COMISION DE LAS COMUNIDADES EUROPEAS 
COM(92) 422 final- SYN 287 
Bruselas, 15 de octubre de 1992 
Propuesta modificada de 
DIRECTIVA DEL CONSEJO 
relativa a la protección de las personas físicas en lo que respecta 
al tratamiento de datos personales y a la libre circulación 
de estos datos 
(presentada por la Comisión en virtud del apartado 3 del 
artículo 149 del Tratado CEE) 
- 2 -
EXPOSICIÓN DE MOTIVOS 
PRESENTACIÓN GENERAL 
El 18 de julio de 1990, la Comisión presentó al Consejo un conjunto de 
propuestas, entre las que figuraban dos directivas y una decisión, 
destinadas a facilitar la libre circulación de datos en la Comunidad, 
garantizando un elevado grado de protección de las personas con respecto al 
tratamiento de datos personales e incrementando la seguridad de los 
tratamientos de datos, en vista sobre todo del desarrollo de las redes 
abiertas de telecomunicaciones. 
El Comité Económico y Social emitió su dictamen sobre estas propuestas el 
24 de abril de 1991 (Diario Oficial de 17 de junio de 1991). 
Siguiendo el procedimiento de cooperación, las comisiones del Parlamento 
Europeo estudiaron detenidamente estas propuestas. Tras debatir el informe 
de la Comisión Jurídica y de los Derechos de los Ciudadanos (cuyo ponente 
fue el Sr. Hoon) el 10 de febrero de 1992, el Parlamento adoptó por cuasi 
unanimidad,' el 11 de marzo de 1992, un dictamen favorable sobre las 
propuestas, tal y como las había modificado en muchos puntos. 
El Consejo adoptó la propuesta de decisión en materia de seguridad de los 
sistemas de información el 31 de marzo de 1992 (Diario Oficial de 5 de mayo 
de 1992) . 
La presente propuesta modificada tiene presente el dictamen del Parlamento 
Europeo. 
A.. Principales modificaciones 
1. Concepción de la protección 
La propuesta modificada contiene dos importantes enmiendas solicitadas 
por el Parlamento Europeo. Se refieren a: 
el abandono de la distinción formal entre las normas aplicables al 
sector público y al privado, 
la elaboración de disposiciones relativas a los procedimientos 
selectivos de notificación a la autoridad de control y a los 
códigos de conducta. 
Estas modificaciones tienen el mérito de indicar claramente que la 
protección debe ser la misma en todos los sectores afectados. 
Además, permiten soslayar el peligro de burocratización y contribuyen 
a la convergencia y equivalencia de los métodos encaminados a 
garantizar una protección efectiva en los Estados miembros, al aportar 
precisiones sobre el alcance de los procedimientos de notificación y 
- 3 -
sobre los cometidos de las autoridades independientes de control, en 
función del grado de riesgo que suponen los tratamientos de datos 
personales con respecto a los derechos y libertades de los 
interesados. 
2. Conceptos y definiciones 
La discusión sobre las enmiendas del Parlamento, cuyos objetivos son, 
por una parte, eliminar de la propuesta el concepto de fichero, por 
considerarse obsoleto y sin pertinencia a la luz del desarrollo de la 
automatización y de las telecomunicaciones y, por otra parte, incluir 
la recogida de datos en la definición del tratamiento de datos 
personales, ha llevado a proponer que el objeto de la regulación sea 
el tratamiento de datos personales. 
Esta modificación supone una ventaja doble: los principios de la 
protección que emanan de la Directiva no dependen de una tecnologia ni 
de una organización técnica especial; el concepto del tratamiento de 
datos permite elaborar un enfoque global, gracias al que la atención 
se centra en los datos utilizados y en el conjunto de las operaciones 
a que se refieren, en función de los objetivos perseguidos. 
Por otra parte, se juzgó necesario mantener y precisar el concepto de 
fichero, con objeto de ceñir el anujito de aplicación de la Directiva, 
cuando los tratamientos no están automatizados, a los datos personales 
contenidos en ficheros o que se incluirán en ellos. 
Por último, se añade una definición de los terceros a quienes se 
comunican datos personales. 
3. Ámbito de aplicación y exenciones especiales 
Para responder a las preocupaciones del Parlamento se proponen las 
siguientes modificaciones. Su objetivo es velar por los derechos y las 
libertades en cuestión y conciliarios, para garantizar la libre 
circulación de los datos. 
Las criticas sobre la no pertinencia de la disposición inicial, 
relr.civa a la exclusión del ámbito de aplicación, en determinados 
casos, de los tratamientos realizados por asociaciones sin ánimo de 
lucro, han llevado, de acuerdo con varias enmiendas del Parlamento 
relativas al tratamiento de datos especiales, a proponer que dichos 
tratamientos se incluyan en el ámbito de la Directiva, previendo al 
propio tiempo la exención particular a la obligación de 
notificación, necesaria para garantizar la libertad de opinión. 
- Sobre los tratamientos llevados a cabo con fines periodísticos, se 
propone sustituir la facultad por la obligación de que los Estados 
miembros concedan las exenciones necesarias para conciliar la 
protección de la intimidad de los interesados con la libertad de 
expresión. 
Sobre los tratamientos que no plantean riesgos especiales y que se 
llevan a cabo para responder, en particular, a obligaciones de tipo 
jurídico, se propone una exención a la obligación de notificación. 
4. Terceros países 
Para que no se dieran ambigüedades sobre el objetivo propuesto, se ha 
precisado la norma encaminada a evitar el riesgo de transgresión de la 
normativa comunitaria durante la transferencia de datos a terceros 
países, estableciendo la prohibición de efectuar dichas transferencias 
a terceros países que no garanticen el suficiente grado de protección. 
Para ello se han añadido criterios de evaluación de la idoneidad de 
dicha protección. Además, se prevén varias excepciones a este 
principio, en un reducido número de casos, para tener en cuenta 
situaciones cuya particularidad lo justifica. 
Β Estructura y contenido de la propuesta modificada 
Como ya se ha indicado, la propuesta se ha reestructurado para tener 
presente la supresión de la distinción formal entre sector público y sector 
privado, así como la elaboración de normas relativas a la notificación a 
las autoridades de control. La nueva estructura tiene también por objetivo 
destacar los diferentes elementos del mecanismo de protección. Por último, 
tiene er cuenta las críticas sobre las redundancias del texto inicial. La 
reestructuración de la propuesta afecta a las diposiciones de los capítulos 
II a VI de la propuesta inicial, que sr. reagrupan básicamente en un nuevo 
capítulo II, donde se recoge el conjunto de las condiciones generales para 
la licitud de los tratamientos de datos personales, modificándose su orden. 
No se modifica la estructura de los primitivos capítulos I, VII y 
siguientes. 
El capítulo II de la propuesta modificada está dividido en secciones, donde 
se exponen, sucesivamente, los principios que deben guiar el diseño y la 
realización de los tratamientos de datos personales (secciones 1, 2 y 3), 
los derechos de información, acceso y oposición del interesado (secciones 
4, 5 y 6), las obligaciones en materia de seguridad (sección 7) y los 
procedimientos de notificación a las autoridades de control (sección 8). 
La sección 1 se refiere a los principios comunes a las legislaciones de 
todos los Estados miembros y derivados de lo dispuesto por el Convenio 108 
del Consejo de Europa en materia de la calidad de los datos objeto de 
tratamiento. Corresponde al antiguo artículo 16. La inclusión, a petición 
del Parlamento, de la recogida de datos en el concepto de tratamiento ha 
obligado a realizar ciertas modificaciones en la redacción. Por otr ·< parte, 
se ha tenido presente la solicitud del Parlamento sobre el archivo ^e los 
datos destinados a la investigación científica. 
Entre los principios enumerados en la sección 1, el de la finalidad 
legítima de los tratamientos de datos personales se expone en la sección 2, 
relativa al fundamento de los tratamientos. En esta sección se recoge, 
aclarándola y conservando al propio tiempo su carácter general, la lista, 
incluida en los antiguos capítulos II y III, de las circunstancias 
alternativas en que pueden efectuarse los tratamientos. En esta relación se 
prevé que dichas circunstancias pueden ser, en especial, el consentimiento 
del interesado, la ejecución de un contrato concluido con el interesado, el 
cumplimiento de una obligación legal, etc. o para restablecer el equilibrio 
- 5 -
entre intereses enfrentados. Este "equlibrio entre intereses", que puede 
referirse a tratamientos muy diferentes, como los destinados a la 
prospección comercial o de datos para difusión, deberán efectuarlo los 
Estados miembros de acuerdo con procedimientos que ellos mismos determinen, 
teniendo en cuenta, en particular, los principios generales recogidos en la 
sección 1 y los derechos de los interesados. 
La sección 3 se refiere a las normas específicas que rigen los tratamientos 
relacionados con las libertades fundamentales. Esta sección trata, por una 
parte, de las normas que, remitiéndose al citado Convenio y al dictamen del 
Parlamento, recogido en parte, establecen una mayor protección de los datos 
especiales, es decir, relacionados especialmente con la libertad de 
opinión. Estas normas corresponden al antiguo artículo 17. Tienen presente 
las solicitudes del Parlamento, sobre todo en materia de tratamientos 
efectuados por asociaciones de tipo político o sindical, razón por la que 
entran, en la propuesta modificada, en el ámbito de aplicación de la 
Directiva, lo que permite garantizar los derechos de las personas ante 
dichos tratamientos y que los citados datos puedan circular libremente. Por 
otra parte, la sección 3 trata de las normas ya mencionadas y relativas a 
los tratamientos con fines periodísticos, normas cuyo objetivo consiste en 
conciliar esas dos libertades fundamentales que son la libertad de 
expresión y el derecho a la intimidar!. 
