuando hubiesen sido adoptados por los mismos normas o reglas internas en que consten las necesarias garantías de respeto a la protección de la vida privada y el derecho fundamental a la protección de datos de los afectados y se garantice asimismo el cumplimiento de los principios y el ejercicio de los derechos reconocidos en la Ley Orgánica 15/1999, de 13 de diciembre, y el presente reglamento.

En este caso, para que proceda la autorización del Director de la Agencia Española de Protección de Datos será preciso que las normas o reglas resulten vinculantes para las empresas del Grupo y exigibles conforme al ordenamiento jurídico español.

En todo caso, la autorización del Director de la Agencia Española de Protección de Datos implicará la exigibilidad de lo previsto en las normas o reglas internas tanto por la Agencia como por los afectados cuyos datos hubieran sido objeto de tratamiento [24].

TÍTULO VII

Códigos tipo

Art. 71. Objeto y naturaleza.– 1. Los códigos tipo a los que se refiere el Art. 32 de la Ley Orgánica 15/1999, de 13 de diciembre, tienen por objeto adecuar lo establecido en la citada Ley Orgánica y en el presente reglamento a las peculiaridades de los tratamientos efectuados por quienes se adhieren a los mismos.

A tal efecto, contendrán reglas o estándares específicos que permitan armonizar los tratamientos de datos efectuados por los adheridos, facilitar el ejercicio de los derechos de los afectados y favorecer el cumplimiento de lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, y el presente reglamento.

2. Los códigos tipo tendrán el carácter de códigos deontológicos o de buena práctica profesional y serán vinculantes para quienes se adhieran a los mismos.

Art. 72. Iniciativa y ámbito de aplicación.– 1. Los códigos tipo tendrán carácter voluntario.

2. Los códigos tipo de carácter sectorial podrán referirse a la totalidad o a parte de los tratamientos llevados a cabo por entidades pertenecientes a un mismo sector, debiendo ser formulados por organizaciones representativas de dicho sector, al menos en su ámbito territorial de aplicación, y sin perjuicio de la potestad de dichas entidades de ajustar el código tipo a sus peculiaridades.

3. Los códigos tipo promovidos por una empresa deberán referirse a la totalidad de los tratamientos llevados a cabo por la misma.

4. Las Administraciones públicas y las corporaciones de Derecho Público podrán adoptar códigos tipo de acuerdo con lo establecido en las normas que les sean aplicables.

Art. 73. Contenido.– 1. Los códigos tipo deberán estar redactados en términos claros y accesibles.

2. Los códigos tipo deben respetar la normativa vigente e incluir, como mínimo, con suficiente grado de precisión:

a) La delimitación clara y precisa de su ámbito de aplicación, las actividades a que el código se refiere y los tratamientos sometidos al mismo.

b) Las previsiones específicas para la aplicación de los principios de protección de datos.

c) El establecimiento de estándares homogéneos para el cumplimiento por los adheridos al código de las obligaciones establecidas en la Ley Orgánica 15/1999, de 13 de diciembre.

d) El establecimiento de procedimientos que faciliten el ejercicio por los afectados de sus derechos de acceso, rectificación, cancelación y oposición.

e) La determinación de las cesiones y transferencias internacionales de datos que, en su caso, se prevean, con indicación de las garantías que deban adoptarse.

f) Las acciones formativas en materia de protección de datos dirigidas a quienes los traten, especialmente en cuanto a su relación con los afectados.

g) Los mecanismos de supervisión a través de los cuales se garantice el cumplimiento por los adheridos de lo establecido en el código tipo, en los términos previstos en el artículo 74 de este reglamento.

3. En particular, deberán contenerse en el código:

a) Cláusulas tipo para la obtención del consentimiento de los afectados al tratamiento o cesión de sus datos.

b) Cláusulas tipo para informar a los afectados del tratamiento, cuando los datos no sean obtenidos de los mismos.

c) Modelos para el ejercicio por los afectados de sus derechos de acceso, rectificación, cancelación y oposición.

d) Modelos de cláusulas para el cumplimiento de los requisitos formales exigibles para la contratación de un encargado del tratamiento, en su caso.

Art. 74. Compromisos adicionales.– 1. Los códigos tipo podrán incluir cualquier otro compromiso adicional que asuman los adheridos para un mejor cumplimiento de la legislación vigente en materia de protección de datos.

2. Además podrán contener cualquier otro compromiso que puedan establecer las entidades promotoras y, en particular, sobre:

a) La adopción de medidas de seguridad adicionales a las exigidas por la Ley Orgánica 15/1999, de 13 de diciembre, y el presente Reglamento.

b) La identificación de las categorías de cesionarios o importadores de los datos.

c) Las medidas concretas adoptadas en materia de protección de los menores o de determinados colectivos de afectados.

d) El establecimiento de un sello de calidad que identifique a los adheridos al código.

Art. 75. Garantías del cumplimiento de los códigos tipo.– 1. Los códigos tipo deberán incluir procedimientos de supervisión independientes para garantizar el cumplimiento de las obligaciones asumidas por los adheridos, y establecer un régimen sancionador adecuado, eficaz y disuasorio.

2. El procedimiento que se prevea deberá garantizar:

a) La independencia e imparcialidad del órgano responsable de la supervisión.

b) La sencillez, accesibilidad, celeridad y gratuidad para la presentación de quejas y reclamaciones ante dicho órgano por los eventuales incumplimientos del código tipo.

c) El principio de contradicción.

d) Una graduación de sanciones que permita ajustarlas a la gravedad del incumplimiento. Esas sanciones deberán ser disuasorias y podrán implicar la suspensión de la adhesión al código o la expulsión de la entidad adherida. Asimismo, podrá establecerse, en su caso, su publicidad.

e) La notificación al afectado de la decisión adoptada.

3. Asimismo, y sin perjuicio de lo dispuesto en el artículo 19 de la Ley Orgánica 15/1999, de 13 de diciembre, los códigos tipo podrán contemplar procedimientos para la determinación de medidas reparadoras en caso de haberse causado un perjuicio a los afectados como consecuencia del incumplimiento del código tipo.

4. Lo dispuesto en este artículo se aplicará sin perjuicio de las competencias de la Agencia Española de Protección de Datos y, en su caso, de las autoridades de control de las comunidades autónomas.

Art. 76. Relación de adheridos.– El código tipo deberá incorporar como anexo una relación de adheridos, que deberá mantenerse actualizada, a disposición de la Agencia Española de Protección de Datos.

Art. 77. Depósito y publicidad de los códigos tipo.– 1. Para que los códigos tipo puedan ser considerados como tales a los efectos previstos en el Art. 32 de la Ley Orgánica 15/1999, de 13 de diciembre, y el presente reglamento, deberán ser depositados e inscritos en el Registro General de Protección de Datos de la Agencia Española de Protección de Datos o, cuando corresponda, en el registro que fuera creado por las comunidades autónomas, que darán traslado para su inclusión al Registro General de Protección de Datos.

2. A tal efecto, los códigos tipo deberán ser presentados ante la correspondiente autoridad de control, tramitándose su inscripción, en caso de estar sometidos a la decisión de la Agencia Española de Protección de Datos, conforme al procedimiento establecido en el capítulo VI del título IX de este reglamento.

3. En todo caso, la Agencia Española de Protección de Datos dará publicidad a los códigos tipo inscritos, preferentemente a través de medios informáticos o telemáticos.

Art. 78. Obligaciones posteriores a la inscripción del código tipo.– Las entidades promotoras o los órganos, personas o entidades que al efecto se designen en el propio código tipo tendrán, una vez el mismo haya sido publicado, las siguientes obligaciones:

a) Mantener accesible al público la información actualizada sobre las entidades promotoras, el contenido del código tipo, los procedimientos de adhesión y de garantía de su cumplimiento y la relación de adheridos a la que se refiere el artículo anterior.

Esta información deberá presentarse de forma concisa y clara y estar permanentemente accesible por medios electrónicos.

b) Remitir a la Agencia Española de Protección de Datos una memoria anual sobre las actividades realizadas para difundir el código tipo y promover la adhesión a éste, las actuaciones de verificación del cumplimiento del código y sus resultados, las quejas y reclamaciones tramitadas y el curso que se les hubiera dado y cualquier otro aspecto que las entidades promotoras consideren adecuado destacar.

Cuando se trate de códigos tipo inscritos en el registro de una autoridad de control de una comunidad autónoma, la remisión se realizará a dicha autoridad, que dará traslado al registro General de Protección de Datos.

c) Evaluar periódicamente la eficacia del código tipo, midiendo el grado de satisfacción de los afectados y, en su caso, actualizar su contenido para adaptarlo a la normativa general o sectorial de protección de datos existente en cada momento.

Esta evaluación deberá tener lugar, al menos, cada cuatro años, salvo que sea precisa la adaptación de los compromisos del código a la modificación de la normativa aplicable en un plazo menor.

d) Favorecer la accesibilidad de todas las personas, con especial atención a las que tengan alguna discapacidad o de edad avanzada a toda la información disponible sobre el código tipo.

TÍTULO VIII

De las medidas de seguridad en el tratamiento de datos de carácter personal

CAPÍTULO I

Disposiciones generales

Art. 79. Alcance.– Los responsables de los tratamientos o los ficheros y los encargados del tratamiento deberán implantar las medidas de seguridad con arreglo a lo dispuesto en este Título, con independencia de cual sea su sistema de tratamiento.

Art. 80. Niveles de seguridad.– Las medidas de seguridad exigibles a los ficheros y tratamientos se clasifican en tres niveles: básico, medio y alto.

Art. 81. Aplicación de los niveles de seguridad. –1. Todos los ficheros o tratamientos de datos de carácter personal deberán adoptar las medidas de seguridad calificadas de nivel básico.

2. Deberán implantarse, además de las medidas de seguridad de nivel básico, las medidas de nivel medio, en los siguientes ficheros o tratamientos de datos de carácter personal:

a) Los relativos a la comisión de infracciones administrativas o penales.

b) Aquellos cuyo funcionamiento se rija por el artículo 29 de la Ley Orgánica 15/1999, de 13 de diciembre.

c) Aquellos de los que sean responsables Administraciones tributarias y se relacionen con el ejercicio de sus potestades tributarias.

d) Aquéllos de los que sean responsables las entidades financieras para finalidades relacionadas con la prestación de servicios financieros.

e) Aquéllos de los que sean responsables las Entidades Gestoras y Servicios Comunes de la Seguridad Social y se relacionen con el ejercicio de sus competencias. De igual modo, aquellos de los que sean responsables las mutuas de accidentes de trabajo y enfermedades profesionales de la Seguridad Social.

f) Aquéllos que contengan un conjunto de datos de carácter personal que ofrezcan una definición de las características o de la personalidad de los ciudadanos y que permitan evaluar determinados aspectos de la personalidad o del comportamiento de los mismos.

3. Además de las medidas de nivel básico y medio, las medidas de nivel alto se aplicarán en los siguientes ficheros o tratamientos de datos de carácter personal:

a) Los que se refieran a datos de ideología, afiliación sindical, religión, creencias, origen racial, salud o vida sexual.

b) Los que contengan o se refieran a datos recabados para fines policiales sin consentimiento de las personas afectadas.

c) Aquéllos que contengan datos derivados de actos de violencia de género [25].

4. A los ficheros de los que sean responsables los operadores que presten servicios de comunicaciones electrónicas disponibles al público o exploten redes públicas de comunicaciones electrónicas respecto a los datos de tráfico y a los datos de localización, se aplicarán, además de las medidas de seguridad de nivel básico y medio, la medida de seguridad de nivel alto contenida en el artículo 103 de este reglamento.

5. En caso de ficheros o tratamientos de datos de ideología, afiliación sindical, religión, creencias, origen racial, salud o vida sexual bastará la implantación de las medidas de seguridad de nivel básico cuando:

a) Los datos se utilicen con la única finalidad de realizar una transferencia dineraria a las entidades de las que los afectados sean asociados o miembros.

b) Se trate de ficheros o tratamientos en los que de forma incidental o accesoria se contengan aquellos datos sin guardar relación con su finalidad [26].

6. También podrán implantarse las medidas de seguridad de nivel básico en los ficheros o tratamientos que contengan datos relativos a la salud, referentes exclusivamente al grado de discapacidad o la simple declaración de la condición de discapacidad o invalidez del afectado, con motivo del cumplimiento de deberes públicos.

7. Las medidas incluidas en cada uno de los niveles descritos anteriormente tienen la condición de mínimos exigibles, sin perjuicio de las disposiciones legales o reglamentarias específicas vigentes que pudieran resultar de aplicación en cada caso o las que por propia iniciativa adoptase el responsable del fichero.

8. A los efectos de facilitar el cumplimiento de lo dispuesto en este título, cuando en un sistema de información existan ficheros o tratamientos que en función de su finalidad o uso concreto, o de la naturaleza de los datos que contengan, requieran la aplicación de un nivel de medidas de seguridad diferente al del sistema principal, podrán segregarse de este último, siendo de aplicación en cada caso el nivel de medidas de seguridad correspondiente y siempre que puedan delimitarse los datos afectados y los usuarios con acceso a los mismos, y que esto se haga constar en el documento de seguridad.

Art. 82. Encargado del tratamiento.– 1. Cuando el responsable del fichero o tratamiento facilite el acceso a los datos, a los soportes que los contengan o a los recursos del sistema de información que los trate, a un encargado de tratamiento que preste sus servicios en los locales del primero deberá hacerse constar esta circunstancia en el documento de seguridad de dicho responsable, comprometiéndose el personal del encargado al cumplimiento de las medidas de seguridad previstas en el citado documento.

Cuando dicho acceso sea remoto habiéndose prohibido al encargado incorporar tales datos a sistemas o soportes distintos de los del responsable, este último deberá hacer constar esta circunstancia en el documento de seguridad del responsable, comprometiéndose el personal del encargado al cumplimiento de las medidas de seguridad previstas en el citado documento.

2. Si el servicio fuera prestado por el encargado del tratamiento en sus propios locales, ajenos a los del responsable del fichero, deberá elaborar un documento de seguridad en los términos exigidos por el artículo 88 de este reglamento o completar el que ya hubiera elaborado, en su caso, identificando el fichero o tratamiento y el responsable del mismo e incorporando las medidas de seguridad a implantar en relación con dicho tratamiento.

3. En todo caso, el acceso a los datos por el encargado del tratamiento estará sometido a las medidas de seguridad contempladas en este reglamento.

Art. 83. Prestaciones de servicios sin acceso a datos personales.– El responsable del fichero o tratamiento adoptará las medidas adecuadas para limitar el acceso del personal a datos personales, a los soportes que los contengan o a los recursos del sistema de información, para la realización de trabajos que no impliquen el tratamiento de datos personales.

Cuando se trate de personal ajeno, el contrato de prestación de servicios recogerá expresamente la prohibición de acceder a los datos personales y la obligación de secreto respecto a los datos que el personal hubiera podido conocer con motivo de la prestación del servicio.

Art. 84. Delegación de autorizaciones.– Las autorizaciones que en este título se atribuyen al responsable del fichero o tratamiento podrán ser delegadas en las personas designadas al efecto. En el documento de seguridad deberán constar las personas habilitadas para otorgar estas autorizaciones así como aquellas en las que recae dicha delegación. En ningún caso esta designación supone una delegación de la responsabilidad que corresponde al responsable del fichero.

Art. 85. Acceso a datos a través de redes de comunicaciones.– Las medidas de seguridad exigibles a los accesos a datos de carácter personal a través de redes de comunicaciones, sean o no públicas, deberán garantizar un nivel de seguridad equivalente al correspondiente a los accesos en modo local, conforme a los criterios establecidos en el artículo 80.

Art. 86. Régimen de trabajo fuera de los locales del responsable del fichero o encargado del tratamiento. –1. Cuando los datos personales se almacenen en dispositivos portátiles o se traten fuera de los locales del responsable de fichero o tratamiento, o del encargado del tratamiento será preciso que exista una autorización previa del responsable del fichero o tratamiento, y en todo caso deberá garantizarse el nivel de seguridad correspondiente al tipo de fichero tratado.

2. La autorización a la que se refiere el párrafo anterior tendrá que constar en el documento de seguridad y podrá establecerse para un usuario o para un perfil de usuarios y determinando un periodo de validez para las mismas.

Art. 87. Ficheros temporales o copias de trabajo de documentos.– 1. Aquellos ficheros temporales o copias de documentos que se hubiesen creado exclusivamente para la realización de trabajos temporales o auxiliares deberán cumplir el nivel de seguridad que les corresponda conforme a los criterios establecidos en el artículo 81.

2. Todo fichero temporal o copia de trabajo así creado será borrado o destruido una vez que haya dejado de ser necesario para los fines que motivaron su creación.

CAPÍTULO II

Del documento de seguridad

Art. 88. El documento de seguridad.– 1. El responsable del fichero o tratamiento elaborará un documento de seguridad que recogerá las medidas de índole técnica y organizativa acordes a la normativa de seguridad vigente que será de obligado cumplimiento para el personal con acceso a los sistemas de información.

2. El documento de seguridad podrá ser único y comprensivo de todos los ficheros o tratamientos, o bien individualizado para cada fichero o tratamiento. También podrán elaborarse distintos documentos de seguridad agrupando ficheros o tratamientos según el sistema de tratamiento utilizado para su organización, o bien atendiendo a criterios organizativos del responsable. En todo caso, tendrá el carácter de documento interno de la organización.

3. El documento deberá contener, como mínimo, los siguientes aspectos:

a) Ámbito de aplicación del documento con especificación detallada de los recursos protegidos.

b) Medidas, normas, procedimientos de actuación, reglas y estándares encaminados a garantizar el nivel de seguridad exigido en este reglamento.

c) Funciones y obligaciones del personal en relación con el tratamiento de los datos de carácter personal incluidos en los ficheros.

d) Estructura de los ficheros con datos de carácter personal y descripción de los sistemas de información que los tratan.

e) Procedimiento de notificación, gestión y respuesta ante las incidencias.

f) Los procedimientos de realización de copias de respaldo y de recuperación de los datos en los ficheros o tratamientos automatizados.

g) Las medidas que sea necesario adoptar para el transporte de soportes y documentos, así como para la destrucción de los documentos y soportes, o en su caso, la reutilización de estos últimos.

4. En caso de que fueran de aplicación a los ficheros las medidas de seguridad de nivel medio o las medidas de seguridad de nivel alto, previstas en este título, el documento de seguridad deberá contener además:

a) La identificación del responsable o responsables de seguridad.

b) Los controles periódicos que se deban realizar para verificar el cumplimiento de lo dispuesto en el propio documento.

5. Cuando exista un tratamiento de datos por cuenta de terceros, el documento de seguridad deberá contener la identificación de los ficheros o tratamientos que se traten en concepto de encargado con referencia expresa al contrato o documento que regule las condiciones del encargo, así como de la identificación del responsable y del período de vigencia del encargo.

6. En aquellos casos en los que datos personales de un fichero o tratamiento se incorporen y traten de modo exclusivo en los sistemas del encargado, el responsable deberá anotarlo en su documento de seguridad. Cuando tal circunstancia afectase a parte o a la totalidad de los ficheros o tratamientos del responsable, podrá delegarse en el encargado la llevanza del documento de seguridad, salvo en lo relativo a aquellos datos contenidos en recursos propios. Este hecho se indicará de modo expreso en el contrato celebrado al amparo del artículo 12 de la Ley Orgánica 15/1999, de 13 de diciembre, con especificación de los ficheros o tratamientos afectados.

En tal caso, se atenderá al documento de seguridad del encargado al efecto del cumplimiento de lo dispuesto por este reglamento.

7. El documento de seguridad deberá mantenerse en todo momento actualizado y será revisado siempre que se produzcan cambios relevantes en el sistema de información, en el sistema de tratamiento empleado, en su organización, en el contenido de la información incluida en los ficheros o tratamientos o, en su caso, como consecuencia de los controles periódicos realizados. En todo caso, se entenderá que un cambio es relevante cuando pueda repercutir en el cumplimiento de las medidas de seguridad implantadas.

8. El contenido del documento de seguridad deberá adecuarse, en todo momento, a las disposiciones vigentes en materia de seguridad de los datos de carácter personal.

CAPÍTULO III

Medidas de seguridad aplicables a ficheros y tratamientos automatizados

Sección 1.ª Medidas de seguridad de nivel básico

Art. 89. Funciones y obligaciones del personal.– 1. Las funciones y obligaciones de cada uno de los usuarios o perfiles de usuarios con acceso a los datos de carácter personal y a los sistemas de información estarán claramente definidas y documentadas en el documento de seguridad.

También se definirán las funciones de control o autorizaciones delegadas por el responsable del fichero o tratamiento.

2. El responsable del fichero o tratamiento adoptará las medidas necesarias para que el personal conozca de una forma comprensible las normas de seguridad que afecten al desarrollo de sus funciones así como las consecuencias en que pudiera incurrir en caso de incumplimiento.

Art. 90. Registro de incidencias.– Deberá existir un procedimiento de notificación y gestión de las incidencias que afecten a los datos de carácter personal y establecer un registro en el que se haga constar el tipo de incidencia, el momento en que se ha producido, o en su caso, detectado, la persona que realiza la notificación, a quién se le comunica, los efectos que se hubieran derivado de la misma y las medidas correctoras aplicadas.

Art. 91. Control de acceso.– 1. Los usuarios tendrán acceso únicamente a aquellos recursos que precisen para el desarrollo de sus funciones.

2. El responsable del fichero se encargará de que exista una relación actualizada de usuarios y perfiles de usuarios, y los accesos autorizados para cada uno de ellos.

3. El responsable del fichero establecerá mecanismos para evitar que un usuario pueda acceder a recursos con derechos distintos de los autorizados.

4. Exclusivamente el personal autorizado para ello en el documento de seguridad podrá conceder, alterar o anular el acceso autorizado sobre los recursos, conforme a los criterios establecidos por el responsable del fichero.

5. En caso de que exista personal ajeno al responsable del fichero que tenga acceso a los recursos deberá estar sometido a las mismas condiciones y obligaciones de seguridad que el personal propio.

Art. 92. Gestión de soportes y documentos.– 1. Los soportes y documentos que contengan datos de carácter personal deberán permitir identificar el tipo de información que contienen, ser inventariados y solo deberán ser accesibles por el personal autorizado para ello en el documento de seguridad.

Se exceptúan estas obligaciones cuando las características físicas del soporte imposibiliten su cumplimiento, quedando constancia motivada de ello en el documento de seguridad.

2. La salida de soportes y documentos que contengan datos de carácter personal, incluidos los comprendidos y/o anejos a un correo electrónico, fuera de los locales bajo el control del responsable del fichero o tratamiento deberá ser autorizada por el responsable del fichero o encontrarse debidamente autorizada en el documento de seguridad.

3. En el traslado de la documentación se adoptarán las medidas dirigidas a evitar la sustracción, pérdida o acceso indebido a la información durante su transporte.

4. Siempre que vaya a desecharse cualquier documento o soporte que contenga datos de carácter personal deberá procederse a su destrucción o borrado, mediante la adopción de medidas dirigidas a evitar el acceso a la información contenida en el mismo o su recuperación posterior.

5. La identificación de los soportes que contengan datos de carácter personal que la organización considerase especialmente sensibles se podrá realizar utilizando sistemas de etiquetado comprensibles y con significado que permitan a los usuarios con acceso autorizado a los citados soportes y documentos identificar su contenido, y que dificulten la identificación para el resto de personas.

Art. 93. Identificación y autenticación.– 1. El responsable del fichero o tratamiento deberá adoptar las medidas que garanticen la correcta identificación y autenticación de los usuarios.

2. El responsable del fichero o tratamiento establecerá un mecanismo que permita la identificación de forma inequívoca y personalizada de todo aquel usuario que intente acceder al sistema de información y la verificación de que está autorizado.

3. Cuando el mecanismo de autenticación se base en la existencia de contraseñas existirá un procedimiento de asignación, distribución y almacenamiento que garantice su confidencialidad e integridad.

4. El documento de seguridad establecerá la periodicidad, que en ningún caso será superior a un año, con la que tienen que ser cambiadas las contraseñas que, mientras estén vigentes, se almacenarán de forma ininteligible.

Art. 94. Copias de respaldo y recuperación.– 1. Deberán establecerse procedimientos de actuación para la realización como mínimo semanal de copias de respaldo, salvo que en dicho período no se hubiera producido ninguna actualización de los datos.

2. Asimismo, se establecerán procedimientos para la recuperación de los datos que garanticen en todo momento su reconstrucción en el estado en que se encontraban al tiempo de producirse la pérdida o destrucción.

Únicamente, en el caso de que la pérdida o destrucción afectase a ficheros o tratamientos parcialmente automatizados, y siempre que la existencia de documentación permita alcanzar el objetivo al que se refiere el párrafo anterior, se deberá proceder a grabar manualmente los datos quedando constancia motivada de este hecho en el documento de seguridad.

3. El responsable del fichero se encargará de verificar cada seis meses la correcta definición, funcionamiento y aplicación de los procedimientos de realización de copias de respaldo y de recuperación de los datos.

4. Las pruebas anteriores a la implantación o modificación de los sistemas de información que traten ficheros con datos de carácter personal no se realizarán con datos reales, salvo que se asegure el nivel de seguridad correspondiente al tratamiento realizado y se anote su realización en el documento de seguridad.

Si está previsto realizar pruebas con datos reales, previamente deberá haberse realizado una copia de seguridad.

Sección 2.ª Medidas de seguridad de nivel medio

Art. 95. Responsable de seguridad.– En el documento de seguridad deberán designarse uno o varios responsables de seguridad encargados de coordinar y controlar las medidas definidas en el mismo. Esta designación puede ser única para todos los ficheros o tratamientos de datos de carácter personal o diferenciada según los sistemas de tratamiento utilizados, circunstancia que deberá hacerse constar claramente en el documento de seguridad.

En ningún caso esta designación supone una exoneración de la responsabilidad que corresponde al responsable del fichero o al encargado del tratamiento de acuerdo con este reglamento.

Art. 96. Auditoría.– 1. A partir del nivel medio los sistemas de información e instalaciones de tratamiento y almacenamiento de datos se someterán, al menos cada dos años, a una auditoría interna o externa que verifique el cumplimiento del presente título.

Con carácter extraordinario deberá realizarse dicha auditoría siempre que se realicen modificaciones sustanciales en el sistema de información que puedan repercutir en el cumplimiento de las medidas de seguridad implantadas con el objeto de verificar la adaptación, adecuación y eficacia de las mismas. Esta auditoría inicia el cómputo de dos años señalado en el párrafo anterior.

2. El informe de auditoría deberá dictaminar sobre la adecuación de las medidas y controles a la Ley y su desarrollo reglamentario, identificar sus deficiencias y proponer las medidas correctoras o complementarias necesarias. Deberá, igualmente, incluir los datos, hechos y observaciones en que se basen los dictámenes alcanzados y las recomendaciones propuestas.

3. Los informes de auditoría serán analizados por el responsable de seguridad competente, que elevará las conclusiones al responsable del fichero o tratamiento para que adopte las medidas correctoras adecuadas y quedarán a disposición de la Agencia Española de Protección de Datos o, en su caso, de las autoridades de control de las comunidades autónomas.

Art. 97. Gestión de soportes y documentos.– 1. Deberá establecerse un sistema de registro de entrada de soportes que permita, directa o indirectamente, conocer el tipo de documento o soporte, la fecha y hora, el emisor, el número de documentos o soportes incluidos en el envío, el tipo de información que contienen, la forma de envío y la persona responsable de la recepción que deberá estar debidamente autorizada.

2. Igualmente, se dispondrá de un sistema de registro de salida de soportes que permita, directa o indirectamente, conocer el tipo de documento o soporte, la fecha y hora, el destinatario, el número de documentos o soportes incluidos en el envío, el tipo de información que contienen, la forma de envío y la persona responsable de la entrega que deberá estar debidamente autorizada.

Art. 98. Identificación y autenticación.– El responsable del fichero o tratamiento establecerá un mecanismo que limite la posibilidad de intentar reiteradamente el acceso no autorizado al sistema de información.

Art. 99. Control de acceso físico.– Exclusivamente el personal autorizado en el documento de seguridad podrá tener acceso a los lugares donde se hallen instalados los equipos físicos que den soporte a los sistemas de información.

Art. 100. Registro de incidencias.– 1. En el registro regulado en el Art. 90 deberán consignarse, además, los procedimientos realizados de recuperación de los datos, indicando la persona que ejecutó el proceso, los datos restaurados y, en su caso, qué datos ha sido necesario grabar manualmente en el proceso de recuperación.

2. Será necesaria la autorización del responsable del fichero para la ejecución de los procedimientos de recuperación de los datos.

Sección 3.ª Medidas de seguridad de nivel alto

Art. 101. Gestión y distribución de soportes.– 1. La identificación de los soportes se deberá realizar utilizando sistemas de etiquetado comprensibles y con significado que permitan a los usuarios con acceso autorizado a los citados soportes y documentos identificar su contenido, y que dificulten la identificación para el resto de personas.

2. La distribución de los soportes que contengan datos de carácter personal se realizará cifrando dichos datos o bien utilizando otro mecanismo que garantice que dicha información no sea accesible o manipulada durante su transporte.

Asimismo, se cifrarán los datos que contengan los dispositivos portátiles cuando éstos se encuentren fuera de las instalaciones que están bajo el control del responsable del fichero.

3. Deberá evitarse el tratamiento de datos de carácter personal en dispositivos portátiles que no permitan su cifrado. En caso de que sea estrictamente necesario se hará constar motivadamente en el documento de seguridad y se adoptarán medidas que tengan en cuenta los riesgos de realizar tratamientos en entornos desprotegidos.

Art. 102. Copias de respaldo y recuperación.– Deberá conservarse una copia de respaldo de los datos y de los procedimientos de recuperación de los mismos en un lugar diferente de aquel en que se encuentren los equipos informáticos que los tratan, que deberá cumplir en todo caso las medidas de seguridad exigidas en este título, o utilizando elementos que garanticen la integridad y recuperación de la información, de forma que sea posible su recuperación.

Art. 103. Registro de accesos.– 1. De cada intento de acceso se guardarán, como mínimo, la identificación del usuario, la fecha y hora en que se realizó, el fichero accedido, el tipo de acceso y si ha sido autorizado o denegado.

2. En el caso de que el acceso haya sido autorizado, será preciso guardar la información que permita identificar el registro accedido.

3. Los mecanismos que permiten el registro de accesos estarán bajo el control directo del responsable de seguridad competente sin que deban permitir la desactivación ni la manipulación de los mismos.

4. El período mínimo de conservación de los datos registrados será de dos años.

5. El responsable de seguridad se encargará de revisar al menos una vez al mes la información de control registrada y elaborará un informe de las revisiones realizadas y los problemas detectados.

6. No será necesario el registro de accesos definido en este artículo en caso de que concurran las siguientes circunstancias:

a) Que el responsable del fichero o del tratamiento sea una persona física.

b) Que el responsable del fichero o del tratamiento garantice que únicamente él tiene acceso y trata los datos personales.

La concurrencia de las dos circunstancias a las que se refiere el apartado anterior deberá hacerse constar expresamente en el documento de seguridad.

Art. 104. Telecomunicaciones.– Cuando, conforme al artículo 81.3 deban implantarse las medidas de seguridad de nivel alto, la transmisión de datos de carácter personal a través de redes públicas o redes inalámbricas de comunicaciones electrónicas se realizará cifrando dichos datos o bien utilizando cualquier otro mecanismo que garantice que la información no sea inteligible ni manipulada por terceros.

CAPÍTULO IV

Medidas de seguridad aplicables a los ficheros y tratamientos no automatizados

Sección 1.ª Medidas de seguridad de nivel básico

Art. 105. Obligaciones comunes.– 1. Además de lo dispuesto en el presente capítulo, a los ficheros no automatizados les será de aplicación lo dispuesto en los capítulos I y II del presente título en lo relativo a:

a) Alcance.

b) Niveles de seguridad.

c) Encargado del tratamiento.

d) Prestaciones de servicios sin acceso a datos personales.

e) Delegación de autorizaciones.

f) Régimen de trabajo fuera de los locales del responsable del fichero o encargado del tratamiento.

g) Copias de trabajo de documentos.

h) Documento de seguridad.

2. Asimismo se les aplicará lo establecido por la sección primera del capítulo III del presente título en lo relativo a:

a) Funciones y obligaciones del personal.

b) Registro de incidencias.

c) Control de acceso.

d) Gestión de soportes.

Art. 106. Criterios de archivo.– El archivo de los soportes o documentos se realizará de acuerdo con los criterios previstos en su respectiva legislación. Estos criterios deberán garantizar la correcta conservación de los documentos, la localización y consulta de la información y posibilitar el ejercicio de los derechos de oposición al tratamiento, acceso, rectificación y cancelación.

En aquellos casos en los que no exista norma aplicable, el responsable del fichero deberá establecer los criterios y procedimientos de actuación que deban seguirse para el archivo.

Art. 107. Dispositivos de almacenamiento.– Los dispositivos de almacenamiento de los documentos que contengan datos de carácter personal deberán disponer de mecanismos que obstaculicen su apertura. Cuando las características físicas de aquéllos no permitan adoptar esta medida, el responsable del fichero o tratamiento adoptará medidas que impidan el acceso de personas no autorizadas.

Art. 108. Custodia de los soportes.– Mientras la documentación con datos de carácter personal no se encuentre archivada en los dispositivos de almacenamiento establecidos en el artículo anterior, por estar en proceso de revisión o tramitación, ya sea previo o posterior a su archivo, la persona que se encuentre al cargo de la misma deberá custodiarla e impedir en todo momento que pueda ser accedida por persona no autorizada.

Sección 2.ª Medidas de seguridad de nivel medio

Art. 109. Responsable de seguridad.– Se designará uno o varios responsables de seguridad en los términos y con las funciones previstas en el artículo 95 de este reglamento.

Art. 110. Auditoría.– Los ficheros comprendidos en la presente sección se someterán, al menos cada dos años, a una auditoría interna o externa que verifique el cumplimiento del presente título.

Sección 3.ª Medidas de seguridad de nivel alto

Art. 111. Almacenamiento de la información.– 1. Los armarios, archivadores u otros elementos en los que se almacenen los ficheros no automatizados con datos de carácter personal deberán encontrarse en áreas en las que el acceso esté protegido con puertas de acceso dotadas de sistemas de apertura mediante llave u otro dispositivo equivalente. Dichas áreas deberán permanecer cerradas cuando no sea preciso el acceso a los documentos incluidos en el fichero.

2. Si, atendidas las características de los locales de que dispusiera el responsable del fichero o tratamiento, no fuera posible cumplir lo establecido en el apartado anterior, el responsable adoptará medidas alternativas que, debidamente motivadas, se incluirán en el documento de seguridad.

Art. 112. Copia o reproducción.– 1. La generación de copias o la reproducción de los documentos únicamente podrá ser realizada bajo el control del personal autorizado en el documento de seguridad.

2. Deberá procederse a la destrucción de las copias o reproducciones desechadas de forma que se evite el acceso a la información contenida en las mismas o su recuperación posterior.

Art. 113. Acceso a la documentación.– 1. El acceso a la documentación se limitará exclusivamente al personal autorizado.

2. Se establecerán mecanismos que permitan identificar los accesos realizados en el caso de documentos que puedan ser utilizados por múltiples usuarios.

3. El acceso de personas no incluidas en el párrafo anterior deberá quedar adecuadamente registrado de acuerdo con el procedimiento establecido al efecto en el documento de seguridad.

Art. 114. Traslado de documentación.– Siempre que se proceda al traslado físico de la documentación contenida en un fichero, deberán adoptarse medidas dirigidas a impedir el acceso o manipulación de la información objeto de traslado.

TÍTULO IX

Procedimientos tramitados por la Agencia Española de Protección de Datos

CAPÍTULO I

Disposiciones generales

Art. 115. Régimen aplicable.– 1. Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el presente título, y supletoriamente, por la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común.

2. Específicamente serán de aplicación las normas reguladoras del procedimiento administrativo común al régimen de representación en los citados procedimientos.

Art. 116. Publicidad de las resoluciones.– 1. La Agencia Española de Protección de Datos hará públicas sus resoluciones, con excepción de las correspondientes a la inscripción de un fichero o tratamiento en el Registro General de Protección de Datos y de aquéllas por las que se resuelva la inscripción en el mismo de los códigos tipo, siempre que se refieran a procedimientos que se hubieran iniciado con posterioridad al 1 de enero de 2004, o correspondan al archivo de actuaciones inspectoras incoadas a partir de dicha fecha.

2. La publicación de estas resoluciones se realizará preferentemente mediante su inserción en el sitio web de la Agencia Española de Protección de Datos, dentro del plazo de un mes a contar desde la fecha de su notificación a los interesados.

3. En la notificación de las resoluciones se informará expresamente a los interesados de la publicidad prevista en el artículo 37.2 de la Ley Orgánica 15/1999, de 13 de diciembre.

4. La publicación se realizará aplicando los criterios de disociación de los datos de carácter personal que a tal efecto se establezcan mediante Resolución del Director de la Agencia.

CAPÍTULO II

Procedimiento de tutela de los derechos de acceso, rectificación, cancelación y oposición

Art. 117. Instrucción del procedimiento.– 1. El procedimiento se iniciará a instancia del afectado o afectados, expresando con claridad el contenido de su reclamación y de los preceptos de la Ley Orgánica 15/1999, de 13 de diciembre, que se consideran vulnerados.

2. Recibida la reclamación en la Agencia Española de Protección de Datos, se dará traslado de la misma al responsable del fichero, para que, en el plazo de quince días, formule las alegaciones que estime pertinentes.

3. Recibidas las alegaciones o transcurrido el plazo previsto en el apartado anterior, la Agencia Española de Protección de Datos, previos los informes, pruebas y otros actos de instrucción pertinentes, incluida la audiencia del afectado y nuevamente del responsable del fichero, resolverá sobre la reclamación formulada.

Art. 118. Duración del procedimiento y efectos de la falta de resolución expresa.– 1. El plazo máximo para dictar y notificar resolución en el procedimiento de tutela de derechos será de seis meses, a contar desde la fecha de entrada en la Agencia Española de Protección de Datos de la reclamación del afectado o afectados.

2. Si en dicho plazo no se hubiese dictado y notificado resolución expresa, el afectado podrá considerar estimada su reclamación por silencio administrativo positivo.

Art. 119. Ejecución de la resolución.– Si la resolución de tutela fuese estimatoria, se requerirá al responsable del fichero para que, en el plazo de diez días siguientes a la notificación, haga efectivo el ejercicio de los derechos objeto de la tutela, debiendo dar cuenta por escrito de dicho cumplimiento a la Agencia Española de Protección de Datos en idéntico plazo.

CAPÍTULO III

Procedimientos relativos al ejercicio de la potestad sancionadora

Sección 1.ª Disposiciones generales

Art. 120. Ámbito de aplicación.– 1. Las disposiciones contenidas en el presente capítulo serán de aplicación a los procedimientos relativos al ejercicio por la Agencia Española de Protección de Datos de la potestad sancionadora que le viene atribuida por la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de datos de carácter personal, en la Ley 34/2002, de 11 de julio, de Servicios de la sociedad de la información y de comercio electrónico, y en la Ley 32/2003, de 3 de noviembre, General de Telecomunicaciones.

2. No obstante, las disposiciones previstas en el artículo 121 y en la sección cuarta de este capítulo únicamente serán aplicables a los procedimientos referidos al ejercicio de la potestad sancionadora prevista en la Ley Orgánica 15/1999, de 13 de diciembre.

Art. 121. Inmovilización de ficheros.– 1. En el supuesto previsto como infracción muy grave en la Ley Orgánica 15/1999, de 13 de diciembre, consistente en la utilización o cesión ilícita de los datos de carácter personal en la que se impida gravemente o se atente de igual modo contra el ejercicio de los derechos de los ciudadanos y el libre desarrollo de la personalidad que la Constitución y las leyes garantizan, el Director de la Agencia Española de Protección de Datos podrá, en cualquier momento del procedimiento, requerir a los responsables de ficheros o tratamientos de datos de carácter personal, tanto de titularidad pública como privada, la cesación en la utilización o cesión ilícita de los datos.

2. El requerimiento deberá ser atendido en el plazo improrrogable de tres días, durante el cual el responsable del fichero podrá formular las alegaciones que tenga por convenientes en orden al levantamiento de la medida.

3. Si el requerimiento fuera desatendido, el Director de la Agencia Española de Protección de Datos podrá, mediante resolución motivada, acordar la inmovilización de tales ficheros o tratamientos, a los solos efectos de restaurar los derechos de las personas afectadas.

Sección 2.ª Actuaciones previas

Art. 122. Iniciación.– 1. Con anterioridad a la iniciación del procedimiento sancionador, se podrán realizar actuaciones previas con objeto de determinar si concurren circunstancias que justifiquen tal iniciación. En especial, estas actuaciones se orientarán a determinar, con la mayor precisión posible, los hechos que pudieran justificar la incoación del procedimiento, identificar la persona u órgano que pudiera resultar responsable y fijar las circunstancias relevantes que pudieran concurrir en el caso.

2. Las actuaciones previas se llevarán a cabo de oficio por la Agencia Española de Protección de Datos, bien por iniciativa propia o como consecuencia de la existencia de una denuncia o una petición razonada de otro órgano.

3. Cuando las actuaciones se lleven a cabo como consecuencia de la existencia de una denuncia o de una petición razonada de otro órgano, la Agencia Española de Protección de Datos acusará recibo de la denuncia o petición, pudiendo solicitar cuanta documentación se estime oportuna para poder comprobar los hechos susceptibles de motivar la incoación del procedimiento sancionador.

4. Estas actuaciones previas tendrán una duración máxima de doce meses a contar desde la fecha en la que la denuncia o petición razonada a las que se refiere el apartado 2 hubieran tenido entrada en la Agencia Española de Protección de Datos o, en caso de no existir aquéllas, desde que el Director de la Agencia acordase la realización de dichas actuaciones.

El vencimiento del plazo sin que haya sido dictado y notificado acuerdo de inicio de procedimiento sancionador producirá la caducidad de las actuaciones previas.

Art. 123. Personal competente para la realización de las actuaciones previas.– 1. Las actuaciones previas serán llevadas a cabo por el personal del área de la Inspección de Datos habilitado para el ejercicio de funciones inspectoras.

2. En supuestos excepcionales, el Director de la Agencia Española de Protección de Datos podrá designar para la realización de actuaciones específicas a funcionarios de la propia Agencia no habilitados con carácter general para el ejercicio de funciones inspectoras o a funcionarios que no presten sus funciones en la Agencia, siempre que reúnan las condiciones de idoneidad y especialización necesarias para la realización de tales actuaciones. En estos casos, la autorización indicará expresamente la identificación del funcionario y las concretas actuaciones previas de inspección a realizar [27]. .

3. Los funcionarios que ejerzan la inspección a los que se refieren los dos apartados anteriores tendrán la consideración de autoridad pública en el desempeño de sus cometidos.

Estarán obligados a guardar secreto sobre las informaciones que conozcan en el ejercicio de las mencionadas funciones, incluso después de haber cesado en las mismas.

Art. 124. Obtención de información.– Los inspectores podrán recabar cuantas informaciones precisen para el cumplimiento de sus cometidos. A tal fin podrán requerir la exhibición o el envío de los documentos y datos y examinarlos en el lugar en que se encuentren depositados, como obtener copia de los mismos, inspeccionar los equipos físicos y lógicos, así como requerir la ejecución de tratamientos y programas o procedimientos de gestión y soporte del fichero o ficheros sujetos a investigación, accediendo a los lugares donde se hallen instalados.

Art. 125. Actuaciones presenciales.– 1. En el desarrollo de las actuaciones previas se podrán realizar visitas de inspección por parte de los inspectores designados, en los locales o sede del inspeccionado, o donde se encuentren ubicados los ficheros, en su caso. A tal efecto, los inspectores habrán sido previamente autorizados por el Director de la Agencia Española de Protección de Datos.

Las inspecciones podrán realizarse en el domicilio del inspeccionado, en la sede o local concreto relacionado con el mismo o en cualquiera de sus locales, incluyendo aquéllos en que el tratamiento sea llevado a cabo por un encargado.

La autorización se limitará a indicar la habilitación del inspector autorizado y la identificación de la persona u órgano inspeccionado.

2. En el supuesto contemplado en el apartado anterior, las inspecciones concluirán con el levantamiento de la correspondiente acta, en la que quedará constancia de las actuaciones practicadas durante la visita o visitas de inspección.

3. El acta, que se emitirá por duplicado, será firmada por los inspectores actuantes y por el inspeccionado, que podrá hacer constar en la misma las alegaciones o manifestaciones que tenga por conveniente.

En caso de negativa del inspeccionado a la firma del acta, se hará constar expresamente esta circunstancia en la misma. En todo caso, la firma por el inspeccionado del acta no supondrá su conformidad, sino tan sólo la recepción de la misma.

Se entregará al inspeccionado uno de los originales del acta de inspección, incorporándose el otro a las actuaciones.

Art. 126. Resultado de las actuaciones previas.– 1. Finalizadas las actuaciones previas, éstas se someterán a la decisión del Director de la Agencia Española de Protección de Datos.

Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso.

2. En caso de apreciarse la existencia de indicios susceptibles de motivar la imputación de una infracción, el Director de la Agencia Española de Protección de Datos dictará acuerdo de inicio de procedimiento sancionador o de infracción de las Administraciones públicas, que se tramitarán conforme a lo dispuesto, respectivamente, en las secciones tercera y cuarta del presente capítulo.

Sección 3.ª Procedimiento sancionador

Art. 127. Iniciación del procedimiento.– Con carácter específico el acuerdo de inicio del procedimiento sancionador deberá contener:

a) Identificación de la persona o personas presuntamente responsables.

b) Descripción sucinta de los hechos imputados, su posible calificación y las sanciones que pudieran corresponder, sin perjuicio de lo que resulte de la instrucción.

c) Indicación de que el órgano competente para resolver el procedimiento es el Director de la Agencia Española de Protección de Datos.

d) Indicación al presunto responsable de que puede reconocer voluntariamente su responsabilidad, en cuyo caso se dictará directamente resolución.

e) Designación de instructor y, en su caso, secretario, con expresa indicación del régimen de recusación de los mismos.

f) Indicación expresa del derecho del responsable a formular alegaciones, a la audiencia en el procedimiento y a proponer las pruebas que estime procedentes.

g) Medidas de carácter provisional que pudieran acordarse, en su caso, conforme a lo establecido en la sección primera del presente capítulo.

Art. 128. Plazo máximo para resolver.– 1. El plazo para dictar resolución será el que determinen las normas aplicables a cada procedimiento sancionador y se computará desde la fecha en que se dicte el acuerdo de inicio hasta que se produzca la notificación de la resolución sancionadora, o se acredite debidamente el intento de notificación.

2. El vencimiento del citado plazo máximo, sin que se haya dictada y notificada resolución expresa, producirá la caducidad del procedimiento y el archivo de las actuaciones.

Sección 4.ª Procedimiento de declaración de infracción de la Ley Orgánica 15/1999, de 13 de diciembre, por las administraciones públicas

Art. 129. Disposición general.– El procedimiento por el que se declare la existencia de una infracción de la Ley Orgánica 15/1999, de 13 de diciembre, cometida por las Administraciones públicas será el establecido en la sección tercera de este capítulo.

CAPÍTULO IV

Procedimientos relacionados con la inscripción o cancelación de ficheros

Sección 1.ª Procedimiento de inscripción de la creación, modificación o supresión de ficheros

Art. 130. Iniciación del procedimiento.– 1. El procedimiento se iniciará como consecuencia de la notificación de la creación, modificación o supresión del fichero por el interesado o, en su caso, de la comunicación efectuada por las autoridades de control de las comunidades autónomas, a la que se refiere el presente reglamento.

2. La notificación se deberá efectuar cumplimentando los modelos o formularios electrónicos publicados al efecto por la Agencia Española de Protección de Datos, en virtud de lo dispuesto en el apartado 1 del artículo 59 de este reglamento.

Tratándose de la notificación de la modificación o supresión de un fichero, deberá indicarse en la misma el código de inscripción del fichero en el Registro General de Protección de Datos.

3. La notificación se efectuará en soporte electrónico, ya mediante comunicación electrónica a través de Internet mediante firma electrónica o en soporte informático, utilizando al efecto el programa de ayuda para la generación de notificaciones que la Agencia pondrá a disposición de los interesados de forma gratuita.

Será igualmente válida la notificación efectuada en soporte papel cuando para su cumplimentación hayan sido utilizados los modelos o formularios publicados por la Agencia.

4. En la notificación, el responsable del fichero deberá declarar un domicilio a efectos de notificaciones en el procedimiento.

Art. 131. Especialidades en la notificación de ficheros de titularidad pública.– 1. Cuando se trate de la notificación de ficheros de titularidad pública, deberá acompañarse a la notificación una copia de la norma o acuerdo de creación, modificación o supresión del fichero a que hace referencia el artículo 52 del presente reglamento.

Cuando el diario oficial en el que se encuentre publicada la citada norma o acuerdo sea accesible a través de Internet, bastará con indicar en la notificación la dirección electrónica que permita su concreta localización.

2. Recibida la notificación, si la misma no contuviera la información preceptiva o se advirtieran defectos formales, el Registro General de Protección de Datos requerirá al responsable del fichero para que complete o subsane la notificación. El plazo para la subsanación o mejora de la solicitud será de tres meses, en el caso de que se precise la modificación de la norma o acuerdo de creación del fichero.

Art. 132. Acuerdo de inscripción o cancelación.– Si la notificación referida a la creación, modificación o supresión del fichero contuviera la información preceptiva y se cumplieran las restantes exigencias legales, el Director de la Agencia Española de Protección de Datos, a propuesta del Registro General de Protección de Datos, acordará, respectivamente, la inscripción del fichero, asignando al mismo el correspondiente código de inscripción, la modificación de la inscripción del fichero o la cancelación de la inscripción correspondiente.

Art. 133. Improcedencia o denegación de la inscripción.– El Director de la Agencia Española de Protección de Datos, a propuesta del Registro General de Protección de Datos, dictará resolución denegando la inscripción, modificación o cancelación cuando de los documentos aportados por el responsable del fichero se desprenda que la notificación no resulta conforme a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre.

La resolución será debidamente motivada, con indicación expresa de las causas que impiden la inscripción, modificación o cancelación.

Art. 134. Duración del procedimiento y efectos de la falta de resolución expresa.– 1. El plazo máximo para dictar y notificar resolución acerca de la inscripción, modificación o cancelación será de un mes.

2. Si en dicho plazo no se hubiese dictado y notificado resolución expresa, se entenderá inscrito, modificado o cancelado el fichero a todos los efectos.

Sección 2.ª Procedimiento de cancelación de oficio de ficheros inscritos

Art. 135. Iniciación del procedimiento.– El procedimiento de cancelación de oficio de los ficheros inscritos en el Registro General de Protección de Datos se iniciará siempre de oficio, bien por propia iniciativa o en virtud de denuncia, por acuerdo del Director de la Agencia Española de Protección de Datos.

Art. 136. Terminación del expediente.– La resolución, previa audiencia del interesado, acordará haber lugar o no a la cancelación del fichero.

Si la resolución acordase la cancelación del fichero, se dará traslado de la misma al Registro General de Protección de Datos, para que proceda a la cancelación.

CAPÍTULO V

Procedimientos relacionados con las transferencias internacionales de datos

Sección 1.ª Procedimiento de autorización de transferencias internacionales de datos

Art. 137. Iniciación del procedimiento.– 1. El procedimiento para la obtención de la autorización para las transferencias internacionales de datos a países terceros a las que se refiere el artículo 33 de la Ley Orgánica 15/1999, de 13 de diciembre, y el artículo 70 de este reglamento se iniciará siempre a solicitud del exportador que pretenda llevar a cabo la transferencia.

2. En su solicitud, además de los requisitos legalmente exigidos, el exportador deberá consignar, en todo caso:

a) La identificación del fichero o ficheros a cuyos datos se refiera la transferencia internacional, con indicación de su denominación y código de inscripción del fichero en el Registro General de Protección de Datos.

b) La transferencia o transferencias respecto de las que se solicita la autorización, con indicación de la finalidad que la justifica.

c) La documentación que incorpore las garantías exigibles para la obtención de la autorización así como el cumplimiento de los requisitos legales necesarios para la realización de la transferencia, en su caso.

Cuando la autorización se fundamente en la existencia de un contrato entre el exportador y el importador de los datos, deberá aportarse copia del mismo, acreditándose asimismo la concurrencia de poder suficiente en sus otorgantes.

Si la autorización se pretendiera fundar en lo dispuesto en el apartado 4 del artículo 70, deberán aportarse las normas o reglas adoptadas en relación con el tratamiento de los datos en el seno del grupo, así como la documentación que acredite su carácter vinculante y su eficacia dentro del grupo. Igualmente deberá aportarse la documentación que acredite la posibilidad de que el afectado o la Agencia Española de Protección de Datos puedan exigir la responsabilidad que corresponda en caso de perjuicio del afectado o vulneración de las normas de protección de datos por parte de cualquier empresa importadora.

Art. 138. Instrucción del procedimiento.– 1. Cuando el Director de la Agencia Española de Protección de Datos acuerde, conforme a lo dispuesto en el artículo 86.1 de la Ley 30/1992, de 26 de noviembre, la apertura de un período de información pública, el plazo para la formulación de alegaciones será de diez días a contar desde la publicación en el «Boletín Oficial del Estado» del anuncio previsto en dicha Ley.

2. No será posible el acceso a la información del expediente en que concurran las circunstancias establecidas en el artículo 37.5 de la Ley 30/1992, de 26 de noviembre [28].

3. Transcurrido el plazo previsto en el apartado 1, en caso de que se hubieran formulado alegaciones, se dará traslado de las mismas al solicitante de la autorización, a fin de que en el plazo de diez días alegue lo que estime procedente.

Art. 139. Actos posteriores a la resolución.– 1. Cuando el Director de la Agencia Española de Protección de Datos resuelva autorizar la transferencia internacional de datos, se dará traslado de la resolución de autorización al Registro General de Protección de Datos, a fin de proceder a su inscripción.

El Registro General de Protección de Datos inscribirá de oficio la autorización de transferencia internacional.

2. En todo caso, se dará traslado de la resolución de autorización o denegación de la autorización de la transferencia internacional de datos al Ministerio de Justicia, al efecto de que se proceda a su notificación a la Comisión Europea y a los demás Estados miembros de la Unión Europea de acuerdo a lo previsto en el artículo 26.3 de la Directiva 95/46/CE.

Art. 140. Duración del procedimiento y efectos de la falta de resolución expresa.– 1. El plazo máximo para dictar y notificar resolución será de tres meses, a contar desde la fecha de entrada en la Agencia Española de Protección de Datos de la solicitud.

2. Si en dicho plazo no se hubiese dictado y notificado resolución expresa, se entenderá autorizada la transferencia internacional de datos.

Sección 2.ª Procedimiento de suspensión temporal de transferencias internacionales de datos

Art. 141. Iniciación.– 1. En los supuestos contemplados en el artículo 69 y en el apartado 3 del artículo 70, el Director de la Agencia Española de Protección de Datos podrá acordar la suspensión temporal de una transferencia internacional de datos.

2. En tales supuestos, el Director dictará acuerdo de inicio referido a la suspensión temporal de la transferencia. El acuerdo deberá ser motivado y fundarse en los supuestos previstos en este reglamento.

Art. 142. Instrucción y resolución.– 1. Se dará traslado del acuerdo al exportador, a fin de que en el plazo de quince días formule lo que a su derecho convenga.

2. Recibidas las alegaciones o cumplido el plazo señalado, el Director dictará resolución acordando, en su caso, la suspensión temporal de la transferencia internacional de datos.

Art. 143. Actos posteriores a la resolución.– 1. El Director de la Agencia Española de Protección de Datos dará traslado de la resolución al Registro General de Protección de Datos, a fin de que la misma se haga constar en el registro.

El Registro General de Protección de Datos inscribirá de oficio la suspensión temporal de la transferencia internacional.

2. En todo caso, se dará traslado de la resolución al Ministerio de Justicia, al efecto de que se proceda a su notificación a la Comisión Europea y a los demás Estados miembros de la Unión Europea de acuerdo a lo previsto en el artículo 26.3 de la Directiva 95/46/CE.

Art. 144. Levantamiento de la suspensión temporal.– 1. La suspensión se levantará tan pronto como cesen las causas que la hubieran justificado, mediante resolución del Director de la Agencia Española de Protección de Datos, del que se dará traslado al exportador.

2. El Director de la Agencia Española de Protección de Datos dará traslado de la resolución al Registro General de Protección de Datos, a fin de que la misma se haga constar en el Registro.

El Registro General de Protección de Datos hará constar de oficio el levantamiento de la suspensión temporal de la transferencia internacional.

3. El acuerdo será notificado al exportador y al Ministerio de Justicia, al efecto de que se proceda a su notificación a la Comisión Europea y a los demás Estados miembros de la Unión Europea de acuerdo a lo previsto en el artículo 26. 3 de la Directiva 95/46/CE.

CAPÍTULO VI

Procedimiento de inscripción de códigos tipo

Art. 145. Iniciación del procedimiento.– 1. El procedimiento para la inscripción en el Registro General de Protección de Datos de los códigos tipo se iniciará siempre a solicitud de la entidad, órgano o asociación promotora del código tipo.

2. La solicitud, que deberá reunir los requisitos legalmente establecidos, habrá de acompañarse de los siguientes documentos:

a) Acreditación de la representación que concurra en la persona que presente la solicitud.

b) Contenido del acuerdo, convenio o decisión por la que se aprueba, en el ámbito correspondiente el contenido del código tipo presentado.

c) En caso de que el código tipo proceda de un acuerdo sectorial o una decisión de empresa certificación referida a la adopción del acuerdo y legitimación del órgano que lo adoptó.

d) En el supuesto contemplado en la letra anterior, copia de los estatutos de la asociación, organización sectorial o entidad en cuyo marco haya sido aprobado el código.

e) En caso de códigos tipo presentados por asociaciones u organizaciones de carácter sectorial, documentación relativa a su representatividad en el sector.

f) En caso de códigos tipo basados en decisiones de empresa, descripción de los tratamientos a los que se refiere el código tipo.

g) Código tipo sometido a la Agencia Española de Protección de Datos.

Art. 146. Análisis de los aspectos sustantivos del código tipo.– 1. Durante los treinta días siguientes a la notificación o subsanación de los defectos el Registro General de Protección de Datos podrá convocar a los solicitantes, a fin de obtener aclaraciones o precisiones relativas al contenido sustantivo del código tipo.

2. Transcurrido el plazo señalado en el apartado anterior, el Registro General de Protección de Datos elaborará un informe sobre las características del proyecto de código tipo.

3. La documentación presentada y el informe del Registro serán remitidos al Gabinete Jurídico, a fin de que por el mismo se informe acerca del cumplimiento de los requisitos establecidos en el Título VII de este Reglamento.

Art. 147. Información pública.– 1. Cuando el Director de la Agencia Española de Protección de Datos acuerde, conforme a lo dispuesto en el artículo 86.1 de la Ley 30/1992, de 26 de noviembre, la apertura de un período de información pública, el plazo para la formulación de alegaciones será de diez días a contar desde la publicación en el «Boletín Oficial del Estado» del anuncio previsto en dicha ley.

2. No será posible el acceso a la información del expediente en que concurran las circunstancias establecidas en el artículo 37.5 de la Ley 30/1992, de 26 de noviembre [29].

Art. 148. Mejora del código tipo.– Si durante la tramitación del procedimiento resultase necesaria la aportación de nuevos documentos o la modificación del código tipo presentado, la Agencia Española de Protección de Datos podrá requerir al solicitante, a fin de que en el plazo de treinta días introduzca las modificaciones que sean precisas, remitiendo el texto resultante a la Agencia Española de Protección de Datos.

Se declarará la suspensión del procedimiento en tanto el solicitante no dé cumplimiento al requerimiento.

Art. 149. Trámite de audiencia.– En caso de que durante el trámite previsto en el artículo 148 se hubieran formulado alegaciones, se dará traslado de las mismas al solicitante de la autorización, a fin de que en el plazo de diez días alegue lo que estime procedente.

Art. 150. Resolución.– 1. Cumplidos los términos establecidos en los artículos precedentes, el Director de la Agencia resolverá sobre la procedencia o improcedencia de la inscripción del código tipo en el Registro General de Protección de Datos.

2. Cuando el Director de la Agencia Española de Protección de Datos resuelva autorizar la inscripción del código tipo, se dará traslado de la resolución al Registro General de Protección de Datos, a fin de proceder a su inscripción.

Art. 151. Duración del procedimiento y efectos de la falta de resolución expresa.– 1. El plazo máximo para dictar y notificar resolución será de seis meses, a contar desde la fecha de entrada de la solicitud en la Agencia Española de Protección de Datos.

2. Si en dicho plazo no se hubiese dictado y notificado resolución expresa, el solicitante podrá considerar estimada su solicitud.

Art. 152. Publicación de los códigos tipo por la Agencia Española de Protección de Datos.– La Agencia Española de Protección de Datos dará publicidad al contenido de los códigos tipo inscritos en el Registro General de Protección de Datos, utilizando para ello, con carácter preferente, medios electrónicos o telemáticos.

CAPÍTULO VII

Otros procedimientos tramitados por la agencia española de protección de datos

Sección 1.ª Procedimiento de exención del deber de información al interesado

Art. 153. Iniciación del procedimiento.– 1. El procedimiento para obtener de la Agencia Española de Protección de Datos la exención del deber de informar al interesado acerca del tratamiento de sus datos de carácter personal cuando resulte imposible o exija esfuerzos desproporcionados, prevista en el apartado 5 del artículo 5 de la Ley Orgánica 15/1999, de 13 de diciembre, se iniciará siempre a petición del responsable que pretenda obtener la aplicación de la exención.

2. En el escrito de solicitud, además de los requisitos recogidos en el artículo 70 de la Ley 30/1992, de 26 de noviembre, el responsable deberá:

a) Identificar claramente el tratamiento de datos al que pretende aplicarse la exención del deber de informar.

b) Motivar expresamente las causas en que fundamenta la imposibilidad o el carácter desproporcionado del esfuerzo que implicaría el cumplimiento del deber de informar.

c) Exponer detalladamente las medidas compensatorias que propone realizar en caso de exoneración del cumplimiento del deber de informar.

d) Aportar una cláusula informativa que, mediante su difusión, en los términos que se indiquen en la solicitud, permita compensar la exención del deber de informar.

Art. 154. Propuesta de nuevas medidas compensatorias.– 1. Si la Agencia Española de Protección de Datos considerase insuficientes las medidas compensatorias propuestas por el solicitante, podrá acordar la adopción de medidas complementarias o sustitutivas a las propuestas por aquél en su solicitud.

2. Del acuerdo se dará traslado al solicitante, a fin de que exponga lo que a su derecho convenga en el plazo de quince días.

Art. 155. Terminación del procedimiento.– Concluidos los trámites previstos en los artículos precedentes, el Director de la Agencia dictará resolución, concediendo o denegando la exención del deber de informar. La resolución podrá imponer la adopción de las medidas complementarias a las que se refiere el artículo anterior.

Art. 156. Duración del procedimiento y efectos de la falta de resolución expresa.– 1. El plazo máximo para dictar y notificar resolución en el procedimiento será de seis meses, a contar desde la fecha de entrada en la Agencia Española de Protección de Datos de la solicitud del responsable del fichero.

2. Si en dicho plazo no se hubiese dictado y notificado resolución expresa, el afectado podrá considerar estimada su solicitud por silencio administrativo positivo.

Sección 2.ª Procedimiento para la autorización de conservación de datos para fines históricos, estadísticos o científicos

Art. 157. Iniciación del procedimiento.– 1. El procedimiento para obtener de la Agencia Española de Protección de Datos la declaración de la concurrencia en un determinado tratamiento de datos de valores históricos, científicos o estadísticos, a los efectos previstos en la Ley Orgánica 15/1999, de 13 de diciembre, y en el presente Reglamento, se iniciará siempre a petición del responsable que pretenda obtener la declaración.

2. En el escrito de solicitud, el responsable deberá:

a) Identificar claramente el tratamiento de datos al que pretende aplicarse la excepción.

b) Motivar expresamente las causas que justificarían la declaración.

c) Exponer detalladamente las medidas que el responsable del fichero se propone implantar para garantizar el derecho de los ciudadanos.

3. La solicitud deberá acompañarse de cuantos documentos o pruebas sean necesarios para justificar la existencia de los valores históricos, científicos o estadísticos que fundamentarían la declaración de la Agencia.

Art. 158. Duración del procedimiento y efectos de la falta de resolución expresa.– 1. El plazo máximo para dictar y notificar resolución en el procedimiento será de tres meses, a contar desde la fecha de entrada en la Agencia Española de Protección de Datos de la solicitud del responsable del fichero.

2. Si en dicho plazo no se hubiese dictado y notificado resolución expresa, el afectado podrá considerar estimada su solicitud.

DISPOSICIÓN ADICIONAL

Única. Productos de software.– Los productos de software destinados al tratamiento automatizado de datos personales deberán incluir en su descripción técnica el nivel de seguridad, básico, medio o alto, que permitan alcanzar de acuerdo con lo establecido en el título VIII de este reglamento.

DISPOSICIÓN FINAL

Única. Aplicación supletoria.– En lo no establecido en el capítulo III del título IX serán de aplicación a los procedimientos sancionadores tramitados por la Agencia Española de Protección de Datos las disposiciones contenidas en el Reglmaento de Procedimiento para el ejercicio de la potestad sancionadora, aprobado por Real Decreto 1398/1993, de 4 de agosto.

[1] Artículo 31 de la citada Ley (§ 1).

[2] Véase el artículo 9.1 de este Reglamento.

[3] Véase el artículo 9.2 de este Reglamento.

[4] Artículo 16.3 de la citada Ley.

[5] Véanse los artículos 157 y 158 del presente Reglamento.

[6] Artículo declarado nulo por Sentencia de 15 de julio de 2010, de la Sala Tercera del Tribunal Supremo («BOE» núm. 259 de 26 de octubre).

[7] Véanse la Ley 32/2003, de 3 de noviembre, General de Telecomunicaciones, el Real Decreto 424/2005, de 15 de abril, por el que se aprueba el Reglamento sobre las condiciones para la prestación de servicios de comunicaciones electrónicas, el servicio universal y la protección de los usuarios y la Ley 25/2007, de 18 de octubre, de conservación de datos relativos a las comunicaciones electrónicas y a las redes públicas de comunicaciones (§§ 21, 22 y 23).

[8] Artículo declarado nulo por Sentencias de 15 de julio de 2010, de la Sala Tercera del Tribunal Supremo («BOE» núm. 259, de 26 de octubre).

[9] Véase el artículo 21.2 c) de este Reglamento.

[10] Véase el artículo 37 de la citada Ley.

[11] Véase el artículo 16 de la Ley (§ 1).

[12] El inciso que aparece en cursiva ha sido declarado nulo por Sentencia de 15 de julio de 2010, de la Sala Tercera del Tribunal Supremo («BOE» núm. 259, de 26 de octubre).

[13] Apartado declarado nulo por Sentencia de 15 de julio de 2010, de la Sala Tercera del Tribunal Supremo («BOE» núm. 259 , de 26 de octubre).

[14] Artículos 15 y siguientes de la citada Ley (§ 1).

[15] Véase el Artículo 34 b) de este Reglamento.

[16] Artículo 20 de la Ley (§ 1).

[17] Véase el artículo 131 del presente Reglamento.

[18] Véase el artículo 61 de este Reglamento.

[19] Véase el artículo 130.2 del presente Reglamento.

[20] El artículo citado de la Ley 30/1992, de 26 de noviembre, establece:

«Artículo 105. Revocación de actos y rectificación de errores.

1. Las Administraciones públicas podrán revocar en cualquier momento sus actos de gravamen o desfavorables, siempre que tal revocación no constituya dispensa o exención no permitida por las leyes, o sea contraria al principio de igualdad, al interés público o al ordenamiento jurídico.

2. Las Administraciones públicas podrán, asimismo, rectificar en cualquier momento, de oficio o a instancia de los interesados, los errores materiales, de hecho o aritméticos existentes en sus actos.»

[21] Artículos 33 y 34 de la citada Ley.

[22] Véase el artículo 137 de este Reglamento.

[23] Véanse los artículos 141 a 144 del presente Reglamento.

[24] Véase el apartado 4 del artículo 137 de este Reglamento.

[25] Véase el artículo 104 de este Reglamento.

[26] Letra redactada de acuerdo con el Real Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el ámbito de la Administración Electrónica.

[27] Apartado declarado nulo por Sentencia de 15 de julio de 2010, de la Sala Tercera del Tribunal Supremo («BOE» núm. 259 de 26 de octubre).

[28] La Ley 30/1992, de 26 de noviembre establece en su artículo 37.5:

«Artículo 37. Derecho de acceso a Archivos y Registros.

[.......]

5. El derecho de acceso no podrá ser ejercido respecto a los siguientes expedientes:

a) Los que contengan información sobre las actuaciones del Gobierno del Estado o de las Comunidades Autónomas, en el ejercicio de sus competencias constitucionales no sujetas a Derecho Administrativo.

b) Los que contengan información sobre la Defensa Nacional o la Seguridad del Estado.

c) Los tramitados para la investigación de los delitos cuando pudiera ponerse en peligro la protección de los derechos y libertades de terceros o las necesidades de las investigaciones que se estén realizando.

d) Los relativos a las materias protegidas por el secreto comercial o industrial.

e) Los relativos a actuaciones administrativas derivadas de la política monetaria.»

[29] El citado artículo figura trascrito en nota al artículo 138.2 de este Reglamento.

§ 3 REAL DECRETO 428/1993, DE 26 DE MARZO (RELACIONES CON LAS CORTES Y DE LA SECRETARÍA DEL GOBIERNO), POR EL QUE SE APRUEBA EL ESTATUTO DE LA AGENCIA DE PROTECCIÓN DE DATOS [1]

(«BOE» núm. 106, de 4 de mayo de 1993)

El título VI de la Ley Orgánica 5/1992, de 29 de octubre, de Regulación del Tratamiento Automatizado de los Datos de Carácter Personal, ha configurado la Agencia de Protección de Datos como el ente independiente que debe garantizar el cumplimiento de las previsiones y mandatos en ella establecidos.

Algunos aspectos de dicho ente han sido objeto de regulación en la propia Ley que, no obstante, no ha agotado la materia y ha encomendado al Gobierno la regulación de la estructura orgánica y la aprobación del Estatuto de la Agencia de Protección de Datos.

Por medio de la presente disposición se procede a cumplimentar el doble mandato integrando la estructura del ente en su Estatuto propio.

En su virtud, a propuesta de los Ministros de Justicia y para las Administraciones Públicas, de acuerdo con el Consejo de Estado y previa deliberación del Consejo de Ministros en su reunión del día 26 de marzo de 1993, dispongo:

Artículo único. De conformidad con lo dispuesto en el artículo 34.2 y en la disposición final primera de la Ley Orgánica 5/1992, de 29 de octubre [2]. , de Regulación del Tratamiento Automatizado de los Datos de Carácter Personal, se aprueba el Estatuto de la Agencia de Protección de Datos, cuyo texto se inserta a continuación.

DISPOSICIÓN ADICIONAL

Única. Por el Ministerio de Economía y Hacienda se habilitarán los créditos necesarios para la instalación y funcionamiento de la Agencia de Protección de Datos, en tanto no sea aprobado el primer presupuesto de gastos e ingresos de la misma.

DISPOSICIÓN FINAL

Única. El presente Real Decreto entrará en vigor a los veinte días de su publicación en el «Boletín Oficial del Estado».

ESTATUTO DE LA AGENCIA DE PROTECCIÓN DE DATOS [3].

CAPÍTULO PRIMERO

Disposiciones generales

Artículo 1. La Agencia de Protección de Datos.– 1. La Agencia de Protección de Datos es un ente de Derecho público de los previstos en el artículo 6, apartado 5 [4]. , del texto refundido de la Ley General Presupuestaria, aprobado por Real Decreto legislativo 1091/1988, de 23 de septiembre, que tiene por objeto la garantía del cumplimiento y aplicación de las previsiones contenidas en la Ley Orgánica 5/1992, de 29 de octubre, de Regulación del Tratamiento Automatizado de los Datos de Carácter Personal.

2. La Agencia de Protección de Datos actúa con plena independencia de las Administraciones Públicas en el ejercicio de sus funciones y se relaciona con el Gobierno a través del Ministerio de Justicia.

Art. 2. Régimen jurídico.– 1. La Agencia de Protección de Datos goza de personalidad jurídica propia y plena capacidad pública y privada.

2. La Agencia de Protección de Datos se regirá por las disposiciones legales y reglamentarias siguientes:

a) El título VI de la Ley Orgánica 5/1992, de 29 de octubre, de Regulación del Tratamiento Automatizado de los Datos de Carácter Personal [5]. .

b) El presente Estatuto y las demás disposiciones de desarrollo de la Ley Orgánica 5/1992.

c) En defecto de las anteriores, y para el ejercicio de sus funciones públicas, las normas de procedimiento contenidas en la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común.

d) Los preceptos de la Ley General Presupuestaria, texto refundido aprobado por Real Decreto legislativo 1091/1988, de 23 de septiembre, que resulten de aplicación.

e) Cuantas otras disposiciones resulten de aplicación.

3. La Agencia ejercerá sus funciones por medio del Director, a cuyo efecto los actos del Director se consideran actos de la Agencia.

4. Los actos dictados por el Director en el ejercicio de las funciones públicas de la Agencia agotan la vía administrativa. Contra ellos se podrán interponer los recursos contencioso-administrativos que resulten procedentes.

CAPÍTULO II

Funciones de la Agencia de Protección de Datos

Art. 3. Funciones.– 1. Corresponde a la Agencia de Protección de Datos ejercer las funciones que le atribuye el artículo 36 de la Ley Orgánica 5/1992 [6]. .

2. A este efecto la Agencia de Protección de Datos podrá dirigirse directamente a los titulares y responsables de cualesquiera ficheros de datos de carácter personal.

Art. 4. Relaciones con los afectados.– 1. La Agencia de Protección de Datos informará a las personas de los derechos que la Ley les reconoce en relación con el tratamiento automatizado de sus datos de carácter personal y a tal efecto podrá promover campañas de difusión, valiéndose de los medios de comunicación social.

2. La Agencia atenderá las peticiones que le dirijan los afectados y resolverá las reclamaciones formuladas por los mismos, sin perjuicio de las vías de recurso procedentes.

Art. 5. Cooperación en la elaboración y aplicación de las normas.– La Agencia de Protección de Datos colaborará con los órganos competentes en lo que respecta al desarrollo normativo y aplicación de las normas que incidan en materia propia de la Ley Orgánica 5/1992, y a tal efecto:

a) Informará preceptivamente los proyectos de disposiciones generales de desarrollo de la Ley Orgánica.

b) Informará preceptivamente cualesquiera proyectos de ley o reglamento que incidan en la materia propia de la Ley Orgánica.

c) Dictará instrucciones y recomendaciones precisas para adecuar los tratamientos automatizados a los principios de la Ley Orgánica.

d) Dictará recomendaciones de aplicación de las disposiciones legales y reglamentarias en materia de seguridad de los datos y control de acceso a los ficheros.

Art. 6. Ficheros estadísticos.– La Agencia de Protección de Datos ejercerá el control de la observancia de lo dispuesto en los artículos 4, 7 y 10 a 22 de la Ley 12/1989, de 9 de mayo, de la Función Estadística Pública [7]. y en especial:

a) Informará con carácter preceptivo el contenido y formato de los cuestionarios, hojas censuales y otros documentos de recogida de datos con fines estadísticos.

b) Dictaminará sobre los procesos de recogida y tratamiento automatizado de los datos personales a efectos estadísticos.

c) Informará sobre los proyectos de ley por los que se exijan datos con carácter obligatorio y su adecuación a lo dispuesto en el artículo 7 de la Ley de la Función Estadística Pública.

d) Dictaminará sobre las condiciones de seguridad de los ficheros constituidos con fines exclusivamente estadísticos.

Art. 7. Publicidad de los ficheros automatizados.– La Agencia de Protección de Datos velará por la publicidad de la existencia de los ficheros automatizados de datos de carácter personal, a cuyo efecto publicará y difundirá un catálogo anual de los ficheros inscritos en el Registro General de Protección de Datos, con expresión de la información que al amparo de lo dispuesto en el artículo 36. j) de la Ley Orgánica 5/1992 [8]. , determine el Director [9].

Art. 8. Memoria anual.– 1. La Agencia de Protección de Datos redactará una Memoria anual sobre la aplicación de la Ley Orgánica 5/1992, y de las demás disposiciones legales y reglamentarias sobre protección de datos, la cual comprenderá, además de la información necesaria sobre el funcionamiento de la Agencia:

a) Una relación de los códigos tipo depositados e inscritos en el Registro General de Protección de Datos.

b) Un análisis de las tendencias legislativas, jurisprudenciales y doctrinales de los distintos países en materia de protección de datos.

c) Un análisis y una valoración de los problemas de la protección de datos a escala nacional.

2. La Memoria anual será remitida por el Director al Ministro de Justicia, para su ulterior envío a las Cortes Generales.

Art. 9. Relaciones internacionales.– 1. Corresponde a la Agencia de Protección de Datos la cooperación con organismos internacionales y órganos de las Comunidades Europeas en materia de protección de datos.

2. La Agencia prestará asistencia a las autoridades designadas por los Estados parte en el Convenio del Consejo de Europa de 28 de enero de 1981, sobre protección de las personas en relación con el tratamiento automatizado de los datos de carácter personal [10]. a los efectos previstos en el artículo 13 del Convenio.

3. Se designa a la Agencia de Protección de Datos como representante español a los efectos previstos en el artículo 29 de la Directiva 95/46/CE, de 24 de octubre [11]. relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos.

Corresponde al Director de la Agencia la designación de un representante para el Grupo de Protección de las Personas en lo que respecta al tratamiento de datos personales, previsto en la disposición citada [12].

Art. 10. Sistema de Información Schengen.– 1. La Agencia de Protección de Datos ejercerá el control de los datos de carácter personal introducidos en la parte nacional española de la base de datos del Sistema de Información Schengen (SIS).

2. El Director de la Agencia designará dos representantes para la autoridad de control común de protección de datos del Sistema de Información Schengen.

CAPÍTULO III

Órganos de la Agencia de Protección de Datos

Sección 1.ª Estructura orgánica de la Agencia de Protección de Datos

Art. 11. Estructura orgánica.– La Agencia de Protección de Datos se estructura en los siguientes órganos:

1. El Director de la Agencia de Protección de Datos.

2. El Consejo Consultivo.

3. El Registro General de Protección de Datos, la Inspección de Datos y la Secretaría General, como órganos jerárquicamente dependientes del Director de la Agencia.

Sección 2.ª El Director de la Agencia de Protección de Datos

Art. 12. Funciones de dirección.– 1. El Director de la Agencia de Protección de Datos dirige la Agencia y ostenta su representación.

2. Corresponde al Director de la Agencia de Protección de Datos dictar las resoluciones e instrucciones que requiera el ejercicio de las funciones de la Agencia y, en especial:

a) Resolver motivadamente sobre la procedencia o improcedencia de las inscripciones que deban practicarse en el Registro General de Protección de Datos.

b) Requerir a los responsables de ficheros de titularidad privada a que subsanen deficiencias de los códigos tipo.

c) Resolver motivadamente, previo informe del responsable del fichero, sobre la procedencia o improcedencia de la denegación, total o parcial, del acceso a los ficheros policiales o tributarios automatizados.

d) Autorizar transferencias temporales o definitivas de datos que hayan sido objeto de tratamiento automatizado o recogidos a tal efecto, con destino a países cuya legislación no ofrezca un nivel de protección equiparable al de la Ley Orgánica 5/1992 y el presente Estatuto.

e) Convocar regularmente a los órganos competentes de las Comunidades Autónomas a efectos de cooperación institucional y coordinación de criterios o procedimientos de actuación.

f) Recabar de las distintas Administraciones Públicas la información necesaria para el cumplimiento de sus funciones.

g) Solicitar de los órganos correspondientes de las Comunidades Autónomas, a que se refiere el artículo 40 de la Ley Orgánica 5/1992 [13]. , la información necesaria para el cumplimiento de sus funciones, así como facilitar a aquéllos la información que le soliciten a idénticos efectos.

h) Adoptar las medidas cautelares y provisionales que requiera el ejercicio de la potestad sancionadora de la Agencia con relación a los responsables de los ficheros privados.

i) Iniciar, impulsar la instrucción y resolver los expedientes sancionadores referentes a los responsables de los ficheros privados.

j) Instar la incoación de expedientes disciplinarios en los casos de infracciones cometidas por órganos responsables de ficheros de las Administraciones Públicas.

k) Autorizar la entrada en los locales en los que se hallen los ficheros, con el fin de proceder a las inspecciones pertinentes, sin perjuicio de la aplicación de las reglas que garantizan la inviolabilidad del domicilio.

Art. 13. Funciones de gestión.– 1. Corresponde asimismo al Director de la Agencia de Protección de Datos:

a) Adjudicar y formalizar los contratos que requiera la gestión de la Agencia y vigilar su cumplimiento y ejecución.

b) Aprobar gastos y ordenar pagos, dentro de los límites de los créditos del presupuesto de gastos de la Agencia.

c) Ejercer el control económico-financiero de la Agencia.

d) Programar la gestión de la Agencia.

e) Elaborar el anteproyecto de presupuesto de la Agencia.

f) Proponer la relación de puestos de trabajo de la Agencia.

g) Aprobar la Memoria anual de la Agencia.

h) Ordenar la convocatoria de las reuniones del Consejo Consultivo.

2. El Director podrá delegar en el Secretario general el ejercicio de las funciones a que se refieren las letras a), b), d), e) y f) del apartado anterior.

Art. 13 bis. Régimen de suplencia.– 1. En los supuestos de ausencia, vacante o enfermedad del Director de la Agencia Española de Protección de Datos, el ejercicio de las competencias previstas en los artículos 12.2 y 13.1 del presente Estatuto, así como las que le correspondieran en aplicación de lo previsto en el artículo 37 de la Ley Orgánica 5/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, será asumido por el Subdirector General de la Inspección de Datos. En el supuesto de que cualquiera de las circunstancias mencionadas concurriera igualmente en él, el ejercicio de las competencias afectadas será asumido por el Subdirector General del Registro General de Protección de Datos y, en su defecto, por el Secretario General.

2. Cuando, conforme a lo previsto en la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, concurriera en el Director de la Agencia Española de Protección de Datos alguna causa de abstención o recusación, el ejercicio de las competencias a las que se refiere el apartado anterior, será asumido por el Subdirector General de la Inspección de Datos. En el supuesto de que cualquiera de las causas mencionadas concurriera igualmente en él, el ejercicio de las competencias afectadas será asumido por el Subdirector General del Registro General de Protección de Datos y, en su defecto, por el Secretario General [14].

Art. 14. Nombramiento y mandato.– 1. El Director de la Agencia de Protección de Datos será nombrado por el Gobierno, mediante Real Decreto, a propuesta del Ministro de Justicia, de entre los miembros del Consejo Consultivo.

2. El Director de la Agencia de Protección de Datos gozará de los mismos honores y tratamiento que los Subsecretarios.

3. El mandato del Director de la Agencia de Protección de Datos tendrá una duración de cuatro años contados desde su nombramiento y sólo cesará por las causas previstas en el artículo 15 del presente Estatuto.

Art. 15. Cese y separación.– 1. El Director de la Agencia de Protección de Datos cesará en el desempeño de su cargo por la expiración de su mandado o, con anterioridad, a petición propia.

2. El Gobierno sólo podrá acordar la separación del Director de la Agencia de Protección de Datos antes de que hubiera expirado el plazo de su mandato en los casos siguientes:

a) Incumplimiento grave de las obligaciones del cargo.

b) Incapacidad sobrevenida para el ejercicio de sus funciones.

c) Incompatibilidad.

d) Condena por delito doloso.

La separación se acordará por el Gobierno, mediante Real Decreto a propuesta del Ministro de Justicia, previa instrucción de expediente, en el cual serán oídos los restantes miembros del Consejo Consultivo.

3. El cargo de Director de la Agencia de Protección de Datos está sujeto a las incompatibilidades que para los altos cargos prevé la Ley 25/1983, de 26 de diciembre [15]. .

Art. 16. Independencia.– 1. El Director de la Agencia de Protección de Datos desempeñará su cargo con dedicación absoluta, plena independencia y total objetividad.

2. El Director no estará sujeto a mandato imperativo, ni recibirá instrucciones de autoridad alguna.

Art. 17. Remuneración.– 1. El Director de la Agencia de Protección de Datos percibirá la remuneración que en los Presupuestos Generales del Estado tengan asignada los subsecretarios.

2. La remuneración será incompatible con la percepción de pensiones de derechos pasivos o de cualquier régimen de Seguridad Social público y obligatorio, quedando en suspenso dichas percepciones durante el plazo de mandato.

Sección 3.ª El Consejo Consultivo

Art. 18. El Consejo Consultivo.– 1. El Consejo Consultivo de la Agencia de Protección de Datos, establecido por el artículo 37 de la Ley Orgánica 5/1992, de 29 de octubre [16]. , es un órgano colegiado de asesoramiento del Director de la Agencia de Protección de Datos.

2. El Consejo Consultivo emitirá informe en todas las cuestiones que le someta el Director de la Agencia de Protección de Datos y podrá formular propuestas en temas relacionados con las materias de competencia de ésta.

Art. 19. Propuesta y nombramiento.– 1. Los miembros del Consejo Consultivo serán propuestos en la forma siguiente:

a) El Congreso de los Diputados propondrá, como Vocal, a un Diputado.

b) El Senado propondrá, como Vocal, a un Senador.

c) El Ministro de Justicia propondrá al Vocal de la Administración General del Estado.

d) Las Comunidades Autónomas decidirán, mediante acuerdo adoptado por mayoría simple, el Vocal a proponer.

e) La Federación Española de Municipios y Provincias propondrá al Vocal de la Administración Local.

f) La Real Academia de la Historia propondrá, como Vocal, a un miembro de la Corporación.

g) El Consejo de Universidades propondrá a un Vocal experto en la materia de entre los cuerpos docentes de enseñanza superior e investigadores con acreditado conocimiento en el tratamiento automatizado de datos.

h) El Consejo de Consumidores y Usuarios propondrá, mediante terna, al Vocal de los usuarios y consumidores.

i) El Consejo Superior de Cámaras de Comercio, Industria y Navegación propondrá, mediante terna, al Vocal del sector de ficheros privados.

2. Las propuestas serán elevadas al Gobierno por conducto del Ministro de Justicia.

3. Los miembros del Consejo Consultivo serán nombrados y, en su caso, cesados por el Gobierno.

Art. 20. Plazo y vacantes.– 1. Los miembros del Consejo Consultivo desempeñarán su cargo durante cuatro años.

2. Se exceptúan de lo establecido en el apartado anterior los siguientes supuestos:

a) Nombramiento del Vocal como Director de la Agencia de Protección de Datos.

b) Renuncia anticipada del Vocal.

c) Pérdida de la condición que habilitó al Vocal para ser propuesto, en los supuestos previstos en las letras a), b), f) y g) del apartado 1 del artículo anterior.

d) Propuesta de cese emanada de las instituciones, órganos, corporaciones u organizaciones a las que se refiere el artículo anterior.

3. Las vacantes que se produzcan en el Consejo Consultivo antes de expirar el plazo a que se refiere el apartado 1 deberán ser cubiertas dentro del mes siguiente a la fecha en que la vacante se hubiera producido, por el procedimiento previsto en el artículo anterior y por el tiempo que reste para completar el mandato de quien causó la vacante a cubrir.

4. Los miembros del Consejo Consultivo no percibirán retribución alguna, sin perjuicio del abono de los gastos, debidamente justificados, que les ocasione el ejercicio de su función.

Art. 21. Renovación del Consejo Consultivo.– 1. Antes de finalizar el mandato de los miembros del Consejo Consultivo, el Gobierno, por conducto del Ministro de Justicia, requerirá a las instituciones, órganos, corporaciones y organizaciones a que se refiere el artículo 19 del presente Estatuto, a fin de que le comuniquen los nombres de las personas que propongan para un nuevo mandato en el Consejo Consultivo, lo que deberá efectuarse dentro del mes siguiente a la formulación del referido requerimiento.

2. Una vez transcurrido el plazo señalado para cumplimentar el requerimiento, el Gobierno procederá, sin más trámites, a nombrar como miembros del Consejo Consultivo a los propuestos, quienes tomarán posesión de su condición en la misma fecha en que expire el anterior mandato de los miembros del Consejo.

Art. 22. Funcionamiento.– 1. En defecto de disposiciones específicas del presente Estatuto, el Consejo Consultivo ajustará su actuación, en lo que le sea de aplicación, a las disposiciones del capítulo II del título II de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común [17].

2. El Consejo Consultivo adoptará sus acuerdos en sesión plenaria.

3. Actuará como presidente del Consejo Consultivo el Director de la Agencia de Protección de Datos.

4. Actuará como secretario del Consejo Consultivo, con voz y sin voto, el titular de la Secretaría General de la Agencia de Protección de Datos. En caso de vacante, ausencia o enfermedad, actuará de secretario un funcionario adscrito a la Secretaría General designado por el Director de la Agencia a tal efecto.

5. El Consejo Consultivo se reunirá cuando así lo decida el Director de la Agencia que, en todo caso, lo convocará una vez cada seis meses. También se reunirá cuando así lo solicite la mayoría de sus miembros.

6. El secretario convocará las reuniones del Consejo Consultivo, de orden del Director de la Agencia, y trasladará la convocatoria a los miembros del Consejo.

7. El Consejo Consultivo quedará válidamente constituido, en primera convocatoria, si están presentes el presidente, el secretario y la mitad de los miembros del Consejo, y, en segunda convocatoria, si están presentes el presidente, el secretario y la tercera parte de los miembros del Consejo.

Sección 4.ª El Registro General de Protección de Datos

Art. 23. El Registro General de Protección de Datos.– El Registro General de Protección de Datos es el órgano de la Agencia de Protección de Datos al que corresponde velar por la publicidad de la existencia de los ficheros automatizados de datos de carácter personal, con miras a hacer posible el ejercicio de los derechos de información, acceso, rectificación y cancelación de datos regulados en los artículos 13 a 15 de la Ley Orgánica 5/1992, de 29 de octubre [18]. .

Art. 24. Ficheros inscribibles. –1. Serán objeto de inscripción en el Registro los ficheros automatizados que contengan datos personales y de los cuales sean titulares:

a) La Administración General del Estado.

b) Las entidades y organismos de la Seguridad Social.

c) Los organismos autónomos del Estado, cualquiera que sea su clasificación.

d) Las sociedades estatales y entes del sector público a que se refiere el artículo 6 de la Ley General Presupuestaria.

e) Las Administraciones de las Comunidades Autónomas y de sus Territorios Históricos, así como sus entes y organismos dependientes, sin perjuicio de que se inscriban además en los registros a que se refiere el artículo 40.2 de la Ley Orgánica 5/1992 [19]. .

f) Las entidades que integran la Administración Local y los entes y organismos dependientes de la misma.

g) Cualesquiera otras personas jurídico-públicas, así como las personas privadas, físicas o jurídicas.

2. En los asientos de inscripción de los ficheros de titularidad pública figurará, en todo caso, la información contenida en la disposición general de creación o modificación del fichero, de conformidad con lo previsto en el artículo 18.2 de la Ley Orgánica 5/1992, de 29 de octubre [20]. .

3. En los asientos de inscripción de los ficheros de titularidad privada figurarán, en todo caso, la información contenida en la notificación del fichero a excepción de las medidas de seguridad, así como los cambios de finalidad del fichero, de responsable y de ubicación del fichero.

4. En los asientos de inscripción de cualesquiera ficheros de datos de carácter personal figurarán los datos relativos a los ficheros que sean necesarios para el ejercicio de los derechos de información, acceso, rectificación y cancelación.

Art. 25. Actos y documentos inscribibles.– Se inscribirán en el Registro General de Protección de Datos los siguientes actos y documentos:

a) Las autorizaciones de transferencia de datos personales a otros países, en los casos en que, a tenor de lo dispuesto en el artículo 32 de la Ley Orgánica 5/1992, de 29 de octubre [21]. , sea preceptiva para la transferencia la autorización previa del Director.

b) Los códigos tipo elaborados al amparo de lo previsto en el artículo 31 de la Ley Orgánica 5/1992 [22]. .

Art. 26. Inscripción y certificaciones.– 1. Corresponde al Registro General de Protección de Datos instruir los expedientes de inscripción de los ficheros automatizados de titularidad privada y pública.

2. Corresponde asimismo al Registro General de Protección de Datos:

a) Instruir los expedientes de modificación y cancelación del contenido de los asientos.

b) Instruir los expedientes de autorización de las transferencias internacionales de datos.

c) Rectificar de oficio los errores materiales de los asientos.

d) Expedir certificaciones de los asientos.

e) Publicar una relación anual de los ficheros notificados e inscritos.

Sección 5.ª La Inspección de Datos

Art. 27. La Inspección de Datos.– 1. La Inspección de Datos es el órgano de la Agencia de Protección de Datos al cual competen las funciones inherentes al ejercicio de la potestad de inspección que el artículo 39 de la Ley Orgánica 5/1992 , de 29 de octubre [23]. atribuye a la Agencia.

2. Los funcionarios que ejerzan funciones inspectoras tendrán la consideración de autoridad pública en el desempeño de sus funciones, y estarán obligados a guardar secreto sobre las informaciones que conozcan en el ejercicio de las mencionadas funciones, incluso después de haber cesado en las mismas.

Art. 28. Funciones inspectoras. –1. Compete, en particular, a la Inspección de Datos efectuar inspecciones, periódicas o circunstanciales, de oficio o a instancia de los afectados, de cualesquiera ficheros, de titularidad pública o privada, en los locales en los que se hallen los ficheros y los equipos informáticos correspondientes, y a tal efecto podrá:

a) Examinar los soportes de información que contengan los datos personales.

b) Examinar los equipos físicos.

c) Requerir el pase de programas y examinar la documentación pertinente al objeto de determinar, en caso necesario, los algoritmos de los procesos de que los datos sean objeto.

d) Examinar los sistemas de transmisión y acceso a los datos.

e) Realizar auditorías de los sistemas informáticos con miras a determinar su conformidad con las disposiciones de la Ley Orgánica 5/1992 .

f) Requerir la exhibición de cualesquiera otros documentos pertinentes.

g) Requerir el envío de toda información precisa para el ejercicio de las funciones inspectoras.

2. El responsable del fichero estará obligado a permitir el acceso a los locales en los que se hallen los ficheros y los equipos informáticos previa exhibición por el funcionario actuante de la autorización expedida por el Director de la Agencia. Cuando dichos locales tengan la consideración legal de domicilio, la labor inspectora deberá ajustarse además a las reglas que garantizan su inviolabilidad.