La sección 4 se refiere a las obligaciones del responsable del tratamiento 
en materia de información del interesado sobre los tratamientos llevados a 
cabo, obligaciones con las se quiere garantizar la transparencia de los 
tratamientos, contribuyendo así a aplicar el principio del tratamiento leal 
de los datos previsto en el Convenio 108 del Consejo de Europa y citado en 
la sección 1. La sección 4 corresponde a normas que figuraban en los 
antiguos capítulos II, III y IV y que se han vuelto a estructurar <·>η la 
propuesta modificada, para suprimir en particular las redundancias, que 
podían provocar problemas de interpretación. 
La sección 5 trata sobre el derecho de acceso y de rectificación de los 
interesados sobre los datos que les conciernen. Coincide con las 
correspondientes disposiciones del antiguo capítulo IV y recoge las 
enmiendas del Parlamento, que amplían a grandes rasgos el alcance de dicho 
derecho jen particular, el derecho del interesado a conocer el origen de 
los datos tratados y los argumentos utilizados para oponerle los resultados 
de los tratamientos automatizados). Las normas modificadas también tienen 
presente la solicitud del Parlamento de hacer extensiva al sector privado 
la posibilidad de limitar el ejercicio del derecho de acceso, y ello en las 
mismas condiciones que regían en un principio sólo al sector público. 
La sección 6 se refiere al derecho de oposición del interesado, por motivos 
legítimos. Recoge las correspondientes normas de los capítulos III y IV de 
la propuesta inicial. En ella se establece la obligación de ofrecer a los 
interesados la posibilidad de "opt out" antes de efectuar la comunicación 
de datos a terceros con fines de prospección por escrito. 
La sección 7 recoge, con varias modificaciones en la redacción, las normas 
sobre seguridad previstas en el antiguo capítulo V. 
- 6 -
La sección 8 desarrolla las normas iniciales sobre notificación. La 
finalidad del sistema de selección propuesto, inspirado en buena nieUiJa en 
las enmiendas del Parlamento, es garantizar la transparencia de los 
tratamientos y, en concreto, la determinación de sus fines, dirigiendo al 
propio tiempo la intervención de las autoridades de control sobre los 
tratamientos que exigen una atención especial, por comportar riesgos. Parte 
del principio de que todo tratamiento automatizado total o parcialmente 
debe notificarse a la autoridad de control. Dicha notificación puede 
referirse a un conjunto de tratamientos cuyos fines estén relacionados 
desde el punto de vista de su responsable y con respecto a los interesados. 
Por otra parte, se propone 'que, en función de su experiencia, los Estados 
miembros adopten medidas para eximir de la obligación de notificación a los 
tratamientos cuya realización no conlleve riesgo alguno para los derechos y 
libertades de los interesados, o para simplificar dicha obligación. Las 
medidas adoptadas enumeran los tratamientos concernidos y los requisitos 
para que se lleven a cabo. Por último, se propone que se pueda reconocer a 
las autoridades de control el derecho a examinar, antes de que se lleven a 
cabo, los tratamientos notificados. 
El capítulo III agrupa las normas de los capítulos IV y VII de la propuesta 
inicial relativas al recurso del interesado, a la responsabilidad y a las 
sanciones. Estas normas se han modificado para tener en cuenta el dictamen 
del Parlamento. 
El capítulo IV trata de las transferencias de datos personales a terceros 
países. Corresponde al antiguo capítulo VIII, modificado tal y como ya se 
ha indicado, y recoge las normas encaminadas a dotar a la Comunidad de una 
política común en este ámbito. 
El capítulo V se refiere a los códigos de conducta. Recoge las 
correspondientes normas del capítulo VI inicial y se inspira en el dictamen 
del Parlamento sobre su proceso de elaboración, en el que deben participar 
las autoridades de control independientes. Establece también la posibilidad 
de que los Estados miembros hagan participar a los sectores profesionales 
en la aplicación de la legislación mediante la elaboración de códigos de 
conducta nacionales. 
El capítulo VI trata de las autoridades nacionales de control y del Grupo 
de Protección de Datos encargado de contribuir a la aplicación homogénea de 
las normas nacionales de aplicación de la Directiva y de asesorar a la 
Comisión. Tal y como solicitó el Parlamento, se precisa la facultad de 
investigación de las autoridades nacionales. Se mantiene la composición 
inicial del grupo europeo para velar por su independencia, razón por la 
cual se prevé también que sea el grupo quien elija a su presidente. Se 
detallan las circunstancias en que deberá consultarlo la Comisión. 
El capítulo VII se refiere a las competencias de ejecución que el Consejo 
debería delegar en la Comisión. A este respecto, la Comisión mantiene su 
postura inicial, en contra de la opinión del Parlamento, por considerar que 
será necesario tomar medidas técnicas de aplicación, debido al alcance y al 
carácter técnico del ámbito del tratamiento de datos personales. 
- 7 -
Disposiciones finales: para responder a la solicitud del Parlamento, se 
establece un plazo de 3 años para la aplicación de las nuevas legislaciones 
nacionales a las condiciones prevalentes en cada país, plazo que se añadirá 
al de aplicación de la Directiva. 
- 8 -
COMENTARIOS SOBRE EL TÍTULO Y LOS CONSIDERANDOS 
TÍTULO 
Se han introducido dos precisiones en el título: 
se ha añadido la expresión "y a la libre circulación de datos" para 
puntualizar que el objetivo de la propuesta es la instauración y el 
funcionamiento del mercado interior, mediante una armonización que 
garantice la protección de las personas; 
para eliminar cualquier ambigüedad acerca del ámbito de aplicación de 
la propuesta, se precisa que la protección sólo recae sobre las 
personas físicas. 
CONSIDERANDOS 
La Comisión ha modificado los considerandos para incorporar las 
modificaciones introducidas a las disposiciones de la propuesta. 
Además, se pueden hacer las siguientes observaciones: 
el considerando ns 2 recoge el di''amen del Parlamento (enmienda ns 9) 
que recalca las ventajas que suponen los sistemas de tratamiento 
automatizado de datos cuando respetan los derechos de las personas y 
las libertades individuales; 
se ha considerado preferible incluir el considerando relativo al 
Convenio de 28 de enero de 1981 del Consejo de Europa (ns 10) entre 
los que tratan sobre la problemática de una política comunitaria en 
este ámbito, dado que la Directiva concreta los principios contenidos 
en el Convenio. En la propuesta inicial, este considerando (ns 22), 
cuyo texto no se ha modificado, estaba incluido en las disposiciones 
relativas a las transferencias de datos a terceros países; 
se incluye un nuevo considerando (ns 14), para resumir brevemente los 
principios de la protección, tal y como se expresan en los 
considerandos que le siguen; 
las modificaciones a los considerandos ns 4 (nuevo) y ns 5 se han 
realizado para reforzar la descripción de los hechos que debe.1 generar 
una iniciativa comunitaria, cuya importancia se destaca >?n los 
considerandos 7 y 8. 
_ 9 -
COMENTARIOS SOBRE LOS ARTÍCULOS 
CAPÍTULO I 
DISPOSICIONES GENERALES 
Articulo 1 
Objeto de la Directiva 
El primer articulo se consagra al objeto de la Directiva, que es el de 
garantizar la libre circulación de datos personales entre los Estados 
miembros merced a una armonización de las legislaciones nacionales: 
en virtud del apartado 1, los Estados miembros tienen la obligación de 
garantizar la protección de los derechos y libertades de las personas 
físicas, y en particular de su derecho a la intimidad, en lo referente 
al tratamiento de datos personales. (Esta terminología es la misma que 
la del primer artículo del Convenio 108 del Consejo de Europa); 
ya que, en virtud de la Directiva, la protección se garantizará de 
acuerdo con los mismos principios en todos los Estados miembros y será 
por lo tanto equivalente en todo territorio comunitario, éstos, con 
arreglo al apartado 2, no podrán restringir, en los ámbitos que cubre 
la Directiva, la circulación de los datos por motivos relacionadaos 
con la mencionada protección del interesado. 
De este modo, la propuesta permite, como solicitó el Parlamento (enmienda 
ns 10, segunda parte), conciliar los imperativos de la realización del 
mercado interior con los de la protección de las personas. 
Por otra parte, la enmienda n? 10 (primera parte) queda recogida en la 
propuesta modificada en la medida en que la noción de tratamiento, tal y 
como se define en la letra a) del artículo 2, cubre la recogida de datos. 
Artículo 2 
Def inicioies 
El objetivo de este artículo es definir los principales conceptos 
utilizados en la Directiva. Las definiciones recogen las del Convenio 108 
del Consejo de Europa, añadiendo sin embargo las adaptaciones y precisiones 
necesarias para garantizar una protección equivalente y de alto nivel en la 
Comunidad. 
a) "Datos personales". La propuesta modificada da cabida al deseo del 
Parlamento de adoptar la definición más general posible del concepto 
de "dato personal", con objeto de abarcar todos los datos que pueden 
relacionarse con una persona física (enmienda 12). En efecto, una 
- 10 -
persona puede identificarse bien de manera directa, mediante un 
nombre, bien de manera indirecta, mediante un número de teléfono, el 
código de su coche, de la seguridad social, del pasaporte o mediante 
un haz de rasgos distintivos, que permita aislarla en un grupo (edad, 
cargo desempeñado, dirección, etc.). La definición comprende también 
datos como la imagen y la voz, las huellas digitales y las 
caraterísticas genéticas. 