Art. 29. Funciones instructoras.– Compete a la Inspección de Datos el ejercicio de los actos de instrucción relativos a los expedientes sancionadores a los que se refiere el artículo 12.2. h) del presente Estatuto.

Sección 6.ª La Secretaría General

Art. 30. Funciones de apoyo y ejecución.– Corresponde a la Secretaría General:

a) Elaborar los informes y propuestas que le solicite el Director.

b) Notificar las resoluciones del Director.

c) Ejercer la Secretaría del Consejo Consultivo.

d) Gestionar los medios personales y materiales adscritos a la Agencia.

e) Atender a la gestión económico-administrativa del presupuesto de la Agencia.

f) Llevar el inventario de bienes y derechos que se integren en el patrimonio de la Agencia.

g) Gestionar los asuntos de carácter general no atribuidos a otros órganos de la Agencia.

Art. 31. Otras funciones.– Corresponde asimismo a la Secretaría General:

a) Formar y actualizar un fondo de documentación sobre legislación, jurisprudencia y doctrina en materia de protección de datos personales y cualesquiera materias conexas.

b) Editar los repertorios oficiales de ficheros inscritos en el Registro General de Protección de Datos, las Memorias anuales de la Agencia y cualesquiera publicaciones de la Agencia.

c) Organizar conferencias, seminarios y cualesquiera actividades de cooperación internacional e interregional sobre protección de datos.

d) Facilitar la información a que se refiere el artículo 4.1 del presente Estatuto.

CAPÍTULO IV

Régimen económico, patrimonial y de personal

Sección 1.ª Régimen económico

Art. 32. Recursos económicos.– Los recursos económicos de la Agencia de Protección de Datos comprenderán:

a) Las asignaciones que anualmente se establezcan con cargo a los Presupuestos Generales del Estado.

b) Las subvenciones y aportaciones que se concedan a su favor, procedentes de fondos específicos de la Comunidad Económica Europea.

c) Los ingresos, ordinarios y extraordinarios derivados del ejercicio de sus actividades.

d) Las rentas y productos de los bienes, derechos y valores integrantes de su patrimonio.

e) El producto de la enajenación de sus activos.

f) Cualesquiera otros que legalmente puedan serle atribuidos.

Art. 33. Contabilidad y control.– 1. La Agencia de Protección de Datos ajustará su contabilidad al Plan General de Contabilidad Pública y a las demás disposiciones que sean de aplicación, sin perjuicio de la obligación de rendir cuentas al Tribunal de Cuentas por conducto de la Intervención General de la Administración del Estado, en los términos previstos en la Ley General Presupuestaria.

2. El ejercicio anual se computará por años naturales, comenzando el día 1 del mes de enero de cada año.

3. El control de las actividades económicas y financieras de la Agencia se ejercerá de conformidad con lo establecido en el artículo 17.1 de la Ley General Presupuestaria, con carácter permanente [24].

Art. 34. Presupuestos.– 1. La Agencia de Protección de Datos elaborará anualmente un anteproyecto de presupuesto, con la estructura que señale el Ministerio de Economía y Hacienda, y lo remitirá a éste para su ulterior elevación al Gobierno a fin de que sea integrado con la debida independencia en los Presupuestos Generales del Estado.

2. Las modificaciones del presupuesto de la Agencia serán autorizadas por el Director cuando se trate de modificaciones internas que no incrementen la cuantía del mismo y sean consecuencia de las necesidades surgidas durante el ejercicio.

3. Los suplementos de crédito o créditos extraordinarios de la Agencia serán autorizados por el Ministro de Economía y Hacienda cuando no excedan del 5 por 100 de su presupuesto de gastos y por el Gobierno en los demás casos.

Sección 2.ª Régimen patrimonial

Art. 35. Patrimonio.– 1. La Agencia de Protección de Datos tendrá un patrimonio propio, distinto del del Estado, formado por los bienes, derechos y valores que adquiera a título oneroso o le sean cedidos o donados por cualquier persona o entidad.

2. Los bienes que el Estado adscriba a la Agencia quedarán afectados a su servicio y conservarán la calificación jurídica originaria, debiendo ser utilizados exclusivamente para los fines que determinaron la adscripción.

Art. 36. Adquisiciones y contratación.– 1. La Agencia de Protección de Datos se regirá, en lo referente a las adquisiciones y enajenaciones de bienes, por las disposiciones del derecho privado.

2. Los bienes que adquiera la Agencia se integrarán en su patrimonio.

3. Los contratos que celebre la Agencia se regirán por las disposiciones del derecho privado, sin perjuicio de que la adjudicación de los contratos sea acordada previa publicidad y promoción de concurrencia.

Sección 3.ª Régimen del personal

Art. 37. Relación de puestos de trabajo.– 1. La Agencia de Protección de Datos propondrá a los órganos competentes, a través del Ministerio de Justicia, la relación de puestos de trabajo de la misma.

2. La relación de puestos de trabajo comprenderá:

a) Los puestos de trabajo a desempeñar por personal funcionario. Los titulares de los órganos a que se refiere el artículo 11.3 tendrán rango de Subdirector general.

b) Los puestos de trabajo a desempeñar por personal laboral, con expresión de los factores que, en función de las tareas integrantes de cada puesto de trabajo, determinen la imposibilidad de su desempeño por personal funcionario.

3. Las descripciones de los puestos de trabajo indicarán expresamente la obligación que, a tenor de lo previsto en los artículos 10 y 39 de la Ley Orgánica 5/1992, de 29 de octubre [25]. , corresponde al personal en lo relativo a la observancia de secreto sobre los datos personales, que los titulares de cada puesto conozcan en el desempeño de sus tareas.

Art. 38. Retribuciones.– Las retribuciones del personal funcionario y laboral de la Agencia se ajustarán a lo dispuesto en las leyes anuales de presupuestos.

Art. 39. Provisión de puestos de trabajo.– 1. La Agencia de Protección de Datos proveerá los puestos de trabajo adscritos al personal funcionario ajustándose a la legislación de la Función Pública.

2. Los puestos de trabajo adscritos al personal laboral se proveerán mediante convocatoria pública y de acuerdo con los principios de igualdad, mérito y capacidad.

DISPOSICIONES ADICIONALES

Primera. Plazo para efectuar las propuestas de nombramiento. –En el plazo de un mes a contar de la entrada en vigor del presente Estatuto, las instituciones, órganos, corporaciones y organizaciones a que se refiere el artículo 19 del mismo comunicarán los nombres de las personas que deban proponer para su nombramiento como miembros del Consejo Consultivo.

Segunda. Nombramiento de los miembros del Consejo Consultivo. –Transcurrido el plazo establecido en la disposición adicional primera, el Gobierno nombrará sin más trámite a los miembros del Consejo Consultivo que hubieran sido propuestos y designará de entre ellos al Director de la Agencia.

Tercera. Ficheros excluidos. –1. En los términos y con los límites establecidos en los artículos 21.3 y 40 de la Ley Orgánica 5/1992, de 29 de octubre [26]. quedan excluidos del ámbito de aplicación del presente Estatuto los ficheros automatizados de datos de carácter personal creados o gestionados por las Comunidades Autónomas.

2. Asimismo quedan excluidos del ámbito de aplicación del presente Estatuto los ficheros a los que se refiere el artículo 2, apartados 2 y 3, de la Ley Orgánica 5/1992, de 29 de octubre [27]. salvo lo establecido en este último apartado para los ficheros que sirvan a fines exclusivamente estadísticos.

[1] Téngase en cuenta la disposición transitoria tercera de la Ley Orgánica 15/1999, de 13 de diciembre (§ 1).

[2] Artículo 35.1 de la Ley Orgánica 15/1999, de 13 de diciembre (§ 1).

[3] El artículo 79 de la Ley 62/2003, de 30 de diciembre, de Medidas Fiscales, Administrativas y del Orden Social, establece:

«Art. 79. Agencia Española de Protección de Datos.– La Agencia de Protección de Datos pasa a denominarse Agencia Española de Protección de Datos.

Las referencias a la Agencia de Protección de Datos realizadas en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, así como en las normas a las que se refiere su disposición transitoria tercera y cualesquiera otras que se encuentren en vigor deberán entenderse realizadas a la Agencia Española de Protección de Datos.»

[4] El apartado 5 del artículo 6 de la Ley General Presupuestaria fue derogado por Ley 6/1997, de 14 de abril, de Organización y Funcionamiento de la Administración General del Estado. Véase la disposición adicional décima de esta Ley en la redacción dada por la Ley 50/1998, de 30 de diciembre («BOE» núm. 313, de 31 de diciembre), del Gobierno.

[5] Artículos 35 a 42 de la Ley Orgánica 15/1999, de 13 de diciembre (§ 1).

[6] Artículo 37 de la Ley Orgánica 15/1999, de 13 de diciembre (§ 1).

[7] Figura como parágrafo 16.

[8] Artículo 37 .j) de la Ley Orgánica 15/1999, de 13 de diciembre (§ 1).

[9] Véase la Resolución de 1 de septiembre de 2006, por la que se determina la información que contiene el Catálogo de ficheros inscritos en el Registro General de Protección de Datos (§ 13).

[10] Ratificado mediante Instrumento de 27 de enero de 1984 («BOE» número 274, de 15 de noviembre de 1985). Téngase en cuenta, asimismo, el Instrumento de Ratificación del Protocolo Adicional al Convenio para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, a las Autoridades de control y a los flujos transfronterizos de datos, hecho en Estrasburgo el 8 de noviembre de 2001 («BOE» núm. 228, de 20 de septiembre de 2010).

[11] «DOCE» serie L, núm. 281, de 23 de noviembre de 1995.

[12] Número adicionado por Real Decreto 156/1996, de 2 de febrero («BOE» núm. 37, de 12 de febrero), por el que se modifica el Estatuto de la Agencia de Protección de Datos, para designar a la Agencia de Protección de Datos como representante español en el Grupo de Protección de Personas previsto en la Directiva 95/46/CEE, de 24 de octubre.

[13] Artículo 41 de la Ley Orgánica 15/1999, de 13 de diciembre (§ 1).

[14] Artículo adicionado por Real Decreto 1665/2008, de 17 de octubre («BOE» núm. 267, de 5 de noviembre).

[15] Derogada por Ley 12/1995, de 12 de mayo («BOE» núm.113, de 12 de mayo), de Incompatibilidades de los Miembros del Gobierno de la Nación y de los Altos Cargos de la Administración General del Estado.

[16] Artículo 38 de la Ley Orgánica 15/1999, de 13 de diciembre (§ 1).

[17] Artículos 22 a 27 de la citada Ley, teniendo en cuenta la Sentencia 50/1999, de 6 de abril (suplemento al «BOE» núm. 100, de 27 de abril), del Pleno del Tribunal Constitucional.

[18] Artículos 14 a 16 de la Ley Orgánica 15/1999, de 13 de diciembre (§ 1).

[19] Artículo 41.2 de la Ley Orgánica 15/1999, de 13 de diciembre (§ 1).

[20] Artículo 20.2 de la Ley Orgánica 15/1999, de 13 de diciembre (§ 1).

[21] Véase el artículo 22 de la Ley Orgánica 15/1999, de 13 de diciembre (§ 1).

[22] Artículo 32 de la Ley Orgánica 15/1999, de 13 de diciembre (§ 1).

[23] Artículo 40 de la Ley Orgánica 15/1999, de 13 de diciembre (§ 1).

[24] La disposición final tercera de la Ley 47/2003, de 26 de noviembre, General Presupuestaria, dispone:

«Tercera. Control financiero. –Las menciones efectuadas por las normas anteriores a esta ley al control financiero de la Intervención General de la Administración del Estado se entenderán efectuadas al control financiero permanente y a la auditoría pública definidas en los artículos 157 y 162 de esta ley.»

[25] Artículos 10 y 40 de la Ley Orgánica 15/1999, de 13 de diciembre (§ 1).

[26] Artículos 23.3 y 42 de la Ley Orgánica 15/1999, de 13 de diciembre (§ 1).

[27] Apartados 2 y 3 del artículo 2 de la Ley Orgánica 15/1999, de 13 de diciembre (§ 1).

§ 4 INSTRUCCIÓN 1/1995, DE 1 DE MARZO, DE LA AGENCIA DE PROTECCIÓN DE DATOS, RELATIVA A PRESTACIÓN DE SERVICIOS DE INFORMACIÓN SOBRE SOLVENCIA PATRIMONIAL Y CRÉDITO

(«BOE» núm. 54, de 4 de marzo de 1995)

El artículo 36 de la Ley Orgánica 5/1992, de 29 de octubre, de regulación del tratamiento automatizado de los datos de carácter personal, al definir las funciones de la Agencia de Protección de Datos, incluye en su apartado c) la de dictar, en su caso y sin perjuicio de las competencias de otros órganos, las instrucciones precisas para adecuar los tratamientos automatizados a los principios de dicha Ley. Disposición que tiene su complemento en el artículo 5. c) del Estatuto de la Agencia, aprobado por Real Decreto 428/1993, de 26 de marzo, que señala entre las funciones de la misma la de dictar las instrucciones y recomendaciones precisas para adecuar los tratamientos automatizados a los principios de la Ley Orgánica.

El artículo 28 de la misma se refiere a la prestación de servicios de información sobre solvencia patrimonial y crédito desde una doble perspectiva. Por un lado, determina que quienes se dediquen a la prestación de servicios sobre la solvencia patrimonial y el crédito sólo podrán tratar automatizadamente datos de carácter personal obtenidos de fuentes accesibles al público o procedentes de informaciones facilitadas por el afectado o con su consentimiento. Por otro, regula el tratamiento de datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias, señalando que podrán tratarse dichos datos siempre que sean «facilitados por el acreedor o por quien actúe por su cuenta o interés».

Los primeros no se apartan de la regulación común que establece la Ley Orgánica; los segundos presentan, por el contrario, un conjunto de especialidades (excepción del principio del consentimiento tanto en la recogida del dato como en su tratamiento), que hacen necesario efectuar una serie de precisiones. Además, dentro de estos últimos, la realidad demuestra que coexisten perfectamente engarzados dos tipos de ficheros: uno, el propio del acreedor, que se nutre de los datos personales que son consecuencia de las relaciones económicas mantenidas con el afectado, cuya única finalidad es obtener la satisfacción de la obligación dineraria, y otro, un fichero que se podría denominar común que, consolidando todos los datos personales contenidos en aquellos otros ficheros, tiene por finalidad proporcionar información sobre la solvencia de una persona determinada y cuyo responsable, al no ser el acreedor, no tiene competencia para modificar o cancelar los datos inexactos que se encuentran en aquéllos.

En consecuencia, en uso de las facultades que tiene conferidas, la Agencia de Protección de Datos ha dispuesto:

CAPÍTULO PRIMERO

Calidad de los datos objeto del tratamiento automatizado, forma y veces en que debe efectuarse la notificación y cómputo del plazo al que se refiere el artículo 28.3 de la Ley Orgánica

Norma primera. Calidad de los datos objeto de tratamiento.– 1. La inclusión de los datos de carácter personal en los ficheros relativos al cumplimiento o incumplimiento de obligaciones dinerarias, a los que se refiere el artículo 28 de la Ley Orgánica 5/1992 [1]. , deberá efectuarse solamente cuando concurran los siguientes requisitos:

a) Existencia previa de una deuda cierta, vencida y exigible, que haya resultado impagada.

b) Requerimiento previo de pago a quien corresponda, en su caso, el cumplimiento de la obligación.

2. No podrán incluirse en los ficheros de esta naturaleza datos personales sobre los que exista un principio de prueba documental que aparentemente contradiga alguno de los requisitos anteriores. Tal circunstancia determinará igualmente la desaparición cautelar del dato personal desfavorable en los supuestos en que ya se hubiera efectuado su inclusión en el fichero.

3. El acreedor o quien actúe por su cuenta e interés deberá asegurarse que concurren todos los requisitos exigidos en el número 1 de esta norma en el momento de notificar los datos adversos al responsable del fichero común.

4. La comunicación del dato inexistente o inexacto, con el fin de obtener su cancelación o modificación, deberá efectuarse por el acreedor o quien actúe por su cuenta al responsable del fichero común en el mínimo tiempo posible, y, en todo caso, en una semana. Dicho plazo es independiente del establecido en el artículo 15.2 del Real Decreto 1332/1994, de 20 de junio [2]. , y que se aplica al fichero del acreedor.

Norma segunda. Notificación de la inclusión en el fichero.– 1. La notificación de la inclusión de datos personales en el fichero efectuada con posterioridad a la entrada en vigor de la Ley Orgánica 5/1992 se efectuará en la forma establecida en el artículo 28 de la misma [3].

2. Cuando se trate de datos personales incorporados al fichero con anterioridad a la entrada en vigor de la Ley Orgánica, deberán notificarse al afectado en el menor plazo posible y, en todo caso, dentro del año siguiente contado desde la publicación de la presente Instrucción.

3. La inscripción en el fichero de la obligación incumplida se efectuará, bien en un solo asiento si fuese de vencimiento único, bien en tantos asientos como vencimientos periódicos incumplidos existan señalando, en este caso, la fecha de cada uno de ellos.

4. Se efectuará una notificación por cada deuda concreta y determinada con independencia de que ésta se tenga con el mismo o con distintos acreedores.

5. El responsable del fichero deberá adoptar las medidas organizativas y técnicas necesarias que permitan acreditar la realización material del envío de notificación y la fecha de entrega o intento de entrega de la misma.

6. La notificación se dirigirá a la última dirección conocida del afectado a través de un medio fiable e independiente del responsable del fichero.

Norma tercera. Cómputo del plazo de seis años que establece el artículo 28.3 de la Ley Orgánica.– El cómputo del plazo a que se refiere el artículo 28.3 [4]. de la Ley Orgánica se iniciará a partir del momento de la inclusión del dato personal desfavorable en el fichero y, en todo caso, desde el cuarto mes, contado a partir del vencimiento de la obligación incumplida o del plazo en concreto de la misma si fuera de cumplimiento periódico.

CAPÍTULO II

Medidas de seguridad [5]

Norma cuarta. Forma de comprobación.– 1. Los sistemas que almacenen o procesen información relativa al cumplimiento o incumplimiento de obligaciones dinerarias deberán acreditar la efectiva implantación de las medidas de seguridad exigidas por el artículo 9.1 de la Ley Orgánica [6]. dentro del año siguiente a la publicación de la presente Instrucción. Para los ficheros que se inscriban con posterioridad a esta Instrucción, el plazo se computará a partir de la fecha en que aquélla se haya efectuado en el Registro General de Protección de Datos.

2. La implantación, idoneidad y eficacia de dichas medidas se acreditará mediante la realización de una auditoría, proporcionada a la naturaleza, volumen y características de los datos personales almacenados y tratados, y la remisión del informe final de la misma a la Agencia de Protección de Datos.

3. La auditoría podrá ser realizada:

a) Por el departamento de auditoría interna del responsable del fichero, si cuenta con un departamento formalmente constituido, profesionalmente cualificado e independiente del órgano responsable del tratamiento y gestión de los datos.

b) Por un auditor externo, profesionalmente cualificado e independiente del responsable del fichero.

4. La auditoría deberá ser realizada de acuerdo con las normas y recomendaciones de ejercicio profesional aplicables en el momento de su ejecución.

5. El informe de auditoría deberá dictaminar sobre la adecuación de las medidas y controles destinados a garantizar la integridad y confidencialidad de los datos personales almacenados o tratados, identificar sus deficiencias o insuficiencias y proponer las medidas correctoras o complementarias necesarias. Deberá, igualmente, incluir los datos, hechos y observaciones en que se basan los dictámenes alcanzados y recomendaciones propuestas.

6. Adicionalmente, los sistemas que almacenen o procesen información relativa al cumplimiento o incumplimiento de obligaciones dinerarias deberán someterse a una nueva auditoría tras la adopción de las medidas específicas que, en su caso, la Agencia determine, a resultas del informe inicial de auditoría. En todo caso, dichos sistemas deberán ser auditados periódicamente, a intervalos no mayores de dos años.

Norma final. Entrada en vigor.– La presente Instrucción entrará en vigor al día siguiente de su publicación en el «Boletín Oficial del Estado».

[1] Artículo 29 de la Ley Orgánica 15/1999, de 13 de diciembre (§ 1).

[2] Derogado por el Real Decreto 1720/2007, de 21 de diciembre (§ 2).

[3] Véase el artículo 29 de la Ley Orgánica 15/1999, de 13 de diciembre (§ 1).

[4] Artículo 29.4 de la Ley Orgánica 15/1999, de 13 de diciembre (§ 1).

[5] Véanse los artículos 79 y siguientes del Reglamento de Protección de Datos de Carácter Personal aprobado por Real Decreto 1720/2007, de 21 de diciembre, que figura como parágrafo 2.

[6] Artículo 9 de la Ley Orgánica 15/1999, de 13 de diciembre (§ 1).

§ 5 INSTRUCCIÓN 2/1995, DE 4 DE MAYO, DE LA AGENCIA DE PROTECCIÓN DE DATOS, SOBRE MEDIDAS QUE GARANTIZAN LA INTIMIDAD DE LOS DATOS PERSONALES RECABADOS COMO CONSECUENCIA DE LA CONTRATACIÓN DE UN SEGURO DE VIDA DE FORMA CONJUNTA CON LA CONCESIÓN DE UN PRÉSTAMO HIPOTECARIO O PERSONAL

(«BOE» núm. 110, de 9 de mayo de 1995)

La concesión de un crédito hipotecario o personal, que suele ir acompañada de un seguro de vida por el importe de aquél y del que se señala como beneficiaria a la entidad de crédito de que se trate por la suma del capital no amortizado, incide sobre un importante número de disposiciones de nuestro ordenamiento jurídico.

Es obvio que la regulación jurídica de alguna de estas materias (Ley 26/1984, de 19 de julio, General para la Defensa de los Consumidores y Usuarios; Ley 16/1989, de 17 de julio, de Defensa de la Competencia; Ley 9/1992, de 30 de abril, de Mediación en Seguros Privados) excede de las competencias que tiene atribuidas la Agencia de Protección de Datos. Ahora bien, la precisión de si los datos son o no sensibles, con la incidencia que ello tiene en su recogida, tratamiento y cesión, la determinación del fichero en donde deban ser tratados, la de si es preciso que en esta materia, por tratarse de datos especialmente protegidos, el nivel de protección de los mismos se extienda excepcionalmente a los ficheros manuales o no automatizados, son, entre otras, cuestiones que deben ser fijadas por la Agencia de Protección de Datos.

En consecuencia, en uso de las facultades que tiene conferidas, la Agencia de Protección de Datos ha dispuesto:

Norma primera. Ámbito de aplicación.– La presente Instrucción será de aplicación a los datos personales solicitados por las entidades de crédito con motivo de la celebración de un contrato de seguro de vida anejo a la concesión de un crédito hipotecario o personal.

Norma segunda. De la recogida de los datos.– 1. La obtención de datos personales a efectos de la celebración de un contrato de seguro de vida, anejo a la concesión de un crédito hipotecario o personal, efectuada por las entidades de crédito a través de cuestionarios u otros impresos deberá realizarse, en todo caso, mediante modelos separados para cada uno de los contratos a celebrar. En los formularios cuyo destinatario sean las entidades bancarias no podrán recabarse, en ningún caso, datos relativos a la salud del solicitante.

2. Cualquiera que sea el modo de llevarse a efecto la recogida de datos de salud necesarios para la celebración del seguro de vida deberá constar expresamente el compromiso de la entidad de crédito de que los datos obtenidos a tal fin solamente serán utilizados por la entidad aseguradora [1]. Las entidades de crédito no podrán incluir los datos de salud en sus ficheros informatizados o en aquéllos en los que almacenen datos de forma convencional.

3. En ningún caso se considerará, por la naturaleza de la información solicitada o por las circunstancias en que se recaba, que se puede prescindir del derecho de la información en la recogida de los datos previstos en la Ley Orgánica 5/1992, de 29 de octubre, de regulación del tratamiento automatizado de los datos de carácter personal. Por tanto, será necesario informar previamente, en los formularios u otros impresos de recogida, de modo expreso, preciso e inequívoco:

a) De la existencia de un fichero automatizado de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.

b) Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.

c) De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.

d) De la posibilidad de ejercitar los derechos de acceso, rectificación y cancelación.

e) De la identidad y dirección del responsable del fichero.

4. Cuando la recogida de datos personales a efectos de la celebración de un contrato de seguro de vida, anejo a la concesión de un crédito hipotecario o personal efectuada por las entidades de crédito, se lleve a cabo por procedimientos distintos a los del formulario u otros impresos deberá informarse al afectado de los extremos previstos en el apartado tercero.

Norma tercera. Consentimiento del afectado y tratamiento de los datos.– El afectado deberá manifestar su consentimiento por separado para cada uno de los contratos y para el tratamiento distinto de la información que ambos conllevan.

Las entidades de crédito solamente podrán tratar aquellos datos personales, no especialmente protegidos, que sean estrictamente necesarios para relacionar el contrato de préstamo con el contrato de seguro de vida celebrado como consecuencia de aquél o que estén justificados por la intervención de la entidad de crédito como agente o tomador del contrato de seguro.

Norma cuarta. Cesión de los datos.– En ningún caso podrá considerarse que la cesión de cualquier clase de datos personales solicitados por la entidad aseguradora a la de crédito, o viceversa, se halla amparada por lo establecido en el artículo 11.2.c), de la Ley Orgánica 5/1992 [2]. .

Norma transitoria. Aplicación a contratos celebrados con anterioridad.– Los datos de salud correspondientes a los contratos de seguro de vida celebrados con anterioridad a la publicación de esta Instrucción, que se encuentren incluidos en ficheros de las entidades de crédito, automatizados o no, deberán ser cancelados en el plazo de un mes, contado a partir de la entrada en vigor de la misma.

Norma final. Entrada en vigor.– La presente Instrucción entrará en vigor al día siguiente de su publicación en el «Boletín Oficial del Estado».

[1] Véase el artículo 24.3, párrafo 2, de la Ley 30/1995, de 8 de noviembre, de Ordenación y Supervisión de los Seguros Privados, en la redacción dada por la disposición adicional sexta de la Ley 15/1999, de 13 de diciembre (§ 1).

[2] Artículo 11.2. c) de la Ley Orgánica 15/1999, de 13 de diciembre (§ 1).

§ 6 INSTRUCCIÓN 1/1996, DE 1 DE MARZO, DE LA AGENCIA DE PROTECCIÓN DE DATOS, SOBRE FICHEROS AUTOMATIZADOS ESTABLECIDOS CON LA FINALIDAD DE CONTROLAR EL ACCESO A LOS EDIFICIOS

(«BOE» núm. 62, de 12 de marzo de 1996)

La necesidad de regular los ficheros automatizados establecidos para el control del acceso de las personas a los centros de trabajo o dependencias públicas, a donde se acude con la finalidad de efectuar actividades relacionadas con las propias del centro visitado, plantea problemas relacionados con la Ley Orgánica 5/1992, de 29 de octubre, de regulación del tratamiento automatizado de los datos de carácter personal, con mayor razón desde la aprobación de la Directiva europea relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos. Estos problemas se concretan en la necesidad de regular los datos constituidos por sonido e imagen, como los de vigilancia por videocámara, y, en general, todos los recopilados en cumplimiento de las funciones de vigilancia, con la prestación del consentimiento necesario para ello, así como el período en que los mismos deban ser conservados y su posterior cancelación por haber dejado de ser necesarios o pertinentes para los fines para los que fueron recabados.

La Instrucción solamente se refiere al ámbito competencial propio de la Ley reguladora del tratamiento automatizado de datos personales y se dicta de conformidad con lo dispuesto en el artículo 36. c) de la misma que atribuye a la Agencia de Protección de Datos competencias en esta materia.

Norma primera. Ámbito de aplicación.– 1. La presente Instrucción regula los datos de carácter personal tratados de forma automatizada que son recabados por los servicios de seguridad con la finalidad de controlar el acceso a los edificios públicos y privados, así como a establecimientos, espectáculos, certámenes y convenciones.

2. A tales efectos, tendrá la consideración de dato personal cualquier información concerniente a personas físicas identificadas o identificables, debiendo entenderse comprendidos dentro de la misma el sonido y la imagen.

Norma segunda. Responsable del fichero.– 1. Tendrá la consideración de responsable del fichero la persona física o jurídica, de naturaleza pública o privada, u órgano administrativo por cuya cuenta se efectúe la realización del servicio de seguridad. No obstante lo anterior, mediante el correspondiente contrato de prestación de servicios de seguridad, podrá tener la consideración de responsable del fichero la empresa que preste los servicios de aquella naturaleza [1].

2. El responsable del fichero asumirá el cumplimiento de todas las obligaciones establecidas en la Ley Orgánica 5/1992 y, entre ellas, la de la inscripción del fichero en el Registro General de Protección de Datos.

Norma tercera. Recogida de datos.– 1. La recogida de datos efectuada para el cumplimiento de los fines a los que se refiere la presente Instrucción deberá realizarse de conformidad con lo establecido en el artículo 5 de la Ley Orgánica 5/1992 [2]. , y, en concreto, deberá informarse de la existencia de un fichero automatizado, de la finalidad de la recogida de los datos, de los destinatarios de la información, del carácter obligatorio de su respuesta, de las consecuencias de la negativa a suministrarlos, de la posibilidad de ejercitar los derechos de acceso, rectificación o cancelación y de la identidad y dirección del responsable del fichero.

2. Los datos recogidos serán los estrictamente necesarios para cumplir la finalidad de controlar el acceso.

Norma cuarta. Utilización de los datos.– Los datos personales así obtenidos no podrán ser utilizados para otros fines. Tampoco podrán ser objeto de cesión los datos así recabados fuera de los casos expresamente establecidos en la ley, salvo consentimiento del afectado.

Norma quinta. Cancelación de los datos.– Los datos de carácter personal deberán ser destruidos cuando haya transcurrido el plazo de un mes, contado a partir del momento en que fueron recabados.

Norma sexta. Medidas de seguridad [3] .– El responsable del fichero garantizará la adopción de las medidas técnicas y organizativas necesarias para la seguridad de los datos y que impidan el acceso no autorizado a los ficheros creados para dichos fines.

Norma final. Entrada en vigor.– La presente Instrucción entrará en vigor a partir de los tres meses de su publicación en el «Boletín Oficial del Estado».

[1] El apartado decimonoveno de la Orden de 23 de abril de 1997, por la que se concretan determinados aspectos en materia de empresas de seguridad en cumplimiento de la Ley y el Reglamento de Seguridad Privada, determina:

«Decimonoveno. Fichero automatizado de contratos.– En la Dirección General de la Policía se llevará un fichero automatizado de los contratos de prestación de servicios suscritos entre las empresas de seguridad y terceros, en el que constarán los datos y las cláusulas obligatorias a que se refiere el apartado decimoséptimo de la presente Orden.

En dicho fichero se harán constar los contratos indicados de las empresas de seguridad registrados por dicha Dirección General, y los de prestación de actividades de protección de personas que, cuando sea procedente, le comuniquen las Comunidades Autónomas con competencias en la materia.

Los datos de este fichero estarán a disposición de la Unidad Orgánica Central de Seguridad Privada de dicho centro directivo y de la Comisaría de Policía del lugar en que se va a prestar el servicio, así como de su correspondiente Jefatura Superior o Comisaría Provincial, para el desempeño de las funciones de inspección y control que les son propias.»

[2] Artículo 5 de la Ley Orgánica 15/1999, de 13 de diciembre (§ 1).

[3] Véanse los artículos 79 y siguientes del Reglamento de Protección de Datos de Carácter Personal aprobado por Real Decreto 1720/2007, de 21 de diciembre, que figura como parágrafo 2.

§ 7 INSTRUCCIÓN 2/1996, DE 1 DE MARZO, DE LA AGENCIA DE PROTECCIÓN DE DATOS, SOBRE FICHEROS AUTOMATIZADOS ESTABLECIDOS CON LA FINALIDAD DE CONTROLAR EL ACCESO A LOS CASINOS Y SALAS DE BINGO

(«BOE» núm. 62, de 12 de marzo de 1996)

La necesidad de establecer la forma de llevar los ficheros automatizados utilizados para controlar la entrada en casinos y salas de bingo obliga a precisar una serie de criterios interpretativos que faciliten la aplicación de la Ley Orgánica 5/1992, de 29 de octubre, de regulación del tratamiento automatizado de los datos de carácter personal, con mayor razón desde la aprobación de la Directiva europea relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos. En concreto, es necesario regular el cumplimiento del deber de información al ciudadano en la recogida de datos personales, el consentimiento en la cesión de los datos así recabados en los supuestos en que la misma no debe efectuarse por causas legales, así como el plazo en que los datos deben ser cancelados por haber dejado de ser necesarios o pertinentes para los fines para los que se recabaron.

La Instrucción solamente se refiere al ámbito competencial propio de la Ley reguladora del tratamiento automatizado de datos personales y se dicta de conformidad con lo dispuesto en el artículo 36. c) de la misma que atribuye a la Agencia de Protección de Datos competencias en esta materia.

Norma primera. Ámbito de aplicación.– 1. La presente Instrucción regula los datos de carácter personal tratados de forma automatizada que son recabados con la finalidad de controlar el acceso por las sociedades explotadoras de casinos de juego o por cualquier empresa titular de una sala de bingo.

2. A tales efectos, tendrá la consideración de dato personal cualquier información concerniente a personas físicas identificadas o identificables, debiendo entenderse comprendidos dentro de la misma el sonido y la imagen [1].

Norma segunda. Responsable del fichero.– 1. Tendrá la consideración de responsable del fichero la sociedad explotadora del casino de juego o la empresa titular de la sala de bingo.

2. El responsable del fichero asumirá el cumplimiento de todas las obligaciones establecidas en la Ley Orgánica 5/1992 y, entre ellas, la de la inscripción del fichero en el Registro General de Protección de Datos.

Norma tercera. Recogida de datos.– 1. La recogida de datos efectuada para el cumplimiento de los fines a los que se refiere la presente Instrucción deberá realizarse de conformidad con lo establecido en el artículo 5 de la Ley Orgánica 5/1992 [2]. , y, en concreto, deberá informarse de la existencia de un fichero automatizado, de la finalidad de la recogida de datos, de los destinatarios de la información, del carácter obligatorio de su respuesta, de las consecuencias de la negativa a suministrarlos, de la posibilidad de ejercitar los derechos de acceso, rectificación o cancelación y de la identidad y dirección del responsable del fichero.

2. No podrán recogerse más datos personales que aquellos estrictamente necesarios para controlar el acceso, quedando, en todo caso, limitados a los que aparecen en el documento identificador exigido para la entrada.

Norma cuarta. Utilización de los datos.– Los datos personales así obtenidos no podrán ser utilizados para otros fines. Tampoco podrán ser objeto de cesión los datos así recabados fuera de los casos expresamente establecidos en la ley, salvo consentimiento del afectado.

Norma quinta. Cancelación de los datos.– Los datos de carácter personal deberán ser destruidos cuando haya transcurrido el plazo de seis meses, contado a partir de la fecha del último acceso.

Norma sexta. Medidas de seguridad [3] .– El responsable del fichero garantizará la adopción de las medidas técnicas y organizativas necesarias para la seguridad de los datos y que impidan el acceso no autorizado a los ficheros creados para dichos fines.

Norma final. Entrada en vigor.– La presente Instrucción entrará en vigor a partir de los tres meses de su publicación en el «Boletín Oficial del Estado».

[1] Véanse los artículos 29 a 33 de la Orden de 9 de enero de 1979 por la que se aprueba el Reglamento de Casinos de Juego y 31 de la Orden de 9 de enero de 1979 por la que se aprueba el Reglamento del Juego del Bingo.

[2] Artículo 5 de la Ley Orgánica 15/1999, de 13 de diciembre (§ 1).

[3] Véanse los artículos 79 y siguientes del Reglamento de Protección de Datos de Carácter Personal aprobado por Real Decreto 1720/2007, de 21 de diciembre, que figura como parágrafo 2.

§ 8 INSTRUCCIÓN 1/1998, DE 19 DE ENERO, DE LA AGENCIA DE PROTECCIÓN DE DATOS, RELATIVA AL EJERCICIO DE LOS DERECHOS DE ACCESO, RECTIFICACIÓN Y CANCELACIÓN

(«BOE» núm. 25, de 29 de enero de 1998)

La Ley Orgánica 5/1992, de 29 de octubre, de Regulación del Tratamiento Automatizado de los Datos de Carácter Personal, dedica los artículos 14 y siguientes a los derechos de acceso, rectificación y cancelación de los datos de carácter personal contenidos en ficheros automatizados. Dichos derechos se configuran como uno de los ejes fundamentales sobre los que se articula la protección del honor, la intimidad personal y familiar de los ciudadanos y el pleno ejercicio de sus derechos, en desarrollo de lo dispuesto en el artículo 18.4 de la Constitución Española.

El ejercicio de los derechos de acceso, rectificación y cancelación aparece regulado no sólo en la Ley Orgánica 5/1992, sino también en el Real Decreto 1332/1994, de 20 de junio, por el que se desarrollan determinados aspectos procedimentales de la citada ley.

Al amparo de lo dispuesto en el artículo 36. c) de la Ley Orgánica 5/1992 que atribuye al Director de la Agencia la función de «dictar, en su caso, y sin perjuicio de las competencias de otros órganos, las instrucciones precisas para adecuar los tratamientos automatizados a los principios de la presente ley», se ha elaborado la presente Instrucción.

Esta Instrucción tiene por objeto aclarar las disposiciones relativas a los derechos de acceso, rectificación y cancelación, ya que las actuaciones practicadas por esta Agencia han puesto de manifiesto que en su aplicación se presentan problemas interpretativos y que es necesario precisar el ejercicio de estos derechos en relación con algunos ficheros que presentan características especiales. Para ello, la Instrucción recoge la regulación de dichos derechos de acuerdo con la Ley Orgánica 5/1992 y el Real Decreto 1332/1994, de 20 de junio, y realiza una interpretación unitaria de los preceptos teniendo en cuenta la totalidad de principios legales.

En las normas primera, segunda y tercera se detallan los requisitos que deben cumplirse en el ejercicio de los derechos de acceso, rectificación y cancelación con carácter general. Sin embargo, las particularidades que presentan los ficheros de prestación de servicios de información sobre solvencia patrimonial y crédito y los ficheros con fines de publicidad exigen tratarlos de un modo especial en las normas cuarta y quinta, respectivamente.

Norma primera. Requisitos generales.– 1. Los derechos de acceso a los ficheros automatizados, así como los de rectificación y cancelación de datos son personalísimos y serán ejercidos por el afectado frente al responsable del fichero por lo que será necesario que el afectado acredite su identidad frente a dicho responsable. Estos derechos se ejercerán sin otras limitaciones que las que prevén la Ley Orgánica 5/1992 y el Real Decreto 1332/1994, de 20 de junio [1]. .

Podrá, no obstante, actuar el representante legal del afectado cuando éste se encuentre en situación de incapacidad o minoría de edad que le imposibilite el ejercicio personal de los mismos, en cuyo caso será necesario que el representante legal acredite tal condición.

2. La Ley configura los derechos de acceso, rectificación y cancelación como derechos independientes, de tal forma que no puede entenderse que el ejercicio de ninguno de ellos sea requisito previo para el ejercicio de otro.

3. El ejercicio de los derechos deberá llevarse a cabo mediante solicitud dirigida al responsable del fichero, que contendrá:

Nombre, apellidos del interesado y fotocopia del documento nacional de identidad del interesado y, en los casos que excepcionalmente se admita, de la persona que lo represente, así como el documento acreditativo de tal representación. La fotocopia del documento nacional de identidad podrá ser sustituida siempre que se acredite la identidad por cualquier otro medio válido en derecho.

Petición en que se concreta la solicitud.

Domicilio a efectos de notificaciones, fecha y firma del solicitante.

Documentos acreditativos de la petición que formula, en su caso.

El interesado deberá utilizar cualquier medio que permita acreditar el envío y la recepción de la solicitud.

4. El responsable del fichero deberá contestar la solicitud que se le dirija, con independencia de que figuren o no datos personales del afectado en sus ficheros, debiendo utilizar cualquier medio que permita acreditar el envío y la recepción.

En el caso de que la solicitud no reúna los requisitos especificados en el apartado 3, el responsable del fichero deberá solicitar la subsanación de los mismos.

5. El responsable del fichero deberá adoptar las medidas oportunas para garantizar que todas las personas de su organización que tienen acceso a datos de carácter personal puedan informar del procedimiento a seguir por el afectado para el ejercicio de sus derechos.

Norma segunda. Derecho de acceso [2] .– 1. El afectado tiene derecho a solicitar y obtener información de sus datos de carácter personal incluidos en ficheros automatizados.

2. Al ejercitar el derecho de acceso, el afectado podrá optar por uno o varios de los siguientes sistemas de consulta del fichero, siempre que la configuración o implantación material del fichero lo permita:

a) Visualización en pantalla.

b) Escrito, copia o fotocopia remitida por correo.

c) Telecopia.

d) Cualquier otro procedimiento que sea adecuado a la configuración e implantación material del fichero, ofrecido por el responsable del mismo.

3. El responsable del fichero resolverá sobre la solicitud de acceso en el plazo máximo de un mes a contar desde la recepción de la solicitud. Transcurrido el plazo sin que de forma expresa se responda a la petición de acceso, ésta podrá entenderse desestimada a los efectos de la interposición de la reclamación prevista en el artículo 17.1 de la Ley Orgánica 5/1992 [3]. .

En el caso de que no disponga de datos de carácter personal de los afectados deberá igualmente comunicárselo en el mismo plazo.

4. Si la resolución fuera estimatoria, el acceso se hará efectivo en el plazo de los diez días siguientes a la notificación de aquélla.

5. El responsable del fichero podrá denegar el acceso a los datos de carácter personal cuando el derecho se haya ejercitado en un intervalo inferior a doce meses y no se acredite un interés legítimo al efecto, así como cuando la solicitud sea formulada por persona distinta del afectado.

Tratándose de ficheros de titularidad pública, se podrá denegar el acceso en los supuestos de los artículos 21.1 y 21.2 de la Ley Orgánica 5/1992, en los que se establecen excepciones relativas a los ficheros de las Fuerzas y Cuerpos de Seguridad del Estado y a los ficheros de la Hacienda Pública y del artículo 22 de la Ley Orgánica 5/1992 [4].

6. La información que se proporcione, cualquiera que sea el soporte en que fuere facilitada, se dará en forma legible e inteligible, previa transcripción en claro de los datos del fichero, en su caso, y comprenderá todos los datos de base del afectado, los resultantes de cualquier elaboración o proceso informático, así como el origen de los datos, los cesionarios de los mismos y la especificación de los concretos usos y finalidades para los que se almacenaron los datos.

En el caso de que los datos provengan de fuentes diversas, deberán especificarse las mismas identificando la información que proviene de cada una de ellas.

Norma tercera. Derechos de rectificación y cancelación [5] .– 1. Si los datos de carácter personal del afectado son inexactos o incompletos, inadecuados o excesivos, podrá éste solicitar del responsable del fichero la rectificación o, en su caso, la cancelación de los mismos.

2. Los derechos de rectificación y cancelación se harán efectivos por el responsable del fichero dentro de los cinco días siguientes al de la recepción de la solicitud. Si los datos rectificados o cancelados hubieran sido cedidos previamente, el responsable del fichero deberá notificar la rectificación o cancelación efectuada al cesionario, en idéntico plazo, para que éste, a su vez, la lleve a cabo en su fichero.

3. La solicitud de rectificación deberá indicar el dato que es erróneo y la corrección que debe realizarse y deberá ir acompañada de la documentación justificativa de la rectificación solicitada, salvo que la misma dependa exclusivamente del consentimiento del interesado.

4. En la solicitud de cancelación, el interesado deberá indicar si revoca el consentimiento otorgado, en los casos en que la revocación proceda, o si, por el contrario, se trata de un dato erróneo o inexacto, en cuyo caso deberá acompañar la documentación justificativa.

5. La cancelación no procederá cuando pudiese causar un perjuicio a intereses legítimos del afectado o de terceros o cuando existiese una obligación de conservar los datos.

6. Si solicitada la rectificación o cancelación, el responsable del fichero considera que no procede atender la solicitud del afectado, se lo comunicará motivadamente dentro del plazo de los cinco días siguientes al de la recepción de la misma, a fin de que por éste se pueda hacer uso de la reclamación prevista en el artículo 17.1 de la Ley Orgánica 5/1992.

7. Transcurrido el plazo de cinco días sin que de forma expresa se responda a la solicitud de rectificación o cancelación, ésta podrá entenderse desestimada a los efectos de la interposición de la reclamación que corresponda.

8. La cancelación exige el borrado físico de los datos, sin que sea suficiente a estos efectos una marca lógica o el mantenimiento de otro fichero alternativo en el que se registren las bajas producidas.

9. En los casos en que, siendo procedente la cancelación de los datos, no sea posible su extinción física, tanto por razones técnicas como por causa del procedimiento o soporte utilizado, el responsable del fichero procederá al bloqueo de los datos, con el fin de impedir su ulterior proceso o utilización.

Se exceptúa, no obstante, el supuesto en el que se demuestre que los datos han sido recogidos o registrados por medios fraudulentos, desleales o ilícitos, en cuyo caso la cancelación de los mismos comportará siempre la destrucción del soporte en el que aquéllos figuren.

Norma cuarta. Ficheros de prestación de servicios de información sobre solvencia patrimonial y crédito [6] .– 1. El ejercicio de los derechos de acceso, rectificación y cancelación en el caso de los ficheros de prestación de servicios de información sobre solvencia patrimonial y crédito se rige por las normas anteriores de la presente Instrucción, sin perjuicio de lo señalado en los apartados siguientes.

2. El responsable de un fichero de prestación de servicios de solvencia patrimonial y crédito con datos obtenidos de fuentes accesibles al público o procedentes de informaciones facilitadas por el afectado o con su consentimiento, estará obligado a satisfacer, en cualquier caso, los derechos de acceso, rectificación y cancelación. Las personas y entidades a las que se presta el servicio únicamente estarán obligadas a comunicar al afectado aquellos datos relativos al mismo a los que ellas tengan acceso y a comunicar la identidad del responsable del fichero común para que pueda completar el ejercicio de sus derechos.

3. El responsable del fichero común en el que se traten automatizadamente datos relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés, ante una solicitud de ejercicio del derecho de acceso, deberá comunicar al afectado todos los datos relativos al mismo que obren en el fichero. Cualquier otra entidad participante en el sistema, ante tal solicitud, deberá comunicar al afectado todos los datos relativos al mismo a los que ella pueda acceder, así como la identidad del responsable del fichero común para que pueda completar el ejercicio de su derecho de acceso.

Si la solicitud del ejercicio de los derechos de rectificación o cancelación de datos se dirige al responsable del fichero común, éste tomará las medidas oportunas para trasladar dicha solicitud a la entidad que haya facilitado los datos, para que ésta la resuelva. En el caso de que el responsable del fichero común no haya recibido contestación por parte de la entidad en el plazo de cinco días, procederá a la rectificación o cancelación cautelar de los mismos.

Si la solicitud del ejercicio de los derechos de rectificación o cancelación de datos se dirige a cualquier otra entidad participante en el sistema y hace referencia a datos que dicha entidad haya facilitado al fichero común, procederá a la rectificación o cancelación de los mismos en sus ficheros y a notificarlo al responsable del fichero común en el plazo de cinco días. Si la solicitud hace referencia a datos que la entidad no hubiera facilitado al fichero común, dicha entidad informará al afectado sobre este hecho, proporcionándole, además, la identidad del responsable del fichero común para que pueda completar el ejercicio de sus derechos.

4. En los ficheros de prestación de servicios de información de solvencia patrimonial y crédito, cualquiera que sea el origen de los datos, cuando el afectado lo solicite el responsable del fichero común deberá cumplir la obligación establecida en el artículo 28.2 de la Ley Orgánica 5/1992 [7]. de facilitar las evaluaciones y apreciaciones que sobre el afectado se hayan comunicado en los últimos seis meses y el nombre y dirección de los cesionarios.

Norma quinta. Ficheros con fines de publicidad [8] .– 1. El responsable del fichero que presta el servicio de publicidad estará obligado a satisfacer los derechos de acceso, rectificación y cancelación. La entidad beneficiaria de la publicidad estará obligada a indicar al afectado la identidad del responsable del fichero del que provienen los datos. A tal efecto, se entenderá suficiente que dicha información se haga constar en la campaña publicitaria.

2. Cuando el interesado manifieste su deseo de no recibir publicidad, y no ejerza expresamente el derecho de cancelación, el responsable del fichero podrá conservar los mínimos datos imprescindibles para identificarlo y adoptar las medidas necesarias que eviten el envío de publicidad.

DISPOSICIÓN FINAL

Única. La presente Instrucción entrará en vigor a los veinte días de su publicación en el «Boletín Oficial del Estado».

[1] Véanse los artículos 23 a 33 y 117 a 199 del Reglamento de Protección de Datos de Carácter Personal (§ 2).

[2] Artículo 15 de la Ley Orgánica 15/1999, de 13 de diciembre (§ 1).

[3] Artículo 18.1 de la Ley Orgánica 15/1999, de 13 de diciembre.

[4] Artículos 23.1 y 2 y 24 de la Ley Orgánica 15/1999, de 13 de diciembre (§ 1).

[5] Artículo 18.1 de la Ley Orgánica 15/1999, de 13 de diciembre.

[6] Véase la Instrucción 1/1995, de 1 de marzo, relativa a prestación de servicios de información sobre solvencia patrimonial y crédito (§ 4).

[7] Artículo 29.3 de la Ley Orgánica 15/1999, de 13 de diciembre (§ 1).

[8] Véase el artículo 30 de la Ley Orgánica 15/1999, de 13 de diciembre (§ 1).

§ 9 INSTRUCCIÓN 1/2000, DE 1 DE DICIEMBRE, DE LA AGENCIA DE PROTECCIÓN DE DATOS, RELATIVA A LAS NORMAS POR LAS QUE SE RIGEN LOS MOVIMIENTOS INTERNACIONALES DE DATOS [1]

(«BOE» núm. 301, de 16 de diciembre de 2000)

El régimen del movimiento internacional de datos de carácter personal ha sido, desde la aprobación de la derogada Ley Orgánica 5/1992, de 29 de octubre, de regulación del Tratamiento Automatizado de Datos de Carácter Personal (LORTAD), una de las cuestiones que ha suscitado un mayor número de dudas por parte de los responsables de los ficheros y la sociedad en general.

El motivo de estas dudas probablemente se encuentre en el hecho de que las normas reguladoras en esta materia contenidas en la Ley y sus normas de desarrollo hayan debido adaptarse a las incluidas en los artículos 25 y 26 de la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, así como por las Decisiones que, en cumplimiento de los citados preceptos se adopten por la Comisión de las Comunidades Europeas.

La actuación de la Agencia de Protección de Datos en sus casi siete años de existencia ha generado una abundante casuística relacionada con las transferencias internacionales de datos de carácter personal que hasta la fecha no venía recogida sistemáticamente en ningún texto.

Por otra parte, el artículo 37. c) de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de datos de Carácter Personal, consagra la competencia de la Agencia de Protección de Datos para «dictar, en su caso, y sin perjuicio de las competencias de otros órganos, las instrucciones precisas para adecuar los tratamientos a los principios de la presente Ley».

En uso de esta facultad, la presente Instrucción tiene por objeto señalar los criterios orientativos seguidos por la Agencia de Protección de Datos en relación con aquellos tratamientos que supongan una transferencia internacional de datos, poniendo de manifiesto el procedimiento que, en uso de las competencias que la Ley le atribuye, se sigue por la Agencia en cada caso concreto.

Por tanto no es finalidad de esta Instrucción efectuar innovación alguna dentro de la normativa reguladora de la protección de datos de carácter personal sino, simplemente, aclarar y facilitar a todos los interesados en un único texto, el procedimiento seguido por la Agencia para dar cumplimiento a las previsiones contenidas en la diversidad de normas que se refieren al movimiento internacional de datos.

II

Los artículos 33 y 34 de la Ley Orgánica 15/1999 establecen el régimen al que habrán de someterse los movimientos internacionales de datos. Estos preceptos, sin modificar el criterio general que habrá de regir las transferencias, esto es, la exigencia de autorización del Director de la Agencia de Protección de Datos, vienen a adecuar el régimen de excepciones a dicha autorización, añadiendo a los ya contemplados en la LORTAD otros deducidos de lo dispuesto en los artículos 25 y 26 de la Directiva 95/46/CE. En particular, el artículo 34. k) de la Ley Orgánica 15/1999 exceptúa del régimen general de autorización el supuesto en que «la transferencia tenga como destino un Estado miembro de la Unión Europea, o un Estado respecto del cual la Comisión de las Comunidades Europeas, en el ejercicio de sus competencias, haya declarado que garantiza un nivel de protección adecuado».

En este sentido, deben tenerse en cuenta las recientes Decisiones de la Comisión de las Comunidades Europeas, números 2000/518/CE, 2000/519/CE y 2000/520/CE, de 26 de julio (publicadas en el Diario Oficial de las Comunidades Europeas de 25 de agosto de 2000), que consideraron adecuado el nivel de protección de datos personales en Suiza, Hungría, así como «el conferido por los principios de Puerto Seguro para la protección de la vida privada y las correspondientes preguntas más frecuentes, publicadas por el Departamento de Comercio de los Estados Unidos».

El régimen regulador del movimiento internacional de datos se encuentra, en todo caso, gobernado por el principio general, contenido en el artículo 25.1 de la Directiva, de que la transferencia a empresas o Administraciones ubicadas en el territorio de terceros Estados deberá entenderse «sin perjuicio del cumplimiento de las disposiciones de derecho nacional adoptadas con arreglo a las disposiciones de la presente Directiva». En este mismo sentido se pronuncian las Decisiones de la Comisión de las Comunidades Europeas a las que acabamos de hacer referencia en su artículo 2.

III

A la vista de todo ello, la presente Instrucción se divide en dos Secciones:

La primera de ellas establece criterios predicables de la totalidad de las transferencias internacionales de datos, indicando los conceptos generales que han de ser tenidos en cuenta para el cumplimiento de lo indicado en la Ley. Se recuerda además en esta Sección el principio general referente al necesario cumplimiento de la Ley Orgánica 15/1999 por parte de aquellas personas o entidades que pretendan efectuar una transferencia internacional de datos. Por último, se señala el procedimiento que las normas vigentes prevén para la notificación de dicha transferencia a esta Agencia de Protección de Datos.

La segunda Sección se refiere a supuestos concretos de transferencias. En particular, se contemplan tres supuestos específicos, dos atendiendo al país al que los datos se destinen y uno en función de la finalidad última que motiva la transferencia.

Así, la norma cuarta se refiere a aquellos países no comunitarios respecto de los que se haya declarado la existencia de un nivel de protección adecuado, con especial referencia al supuesto contemplado por la Decisión 2000/520/CE, de la Comisión de las Comunidades Europeas, a la que ya se ha hecho referencia.

La norma quinta toma en consideración la solución contractual en el supuesto de transferencias que exijan la autorización del Director de la Agencia de Protección de Datos, conforme a lo dispuesto en el artículo 33 de la Ley Orgánica 15/1999, indicando aquellos extremos que la Agencia ha venido considerando necesarios para que se entienda que la transferencia ofrece un adecuado nivel de garantía. La solución contractual ha sido considerada por el Parlamento Europeo, en su informe de 11 de julio de 2000, el instrumento más eficaz para garantizar que la transferencia de datos ofrece las garantías adecuadas. También el Documento del Grupo de Trabajo de Protección de Datos, creado por el artículo 29 de la Directiva Comunitaria, referente a los criterios de interpretación del régimen de transferencias internacionales, de 24 de julio de 1998, contiene previsiones específicas referidas a esta solución contractual.

Por último, la norma sexta se refiere a aquellos casos en que, con independencia del Estado al que se destinen los datos, la transferencia trae causa de la contratación de un servicio de tratamiento de datos por cuenta del responsable del fichero, transmitiéndose los datos a quien la Ley 15/1999 define como «encargado del tratamiento». En este caso deberá existir, en virtud de lo dispuesto en el artículo 12 de la Ley, y sin perjuicio del cumplimiento de los demás requisitos a los que se refiere la presente Instrucción, un contrato entre las entidades transmitente y destinataria de los datos.

En su virtud, en uso de las facultades que le atribuye el artículo 37. c) de la Ley Orgánica 15/1999, esta Agencia ha dispuesto:

Sección I. Disposiciones Generales

Norma primera. Ambito de aplicación.– La presente Instrucción será de aplicación a cualquier supuesto de transferencia internacional de datos de carácter personal.

A tal efecto, se considera transferencia internacional de datos toda transmisión de los mismos fuera del territorio español. En particular, se consideran como tales las que constituyan una cesión o comunicación de datos y las que tengan por objeto la realización de un tratamiento de datos por cuenta del responsable del fichero.

A los efectos de esta instrucción, se entiende por transmitente la persona física o jurídica, pública o privada, responsable del fichero o tratamiento de los datos de carácter personal que son objeto de transferencia internacional, y por destinatario la persona física o jurídica, pública o privada, situada fuera del territorio español que recibe los datos transferidos.

Norma segunda. Cumplimiento de las disposiciones de la Ley Orgánica 15/1999.– La transferencia internacional de datos no excluye de la aplicación de las disposiciones contenidas en la Ley Orgánica 15/1999, conforme a su ámbito de aplicación, correspondiendo a la Agencia de Protección de Datos la competencia para verificar su cumplimiento.

En todo caso, de conformidad con lo establecido en el artículo 5 de la Ley Orgánica 15/1999, cualquier responsable de un fichero o tratamiento que se proponga transferir datos de carácter personal fuera del territorio español deberá haber informado a los afectados de quiénes serán destinatarios de los datos, así como de la finalidad que justifica la transferencia internacional y el uso de los datos que podrá hacer el destinatario.

El deber de información al que se refiere el párrafo anterior no será de aplicación cuando la transferencia tenga por objeto la prestación de un servicio al responsable del fichero, en los términos establecidos por el artículo 12 de la Ley Orgánica 15/1999 [2].

Norma tercera. Notificación de las transferencias previstas al Registro General de Protección de Datos.– 1. De conformidad con el artículo 26.2 de la Ley Orgánica 15/1999 cualquier persona o entidad que pretenda efectuar una transferencia internacional de datos deberá hacerlo constar expresamente al proceder a la notificación del fichero al Registro General de Protección de Datos.

La notificación de la transferencia se efectuará en los términos que se contengan en el modelo normalizado aprobado a tal efecto por el Director de la Agencia de Protección de Datos, con expresa indicación del país al que se pretende efectuar la transferencia y de los motivos que, en su caso, la habilitan, conforme a lo dispuesto en el artículo 34 de la citada Ley Orgánica, para no recabar la autorización expresa del Director de la Agencia de Protección de Datos.

En caso de que la transferencia internacional se refiera a datos contenidos en un fichero ya inscrito en el Registro General de Protección de Datos, no constando la transferencia en la inscripción, el responsable del fichero deberá solicitar una modificación de la misma, notificando los extremos a los que se refiere el párrafo anterior.

Si se tratara de ficheros de titularidad pública, la transferencia deberá estar prevista en la norma de creación o modificación del fichero.

2. Recibida la notificación, la Agencia de Protección de Datos podrá requerir al responsable del fichero para que en el plazo de diez días aporte la documentación necesaria para completar la información relativa a la trasferencia internacional contenida en aquélla, así como la identidad del receptor de la misma.

A tal efecto, podrá solicitarse del responsable del fichero o tratamiento que aporte la documentación que acredite el cumplimiento de la obligación a la que se refiere la norma segunda de esta Instrucción. En particular, si el responsable invocase la existencia de consentimiento del afectado a la transferencia, podrá solicitarse que acredite la prestación de ese consentimiento. Del mismo modo podrá exigirse que se acredite la existencia de una relación contractual con el afectado que motive la transferencia, si aquélla hubiera sido alegada.

Igualmente, se podrá solicitar del responsable del fichero que acredite los extremos a los que se refiere la Sección Segunda de la presente Instrucción.

Al requerirse la información a la que se refiere este apartado se indicará al responsable del fichero que, en caso de no ser aquélla aportada en el plazo de diez días, se le tendrá por desistido de su petición de inscripción o modificación, archivándose ésta.

3. Si con la documentación aportada no se acreditara el cumplimiento de los requisitos contenidos en la Ley Orgánica 15/1999, el Director de la Agencia de Protección de Datos, en ejercicio de las competencias que le atribuye dicha Ley Orgánica, denegará la Inscripción o su modificación.

4. Contra las resoluciones del Director de la Agencia de Protección de Datos relativas a la inscripción o, en su caso, a la modificación de un fichero, cabrá interponer potestativamente recurso previo de reposición o recurso contencioso-administrativo ante la Sala de lo Contencioso-Administrativo de la Audiencia Nacional.

Sección II. Disposiciones Aplicables a Transferencias Concretas

Norma cuarta. Transferencias al territorio de Estados que otorguen un nivel adecuado de protección.– 1. Cuando la transferencia internacional tenga por destinatario una persona o entidad, pública o privada, situada en el territorio de un Estado no miembro de la Unión Europea, respecto del que se haya declarado la existencia de un nivel adecuado de protección o que sea miembro del Espacio Económico Europeo, se podrá requerir al responsable del fichero la aportación de la documentación a la que se refiere el apartado segundo de la norma tercera de esta Instrucción.

2. Sin perjuicio de lo dispuesto en la norma segunda, el Director de la Agencia de Protección de Datos, en uso de la potestad que le otorga el artículo 37. f) de la Ley Orgánica 15/1999, podrá acordar, previa audiencia del transmitente, la suspensión temporal de la transferencia de datos hacia un receptor ubicado en un tercer Estado del que se haya declarado la existencia de un nivel adecuado de protección, cuando concurra alguna de las circunstancias siguientes, previstas en las Decisiones de la Comisión de las Comunidades Europeas:

a) Que las Autoridades de Protección de Datos del Estado destinatario o cualquier otra, en caso de no existir las primeras, resuelvan que el destinatario ha vulnerado las normas de protección de datos de su derecho interno.

b) Que existan indicios racionales de que se estén vulnerando las normas o, en su caso, los principios de protección de datos por la entidad destinataria de la transferencia y que las autoridades competentes en el Estado en que se encuentre el destinatario no han adoptado o no van a adoptar en el futuro las medidas oportunas para resolver el caso en cuestión, habiendo sido advertidas de la situación por la Agencia de Protección de Datos. En este caso se podrá suspender la transferencia cuando su continuación pudiera generar un riesgo inminente de grave perjuicio a los afectados.

En estos casos, la decisión del Director de la Agencia de Protección de Datos será notificada a la Comisión de las Comunidades Europeas.

3. Si la transferencia se funda en lo establecido en la Decisión 2000/520/CE de la Comisión de las Comunidades Europeas, «sobre la adecuación de la protección conferida por los principios de Puerto Seguro para la protección de la vida privada y las correspondientes preguntas más frecuentes, publicadas por el Departamento de Comercio de los Estados Unidos», quien pretenda efectuar la transferencia deberá acreditar que el destinatario se encuentra entre las entidades que se han adherido a los principios, así como que el mismo se encuentra sujeto a la jurisdicción de uno de los organismos públicos estadounidenses que figuran en el Anexo VII de la citada Decisión.

4. Lo indicado en el apartado anterior será de aplicación a todos los supuestos en que el nivel de protección adecuado se declare por la Comisión de las Comunidades Europeas en relación con un sistema de autorregulación o de condiciones similares a las contenidas en la Decisión 2000/520/CE.

5. Contra las resoluciones del Director de la Agencia de Protección de Datos a las que se refiere esta norma cabrá interponer potestativamente recurso previo de reposición o recurso contencioso-administrativo ante la Sala de lo Contencioso-Administrativo de la Audiencia Nacional.

Norma quinta. Transferencias al territorio de otros Estados.– 1. Cuando la transferencia internacional tenga por destinatario una persona física o jurídica, pública o privada, situada en el territorio de un Estado no miembro de la Unión Europea, respecto del que no se haya declarado por la Comisión de las Comunidades Europeas la existencia de un nivel adecuado de protección o que no pertenezca al Espacio Económico Europeo y el transmitente se funde en alguno de los supuestos comprendidos en los apartados a) a j) del artículo 34 de la Ley Orgánica 15/1999, la Agencia de Protección de Datos podrá requerir al responsable del fichero para que aporte la documentación que justifique su alegación.

2. En caso de que la transferencia no se fundamente en alguno de los supuestos a los que se refiere el apartado anterior, o cuando esta circunstancia no haya quedado debidamente acreditada, será necesario recabar la autorización del Director de la Agencia de Protección de Datos, conforme a lo dispuesto en el artículo 33 de la Ley Orgánica 15/1999.

Sin perjuicio de lo establecido en el apartado 7 de esta norma, dicha autorización será otorgada en caso de que el responsable del fichero aporte un contrato escrito, celebrado entre el transmitente y el destinatario, en el que consten las necesarias garantías de respeto a la protección de la vida privada de los afectados y a sus derechos y libertades fundamentales y se garantice el ejercicio de sus respectivos derechos.

El citado contrato deberá contener, al menos, las siguientes menciones:

a) La identificación del transmitente y el destinatario de los datos.

b) La indicación de la finalidad que justifica la transferencia internacional, así como de los datos que son objeto de la transferencia.

c) El compromiso del transmitente de que la recogida y tratamiento de los datos en territorio español respeta íntegramente las normas contenidas en la Ley Orgánica 15/1999 y que el fichero en que se encuentran los datos objeto de la transferencia está inscrito en el Registro General de Protección de Datos o se ha solicitado su inscripción.

d) El compromiso del destinatario de que los datos recibidos serán tratados exclusivamente para la finalidad que motiva la transferencia, así como que procederá a su tratamiento de acuerdo con las normas de protección de datos del derecho español. Asimismo, el destinatario deberá comprometerse a no comunicar los datos a ningún tercero en tanto no haya sido recabado el consentimiento del afectado para ello.

e) Que el destinatario adoptará las medidas de seguridad requeridas por la normativa de protección de datos de carácter personal vigente en España.

f) Que el transmitente y el destinatario responderán solidariamente frente a los particulares, a la Agencia de Protección de Datos y a los Órganos Jurisdiccionales españoles por los eventuales incumplimientos del contrato en que pudiera incurrir el receptor, cuando los mismos sean constitutivos de infracción de lo dispuesto en la Ley Orgánica 15/1999 o produzcan un perjuicio a los afectados.

g) Que se indemnizará al afectado que resulte perjudicado como consecuencia del tratamiento efectuado por el destinatario, según el régimen de responsabilidad al que se refiere el apartado anterior.

h) La garantía de que el afectado podrá ejercitar los derechos de acceso, rectificación, cancelación y oposición, tanto ante el transmitente como ante el destinatario de los datos. Asimismo, deberá indicarse que el interesado podrá recabar la tutela de la Agencia de Protección de Datos en los supuestos previstos en la Ley Orgánica 15/1999 en caso de que sus derechos no sean atendidos.

i) El compromiso del destinatario de los datos de autorizar el acceso al establecimiento donde se estén tratando los mismos, así como a la documentación y a los equipos físicos y lógicos, de representantes de la Agencia de Protección de Datos o de la entidad independiente en quien ésta delegue, cuando la Agencia lo requiera con el fin de verificar el cumplimiento de las obligaciones derivadas del contrato.

j) La obligación de que, una vez extinguida la relación contractual, los datos de carácter personal deberán ser destruidos o devueltos al transmitente, al igual que cualquier soporte o documento en que conste algún dato de carácter personal objeto de la transferencia.

k) Que los afectados podrán exigir el cumplimiento de lo estipulado en el contrato en todas aquellas cuestiones en que el mismo les resulte beneficioso.

3. Remitido el contrato, la Agencia de Protección de Datos podrá solicitar que en el mismo se introduzcan las modificaciones necesarias para garantizar el cumplimiento de los requisitos a los que se refieren los dos apartados anteriores, concediendo a tal efecto un plazo de diez días.

4. Transcurrido ese plazo sin que el contrato cumpla los requisitos previstos en los apartados 2 y 3 de esta norma, el Director de la Agencia de Protección de Datos denegará la transferencia solicitada.

5. Cuando el Director de la Agencia de Protección de Datos autorice la transferencia ordenará su inscripción en el Registro General de Protección de Datos y procederá a su comunicación a la Comisión de las Comunidades Europeas.

6. Surtirán el mismo efecto jurídico los contratos que pudieran celebrarse en el futuro al amparo de lo que, en su caso, dispongan las Decisiones de la Comisión de las Comunidades Europeas que den cumplimiento a lo establecido en el artículo 26.4 de la Directiva 95/46/CE, siempre que se acredite su íntegro cumplimiento.

7. Sin perjuicio de lo dispuesto en los apartados anteriores de esta norma y en la norma segunda, el Director de la Agencia de Protección de Datos podrá denegar o, en uso de la potestad que le otorga el artículo 37. f) de la Ley Orgánica 15/1999, suspender temporalmente, previa audiencia del transmitente, la transferencia, cuando concurra alguna de las circunstancias siguientes:

a) Que la situación de protección de los derechos fundamentales y libertades públicas en el país de destino o su legislación impidan garantizar el íntegro cumplimiento del contrato y el ejercicio por los afectados de los derechos que el contrato garantiza.

b) Que la entidad destinataria haya incumplido previamente las garantías establecidas en cláusulas contractuales de este tipo.

c) Que existan indicios racionales de que las garantías ofrecidas por el contrato no están siendo o no serán respetadas por el destinatario.

d) Que existan indicios racionales de que los mecanismos de aplicación del contrato no son o no serán efectivos.

e) Que la transferencia, o su continuación, en caso de haberse iniciado, pudiera crear una situación de riesgo de daño efectivo a los afectados.

Las resoluciones del Director de la Agencia de Protección de Datos por las que se deniegue o suspenda una transferencia internacional de datos en virtud de las causas a las que se refiere este apartado serán notificadas a la Comisión de las Comunidades Europeas cuando así sea exigible.

8. Contra las resoluciones del Director de la Agencia de Protección de Datos cabrá interponer potestativamente recurso previo de reposición o recurso contencioso-administrativo ante la Sala de lo Contencioso-Administrativo de la Audiencia Nacional.

Norma sexta. Especialidades en las transferencias que tengan por objeto la realización de un tratamiento de datos por cuenta del responsable del fichero.– 1. Cuando la transferencia internacional de datos tenga por objeto la realización de un tratamiento de datos por cuenta del responsable del fichero, la realización del tratamiento deberá estar regulada en un contrato, en que deberá hacerse constar la responsabilidad directa de la transmitente como consecuencia de cualquier incumplimiento de la Ley en que incurriera el destinatario.

El contrato, que deberá constar por escrito, establecerá expresamente que el destinatario únicamente tratará los datos conforme a las instrucciones del transmitente, que no los aplicará o utilizará con fin distinto al que figure en dicho contrato y que adoptará las medidas de seguridad exigibles al transmitente conforme a las normas de protección de datos del Derecho español.

Además, deberá indicarse que una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al transmitente, al igual que cualquier soporte o documento en que conste algún dato de carácter personal objeto del tratamiento.

2. La receptora no podrá comunicar los datos, ni siquiera para su conservación, a otras personas.

En consecuencia, si la transmitente deseara que por parte de varias entidades distintas, situadas fuera del territorio español, se presten servicios de tratamiento, en los términos a que se refiere el artículo 12 de la Ley Orgánica 15/1999, deberá contratar dichos servicios con cada una de las entidades, no siendo posible que la destinataria subcontrate esta segunda actividad con otra empresa, a menos que actúe en nombre y por cuenta del responsable del fichero.

3. En caso de que la transferencia se dirija a un destinatario situado en un Estado no miembro de la Unión Europea respecto del que no se haya declarado la existencia de un nivel adecuado de protección o que no pertenezca al Espacio Económico Europeo, en el contrato deberán constar cautelas semejantes a las indicadas en la norma quinta en lo referente al régimen sancionador y de indemnización a los interesados, así como en lo relativo a las potestades de la Agencia de Protección de Datos, para el caso en que la destinataria emplee los datos para otra finalidad distinta de la que motivó la transferencia, los comunique o los utilice incumpliendo las estipulaciones del contrato.

[1] Véanse los artículos 65 a 70 y 139 a 144 del Reglamento de Protección de Datos de Carácter Personal (§ 2).

[2] Véase la norma cuarta de la presente Instrucción.

§ 10 INSTRUCCIÓN 1/2004, DE 22 DE DICIEMBRE, DE LA AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS, SOBRE PUBLICACIÓN DE SUS RESOLUCIONES

(«BOE» núm. 4, de 5 de enero de 2005)

I

Uno de los objetivos fundamentales de la Agencia Española de Protección de Datos es el de lograr la mayor transparencia en su actividad, para una mejor garantía y tutela del derecho fundamental a la protección de datos de carácter personal, en el marco del proceso de implantación de la sociedad de la información.

Desde su creación, cada año se ha publicado una Memoria de la Agencia Española de Protección de Datos. A través de estas memorias se ha podido tener conocimiento de las actividades desarrolladas por la Agencia, de los procedimientos que se han seguido en la misma y de los criterios con que han sido resueltos. Sin embargo, dado el tiempo que transcurre desde que se dicta una resolución hasta que se publica la Memoria han podido existir desfases en el conocimiento del parecer de la Agencia.

La Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, tras la modificación introducida por el artículo 82.1 de la Ley 62/2003, de 30 de diciembre, de Medidas Fiscales, Administrativas y del Orden Social, establece en el artículo 37.2 que las resoluciones de la Agencia Española de Protección de Datos, a excepción de las correspondientes a la inscripción de un fichero o tratamiento en el Registro General de Protección de Datos y de aquéllas por las que se resuelva la inscripción en el mismo de los códigos tipo regulados en el artículo 32 de la citada Ley, se harán públicas, una vez hayan sido notificadas a los interesados, preferentemente a través de medios informáticos o telemáticos.

Con la modificación introducida por la citada Ley 62/2003, la Agencia tiene, por consiguiente, la obligación de hacer públicas sus resoluciones desde el momento en que han sido notificadas a los interesados, lo que sin duda redundará en un mejor conocimiento de sus criterios y una mayor seguridad jurídica en la aplicación de la Ley. Dado que dicha Ley entró en vigor el día 1 de enero de 2004, sus disposiciones en materia de publicidad de las resoluciones de la Agencia Española de Protección de Datos afectarán a todas aquéllas dictadas en procedimientos incoados a partir de dicha fecha, así como a las correspondientes al archivo de actuaciones inspectoras iniciadas desde esa misma fecha.

Con ello, se potencia el conocimiento de los criterios en la aplicación de la normativa sobre protección de datos, se facilita su cumplimiento y se favorece, asimismo, la aplicación de los principios de la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos.

II

El artículo 37.1. c) de la Ley Orgánica 15/1999 atribuye a la Agencia Española de Protección de Datos la función de «dictar, en su caso y sin perjuicio de las competencias de otros órganos, las instrucciones precisas para adecuar los tratamientos a los principios de la presente Ley». La potestad normativa de la Agencia ha sido expresamente reconocida por el Tribunal Constitucional, en su Sentencia 290/2000, de 30 de noviembre.

En ejercicio de dicha potestad se dicta la presente Instrucción, cuyo objeto es establecer los términos en los que la Agencia Española de Protección de Datos va a realizar la publicación de las resoluciones a las que hace referencia el artículo 37.2 de la Ley Orgánica 15/1999.

Con dicho objeto, se establece la forma y los plazos en que se realizará la publicación de las indicadas resoluciones y, se prevé que, en todo caso, a fin de salvaguardar el derecho fundamental a la protección de datos de carácter personal, será necesario proceder a la disociación de dichos datos.

Asimismo, se dispone que en las resoluciones a las que se refiere el artículo 37.2 de la Ley Orgánica 15/1999, la Agencia hará constar, de forma expresa, que procederá a su publicación.

En su virtud, de conformidad con lo dispuesto en el artículo 37.1. c) de la Ley Orgánica 15/1999 y de acuerdo con el Consejo Consultivo de la Agencia Española de Protección de Datos, dispongo:

Norma primera. De conformidad con lo establecido en el artículo 37.2 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, según la redacción dada por el artículo 82.1 de la Ley 62/2003, de 30 de diciembre, de Medidas Fiscales, Administrativas y del Orden Social, la Agencia Española de Protección de Datos hará públicas sus resoluciones, a excepción de las correspondientes a la inscripción de un fichero o tratamiento en el Registro General de Protección de Datos y de aquéllas por las que se resuelva la inscripción en el mismo de los códigos tipo regulados en el artículo 32 de la Ley Orgánica 15/1999, siempre que se refieran a procedimientos que se hubieran iniciado a partir del 1 de enero de 2004, o correspondan al archivo de actuaciones inspectoras incoadas desde dicha fecha.

Norma segunda. La publicación de estas resoluciones se realizará en la página web de la Agencia Española de Protección de Datos, en el plazo de un mes a contar desde el día siguiente al de su notificación a los interesados.

Norma tercera. En las resoluciones a las que se refiere la norma primera se hará constar expresamente que la Agencia va a proceder a su publicación en los términos establecidos en la presente Instrucción.

Norma cuarta. La publicación de las resoluciones a que se refiere la presente Instrucción se realizará previa disociación de los datos de carácter personal a los que se refiere el artículo 3. a) de la Ley Orgánica 15/1999.

La publicación de dichas resoluciones no contendrá, en ningún caso, los datos referentes al domicilio de las personas jurídico privadas, empresarios individuales o profesionales afectados por la resolución.

Norma quinta. Las resoluciones correspondientes a los procedimientos y actuaciones de inspección que se mencionan en la norma primera iniciados a partir del 1 de enero de 2004 y que hayan sido notificadas antes de la fecha de entrada en vigor de la presente Instrucción, se publicarán en el plazo de tres meses a partir de la misma.

Norma sexta. La presente Instrucción entrará en vigor el día siguiente al de su publicación en el «Boletín Oficial del Estado».

§ 11 RESOLUCIÓN DE 12 DE JULIO DE 2006, DE LA AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS, POR LA QUE SE CREA EL REGISTRO TELEMÁTICO DE LA AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS

(«BOE» núm. 181, de 31 de julio de 2006)

La Agencia Española de Protección de Datos es un ente de derecho público con personalidad jurídica propia y plena capacidad pública y privada, que actúa con plena independencia de las Administraciones Públicas en el ejercicio de sus funciones, y que tiene por objeto la garantía del cumplimiento y aplicación de las previsiones contenidas en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD) y sus normas de desarrollo.

El artículo 35.2 de la LOPD establece que en el ejercicio de sus funciones públicas, y en defecto de lo que disponga la propia LOPD y sus disposiciones de desarrollo, la Agencia Española de Protección de Datos actuará de conformidad con la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común.

El artículo 45 de la Ley 30/1992 prevé que las Administraciones Públicas impulsarán el empleo y aplicación de las técnicas y medios electrónicos, informáticos y telemáticos, para el desarrollo de su actividad y el ejercicio de sus competencias. En igual sentido, la reforma de la Ley de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común efectuada por la Ley 24/2001, de 27 de diciembre, de medidas Fiscales, Administrativas y del Orden Social, tuvo por finalidad potenciar el uso de medios electrónicos, informáticos y telemáticos por la Administración.

Las previsiones de la Ley 30/1992, de 26 de diciembre fueron desarrolladas por el Real Decreto 263/1996, de 16 de febrero, por el que se regula la utilización de técnicas electrónicas, informáticas y telemáticas por la Administración General del Estado, y que fue modificado por el Real Decreto 209/2003, de 21 de febrero, por el que se regulan los registros y las notificaciones telemáticas, así como la utilización de medios telemáticos para la sustitución de la aportación de certificados por los ciudadanos.

El Real Decreto 209/2003 modificó igualmente el Real Decreto 772/1999, de 7 de mayo, por el que se regula la presentación de solicitudes, escritos y comunicaciones ante la Administración General del Estado, la expedición de copias de documentos y devolución de originales y el régimen de las oficinas de registro, añadiendo un nuevo capítulo dedicado a la regulación de los Registros Telemáticos.

Por su parte, el artículo 4 de la Ley 59/2003, de 19 de diciembre, de firma electrónica, establece que esta ley es de aplicación al uso de la firma en el seno de las administraciones Públicas, sus organismos públicos y las entidades dependientes o vinculadas a las mismas y en las relaciones que mantengan aquellas y éstos entre sí o con los particulares.

Teniendo en cuenta los preceptos legales citados anteriormente, la presentación por vía telemática de solicitudes, escritos y comunicaciones requiere la creación de un registro telemático que se ocupe de la recepción y remisión de los mismos, y la especificación de los procedimientos en que dicho registro podrá ser utilizado, de acuerdo con el artículo 38, apartado 9, de la Ley 30/1992, de 26 de noviembre.

En su virtud, y de conformidad con lo dispuesto en el artículo 37.1. c) de la Ley Orgánica 15/1999, de 13 de diciembre, resuelvo:

Primero . Objeto .–La presente resolución tiene por objeto la creación y regulación del Registro Telemático de la Agencia Española de Protección de Datos, encargado de la recepción de y remisión de solicitudes, escritos, y comunicaciones, así como el establecimiento de los requisitos y condiciones de funcionamiento de dicho registro respecto de los trámites y procedimientos comprendidos dentro de su ámbito de aplicación.

Segundo. Ámbito de aplicación .–El Registro Telemático de la Agencia Española de Protección de Datos estará habilitado para los procedimientos de notificación de ficheros con datos de carácter personal para su inscripción en el Registro General de Protección de Datos mediante el formulario electrónico de Notificaciones Telemáticas a la AEPD (NOTA) con certificado de firma electrónica reconocido. También se podrán enviar notificaciones de ficheros a la AEPD mediante formato XML igualmente firmadas con certificado de firma electrónica reconocido. Las especificaciones técnicas para la remisión de notificaciones en este formato se encontrarán disponibles en la página web de la AEPD (www.agpd.es).

Esta presentación tendrá carácter voluntario para los interesados, siendo alternativa la utilización de los Registros u oficinas a los que se refiere el artículo 38.4 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común.

La recepción en el Registro Telemático de la Agencia Española de Protección de Datos de solicitudes, escritos y comunicaciones que no estén incluidas en lo especificado en el ámbito de aplicación, o que hayan sido presentadas por medios diferentes al telemático no producirá ningún efecto. En estos casos, se archivarán, teniéndolas por no presentadas y comunicándolo así al remitente.

El Director de la Agencia Española de Protección de Datos podrá ordenar, mediante la oportuna resolución, la inclusión de nuevos procedimientos y trámites, para los que será válido lo dispuesto en esta Resolución, así como aprobar los modelos normalizados de obligatoria utilización para su recepción y remisión a través del Registro Telemático.

La relación actualizada de solicitudes, escritos y comunicaciones relativos a los trámites y procedimientos que puedan presentarse en el Registro Telemático de la Agencia Española de Protección de Datos figurará en la dirección electrónica de acceso al registro (www.agpd.es).

Tercero. Creación del Registro Telemático de la Agencia Española de Protección de Datos.– 1. Se crea el Registro Telemático de la Agencia Española de Protección de Datos para la recepción y remisión de solicitudes, escritos y comunicaciones relativas a los trámites y procedimientos que se especifican en el apartado segundo de esta Resolución, que se remitan y expidan mediante firma electrónica en aplicación de lo previsto en el artículo 38.9 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común.

2. En defecto de lo que pueda disponer la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y sus disposiciones de desarrollo, resultará de aplicación lo dispuesto en el Real Decreto 263/1996, de 16 de febrero, de utilización de técnicas electrónicas, Informáticas y telemáticas por la Administración General del Estado, así como en el Real Decreto 772/1999, de 7 de mayo, que regula la presentación de solicitudes, escritos y comunicaciones ante la Administración General del Estado, la expedición de copias de documentos y devoluciones de originales y el régimen de las oficinas de registro, y la Orden PRE/1551/2003, por la que se desarrolla la disposición final primera del Real Decreto 209/2003, de 21 de febrero, que regula los registros y notificaciones telemáticas, así como la utilización de los medios telemáticos para la sustitución de certificados por los ciudadanos.

3. El Registro Telemático de la Agencia Española de Protección de Datos, se configura como un registro auxiliar del Registro de Entrada y Salida de este Ente Público, en los términos previstos en el apartado 4 del artículo 7 del Real Decreto 263/1996.

4. El acceso al Registro Telemático de la Agencia Española de Protección de Datos por los interesados se realizará a través de la dirección electrónica de la Agencia (www.agpd.es).

Cuarto. Requerimientos técnicos necesarios para el acceso al Registro Telemático de la Agencia Española de Protección de Datos.– 1. El acceso de los ciudadanos interesados en comunicarse con el Registro Telemático se realizará a través de Internet mediante el correspondiente navegador web. En la dirección electrónica de acceso al Registro Telemático estará disponible la relación de los sistemas operativos y navegadores que puedan ser utilizados por los interesados.

2. Cuando así lo prevea la norma de aprobación de los modelos utilizados para el envío y recepción de solicitudes, escritos y comunicaciones telemáticas relacionadas con los trámites y procedimientos incluidos en el ámbito del Registro Telemático, se permitirá el acceso a través de tecnologías que permitan la comunicación directa entre éste y las aplicaciones desarrolladas por los interesados o por la propia Agencia. En estos casos, la norma de aprobación de los modelos y comunicaciones telemáticas deberá especificar los formatos de intercambio de datos, y las especificaciones técnicas necesarias para el envío y recepción de los documentos.

3. De acuerdo con el principio de neutralidad tecnológica, los requisitos técnicos necesarios para el acceso al Registro Telemático de la Agencia se adecuarán en lo posible a los estándares y directrices que favorezcan su interoperabilidad y su compatibilidad con el mayor número de herramientas informáticas posible, como navegadores y sistemas operativos.

Quinto. Sistemas de firma electrónica reconocidos.– 1. Las solicitudes, escritos y comunicaciones recibidas o remitidas por el Registro Telemático estarán firmados electrónicamente, utilizando sistemas de firma electrónica según lo previsto en la Ley 59/2003, de 19 de diciembre, de Firma Electrónica, y teniendo en cuenta las normas adicionales recogidas en el artículo 4 de la mencionada Ley. Los certificados deberán ser conformes con la recomendación UIT X.509.

2. En la dirección electrónica de acceso al Registro Telemático estará disponible la información sobre la relación de prestadores de servicios de certificación y tipos de certificados electrónicos que amparen las firmas electrónicas utilizadas en la recepción y remisión de solicitudes, escritos y comunicaciones.

Sexto. Recepción de solicitudes y cómputo de plazos.– 1. La presentación de solicitudes, escritos y comunicaciones al Registro Telemático podrá realizarse durante las 24 horas de todos los días del año. El Registro Telemático se regirá por la fecha y hora oficial española correspondiente a la península y al archipiélago Balear, que deberá figurar visible en la dirección electrónica de acceso al Registro.

2. El Registro Telemático emitirá por el mismo medio, y utilizando los sistemas que se determinen en función del procedimiento o trámite, un mensaje de confirmación de la solicitud, escrito o comunicación en el que constarán los datos proporcionados por el interesado, junto con la acreditación de la fecha y hora en que produjo la recepción y una clave de identificación de la transmisión. El mensaje de confirmación se configurará de forma que pueda ser impreso o archivado informáticamente por el interesado y que garantizará la identidad del registro, tendrá el valor de recibo de presentación a efectos de lo dispuesto en el artículo 6.3 del Real Decreto 772/1999.

3. El usuario deberá ser advertido de que la no recepción del mensaje de confirmación, o en su caso, la recepción de un mensaje de indicación de error implica que no se ha producido la recepción del mismo, debiendo realizarse la presentación en otro momento o utilizando otros medios.

4. A los efectos del cómputo de plazo, la recepción en un día inhábil se entenderá efectuada el primer día hábil siguiente. En este caso, en el asiento de entrada se inscribirán como fecha y hora de presentación aquéllas en que se produjo efectivamente la recepción, constando como fecha y hora de entrada las cero horas y un segundo del primer día hábil siguiente.

5. El calendario de días inhábiles a efectos de este Registro Telemático será el que se determine en la resolución anual publicada en el «Boletín Oficial del Estado» para todo el territorio nacional por el Ministerio de Administraciones Públicas, según lo dispuesto en el artículo 48.7 de la Ley 30/1992.

6. El Registro Telemático de la Agencia Española de Protección de Datos no realizará ni anotará salidas de escritos y comunicaciones en días inhábiles.

7. Cuando la ineludible realización de trabajos de mantenimiento u otras razones técnicas lo requieran, podrán planificarse paradas de los sistemas informáticos que afecten o imposibiliten de forma temporal el servicio de comunicaciones telemáticas. Estas paradas serán avisadas por el propio sistema con la antelación que, en su caso, resulte posible. En supuestos de interrupción no planificada en el funcionamiento del Registro Telemático, y siempre que sea posible, se comunicará dicha circunstancia.

Séptimo. Seguridad.– 1. La Secretaría General de la Agencia Española de Protección de Datos será la responsable de la seguridad del Registro Telemático de la Agencia Española de Protección de Datos.

2. En la dirección electrónica del Registro Telemático estará disponible información actualizada sobre los protocolos de seguridad del registro y de las transacciones telemáticas.

Octavo. Accesibilidad.– 1. La Agencia Española de Protección de datos tomará las medidas necesarias para lograr un adecuado nivel de accesibilidad con el fin de que el Registro Telemático pueda ser utilizado por personas discapacitadas o de edad avanzada.

2. Las páginas web de la Agencia Española de Protección de Datos relacionadas con el Registro Telemático se adecuaran a las Directrices de Accesibilidad WAI 1.0 del W3C al menos en su nivel AA.

3. Los formularios electrónicos aprobados para su remisión al Registro Telemático o los programas que a tal efecto pudiera desarrollar la Agencia Española de Protección de Datos incorporarán un grado de accesibilidad similar en función del estado de la tecnología utilizada en cada caso.

Noveno. Entrada en vigor.– La presente resolución entrará en vigor el día 1 de septiembre de 2006.

§ 12 RESOLUCIÓN DE 12 DE JULIO DE 2006, DE LA AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS, POR LA QUE SE APRUEBAN LOS FORMULARIOS ELECTRÓNICOS A TRAVÉS DE LOS QUE DEBERÁN EFECTUARSE LAS SOLICITUDES DE INSCRIPCIÓN DE FICHEROS EN EL REGISTRO GENERAL DE PROTECCIÓN DE DATOS, ASÍ COMO LOS FORMATOS Y REQUERIMIENTOS A LOS QUE DEBEN AJUSTARSE LAS NOTIFICACIONES REMITIDAS EN SOPORTE INFORMÁTICO O TELEMÁTICO

(«BOE» núm. 181, de 31 de julio de 2006)

La Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD), publicada en el «Boletín Oficial del Estado» de 14 de diciembre, tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar.

En su artículo 39, la LOPD prevé la existencia de un Registro General de Protección de Datos (RGPD), como órgano integrado en la Agencia Española de Protección de Datos al que corresponde velar por la publicidad de los tratamientos y ficheros de datos personales existentes con la finalidad de facilitar al ciudadano el ejercicio de los derechos que la propia Ley le reconoce.

A este fin establece la obligación de notificar los ficheros de carácter personal para su inscripción en el RGPD, a aquellas personas físicas o jurídicas, de naturaleza pública o privada, u órganos administrativos, que procedan a la creación de ficheros con datos de carácter personal, con carácter previo a la misma.

Esta obligación de notificar los ficheros implica la puesta en práctica de unos procedimientos de inscripción para poder tramitar un número creciente de notificaciones.

La notificación de ficheros al Registro está regulada en los artículos 20 y 26 de la LOPD, estableciéndose el procedimiento a través del cual se realiza la misma en el Real Decreto 1332/1994, de 20 de junio, que desarrolla determinados aspectos de la derogada Ley Orgánica 5/1992, cuyos artículos 5 y 6 habilitan a la Agencia Española de Protección de Datos para elaborar modelos normalizados de solicitud de inscripción para los ficheros de titularidad pública o privada, respectivamente. El Real Decreto 1332/1994 continúa vigente, según declara expresamente la Disposición transitoria tercera de la Ley Orgánica 15/1999, en cuanto no se oponga a la misma.

Mediante Resolución de 30 de mayo de 2000, de la Agencia Española de Protección de Datos, publicada en el «Boletín Oficial del Estado» núm. 153, de 27 de junio de 2000, se aprobaron los modelos normalizados en soporte papel, magnético y telemático a través de los que debe efectuarse la notificación de los ficheros y su solicitud de inscripción en el Registro General de Protección de Datos. Estos modelos reemplazaron a los establecidos en la Resolución de la Agencia Española de Protección de Datos de 22 de junio de 1994, publicada en el «Boletín Oficial del Estado» de 23 de junio de 1994, a fin de proceder a su adaptación a los nuevos requerimientos previstos en la LOPD.

El artículo 45 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, insta a las Administraciones Públicas a promover la incorporación de técnicas electrónicas, informáticas y telemáticas en el desarrollo de su actividad y el ejercicio de sus competencias. En este sentido, y como consecuencia del compromiso de la Agencia Española de Protección de Datos con la administración electrónica, la resolución de 30 de mayo de 2000, incluía la aprobación de los modelos de notificación de ficheros en soporte magnético y telemático, así como la del programa informático de generación de notificaciones, permitiendo de ese modo la remisión de las solicitudes de inscripción en soporte informático o a través de Internet, con el requisito de la presentación convencional de la correspondiente hoja de solicitud debidamente cumplimentada y firmada.

La implantación de la administración electrónica exige que se realicen, entre otras, acciones encaminadas a la simplificación administrativa y a la adaptación normativa tendente a permitir una eficaz aplicación de las soluciones tecnológicas. A su vez, el desarrollo de la sociedad de la información y la difusión de los efectos positivos que de ella se derivan exige la generalización de la confianza de la ciudadanía en las comunicaciones telemáticas.

En este sentido, debía abordarse la incorporación de procedimientos que permitiesen la utilización de la firma electrónica en el proceso de notificación de tratamientos a través de Internet, eliminando los trámites añadidos que debían verificarse en formato papel y agilizando y facilitando el procedimiento de notificación.

La Ley 59/2003, de 19 de diciembre, de firma electrónica, regula en su artículo 4, el empleo de la firma electrónica en el ámbito de las Administraciones Públicas. La incorporación de la firma electrónica al procedimiento de notificación electrónica de inscripción de ficheros, elimina la necesidad de la presentación convencional de la hoja de solicitud.

Además, en el Real Decreto 1553/2005, de 23 de diciembre, que regula la expedición del documento nacional de identidad y sus certificados de firma electrónica, se establece que la firma electrónica realizada a través del documento nacional de identidad tendrá respecto a los datos consignados en forma electrónica el mismo valor que la firma manuscrita en relación con los consignados en papel.

Por otra parte, la Agencia debe llevar a la práctica las recomendaciones incluidas en el informe sobre la simplificación de los requerimientos para la notificación que, como consecuencia del primer informe sobre implementación de la Directiva 95/46/CE, fue adoptado en el seno del Grupo de Trabajo de autoridades de protección de datos creado por el artículo 29 de esta Directiva.