No se definen los datos anónimos, ya que este término no se utiliza en 
la Directiva. El anonimato de una información no depende ya asi del 
coste de retorno a la información original (enmienda 13). Sin embargo, 
cuando los datos se agregan en estadísticas, se ha considerado 
oportuno precisar que no puede considerarse que sean de índole 
personal, ya que no puede identificarse a los interesados. 
b) "Tratamiento de datos personales" (tratamiento). La definición 
escogida también propugna un ámbito de aplicación amplio, que permita 
garantizar la protección de las personas (enmienda 15), puesto que 
comprende los datos desde su recogida hasta su supresión, pasando por 
su organización, explotación, consulta, comunicación (por 
transmisión), difusión o cualquier forma de cesión (enmienda 16), 
interconexión y bloqueo. 
c) "Fichero de datos personales" (f:~hero). Se ofrece esta definición, 
que comprende tanto los ficheros automatizados como los no 
automatizados. Permite, en lo referente a los tratamientos de datos no 
automatizados, circunscribir el ámbito de aplicación de la Directiva a 
los datos estructurados para facilitar el acceso y la búsqueda de 
aquéllos que se refieran a personas físicas. De esta manera quedan 
excluidos los datos personales que no están organizados para su 
utilización en relación con los interesados. De hecho, estos datos no 
comportan los mismos riesgos para las personas y resulta más realista 
no someterlos a las mismas obligaciones. 
Para garantizar la protección de las personas, se precisa que los 
criterios de acceso deben tener "como objeto o efecto" facilitar la 
utilización o el cotejo de datos, para no obligar al interesado a 
revelar sus intenciones, lo que volvería muy delicada la aplicación de 
la normativa nacional. 
Por último, se da preferencia al concepto de "cotejo" frente al de 
"interconexión", ya que puede aplicarse tanto a los trabamientos 
automatizados como a los ficheros de papel. 
d) "Responsable del tratamiento". Esta definición se toma del concepto de 
"jefe del fichero" del Convenio 108 del Consejo de Europa. 
Dado que el objetivo principal de la Directiva es regular la 
utilización de los datos en función de los fines a que se destinan, 
resulta preferible referirse al concepto de responsable del 
tratamiento. 
Se trata de la persona responsable, en última instancia, de las 
opciones escogidas a la hora de determinar y llevar a cabo los 
tratamientos (en la mayoría de los casos, el jefe de empresa), y no 
-Il­
de las personas que efectúan las operaciones de tratamiento de acuerdo 
con las instrucciones del responsable, razón por la cual se indica que 
es el responsable quien decide "los objetivos" del tratamiento. Este 
punto se inspira en la enmienda 17. El responsable del tratamiento 
puede tratar los datos por sí mismo o hacer que los traten los 
miembros del personal a su cargo o el agente tratante, persona 
jurídicamente diferente del responsable pero que actúa por cuenta de 
él. 
e) "Agente tratante". Se trata de una definición útil, propuesta por el 
Parlamento (enmienda 18). 
f) "Terceros". Esta definición es resultado de una enmienda parlamentaria 
(ns 134), que fue alterada en la propuesta modificada con objeto de 
indicar claramente que no se consideran terceros ni el interesado ni 
el responsable del tratamiento ni las personas autorizadas a tratar 
los datos bajo su autoridad directa o actuando por cuenta propia, como 
ocurre con el agente tratante. 
Las personas que trabajan en otra empresa, aunque forme parte del 
mismo grupo o sociedad de cartera, deberían considerarse por lo 
general terceros. 
En cambio, las sucursales bancarias que efectúan tratamientos para la 
gestión de la clientela y que están situadas bajo la autoridad directa 
de la sede no deberían consider se terceros. Lo mismo puede decirse 
de los agentes de seguros; por el contrario, en lo que respecta a los 
representantes de seguros, la situación puede diferir en cada caso. 
g) "Consentimiento del interesado". En la propuesta inicial, la 
definición del consentimiento del interesado a un tratamiento de datos 
personales que le conciernen figuraba en el artículo 12, en el 
capítulo dedicado a los derechos de las personas. 
Este hecho provocó confusiones, pues varios sectores profesionales 
dedujeron que cualquier tratamiento exigía el consentimiento previo 
del interesado, cuando no se trata más que de uno de los supuestos 
para la licitud del tratamiento. 
Por consiguiente, parece más lógico que las disposiciones relativas al 
consentimiento figuren en el artículo 2 de la Directiva, con algunas 
modificaciones en la redacción tendentes a darle la forma de una 
definición. 
Se ha suprimido el adjetivo "expreso" como calificativo de 
consentimiento, con objeto de evitar que se pueda interpretar como la 
exigencia de un texto por escrito (procedimiento reservado a los datos 
especiales del artículo 8 de la propuesta modificada), sustituyéndose 
por la expresión "manifestación explícita de voluntad", que puede ser 
escrita u oral. 
En la propuesta modificada se señala que el consentimiento debe ser 
"libre", previéndose así los casos en que se pudiera ejercer una 
presión sobre el interesado (caso, por ejemplo, del trabajador con 
respecto a su empleador). 
- 12 -
Para que el interesado pueda apreciar los riesgos y las ventajas del 
tratamiento de datos que le conciernen y ejercer los derechos que le 
reconoce el artículo 13 de la propuesta de directiva (rectificación, 
supresión, bloqueo), el consentimiento deberá darse disponiéndose de 
la información suficiente, razón por la cual el responsable del 
tratamiento debe comunicar al interesado las informaciones que 
requiere, como el nombre y dirección del responsable del tratamiento 
o, en su defecto, de su representante (véase el apartado 2 del 
artículo 4), el objeto del tratamiento, los datos registrados, etc. 
El consentimiento del interesado debe ser específico, es decir, que 
debe referirse a un tratamiento de datos en concreto, que conciernan 
al interesado y que lleve a cabo un responsable determinado con fines 
determinados. 
El interesado puede revocar su consentimiento en cualquier momento. 
Sin embargo, esta revocación no tiene efectos retroactivos pues, de lo 
contrario, una tratamiento de datos que hubiera sido lícito se 
volvería ilícito retroactivamente. 
Se eliminan tres definiciones que figuraban en la propuesta original: 
la definición de la autoridad de control, por ser redundante con el 
artículo 32 de la propuesta modif;rada; 
las definiciones de sector público y sector privado, debido a la 
fusión de las disposiciones relativas a dichos sectores (véase el 
capítulo II de la propuesta modificada). 
Artículo 3 
Ámbito de aplicación 
El primer apartado de la propuesta modificada concilia los puntos de vista 
de quienes desean ceñirse, en informática, al concepto de "tratamiento 
automatizado" (ya que un tratamiento automatizado no implica necesariamente 
la existencia de un fichero) y de quienes no quieren que la Directiva 
comprenda cualquier tipo de datos, incluso no estructurados, que figuren 
sobre soporte papel. 
Por consiguiente, la propuesta modificada adopta criterios diferentes para 
delimitar el ámbito de aplicación de la Directiva, en función de que los 
datos sean o no objeto de tratamiento automatizado: sólo es aplicable al 
tratamiento no automatizado de datos si dichos datos están contenido."! en un 
fichero; en cambio, en materia informática, la definición supera el 
concepto de fichero, y la Directiva se aplica a cualquier tratamiento 
automatizado de datos, aunque dichos datos no estén contenidos en un 
fichero. 
En definitiva, se aplica a datos personales estructurados, bien por su 
organización en un fichero manual, bien mediante un tratamiento 
informático. 
- 13 -
Se hace referencia a los tratamientos automatizados "completamente o en 
parte" para recalcar que un tratamiento constituye un todo, incluso aunque 
sólo esté informatizada una parte de dicho tratamiento (el Indice, por 
ejemplo). 
El apartado 2 establece dos exenciones: 
- La primera afecta a los tratamientos efectuados para ejercer 
actividades que no figuran en el ámbito de aplicación del Derecho 
comunitario (como los servicios secretos). El ámbito de aplicación de 
la Directiva se define en relación con el ámbito de aplicación del 
Derecho comunitario, para permitirle evolucionar conjuntamente con 
éste. 
- La segunda exclusión se refiere a la utilización de datos en el 
ejercicio de actividades exclusivamente privadas, como por ejemplo la 
agenda electrónica (enmienda 22). 
- No se prevén más excepciones, ya que, en caso de eximir de cualquier 
obligación a grupos de organismos de diversa índole, los derechos de 
los ciudadanos acabarían por dejar de estar protegidos: si resulta 
legítimo simplificar el régimen aplicable a determinadas categorías de 
tratamientos de datos personales (véase la sección VIII del capítulo 
II, relativa a la notificación y en la que establecen posibilidades de 
exención o simplificación de las formalidades), no debe tratarse en 
cambio de una exención global. 
El caso particular de las asociaciones se aborda en el artículo que prevé 
excepciones en la recogida de datos especiales (artículo 8 de la propuesta 
modificada) . 
Artículo 4 
Derecho nacional aplicable 
Este artículo fija los criterios necesarios para determinar cuál es la 
legislación nacional aplicable a los tratamientos que entran dentro del 
ámbito de aplicación de la Directiva, con objeto de evitar: 
por una parte, que el interesado carezca de protección, en particular 
debido a una elusion de la legislación; 
por otra, que un mismo tratamiento se vea sometido a la aplicación de 
varias legislaciones nacionales. 
De acuerdo con la propuesta original, el lugar de localización del fichero 
determinaba la competencia territorial; este criterio no se ha recogido en 
la propuesta modificada, ya que la localización de un fichero o de un 
tratamiento serán a menudo imposibles de determinar. En efecto, éstos 
últimos podrían localizarse en múltiples puntos, estar repartidos entre 
varios Estados miembros, especialmente en el caso de las bases de datos y 
de las redes, fenómenos en constante expansión. 
Por consiguiente, de acuerdo con la propuesta modificada, el derecho 
aplicable se define por referencia al lugar de establecimiento del 
responsable del tratamiento. 