En este informe se establece la conveniencia de profundizar en el régimen de excepciones de la notificación de determinados ficheros prevista en la Directiva 95/46. Si bien la LOPD establece el carácter obligatorio de la notificación de todos los ficheros, sí resulta posible establecer procedimientos que faciliten el cumplimiento de esta obligación en determinados supuestos.

Del actual sistema de información del RGPD se observa que el 35% de los ficheros de titularidad privada y el 20% de los de titularidad pública, lo que supone una tercera parte del total de ficheros declarados en el Registro, se corresponden con categorías concretas de ficheros.

Así sucede con los ficheros de clientes, recursos humanos, nóminas, comunidades de propietarios, pacientes, libro recetario de oficinas de farmacia, en relación con los ficheros de titularidad privada y con los de recursos humanos, gestión del padrón, gestión económica o control de acceso, en el caso de ficheros de titularidad pública.

Teniendo en cuenta lo anterior, se ha previsto poner a disposición de los responsables que realicen este tipo de tratamientos una serie de notificaciones ya cumplimentadas, a fin de facilitar la notificación de estos ficheros mediante el formulario electrónico.

En todo caso, las solicitudes de inscripción de ficheros deberán cumplimentarse mediante los formularios electrónicos aprobados en esta Resolución y que podrán ser presentados en soporte papel, informático o telemático. Dichos formularios estarán disponibles de forma gratuita en la página web de la AEPD (www.agpd.es).

Además se pone a disposición de los responsables un sistema de intercambio basado en mensajes en formato XML, con o sin certificado de firma electrónica, a través del que se podrán enviar notificaciones mediante la utilización de programas propios. Para ello se establecen las normas que deberán cumplir las aplicaciones desarrolladas por terceros para que puedan presentar validamente las notificaciones al RGPD.

Las hojas de solicitudes correspondientes a las notificaciones de ficheros enviadas por Internet podrán ser firmadas electrónicamente, debiendo presentarse en el Registro Telemático de la Agencia Española de Protección de Datos, de acuerdo con las normas y requisitos establecidos en la resolución por la que se crea dicho Registro Telemático.

Las notificaciones también podrán continuar enviándose por Internet sin firma electrónica, si bien, en ese caso, deberá cumplimentarse y firmarse la hoja de solicitud de inscripción generada por el formulario, que habrá de presentarse en la Agencia Española de Protección de Datos, o en cualquiera de los registros y oficinas a que se refiere el artículo 38.4 de la Ley 30/1992, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común.

Por último, mediante el formulario electrónico NOTA se podrán presentar notificaciones en formato papel, con la seguridad de que han sido correctamente cumplimentadas. Este formato de presentación incluye un código óptico de lectura para agilizar su inscripción en el RGPD.

Cuando las notificaciones hayan sido presentadas a través de Internet mediante certificado de firma electrónica reconocido, y así lo manifiesten los interesados expresamente en el formulario de notificación, podrán recibir por medios telemáticos la notificación de la resolución de inscripción, para lo que deberán disponer de una dirección electrónica a efectos de notificaciones del Servicio de Notificaciones Telemáticas Seguras.

Adicionalmente, los interesados que hayan presentado las notificaciones a través de Internet podrán consultar el estado de tramitación de su solicitud a través de la web de la AEPD.

Con los nuevos formularios electrónicos de Notificaciones Telemáticas a la AEPD (NOTA) se incorporan nuevos servicios electrónicos para facilitar el cumplimiento del trámite de notificación, al incorporar la posibilidad de su presentación telemática con firma electrónica, y que simplifican los modelos anteriores, mejorando los requisitos de accesibilidad y de independencia de plataforma informática.

Con el fin de que los responsables de ficheros puedan adaptarse a los nuevos formularios y teniendo en cuenta la amplia difusión y aceptación del programa de ayuda para la generación de notificaciones, se considera adecuado el establecimiento de un período transitorio durante el cual seguirán siendo válidos los modelos que preveía la Resolución de 30 de mayo de 2000, sin perjuicio de que sea también ya posible la presentación en los formularios que en la presente resolución se establecen. Este período concluirá, en cuanto a la presentación de notificaciones en soporte papel, el 1 de diciembre de 2006, a fin de garantizar el uso de medios electrónicos y telemáticos en el procedimiento.

Asimismo, a fin de garantizar la homogeneidad del Registro, se procederá a la adaptación de las inscripciones actualmente existentes y las que sean presentadas conforme a los modelos previstos en la Resolución de 30 de mayo de 2000 a los requerimientos derivados de esta Resolución.

Debe recordarse que la notificación de los ficheros en el Registro General de Protección de Datos tiene un carácter declarativo y la inscripción de un fichero en el RGPD, únicamente acredita que se ha cumplido con la obligación de notificación dispuesta en la Ley Orgánica 15/1999, sin que de esta inscripción se pueda desprender el cumplimiento por parte del responsable del fichero del resto de las obligaciones previstas en dicha Ley y demás disposiciones reglamentarias.

En su virtud, y de conformidad con lo dispuesto en el artículo 37.1. c de la Ley Orgánica 15/1999, de 13 de diciembre, resuelvo:

Primero. Aprobar los formularios electrónicos NOTA a través de los que deberán efectuarse las solicitudes de inscripción en el Registro General de Protección de Datos. Dichos formularios estarán disponibles de forma gratuita en la página web de la Agencia Española de Protección de Datos (www.agpd.es), figurando su copia impresa en el anexo I de la presente Resolución [1].

Segundo . Aprobar las normas de cumplimentación a las que habrán de adecuarse las notificaciones de ficheros de titularidad pública y privada en el Registro General de Protección de Datos y que figuran en el anexo II de esta Resolución.

Los formularios electrónicos de notificación de ficheros a la AEPD del sistema NOTA serán dinámicos y dispondrán de la correspondiente ayuda con el fin de facilitar su cumplimentación por el declarante.

En el caso de las inscripciones de alta de ficheros se mostrarán todos los apartados que definen el fichero, si bien únicamente deberán cumplimentarse los que correspondan en función del fichero objeto de la notificación.

En el caso de modificaciones, sólo se mostrarán aquellos apartados que el declarante haya señalado como objeto de la modificación.

En el caso de las supresiones, se mostrará el apartado correspondiente en el que deberá indicarse el motivo de la supresión y el destino que se dará a los datos o las previsiones que van a adoptarse para su destrucción.

Tanto para notificar una modificación como una supresión de la inscripción deberá hacerse constar en el formulario el código de inscripción asignado por la Agencia, así como los datos identificativos del responsable del fichero que figuran en la inscripción del mismo.

Tercero. Las notificaciones, una vez cumplimentadas mediante el formulario electrónico de Notificaciones Telemáticas a la AEPD (NOTA), podrán remitirse a la Agencia Española de Protección de Datos en formato papel, soporte informático o a través de Internet, de acuerdo con las normas de cumplimentación a las que habrán de adecuarse las notificaciones de ficheros incluidas en el anexo II de esta Resolución.

Cuarto. Mediante el formulario electrónico NOTA se podrán presentar notificaciones a través de Internet firmadas mediante certificado digital de firma reconocido de acuerdo con lo establecido en la Ley 59/2003, de 19 de diciembre, de firma electrónica. La relación actualizada de certificados de firma válidos para presentar notificaciones en el registro Telemático de la AEPD se podrá consultar en la página web de la AEPD.

Quinto. Cuando la notificación se envíe a través de Internet sin certificado de firma electrónica reconocido, sólo se considerará recibida la notificación efectuada desde la fecha en la que tenga entrada en la Agencia Española de Protección de Datos la hoja de solicitud firmada de forma manual. En todo caso, carecerán de efecto alguno las notificaciones si la hoja de solicitud, debidamente cumplimentada y firmada, no hubiera sido presentada en la Agencia Española de Protección de Datos o en alguno de los Registros y oficinas a los que se refiere el artículo 38.4 de la Ley 30/1992, en el plazo de los diez días siguientes al envío de la notificación a través de Internet sin certificado de firma electrónica reconocido.

Sexto. Podrán desarrollarse utilidades informáticas para la remisión de notificaciones al Registro General de Protección de Datos, debiendo las mismas atenerse al formato XML y a las normas de cumplimentación aprobadas en el anexo II. Las especificaciones técnicas para la remisión de estos ficheros podrán consultarse en la página web de la AEPD.

Estos mensajes en formato XML pueden ser presentados con y sin certificado electrónico de firma reconocido. En el caso de que se presenten firmados electrónicamente deberán utilizar el estándar de firma Xml Digital Signature, cuya especificación de sintaxis y procesamiento se encuentra en http://www.w3.org/2000/09/xmldsig#. En este caso, una vez enviadas las notificaciones al Registro Telemático de la AEPD, éste devolverá un mensaje confirmando la recepción del envío incluyendo, a su vez, los datos necesarios para que el programa desarrollado por terceros configure el acuse de recibo de acuerdo con el formato que figura en el anexo III.

En el caso de que las notificaciones se presenten mediante formato XML sin certificado de firma electrónica, el servidor web de la AEPD devolverá un mensaje confirmando la recepción del envío e incluyendo, a su vez, los datos necesarios para que el programa desarrollado por terceros configure la Hoja de solicitud de acuerdo con el formato que figura en el anexo III. En todo caso, carecerán de efecto alguno las notificaciones si la hoja de solicitud, debidamente cumplimentada y firmada, no hubiera sido presentada en la Agencia Española de Protección de Datos o en alguno de los Registros y oficinas a los que se refiere el artículo 38.4 de la Ley 30/1992, en el plazo de los diez días siguientes al envío de las notificaciones a través de Internet mediante formato XML sin certificado de firma electrónica reconocido.

Séptimo. Todas las recepciones de soportes informáticos y telemáticos serán provisionales, a resultas de su proceso y comprobación. Cuando no se ajusten al diseño y demás especificaciones establecidas en la presente Resolución, se requerirá al declarante para que subsane la notificación en el plazo de 10 días establecido en el artículo 71.1 de la Ley 30/1992, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común. Si transcurrido dicho plazo no se hubiera recibido su notificación, se le tendrá por desistido de su petición, procediéndose sin más trámite al archivo de su solicitud.

Octavo. Las versiones actualizadas de los formularios electrónicos de notificaciones Telemáticas a la AEPD, así como los anexos y requerimientos técnicos a los que se hace referencia en la presente Resolución estarán disponibles en la página web de la Agencia Española de Protección de Datos.

Noveno. En tanto no se dicte una Resolución de la Agencia Española de Protección de Datos en que se señale expresamente lo contrario continuarán siendo válidas las notificaciones cumplimentadas con arreglo al programa de generación de notificaciones de ficheros de titularidad pública y privada aprobado mediante Resolución de la Agencia Española de Protección de Datos 30 de mayo de 2000.

Las notificaciones efectuadas mediante los formularios de notificación en soporte papel de ficheros de titularidad pública y privada, aprobados mediante Resolución de 30 de mayo de 2000, continuarán siendo válidas siempre que las mismas tengan entrada en la Agencia Española de Protección de Datos con anterioridad al 1 de diciembre de 2006 [2].

Décimo. El Registro General de Protección de Datos adecuará de oficio las notificaciones efectuadas conforme a los dos últimos párrafos del apartado anterior a los nuevos modelos aprobados mediante la presente Resolución.

Del mismo modo, procederá a la adecuación a los nuevos modelos de las notificaciones referidas a los ficheros inscritos en el Registro en la fecha de entrada en vigor de la presente Resolución.

Undécimo. La presente Resolución entrará en vigor el día 1 de septiembre de 2006.

[1] Se omiten la inclusión de los Anexos dadas las características de la obra.

[2] La Resolución de 12 de febrero de 2007 («BOE» núm. 54, de 3 de marzo) de la Agencia Española de Protección de Datos, indica la fecha en la que dejarán de ser válidas las notificaciones de ficheros efectuadas mediante los modelos aprobados por Resolución de la Agencia de Protección de Datos de 30 de mayo de 2000.

§ 13 RESOLUCIÓN DE 1 DE SEPTIEMBRE DE 2006, DE LA AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS, POR LA QUE SE DETERMINA LA INFORMACIÓN QUE CONTIENE EL CATÁLOGO DE FICHEROS INSCRITOS EN EL REGISTRO GENERAL DE PROTECCIÓN DE DATOS

(«BOE» núm. 227, de 22 de septiembre de 2006)

La Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD), publicada en el «Boletín Oficial del Estado» de 14 de diciembre, tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar.

El artículo 39 de la LOPD regula el Registro General de Protección de Datos, como órgano integrado en la Agencia Española de Protección de Datos al que corresponde velar por la publicidad de los tratamientos y ficheros de datos personales existentes con la finalidad de facilitar al ciudadano el ejercicio de los derechos de acceso, rectificación, cancelación y oposición que la propia Ley le reconoce.

El derecho de consulta al Registro, regulado en el artículo 14 de la LOPD habilita a cualquier persona para conocer, de forma pública y gratuita, la existencia de tratamientos de datos de carácter personal, sus finalidades y la identidad del responsable del fichero.

Hasta ahora, en aplicación del citado artículo 14 de la LOPD, se han venido publicando los datos correspondientes a la identidad del responsable, la dirección ante la que pueden ejercerse los derechos de acceso, rectificación, cancelación y oposición, el nombre y la finalidad del fichero, y, en el caso de los ficheros de titularidad pública, los datos relativos a la disposición general de creación de cada uno de los ficheros inscritos en el Registro General de Protección de Datos.

Entre las funciones de la Agencia Española de Protección de Datos, de acuerdo a lo establecido en el artículo 37.1. j) de la Ley Orgánica 15/1999, se encuentra la de velar por la publicidad de la existencia de los ficheros de datos con carácter personal, a cuyo efecto debe publicar periódicamente una relación de dichos ficheros con la información adicional que determine el Director de la Agencia.

En consonancia con lo anterior, el artículo 7 del Real Decreto 428/1993, de 26 de marzo, establece que la Agencia Española de Protección de Datos, a efectos de dar publicidad de la existencia de ficheros con datos de carácter personal, publicará y difundirá un catálogo anual de los ficheros inscritos en el Registro General de Protección de Datos, con expresión de la información que al amparo del citado artículo 37.1. j) de la LOPD, determine el Director.

En la página web de la Agencia Española de Protección de Datos (www.agpd.es) se encuentra disponible el catálogo de ficheros inscritos en el Registro General de Protección de Datos con el objeto de difundir y dar publicidad a la existencia de ficheros de datos de carácter personal, haciendo públicos hasta este momento los datos correspondientes a la identidad del responsable, la dirección de acceso, el nombre, la descripción y la finalidad del fichero.

Tras la aprobación de los nuevos formularios electrónicos (Sistema NOTA) por los que se aprueban los formularios electrónicos a través de los que deberán efectuarse las solicitudes de inscripción de ficheros en el Registro General de Protección de Datos, por Resolución de 12 de julio de 2006, de la Agencia Española de Protección de Datos, publicada en el «Boletín Oficial del Estado» núm. 181, de 31 de julio de 2006, se han acometido modificaciones en la infraestructura tecnológica de la Agencia que hacen posible mejorar las condiciones de la publicación de los ficheros inscritos en el Registro General de Protección de Datos regulada en el artículo 37.1. j) , con el objeto de facilitar el derecho de consulta regulado en el artículo 14 de la Ley, y ampliar la información que se facilita en el catálogo de ficheros.

En su virtud, y de conformidad con lo dispuesto en el citado artículo 37.1. j) de la Ley Orgánica 15/1999, de 13 de diciembre, resuelvo:

Primero. Aprobar la información que contiene el catálogo de ficheros con datos de carácter personal inscritos en el Registro General de Protección de Datos que se incorporará a la edición que anualmente realiza la Agencia Española de Protección de Datos en CD-ROM o en el soporte que en función de la evolución de la tecnología se determine, y cuya finalidad es facilitar al ciudadano el ejercicio de los derechos de acceso, rectificación, cancelación y oposición regulados en los artículos 14 a 16 de la LOPD.

Segundo. Aprobar la publicación del nuevo catálogo de los ficheros con datos de carácter personal inscritos en el Registro General de Protección de Datos, que estará disponible en forma gratuita en la página web de la Agencia Española de Protección de Datos (www.agpd.es), con actualización diaria, y cuya finalidad es facilitar al ciudadano el ejercicio de los derechos de acceso, rectificación, cancelación y oposición regulados en los artículos 14 a 16 de la LOPD.

Tercero. La información que se hace pública en los catálogos que se aprueban en los apartados primero y segundo de esta Resolución se corresponde con la información que el responsable del fichero ha notificado al Registro General de Protección de Datos en los apartados siguientes: Responsable del fichero, servicio o unidad ante el que pueden ejercitarse los derechos de oposición, acceso, rectificación y cancelación, identificación y finalidad y usos previstos del fichero, origen y procedencia de los datos, incluyendo el colectivo de personas sobre el que se obtienen los datos de carácter personal, tipos de datos, estructura y organización del fichero y, en su caso, los destinatarios de cesiones y/o transferencias internacionales de datos. Además, en el caso de los ficheros de titularidad pública, se publicarán los datos relativos a la disposición general de creación, modificación o supresión del fichero.

En el caso de responsables de ficheros que actúen como persona física, no se publicará el dato relativo a su NIF [1].

Cuarto. Los datos de carácter personal incluidos en los catálogos citados en los puntos primero y segundo, no podrán ser objeto de tratamiento, ni usarse para finalidades a las previstas en el artículo 14 de la LOPD.

Queda prohibida la reproducción total o parcial de los catálogos a que se refiere la presente Resolución, incluso el volcado del contenido en cualquier soporte, sin expresa autorización de la Agencia Española de Protección de Datos.

Quinto. En ningún caso podrá tomarse la presencia o ausencia de un fichero en estos catálogos como certificación positiva o negativa de una inscripción en el Registro General de Protección de Datos.

Sexto. La presente Resolución entrará en vigor al día siguiente al de su publicación en el «Boletín Oficial del Estado».

[1] Párrafo adicionado por Resolución de 3 de noviembre de 2008 («BOE» núm. 274, de 13 de noviembre).

§ 14 INSTRUCCIÓN 1/2006, DE 8 DE NOVIEMBRE, DE LA AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS, SOBRE EL TRATAMIENTO DE DATOS PERSONALES CON FINES DE VIGILANCIA A TRAVÉS DE SISTEMAS DE CÁMARAS O VIDEOCÁMARAS

(«BOE» núm. 296, de 12 de diciembre de 2006; corrección de errores en «BOE» núm. 3, de 3 de enero de 2007)

El incremento que últimamente están experimentando las instalaciones de sistemas de cámaras y videocámaras con fines de vigilancia ha generado numerosas dudas en lo relativo al tratamiento de las imágenes que ello implica. Además es un sector que ofrece múltiples medios de tratar datos personales como pueden ser los circuitos cerrados de televisión, grabación por dispositivos «webcam», digitalización de imágenes o instalación de cámaras en el lugar de trabajo. Precisamente la última Conferencia Internacional de Autoridades de Protección de Datos, celebrada en Londres los pasados días 1 a 3 de noviembre de este año, ha girado en torno a la necesidad de adecuar la videovigilancia a las exigencias del derecho fundamental a la protección de datos. Todo esto hace necesario que, en ejercicio de la competencia que le atribuye el artículo 37.1. c) de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, la Agencia Española de Protección de Datos dicte una Instrucción para adecuar los tratamientos de imágenes con fines de vigilancia a los principios de dicha Ley Orgánica y garantizar los derechos de las personas cuyas imágenes son tratadas por medio de tales procedimientos.

El marco en que se mueve la presente Instrucción es claro. La seguridad y la vigilancia, elementos presentes en la sociedad actual, no son incompatibles con el derecho fundamental a la protección de la imagen como dato personal, lo que en consecuencia exige respetar la normativa existente en materia de protección de datos, para de esta manera mantener la confianza de la ciudadanía en el sistema democrático.

Las imágenes se consideran un dato de carácter personal, en virtud de lo establecido en el artículo 3 de la Ley Orgánica 15/1999 y el artículo 1.4 del Real Decreto 1332/1994, de 20 de junio, que considera como dato de carácter personal la información gráfica o fotográfica.

En relación con la instalación de sistemas de videocámaras, será necesario ponderar los bienes jurídicos protegidos. Por tanto, toda instalación deberá respetar el principio de proporcionalidad, lo que en definitiva supone, siempre que resulte posible, adoptar otros medios menos intrusivos a la intimidad de las personas, con el fin de prevenir interferencias injustificadas en los derechos y libertades fundamentales.

En consecuencia, el uso de cámaras o videocámaras no debe suponer el medio inicial para llevar a cabo funciones de vigilancia por lo que, desde un punto de vista objetivo, la utilización de estos sistemas debe ser proporcional al fin perseguido, que en todo caso deberá ser legítimo.

En cuanto a la proporcionalidad, pese a ser un concepto jurídico indeterminado, la Sentencia del Tribunal Constitucional 207/1996 determina que se trata de «una exigencia común y constante para la constitucionalidad de cualquier medida restrictiva de derechos fundamentales, entre ellas las que supongan una injerencia en los derechos a la integridad física y a la intimidad, y más en particular de las medidas restrictivas de derechos fundamentales adoptadas en el curso de un proceso penal viene determinada por la estricta observancia del principio de proporcionalidad.

En este sentido, hemos destacado que, para comprobar si una medida restrictiva de un derecho fundamental supera el juicio de proporcionalidad, es necesario constatar si cumple los tres siguientes requisitos o condiciones: «si tal medida es susceptible de conseguir el objetivo propuesto (juicio de idoneidad); si, además, es necesaria, en el sentido de que no exista otra medida más moderada para la consecución de tal propósito con igual eficacia (juicio de necesidad); y, finalmente, si la misma es ponderada o equilibrada, por derivarse de ella más beneficios o ventajas para el interés general que perjuicios sobre otros bienes o valores en conflicto (juicio de proporcionalidad en sentido estricto)».

Asimismo la proporcionalidad es un elemento fundamental en todos los ámbitos en los que se instalen sistemas de videovigilancia, dado que son numerosos los supuestos en los que la vulneración del mencionado principio puede llegar a generar situaciones abusivas, tales como la instalación de sistemas de vigilancia en espacios comunes, o aseos del lugar de trabajo. Por todo ello se trata de evitar la vigilancia omnipresente, con el fin de impedir la vulnerabilidad de la persona.

Se excluyen de la presente Instrucción los datos personales grabados para uso o finalidad doméstica de conformidad con lo establecido en el artículo 2. a) de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal, si bien en el sentido estricto señalado por el Tribunal de Justicia de las Comunidades Europeas en la Sentencia de 6 de noviembre de 2003, asunto Lindqvist, que al interpretar la excepción prevista en el artículo 3 apartado 2 de la Directiva 95/46/CE del Parlamento Europeo y del Consejo de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, indica que únicamente contempla «las actividades que se inscriben en el marco de la vida privada o familiar de los particulares» y no otras distintas. En la misma línea se pronuncia el Dictamen 4/2004, adoptado por el Grupo de Trabajo creado por el artículo 29 de la Directiva 95/46/CE, con fecha 25 de noviembre de 2002.

Además, la Instrucción tampoco se aplicará al tratamiento de imágenes cuando éstas se utilizan para el ejercicio de sus funciones por parte de las Fuerzas y Cuerpos de Seguridad, que está cubierto por normas específicas, aunque estos tratamientos también deberán cumplir las garantías establecidas por la Ley Orgánica 15/1999.

Por otro lado, la Instrucción pretende adecuar los tratamientos a los criterios marcados por la jurisprudencia del Tribunal Constitucional al considerar que el tratamiento de datos personales no exige la conservación de los mismos, sino que basta su recogida o grabación. En el mismo sentido se han pronunciado las legislaciones que sobre esta materia han adoptado los distintos Estados miembros de la Unión Europea, cumpliendo así el mandato contenido en la Directiva 95/46/CE.

Por último, las plenas garantías de protección de los datos personales, así como las peculiaridades de su tratamiento exige una regulación concreta evitando la aplicación de un conjunto de reglas abstractas y dispersas. Por ello, a la hora de regular la legitimación del tratamiento de imágenes, la Agencia Española de Protección de Datos, entiende que es requisito esencial la aplicación íntegra del artículo 6.1 y 2 y del artículo 11.1 y 2 de la LOPD, sin perjuicio del estricto cumplimiento de los requisitos que para la instalación de cámaras o videocámaras de vigilancia vengan exigidos por la legislación vigente. Asimismo se regula el contenido del deber de información previsto en el artículo 5 de la misma Ley Orgánica, así como el ejercicio de los derechos a que se refieren los artículos 15 y siguientes de la citada Ley Orgánica. Por descontado, la creación de un fichero de videovigilancia exige su previa notificación a la Agencia Española de Protección de Datos, para la inscripción en su Registro General.

En su virtud, de conformidad con lo dispuesto en el artículo 37.1. c) de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, dispongo:

Artículo 1. Ámbito objetivo. –1. La presente Instrucción se aplica al tratamiento de datos personales de imágenes de personas físicas identificadas o identificables, con fines de vigilancia a través de sistemas de cámaras y videocámaras.

El tratamiento objeto de esta Instrucción comprende la grabación, captación, transmisión, conservación, y almacenamiento de imágenes, incluida su reproducción o emisión en tiempo real, así como el tratamiento que resulte de los datos personales relacionados con aquéllas.

Se considerará identificable una persona cuando su identidad pueda determinarse mediante los tratamientos a los que se refiere la presente instrucción, sin que ello requiera plazos o actividades desproporcionados.

Las referencias contenidas en esta Instrucción a videocámaras y cámaras se entenderán hechas también a cualquier medio técnico análogo y, en general, a cualquier sistema que permita los tratamientos previstos en la misma.

2. El tratamiento de los datos personales procedentes de las imágenes obtenidas mediante la utilización de cámaras y videocámaras por las Fuerzas y Cuerpos de Seguridad se regirá por las disposiciones sobre la materia.

3. No se considera objeto de regulación de esta Instrucción el tratamiento de imágenes en el ámbito personal y doméstico, entendiéndose por tal el realizado por una persona física en el marco de una actividad exclusivamente privada o familiar.

Art. 2. Legitimación.– 1. Sólo será posible el tratamiento de los datos objeto de la presente instrucción, cuando se encuentre amparado por lo dispuesto en el artículo 6.1 y 2 y el artículo 11.1 y 2 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal.

2. Sin perjuicio de lo establecido en el apartado anterior la instalación de cámaras y videocámaras deberá respetar en todo caso los requisitos exigidos por la legislación vigente en la materia.

Art. 3. Información.– Los responsables que cuenten con sistemas de videovigilancia deberán cumplir con el deber de información previsto en el artículo 5 de La Ley Orgánica 15/1999, de 13 de diciembre. A tal fin deberán:

a) Colocar, en las zonas videovigiladas, al menos un distintivo informativo ubicado en lugar suficientemente visible, tanto en espacios abiertos como cerrados y

b) Tener a disposición de los/las interesados/as impresos en los que se detalle la información prevista en el artículo 5.1 de la Ley Orgánica 15/1999.

El contenido y el diseño del distintivo informativo se ajustará a lo previsto en el Anexo de esta Instrucción.

Art. 4. Principios de calidad, proporcionalidad y finalidad del tratamiento.– 1. De conformidad con el artículo 4 de la Ley Orgánica 15/1999 de 13 de diciembre, de Protección de Datos de Carácter Personal, las imágenes sólo serán tratadas cuando sean adecuadas, pertinentes y no excesivas en relación con el ámbito y las finalidades determinadas, legítimas y explícitas, que hayan justificado la instalación de las cámaras o videocámaras.

2. Sólo se considerará admisible la instalación de cámaras o videocámaras cuando la finalidad de vigilancia no pueda obtenerse mediante otros medios que, sin exigir esfuerzos desproporcionados, resulten menos intrusivos para la intimidad de las personas y para su derecho a la protección de datos de carácter personal.

3. Las cámaras y videocámaras instaladas en espacios privados no podrán obtener imágenes de espacios públicos salvo que resulte imprescindible para la finalidad de vigilancia que se pretende, o resulte imposible evitarlo por razón de la ubicación de aquéllas. En todo caso deberá evitarse cualquier tratamiento de datos innecesario para la finalidad perseguida.

Art. 5. Derechos de las personas.– 1. Para el ejercicio de los derechos a los que se refieren los artículos 15 y siguientes de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal, el/la afectado/a deberá remitir al responsable del tratamiento solicitud en la que hará constar su identidad junto con una imagen actualizada. El ejercicio de estos derechos se llevará a cabo de conformidad con lo dispuesto en la citada Ley Orgánica y su normativa de desarrollo.

2. El responsable podrá facilitar el derecho de acceso mediante escrito certificado en el que, con la mayor precisión posible y sin afectar a derechos de terceros, se especifiquen los datos que han sido objeto de tratamiento.

3. El/la interesado/a al que se deniegue total o parcialmente el ejercicio de los derechos señalados en el párrafo anterior, podrá reclamar su tutela ante el Director de la Agencia Española de Protección de Datos.

Art. 6. Cancelación.– Los datos serán cancelados en el plazo máximo de un mes desde su captación.

Art. 7. Notificación de ficheros.– 1. La persona o entidad que prevea la creación de ficheros de videovigilancia deberá notificarlo previamente a la Agencia Española de Protección de Datos, para su inscripción en el Registro General de la misma.

Tratándose de ficheros de titularidad pública deberá estarse a lo establecido en el artículo 20 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal.

2. A estos efectos, no se considerará fichero el tratamiento consistente exclusivamente en la reproducción o emisión de imágenes en tiempo real.

Art. 8. Seguridad y Secreto.– El responsable deberá adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos y eviten su alteración, pérdida, tratamiento o acceso no autorizado.

Asimismo cualquier persona que por razón del ejercicio de sus funciones tenga acceso a los datos deberá de observar la debida reserva, confidencialidad y sigilo en relación con las mismas.

El responsable deberá informar a las personas con acceso a los datos del deber de secreto a que se refiere el apartado anterior.

DISPOSICIÓN TRANSITORIA

Los responsables de ficheros de videovigilancia ya inscritos en el Registro General de la Agencia Española de Protección de Datos deberán adoptar las medidas previstas en el artículo 3, letra a), y en el artículo 4.3 de esta Instrucción en el plazo máximo de tres meses desde su entrada en vigor.

DISPOSICIÓN FINAL

La presente Instrucción entrará en vigor el día siguiente al de su publicación en el «Boletín Oficial del Estado».

ANEXO

1. El distintivo informativo a que se refiere el artículo 3. a) de la presente Instrucción deberá de incluir una referencia a la «LEY ORGÁNICA 15/1999, DE PROTECCIÓN DE DATOS», incluirá una mención a la finalidad para la que se tratan los datos («ZONA VIDEOVIGILADA»), y una mención expresa a la identificación del responsable ante quien puedan ejercitarse los derechos a los que se refieren los artículos 15 y siguientes de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal.

2. El modelo a que se refiere el apartado anterior, está disponible en la página web de la Agencia Española de Protección de Datos, www.agpd.es, de donde podrá ser descargado, especificando los datos del responsable.

LEGISLACIÓN ESPECÍFICA

§ 15 LEY ORGÁNICA 5/1985, DE 19 DE JUNIO (JEFATURA DEL ESTADO), DEL RÉGIMEN ELECTORAL GENERAL [1]

(«BOE» núm. 147, de 20 de junio de 1985)

TÍTULO PRIMERO

Disposiciones comunes para las elecciones por sufragio universal directo

[.......]

CAPÍTULO IV

El censo electoral

[.......]

Sección 4.ª Acceso a los datos censales

Art. 41. 1. Por Real Decreto se regularán los datos personales de los electores, necesarios para su inscripción en el censo electoral, así como los de las listas y copias del censo electoral [2].

2. Queda prohibida cualquier información particularizada sobre los datos personales contenidos en el censo electoral, a excepción de los que se soliciten por conducto judicial.

3. No obstante, la Oficina del Censo Electoral puede facilitar datos estadísticos que no revelen circunstancias personales de los electores.

4. Las comunidades autónomas podrán obtener una copia del censo, en soporte apto para su tratamiento informático, después de cada convocatoria electoral, además de la correspondiente rectificación de aquél.

5. Los representantes de cada candidatura podrán obtener dentro de los dos días siguientes a la proclamación de su candidatura una copia del censo del distrito correspondiente, ordenado por mesas, en soporte apto para su tratamiento informático, que podrá ser utilizado exclusivamente para los fines previstos en la presente Ley. Alternativamente los representantes generales podrán obtener en las mismas condiciones una copia del censo vigente de los distritos donde su partido, federación o coalición presente candidaturas. Asimismo, las Juntas Electorales de Zona dispondrán de una copia del censo electoral utilizable, correspondiente a su ámbito.

Las Juntas Electorales, mediante resolución motivada, podrán suspender cautelarmente la entrega de las copias del censo a los representantes antes citados cuando la proclamación de sus candidaturas haya sido objeto de recurso o cuando se considere que podrían estar incursas en alguna de las circunstancias previstas en el artículo 44.4 de esta Ley.

6. Excepcionalmente y por razones debidamente justificadas, podrá excluirse a las personas que pudieran ser objeto de amenazas o coacciones que pongan en peligro su vida, su integridad física o su libertad, de las copias del censo electoral a que se refiere el apartado 5 del presente artículo [3].

[1] Véanse el artículo 1.3. a) de la Ley Orgánica 15/1999, de 13 de diciembre (§ 1), y el Real Decreto 435/1992, de 30 de abril, sobre Comunicación al Registro Central de Penados y Rebeldes y a la Oficina del Censo Electoral de las condenas que lleven aparejadas privación del derecho de sufragio (§ 18).

[2] Véase el Real Decreto 157/1996, de 2 de febrero («BOE» núm. 44, de 20 de febrero), modificado por el 147/1999, de 29 de enero («BOE» núm. 26, de 30 de enero), por el que se dispone la actualización mensual del censo electoral y se regulan los datos necesarios para la inscripción en el mismo.

[3] Artículo redactado de conformidad con la Ley Orgánica 1/2003, de 10 de marzo, para la garantía de la democracia en los Ayuntamientos y la seguridad de los Concejales, salvo el apartado 5 que ha sido redactado por Ley Orgánica 3/2011, de 28 de enero («BOE» núm. 25, de 29 de enero).

§ 16 LEY 12/1989, DE 9 DE MAYO (JEFATURA DEL ESTADO), DE LA FUNCIÓN ESTADÍSTICA PÚBLICA

(«BOE» núm. 112, de 11 de mayo de 1989)

EXPOSICIÓN DE MOTIVOS

I

Tal vez la simple invocación de la fecha –31 de diciembre de 1945–, en que fue aprobada la hasta ahora vigente Ley de Estadística, sea por sí sola suficiente para justificar su sustitución por un texto legal nuevo.

Y no por la razón de que la aceleración imparable de la producción normativa de nuestro tiempo requiera una continua renovación de las leyes antiguas, sino porque, en ocasiones, como la de la estadística, esos cuerpos legales anteriores han envejecido tanto que pocas de sus regulaciones se conservan útiles par atender los problemas actuales.

La Ley de Estadística estaba, en efecto, atacada de muchas urgencias nuevas que –aun sin valorar la buena o mala técnica legislativa de su versión de 1945– no pudo regular porque o no existían o sólo larvadamente se manifestaban en la fecha de su aprobación.

Son, por ejemplo, fenómenos nuevos, no atendidos por la legislación estadística, la creciente preocupación de los ciudadanos por el manejo informático de datos que les concierne y la particular protección que la Constitución de 1978 dispensa a los derechos fundamentales, entre los cuales hay que citar aquí la intimidad. No es, de otro lado, ni siquiera comparable la situación actual con la de 1945 en lo que concierne al valor y significación de la función estadística, por razón de la multiplicación del número de las que deben ejecutar los servicios públicos y por su transcendencia política, social y económica para el funcionamiento del conjunto del Estado.

La multiplicación, en volumen y significado, de la función estadística pública, arrastra consigo la consecuencia de requerir una inmediata adaptación del aparato organizativo puesto a su servicio. Las operaciones estadísticas revisten hoy una enorme complejidad cuando requieren la movilización de recursos humanos y materiales ingentes. Llevarlas a término con los dispositivos orgánicos que se instauraron en 1945 no es posible si no se quiere aceptar que la gestión sea ineficaz, los costes burocráticos aumenten sin fruto y las esclerosis de las estructuras les haga perder paulatinamente flexibilidad.

Los agentes y servicios estadísticos públicos que intervienen en la producción estadística también han aumentado, de manera que resultaría inútil esperar que los mecanismos de coordinación interdepartamental ideados hace ya casi medio siglo puedan seguir rindiendo utilidades.

En fin, la coordinación vertical en materia estadística –centrada en 1945 en la simple relación de los servicios estatales con las Corporaciones Locales– es un fenómeno revestido de características completamente nuevas en España: por un lado, por la reciente incorporación a la Comunidad Europea, fenómeno que debe tenerse en cuenta aunque desde el punto de vista estadístico no sea fuente de complicaciones reseñables; por otro, y sobre todo, por la aparición de las Comunidades Autónoma que han asumido importantes competencias en materia de estadística. Es preciso, por tanto, establecer conexiones entre los servicios autonómicos y estatales e idear las técnicas que compatibilicen y hagan posible el máximo aprovechamiento de las operaciones estadísticas concluidas por ambas instancias.

II

La Ley renueva profundamente en su Título I, que regula las estadísticas y fija su régimen jurídico, toda la materia concerniente a la recogida de datos, su tratamiento, conservación y difusión de los resultados por los servicios estadísticos.

Todos estos extremos estaban regulados de manera débil e insuficiente en la legislación que ahora se sustituye.

En el nuevo texto comienza por ordenarse la función estadística misma, para resolver acerca de qué poder público puede decidir la formación de una estadística y qué instrumentos normativos deben usarse para regularla. Se establece el principio, en íntima conexión con la reglas constitucionales sobre reserva de ley que resultan de los artículos 18.1 y 4 y 53.1, de que las estadísticas en las que se exijan datos de modo obligatorio han de estar reguladas, al menos, en sus aspectos esenciales, por Ley. Pero es, sobre todo, el Plan Estadístico Nacional el instrumento central de ordenación de la función estadística, en cuanto se contienen en él todos los programas estadísticos a desarrollar y se referencian los medios e inversiones que van a ser necesarios. La posibilidad de ordenar y ejecutar estadísticas al margen de las previsiones del Plan se deja abierta, pero su ejercicio se somete a garantías especiales. Todo lo cual no obsta, naturalmente, para que los distintos servicios de la Administración del Estado realicen cuantas encuestas, estudios e investigaciones de carácter cuantitativo sean precisas para el normal desempeño de su actividad.

Por otra parte, se establece la conveniencia de que prevalezca un mismo sistema de conceptos, definiciones, unidades estadística, clasificaciones, nomenclaturas y códigos en todo el sistema estadístico nacional para facilitar la comparabilidad, la integración y el análisis de los datos y resultados obtenidos.

En lo que concierne a la recogida, tratamiento y conservación y difusión de los datos, tres aspectos principales de la nueva regulación merecen ser destacados:

Primero, en cuanto a la recogida de datos, la preocupación continua por dejar salvaguardados los derechos fundamentales –y, en particular, el de intimidad cuando se requieran datos personales–. Se subraya, sin embargo, la importancia que tiene a efectos estadísticos la utilización de datos ya recogidos por otras oficinas o dependencias administrativas como fruto de su actividad ordinaria, lo cual permite, por otra parte, un considerable ahorro de medios y evita volver a dirigirse a los informantes para recabar datos que ya obran en poder de la Administración para otros fines.

Segundo, en cuanto al tratamiento y conservación de los datos, la ley incorpora, sobre todo, una extensa y, en lo que a nuestro país concierne, novísima regulación del secreto estadístico. Debe observarse en este punto que la nueva Norma no ha asumido el papel que corresponde a la ley de protección de datos que, en su caso, pueda ser aprobada en aplicación de lo establecido en el artículo 18.4 de la Constitución. Ha regulado, sin embargo, el aludido problema, en el grado en que lo exige el respeto de los derechos fundamentales, en el desempeño de la función estadística. Ya se ha dicho que la ley no aspira a asumir la función de una ley de protección de datos, pero debe notarse, en todo caso, que los problemas de recogida y difusión de datos presentan siempre, desde la perspectiva estadística, singularidades que no podrían incorporarse a la legislación general, sino que tienen su ubicación más idónea –según es común también en otros países– en la legislación estadística.

La ley contiene regulaciones, especialmente en cuanto concierne a la recogida de datos y a la ordenación del secreto estadístico, que afectan a derechos fundamentales, especialmente a la intimidad personal; el texto no supone, sin embargo, un desarrollo de los preceptos constitucionales relativos al aludido derecho ni contiene una regulación directa del mismo, de manera que, de acuerdo con la doctrina del Tribunal Constitucional, no resulta preciso que los preceptos correspondientes tengan rango de ley orgánica.

Tercero, por lo que concierne a la comunicación y difusión de la información estadística, se establecen reglas que –respetando las exigencias del secreto– permitan su incremento y potenciación. En la comunicación de datos personales entre servicios públicos de una misma o de diferentes administraciones, deben observarse algunos principios jurídicos (muy notablemente, el de especialidad de los datos remitidos y de especialización de los destinatarios) sobre cuyo cumplimiento algunos Tribunales Constitucionales extranjeros han mostrado una enorme sensibilidad y que, sin embargo, están totalmente inéditos en la legislación hasta ahora vigente entre nosotros.

Por lo demás, resulta innecesario justificar que la ley se preocupa tan sólo de regular y ordenar los principios propios de la función estadística, en especial los que se refieren a la recogida de datos, y no los generales de la actuación administrativa que tiene un encaje natural en otras normas administrativas que, desde luego, vinculan también la actuación de los servicios estadísticos.

[.......]

TÍTULO PRIMERO

De las estadísticas y su régimen

CAPÍTULO PRIMERO

Principios generales de la Función Estadística Pública

Art. 4. 1. La recogida de datos con fines estadísticos se ajustará a los principios de secreto, transparencia, especialidad y proporcionalidad.

2. A fin de garantizar el secreto estadístico, además de observarse las prescripciones contenidas en el Capítulo III del presente Título, los servicios estadísticos estarán obligados a adoptar las medidas organizativas y técnicas necesarias para proteger la información.

3. En aplicación del principio de transparencia, los sujetos que suministren datos tienen derecho a obtener plena información, y los servicios estadísticos obligación de proporcionarla, sobre la protección que se dispensa a los datos obtenidos y la finalidad con la que se recaban.

4. En virtud del principio de especialidad, es exigible a los servicios estadísticos que los datos recogidos para la elaboración de estadística se destinen a los fines que justificaron la obtención de los mismos.

5. En virtud del principio de proporcionalidad, se observará el criterio de correspondencia entre la cuantía de la información que se solicita y los resultados que de su tratamiento se pretende obtener.

[.......]

Art. 7. 1. Se establecerán por la ley las estadísticas para cuya elaboración se exijan datos con carácter obligatorio.

2. La ley que regule estas estadísticas tratará, al menos, los siguientes aspectos esenciales:

a) Los organismos que deben intervenir en su elaboración.

b) El enunciado de sus fines y la descripción general de su contenido.

c) El colectivo de personas y el ámbito territorial de referencia.

d) La estimación de los créditos presupuestarios necesarios para su financiación.

[.......]

CAPÍTULO II

De la recogida de datos [1].

Art. 10. 1. Los servicios estadísticos podrán solicitar datos de todas las personas físicas y jurídicas, nacionales y extranjeras, residentes en España.

2. Todas las personas físicas y jurídicas que suministren datos, tanto si su colaboración es obligatoria como voluntaria, deben contestar de forma veraz, exacta, completa y dentro del plazo a las preguntas ordenadas en la debida forma por parte de los servicios estadísticos.

3. La misma obligación incumbe a todas las instituciones y entidades públicas de la Administración del Estado, las Comunidades Autónomas y las Corporaciones Locales. Cuando para la realización de estadísticas sea precisa la utilización de datos obrantes en fuentes administrativas, los órganos, autoridades y funcionarios encargados de su custodia prestarán la más rápida y ágil colaboración a los servicios estadísticos.

4. Podrán exceptuarse de lo establecido en el apartado anterior los organismos públicos que custodien o manejen datos relativos a las necesidades de la seguridad del Estado y la defensa nacional.

En cuanto a los datos de naturaleza tributaria, se estará a lo dispuesto en la legislación específica reguladora de la materia.

Art. 11. 1. Cuando los servicios estadísticos soliciten datos deberán proporcionar a los interesados información suficiente sobre la naturaleza, características y finalidad de la estadística, advirtiéndoseles, además, de si es o no obligatoria la colaboración de la protección que les dispensa el secreto estadístico y de las sanciones en que, en su caso, puedan incurrir por no colaborar o por facilitar datos falsos, inexactos, incompletos o fuera de plazo.

2. En todo caso, serán de aportación estrictamente voluntaria y, en consecuencia, sólo podrán recogerse previo consentimiento expreso de los interesados los datos susceptibles de revelar el origen étnico, las opiniones políticas, las convicciones religiosas o ideológicas y, en general, cuantas circunstancias puedan afectar a la intimidad personal o familiar.

Art. 12. 1. La información se solicitará siempre directamente a las personas o entidades que proceda, ya sea mediante correo, visita personal de agentes debidamente acreditados o cualquier otro modo que asegure la comunicación directa de aquéllos con los servicios estadísticos o sus agentes.

2. La información requerida podrá facilitarse por escrito, mediante soportes magnéticos o usando otros procedimientos que permitan su tratamiento informático, siempre de acuerdo con lo previsto en las normas que regulen cada estadística en particular.

3. Los gastos ocasionados a los informantes por los envíos y comunicaciones a que dé lugar la realización de estadísticas para fines estatales, se sufragarán con cargo a los presupuestos de los servicios estadísticos.

CAPÍTULO III

Del secreto estadístico

Art. 13. 1. Serán objeto de protección y quedarán amparados por el secreto estadístico los datos personales que obtengan los servicios estadísticos tanto directamente de los informantes como a través de fuentes administrativas.

2. Se entiende que son datos personales los referentes a personas físicas o jurídicas que, o bien permitan la identificación inmediata de los interesados, o bien conduzcan por su estructura, contenido o grado de desagregación a la identificación indirecta de los mismos.

3. El secreto estadístico obliga a los servicios estadísticos a no difundir en ningún caso los datos personales cualquiera que sea su origen.

Art. 14. 1. El secreto estadístico será aplicado en las mismas condiciones establecidas en el presente capítulo frente a todas las Administraciones y organismos públicos, cualquiera que sea la naturaleza de éstos, salvo lo establecido en el artículo siguiente.

2. Queda prohibida la utilización para finalidades distintas de las estadísticas de los datos personales obtenidos directamente de los informantes por los servicios estadísticos.

Art. 15. 1. La comunicación a efectos estadísticos entre las Administraciones y organismos públicos de los datos personales protegidos por el secreto estadístico sólo será posible si se dan los siguientes requisitos, que habrán de ser comprobados por el servicio u órgano que los tenga en custodia:

a) Que los servicios que reciban los datos desarrollen funciones fundamentalmente estadísticas y hayan sido regulados como tales antes de que los datos sean cedidos.

b) Que el destino de los datos sea precisamente la elaboración de las estadísticas que dichos servicios tengan encomendadas.

c) Que los servicios destinatarios de la información dispongan de los medios necesarios para preservar el secreto estadístico.

2. La comunicación a efectos no estadísticos entre las Administraciones y organismos públicos de la información que obra en los registros públicos no estará sujeta al secreto estadístico, sino a la legislación específica que en cada caso sea de aplicación [2].

Art. 16. 1. No quedarán amparados por el secreto estadístico los directorios que no contengan más datos que las simples relaciones de establecimientos, empresas, explotaciones u organismos de cualquier clase, en cuanto aludan a su denominación, emplazamiento, actividad y el intervalo de tamaño al que pertenece.

2. El dato sobre el intervalo de tamaño sólo podrá difundirse si la unidad informante no manifiesta expresamente su disconformidad.

3. Los servicios estadísticos harán constar esta excepción a la preservación del secreto estadístico en los instrumentos de recogida de la información.

4. Los interesados tendrán derecho de acceso a los datos personales que figuren en los directorios estadísticos no amparados por el secreto y a obtener la rectificación de los errores que contengan.

5. Las normas de desarrollo de la presente ley establecerán los requisitos necesarios para el ejercicio del derecho de acceso y rectificación a que se refiere el apartado anterior de este artículo, así como las condiciones que habrán de tenerse en cuenta en la difusión de los directorios no amparados por el secreto estadístico [3].

Art. 17. 1. Todo el personal estadístico tendrá la obligación de preservar el secreto estadístico.

2. A los efectos previstos en el párrafo anterior, se entiende por personal estadístico el dependiente de los servicios estadísticos a que aluden los títulos II y III de la presente ley.

3. Quedarán también obligados por el deber de preservar el secreto estadístico cuantas personas, físicas o jurídicas, tengan conocimiento de datos amparados por aquél con ocasión de su participación con carácter eventual en cualquiera de las fases del proceso estadístico en virtud de contrato, acuerdo o convenio de cualquier género.

4. El deber de guardar el secreto estadístico se mantendrá aun después de que las personas obligadas a preservarlo concluyan sus actividades profesionales o su vinculación a los servicios estadísticos.

Art. 18. 1. Los datos que sirvan para la identificación inmediata de los informantes se destruirán cuando su conservación ya no sea necesaria para el desarrollo de las operaciones estadísticas.

2. En todo caso, los datos aludidos en el apartado anterior se guardarán bajo claves, precintos o depósitos especiales.

Art. 19. 1. La obligación de guardar el secreto estadístico se iniciará desde el momento en que se obtenga la información por él amparada.

2. La información a que se refiere el apartado anterior no podrá ser públicamente consultada sin que media consentimiento expreso de los afectados o hasta que haya transcurrido un plazo de veinticinco años desde su muerte, si su fecha es conocida o, en otro caso, de cincuenta años a partir de la fecha de su obtención.

3. Excepcionalmente, y siempre que hubieran transcurrido, al menos, veinticinco años desde que se recibió la información por los servicios estadísticos, podrán ser facilitados datos protegidos por el secreto estadístico a quienes, en el marco del procedimiento que se determine reglamentariamente, acrediten un legítimo interés.

4. En el caso de los datos relativos a personas jurídicas, las normas reglamentarias, atendidas las peculiaridades de cada encuesta, podrán disponer períodos menores de duración del secreto, nunca inferiores a quince años.

CAPÍTULO IV

La difusión y conservación de la información estadística

Art. 20. 1. Los resultados de las estadísticas para fines estatales se harán públicos por los servicios responsables de la elaboración de las mismas y habrán de ser ampliamente difundidos.

2. Los resultados de las estadísticas para fines estatales tendrán carácter oficial desde el momento que se hagan públicos.

3. El personal de los servicios responsables de la elaboración de estadísticas para fines estatales tiene obligación de guardar reserva respecto de los resultados de las mismas, parciales o totales, provisionales o definitivos, de los que conozca por razón de su trabajo profesional, hasta tanto se hayan hecho públicos oficialmente.

Art. 21. 1. Los servicios estadísticos podrán facilitar a quien lo solicite:

a) Otras tabulaciones o elaboraciones estadísticas distintas de los resultados hechos públicos a los que se refiere el primer apartado del artículo 20, siempre que quede preservado el secreto estadístico.

b) Los datos individuales que no estén amparados por el secreto estadístico porque hayan llegado a ser anónimos hasta tal punto que sea imposible identificar a las unidades informantes.

2. La descripción de las características metodológicas de las estadísticas para fines estatales se harán públicas y estarán, en todo caso, a disposición de quien las solicite.

3. Las publicaciones y cualquier otra información estadística que se facilite a los interesados podrán llevar aparejadas la percepción de los precios que legalmente se determinen.

Art. 22. 1. Los servicios estadísticos deberán conservar y custodiar la información obtenida como consecuencia de su propia actividad, que seguirá sometida al secreto estadístico en los términos establecidos por la presente ley aunque se hayan difundido, debidamente elaborados, los resultados estadísticos correspondientes.

2. La conservación de la información no implicará necesariamente la de los soportes originales de la misma, siempre que su contenido se haya trasladado a soportes informáticos o de otra naturaleza.

3. Cuando los servicios estadísticos aprecien que la conservación de algún tipo de documentación resulte evidentemente innecesaria, podrán acordar su destrucción una vez cumplidos los trámites que reglamentariamente se determinen.

[.......]

[1] Véanse los artículos 2.3. e) y 37. m) de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (§ 1).

[2] Véanse los artículos 11 y 21 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (§ 1).

[3] Véanse los artículos 12 y 15 a 17 de la Ley Orgánica 15/1999, de 13 de diciembre (§ 1), y la Instrucción 2/1996, de 1 de marzo, de la Agencia de Protección de Datos, relativa al ejercicio de los derechos de acceso, rectificación y cancelación (§ 7).

§ 17 LEY 39/2007, DE 19 DE NOVIEMBRE ( JEFATURA DEL ESTADO), DE LA CARRERA MILITAR

(«BOE» núm. 278, de 20 de noviembre de 2007)

[.......]

TÍTULO V

Carrera Militar

[.......]

CAPÍTULO III

Historial militar

Art. 79. Historial militar. –1. Las vicisitudes profesionales del militar quedarán reflejadas en su historial militar individual, de uso confidencial, que constará de los siguientes documentos:

a) Hoja de servicios.

b) Colección de informes personales.

c) Expediente académico.

d) Expediente de aptitud psicofísica.

2. En el historial militar no figurará ningún dato relativo a raza, religión, opinión o cualquier otra condición o circunstancia personal o social, que pudiera constituir causa de discriminación.

3. El Ministro de Defensa establecerá las características de los documentos que componen el historial militar adaptados al tipo de relación de servicios profesionales y dictará las normas para su elaboración, custodia y utilización y para garantizar el derecho al acceso al propio historial, salvo a los informes calificados como confidenciales o reservados.

[.......]

Art. 81. Informes personales. – 1. El informe personal de calificación es la valoración objetiva de unos conceptos predeterminados que permitan apreciar las cualidades, méritos, aptitudes, competencia y forma de actuación profesional del militar.

Los informes serán realizados por juntas de calificación constituidas por tres calificadores de los que uno de ellos será el superior jerárquico del interesado.

Por orden del Ministro de Defensa se establecerá la periodicidad de los informes y los casos en los que, en función de la estructura orgánica, el superior jerárquico actuará como único calificador.

2. El superior jerárquico del calificado que forme parte de la junta, deberá, en todo caso, informar y orientar al interesado sobre su competencia y forma de actuación profesional. El interesado podrá formular alegaciones al respecto, que deberán unirse al informe personal de calificación.

3. El informe personal de calificación, junto con las alegaciones, se elevará a través del superior jerárquico del responsable de informar, según el apartado anterior, al Mando o Jefatura de Personal del Ejército correspondiente.

Dicho superior jerárquico hará una valoración individual y de conjunto de los informes y anotará cuantas observaciones evaluables considere convenientes para establecer la valoración objetiva de las calificaciones efectuadas y de las alegaciones presentadas.

4. En la colección de informes personales se incluirán cuantos sean utilizados en las evaluaciones reguladas en esta ley, así como el resultado de estas en lo que afecte a cada interesado. También se podrán incluir estudios o valoraciones dirigidos a identificar su actuación profesional, basados en informaciones de otros militares que hayan tenido relación profesional con el interesado.

5. El Ministro de Defensa determinará las normas reguladoras de los informes personales con indicación expresa de los procedimientos de alegación de que dispondrá el militar objeto de informe. El modelo de informe personal de calificación será común para todos los militares de carrera sin perjuicio de que se fijen condiciones específicas para los diferentes cuerpos y escalas. Con criterios semejantes se establecerán los correspondientes a los demás militares profesionales.

[.......]

Art. 84. Registro de personal. –1. En el Ministerio de Defensa existirá un registro de personal en el que estarán inscritos todos los militares profesionales y en el que se anotarán los datos de trascendencia administrativa del historial militar.

2. El Ministro de Defensa establecerá las normas generales reguladoras del registro de personal y de su funcionamiento, teniendo en cuenta la legislación en materia de protección de datos de carácter personal.

[.......]

§ 18 REAL DECRETO 435/1992, DE 30 DE ABRIL (JUSTICIA), SOBRE COMUNICACIÓN AL REGISTRO CENTRAL DE PENADOS Y REBELDES Y A LA OFICINA DEL CENSO ELECTORAL DE LAS CONDENAS QUE LLEVEN APAREJADA PRIVACIÓN DEL DERECHO DE SUFRAGIO

(«BOE» núm. 111, de 8 de mayo de 1992)

De acuerdo con lo establecido en los artículos 37 y 39 de la Ley Orgánica 5/1985, de 19 de junio, del Régimen Electoral General, para la formación del Censo Electoral, el Registro de Penados y Rebeldes comunica antes del 1 de febrero de cada año cualquier circunstancia que pueda afectar a la inscripción en el Censo.

Por otra parte, el Real Decreto 159/1987, de 23 de enero, establece que el Registro de Penados y Rebeldes comunicará las inhabilitaciones para el ejercicio del derecho de sufragio acordadas en vía penal, así como los datos mínimos necesarios para la identificación inequívoca del elector.

Artículo 1. Los órganos jurisdiccionales del orden penal y de la jurisdicción militar comunicarán al Registro Central de Penados y Rebeldes del Ministerio de Justicia las sentencias en que se impongan condenas que lleven aparejada la privación del derecho de sufragio.

Art. 2. Las comunicaciones se ajustarán al modelo que figura como anexo a este Real Decreto, que se cumplimentará para cada persona a la que se imponga como principal o accesoria pena que lleve consigo la privación del derecho de sufragio, así como para toda modificación ulterior de la capacidad electoral de estas personas.

Art. 3. 1. Las comunicaciones deberán remitirse al Registro Central de Penados y Rebeldes tan pronto como sea firme la resolución condenatoria o de la que derive la modificación.

2. El Registro Central de Penados y Rebeldes acusará recibo de las comunicaciones.

Art. 4. 1. El Registro Central de Penados y Rebeldes comunicará a la Oficina del Censo Electoral, dependiente del Instituto Nacional de Estadística, la identidad de las personas condenadas por sentencia firme a pena principal o accesoria que lleve aparejada la privación del derecho de sufragio y la fecha de inicio y terminación de dicha privación.

2. Igualmente, el Registro Central de Penados y Rebeldes notificará cualquier otra circunstancia que deje sin efecto o modifique el alcance de la privación del derecho de sufragio.

3. Dichas comunicaciones deberán incluir el nombre y apellidos, el lugar y fecha de nacimiento, el número del documento nacional de identidad, la última residencia del penado, las fechas de inicio y de terminación de la privación del derecho al voto, así como el Tribunal sentenciador [1].

Art. 5. 1. El Registro Central de Penados y Rebeldes remitirá dicha información a la Oficina del Censo Electoral de modo permanente [2]. En todo caso, de acuerdo con la previsión legal de la revisión anual del Censo Electoral, antes del 1 de febrero de cada año, elaborará el fichero de electores privados del derecho de sufragio, referido al año anterior.

2. Para la aplicación del presente artículo las informaciones podrán ser facilitadas en soporte magnético.

[.......]

[1] Véanse los artículos 2.3. a) y d) y 7.5 de la Ley Orgánica 15/1999, de 13 de diciembre (§ 1).

[2] El artículo 4 del Real Decreto 157/1996, de 2 de febrero, por el que se dispone la actualización mensual del censo electoral y se regulan los datos necesarios para la inscripción en el mismo, dispone: «Artículo 4. Información referida a inhabilitados. El Registro Central de Penados y Rebeldes enviará mensualmente a la Oficina del Censo Electoral la información recibida de los órganos jurisdiccionales del orden penal y militar de las identidades, relativa a las personas condenadas por sentencia firme a pena principal o accesoria que lleve aparejada la privación del derecho de sufragio y la fecha de inicio y terminación de dicha privación.

Igualmente, el Registro Central de Penados y Rebeldes notificará cualquier circunstancia que deje sin efecto o modifique el alcance de la privación del derecho de sufragio».

§ 19 LEY ORGÁNICA 4/1997, DE 4 DE AGOSTO (JEFATURA DEL ESTADO), POR LA QUE SE REGULA LA UTILIZACIÓN DE VIDEOCÁMARAS POR LAS FUERZAS Y CUERPOS DE SEGURIDAD EN LUGARES PÚBLICOS [1]

(«BOE» núm. 186, de 5 de agosto de 1997)

[.......]

Artículo 1. Objeto.– 1. La presente ley regula la utilización por las Fuerzas y Cuerpos de Seguridad de videocámaras para grabar imágenes y sonidos en lugares públicos, abiertos o cerrados, y su posterior tratamiento, a fin de contribuir a asegurar la convivencia ciudadana, la erradicación de la violencia y la utilización pacífica de las vías y espacios públicos, así como de prevenir la comisión de delitos, faltas e infracciones relacionados con la seguridad pública.

Asimismo, esta norma establece específicamente el régimen de garantías de los derechos fundamentales y libertades públicas de los ciudadanos que habrá de respetarse ineludiblemente en las sucesivas fases de autorización, grabación y uso de las imágenes y sonidos obtenidos conjuntamente por las videocámaras.

2. Las referencias contenidas en esta ley a videocámaras, cámaras fijas y cámaras móviles se entenderán hechas a cualquier medio técnico análogo y, en general, a cualquier sistema que permita las grabaciones previstas en esta ley.

Art. 2. Ámbito de aplicación. –1. La captación, reproducción y tratamiento de imágenes y sonidos, en los términos previstos en esta ley, así como las actividades preparatorias, no se considerarán intromisiones ilegítimas en el derecho al honor, a la intimidad personal y familiar y a la propia imagen, a los efectos de lo establecido en el artículo 2.2 de la Ley Orgánica 1/1982, de 5 de mayo.

2. Sin perjuicio de las disposiciones específicas contenidas en la presente ley, el tratamiento automatizado de las imágenes y sonidos se regirá por lo dispuesto en la Ley Orgánica 5/1992, de 29 de octubre , de Regulación del Tratamiento Automatizado de los Datos de Carácter Personal [2].

[.......]

Art. 8. Conservación de las grabaciones. –1. Las grabaciones serán destruidas en el plazo máximo de un mes desde su captación, salvo que estén relacionadas con infracciones penales o administrativas graves o muy graves en materia de seguridad pública, con una investigación policial en curso o con un procedimiento judicial o administrativo abierto.

2. Cualquier persona que por razón del ejercicio de sus funciones tenga acceso a las grabaciones deberá observar la debida reserva, confidencialidad y sigilo en relación con las mismas, siéndole de aplicación, en caso contrario, lo dispuesto en el artículo 10 de la presente ley.

3. Se prohíbe la cesión o copia de las imágenes y sonidos obtenidos de conformidad con esta ley, salvo en los supuestos previstos en el apartado 1 de este artículo.

4. Reglamentariamente, la Administración competente determinará el órgano o autoridad gubernativa que tendrá a su cargo la custodia de las imágenes obtenidas y la responsabilidad sobre su ulterior destino, incluida su inutilización o destrucción. Dicho órgano será el competente para resolver sobre las peticiones de acceso o cancelación promovidas por los interesados.

Art. 9. Derechos de los interesados. –1. El público será informado de manera clara y permanente de la existencia de videocámaras fijas, sin especificar su emplazamiento, y de la autoridad responsable.

2. Toda persona interesada podrá ejercer los derechos de acceso y cancelación de las grabaciones en que razonablemente considere que figura. No obstante, el ejercicio de estos derechos podrá ser denegado por quien custodie las imágenes y sonidos, en función de los peligros que pudieran derivarse para la defensa del Estado, la seguridad pública, la protección de los derechos y libertades de terceros o las necesidades de las investigaciones que se estén realizando.

Art. 10. Infracciones y sanciones. –Cuando no haya lugar a exigir responsabilidades penales, las infracciones a lo dispuesto en la presente ley serán sancionadas con arreglo al régimen disciplinario correspondiente a los infractores y, en su defecto, con sujeción al régimen general de sanciones en materia de tratamiento automatizado de los datos de carácter personal [3].

Art. 11. Recursos .–Contra las resoluciones dictadas en aplicación de lo previsto en esta ley, cabrá la interposición de los recursos ordinarios en vía administrativa, contencioso-administrativa, así como los previstos en el artículo 53.2 de la Constitución, en los términos legalmente establecidos.

DISPOSICIONES ADICIONALES

Primera. Las Comunidades Autónomas con competencia para la protección de las personas y los bienes y para el mantenimiento del orden público, con arreglo a lo dispuesto en los correspondientes Estatutos de Autonomía, podrán dictar, con sujeción a lo prevenido en esta ley, las disposiciones necesarias para regular y autorizar la utilización de videocámaras por sus fuerzas policiales y por las dependientes de las Corporaciones locales radicadas en su territorio, la custodia de las grabaciones obtenidas, la responsabilidad sobre su ulterior destino y las peticiones de acceso y cancelación de las mismas.

Cuando sean competentes para autorizar la utilización de videocámaras, las Comunidades Autónomas mencionadas en el párrafo anterior regularán la composición y el funcionamiento de la Comisión correspondiente, prevista en el artículo 3 de esta ley, con especial sujeción a los principios de presidencia judicial y prohibición de mayoría de la Administración autorizante.

Segunda. Cada autoridad competente para autorizar la instalación fija de videocámaras por parte de las Fuerzas y Cuerpos de Seguridad deberá crear un registro en el que consten todas las que haya autorizado.

[.......]

Sexta. Los propietarios y, en su caso, los titulares de derechos reales sobre los bienes afectados por las instalaciones reguladas en esta ley, o quienes los posean por cualquier título, están obligados a facilitar y permitir su colocación y mantenimiento, sin perjuicio de la necesidad de obtener, en su caso, la autorización judicial prevista en el artículo 87.2 de la Ley Orgánica 6/1985, de 1 de julio, del Poder Judicial, y de las indemnizaciones que procedan según las leyes.

Séptima. 1. Se considerarán faltas muy graves en el régimen disciplinario de las Fuerzas y Cuerpos de Seguridad del Estado, las siguientes infracciones:

a) Alterar o manipular los registros de imágenes y sonidos siempre que no constituya delito.

b) Permitir el acceso de personas no autorizadas a las imágenes y sonidos grabados o utilizar éstos para fines distintos de los previstos legalmente.

c) Reproducir las imágenes y sonidos para fines distintos de los previstos en esta ley.

d) Utilizar los medios técnicos regulados en esta ley para fines distintos de los previstos en la misma.

2. Se considerarán faltas graves en el régimen disciplinario de las Fuerzas y Cuerpos de Seguridad del Estado las restantes infracciones a lo dispuesto en la presente ley.

Octava. La instalación y uso de videocámaras y de cualquier otro medio de captación y reproducción de imágenes para el control, regulación, vigilancia y disciplina del tráfico se efectuará por la autoridad encargada de la regulación del tráfico a los fines previstos en el texto articulado de la Ley sobre Tráfico, Circulación de Vehículos a Motor y Seguridad Vial, aprobado por Real Decreto legislativo 339/1990, de 2 de marzo, y demás normativa específica en la materia, y con sujeción a lo dispuesto en las Leyes Orgánicas 5/1992, de 29 de octubre, de Regulación del Tratamiento Automatizado de los Datos de Carácter Personal [4]. , y 1/1982, de 5 de mayo, de Protección Civil del Derecho al Honor, a la Intimidad Personal y Familiar y a la Propia Imagen, en el marco de los principios de utilización de las mismas previstos en esta Ley.

[.......]

[1] Véanse los artículos 2.3. e) y 22 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (§ 1).

[2] Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (§ 1).

[3] Véanse los artículos 43 a 49 de la Ley Orgánica 15/1999, de 13 de diciembre (§ 1).

[4] Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (§ 1).

OTRAS DISPOSICIONES

§ 20 REAL DECRETO 190/1996, DE 9 DE FEBRERO (JUSTICIA E INTERIOR), POR EL QUE SE APRUEBA EL REGLAMENTO PENITENCIARIO

(«BOE» núm. 40, de 15 de febrero; corrección de errores en «BOE» núm. 112, de 8 de mayo de 1996)

TÍTULO PRIMERO

Disposiciones generales

[.......]

CAPÍTULO III

Protección de los datos de carácter personal de los ficheros penitenciarios

Art. 6. Limitación del uso de la informática penitenciaria.– 1. Ninguna decisión de la Administración penitenciaria que implique la apreciación del comportamiento humano de los reclusos podrá fundamentarse, exclusivamente, en un tratamiento automatizado de datos o informaciones que ofrezcan una definición del perfil o de la personalidad del interno.

2. La recogida, tratamiento automatizado y cesión de los datos de carácter personal de los reclusos contenidos en los ficheros se efectuará de acuerdo con lo establecido en la legislación sobre protección de datos de carácter personal y sus normas de desarrollo [1].

3. Las autoridades penitenciarias responsables de los ficheros informáticos penitenciarios adoptarán las medidas de índole técnica y organizativa necesarias para garantizar la seguridad de los datos de carácter personal en ellos contenidos, así como para evitar su alteración, pérdida, tratamiento o acceso no autorizado, y estarán obligadas, junto con quienes intervengan en cualquier fase del tratamiento automatizado de este tipo de datos, a guardar secreto profesional sobre los mismos, incluso después de que haya finalizado su relación con la Administración penitenciaria.

4. La Administración penitenciaria podrá establecer ficheros de internos que tengan como finalidad garantizar la seguridad y el buen orden del establecimiento, así como la integridad de los internos. En ningún caso la inclusión de dicho fichero determinará por sí misma un régimen de vida distinto de aquél que reglamentariamente corresponda [2].

Art. 7. Recogida y cesión de datos de carácter personal de los internos.– 1. Cuando los datos de carácter personal de los reclusos se recojan para el ejercicio de las funciones propias de la Administración penitenciaria, no será preciso el consentimiento del interno afectado, salvo en los relativos a su ideología, religión o creencias.

2. Tampoco será preciso el consentimiento del recluso afectado para ceder a otras Administraciones públicas, en el ámbito de sus respectivas competencias, los datos de carácter personal contenidos en los ficheros informáticos penitenciarios que resulten necesarios para que éstas puedan ejercer sus funciones respecto de los internos en materia de reclutamiento para la prestación del servicio militar, servicios sociales, Seguridad Social, custodia de menores u otras análogas.

3. También se podrán ceder datos de carácter personal contenidos en los ficheros informáticos penitenciarios sin previo consentimiento del afectado cuando la cesión tenga por destinatarios al Defensor del Pueblo o institución análoga de las Comunidades Autónomas que ejerzan competencias ejecutivas en materia penitenciaria, al Ministerio Fiscal o a los Jueces o Tribunales, en el ejercicio de las funciones que tienen atribuidas, así como cuando se trate de cesión de datos de carácter personal relativos a la salud de los reclusos por motivos de urgencia o para realizar estudios epidemiológicos.

4. Las transferencias internacionales de datos de carácter personal contenidos en los ficheros informáticos penitenciarios se efectuarán en los supuestos de prestación de auxilio judicial internacional, de acuerdo con lo establecido en los tratados o convenios en los que sea parte España [3].

Art. 8. Datos penitenciarios especialmente protegidos. –1. No obstante lo dispuesto en el artículo anterior, los datos de carácter personal de los reclusos relativos a opiniones políticas, a convicciones religiosas o filosóficas, al origen racial y étnico, a la salud o a la vida sexual, que hayan sido recabados para formular los modelos individualizados de ejecución o los programas de tratamiento penitenciarios, sólo podrán ser cedidos o difundidos a otras personas con el consentimiento expreso y por escrito del recluso afectado o cuando por razones de interés general así lo disponga una ley.

2. Cuando se soliciten de la Administración penitenciaria este tipo de datos especialmente protegidos por medio de representante del recluso, deberá exigirse, en todo caso, poder especial y bastante otorgado por el mismo en el que conste expresamente su consentimiento para que su representante pueda tener acceso a dichos datos personales del recluso.

Art. 9. Rectificación y conservación de los datos.– 1. Los reclusos podrán solicitar de la Administración penitenciaria la rectificación de sus datos de carácter personal contenidos en los ficheros informáticos penitenciarios que resulten inexactos o incompletos. De la rectificación efectuada se informará al interesado en el plazo máximo de dos meses desde su solicitud, así como al cesionario o cesionarios, en el supuesto de que los datos incorrectos hubiesen sido objeto de cesión previa.

2. Los datos de carácter personal de los reclusos contenidos en los ficheros informáticos penitenciarios no serán cancelados cuando, ponderados los intereses en presencia, concurran razones de interés público, de seguridad y de protección de los derechos y libertades de terceros, así como cuando posean un valor intrínseco de carácter histórico y estadístico a efectos de investigación.

[1] Apartado redactado de acuerdo con el Real Decreto 419/2011, de 25 de marzo («BOE» núm. 73, de 26 de marzo).

[2] Número adicionado por el Real Decreto 419/2011, de 25 de marzo.

[3] Véanse los artículos 33 y 34 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (§ 1).

§ 21 LEY 32/2003, DE 3 DE NOVIEMBRE (JEFATURA DEL ESTADO), GENERAL DE TELECOMUNICACIONES

(«BOE» núm. 264, de 4 de noviembre de 2003)

[.......]

TÍTULO III

Obligaciones de servicio público y derechos y obligaciones de carácter público en la explotación de redes y en la presentación de servicios de telecomunicaciones electrónicas

[.......]

CAPÍTULO III

Secreto de las comunicaciones y protección de los datos personales y derechos y obligaciones de carácter público vinculados con las redes y servicios de comunicaciones electrónicas [1].

Art. 33. Secreto de las comunicaciones. –1. Los operadores que exploten redes públicas de comunicaciones electrónicas o que presten servicios de comunicaciones electrónicas disponibles al público deberán garantizar el secreto de las comunicaciones de conformidad con los artículos 18.3 y 55.2 de la Constitución, debiendo adoptar las medidas técnicas necesarias.

2. Los operadores están obligados a realizar las interceptaciones que se autoricen de acuerdo con lo establecido en el artículo 579 de la Ley de Enjuiciamiento Criminal, en la Ley Orgánica 2/2002, de 6 de mayo, Reguladora del Control Judicial Previo del Centro Nacional de Inteligencia y en otras normas con rango de ley orgánica. Asimismo, deberán adoptar a su costa las medidas que se establecen en este artículo y en los reglamentos correspondientes.

3. La interceptación a que se refiere el apartado anterior deberá facilitarse para cualquier comunicación que tenga como origen o destino el punto de terminación de red o el terminal específico que se determine a partir de la orden de interceptación legal, incluso aunque esté destinada a dispositivo de almacenamiento o procesamiento de la información; asimismo, la interceptación podrá realizarse sobre un terminal conocido y con unos datos de ubicación temporal para comunicaciones desde locales públicos. Cuando no exista una vinculación fija entre el sujeto de la interceptación y el terminal utilizado, este podrá ser determinado dinámicamente cuando el sujeto de la interceptación lo active para la comunicación mediante un código de identificación personal.

4. El acceso se facilitará para todo tipo de comunicaciones electrónicas, en particular, por su penetración y cobertura, para las que se realicen mediante cualquier modalidad de los servicios de telefonía y de transmisión de datos, se trate de comunicaciones de vídeo, audio, intercambio de mensajes, ficheros o de la transmisión de facsímiles.

El acceso facilitado servirá tanto para la supervisión como para la transmisión a los centros de recepción de las interceptaciones de la comunicación electrónica interceptada y la información relativa a la interceptación, y permitirá obtener la señal con la que se realiza la comunicación.

5. Los sujetos obligados deberán facilitar al agente facultado, salvo que por las características del servicio no estén a su disposición y sin perjuicio de otros datos que puedan ser establecidos mediante real decreto, los datos indicados en la orden de interceptación legal, de entre los que se relacionan a continuación:

a) Identidad o identidades del sujeto objeto de la medida de la interceptación.

Se entiende por identidad: etiqueta técnica que puede representar el origen o el destino de cualquier tráfico de comunicaciones electrónicas, en general identificada mediante un número de identidad de comunicaciones electrónicas físico (tal como un número de teléfono) o un código de identidad de comunicaciones electrónicas lógico o virtual (tal como un número personal) que el abonado puede asignar a un acceso físico caso a caso.

b) Identidad o identidades de las otras partes involucradas en la comunicación electrónica.

c) Servicios básicos utilizados.

d) Servicios suplementarios utilizados.

e) Dirección de la comunicación.

f) Indicación de respuesta.

g) Causa de finalización.

h) Marcas temporales.

i) Información de localización.

j) Información intercambiada a través del canal de control o señalización.

6. Además de la información relativa a la interceptación prevista en el apartado anterior, los sujetos obligados deberán facilitar al agente facultado, salvo que por las características del servicio no estén a su disposición y sin perjuicio de otros datos que puedan ser establecidos mediante real decreto, de cualquiera de las partes que intervengan en la comunicación que sean clientes del sujeto obligado, los siguientes datos:

a) Identificación de la persona física o jurídica.

b) Domicilio en el que el proveedor realiza las notificaciones.

Y, aunque no sea abonado, si el servicio de que se trata permite disponer de alguno de los siguientes:

c) Número de titular de servicio (tanto el número de directorio como todas las identificaciones de comunicaciones electrónicas del abonado).

d) Número de identificación del terminal.

e) Número de cuenta asignada por el proveedor de servicios Internet.

f) Dirección de correo electrónico.

7. Junto con los datos previstos en los apartados anteriores, los sujetos obligados deberán facilitar, salvo que por las características del servicio no esté a su disposición, información de la situación geográfica del terminal o punto de terminación de red origen de la llamada, y de la del destino de la llamada. En caso de servicios móviles, se proporcionará una posición lo más exacta posible del punto de comunicación y, en todo caso, la identificación, localización y tipo de la estación base afectada.

8. Con carácter previo a la ejecución de la orden de interceptación legal, los sujetos obligados deberán facilitar al agente facultado información sobre los servicios y características del sistema de telecomunicación que utilizan los sujetos objeto de la medida de la interceptación y, si obran en su poder, los correspondientes nombres de los abonados con sus números de documento nacional de identidad, tarjeta de residencia o pasaporte, en el caso de personas físicas, o denominación y código de identificación fiscal en el caso de personas jurídicas.

9. Los sujetos obligados deberán tener en todo momento preparadas una o más interfaces a través de las cuales las comunicaciones electrónicas interceptadas y la información relativa a la interceptación se transmitirán a los centros de recepción de las interceptaciones. Las características de estas interfaces y el formato para la transmisión de las comunicaciones interceptadas a estos centros estarán sujetas a las especificaciones técnicas que reglamentariamente se establezcan por el Ministerio de Industria, Turismo y Comercio.

10. En el caso de que los sujetos obligados apliquen a las comunicaciones objeto de interceptación legal algún procedimiento de compresión, cifrado, digitalización o cualquier otro tipo de codificación, deberán entregar aquellas desprovistas de los efectos de tales procedimientos, siempre que sean reversibles.

Las comunicaciones interceptadas deben proveerse al centro de recepción de las interceptaciones con una calidad no inferior a la que obtiene el destinatario de la comunicación [2].

Art. 34. Protección de los datos de carácter personal.– Sin perjuicio de lo previsto en el apartado 6 del artículo 4 y en el segundo párrafo del artículo anterior, así como en la restante normativa específica aplicable, los operadores que exploten redes públicas de comunicaciones electrónicas o que presten servicios de comunicaciones electrónicas disponibles al público deberán garantizar, en el ejercicio de su actividad, la protección de los datos de carácter personal conforme a la legislación vigente.

Los operadores a los que se refiere el párrafo anterior deberán adoptar las medidas técnicas y de gestión adecuadas para preservar la seguridad en la explotación de su red o en la prestación de sus servicios, con el fin de garantizar los niveles de protección de los datos de carácter personal que sean exigidos por la normativa de desarrollo de esta ley en esta materia. En caso de que exista un riesgo particular de violación de la seguridad de la red pública de comunicaciones electrónicas, el operador que explote dicha red o preste el servicio de comunicaciones electrónicas informará a los abonados sobre dicho riesgo y sobre las medidas a adoptar.

Art. 35. Interceptación de las comunicaciones electrónicas por los servicios técnicos.– 1. Con pleno respeto al derecho al secreto de las comunicaciones y a la exigencia, conforme a lo establecido en la Ley de Enjuiciamiento Criminal, de autorización judicial para la interceptación de contenidos, cuando para la realización de las tareas de control para la eficaz utilización del dominio público radioeléctrico sea necesaria la utilización de equipos, infraestructuras e instalaciones técnicas de interceptación de señales no dirigidas al público en general, será de aplicación lo siguiente:

a) La Administración de las telecomunicaciones deberá diseñar y establecer sus sistemas técnicos de interceptación de señales en forma tal que se reduzca al mínimo el riesgo de afectar a los contenidos de las comunicaciones.

b) Cuando, como consecuencia de las interceptaciones técnicas efectuadas, quede constancia de los contenidos, los soportes en los que éstos aparezcan no podrán ser ni almacenados ni divulgados y serán inmediatamente destruidos.

2. Las mismas reglas se aplicarán para la vigilancia del adecuado empleo de las redes y la correcta prestación de los servicios de comunicaciones electrónicas.

3. Lo establecido en este artículo se entiende sin perjuicio de las facultades que a la Administración atribuye el artículo 43.2.

Art. 36. Cifrado en las redes y servicios de comunicaciones electrónicas.– 1. Cualquier tipo de información que se transmita por redes de comunicaciones electrónicas podrá ser protegida mediante procedimientos de cifrado.

2. El cifrado es un instrumento de seguridad de la información. Entre sus condiciones de uso, cuando se utilice para proteger la confidencialidad de la información, se podrá imponer la obligación de facilitar a un órgano de la Administración General del Estado o a un organismo público, los algoritmos o cualquier procedimiento de cifrado utilizado, así como la obligación de facilitar sin coste alguno los aparatos de cifra a efectos de su control de acuerdo con la normativa vigente.

Art. 37. Redes de comunicaciones electrónicas en el interior de los edificios.– 1. Mediante real decreto se desarrollará la normativa legal en materia de infraestructuras comunes de comunicaciones electrónicas. Dicho reglamento determinará, tanto el punto de interconexión de la red interior con las redes públicas, como las condiciones aplicables a la propia red interior. Asimismo regulará las garantías aplicables al acceso a los servicios de comunicaciones electrónicas a través de sistemas individuales en defecto de infraestructuras comunes de comunicaciones electrónicas y el régimen de instalación de las redes de comunicaciones electrónicas en los edificios ya existentes o futuros, en todos aquellos aspectos no previstos en las disposiciones con rango legal reguladoras de la materia.

2. La normativa técnica básica de edificación que regule la infraestructura de obra civil en el interior de los edificios deberá tomar en consideración las necesidades de soporte de los sistemas y redes de comunicaciones electrónicas fijadas de conformidad con la normativa a que se refiere el apartado anterior, previendo que la infraestructura de obra civil disponga de capacidad suficiente para permitir el paso de las redes de los distintos operadores, de forma que se facilite la posibilidad de uso compartido de estas infraestructuras por aquéllos.

Art. 38. Derechos de los consumidores y usuarios finales.– 1. Los operadores que exploten redes o que presten servicios de comunicaciones electrónicas y los consumidores que sean personas físicas y otros usuarios finales podrán someter las controversias que les enfrenten al conocimiento de las juntas arbitrales de consumo, de acuerdo con la legislación vigente sobre defensa de los consumidores y usuarios.

Para el supuesto de que no se sometan a las juntas arbitrales de consumo o que éstas no resulten competentes para la resolución del conflicto, el Ministerio de Ciencia y Tecnología establecerá reglamentariamente un procedimiento conforme al cual los usuarios finales podrán someterle dichas controversias. En cualquier caso, los procedimientos que se adopten deberán ser rápidos y gratuitos y establecerán el plazo máximo en el que deberá notificarse la resolución expresa, transcurrido el cual se podrá entender desestimada la reclamación por silencio administrativo. La resolución que se dicte podrá impugnarse ante la jurisdicción contencioso-administrativa.

2. Las normas básicas de utilización de los servicios de comunicaciones electrónicas disponibles al público en general que determinarán los derechos de los consumidores que sean personas físicas y otros usuarios finales se aprobarán por real decreto que, entre otros extremos, regulará:

a) La responsabilidad por los daños que se les produzcan.

b) Los derechos de información de los consumidores que sean personas físicas y usuarios finales, que deberá ser veraz, eficaz, suficiente, transparente y actualizada.

c) Los plazos para la modificación de las ofertas.

d) Los derechos de desconexión de determinados servicios, previa solicitud del usuario.

e) El derecho a obtener una compensación por la interrupción del servicio.

f) El derecho a celebrar contratos por parte de los consumidores que sean personas físicas y usuarios finales con los operadores que faciliten la conexión o el acceso a la red de telefonía pública, así como el contenido mínimo de dichos contratos.

g) Los supuestos en que serán exigibles y el contenido mínimo de los contratos celebrados entre consumidores que sean personas físicas u otros usuarios finales y prestadores de servicios de comunicaciones electrónicas que no sean los que facilitan conexión o acceso a la red telefónica pública.

h) El derecho a resolver anticipadamente y sin penalización el contrato, en los supuestos de propuestas de modificación de las condiciones contractuales por motivos válidos especificados en aquél y sin perjuicio de otras causas de resolución unilateral.

i) Los supuestos de aprobación por parte del Ministerio de Ciencia y Tecnología de contratos tipo entre consumidores que sean personas físicas u otros tipos de usuarios finales y operadores que exploten redes o presten servicios de comunicaciones electrónicas con obligaciones de servicio público o con poder significativo en los mercados de referencia específicos correspondientes.

j) El derecho a recibir información comparable, pertinente y actualizada sobre la calidad de los servicios de comunicaciones electrónicas disponibles al público.

k) El derecho a elegir un medio de pago para el abono de los correspondientes servicios entre los comúnmente utilizados en el tráfico comercial.

En el citado reglamento podrá ampliarse la aplicación del régimen de protección de consumidores y usuarios finales a otras categorías de usuarios.

3. En particular, los abonados a los servicios de comunicaciones electrónicas tendrán los siguientes derechos:

a) A que se hagan anónimos o se cancelen sus datos de tráfico cuando ya no sean necesarios a los efectos de la transmisión de una comunicación. Los datos de tráfico necesarios a efectos de la facturación de los abonados y los pagos de las interconexiones podrán ser tratados únicamente hasta que haya expirado el plazo para la impugnación de la factura del servicio o para que el operador pueda exigir su pago.

b) A que sus datos de tráfico sean utilizados con fines comerciales o para la prestación de servicios de valor añadido únicamente cuando hubieran prestado su consentimiento informado para ello.

c) A recibir facturas no desglosadas cuando así lo solicitasen.

d) A que sólo se proceda al tratamiento de sus datos de localización distintos a los datos de tráfico cuando se hayan hecho anónimos o previo su consentimiento informado y únicamente en la medida y por el tiempo necesarios para la prestación, en su caso, de servicios de valor añadido, con conocimiento inequívoco de los datos que vayan a ser sometidos a tratamiento, la finalidad y duración del mismo y el servicio de valor añadido que vaya a ser prestado.

e) A detener el desvío automático de llamadas efectuado a su terminal por parte de un tercero.

f) A impedir, mediante un procedimiento sencillo y gratuito, la presentación de la identificación de su línea en las llamadas que genere o la presentación de la identificación de su línea al usuario que le realice una llamada.

g) A impedir, mediante un procedimiento sencillo y gratuito, la presentación de la identificación de la línea de origen en las llamadas entrantes y a rechazar las llamadas entrantes en que dicha línea no aparezca identificada.

h) A no recibir llamadas automáticas sin intervención humana o mensajes de fax, con fines de venta directa sin haber prestado su consentimiento previo e informado para ello.

4. Los usuarios de los servicios de comunicaciones electrónicas que no tengan la condición de abonados tendrán asimismo los derechos reconocidos en los párrafos a), b), d) y en el primer inciso del párrafo f) del apartado anterior.

5. Los usuarios finales no podrán ejercer los derechos reconocidos en los párrafos d) y f) del apartado 3 cuando se trate de llamadas efectuadas a entidades que presten servicios de llamadas de urgencia que se determinen reglamentariamente, en especial, a través del número 112.

Del mismo modo, y por un período de tiempo limitado, los usuarios finales no podrán ejercer el derecho reconocido en el párrafo f) del apartado 3 cuando el abonado a la línea de destino haya solicitado la identificación de las llamadas maliciosas o molestas realizadas a su línea.

Lo establecido en las letras a) y d) del apartado 3 de este artículo se entiende sin perjuicio de las obligaciones establecidas en la Ley de Conservación de Datos relativos a las Comunicaciones Electrónicas y a las Redes Públicas de Comunicaciones [3].

6. La elaboración y comercialización de las guías de abonados a los servicios de comunicaciones electrónicas y la prestación de los servicios de información sobre ellos se realizará en régimen de libre competencia, garantizándose, en todo caso, a los abonados el derecho a la protección de sus datos personales, incluyendo el de no figurar en dichas guías. A tal efecto, las empresas que asignen números de teléfono a los abonados habrán de dar curso a todas las solicitudes razonables de suministro de información pertinente para la prestación de los servicios de información sobre números de abonados y guías accesibles al público, en un formato aprobado y en unas condiciones equitativas, objetivas, orientadas en función de los costes y no discriminatorias, estando sometido el suministro de la citada información y su posterior utilización a la normativa en materia de protección de datos vigente en cada momento.

7. El Ministerio de Ciencia y Tecnología podrá introducir cláusulas de modificación de los contratos celebrados entre los operadores y los consumidores que sean personas físicas y usuarios finales, para evitar el trato abusivo a éstos.

8. Lo establecido en este artículo se entiende sin perjuicio de la aplicación de la Ley 26/1984, de 19 de julio, General para la Defensa de los Consumidores y Usuarios [4].

[.......]

[1] Véase la disposición transitoria única de la Ley 25/2007, de 18 de octubre (§ 23).

[2] Artículo redactado de acuerdo con la Ley 25/2007, de 18 de octubre, de conservación de datos relativos a las comunicaciones electrónicas y a las redes públicas de comunicaciones.

[3] Párrafo redactado de acuerdo con la Ley 25/2007, de 18 de octubre, de conservación de datos relativos a las comunicaciones electrónicas y a las redes públicas de comunicaciones.

[4] Derogada por Real Decreto legislativo 1/2007, de 16 de noviembre, por el que se aprueba el texto refundido de la Ley General para la Defensa de los Consumidores y Usuarios y otras leyes complementarias.

§ 22 REAL DECRETO 424/2005, DE 15 DE ABRIL (INDUSTRIA, TURISMO Y COMERCIO), POR EL QUE SE APRUEBA EL REGLAMENTO SOBRE LAS CONDICIONES PARA LA PRESTACIÓN DE SERVICIOS DE COMUNICACIONES ELECTRÓNICAS, EL SERVICIO UNIVERSAL Y LA PROTECCIÓN DE LOS USUARIOS

(«BOE» núm. 102, de 29 de abril de 2005)

[.......]

TÍTULO V

Obligaciones de carácter público. Secreto de las comunicaciones y protección de los datos personales

CAPÍTULO I

Protección de los datos personales en la explotación de redes y en la prestación de los servicios de comunicaciones electrónicas disponibles al público

Sección 1.ª Disposiciones generales

Artículo 61. Ámbito de aplicación. –1. Este capítulo tiene por objeto el establecimiento de las normas reglamentarias de carácter técnico de desarrollo de la Ley 32/2003, de 3 de noviembre, General de Telecomunicaciones, en relación con la protección de los datos personales en la explotación de redes y en la prestación de los servicios de comunicaciones electrónicas disponibles al público. Lo regulado en este capítulo es de aplicación al tratamiento de los datos personales en la prestación de servicios de comunicaciones electrónicas disponibles al público y en la explotación de redes públicas de comunicaciones electrónicas, así como en las actividades que realicen los sujetos a los que se refiere el artículo 51. c) de la Ley 32/2003, de 3 de noviembre, en los supuestos en que este resulte de aplicación.

2. Las disposiciones sobre visualización y limitación de la identificación de la línea de origen y de la línea conectada y sobre el desvío automático de llamadas se aplicarán, en los términos establecidos en la sección 3.ª de este capítulo, a las líneas de abonados conectadas a centrales digitales y, cuando sea técnicamente posible y no exija una inversión desproporcionada por el operador, a las líneas de abonados conectadas a centrales analógicas. Los operadores deberán obtener del Ministerio de Industria, Turismo y Comercio la autorización correspondiente para quedar exentos del cumplimiento de los requisitos sobre visualización y limitación de la identificación de la línea de origen y conectada y sobre desvío automático de llamadas.

3. No será de aplicación lo establecido en este capítulo cuando, de conformidad con la normativa vigente, sea necesario adoptar medidas para la protección de la seguridad pública, la seguridad del Estado, la aplicación del derecho penal y la interceptación legal de las comunicaciones electrónicas para cualesquiera de estos fines.

Art. 62. Protección y seguridad de los datos personales.– 1. Los sujetos obligados a los que se refiere el artículo 51 de la Ley 32/2003, de 3 de noviembre, deberán garantizar la protección de los datos personales en el ejercicio de su actividad, en los términos establecidos en este reglamento y en la legislación vigente.

2. Los operadores deberán adoptar las medidas técnicas y de gestión adecuadas para preservar la seguridad en la explotación de su red o en la prestación de sus servicios, para garantizar los niveles de protección de los datos de carácter personal establecidos en este reglamento y demás normativa aplicable.

En caso de que exista un riesgo particular de violación de la seguridad de la red pública de comunicaciones electrónicas, el operador que explote dicha red o preste el servicio de comunicaciones electrónicas informará a los abonados sobre dicho riesgo y, cuando el riesgo quede fuera del ámbito de las medidas que deberá tomar el prestador del servicio, sobre las posibles soluciones, con una indicación de los posibles costes.

Art. 63. Régimen jurídico.– La protección de los datos personales vinculados a las redes y servicios de comunicaciones electrónicas se regirá por lo dispuesto en el artículo 38 de la Ley 32/2003, de 3 de noviembre, por este título V y, en lo no previsto por aquellas normas, por lo dispuesto en legislación vigente sobre protección de los datos de carácter personal.

Art. 64. Definiciones.– A los efectos de este título, se entiende por:

a) Datos de tráfico: cualquier dato tratado a efectos de la conducción de una comunicación a través de una red de comunicaciones electrónicas o a efectos de su facturación.

b) Datos de localización: cualquier dato tratado en una red de comunicaciones electrónicas que indique la posición geográfica del equipo terminal de un usuario de un servicio de comunicaciones electrónicas disponible para el público.

c) Comunicación: cualquier información intercambiada o conducida entre un número finito de interesados por medio de un servicio de comunicaciones electrónicas disponible para el público. No se incluye en la presente definición la información conducida, como parte de un servicio de radiodifusión al público, a través de una red de comunicaciones electrónicas, excepto en la medida en que la información pueda relacionarse con el abonado o usuario identificable que reciba la información.

d) Llamada: una conexión establecida por medio de un servicio telefónico disponible para el público que permita la comunicación bidireccional en tiempo real.

e) Servicio con valor añadido: todo servicio que requiere el tratamiento de datos de tráfico o datos de localización distintos de los de tráfico que vaya más allá de lo necesario para la transmisión de una comunicación o su facturación.

f) Tratamiento de datos: operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.

g) Facilidad de identificación de la línea de origen: la prestación que permite que el usuario que recibe una llamada, obtenga la información del número telefónico de la línea desde donde se origina esa comunicación.

h) Facilidad de identificación de línea conectada: la prestación que permite que el usuario que origina la llamada obtenga información del número telefónico de la línea a la que ha sido conectada su llamada.