- 14 -
En caso de que el responsable del tratamiento no esté radicado en el 
territorio de la Comunidad, pero utilice medios, automatizados o no, para 
efectuar un tratamiento (terminales, cuestionarios, etc.), y localizados en 
el territorio de un Estado miembro, el derecho aplicable será el del Estado 
en cuyo territorio estén localizados dichos medios. Además, el responsable 
del tratamiento deberá nombrar a un representante radicado en dicho 
territorio, que quedará subrogado en sus derechos y obligaciones. 
En ese caso, será a este representante a quien le incumba la obligación de 
notificación (véase la sección VIII del capítulo II); de la misma manera, 
cualquier información de los interesados acerca del responsable del 
tratamiento prevista por la propuesta de directiva, deberá completarse 
mediante una información sobre su representante. 
La enmienda 24 se ha recogido en la medida en que suprime la referencia a 
una utilización esporádica, expresión que no remitía a nada en concreto y 
se habría interpretado por tanto de muy diferentes maneras. 
Además, debido a la elección del criterio del establecimiento del 
responsable del tratamiento, el desplazamiento temporal de un fichero no 
modifica el derecho aplicable. Por consiguiente, el apartado 3 del artículo 
4 de la propuesta inicial no se ha recogido. 
CAPÍTULO II 
CONDICIONES GENERALES PARA LA LICITUD DEL TRATAMIENTO DE DATOS PERSONALES 
La estructura de la propuesta modificada difiere de la de la propuesta 
inicial: en efecto, el nuevo capítulo II recoge el conjunto de principios, 
derechos y obligaciones que determinan la licitud de los tratamientos 
efectuados. De acuerdo con el dictamen del Parlamento, se han fusionado las 
disposiciones relativas al sector público y al sector privado. 
Artículo 5 
Este artículo recoge el apartado 2 del artículo 6 y los apartados 1 y 3 del 
artículo 8 de la propuesta inicial. 
Señala que los Estados miembros dispondrán que los tratamientos de datos 
sólo serán lícitos cuando se ajusten a lo dispuesto en el capítulo II, que 
constituye una unidad. 
Se menciona también, en último lugar, que los Estados miembros podrán 
precisar en su legislación en qué casos son lícitos los tratamientos, sin 
perjuicio de lo dispuesto en el capítulo II. Estas precisiones podrán 
consistir, por ejemplo, en determinar por sectores en qué casos debe 
prevalecer el interés legítimo del interesado (letra f) del artículo 7), 
las modalidades de acuerdo con las cuales se informará a los interesados 
(sección IV) o las condiciones de ejercicio del derecho de oposición 
(sección VI). Estas precisiones no podrán atentar contra el principio de la 
libre circulación de datos en el interior de la Comunidad. 
- 15 -
SECCIÓN I 
PRINCIPIOS RELATIVOS A LA CALIDAD DE LOS DATOS 
Articulo 6 
Este artículo recoge los principios esenciales del artículo 5 del Convenio 
108 del Consejo de Europa. 
Al tratarse de disposiciones relativas a los derechos fundamentales de las 
personas con respecto al tratamiento de la información, figuran al 
principio del capítulo dedicado a la licitud de los tratamientos. Resulta 
necesario remitirse a ellas para interpretar los siguientes artículos de 
este capítulo. 
Las disposiciones del artículo 6 recogen las del Convenio 108 del Consejo 
de Europa con ciertas modificaciones, encaminadas a adaptarlas a las 
definiciones escogidas en el artículo 2 (y, en particular, a la definición 
del tratamiento) y al ámbito de aplicación de la Directiva, que, 
contrariamente al Convenio 108, abarca tanto los tratamientos automatizados 
de datos contenidos en los ficheros como los no automatizados. 
La letra a) del artículo 6 establece que el tratamiento de datos personales 
deberá efectuarse de forma lícita y leal. Esta disposición afecta al 
tratamiento tal y como se define en la letra e) del artículo 2 y comprende 
así, como es natural, la recogida. 
La norma enunciada en la letra a) del artículo 6 excluye en particular la 
utilización de aparatos ocultos para obtener datos subrepticiamente y sin 
conocimiento del interesado, en concreto mediante escuchas telefónicas y 
otros medios, etc. Esta disposición prohibe asimismo que los responsables 
de los tratamientos realicen o utilicen tratamientos clandestinos sobre 
datos personales. 
La letra b) del artículo 6 enuncia el principio de la determinación de la 
finalidad de la recogida de datos (independientemente de que se realice con 
medios automatizados o no). De acuerdo con este principio, sólo se podrán 
conservar datos personales para fines determinados, explícitos y legítimos. 
El objeto de la recogida de datos personales debe determinarse, esto es, la 
finalidad de la recogida y utilización de los datos deberá definirse de la 
manera más precisa posible. Una definición o descripción vagas del objeto 
del tratamiento ("con fines comerciales", por ejemplo) no será acorde con 
el principio de la definición de la finalidad enunciada en la letra b) del 
artículo 6. 
Es necesario precisar la finalidad del tratamiento antes de efectuar la 
recogida de los datos. En caso de que los datos se recaben del propio 
interesado, el artículo 11 establece que la finalidad deberá haberse 
determinado antes de que se realice la recogida. 
Una modificación posterior de la finalidad de un tratamiento sólo será 
legítima en la medida en que sea compatible con la finalidad inicial. 
- 16 -
La letra b) del articulo 6 obliga también al responsable del tratamiento a 
determinar la finalidad de la conservación y registro de los datos. 
En la medida en que la finalidad de la conservación y utilización de datos 
personales debe ser legítima, las finalidades potenciales de un tratamiento 
son limitadas. Dicho tratamiento sólo puede crearse y utilizarse para un 
objeto que se ajuste a las disposiciones de la Directiva y de las 
legislaciones nacionales de los Estados miembros. 
La letra c) del artículo 6 estipula que los datos deberán ser adecuados, 
pertinentes y no excesivos con relación a los fines que se persiguen. Este 
principio implica que la naturaleza de los datos debe corresponderse con el 
objetivo perseguido. 
Lo dispuesto en la letra d) del artículo 6 está estrechamente relacionado 
con lo que establecen las letras b) ye) del apartado 1 del artículo 6. Los 
datos deben ser exactos y, cuando sea necesario, deben actualizarse. En 
caso de que hubiera datos incorrectos o incompletos con respecto a los 
fines para los que fueron recogidos, la letra d) del artículo 6 prevé que 
se supriman o rectifiquen. 
La letra e) del artículo 6 se refiere a la duración máxima de conservación 
de datos personales. De acuerdo con ella, su conservación en una forma que 
permita la identificación del interesado sólo queda autorizada durante el 
periodo que sea necesario para alcanzar los fines para los que se 
registraron los datos. 
Sin embargo, en determinados casos y tras cierto plazo, si un tratamiento 
ha dejado de ser un instrumento de gestión, puede ser necesario conservarlo 
por motivos históricos o de investigación, por ejemplo. La letra e) del 
artículo 6 precisa por ello que, de conformidad con el dictamen del 
Parlamento (enmienda ns 60), los Estados miembros podrán prever garantías 
apropiadas para los datos archivados por motivos históricos, estadísticos o 
científicos, para conciliar el principio estricto de la finalidad con el 
derecho al olvido y, por otra parte, satisfacer las exigencias de la 
investigación. 
El apartado 2 del artículo 6 obliga al responsable del tratamiento a 
garantizar el respeto de las disposiciones sobre la calidad de los datos 
establecidas en el apartado 1. 
SECCIÓN II 
PRINCIPIOS RELATIVOS AL TRATAMIENTO DE DATOS 
Articulo 7 
El artículo 7 agrupa las condiciones de licitud del tratamiento de datos 
personales que, en la propuesta inicial, figuraban en los artículos 5, 6 y 
8, y las presenta de una nueva manera simplificada. 
- 17 -
Se recoge la supresión de la distinción entre sector público y sector 
privado propuesta en las enmiendas parlamentarias nog27, 28 y 29. 
El texto no hace ninguna referencia especial al tratamiento de datos con 
fines distintos a aquellos para los que se realizó en un principio (antigua 
letra b) del apartado 1 del artículo 5), ni a criterios de legitimidad de 
la comunicación de datos personales (antiguos artículo 6 y apartado 2 del 
artículo 8). Se consideran suficientes el principio general de la 
compatibilidad de los objetivos (letra b) del apartado 1 del artículo 6 
modificada) y las condiciones estipuladas en el artículo 7. 
Con todo, las condiciones especiales propuestas por las enmiendas 30 y 32 
sólo se han recogido de manera parcial y previa modificación del texto. 
El consentimiento ya no se considera el criterio principal ni se establecen 
excepciones, sino que se convierte en una condición más (letra a) del 
artículo 7, modificada). 
En lugar de hacerse referencia a una "relación de confianza cuasi 
contractual", expresión que muchos han juzgado vaga o incluida en la de 
"relación contractual" o de "interés legítimo" (nueva letra f) del artículo 
7), se ha incluido la de "medidas previas a la celebración del contrato y 
tomadas como respuesta a una solicitud del interesado", para contemplar la 
situación anterior a la creación de una relación contractual (nueva letra 
b) del artículo 7). 
Se conserva el tratamiento realizado a raíz de una obligación impuesta por 
el Derecho nacional o comunitario (nueva letra c) del artículo 7). 
Lo mismo puede decirse de las letras e) y, en parte, f), del nuevo artículo 
7. 
Se ha añadido la letra d) para regular los casos en que el interesado tenga 
un interés vital en el tratamiento de sus datos personales, pero no esté en 
condiciones de dar su consentimiento (por ejemplo, en caso de enfermedad 
grave). 
La letra f) -motivada en parte por la enmienda parlamentaria ns 32-
constituye un desarrollo de la antigua letra c) del apartado 1 del artículo 
8, para contemplar el hecho de que puede resultar necesario tener presentes 
importantes intereses legítimos diferentes de los del responsable del 
tratamiento y del interesado. Se ha suprimido la letra b) del apartado 1 
del artículo 8, pues la Comisión ha constatado que, en determinados casos, 
algunas fuentes de acceso público general pueden contener datos personales 
especiales. Además, en la mayoría de los casos, los datos han sido tratados 
con fines específicos y, por consiguiente, no deberían utilizarse con otro 
objeto sin tener en cuenta las demás disposiciones de la Directiva. 
- 18 -
SECCIÓN III 
CATEGORÍAS ESPECIALES DE TRATAMIENTOS 
Articulo 8 
Este artículo corresponde al antiguo artículo 17. 
Se suele admitir que el derecho a la intimidad está amenazado no por el 
contenido de los datos personales, sino por el contexto en que se sitúa el 
tratamiento de dichos datos. Existe sin embargo un amplio consenso entre 
los Estados miembros sobre el hecho de que ciertas categorías de datos, 
debido a su contenido, suponen un riesgo de violación del derecho a la 
intimidad de los interesados. El artículo 8 de la propuesta de directiva 
plantea así límites estrictos al tratamiento y a la explotación de las 
siguientes categorías de datos especiales: origen racial (incluida la 
información sobre el color de la piel); opiniones políticas, creencias 
religiosas, convicciones filosóficas y morales, incluida la falta de 
creencia religiosa (estas categorías engloban informaciones sobre las 
actividades del interesado en el terreno político, religioso o filosófico); 
la afiliación sindical; la salud del interesado (incluidas la información 
sobre su estaçlo físico o mental en el pasado, presente y futuro, así como 
sobre el abuso de drogas y de alcohol); la vida sexual. Las creencias no 
religiosas o filosóficas también pueden constituir datos especiales, por lo 
que se ha añadido el concepto de "convicciones morales". 
El antiguo artículo 17 ha sido modificado y reestructurado para dar cabida 
a varias observaciones realizadas por el Parlamento (enmiendas 63, 149 y 
65) . 
El apartado 1 dispone que, por regla general, el tratamiento de datos 
especiales (informático o no automatizado, tal y como lo solicitó el 
Parlamento en su enmienda 63) está prohibido. 
El apartado 2 contempla varias excepciones a esta regla general: 
en lugar de subordinar el tratamiento de dichos datos a la condición 
general de un "acuerdo libre, expreso y por escrito", que puede gozar 
de excepciones, se ha considerado más conveniente que este acuerdo 
constituya una de las excepciones a la prohibición general de tratar 
dichos datos; 
- el tratamiento de estos datos lo pueden efectuar fundaciones o 
asociaciones de carácter político, filosófico, religioso o sindical, 
para la consecución de sus objetivos legítimos, pero siempre que se 
refiera exclusivamente a los miembros y corresponsales de la fundación 
o asociación que hayan consentido en participar y que los datos no se 
comuniquen a terceros. Se trata de una función juzgada necesaria en 
- 19 -
las sociedades democráticas. Estos tratamientos están asimismo exentos 
de la obligación de notificación prevista en el capítulo VIII de la 
propuesta modificada, de conformidad con la solicitud del Parlamento 
(enmienda 149); 
el tratamiento podrá realizarse cuando sea en circunstancias tales que 
resulte manifiesto que no causa perjuicio a la intimidad ni a las 
libertades del interesado. Pueden darse como ejemplo los datos de tipo 
político sobre una personalidad pública, la recogida, por un periodo 
breve y en condiciones estrictas de seguridad, de los nombres de las 
personas sometidas a una encuesta. 
El apartado 3 recoge el apartado 2 del artículo 17 de la propuesta inicial, 
que establecía excepciones "por motivos importantes de interés público". En 
particular, estas excepciones deberían concederse a organismos 
internacionales de defensa de los derechos humanos cuyas actividades 
requieran tales datos, siempre que ofrezcan las suficientes garantías. 
El dictamen del Parlamento (enmienda 65), que establecía que los datos 
relativos a las condenas penales sólo podrían conservarlos las autoridades 
judiciales, se recoge en parte en el apartado 4 de este artículo. Se ha 
considerado que, además de las autoridades judiciales, también deberían 
poder poseerlos las personas directamente afectadas por las deciciones 
judiciales en cuestión o sus representantes. Dado el carácter 
particularmente delicado de estos datos, se ha considerado que las 
excepciones sólo podrían otorgarse mediante disposiciones legislativas en 
las que se establezcan las garantías apropiadas (nuevo apartado 4 del 
artículo 8). 
La letra a) del apartado 3 propuesta (dictamen del Parlamento, enmienda η s 
65, segunda parte), en la que se solicita a los Estados miembros que 
determinen las condiciones en las que podrá utilizarse un número nacional 
de identificación, en caso de que exista, o cualquier otro identificador de 
carácter general, se ha aceptado y recogido en el apartado 5. 
Artículo 9 
Tratamientos realizados por la prensa 
Este artículo corresponde al antiguo artículo 19. Se insta a los Estados 
miembros a que establezcan, para los organismos de prensa y del sector 
audiovisual, excepciones a las disposiciones de la Directiva, en la medida 
en que sean necesarias para conciliar los derechos fundamentales del 
individuo, y en particular el derecho a la intimidad con la libertad de 
expresión, pues hay un riesgo de conflicto entre ambas categorías de 
derechos fundamentales. El enfoque escogido hace hincapié en la obligación 
de sopesar los intereses en conflicto, teniéndose en particular presente la 
posibilidad o no de que el interesado solicite sanciones o ejerza el 
- 20 -
derecho de recurso, la existencia de un código de ética profesional, los 
límites marcados por el Convenio Europeo de Derechos Humanos y los 
principios generales del Derecho. 
Teniendo en cuenta el texto inicial y por motivos de armonización, las 
excepciones concedidas a los organismos de prensa y del sector audiovisual, 
así como a los periodistas (mención que se añade al texto inicial), son 
obligatorias para los Estados miembros. Se precisa que dichas excepciones 
sólo conciernen a los tratamientos efectuados para usos periodísticos. En 
el término "periodista" se incluye a los reporteros y fotógrafos, así como 
a los autores y biógrafos. 
SECCIÓN IV 
INFORMACIÓN AL INTERESADO 
La sección IV agrupa todas las disposiciones relativas a la información al 
interesado que estaban desperdigadas en la propuesta inicial (artículos 9, 
13, apartado 3 del artículo 14). 
Artículo 10 
Información sobre la existencia de un tratamiento 
Este artículo corresponde al antiguo apartado 3 del artículo 14, que 
establecía el derecho del interesado a "conocer la existencia de un 
fichero, sus fines principales, así como la identidad del responable del 
fichero, su residencia habitual, su sede y el organismo para el que 
trabaja". 
Se han añadido al texto inicial las modificaciones citadas a continuación. 
El derecho a ser informado puede ejercerse previa solicitud. Se ha 
sustituido "su residencia habitual, su sede y el organismo para el que 
trabaja" por "el nombre y la dirección del responsable del tratamiento o, 
en su defecto, de su representante", información juzgada suficiente para el 
ejercicio por el interesado de sus derechos. Por considerarse que los 
terceros a quienes se comunican los datos y las categorías de datos 
utilizadas para el tratamiento son de igual importancia, se han añadido a 
la información que el interesado tiene derecho a obtener. 
Los Estados miembros pueden prever excepciones a este derecho de 
información por los motivos y en las condiciones indicados en el apartado 1 
del artículo 14 (seguridad nacional, defensa, orden público, etc.). 
- 21 -
Articulo 11 
Información al interesado durante la recogida de datos 
Este artículo, que garantiza a las personas de las que se recaban datos 
personales el derecho a determinada información específica, corresponde al 
antiguo artículo 13. 
La recogida legítima y leal de datos personales presupone que el interesado 
decida divulgar o no los datos que le conciernen, basándose en un 
conocimiento fiable de la finalidad del tratamiento, el carácter 
obligatorio o facultativo de la obligación de divulgar los datos en 
cuestión y todas las consecuencias que podrían derivarse de una ausencia de 
respuesta. Para que pueda ejercer sus derechos y controlar con eficacia la 
utilización de los datos que le conciernen, debe asimismo estar informado 
acerca de su derecho de acceder a los datos que le conciernen y de sus 
destinatarios. 
Se han añadido las siguientes modificaciones al texto original: 
En el título se indica que el artículo se aplica en caso de que los 
datos se recaben del interesado. 
Así queda confirmado en el apartado 1, donde se expone claramente que, 
cuando los datos se recaban de los interesados, el hecho de obtener la 
información no es sólo un derecho del interesado (ejercido previa 
solicitud), sino una obligación del responsable del tratamiento. La 
aplicación de este artículo dependerá de las circunstancias en que se 
produzca la recogida. 
Al igual que en la propuesta inicial (apartado 2 del artículo 15), el 
apartado 2 del artículo 11 autoriza a los Estados miembros a limitar 
la obligación de informar al interesado por motivos de interés 
superior. De acuerdo con esta disposición, la obligación de ofrecer 
las informaciones mencionadas en el apartado 1 del artículo 11 no se 
aplica cuando la información del interesado impediría el ejercicio de 
las funciones de control y verificación de una autoridad pública o el 
mantenimiento del orden público. 
Artículo 12 
Información en caso de comunicación a un tercero 
Este artículo corresponde al artículo 9 del texto inicial. Con objeto de 
permitir al interesado el ejercicio de sus derechos, el apartado 1 exige 
del responsable del tratamiento que garantice que se informe al 
- 22 -
interesado de la comunicación que le concierne. El interesado puede de este 
modo ejercer su derecho de acceso y oponerse a que se continue realizando 
el tratamiento en cuestión. 