Sección 2.ª Los datos de carácter personal en relación con determinados aspectos de los servicios de comunicaciones electrónicas

Art. 65. Datos personales sobre el tráfico y la facturación.– 1. Los operadores deberán eliminar o hacer anónimos los datos de carácter personal sobre el tráfico referidos a una comunicación y relacionados con los usuarios y los abonados que hayan sido tratados y almacenados para establecer una comunicación, en cuanto ya no sean necesarios a los efectos de su transmisión, sin perjuicio de lo dispuesto en los apartados siguientes.

2. Los datos de tráfico que fueran necesarios para realizar la facturación y los pagos de las interconexiones podrán ser tratados únicamente durante el plazo en que pueda impugnarse la factura o exigirse el pago, de conformidad con la legislación aplicable. Transcurrido dicho plazo, los operadores deberán eliminar o hacer anónimos los datos de carácter personal, en los términos del apartado 1.

3. Asimismo, los operadores podrán tratar los datos de tráfico con fines de promoción comercial de servicios de comunicaciones electrónicas o para la prestación de servicios con valor añadido, en la medida y durante el tiempo necesarios para la prestación de tales servicios o su promoción comercial, siempre y cuando el abonado haya dado su consentimiento informado.

A estos efectos, los sujetos obligados deberán dirigirse a los abonados, al menos, con un mes de antelación al inicio de la promoción o de la prestación del servicio con valor añadido, informarles del tipo de servicios para los que se efectuará el tratamiento, los tipos de datos que serán objeto de tratamiento y la duración que tendrá y solicitarles su consentimiento para el tratamiento de los datos. Esta comunicación, que deberá efectuarse a través de un medio que garantice su recepción por parte del abonado, podrá llevarse a cabo de forma conjunta a la facturación del servicio prestado por los sujetos obligados al abonado.

Deberá facilitarse al interesado un medio sencillo y que no implique ingreso alguno para el sujeto obligado para manifestar su negativa al tratamiento de los datos. En particular, se considerará ajustado a este reglamento el procedimiento en el que tal negativa pueda efectuarse mediante un envío prefranqueado al sujeto obligado o la llamada a un número telefónico gratuito o a los servicios de atención al cliente que aquel hubiera establecido.

Si en el plazo de un mes desde que el abonado reciba la solicitud este no se hubiese pronunciado al respecto, se entenderá que consiente el tratamiento de los datos de tráfico para esta finalidad, siempre que así se hubiera hecho constar en la información dirigida al abonado.

En todo caso, los abonados dispondrán de la posibilidad de retirar en cualquier momento su consentimiento para el tratamiento de sus datos de tráfico al que se refiere este apartado.

4. El operador deberá informar al abonado o al usuario de los tipos de datos de tráfico que son tratados y de la duración de este tratamiento a los efectos mencionados en el apartado 2 y, antes de obtener el consentimiento, a los efectos previstos en el apartado 3.

5. El tratamiento de los datos de tráfico, de conformidad con los apartados anteriores, sólo podrá realizarse por las personas que actúen bajo la autoridad del operador prestador del servicio o explotador de la red que se ocupen de la facturación o de la gestión del tráfico, de las solicitudes de información de los clientes, de la detección de fraudes, de la promoción comercial de los servicios de comunicaciones electrónicas, de la prestación de un servicio con valor añadido o de suministrar la información requerida por los jueces y tribunales, por el Ministerio Fiscal o por los órganos o entidades que pudieran reclamarla en virtud de las competencias atribuidas por la Ley 32/2003, de 3 de noviembre.

En todo caso, dicho tratamiento deberá limitarse a lo necesario para realizar tales actividades.

Art. 66. Protección de los datos personales en la facturación desglosada.– Los abonados tendrán derecho a recibir facturas no desglosadas cuando así lo soliciten a los operadores que, de conformidad con lo dispuesto en este reglamento, tengan la obligación de prestar dicho servicio.

Asimismo, por resolución del Secretario de Estado de Telecomunicaciones y para la Sociedad de la Información, se fijarán las distintas modalidades de presentación de la facturación desglosada que los abonados pueden solicitar a los operadores, tales como la supresión de un determinado número de cifras en la factura de los números a los que se ha llamado o la no aparición en la factura de los números a los que se llama cuando el pago se haga con tarjeta de crédito, como mecanismos de garantía de la utilización anónima o estrictamente privada del servicio.

Las llamadas que tengan carácter gratuito para el abonado que efectúa la llamada, incluidas las llamadas a los números de asistencia, no figurarán en las facturas detalladas del abonado que efectúa la llamada.

Art. 67. Guías de servicios de comunicaciones electrónicas disponibles al público.– 1. Los sujetos obligados deberán informar gratuitamente a sus abonados antes de incluir o facilitar sus datos a otra entidad con destino a su inclusión en cualquier tipo de guía de abonados, impresa o electrónica, disponible al público o accesible a través de servicios de información o de consulta sobre ella, de la finalidad de dicha guía, así como de cualquier otra posibilidad de uso basada en funciones de búsqueda incorporadas en sus versiones electrónicas. Dicha información a los abonados deberá producirse al menos con un mes de antelación a que los datos sean incluidos o facilitados a otra entidad para su inclusión, y se les deberá solicitar su consentimiento, en los términos establecidos en los apartados siguientes.

2. Para que los datos correspondientes a un abonado a los que se refiere el artículo 30.4 sean incluidos por primera vez en algún tipo de guía o facilitados a otra entidad para su inclusión en ella o para la prestación de servicios de información o de consulta sobre ella, será preciso el consentimiento expreso de dicho abonado. A estos efectos, se entenderá que existe consentimiento expreso de un abonado cuando el operador le solicite su consentimiento para la inclusión de tales datos, con indicación expresa de cuáles serán estos, el modo en que serán incluidos en la guía y su finalidad, y este le responda dando su aceptación. También se producirá cuando este se dirija por escrito a su operador solicitándole que sus datos figuren en la guía.

Si el abonado no hubiese dado su consentimiento expreso, se entenderá que no acepta que se publiquen en la guía correspondiente sus datos.

Una vez otorgado el consentimiento conforme al párrafo anterior, para las sucesivas inclusiones de dichos datos en la guía o su entrega a otra entidad para su inclusión en ella o para la prestación de servicios de información o de consulta sobre ella, bastará con que, en el plazo de un mes, en la comunicación en la que se solicita el consentimiento, el abonado no se oponga expresamente a dicha inclusión.

3. La inclusión en una guía, impresa o electrónica, de cualquier dato distinto de los previstos en el artículo 30.4 exigirá el consentimiento expreso del abonado para ello, tanto la primera vez como las sucesivas inclusiones.

A estos efectos, se entenderá que existe consentimiento expreso de un abonado cuando este se dirija por escrito a quien elabora la guía o a quien facilita sus datos personales a otra entidad con esa finalidad y le solicite que amplíe sus datos personales que figuran en la guía. También se producirá cuando quien elabora la guía o a quien facilita sus datos personales a otra entidad con esa finalidad solicite al abonado su consentimiento para la inclusión de tales datos, indicando expresamente cuáles serán estos, el modo en que serán incluidos en la guía y su finalidad, y este le responda dando su aceptación.

Si el abonado no hubiese dado su consentimiento expreso, se entenderá que no acepta que se publiquen en la guía correspondiente otros datos que no sean los que se establecen en el párrafo primero de este apartado.

4. Los abonados tendrán derecho a que sus datos que aparezcan en la guía no sean utilizados con fines de publicidad o prospección comercial y a que así conste de forma clara en la guía. Del mismo modo tendrán derecho a que se omita parcialmente su dirección o algún otro dato, en los términos que haya estipulado su proveedor. Asimismo, podrán ejercer los derechos de acceso, rectificación, cancelación y oposición, en los términos previstos en la legislación vigente en materia de protección de datos de carácter personal.

El ejercicio de los derechos a los que se refiere este apartado no deberá implicar ingreso alguno para el sujeto obligado.

Los abonados que hayan ejercido su derecho a no figurar en las guías tendrán derecho a recibir la información adicional a la que se refiere el párrafo primero del apartado 2 del artículo 71.

5. La guía a la que se refiere el artículo 30 dejará de tener el carácter de fuente accesible al público cuando se publique la siguiente actualización. El resto de guías perderán dicho carácter con la siguiente actualización o, en su defecto, tras el transcurso del plazo de un año desde su última publicación, con independencia del formato en que se hayan elaborado.

6. Lo dispuesto en los apartados anteriores en relación con las guías de abonados será de aplicación a los datos utilizados para la prestación de servicios de consulta sobre números de abonado.

Art. 68. Prestación de los servicios de elaboración de guías de abonados y de consulta telefónica sobre números de abonado.– 1. La elaboración y comercialización de las guías de abonados a los servicios de comunicaciones electrónicas y la prestación de servicios de consulta telefónica sobre números de abonado se realizará en régimen de libre competencia.

2. La Comisión del Mercado de las Telecomunicaciones deberá suministrar gratuitamente a las entidades que vayan a elaborar guías telefónicas de abonados, a las que presten el servicio de consulta telefónica sobre números de abonado y a las que presten los servicios de llamadas de emergencia, los datos que le faciliten los operadores, de conformidad con lo establecido en este reglamento, con las instrucciones que, en su caso, dicte la Comisión del Mercado de las Telecomunicaciones y con lo que a tal efecto se establezca por orden ministerial.

Los datos referentes a los abonados que hubieran ejercido su derecho a no figurar en las guías accesibles al público únicamente se proporcionarán a las entidades titulares del servicio de atención de llamadas de emergencia. A estos efectos, se entenderá que los servicios de llamadas de emergencia son los prestados a través del número 112 y aquellos otros que determine la Secretaría de Estado de Telecomunicaciones y para la Sociedad de la Información.

El suministro se realizará a solicitud expresa de la entidad interesada y previa resolución motivada de la Comisión del Mercado de las Telecomunicaciones, previo informe de la Agencia Española de Protección de Datos, en la que se reconozca que la entidad reúne los requisitos para acceder a los datos y se establezcan las condiciones de suministro y de utilización de los datos suministrados [1].

3. Las entidades que reciban los datos de la Comisión del Mercado de las Telecomunicaciones estarán obligadas a la prestación de los servicios que motivan la comunicación de los datos, a la utilización de los datos comunicados única y exclusivamente para dicha prestación y a la utilización para ello de la última versión actualizada de los datos que se encuentre disponible.

En caso de que en el plazo de seis meses desde el reconocimiento del derecho de la entidad solicitante al acceso a los datos del abonado esta no hubiera iniciado la prestación de los servicios en virtud de los cuales se acordó el suministro de la información, o se comprobase que con posterioridad al reconocimiento del derecho los datos se utilizan para otras finalidades distintas o son empleados de forma distinta a la establecida por la Comisión del Mercado de las Telecomunicaciones, esta, previo informe de la Agencia Española de Protección de Datos, dictará una resolución motivada que revoque, en su caso, la resolución por la que se reconoció el derecho de acceso a los datos.

Si se acordase la revocación de la resolución por la que se reconoció el derecho de acceso a los datos, la entidad interesada deberá proceder a la supresión inmediata de los datos que le hubieran sido comunicados, así como cualquier copia de estos.

Lo establecido en este apartado se entiende sin perjuicio de las competencias atribuidas a la Agencia Española de Protección de Datos por la legislación vigente en materia de protección de datos de carácter personal.

Art. 69. Llamadas no solicitadas para fines de venta directa.– 1. Las llamadas no solicitadas por los abonados con fines de venta directa que se efectúen mediante sistemas de llamada automática, a través de servicios de comunicaciones electrónicas, sin intervención humana (aparatos de llamada automática) o facsímil (fax), sólo podrán realizarse a aquellos que hayan dado su consentimiento previo, expreso e informado.

El incumplimiento de lo establecido en el párrafo anterior será sancionado de acuerdo con lo establecido en el artículo 38.3. c), o en el artículo 38.4. d) de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico.

2. Las llamadas no solicitadas por los abonados con fines de venta directa que se efectúen mediante sistemas distintos de los establecidos en el apartado anterior podrán efectuarse salvo las dirigidas a aquellos que hayan manifestado su deseo de no recibir dichas llamadas.

No obstante lo dispuesto en el párrafo anterior, para realizar las llamadas a las que este se refiere a quienes hubiesen decidido no figurar en las guías de comunicaciones electrónicas disponibles al público o a los que hubiesen ejercido su derecho a que los datos que aparecen en ellas no sean utilizados con fines de publicidad o prospección comercial, será preciso contar con el consentimiento expreso de aquéllos.

Art. 70. Datos de localización distintos de los datos de tráfico.– 1. En el caso de que puedan tratarse datos de localización, distintos de los datos de tráfico, relativos a los usuarios o abonados de redes públicas de comunicaciones o de servicios de comunicaciones electrónicas disponibles al público, sólo podrán tratarse estos datos si se hacen anónimos, o previo consentimiento expreso de los usuarios o abonados, en la medida y por el tiempo necesarios para la prestación de un servicio con valor añadido.

A estos efectos, los sujetos obligados deberán dirigirse a los usuarios o abonados, al menos, con un mes de antelación al inicio de la prestación del servicio con valor añadido, e informarles del tipo de datos de localización distintos de los datos de tráfico que serán tratados, de la finalidad y duración del tratamiento y de si los datos se transmitirán a un tercero a los efectos de la prestación del servicio con valor añadido, y solicitarles su consentimiento para el tratamiento de los datos. Esta comunicación, que deberá efectuarse por un medio que garantice su recepción por el usuario o abonado, podrá llevarse a cabo de forma conjunta a la facturación del servicio prestado por los sujetos obligados al abonado.

Se entenderá que existe consentimiento expreso cuando el usuario o el abonado se dirijan al sujeto obligado y le soliciten la prestación de los servicios con valor añadido que exijan el tratamiento de sus datos de localización.

En todo caso, los usuarios o abonados deberán contar con la posibilidad de retirar en cualquier momento su consentimiento para el tratamiento de sus datos de localización distintos de los de tráfico al que se refiere este apartado, así como de rechazar temporalmente el tratamiento de tales datos, mediante un procedimiento sencillo y gratuito, para cada conexión a la red o para cada transmisión de una comunicación.

2. Cuando se haya obtenido el consentimiento de un usuario o abonado para el tratamiento de datos de localización distintos de los datos de tráfico, el usuario o abonado deberá seguir contando con la posibilidad, por un procedimiento sencillo y gratuito, de rechazar temporalmente el tratamiento de tales datos para cada conexión a la red o para cada transmisión de una comunicación.

3. Sólo podrán encargarse del tratamiento de datos de localización distintos de los datos de tráfico de conformidad con los apartados 1 y 2 las personas que actúen bajo la autoridad del operador de las redes públicas de comunicaciones o de servicios de comunicaciones electrónicas disponibles al público o del tercero que preste el servicio con valor añadido, y dicho tratamiento deberá limitarse a lo necesario a efectos de la prestación del servicio con valor añadido.

4. No obstante lo dispuesto en este artículo, los operadores facilitarán los datos de localización distintos a los datos de tráfico a las entidades autorizadas para la atención de las de urgencia, cuando el destino de las llamadas corresponda a tales entidades.

Sección 3.ª Protección de los datos personales en los servicios avanzados de telefonía

Art. 71. Visualización y restricción de la línea de origen y conectada.– 1. Lo establecido en este capítulo será de aplicación a los operadores que presten servicios telefónicos disponibles al público con las facilidades de identificación de la línea de origen e identificación de la línea conectada.

2. Los operadores citados en el apartado 1 informarán individualmente a cada uno de sus abonados, con 15 días de antelación al inicio de la prestación de las facilidades de identificación de la línea de origen y de la línea conectada, de las características de dichas facilidades. En particular, en la información dirigida a los abonados que hubieran decidido no aparecer en las guías, poniéndose de manifiesto la especial situación del abonado, deberá detallarse el modo en que la utilización de las mencionadas facilidades puede afectar a la protección de su intimidad y a su derecho a la protección de sus datos de carácter personal.

Los operadores deberán someter la comunicación que vayan a utilizar para informar a los abonados a informe de la Agencia Española de Protección de Datos.

Los operadores ofrecerán a los abonados un servicio de atención rápido y gratuito para que puedan realizar consultas sobre el funcionamiento de estas facilidades y para que comuniquen, en su caso, la configuración y opciones elegidas para éstas.

Los operadores que vayan a prestar las facilidades de identificación de la línea de origen o de la línea conectada deberán remitir al Ministerio de Industria, Turismo y Comercio y a la Agencia Española de Protección de Datos, con carácter previo a la prestación de estas facilidades, un documento que recoja las características y los procedimientos empleados para garantizar el cumplimiento de lo establecido en este reglamento sobre dichas facilidades. Asimismo, los operadores tendrán obligación de comunicar, de manera previa a su aplicación, las posteriores variaciones de las características de sus ofertas.

Art. 72. Supresión en origen, llamada a llamada, de la identificación de la línea de origen.– Los operadores citados en el apartado 1 del artículo anterior que intervengan en el establecimiento de comunicaciones con la facilidad de identificación de la línea de origen deberán, necesariamente, ofrecer la posibilidad, en el tramo de red correspondiente, de que el usuario que origine las llamadas pueda suprimir, en cada una de ellas y mediante un procedimiento sencillo y gratuito, la identificación de la línea de origen.

La supresión en origen por el usuario, llamada a llamada, de la identificación de la línea de origen en las redes telefónicas públicas fijas se realizará mediante la marcación de un código en los accesos telefónicos que se realicen a través de estas redes.

A los efectos de lo establecido en el párrafo anterior, la Secretaría de Estado de Telecomunicaciones y para la Sociedad de la Información atribuirá un número corto como código para la supresión en origen por el usuario, llamada a llamada, de la identificación de la línea de origen.

La supresión en origen por el usuario, llamada a llamada, de la identificación de la línea de origen en las redes de telefonía móvil, en su modalidad GSM y en la red digital de servicios integrados deberá realizarse mediante la marcación de códigos que se ajusten, por orden de preferencia, a la normativa técnica europea, a la normativa internacional, a los acuerdos internacionales de operadores y, en su defecto o de manera complementaria, a las especificaciones técnicas nacionales.

La marcación de los códigos mencionados en los párrafos anteriores deberá realizarse de manera previa al de selección de operador, en su caso, y al número del abonado destinatario de la llamada.

No obstante lo anterior, la prestación de la telefonía rural de acceso celular basada en tecnología analógica no estará sujeta a la obligación establecida en este artículo.

Art. 73. Supresión en origen por línea de la identificación de la línea de origen.– Los operadores citados en el apartado 1 del artículo 71, que intervengan en el establecimiento de comunicaciones con la facilidad de identificación de la línea de origen, deberán necesariamente ofrecer la posibilidad, en la medida en que cooperen en el establecimiento de dichas comunicaciones, de que cualquier abonado pueda suprimir de forma automática en todas sus llamadas la identificación de su línea.

Los abonados podrán, de manera gratuita, activar o desactivar dicha supresión automática dos veces en los seis meses siguientes al inicio del suministro de información referida en el apartado 3 del artículo 71. Posteriormente, el abonado podrá, de manera gratuita, realizar dicha operación una vez por cada período de seis meses. Para las activaciones o desactivaciones más frecuentes, los operadores podrán establecer un precio, orientado a costes. Los operadores no podrán establecer cuotas periódicas o precios por otros conceptos distintos de este último en la prestación de la supresión automática de la identificación de la línea de origen.

Art. 74. Código de selección de operador.– Cuando en el establecimiento de una comunicación se haya realizado una selección de operador mediante la marcación de código, éste no deberá visualizarse en destino.

Art. 75. Supresión en destino de la identificación de la línea de origen.– Cuando los operadores citados en el apartado 1 del artículo 71 ofrezcan en destino la identificación de la línea de origen, deberán ofrecer al abonado que recibe la llamada la posibilidad, mediante un procedimiento sencillo y gratuito, de impedir la visualización de la identificación de la línea de origen en las llamadas recibidas.

Los abonados podrán, de manera gratuita, activar o desactivar la supresión de la visualización en destino de la línea de origen dos veces en los seis meses siguientes al inicio del suministro de información referida en el apartado 3 del artículo 71. Posteriormente, el abonado podrá, de manera gratuita, realizar dicha operación una vez por cada período de seis meses. Para las activaciones o desactivaciones más frecuentes, los operadores podrán establecer un precio, orientado a costes. Los operadores no podrán establecer cuotas periódicas o precios por otros conceptos distintos de este último en la prestación de la supresión automática de la identificación en destino de la línea de origen.

Art. 76. Filtrado en destino de llamadas sin identificación.– Cuando los operadores citados en el apartado 1 del artículo 71 ofrezcan en destino la identificación de la línea de origen y ésta se presente con anterioridad a que se establezca la llamada, deberán ofrecer al abonado que recibe la llamada la posibilidad, mediante un procedimiento sencillo, de rechazar las llamadas procedentes de usuarios o abonados que hayan impedido la visualización de la identificación de la línea de origen.

Art. 77. Eliminación de la supresión en origen de la identificación de línea de origen.– Los operadores citados en el apartado 1 del artículo 71 eliminarán las marcas de supresión en origen de la identificación de la línea de origen, cuando el destino de las llamadas corresponda a entidades que presten servicios de llamadas de urgencias a través del número 112 y otras autorizadas para la atención de las de emergencia o a las relacionadas con la seguridad pública o la defensa nacional. La aplicación del mecanismo de eliminación de marcas de supresión en origen de la identificación de la línea de origen para servicios de emergencias distintos de los atendidos a través del número 112 deberá ser aprobada, a solicitud de las entidades prestadoras de los citados servicios de emergencia o de oficio, de manera previa y para cada caso particular o tipo de servicio de emergencia, mediante resolución de la Secretaría de Estado de Telecomunicaciones y para la Sociedad de la Información.

La aplicación del mecanismo de eliminación de marcas de supresión en origen de la identificación de la línea de origen por motivos de seguridad pública o defensa nacional se realizará cuando así lo establezca por resolución el Ministerio competente en dichas materias. La resolución se tramitará y aprobará siguiendo los principios de transparencia y proporcionalidad, y será comunicada a la Secretaría de Estado de Telecomunicaciones y para la Sociedad de la Información y al resto de Autoridades de Reglamentación a que se refiere el artículo 46 de la Ley 32/2003, de 3 de noviembre, General de Telecomunicaciones.

Asimismo, se podrán eliminar por un período de tiempo limitado las marcas de supresión en origen de la identificación de la línea de origen cuando el abonado haya solicitado la identificación de las llamadas maliciosas o molestas, de acuerdo con lo establecido en la normativa vigente en cada momento sobre protección y suspensión de las garantías del secreto de las comunicaciones.

Art. 78. Supresión permanente en destino de la identidad de la línea de origen.– El Ministerio de Industria, Turismo y Comercio podrá establecer, para proteger los derechos de los ciudadanos, en especial el derecho a la intimidad, que, de manera gratuita, ciertos destinos de las llamadas asociados a determinados servicios no dispongan de la facilidad de identificación de la línea de origen.

Art. 79. Supresión de la identificación de la línea conectada.– Cuando los operadores citados en el apartado 1 del artículo 71 ofrezcan la facilidad de identificación de la línea conectada, el abonado que recibe la llamada deberá tener la posibilidad, mediante un procedimiento sencillo y gratuito, de suprimir la visualización al usuario que realiza la llamada de la identidad de la línea conectada.

Art. 80. Características técnicas.– Los operadores citados en el apartado 1 del artículo 71 aplicarán, de manera general y siempre que sea factible, para la implantación de las facilidades de identificación de la línea de origen y de la línea conectada, las normas técnicas comunitarias que sean de aplicación. En su defecto, aplicarán las normas, especificaciones o recomendaciones de organismos europeos o, a falta de éstas, las adoptadas por organismos internacionales de normalización. En ausencia de todas las anteriores, se tendrán en cuenta las normas nacionales.

En cualquier caso, dichos operadores pondrán a disposición de los fabricantes de equipos terminales u otras entidades interesadas, de manera neutral, transparente y no discriminatoria, información actualizada sobre las características y normas técnicas aplicadas para la implantación en sus redes de las facilidades de identificación de la línea de origen y de la línea conectada. En lo que se refiere a la información que debe suministrarse a los fabricantes de equipos terminales, ésta deberá contener un nivel de detalle suficiente que permita el diseño de equipos capaces de hacer uso de todas las funcionalidades que forman parte de las facilidades de identificación de la línea de origen y de la línea conectada.

Art. 81. Responsabilidad de los operadores que tengan sus redes interconectadas.– 1. En el caso de que las redes de varios operadores estén interconectadas, será responsabilidad del operador desde cuya red se origine la llamada la generación y entrega en el punto de interconexión de la identidad de la línea de origen y el respeto de la posible marca de supresión que haya sido introducida por el usuario.

El operador cuya red sea el destino final de la llamada y preste la facilidad de identificación de la línea de origen deberá hacerlo atendiendo a la información recibida asociada a la llamada y en el marco de lo que se establece en los artículos anteriores.

2. Igualmente, en la prestación de la facilidad de identificación de la línea conectada, los operadores de las redes origen o destino de las llamadas serán responsables de la correcta provisión de las funcionalidades específicas que correspondan a su red.

El operador cuya red realice exclusivamente servicios de tránsito de las llamadas deberá transmitir en cada caso y de manera transparente la identidad de la línea de origen o de la línea conectada y sus marcas asociadas.

3. El envío de la información sobre la identidad de la línea de origen en la interconexión internacional con terceros países sólo se realizará hacia aquellos cuya normativa garantice el adecuado tratamiento de los datos de carácter personal. La relación de países a los que puede ser enviada información sobre la identidad de la línea de origen se establecerá por el Director de la Agencia Española de Protección de Datos, previo informe de la Secretaría de Estado de Telecomunicaciones y para la Sociedad de la Información.

Art. 82. Desvío automático de llamadas.– Los operadores a los que se refiere el apartado 1 del artículo 71 deberán ofrecer a todos los abonados, por un procedimiento sencillo y gratuito, la posibilidad de evitar el desvío automático de llamadas a su terminal por parte de un tercero.

[.......]

[1] Véase la Resolución de 21 de noviembre de 2008 («BOE» núm. 293, de 5 de diciembre), de la Secretaría de Estado de Telecomunicaciones y para la Sociedad de la Información, por la que se identifican los servicios de atención de llamadas de emergencia a efectos de la obtención de los datos de los abonados al servicio telefónico disponible al público.

§ 23 LEY 25/2007, DE 18 DE OCTUBRE (JEFATURA DEL ESTADO) DE CONSERVACIÓN DE DATOS RELATIVOS A LAS COMUNICACIONES ELECTRÓNICAS Y A LAS REDES PÚBLICAS DE COMUNICACIONES

(«BOE» núm. 251, de 19 de octubre de 2007)

PREÁMBULO

I

La aplicación de las nuevas tecnologías desarrolladas en el marco de la sociedad de la información ha supuesto la superación de las formas tradicionales de comunicación, mediante una expansión de los contenidos transmitidos, que abarcan no sólo la voz, sino también datos en soportes y formatos diversos. A su vez, esta extraordinaria expansión en cantidad y calidad ha venido acompañada de un descenso en los costes, haciendo que este tipo de comunicaciones se encuentre al alcance de cualquier persona y en cualquier rincón del mundo.

La naturaleza neutra de los avances tecnológicos en telefonía y comunicaciones electrónicas no impide que su uso pueda derivarse hacia la consecución de fines indeseados, cuando no delictivos.

Precisamente en el marco de este último objetivo se encuadra la Directiva 2006/24/CE, del Parlamento Europeo y del Consejo, de 15 de marzo, sobre la conservación de datos generados o tratados en relación con la prestación de servicios de comunicaciones electrónicas de acceso público o de redes públicas de comunicaciones, y por la que se modifica la Directiva 2002/58/CE, del Parlamento Europeo y del Consejo, de 12 de julio, cuya transposición a nuestro ordenamiento jurídico es el objetivo principal de esta Ley.

El objeto de esta Directiva es establecer la obligación de los operadores de telecomunicaciones de retener determinados datos generados o tratados por los mismos, con el fin de posibilitar que dispongan de ellos los agentes facultados. Se entienden por agentes facultados los miembros de los Cuerpos Policiales autorizados para ello en el marco de una investigación criminal por la comisión de un delito, el personal del Centro Nacional de Inteligencia para llevar a cabo una investigación de seguridad amparada en la Ley 11/2002, de 6 de mayo, reguladora del Centro Nacional de Inteligencia, y en la Ley Orgánica 2/2002, de 6 de mayo, reguladora del control judicial previo del Centro Nacional de Inteligencia, así como los funcionarios de la Dirección Adjunta de Vigilancia Aduanera, en el desarrollo de sus competencias como policía judicial, de acuerdo con el apartado 1 del artículo 283 de la Ley de Enjuiciamiento Criminal. Se trata, pues, de que todos éstos puedan obtener los datos relativos a las comunicaciones que, relacionadas con una investigación, se hayan podido efectuar por medio de la telefonía fija o móvil, así como por Internet. El establecimiento de esas obligaciones, justificado en aras de proteger la seguridad pública, se ha efectuado buscando el imprescindible equilibrio con el respeto de los derechos individuales que puedan verse afectados, como son los relativos a la privacidad y la intimidad de las comunicaciones.

En este sentido, la Ley es respetuosa con los pronunciamientos que, en relación con el derecho al secreto de las comunicaciones, ha venido emitiendo el Tribunal Constitucional, respeto que, especialmente, se articula a través de dos garantías: en primer lugar, que los datos sobre los que se establece la obligación de conservación son datos exclusivamente vinculados a la comunicación, ya sea telefónica o efectuada a través de Internet, pero en ningún caso reveladores del contenido de ésta; y, en segundo lugar, que la cesión de tales datos que afecten a una comunicación o comunicaciones concretas, exigirá, siempre, la autorización judicial previa.

En relación con esta última precisión, cabe señalar que la Directiva se refiere, expresamente, a que los datos conservados deberán estar disponibles a los fines de detección o investigación por delitos graves, definidos éstos de acuerdo con la legislación interna de cada Estado miembro.

II

La Ley cuenta con diez artículos que se agrupan en tres capítulos.

El capítulo I («Disposiciones Generales») se inicia describiendo su objeto, que básicamente se circunscribe a la determinación de la obligación de conservar los datos enumerados en el artículo 3, que se hayan generado o tratado en el marco de una comunicación de telefonía fija o móvil, o realizada a través de una comunicación electrónica de acceso público o mediante una red pública de comunicaciones. Igualmente, se precisan los fines que, exclusivamente, justifican la obligación de conservación, y que se limitan a la detección, investigación y enjuiciamiento de un delito contemplado en el Código Penal o las leyes penales especiales, con los requisitos y cautelas que la propia Ley establece.

En este capítulo también se precisan las limitaciones sobre el tipo de datos a retener, que son los necesarios para identificar el origen y destino de la comunicación, así como la identidad de los usuarios o abonados de ambos, pero nunca datos que revelen el contenido de la comunicación. Igualmente, la Ley impone la obligación de conservación de datos que permitan determinar el momento y duración de una determinada comunicación, su tipo, así como datos necesarios para identificar el equipo de comunicación empleado y, en el caso de utilización de un equipo móvil, los datos necesarios para su localización.

En relación con los sujetos que quedan obligados a conservar los datos, éstos serán los operadores que presten servicios de comunicaciones electrónicas disponibles al público, o que exploten una red pública de comunicaciones electrónicas en España.

La Ley enumera en su artículo 3, de manera precisa y detallada, el listado de datos que quedan sujetos a la obligación de conservación en el marco de las comunicaciones por telefonía fija, móvil o Internet. Estos datos, que, se repite, en ningún caso revelarán el contenido de la comunicación, son los necesarios para identificar el origen y destino de la comunicación, su hora, fecha y duración, el tipo de servicio utilizado y el equipo de comunicación de los usuarios utilizado. En aplicación de las previsiones contenidas en la Directiva 2006/24/CE, del Parlamento Europeo y del Consejo, de 15 de marzo, quedan incluidas también en el ámbito de aplicación de la Ley las denominadas llamadas telefónicas infructuosas. Igualmente se incluye la obligación de conservar los elementos que sean suficientes para identificar el momento de activación de los teléfonos que funcionen bajo la modalidad de prepago.

En el capítulo II («Conservación y cesión de datos») se establecen los límites para efectuar la cesión de datos, el plazo de conservación de los mismos, que será, con carácter general, de doce meses desde que la comunicación se hubiera establecido (si bien reglamentariamente se podrá reducir a seis meses o ampliar a dos años, como permite la Directiva 2006/24/CE), y los instrumentos para garantizar el uso legítimo de los datos conservados, cuya cesión y entrega exclusivamente se podrá efectuar al agente facultado y para los fines establecidos en la Ley, estando cualquier uso indebido sometido a los mecanismos de control de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal y su normativa de desarrollo. Además, se establecen previsiones específicas respecto al régimen general regulador de los derechos de acceso, rectificación y cancelación de datos contenido en la referida Ley Orgánica 15/1999.

El capítulo III, al referirse al régimen sancionador, remite, en cuanto a los incumplimientos de las obligaciones de conservación y protección y seguridad de los datos de carácter personal, a la regulación contenida en la Ley 32/2003, de 3 de noviembre, General de Telecomunicaciones. Por otro lado, los incumplimientos de la obligación de puesta a disposición de los agentes facultados, en la medida en que las solicitudes estarán siempre amparadas por orden judicial, constituirían la correspondiente infracción penal.

En las disposiciones contenidas en la parte final se incluyen contenidos diversos. Por un lado, y a los efectos de poder establecer instrumentos para controlar el empleo para fines delictivos de los equipos de telefonía móvil adquiridos mediante la modalidad de prepago, se establece, como obligación de los operadores que comercialicen dicho servicio, la llevanza de un registro con la identidad de los compradores.

Por último, la Ley incorpora en las disposiciones finales una modificación de la Ley 32/2003, de 3 de noviembre, General de Telecomunicaciones, para adaptarla al contenido de esta Ley, una referencia a su amparo competencial, una habilitación general al Gobierno para su desarrollo y un período de seis meses para que las operadoras puedan adaptarse a su contenido.

CAPÍTULO I

Disposiciones generales

Artículo 1. Objeto de la Ley. –1. Esta Ley tiene por objeto la regulación de la obligación de los operadores de conservar los datos generados o tratados en el marco de la prestación de servicios de comunicaciones electrónicas o de redes públicas de comunicación, así como el deber de cesión de dichos datos a los agentes facultados siempre que les sean requeridos a través de la correspondiente autorización judicial con fines de detección, investigación y enjuiciamiento de delitos graves contemplados en el Código Penal o en las leyes penales especiales.

2. Esta Ley se aplicará a los datos de tráfico y de localización sobre personas físicas y jurídicas y a los datos relacionados necesarios para identificar al abonado o usuario registrado.

3. Se excluye del ámbito de aplicación de esta Ley el contenido de las comunicaciones electrónicas, incluida la información consultada utilizando una red de comunicaciones electrónicas.

Art 2. Sujetos obligados. –Son destinatarios de las obligaciones relativas a la conservación de datos impuestas en esta Ley los operadores que presten servicios de comunicaciones electrónicas disponibles al público o exploten redes públicas de comunicaciones, en los términos establecidos en la Ley 32/2003, de 3 de noviembre, General de Telecomunicaciones.

Art. 3. Datos objeto de conservación.– 1. Los datos que deben conservarse por los operadores especificados en el artículo 2 de esta Ley, son los siguientes:

a) Datos necesarios para rastrear e identificar el origen de una comunicación:

1.° Con respecto a la telefonía de red fija y a la telefonía móvil:

i) Número de teléfono de llamada.

ii) Nombre y dirección del abonado o usuario registrado.

2.° Con respecto al acceso a Internet, correo electrónico por Internet y telefonía por Internet:

i) La identificación de usuario asignada.

ii) La identificación de usuario y el número de teléfono asignados a toda comunicación que acceda a la red pública de telefonía.

iii) El nombre y dirección del abonado o del usuario registrado al que se le ha asignado en el momento de la comunicación una dirección de Protocolo de Internet (IP), una identificación de usuario o un número de teléfono.

b) Datos necesarios para identificar el destino de una comunicación:

1.º Con respecto a la telefonía de red fija y a la telefonía móvil:

i) El número o números marcados (el número o números de teléfono de destino) y, en aquellos casos en que intervengan otros servicios, como el desvío o la transferencia de llamadas, el número o números hacia los que se transfieren las llamadas.

ii) Los nombres y las direcciones de los abonados o usuarios registrados.

2.º Con respecto al correo electrónico por Internet y la telefonía por Internet:

i) La identificación de usuario o el número de teléfono del destinatario o de los destinatarios de una llamada telefónica por Internet.

ii) Los nombres y direcciones de los abonados o usuarios registrados y la identificación de usuario del destinatario de la comunicación.

c) Datos necesarios para determinar la fecha, hora y duración de una comunicación:

1.° Con respecto a la telefonía de red fija y a la telefonía móvil: la fecha y hora del comienzo y fin de la llamada o, en su caso, del servicio de mensajería o del servicio multimedia.

2.° Con respecto al acceso a Internet, al correo electrónico por Internet y a la telefonía por Internet:

i) La fecha y hora de la conexión y desconexión del servicio de acceso a Internet registradas, basadas en un determinado huso horario, así como la dirección del Protocolo Internet, ya sea dinámica o estática, asignada por el proveedor de acceso a Internet a una comunicación, y la identificación de usuario o del abonado o del usuario registrado.

ii) La fecha y hora de la conexión y desconexión del servicio de correo electrónico por Internet o del servicio de telefonía por Internet, basadas en un determinado huso horario.

d) Datos necesarios para identificar el tipo de comunicación.

1.° Con respecto a la telefonía de red fija y a la telefonía móvil: el servicio telefónico utilizado: tipo de llamada (transmisión de voz, buzón vocal, conferencia, datos), servicios suplementarios (incluido el reenvío o transferencia de llamadas) o servicios de mensajería o multimedia empleados (incluidos los servicios de mensajes cortos, servicios multimedia avanzados y servicios multimedia).

2.° Con respecto al correo electrónico por Internet y a la telefonía por Internet: el servicio de Internet utilizado.

e) Datos necesarios para identificar el equipo de comunicación de los usuarios o lo que se considera ser el equipo de comunicación:

1.º Con respecto a la telefonía de red fija: los números de teléfono de origen y de destino.

2.° Con respecto a la telefonía móvil:

i) Los números de teléfono de origen y destino.

ii) La identidad internacional del abonado móvil (IMSI) de la parte que efectúa la llamada.

iii) La identidad internacional del equipo móvil (IMEI) de la parte que efectúa la llamada.

iv) La IMSI de la parte que recibe la llamada.

v) La IMEI de la parte que recibe la llamada.

vi) En el caso de los servicios anónimos de pago por adelantado, tales como los servicios con tarjetas prepago, fecha y hora de la primera activación del servicio y la etiqueta de localización (el identificador de celda) desde la que se haya activado el servicio.

3.° Con respecto al acceso a Internet, correo electrónico por Internet y telefonía por Internet:

i) El número de teléfono de origen en caso de acceso mediante marcado de números.

ii) La línea digital de abonado (DSL) u otro punto terminal identificador del autor de la comunicación.

f) Datos necesarios para identificar la localización del equipo de comunicación móvil:

1.° La etiqueta de localización (identificador de celda) al inicio de la comunicación.

2.° Los datos que permiten fijar la localización geográfica de la celda, mediante referencia a la etiqueta de localización, durante el período en el que se conservan los datos de las comunicaciones.

2. Ningún dato que revele el contenido de la comunicación podrá conservarse en virtud de esta Ley.

CAPÍTULO II

Conservación y cesión de datos

Art. 4. Obligación de conservar datos.– 1. Los sujetos obligados adoptarán las medidas necesarias para garantizar que los datos especificados en el artículo 3 de esta Ley se conserven de conformidad con lo dispuesto en ella, en la medida en que sean generados o tratados por aquéllos en el marco de la prestación de los servicios de comunicaciones de que se trate.

En ningún caso, los sujetos obligados podrán aprovechar o utilizar los registros generados, fuera de los supuestos de autorización fijados en el artículo 38 de la Ley 32/2003, de 3 de noviembre, General de Telecomunicaciones.

2. La citada obligación de conservación se extiende a los datos relativos a las llamadas infructuosas, en la medida que los datos son generados o tratados y conservados o registrados por los sujetos obligados. Se entenderá por llamada infructuosa aquella comunicación en el transcurso de la cual se ha realizado con éxito una llamada telefónica pero sin contestación, o en la que ha habido una intervención por parte del operador u operadores involucrados en la llamada.

3. Los datos relativos a las llamadas no conectadas están excluidos de las obligaciones de conservación contenidas en esta Ley. Se entenderá por llamada no conectada aquella comunicación en el transcurso de la cual se ha realizado sin éxito una llamada telefónica, sin que haya habido intervención del operador u operadores involucrados.

Art. 5. Período de conservación de los datos.– 1. La obligación de conservación de datos impuesta cesa a los doce meses computados desde la fecha en que se haya producido la comunicación. Reglamentariamente, previa consulta a los operadores, se podrá ampliar o reducir el plazo de conservación para determinados datos o una categoría de datos hasta un máximo de dos años o un mínimo de seis meses, tomando en consideración el coste del almacenamiento y conservación de los datos, así como el interés de los mismos para los fines de investigación, detección y enjuiciamiento de un delito grave, previa consulta a los operadores.

2. Lo dispuesto en el apartado anterior se entiende sin perjuicio de lo previsto en el artículo 16.3 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, sobre la obligación de conservar datos bloqueados en los supuestos legales de cancelación.

Art. 6. Normas generales sobre cesión de datos.– 1. Los datos conservados de conformidad con lo dispuesto en esta Ley sólo podrán ser cedidos de acuerdo con lo dispuesto en ella para los fines que se determinan y previa autorización judicial.

2. La cesión de la información se efectuará únicamente a los agentes facultados.

A estos efectos, tendrán la consideración de agentes facultados:

a) Los miembros de las Fuerzas y Cuerpos de Seguridad, cuando desempeñen funciones de policía judicial, de acuerdo con lo previsto en el artículo 547 de la Ley Orgánica 6/1985, de 1 de julio, del Poder Judicial.

b) Los funcionarios de la Dirección Adjunta de Vigilancia Aduanera, en el desarrollo de sus competencias como policía judicial, de acuerdo con el apartado 1 del artículo 283 de la Ley de Enjuiciamiento Criminal.

c) El personal del Centro Nacional de Inteligencia en el curso de las investigaciones de seguridad sobre personas o entidades, de acuerdo con lo previsto en la Ley 11/2002, de 6 de mayo, reguladora del Centro Nacional de Inteligencia, y en la Ley Orgánica 2/2002, de 6 de mayo, reguladora del control judicial previo del Centro Nacional de Inteligencia.

Art. 7. Procedimiento de cesión de datos.– 1. Los operadores estarán obligados a ceder al agente facultado los datos conservados a los que se refiere el artículo 3 de esta Ley concernientes a comunicaciones que identifiquen a personas, sin perjuicio de la resolución judicial prevista en el apartado siguiente.

2. La resolución judicial determinará, conforme a lo previsto en la Ley de Enjuiciamiento Criminal y de acuerdo con los principios de necesidad y proporcionalidad, los datos conservados que han de ser cedidos a los agentes facultados.

3. El plazo de ejecución de la orden de cesión será el fijado por la resolución judicial, atendiendo a la urgencia de la cesión y a los efectos de la investigación de que se trate, así como a la naturaleza y complejidad técnica de la operación.

Si no se establece otro plazo distinto, la cesión deberá efectuarse dentro de las setenta y dos horas contadas a partir de las 8:00 horas del día laborable siguiente a aquél en que el sujeto obligado reciba la orden.

Art. 8. Protección y seguridad de los datos.– 1. Los sujetos obligados deberán identificar al personal especialmente autorizado para acceder a los datos objeto de esta Ley, adoptar las medidas técnicas y organizativas que impidan su manipulación o uso para fines distintos de los comprendidos en la misma, su destrucción accidental o ilícita y su pérdida accidental, así como su almacenamiento, tratamiento, divulgación o acceso no autorizados, con sujeción a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, y en su normativa de desarrollo.

2. Las obligaciones relativas a las medidas para garantizar la calidad de los datos y la confidencialidad y seguridad en el tratamiento de los mismos serán las establecidas en la Ley Orgánica 15/1999, de 13 de diciembre, y su normativa de desarrollo.

3. El nivel de protección de los datos almacenados se determinará de conformidad con lo previsto en la Ley Orgánica 15/1999, de 13 de diciembre, y en su normativa de desarrollo.

4. La Agencia Española de Protección de Datos es la autoridad pública responsable de velar por el cumplimiento de las previsiones de la Ley Orgánica 15/1999, de 13 de diciembre, y de la normativa de desarrollo aplicables a los datos contemplados en la presente Ley.

Art. 9. Excepciones a los derechos de acceso y cancelación.– 1. El responsable del tratamiento de los datos no comunicará la cesión de datos efectuada de conformidad con esta Ley.

2. El responsable del tratamiento de los datos denegará el ejercicio del derecho de cancelación en los términos y condiciones previstos en la Ley Orgánica 15/1999, de 13 de diciembre.

CAPÍTULO III

Infracciones y sanciones

Art. 10. Régimen aplicable al incumplimiento de obligaciones contempladas en esta Ley.– El incumplimiento de las obligaciones previstas en esta Ley se sancionará de acuerdo con lo dispuesto en la Ley 32/2003, de 3 de noviembre, sin perjuicio de las responsabilidades penales que pudieran derivar del incumplimiento de la obligación de cesión de datos a los agentes facultados.

DISPOSICIÓN ADICIONAL

Única. Servicios de telefonía mediante tarjetas de prepago.– 1. Los operadores de servicios de telefonía móvil que comercialicen servicios con sistema de activación mediante la modalidad de tarjetas de prepago, deberán llevar un libro-registro en el que conste la identidad de los clientes que adquieran una tarjeta inteligente con dicha modalidad de pago.

Los operadores informarán a los clientes, con carácter previo a la venta, de la existencia y contenido del registro, de su disponibilidad en los términos expresados en el número siguiente y de los derechos recogidos en el artículo 38.6 de la Ley 32/2003.

La identificación se efectuará mediante documento acreditativo de la personalidad, haciéndose constar en el libro-registro el nombre, apellidos y nacionalidad del comprador, así como el número correspondiente al documento identificativo utilizado y la naturaleza o denominación de dicho documento. En el supuesto de personas jurídicas, la identificación se realizará aportando la tarjeta de identificación fiscal, y se hará constar en el libro-registro la denominación social y el código de identificación fiscal.

2. Desde la activación de la tarjeta de prepago y hasta que cese la obligación de conservación a que se refiere el artículo 5 de esta Ley, los operadores cederán los datos identificativos previstos en el apartado anterior, cuando para el cumplimiento de sus fines les sean requeridos por los agentes facultados, los miembros de las Fuerzas y Cuerpos de Seguridad del Estado y de los Cuerpos Policiales de las Comunidades Autónomas con competencia para la protección de las personas y bienes y para el mantenimiento de la seguridad pública, el personal del Centro Nacional de Inteligencia en el curso de las investigaciones de seguridad sobre personas o entidades, así como los funcionarios de la Dirección Adjunta de Vigilancia Aduanera.