Se recoge en parte la enmienda 35, en cuanto se refiere a las disposiciones 
de la enmienda 32 que se han adoptado. Así, la antigua letra a) del 
apartado 2 del artículo 8, que figuraba en la enmienda ns 35, corresponde a 
la nueva letra c) del artículo 7, así como al artículo 13 modificado; la 
letra e) del apartado 2 del artículo 8 corresponde a la letra b) del 
artículo 7 y la letra g) del apartado 2 del artículo 8 corresponde en parte 
a la letra f) del artículo 7. 
El derecho del interesado a oponerse al tratamiento (así como a la 
comunicación) lo regula la sección VI y, en particular, los artículos 15 y 
16 del texto modificado. El artículo 15 modificado se inspira del espíritu 
del apartado 3 de la enmienda ns 35 (sin hacer referencia sin embargo al 
concepto de "agente", que es inútil y podría resultar ambiguo). 
El texto modificado no hace distinción entre el sector público y el sector 
privado (la obligación de informar de toda comunicación se aplicaba en el 
texto inicial sobre todo al sector privado). 
El texto no menciona la "consulta en línea", dado que está comprendida en 
el concepto de comunicación. La obligación de informar no se aplica: 
cuando la comunicación es necesaria para la salvaguarda del interés 
vital del interesado (en tal caso, la información puede resultar 
imposible o contraria a los intereses de la persona concernida); 
cuando ya se ha señalado al interesado la comunicación o la 
posibilidad de comunicación; 
cuando se impone la comunicación en virtud de una ley que prevé una 
excepción a la obligación de informar al interesado; 
cuando la comunicación está motivada por una de las razones enumeradas 
en el apartado 1 del artículo 14 (seguridad nacional, defensa, orden 
público, etc. ) . 
Además de la finalidad del tratamiento, de las categorías de datos tratados 
y del nombre y dirección del responsable del tratamiento (o de su 
representante), se ha considerado necesario informar también al interesado 
sobre los destinatarios o categorías de destinatarios y la existencia de su 
derecho de acceso, rectificación y oposición. 
El apartado 3 del artículo 12 modificado corresponde al artículo 10 del 
texto inicial, que se refería a las exenciones a la obligación de informar 
al interesado (cuando dicha información resultara imposible, o exigiera 
esfuerzos desproporcionados, o se enfrentara a intereses legítimos 
\ 
i 
J 
- 23 -
predominantes del responsable del fichero o a un interés semejante de un 
tercero). Se ha añadido que, cuando autoriza una excepción, la autoridad de 
control debe prever las garantías apropiadas, cuando resulte necesario 
(para velar por que la falta de información no suponga menoscabo de los 
derechos y libertades del interesado). 
Debería utilizarse la facultad de conceder excepciones a la obligación de 
informar al interesado, en particular en lo referente a las asociaciones de 
defensa de los derechos humanos y a las organizaciones humanitarias, para 
no estorbarlas en sus actividades legítimas. 
Artículo 13 
Derecho de acceso 
Este artículo contiene las disposiciones del artículo 14 inicial, que 
concierne el derecho del interesado a acceder a sus propios datos 
personales y el derecho complementario a obtener la rectificación, 
supresión o bloqueo de dichos datos (apartados 4 y 7). Tal y como lo hacía 
el apartado 4 del artículo 4 del texto inicial, el apartado 1 del artículo 
13 modificado confiere al interesado el derecho de obtener, con una 
frecuencia razonable y sin gastos ni esperas excesivos, la confirmación de 
la existencia o inexistencia de datos personales que le conciernen y, en 
caso afirmativo, la comunicación de estos datos en forma inteligible. 
Es a los Estados miembros a quienes incumbe precisar cómo deben ofrecerse 
estas informaciones al interesado, para garantizar por ejemplo que los 
datos se divulguen exclusivamente al interesado o facilitar el ejercicio 
del derecho de acceso, tanto para el responsable del tratamiento de datos 
como para el interesado, cuando se han realizado varios tratamientos, en 
particular en el caso de los ficheros manuales. Incumbe asimismo a los 
Estados miembros determinar en su legislación la expresión "frecuencia 
razonable". Teniendo presentes los intereses del interesado y los del 
responsable del tratamiento, los legisladores de los Estados miembros 
pueden prever que el responsable del tratamiento no pueda exigirle al 
interesado que ejerce su derecho de acceso una remuneración superior al 
coste real. El derecho percibido no debe ser excesivo. 
El apartado 1 del artículo 13 (antiguo apartado 4 del artículo 14) se ha 
modificado para tener en cuenta la enmienda na 48, que se ha recogido en 
parte. El derecho de acceso puede ejercerse previa solicitud. El interesado 
tiene derecho a obtener información sobre el origen (pero no el origen en 
general, lo que resultaría demasiado vago y, por consiguiente, inútil) y 
sobre la utilización en general (y no la utilización puntual, lo que podría 
resultar demasiado pesado y burocrático) de los datos personales en 
cuestión. Este artículo permite además a los Estados miembros crear una 
norma especial relativa al ejercicio del derecho de acceso del interesado a 
- 24 -
los datos de tipo médico. Para proteger al interesado de cualquier 
conmoción que pudiera tener graves repercusiones psicológicas, esta 
información se la puede ofrecer un médico. 
El apartado 2 del artículo 13 se ha añadido para introducir en el texto la 
enmienda 132. Previene los abusos en el ejercicio del derecho de acceso que 
pudieran cometerse en menoscabo de los intereses legítimos del interesado 
(ejemplo que dio el Parlamento: el interesado no debe ser obligado por un 
tercero a ejercer su derecho de acceso como condición previa a su 
contratación o a la conservación de su puesto de trabajo). Sin embargo, sí 
se permite el acceso como respuesta a la solicitud de un tercero, siempre 
que esté basada en la normativa nacional o comunitaria (ejemplo: 
certificado de estado civil, etc. necesario para determinar los derechos a 
diferentes prestaciones sociales). 
El apartado 3 del artículo 13 (antiguo apartado 5 del artículo 14) concede 
a los interesados el derecho de obtener, en cada caso, la rectificación, 
supresión o bloqueo de los datos, cuando su tratamiento sea incompatible 
con la Directiva. El texto inicial del apartado 5 se ha modificado 
ligeramente, con objeto de que correspondiera con mayor precisión a los 
deseos del Parlamento (enmienda 46). 
Asimismo, se ha adoptado en parte la enmienda ns 49. Los datos "omitido 
completamente o en parte" se llaman "datos incompletos" y se incluyen en el 
apartado 3 del artículo 13 modificado. Por otra parte, los términos "en su 
caso" y "supresión" son útiles en este contexto y, por lo tanto, se han 
conservado en el texto modificado. 
La fórmula utilizada en la Directiva ("en su caso") deja a la legislación 
de cada Estado miembro en materia de protección de datos la tarea de 
adaptar los derechos del interesado sobre supresión, bloqueo o 
rectificación a las diferentes situaciones en las que se tratan y explotan 
datos personales incumpliendo esta Directiva. 
El apartado 4 del artículo 13 corresponde al antiguo apartado 7 del 
artículo 14. Este apartado protege los intereses del interesado al prever 
que los terceros a quienes se hayan transmitido datos tratados de manera 
incorrecta o ilegítima reciban una notificación de la rectificación, 
supresión o bloqueo de los datos, con objeto de que puedan rectificar, 
suprimir o bloquear a su vez los datos en cuestión. 
El apartado 5 del artículo 13 se ha añadido a título de garantía 
suplementaria en el caso de decisiones tomadas por un sistema automatizado 
y que dé resultados contrarios a los intereses del interesado. En tal caso, 
el interesado tiene el derecho de conocer los razonamientos utilizados en 
los tratamientos en cuestión. 
- 25 -
Articulo 14 
Excepción al derecho de acceso 
Este artículo corresponde al antiguo artículo 15. Autoriza a los Estados 
miembros a limitar los derechos de acceso de los interesados para proteger 
un interés público superior o el interés de un particular que equivalga al 
derecho privado del interesado. 
Corresponde a los Estados miembros decidir en qué medida deben incluir en 
su legislación nacional relativa a la protección de datos excepciones 
basadas en el artículo 14, salvo en el caso en que una obligación que emane 
del Derecho comunitario (por ejemplo, en materia de control bancario o de 
blanqueo de capitales) no haga obligatorias dichas excepciones. Sin 
embargo, las excepciones enumeradas en esta disposición se limitan a 
aquellas que son necesarias para la salvaguarda de los valores 
indispensables para una sociedad democrática y que deben adoptarse en la 
legislación nacional. 
Se ha adoptado la enmienda ns 54. El artículo 14 modificado no se aplica 
tan sólo al tratamiento efectuado por el sector público, sino que puede 
afectar igualmente a un tratamiento realizado por el sector privado. 
La relación de los intereses que deben salvaguardarse, ofrecida en el 
apartado 1 y que justifica una limitación del derecho de acceeo en virtud 
del artículo 14 de la Directiva, es exhaustiva. 
Por "seguridad del Estado" hay que entender la protección de la soberanía 
nacional contra amenazas internas y externas. 
Las "actuaciones penales" abarcan las actuaciones contra delitos que ya se 
habían cometido, mientras que el concepto de "seguridad pública" comprende 
todas las funciones policiales de los órganos del Estado, incluida la 
prevención del crimen. La expresión "un interés económico y financiero 
imperativo debidamente justificado de un Estado miembro o de la Comunidad 
Europea" se refiere a todas las medidas de política económica y a los 
medios de financiación de las políticas de un Estado miembro o de la 
Comunidad, como por ejemplo el control de los cambios, del comercio 
exterior o la recaudación fiscal. No obstante, este interés debe ser 
imperativo para justificar una limitación del derecho de acceso. 
Por último, el interés de otra persona, incluido en su caso el del propio 
responsable del tratamiento, al equivaler al derecho de acceso del 
interesado, así como los derechos y libertades de los terceros, se 
consideran motivos válidos para limitar el derecho de acceso. Estos 
intereses comprenden: los secretos de negocios de terceros; las normas del 
secreto profesional a que están sometidas las profesiones jurídicas o 
médicas; el derecho de un tercero a elaborar su propia defensa en litigios; 
la protección de los derechos humanos. Por ello deberían conceder las 
autoridades de control excepciones al derecho de acceso de los interesados 
a datos que les conciernen y que están en posesión de asociaciones de 
- 26 -
defensa de los derechos humanos, puesto que si el acceso fuera ilimitado 
podría poner en peligro a otros particulares (por ejemplo, en el caso de 
fuentes de información confidenciales) o los intereses vitales de dichas 
organizaciones. 
Si el interesado no puede tener acceso a datos que le conciernen y que 
figuran en un fichero, debido a la protección de un interés cubierto por el 
apartado 1 del artículo 14, el apartado 2 del artículo 14 prevé que la 
autoridad de control debe, previa solicitud, proceder a las verificaciones 
y a los controles necesarios del fichero en el que figuran los datos en 
cuestión (como se preveía en el antiguo apartado 2 del artículo 15). El 
objeto de este control es el de verificar la licitud de los tratamientos 
con relación a los criterios que plantea esta Directiva. Al efectuar este 
control, la autoridad deberá evitar atentar contra los intereses cuya 
salvaguarda contempla el apartado 1. 
El apartado 3 del artículo 14 autoriza (al igual que el antiguo apartado 3 
del artículo 15) a los Estados miembros a limitar el derecho de acceso del 
interesado a datos que se traten temporalmente con fines estadísticos, ya 
que dichas operaciones no constituyen un riesgo importante para el 
interesado. 
SECCIÓN VI 
DERECHO DE OPOSICIÓN DEL INTERESADO 
Artículo 15 
Oposición por motivos legítimos 
Con arreglo al apartado 1 del artículo 15, que recoge el apartado 1 del 
artículo 14 de la propuesta inicial, el interesado tiene el derecho de 
oponerse, por motivos legítimos, a que los datos personales que le 
conciernan sean objeto de tratamiento. Los motivos legítimos en cuestión 
pueden ser la falta de justificación legal de un tratamiento determinado de 
datos personales, por ejemplo porque no se cumplan las condiciones 
previstas por el capítulo II de la Directiva sobre la licitud de dicho 
tratamiento. En cambio, un interesado no podría oponerse legítimamente a un 
tratamiento lícito y necesario para la ejecución de un contrato que lo 
vincula con el responsable. 
El apartado 2 recoge el apartado 3 del artículo 9 de la propuesta inicial. 
Precisa que, en caso de oposición ejercida en las condiciones previstas en 
el apartado 1, el responsable del tratamiento debe suspender dicha 
actividad. 
El apartado 3 desarrolla las disposiciones del apartado 6 del artículo 14 
de la propuesta inicial. Su objeto es precisar las obligaciones del 
responsable del tratamiento con respecto a los interesados, cuando, en 
aplicación de las demás disposiciones de la propuesta de directiva, está 
- 27 -
autorizado a comunicar datos a terceros con fines de prospección 
particular. Estas obligaciones se aplican independientemente del carácter 
de la prospección, de que se trate de una prospección comercial o de que la 
efectúe un organismo de caridad o un partido político. Estas obligaciones 
consisten en que el responsable del tratamiento vele por que se ofrezca de 
manera explícita al interesado, antes de la comunicación, la posibilidad de 
suprimir gratuitamente los datos. También se aplica cuando los datos no se 
comunican, sino que los utiliza con los mismos fines el responsable del 
tratamiento por cuenta de un tercero. El responsable del tratamiento podrá 
cumplir sus obligaciones durante los contactos habituales que mantiene con 
los interesados, sin tener que notificárselo específicamente por escrito. 
Este apartado se refiere exclusivamente a la prospección por escrito. Las 
medidas encaminadas a proteger a las personas contra solicitudes no 
deseadas y realizadas por medios de telecomunicación se tratan en la 
propuesta modificada de directiva relativa a la protección de las personas 
en el ámbito de las redes de telecomunicación. 
Artículo 16 
Decisiones individuales automatizadas 
La utilización abusiva de la informática en la toma de decisiones 
constituye uno de los riesgos esenciales que se plantean en el futuro, ya 
que el resultado que proporciona la máquina, que utiliza programas cada día 
más refinados, e incluso sistemas expertos, tiene un carácter aparentemente 
objetivo e incontestable, al que el encargado de tomar las decisiones puede 
conceder una importancia excesiva, en dejación de su propia 
responsabilidad. El apartado 1 del artículo 16 enuncia por ello el 
principio de que las personas tendrán el derecho a no verse sometidas a una 
decisión administrativa o privada que les resulte perjudicial y que se base 
únicamente en un tratamiento automatizado que dé un perfil de su 
personalidad. 
Dicho apartado se ha vuelto a redactar teniendo presente la propuesta 
inicial, con objeto de precisar con mayor exactitud a qué reducido número 
de casos se aplican tales disposiciones. 
En efecto, deben reunirse tres condiciones: 
La persona debe estar sometida a una decisión que le resulte 
perjudicial. Debe tratarse de una decisión a la que pueda oponerse, 
que comporte consecuencias a su respecto. Por ejemplo, el simple hecho 
de remitir prospectos comerciales a una relación de personas por 
ordenador no constituye una decisión perjudicial. 
Debe tratarse de una decisión basada exclusivamente en un tratamiento 
automatizado: sólo se prohibe la aplicación por parte del usuario de 
los resultados producidos por el sistema. La informática puede servir 
de ayuda a la decisión, pero no constituir en ningún caso su única 
base, debiendo dejarse a la apreciación humana el lugar que le 
corresponde. 
Por ejemplo, sería contrario a este principio el hecho de que un 
empresario rechazara la candidatura de un aspirante basándose 
exclusivamente en los resultados que hubiera obtenido en un 
( 
\ 
- 28 -
test psicotécnico evaluado por ordenador, o el hecho de que dichos 
programas de evaluación elaboraran relaciones con atribución de notas 
y clasificación de los candidatos al empleo por orden de prelación, 
basándose únicamente en su test de personalidad. 
- El tratamiento debe atribuir a los datos relativos al interesado 
variables que permitan determinar un perfil de personalidad tipo 
(considerado bueno o malo), lo que excluye todos los casos en que el 
sistema no define el perfil de personalidad: por ejemplo, el hecho de 
que una persona no pueda obtener el importe solicitado en una cajero 
automático, porque ya haya superado su crédito, no se incluye en esta 
definición. 
En la propuesta modificada se añade un apartado 2, en virtud del principio 
según el cual la importancia de la apreciación humana debe ser proporcional 
a los riesgos que supone para el individuo una decisión que lo compare con 
un perfil de personalidad elaborado únicamente por un ordenador. 
Una enmienda parlamentaria (ns46) proponía que se autorizara este tipo de 
decisiones cuando así lo consintiera el interesado o en un contrato o una 
relación de confianza quasi contractual. 
La propuesta modificada no contiene este tipo de circunstancias, ya que, en 
caso de que la relación de fuerzas fuera desfavorable para el interesado 
(caso de la persona que busca empleo, por ejemplo), ni su consentimiento ni 
la perspectiva de un contrato constituirían una garantía suficiente. 
Con arreglo al apartado 2, la persona puede verse sometida a una decisión 
similar a las contempladas en el apartado 1 cuando ésta se haya tomado a 
raíz de un contrato concluido entre ella y el responsable del tratamiento, 
siempre que la persona obtenga satisfacción o que unas medidas apropiadas 
(que los Estados miembros podrán determinar) garanticen la salvaguarda de 
sus intereses legítimos. Esta garantía puede emanar de la ley, de los 
procedimientos de notificación o incluso de medidas de tipo interno que 
hubiera adoptado la empresa. 
Por ejemplo, el recurso a la técnica de la puntuación para atribuir un 
crédito a un particular está autorizada si las decisiones positivas de 
atribución de dicho crédito se basan únicamente en una apreciación 
automática de los riesgos; en caso de que la puntuación fuera negativa, la 
salvaguarda de los intereses legítimos de la persona concernida deberá 
quedar garantizada (por ejemplo, si la decisión final se aplaza hasta que 
los servicios hayan podido llevar a cabo un "estudio humano" del 
expediente). 
- 29 -
SECCIÓN VII 
SEGURIDAD DEL TRATAMIENTO 
Articulo 17 
Este articulo corresponde al artículo 18 del texto inicial. 
Los peligros que amenazan al derecho a la intimidad del interesado no 
provienen tan sólo del responsable del tratamiento de datos que los recoge, 
almacena, trata y comunica en su propio interés. 
El derecho a la intimidad del interesado está también amenazado si los 
datos los utiliza con fines diferentes un tercero que no esté autorizado a 
acceder a ellos ni a utilizarlos. 
El artículo 17 obliga en particular a los Estados miembros a prever que el 
responsable del tratamiento deba tomar las medidas técnicas y organizativas 
apropiadas y necesarias para la protección contra la destrucción, 
accidental o ilícita, contra la pérdida accidental, así como contra la 
alteración, la comunicación y cualquier otro tratamiento no autorizado de 
datos personales. 