3. Los datos identificativos estarán sometidos a las disposiciones de esta Ley, respecto a los sistemas que garanticen su conservación, no manipulación o acceso ilícito, destrucción, cancelación e identificación de la persona autorizada.

4. Los operadores deberán ceder los datos identificativos previstos en el apartado 1 de esta disposición a los agentes facultados, a los miembros de las Fuerzas y Cuerpos de Seguridad del Estado y de los Cuerpos Policiales de las Comunidades Autónomas con competencia para la protección de las personas y bienes y para el mantenimiento de la seguridad pública, o al personal del Centro Nacional de Inteligencia, así como a los funcionarios de la Dirección Adjunta de Vigilancia Aduanera, cuando les sean requeridos por éstos con fines de investigación, detección y enjuiciamiento de un delito contemplado en el Código Penal o en las leyes penales especiales.

5. Sin perjuicio del régimen sancionador establecido en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, constituyen infracciones a lo previsto en la presente disposición las siguientes:

a) Son infracciones muy graves tanto el incumplimiento de la llevanza del libro-registro referido, como la negativa a la cesión y entrega de los datos a las personas y en los casos previstos en esta disposición.

b) Son infracciones graves la llevanza incompleta de dicho libro-registro, así como la demora injustificada, en más de setenta y dos horas, en la cesión y entrega de los datos a las personas y en los casos previstos en esta disposición.

6. A las infracciones previstas en el apartado anterior les será de aplicación el régimen sancionador establecido en la Ley 32/2003, de 3 de noviembre, correspondiendo la competencia sancionadora al Secretario de Estado de Telecomunicaciones y para la Sociedad de la Información.

El procedimiento para sancionar las citadas infracciones se iniciará por acuerdo del Secretario de Estado de Telecomunicaciones y para la Sociedad de la Información, pudiendo el Ministerio del Interior instar dicho inicio.

En todo caso, se deberá recabar del Ministerio del Interior informe preceptivo y determinante para la resolución del procedimiento sancionador.

7. La obligación de inscripción en el libro-registro de los datos identificativos de los compradores que adquieran tarjetas inteligentes, así como el resto de obligaciones contenidas en la presente disposición adicional, comenzarán a ser exigibles a partir de la entrada en vigor de esta Ley.

8. No obstante, por lo que se refiere a las tarjetas adquiridas con anterioridad a la entrada en vigor de esta Ley, los operadores de telefonía móvil que comercialicen estos servicios dispondrán de un plazo de dos años, a contar desde dicha entrada en vigor, para cumplir con las obligaciones de inscripción a que se refiere el apartado 1 de la presente disposición adicional.

Transcurrido el aludido plazo de dos años, los operadores vendrán obligados a anular o a desactivar aquellas tarjetas de prepago respecto de las que no se haya podido cumplir con las obligaciones de inscripción del referido apartado 1 de esta disposición adicional, sin perjuicio de la compensación que, en su caso, corresponda al titular de las mismas por el saldo pendiente de consumo.

DISPOSICIÓN TRANSITORIA

Única. Vigencia del régimen de interceptación de telecomunicaciones.– Las normas dictadas en desarrollo del capítulo III del título III de la Ley 32/2003, de 3 de noviembre, continuarán en vigor en tanto no se opongan a lo dispuesto en esta Ley.

DISPOSICIÓN DEROGATORIA

Única. Derogación normativa.– 1. Quedan derogados los artículos 12, 38.2 c) y d) y 38.3 a) de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico.

2. Asimismo, quedan derogadas cuantas disposiciones de igual o inferior rango se opongan a lo dispuesto en esta Ley.

DISPOSICIONES FINALES

Primera. Modificación de la Ley 32/2003, de 3 de noviembre, General de Telecomunicaciones.– La Ley 32/2003, de 3 de noviembre, General de Telecomunicaciones, se modifica en los siguientes términos:

Uno. El artículo 33 queda redactado de la siguiente forma [1].

[.......]

Dos. El último párrafo del apartado 5 del artículo 38 pasa a tener la siguiente redacción [2].

[.......]

Tres. En el artículo 53, se modifican los párrafos o) y z), que quedan redactados de la siguiente forma:

«o) El incumplimiento deliberado, por parte de los operadores, de las obligaciones en materia de interceptación legal de comunicaciones impuestas en desarrollo del artículo 33 de esta Ley y el incumplimiento deliberado de las obligaciones de conservación de los datos establecidas en la Ley de Conservación de Datos relativos a las Comunicaciones Electrónicas y a las Redes Públicas de Comunicaciones.»

«z) La vulneración grave o reiterada de los derechos previstos en el artículo 38.3, salvo el previsto por el párrafo h) , cuya infracción se regirá por el régimen sancionador previsto en la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico, y el incumplimiento grave o reiterado de las obligaciones de protección y seguridad de los datos almacenados establecidas en el artículo 8 de la Ley de conservación de datos relativos a las comunicaciones electrónicas y a las redes públicas de comunicaciones.»

Cuatro. En el artículo 54 se modifican los párrafos ñ) y r) , que quedan redactados de la siguiente forma:

«ñ) El incumplimiento, por parte de los operadores, de las obligaciones en materia de interceptación legal de comunicaciones impuestas en desarrollo del artículo 33 de la presente Ley y el incumplimiento de las obligaciones de conservación de los datos establecidas en la Ley de Conservación de Datos relativos a las Comunicaciones Electrónicas y a las Redes Públicas de Comunicaciones, salvo que deban considerarse como infracción muy grave, conforme a lo dispuesto en el artículo anterior.»

«r) La vulneración de los derechos previstos en el artículo 38.3, salvo el previsto por el párrafo h), cuya infracción se regirá por el régimen sancionador previsto en la Ley 34/2002, de 11 de julio, y el incumplimiento de las obligaciones de protección y seguridad de los datos establecidas en el artículo 8 de la Ley de conservación de datos relativos a las comunicaciones electrónicas y a las redes públicas de comunicaciones, salvo que deban considerarse como infracción muy grave.»

Segunda. Competencia estatal.– Esta Ley se dicta al amparo de lo dispuesto en el artículo 149.1.29.ª de la Constitución, que atribuye al Estado la competencia exclusiva en materia de seguridad pública, y del artículo 149.1.21.ª, que confiere al Estado competencia exclusiva en materia de telecomunicaciones.

Tercera. Desarrollo reglamentario.– Se habilita al Gobierno a dictar cuantas disposiciones sean necesarias para el desarrollo y ejecución de lo previsto en esta Ley.

Cuarta. Formato de entrega de los datos.– 1. La cesión a los agentes facultados de los datos cuya conservación sea obligatoria, se efectuará en formato electrónico, en la forma que se determine por Orden conjunta de los Ministros de Interior, de Defensa y de Economía y Hacienda, que se aprobará en el plazo de tres meses desde la entrada en vigor de esta Ley.

2. Los sujetos obligados a los que se refiere el artículo 2 de esta Ley, tendrán un plazo de seis meses desde la entrada en vigor de la misma para configurar, a su costa, sus equipos y estar técnicamente en disposición de cumplir con las obligaciones de conservación y cesión de datos.

Quinta. Entrada en vigor.– Esta Ley entrará en vigor a los veinte días de su publicación en el «Boletín Oficial del Estado».

[1] Véase el citado artículo en el parágrafo 21.

[2] Parágrafo 21.

ÍNDICE ANALÍTICO

A

Acceso

(Véase Derechos de acceso, rectificación, cancelación y oposición.)

Acceso a los casinos y salas de bingo (ficheros automatizados para controlar el):

Ámbito de aplicación, § 7, norma primera.

Cancelación de datos, § 7, norma quinta.

Medidas de seguridad, § 7, norma sexta.

Recogida de datos, § 7, norma tercera.

Responsable del fichero, § 7, norma segunda.

Utilización de datos, § 7, norma cuarta.

Acceso a los datos:

Censales, § 15, 41.

En grabaciones realizadas por Fuerzas y Cuerpos de Seguridad, § 15, 9.

Por cuenta de terceros, § 1, 12.

Acceso a los edificios (ficheros automatizados para controlar el):

Ámbito de aplicación, § 6, norma primera.

Cancelación de datos, § 6, norma quinta.

Medidas de seguridad, § 6, norma sexta.

Recogida de datos, § 6, norma tercera.

Redes de comunicaciones en el interior de los edificios, § 21, 37.

Responsable del fichero, § 6, norma segunda.

Utilización de datos, § 6, norma cuarta.

Accesos autorizados:

Concepto a efectos de medidas de seguridad, § 2, 5.2. a) .

Administraciones Públicas:

Comunicación de datos entre, § 1, 21.

Infracciones, § 1, 46.

Afectado o interesado:

Concepto, § 1, 3. e).

Consentimiento:

Concepto, § 2, 5.1. d) .

Forma de recabarlo, § 2, 14.

Principios generales, § 2, 12.

Revocación, § 2, 17.

Solicitud en el marco de una relación contractual para fines no relacionados directamente con la misma, § 2, 15.

Tratamiento de datos de facturación y tráfico en servicios de comunicaciones electrónicas, § 2, 16.

Tratamiento de datos de menores de edad, § 2, 13.

Agencia Española de Protección de Datos:

Consejo Consultivo, § 1, 38.

Director, § 1, 36.

Ficheros de las Comunidades Autónomas, § 1, 42.

Funciones, § 1, 37.

Inspección, § 1, 40.

Naturaleza y régimen jurídico, § 1, 35.

Órganos correspondientes de las Comunidades Autónomas, § 1, 41.

Publicación de sus resoluciones, § 10.

Registro General, § 1, 39.

Registro telemático, § 11.

Tutela de derechos, § 1, 18.

Autenticación:

Concepto a efectos de medidas de seguridad, § 2, 5.2. b) .

B

Boletín Oficial del Estado:

Carácter de fuente de acceso al público, § 1, 3. j) .

Creación, modificación o supresión de ficheros, § 1, 20.1.

C

Campañas publicitarias:

Tratamiento de datos en, § 2, 46.

Cancelación:

Concepto, § 2, 5.1. b) .

(Véase Derechos de acceso, rectificación, cancelación y oposición.)

Casinos

(Véase Acceso a los casinos y salas de bingo.)

Censo electoral:

Acceso a datos censales, § 15, 41.

Censo promocional:

Carácter de fuentes de acceso al público, § 1, 3. j); § 2 , 7.1. a).

Copias del, § 1, 31.

Datos, § 1, 28.

Cesión o comunicación de datos:

Concepto, § 2, 1.5. c) .

De ficheros penitenciarios, § 16, 7.

Códigos tipo:

Compromisos adicionales, § 2, 74.

Contenido, § 2, 73.

Depósito y publicidad, § 2, 77.

Garantías de su cumplimiento, § 2, 75.

Iniciativa y ámbito de aplicación, § 2, 72.

Objeto y naturaleza, § 1, 32; § 2, 71.

Obligaciones posteriores a su inscripción, § 2, 78.

Relación de adheridos, § 2, 76.

(Véase Procedimiento de inscripción de códigos tipo.)

Cómputo de plazos, § 2, 6.

Comunicación de datos:

A terceros, § 1, 11.

Concepto, § 2, 5.º1. c) .

Entre Administraciones Públicas, § 1, 21.

Comunidades Autónomas:

Ficheros, § 1, 42; § 2, disposición adicional segunda.

Órganos correspondientes a, § 1, 41.

Consejo Consultivo:

Composición, § 1, 38.

Consentimiento:

Concepto, § 1, 3. h).

En la comunicación de datos, § 1, 11 y 21.3 y 4.

Consentimiento del afectado:

Concepto, § 2, 5.1. d) .

Forma de recabarlo, § 2, 14.

Principios generales, § 2, 12.

Revocación, § 2, 17.

Solicitud en el marco de una relación contractual para fines no relacionados directamente con la misma, § 2, 15.

Tratamiento de datos de facturación y tráfico en servicios de comunicaciones electrónicas, § 2, 16.

Tratamiento de datos de menores de edad, § 2, 13.

Contraseña:

Concepto a efectos de medidas de seguridad, § 2, 5.2. c) .

Control de acceso:

Concepto a efectos de medidas de seguridad, § 2, 5.2. d) .

Convenios internacionales:

Tratamientos creados por, § 1, disposición transitoria primera.

Copia del respaldo:

Concepto a efectos de medidas de seguridad, § 2, 5.2. e) .

D

Dato disociado:

Concepto, § 2, 5.1. e) .

Datos censales:

Acceso a, § 15, 41.

Datos de carácter personal:

Concepto, § 1, 3. a); § 2, 5.1. f) .

Deber de información al interesado:

Acreditación del cumplimiento del deber de información, § 2, 18.

Procedimiento de exención del deber de información al interesado:

Duración y efectos de la falta de resolución expresa, § 2, 156.

Iniciación, § 2, 153.

Propuesta de nuevas medidas compensatorias, § 2, 154.

Terminación, § 2, 155.

Supuestos especiales, 19.

(Véase Procedimiento de exención del deber de información al interesado.)

Defensa Nacional:

Excepción al derecho de los afectados, § 1, 24.1.

Denegación de acceso, § 13, 14.

Derechos de acceso, rectificación, cancelación y oposición:

Derecho de acceso:

Denegación, § 2, 30.

Derecho, § 2, 27.

Ejercicio, § 2, 28. § 8, norma segunda.

En grabaciones realizadas por Fuerzas y Cuerpos de Seguridad, § 14 , 9.

Otorgamiento, § 2, 29.

Requisitos generales, § 8, norma primera.

Derechos de oposición:

Derecho de oposición, § 2, 34.

Derecho de oposición a las decisiones basadas únicamente en un tratamiento automatizado de datos, § 2, 36.

Ejercicio del derecho de oposición, § 2, 35.

Derechos de rectificación y cancelación:

De ficheros penitenciarios, § 16 , 7.

Denegación, § 2, 33.

Derechos de, § 2, 31.

Ejercicio, § 1, 17; § 2, 32; § 8, norma tercera.

En grabaciones realizadas por Fuerzas y Cuerpos de Seguridad, § 14 , 9.

Requisitos generales, § 8, norma primera.

Disposiciones generales:

Carácter personalísimo, § 2, 23.

Condiciones generales para su ejercicio, § 2, 24.

Ejercicio de los derechos ante un encargado del tratamiento, § 2, 26.

Procedimiento, § 2, 25.

Derechos de las personas:

A indemnización, § 1, 19.

De acceso, § 1, 15.

De consulta al Registro General de Protección de Datos, § 1, 14.

De rectificación y cancelación, § 1, 16.

Impugnación de valoraciones, § 1 , 13.

Procedimiento de oposición, acceso, rectificación o cancelación, § 1, 17.

Tutela, § 1, 18.

Destinatario o cesionario:

Concepto, § 2, 5.1. h) .

Diarios:

Carácter de fuentes de acceso al público, § 1, 3. j) .

E

Edificios

(Véase Acceso a los edificios.)

Encargado del tratamiento:

Concepto, § 2, 5.1. i) .

Conservación de los datos por el encargado del tratamiento, § 2, 22.

Posibilidad de subcontratación de los servicios, § 2, 21.

Relaciones entre el responsable y el encargado del tratamiento, § 2, 20.

Entidades de crédito

(Véase Prestación de servicios sobre solvencia patrimonial y crédito.)

Estadísticas

(Véase Función Estadística Pública.)

Estudios epidemiológicos:

Comunicación de datos, § 1, 2. f) .

Exportador de datos personales:

Concepto, § 2, 5.1. j) .

F

Ficheros:

Con fines de publicidad, § 8, norma quinta.

Concepto, § 1, 3. b); § 2, 5.1. k) .

De control de acceso a los casinos y salas de bingo, § 7.

De control de acceso a los edificios, § 6.

De prestación de servicios de información sobre, § 8, norma cuarta.

De titularidad privada:

Censo promocional, § 1, 31.

Códigos tipo, § 1, 32.

Comunicación de la cesión de datos, § 1, 27.

Concepto, § 2, 5.1 l) .

Creación, § 1, 25.

Datos incluidos en las fuentes de acceso público, § 1, 28.

Ficheros de información sobre solvencia patrimonial y crédito, § 2, 37.

Notificación e inscripción, § 1, 26; § 2, 55 a 64.

Prestación de servicios de información sobre solvencia patrimonial y crédito, § 1, 29.

Tratamiento de datos relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés:

Acceso a la información contenida en el fichero, § 2, 42.

Conservación de los datos, § 2, 41.

Ejercicio de los derechos de acceso, rectificación, cancelación y oposición, § 2, 44.

Información previa a la inclusión, § 2, 39.

Notificación de inclusión, § 2, 40.

Requisitos para la inclusión de los datos, § 2, 38.

Responsabilidad, § 2, 42.

Tratamientos para actividades de publicidad y prospección comercial:

Datos susceptibles de tratamiento e información al interesado, § 2, 45.

Depuración de datos personales, § 2, 47.

Derecho de oposición, § 1, 30; § 2, 51.

Derechos de acceso, rectificación y cancelación, § 2, 50.

Ficheros comunes de exclusión del envío de comunicaciones comerciales, § 2, 49.

Ficheros de exclusión del envío de comunicaciones comerciales, § 2, 48.

Tratamiento de datos en campañas publicitarias, § 2, 46.

De titularidad pública:

Comunicación de datos entre Administraciones Públicas, § 1, 21.

Concepto, § 2, 5.1. m) .

Creación, modificación o supresión, § 1, 20; § 2, 52 a 54.

Excepciones a los derechos de acceso, rectificación y cancelación, § 1, 23.

Ficheros de las Fuerzas y Cuerpos de Seguridad, § 1, 22.

Notificación e inscripción, § 2, 55 a 64.

Otras excepciones, § 1, 24.

Estadísticos, § 16.

Inmovilización, § 1, 49.

Medidas de seguridad, § 2, 89 y ss.

Penitenciarios:

Datos penitenciarios especialmente protegidos, § 20, 8.

Limitación del uso de la informática penitenciaria, § 20, 6.

Recogida y cesión de datos de carácter personal de los internos, § 20, 7.

Rectificación y conservación de los datos, § 20, 9.

Formularios electrónicos:

De solicitudes de inscripción de ficheros en el Registro General, § 12 .

Fuentes accesibles al público:

Concepto, § 1, 3. j); § 2, 7.

Datos incluidos, § 1, 28.

Editadas en forma de libro, § 1, 28.3.

Fuerzas y Cuerpos de Seguridad:

Ficheros de, § 1, 2. e) y 22; § 19.

Función Estadística Pública:

Difusión y conservación de la información, § 16, 20 a 22.

Principios Generales, § 16, 4.

Recogida de datos, § 16, 10 a 12.

Regulación, § 16, 7.

Secreto estadístico, § 16, 13 a 19.

G

Guías de servicios de telecomunicaciones:

Disponibles al público, § 22, 67. 213.

Legislación aplicable, § 1, 28.4.

I

Importador de datos personales:

Concepto, § 2, 5.1. ñ) .

Incidencia:

Concepto a efectos de medidas de seguridad, § 2, 5.2. i) .

Indemnización:

Derecho a, § 1, 19.

Informes:

Personales de calificación de las Fuerzas Armadas, § 1, 2.3. c); § 17.

Infracciones y sanciones:

De las Administraciones Públicas, § 1, 46.

Potestad de inmovilización de ficheros, § 1, 49.

Prescripción, § 1, 47.

Procedimiento sancionador, § 1, 48.

Responsables, § 1, 43.

Tipo de sanciones, § 1, 45.

Tipos de infracciones, § 1, 44.

(Véase Procedimientos relativos al ejercicio de la potestad sancionadora.)

Inmovilización de ficheros:

Potestad de, § 1, 49; § 2, 121.

Inscripción de ficheros

(Véase Notificación e Inscripción de ficheros.)

Inspección:

Potestad de, § 1, 40.

Instituto Nacional de Estadística:

Copias del censo promocional, § 1, 31.

M

Medidas de seguridad:

De ficheros y tratamientos automatizados:

Nivel alto:

Copias de respaldo y recuperación, § 2, 102.

Gestión y distribución de soportes, § 2, 101.

Registro de accesos, § 2, 103.

Telecomunicaciones, § 2 , 104.

Nivel básico:

Control de acceso, § 2, 91.

Copias de respaldo y recuperación, § 2, 94.

Funciones y obligaciones del personal, § 2, 89.

Gestión de soportes, § 2, 92.

Identificación y autenticación, § 2, 93.

Registro de incidencias, § 2, 90.

Nivel medio:

Auditoría, § 2, 96.

Control de acceso físico, § 2, 99.

Gestión de soportes, § 2 , 97.

Identificación y autenticación, § 2, 98.

Registro de incidencias, § 2, 100.

Responsable de seguridad, § 2, 95.

De ficheros y tratamientos no automatizados:

Nivel alto:

Acceso a la documentación, § 2, 113.

Almacenamiento de la información, § 2, 111.

Copia o reproducción, § 2, 112.

Traslado de documentación, § 2, 114.

Nivel básico:

Criterios de archivo, § 2, 106.

Custodia de los soportes, § 2, 108.

Dispositivos de almacenamiento, § 2, 107.

Obligaciones comunes, § 2, 105.

Nivel medio:

Auditoría, § 2, 110.

Responsabilidad de seguridad, § 2, 109.

Documento de seguridad, § 2, 88.

En el tratamiento de datos de carácter personal:

Disposiciones generales:

Acceso a datos a través de redes de comunicaciones, § 2, 85.

Alcance, § 1 , 9; § 2, 79.

Aplicación de los niveles de seguridad, § 2, 81.

Delegación de autorizaciones, § 2, 84.

Encargado del tratamiento, § 2, 82.

Ficheros temporales o copias de trabajo de documentos, § 2, 87.

Niveles de seguridad, § 2, 80.

Prestaciones de servicios sin acceso a datos personales, § 2 , 83.

Régimen de trabajo fuera de los locales del responsable del fichero o encargado del tratamiento, § 2, 86.

Medios de comunicación:

Carácter de fuentes de acceso al público, § 1, 3. j).

Menores de edad:

Consentimiento del afectado en tratamiento de datos de, § 2, 13.

Movimiento internacional de datos:

Excepciones, § 1 , 34.

Normal general, § 1, 33.

(Véase Transferencia internacional de datos. )

N

Niveles de seguridad:

Aplicación, § 2, 81.

Clasificación, § 2, 80.

Notificación e inscripción de los ficheros de titularidad pública o privada:

Cancelación de la inscripción, § 2, 61.

Colaboración con las Autoridades de Control de las Comunidades Autónomas, § 2, 64.

Ficheros en los que exista más de un responsable, § 2, 57.

Inscripción de los ficheros, § 2, 60.

Inscripción de oficio de ficheros de titularidad pública, § 2, 63.

Modelos y soportes para la notificación, § 2, 59.

Notificación de ficheros, § 2, 55.

Notificación de la modificación o supresión de ficheros, § 2, 58.

Rectificación de errores, § 2 , 62.

Tratamiento de datos en distintos soportes, § 2, 56.

O

Oposición:

(Véase Derechos de acceso, rectificación, cancelación y oposición. )

P

Persona identificable:

Concepto, § 2, 5.1. o) .

Plazos:

Cómputo, § 2, 6.

Prescripción:

De infracciones, § 1, 47.

De sanciones, § 1, 47.

Prestación de servicios sobre solvencia patrimonial y crédito:

Calidad de los datos objeto de tratamiento, § 4, norma primera.

Medidas de seguridad, § 4, norma cuarta.

Notificación de la inclusión en el fichero, § 4, norma segunda.

Principios de la protección de datos:

Acceso por cuenta de terceros, § 1, 12.

Calidad de los datos, § 1, 4; § 2, 8 a 11.

Comunicación, § 1, 10.

Consentimiento del afectado, § 1, 6; § 2, 12 a 17.

Datos especialmente protegidos , § 1, 7.

Deber de secreto, § 1, 10.

Derecho de información en su recogida, § 1, 5; § 2, 18 y 19.

Seguridad, § 1, 8.

Procedimiento de disociación:

Comunicación de datos por, § 1, 11.6.

Concepto, § 1, 3. f).

Procedimiento de exención del deber de información al interesado:

Duración y efectos de la falta de resolución expresa, § 2, 156.

Iniciación, § 2, 153.

Propuesta de nuevas medidas compensatorias, § 2, 154.

Terminación, § 2, 155.

Procedimiento de inscripción de códigos tipo:

Análisis de los aspectos sustantivos del código tipo, § 2, 146.

Duración y efectos de la falta de resolución expresa, § 2, 151.

Información pública, § 2, 147.

Iniciación, § 2, 145.

Mejora del código tipo, § 2, 148.

Publicación de los códigos tipo por la Agencia Española de Protección de Datos, § 2, 152.

Resolución, § 2, 150.

Trámite de audiencia, § 2, 149.

Procedimiento de tutela de los derechos de acceso, rectificación, cancelación y oposición:

Duración del procedimiento y efectos de la falta de resolución expresa, § 2, 118.

Ejecución de la resolución, § 2, 119.

Instrucción del procedimiento, § 2, 117.

Procedimiento para la autorización de conservación de datos para fines históricos, estadísticos o científicos:

Duración del procedimiento y efectos de la falta de resolución expresa, § 2, 158.

Iniciación del procedimiento, § 2, 157.

Procedimientos relacionados con la inscripción o cancelación de ficheros:

Procedimiento de cancelación de oficio de ficheros inscritos, § 2, 135.

Procedimiento de inscripción de la creación, modificación o supresión de ficheros:

Acuerdo de inscripción o cancelación, § 2, 132.

Duración del procedimiento y efectos de la falta de resolución expresa, § 2, 134.

Especialidades en la notificación de ficheros de titularidad pública, § 2, 131.

Improcedencia o denegación de la inscripción, § 2, 133.

Iniciación del procedimiento, § 2, 130.

Terminación del expediente, § 2, 136.

Procedimientos relacionados con las transferencias internacionales de datos:

Procedimiento de autorización de transferencias internacionales de datos:

Actos posteriores a la resolución, § 2, 139.

Duración y efectos de la falta de resolución expresa, § 2, 140.

Iniciación, § 2, 137.

Instrucción, § 2, 138.

Procedimiento de suspensión temporal de transferencias internacionales de datos.

Actos posteriores a la resolución, § 2, 143.

Iniciación , § 2, 141.

Instrucción y resolución, § 2, 142.

Levantamiento de la suspensión temporal, § 2, 144.

Procedimientos relativos al ejercicio de la potestad sancionadora:

Actuaciones previas:

Actuaciones presenciales, § 2, 125.

Iniciación, § 2, 122.

Obtención de información, § 2, 124.

Personal competente para la realización de las actuaciones previas, § 2, 123.

Resultado de las actuaciones previas, § 2, 126.

De declaración de infracción de la Ley Orgánica 15/1999, de 13 de diciembre, por las Administraciones Públicas, § 2, 129.

Disposiciones Generales:

Ámbito de aplicación, § 2, 120.

Inmovilización de ficheros, § 2, 121.

Procedimiento Sancionador:

Iniciación, § 2, 127.

Plazo máximo para resolver, § 2, 128.

Productos de software, § 2, Disposición adicional única.

Protección de datos de carácter personal:

Derechos de las personas, § 1, 13 a 19.

Disposiciones generales, § 1, 1 a 3.

Ficheros de titularidad privada, § 1, 25 a 32.

Ficheros de titularidad pública, § 1, 20 a 24.

Infracciones y sanciones, § 1, 43 a 49.

Movimiento internacional de datos , § 1, 33 y 34.

Penitenciarios, § 20.

Principios, § 1, 4 a 12.

Servicios avanzados de telefonía, § 19, 65 y ss.

Publicidad:

Ficheros con fines de, § 8, norma quinta.

Resoluciones, § 2, 116; § 10.

Tratamiento de datos en campañas publicitarias, § 2, 46.

Tratamientos para actividades de publicidad y prospección comercial:

Datos susceptibles de tratamiento e información al interesado, § 2, 45.

Depuración de datos personales, § 2, 47.

Derecho de oposición, § 1 , 30; § 2, 51.

Derechos de acceso, rectificación y cancelación, § 2, 50.

Ficheros comunes de exclusión del envío de comunicaciones comerciales, § 2, 49.

Ficheros de exclusión del envío de comunicaciones comerciales, § 2, 48.

R

Rectificación y cancelación

(Véase Derecho de acceso rectificación, cancelación y oposición.)

Recursos:

Contra resoluciones de la Agencia de Protección de Datos, § 1, 18.4.

Registro Central de Penados y Rebeldes, § 18.

Registro de incidencias:

Medidas de seguridad de nivel básico, § 2, 90.

Medidas de seguridad de nivel medio, § 2, 100.

Registro de población:

Finalidad, § 1, disposición adicional segunda.

Registro General de Protección de Datos:

Derecho de consulta, § 1, 14.

Formularios electrónicos, § 13 .

Inscripción de:

Códigos tipo, § 1, 32 y 39; § 2, 77, 145 y ss.

De los ficheros de titularidad pública o privada, § 2, 55 y 60.

De oficio de ficheros de titularidad pública, § 2, 63.

Transferencia internacional de datos, § 2, 66, 139 y 143.

Procedimiento de cancelación de oficio de los ficheros inscritos, § 2, 135.

Rectificación de errores, § 2, 62.

Registro Telemático de la Agencia Española de Protección de Datos: comprobar:

Accesibilidad, § 11, Octavo.

Ámbito de aplicación, § 11, Segundo.

Cómputo de plazos, § 11, Sexto.

Creación, § 11, Tercero.

Objeto, § 11, Primero.

Recepción de solicitudes, § 11, Sexto.

Requerimientos técnicos para su acceso, § 11, Cuarto.

Seguridad, § 11, Séptimo.

Sistemas de firma electrónica reconocidos, § 11, Quinto.

Repertorios telefónicos:

Carácter de fuentes de acceso al público, § 1, 3. j).

(Véase Servicio de telecomunicaciones.)

Responsable de seguridad:

Concepto a efectos de medidas de seguridad, § 2, 5 . 2. l) .

Responsable del fichero:

Comunicación de la cesión de datos, § 1, 27.

Concepto, § 1, 3. d); § 2, 5 . 1. q) .

Denegación de acceso, rectificación o cancelación, § 1, 23.

S

Salas de bingo

(Véase Acceso a los casinos y salas de bingo.)

Salud:

Datos relativos a, § 1, 8.

Sanciones

(Véanse Infracciones y sanciones y Procedimientos relativos al ejercicio de la potestad sancionadora.)

Secreto:

Del responsable del fichero, § 1, 10.

Estadístico, § 16, 13 a 19.

Servicios avanzados de telefonía, § 22, 69 a 80.

Servicios de telecomunicaciones:

Alcance y sujetos obligados, § 22, 62.

Ámbito de aplicación, § 22, 61.

Cifrado en las redes y servicios de telecomunicaciones, § 21 36.

Datos personales sobre el tráfico y la facturación, § 22, 65.

Derechos de los usuarios, § 21, 38.

Facturación desglosada, § 22, 66.

Guías de servicios de telecomunicaciones disponibles al público, § 21, 67.

Llamadas no solicitadas para fines de venta directa, § 22, 69.

Protección de datos de carácter personal, § 21, 34.

Redes de comunicaciones en el interior de los edificios, § 20, 37.

Régimen jurídico, § 22, 63.

Secreto de las comunicaciones, § 21, 32.

Servicios avanzados de telefonía:

Características técnicas, § 22, 80.

Código de selección de operador, § 22, 74.

Desvío automático de llamadas, § 19, 82.

Eliminación de la supresión en origen de la identificación de línea de origen, § 22, 77.

Filtrado en destino de llamadas sin identificación, § 22, 76.

Interceptación de las telecomunicaciones por los servicios técnicos , § 21, 35.

Responsabilidad de los operadores que tengan sus redes interconectadas, § 22, 81.

Supresión de la identificación de la línea conectada, § 22, 77.

Supresión en destino de la identificación de la línea de origen, § 22, 75.

Supresión en origen llamada a llamada de la identificación de la línea de origen, § 22, 72.

Supresión en origen por línea de identificación de la línea de origen, § 22, 73.

Supresión permanente en destino de la identidad de la línea de origen, § 22, 76.

Visualización y restricción de la línea de origen y conectada, § 22, 71.

Sistema de tratamiento:

Concepto a efectos de medidas de seguridad, § 2, 5. 2. n) .

Sistemas de información:

Concepto a efectos de medidas de seguridad, § 2, 5.2. m) .

Solvencia patrimonial:

Ficheros de prestación de servicios de información sobre, § 8, norma cuarta.

Soporte:

Concepto a efectos de medidas de seguridad, § 2, 5 . 2. ñ).

Gestión, § 2, 92.

Subcontratación, § 2, 21.

T

Telecomunicaciones

(Véase Servicios de telecomunicaciones.)

Tercero:

Concepto, § 2, 5.1. r) .

Transferencia internacional de datos:

Concepto, § 2, 5.1. s) .

De ficheros informáticos penitenciarios, § 20 , 7. 4.

Disposiciones generales:

Autorización y notificación, § 2, 66.

Cumplimiento de las disposiciones de la Ley Orgánica 15/1999, de 13 de diciembre, § 2, 65.

Procedimientos, § 2, 137 a 144.

Transferencias a Estados que proporcionen un nivel adecuado de protección:

Nivel adecuado de protección acordado por la Agencia Española de Protección de Datos, § 2, 67.

Nivel adecuado de protección declarado por Decisión de la Comisión Europea, § 2, 68.

Suspensión temporal de las transferencias, § 2, 69.

Transferencias a Estados que no proporcionen un nivel adecuado de protección:

Sujetas a autorización del Director de la Agencia Española de Protección de Datos § 2, 70.

Tratamiento de datos:

Concepto, § 1, 3. c); § 2, 5.1. t) .

Encargado del, § 1, 3. g).

Obligaciones previas, § 2, 52 y ss.

Tutela de derechos, § 2, 17.

U

Usuario:

Concepto a efectos de medidas de seguridad, § 2, 5.2. p) .

V

Videocámaras:

Utilización por Fuerzas y Cuerpos de Seguridad, § 19.

COLECCIÓN «TEXTOS LEGALES»

* CONSTITUCIÓN ESPAÑOLA. 15. a edición, abril 2010, 256 pp.

1. RÉGIMEN JURÍDICO Y ORGANIZACIÓN DE LA ADMINISTRACIÓN CENTRAL DEL ESTADO. 13. a edición, enero 1984 (agotado).

2. PROCEDIMIENTO ADMINISTRATIVO. 25. a edición, mayo 1991 (agotado).

3. PROCEDIMIENTO LABORAL. 18. a edición (en prensa).

4. IMPUESTO SOBRE TRANSMISIONES PATRIMONIALES Y ACTOS JURÍDICOS DOCUMENTADOS. 7. a edición, enero 2010, 194 pp.

5. ORGANIZACIÓN DEL PODER JUDICIAL. 5. a edición, marzo 2010, 1.152 pp.

6. SECTOR ENERGÉTICO. RÉGIMEN JURÍDICO. 5. a edición, abril 1995 (agotado).

7. ARRENDAMIENTOS RÚSTICOS. 14. a edición, diciembre 2010, 112 pp.

8. JURISDICCIÓN CONTENCIOSO-ADMINISTRATIVA. 23. a edición, agosto 2010, 424 pp.

9. IMPUESTOS SOBRE LA RENTA Y EL PATRIMONIO. 13. a edición, marzo 2002, 568 pp.

11. EXPROPIACIÓN FORZOSA. 13. a edición, enero 2005, 488 pp.

12. PROCEDIMIENTO ECONÓMICO-ADMINISTRATIVO. 11. a edición, febrero 2003, 208 pp.

13. CÓDIGO CIVIL. 27. a edición, julio 2008, 984 pp.

14. TRÁFICO, CIRCULACIÓN Y SEGURIDAD VIAL. 26. a edición, mayo 2010, 1.398 pp.

15. CÓDIGO DE COMERCIO. 25. a edición, abril 2008, 1.304 pp.

16. SOCIEDADES ANÓNIMAS. 18. a edición, septiembre 2009, 600 pp.

17. LEYES CIVILES FORALES. 14.ª edición, agosto 2008, 1.680 pp.

18. MONTES. RÉGIMEN JURÍDICO. 8.ª edición, julio 1993 (agotado).

19. LEY GENERAL PRESUPUESTARIA. 12.ª edición, (en prensa).

20. LEY DE RÉGIMEN LOCAL. 4.ª edición, abril 1984 (agotado).

21. REFORMA Y DESARROLLO AGRARIO. 2.ª edición, julio 1984 (agotado).

23. LEY Y REGLAMENTO HIPOTECARIOS. 14.ª edición, junio 2010, 764 pp.

24. CÓDIGO PENAL. 34.ª edición, enero 2011, 608 pp.

25. ACCIDENTES DEL TRABAJO. 8.ª edición, noviembre 1997, 672 pp.

26. ESTATUTO DE LOS TRABAJADORES. 12.ª edición, octubre 2010, 288 pp.

27. LEGISLACIÓN SOBRE GARANTÍAS MOBILIARIAS, 1.ª edición, mayo 2009, 256 pp.

28. FUNCIONARIOS CIVILES DEL ESTADO. 1.ª edición, 1964 (agotado).

29. LEY DE AGUAS. 12.ª edición, abril 2009, 912 pp.

30. PLANES Y FONDOS DE PENSIONES. 4.ª edición, septiembre 2006, 384 pp.

31. LEY GENERAL TRIBUTARIA. 20.ª edición, agosto 2008, 816 pp.

33. PESCA. RÉGIMEN JURÍDICO. 4.ª edición, febrero 1995, actualizada a marzo 1997, 728 pp.

34. ARRENDAMIENTOS URBANOS. 20.ª edición, junio 2009, 368 pp.

35. ENJUICIAMIENTO CIVIL. 20.ª edición, mayo 2010, 1.088 pp.

36. PATRIMONIO DE LAS ADMINISTRACIONES PÚBLICAS. 1.ª edición, enero 2011, 336 pp.

37. ACTIVIDADES MOLESTAS, INSALUBRES, NOCIVAS Y PELIGROSAS. 9.ª edición, febrero 1991, actualizada a abril 1997 (agotado).

38. CONTRATOS DEL SECTOR PÚBLICO. 3.ª edición, enero 2010, 1.184 pp.

39. TRIBUNAL DE CUENTAS. 2.ª edición, enero 2000, 576 pp.

40. ENJUICIAMIENTO CRIMINAL. 21.ª edición, julio 2010, 1.248 pp.

41. LEGISLACIÓN DE CONSUMO. 1.ª edición, enero 1992, actualizada a mayo 1997, 592 pp.

42. SEGURIDAD SOCIAL: RÉGIMEN GENERAL. 11.ª edición, septiembre 2008, 912 pp.

43. LEGISLACIÓN ESTATAL DE SUELO. 1.ª edición, septiembre 2009, 608 pp.

44. DEFENSOR DEL PUEBLO. 1.ª edición, septiembre 1991, actualizada a mayo 1995, 264 pp.

45. BIENES Y SERVICIOS DE LAS CORPORACIONES LOCALES. 1.ª edición, noviembre 1966 (agotado).

46. SEGURIDAD SOCIAL AGRARIA. 5.ª edición, julio 1982 (agotado).

47. VENTAS A PLAZOS. 8.ª edición, febrero 2002, 184 pp.

48. CORTES GENERALES. 3.ª edición, octubre 2003, 496 pp.

49. CONTRATACIÓN DE LAS CORPORACIONES LOCALES. 1.ª edición, diciembre 1967 (agotado).

50. VIVIENDAS DE PROTECCIÓN OFICIAL. 5.ª edición, marzo 1981 (agotado).

51. CÓDIGO ALIMENTARIO. 6.ª edición, junio 1991, 548 pp.

52. REGLAMENTO GENERAL DE RECAUDACIÓN. 9.ª edición, enero 2008, 320 pp.

53. PROPIEDAD HORIZONTAL. 23.ª edición, octubre 2008, 224 pp.

54. SERVICIO MILITAR Y OBJECIÓN DE CONCIENCIA. 6.ª edición, febrero 1997 (agotado).

55. RÉGIMEN JURÍDICO DE LA PUBLICIDAD. 3.ª edición, enero 1984 (agotado).

56. PROPIEDAD INTELECTUAL. 7.ª edición, abril 2008, 632 pp.

58. LEY GENERAL DE EDUCACIÓN. 4.ª edición, abril 1975 (agotado).

60. PELIGROSIDAD Y REHABILITACIÓN SOCIAL. 2.ª edición, enero 1975 (agotado).

61. REALES ACADEMIAS E INSTITUTO DE ESPAÑA. 3.ª edición, mayo 1996, actualizada a noviembre 1996, 208 pp.

62. REGISTRO CIVIL. 9.ª edición, septiembre 2006, 568 pp.

63. CÓDIGO DE JUSTICIA MILITAR. 1.ª edición, febrero 1976 (agotado).

64. INVERSIONES EXTRANJERAS EN ESPAÑA. 3.ª edición, noviembre 1989 (agotado).

65. COOPERATIVAS, SOCIEDADES LABORALES Y TRABAJO AUTÓNOMO. 8.ª edición, octubre 2009, 512 pp.

66. MINAS: RÉGIMEN JURÍDICO. 3.ª edición, noviembre 1994, 848 pp.

67. ARMAS Y EXPLOSIVOS. 3.ª edición, enero 1994 (agotado).

68. IMPUESTOS ESPECIALES. 3.ª edición, enero 1997, 340 pp.

69. TRIBUNAL CONSTITUCIONAL. 7.ª edición, noviembre 2007, 178 pp.

70. CONSEJO DE ESTADO. 5.ª edición, octubre 2005, 170 pp.

71. COSTAS Y PUERTOS. 2.ª edición, febrero 1990 (agotado).

72. SOCIEDADES DE RESPONSABILIDAD LIMITADA. 8.ª edición, enero 2009, 544 pp.

73. ESPACIOS NATURALES PROTEGIDOS. 2.ª edición, enero 1996 (agotado).

74. IMPUESTO SOBRE EL VALOR AÑADIDO. 4.ª edición, abril 2006, 664pp.

75. DERECHO A LA EDUCACIÓN Y SISTEMA EDUCATIVO. 2.ª edición, agosto 1989 (agotado).

76. PATRIMONIO HISTÓRICO ESPAÑOL. 3.ª edición, enero 2003, 696 pp.

79. SEGURIDAD PRIVADA. 10.ª edición, mayo 2010, 544 pp.

80. LEYES PENALES ESPECIALES. 1.ª edición, marzo 1993 (agotado).

81. IMPUESTO SOBRE SUCESIONES Y DONACIONES. 3.ª edición, septiembre 2004, 326 pp.

82. SEGURIDAD CIUDADANA. 2.ª edición, mayo 2001, 320 pp.

83. HACIENDAS LOCALES. 1.ª edición, agosto 1993 (agotado).

85. PUERTOS Y MARINA MERCANTE. 1.ª edición, enero 1994, 494 pp.

87. COSTAS. 2.ª edición (en prensa).

88. RÉGIMEN JURÍDICO DE LAS ADMINISTRACIONES PÚBLICAS Y DEL PROCEDIMIENTO ADMINISTRATIVO COMÚN. 19.ª edición, agosto 2010, 614 pp.

89. LEGISLACIÓN PENAL Y PROCESAL MILITAR. 1.ª edición, abril 1994, actualizada a noviembre 1995, 400 pp.

90. IMPUESTO SOBRE ACTIVIDADES ECONÓMICAS: TARIFAS E INSTRUCCIÓN. 5.ª edición, junio 2006, 464 pp.

91. FUNDACIONES. 4.ª edición, mayo 2006, 278 pp.

92. TELECOMUNICACIONES. 2.ª edición, agosto 2002, 824 pp.

93. GOBIERNO Y ADMINISTRACIÓN. 2.ª edición, mayo 1999, 168 pp.

94. LEGISLACIÓN DEL DEPORTE. 3.ª edición, junio 2003, 568 pp.

95. PREVENCIÓN DE RIESGOS LABORALES. 11.ª edición, marzo 2011, 1184 pp.

96. REGLAMENTO DE ARMAS. 4.ª edición, marzo 2009, 312 pp.

97. LEGISLACIÓN PENITENCIARIA. 5.ª edición, junio 2010, 360 pp.

98. TRATADOS DE LA UNIÓN EUROPEA: TEXTOS CONSOLIDADOS. 1.ª edición, marzo 2000, actualizada a mayo 2000, 1.176 pp.

99. PROTECCIÓN DE DATOS DE CARÁCTER PERSONAL. 5.ª edición, 15 abril 2011, 374 pp.

100. LEGISLACIÓN DE MARCAS. 1.ª edición, junio 2003, 280 pp.

101. LEGISLACIÓN DE PATENTES. 1.ª edición, agosto 2003, 336 pp.

102. LEGISLACIÓN DE EXTRANJEROS. 4.ª edición, marzo 2011, 776 pp.

103. DISEÑO INDUSTRIAL, 1.ª edición, mayo 2006, 252 pp.

104. LEY CONCURSAL. 3.ª edición, mayo 2010, 244 pp.

105. LEY DEL MERCADO DE VALORES. 2.ª edición, febrero 2008, 328 pp.

106. LEGISLACIÓN BÁSICA DEL EMPLEADO PÚBLICO. 1.ª edición, diciembre 2009, 616 pp.

107. ADMINISTRACIÓN ELECTRÓNICA. 2.ª edición, mayo 2010, 572 pp.

108. DERECHO CIVIL FORAL DEL PAÍS VASCO. 1.ª edición, abril 2009, 112 pp.

109. ORGANIZACIONES NO GUBERNAMENTALES DE DESARROLLO (ONGD), 1.ª edición, abril 2010, 572 pp.

Versión en catalán:

3. PROCEDIMENT LABORAL. 1.ª edició, octubre 2003, 286 pp.

8. JURISDICCIÓ CONTENCIOSA ADMINISTRATIVA. 1.ª edició, novembre 2001, 392 pp.

13. CODI CIVIL. 1.ª edició, desembre 2003, 920 pp.

34. ARRENDAMENTS URBANS. 1.ª edició, juliol 2006, 296 pp.

95. PREVENCIÓ DE RISCOS LABORALS. 1.ª edició, agost 2005, 829 pp.

Versión en gallego:

3. PROCEDEMENTO LABORAL. 1.ª edición, xullo 2008, 304 pp.

8. XURISDICCIÓN CONTENCIOSO-ADMINISTRATIVA. 2.ª edición, novembro 2008, 410 pp.

13. CÓDIGO CIVIL. 1.ª edición, marzo 2009, 944 pp.

24. CÓDIGO PENAL. 1.ª edición (en prensa).

26. ESTATUTO DOS TRABALLADORES. 1.ª edición, xaneiro 2008, 264 pp.

31. LEY XERAL TRIBUTARIA. 1.ª edición, febreiro 2009, 806 pp.

35. AXUIZAMENTO CIVIL. 1.ª edición, mayo 2009, 1.216 pp.

53. PROPIEDADE HORIZONTAL. 2.ª edición, agosto 2008, 350 pp.

88. RÉXIME XURÍDICO DAS ADMINISTRACIÓNS PÚBLICAS E DO PROCEDEMENTO ADMINISTRATIVO COMÚN. 2.ª edición, maio 2008, 664 pp.

95. PREVENCIÓN DE RISCOS LABORAIS. 2.ª edición, abril 2009, 1.048 pp.

104. LEI CONCURSAL. 1.ª edición, novembro 2008, 254 pp.