La enmienda ns 67 se ha recogido en parte. La expresión "tratamiento 
automatizado de datos" se ha utilizado con preferencia a la de "ficheros 
automatizados". La referencia al "coste de (la) aplicación (de las 
medidas)" se ha suprimido. El texto modificado utiliza la expresión de 
"responsable del tratamiento". 
La redacción se ha modificado ligeramente por motivos de claridad. En el 
apartado 1, "destrucción no autorizada" se ha sustituido por "destrucción 
ilícita" y "el estado de evolución" se ha reemplazado por "la evolución del 
progreso tecnológico". En el apartado 2, "grado adecuado de seguridad" se 
convierte en "grado conveniente de seguridad". En el apartado 3, "consulta 
en línea" se ha sustituido por "acceso a distancia". El apartado 4 precisa 
que las obligaciones en materia de seguridad incumben también a las 
personas responsables de la realización del tratamiento y, en particular, 
el agente tratante. 
Hay además dos modificaciones de cierta importancia. En el apartado 3, se 
señala que, en caso de acceso a distancia, las instalaciones técnicas y los 
programas informáticos se deberán utilizar de suerte que el acceso se lleve 
a cabo dentro de los límites de licitud del tratamiento (y no dentro de los 
límites de la autorización concedida por el responsable del tratamiento. 
Teniendo en cuenta que esta autorización no podría sin duda superar los 
límites del tratamiento lícito, no tendría ningún interés para la 
protección de los datos personales.). 
El apartado 5 prevé una excepción a la obligación de no comunicar los datos 
a terceros sin previa autorización del responsable del tratamiento: cuando 
la comunicación esté prevista por una ley nacional o comunitaria (por 
ejemplo, cuando se trata de entablar un proceso penal). 
- 30 -
SECCIÓN VIII 
NOTIFICACIÓN 
Articulo 18 
Obligación de notificación a la autoridad de control 
El artículo 18 recoge los artículos 7 y 11 de la propuesta inicial, 
relativos a la notificación a la autoridad de control de los ficheros 
creados en el sector público y en el sector privado. Estas disposiciones 
están fusionadas, como solicitó el Parlamento en su dictamen. Esta 
presentación tiene la ventaja de que pone de relieve que el criterio en 
materia de notificación debe ser el mismo, independientemente del sector en 
que se efectúen los tratamientos de datos. 
El objeto, alcance y contenido de las disposiciones iniciales quedan sin 
embargo modificados, para recoger el dictamen del Parlamento y para 
preservar la coherencia de la propuesta modificada. En efecto, las 
enmiendas del Parlamento (39, 40, 41, 118 y 119) han obligado a elaborar 
las disposiciones relativas a la notificación en varios artículos. La 
notificación debe permitir, además de la transparencia de los tratamientos 
(como se decía en la propuesta inicial), que la autoridad de control 
realice un control selectivo de la licitud de los tratamientos. En función 
del grado de riesgo que presenten, el control deberá realizarse a 
posteriori, por regla general, o a priori, en un número reducido de casos. 
1. El apartado 1 del artículo 18 modifica la obligación de notificación 
prevista en la propuesta inicial de la siguiente manera: 
a) Para velar por la coherencia del criterio recogido en la propuesta 
modificada, se propone que la notificación se refiera al 
tratamiento de datos personales y no al fichero. Esta modificación 
hace que el control recaiga más sobre los usos y operaciones que se 
realizan sobre los datos para alcanzar objetivos determinados 
(naturaleza de las operaciones, de los cotejos y de las 
comunicaciones a terceros, naturaleza de los datos recogidos y 
registrados, etc.) y menos sobre la organización técnica particular 
de los datos en ficheros cuyo interés para la protección de las 
personas puede carecer de significación particular cuando los datos 
están automatizados. 
b) El criterio de la comunicación de los datos a terceros recogido en 
la propuesta inicial como requisito de la obligación se suprime, 
con objeto de tener presentes las críticas formuladas sobre su 
inadecuación, puesto que algunas comunicaciones a terceros no 
atentan contra los derechos de las personas, así como para tener en 
cuenta los riesgos que, por el contrario, pueden suponer los 
tratamientos internos, especialmente cuando su objetivo es 
seleccionar poblaciones. En este contexto, se consideró oportuno 
hacer extensiva la obligación de notificación a cualquier 
tratamiento de datos personales antes de que se lleve a cabo. Este 
punto de vista debería incitar a los responsables del tratamiento a 
prever las medidas necesarias con respecto a las obligaciones que 
les incumben antes de proceder a la realización de sus tratamiento. 
Sin embargo, para apreciar el alcance práctico de esta 
modificación, es conveniente tener en cuenta las disposiciones 
contenidas en el articulo 19 sobre la simplificación y la exención 
de la obligación de notificación. 
c) Para garantizar que en el control se tiene en cuenta la realidad 
global y, en ocasiones, múltiple, de los tratamientos efectuados 
por un responsable de tratamiento, y para evitar una multiplicación 
excesiva de las notificaciones, se propone que una sola 
notificación pueda referirse al conjunto de los tratamientos, 
repetitivos o no, destinados a la consecución de uno o varios 
objetivos relacionados desde el punto de vista del responsable del 
tratamiento y de los interesados. A título de ejemplo, cabe decir 
que sólo debería exigirse una notificación para el conjunto de los 
tratamientos relativos a la gestión de los préstamos efectuados por 
un organismo de crédito y destinados a recoger las solicitudes de 
préstamo, a instruirlas, conceder los préstamos, recaudar las 
cuotas devengadas y estudiar los expedientes conflictivos. 
d) Para evitar que las gestiones administrativas sean excesivas, se 
propone añadir que la obligación de notificación sólo se refiera a 
los tratamientos automatizados en su totalidad -o en parte, dejando 
a los Estados miembros la facultad de hacer extensiva dicha 
obligación a los ficheros manuales, en virtud del artículo 21. 
El apartado 2 del articulo 18 aporta varias precisiones sobre el 
contenido de la notificación: 
a) Se añade la precisión relativa a la o las categorías de interesados 
(v.gr., clientes o personal de la empresa, prospectos, 
beneficiarios de determinado subsidio social, etc.). 
b) Asimismo, se añade que la información relativa a terceros a quienes 
se comunican datos puede precisarse por referencia a categorías de 
terceros (enmienda 39). 
c) A la descripción de los datos objeto de tratamiento se añade la 
facultad de no precisar más que las categorías de datos, lo que 
resulta suficiente cuando unos detalles técnicos excesivos no 
aportarían elementos significativos para la comprensión de los 
tratamientos. 
d) Se añade la mención de las transferencias de datos a terceros 
países para facilitar la aplicación de las disposiciones 
particulares que les conciernan y garantizar que se tiene en cuenta 
su contexto específico. 
e) Se conserva la descripción de las medidas de seguridad previstas en 
la propuesta inicial, por tenerse presente la importancia de su 
control, sobre todo en el contexto del desarrollo de los 
tratamientos efectuados a distancia mediante redes de 
telecomunicaciones. 
- 32 -
3. El apartado 3 del articulo 18 se refiere a la notificación de las 
modificaciones introducidas en los tratamientos. La obligación de la 
notificación de las modificaciones introducidas en los tratamientos 
que afecten al contenido de la notificación efectuada con 
anterioridad, que se establecía en la propuesta inicial, se mantiene 
para garantizar la actualización de la relación de tratamientos de 
libre acceso por parte del público, así como el seguimiento del 
control, particularmente importante cuando se modifican los objetivos 
del tratamiento o cuando puede comunicarse a nuevas categorías de 
terceros los datos a los que se refiere. 
4. Los apartados 4 y 5 recogen el dictamen del Parlamento (enmiendas 40, 
41, 118 y 119), según el cual ciertos tratamientos que pueden 
comportar riesgos particulares para los derechos y libertades de los 
interesados deben ser objeto de un dictamen o de una autorización de 
la autoridad de control, antes de llevarse a cabo. 
Al tiempo que se tenían en cuenta los diferentes enfoques que pueden 
predominar en cada Estado miembro, se consideró preferible prever en 
el apartado 4 del artículo 18 la obligación de los Estados miembros de 
soneter esos tratamientos a un examen previo a su realización por 
parte de la autoridad de control. Los Estados miembros pueden 
reemplazar dicho examen facultati··^ por una autorización que emane de 
la legislación o de la autoridad de control. 
Estos riesgos particulares pueden deberse por ejemplo a la naturaleza 
de los datos tratados, y en particular a los contemplados por el 
artículo 8, al alcance del tratamiento, cuando afecta a toda la 
población de una nación, o a los objetivos, como puede ser el excluir 
a los interesados de los beneficios de un derecho, de una prestación o 
de un contrato (listas negras, tratamientos cuyo objetivo es informar 
a un tercero de la solvencia de las personas físicas). 
El apartado 4 del artículo 18 añade una precisión encaminada a 
limitar, en interés del responsable del tratamiento, el plazo de 
examen previo de su expediente por parte de la autoridad de control. 
Tal y como se propone en el mismo artículo, este enfoque no debería 
impedir que los Estados miembros tomaran, basándose en la experiencia 
adquirida y para determinadas categorías de tratamientos, medidas de 
simplificación o de exención de la obligación de notificación, como 
las previstas en el artículo 19. 
5. Por último y para no olvidar nada en la presentación de estas 
disposiciones, conviene reseñar que los tratamientos automatizados en 
su totalidad o en parte, que no pueden acogerse ni a los 
procedimientos de simplificación o de exención de la obligación de 
notificación previstos en el artículo 19, ni a los procedimientos de 
examen previo, pero que se notifican a las autoridades de control en 
aplicación de las disposiciones del artículo 18, no están por lo 
general sometidos, al igual que los tratamientos contemplados en el 
artículo 19, más que al control a posteriori de las autoridades 
competentes. Como es natural, la autoridad de control vela por la 
conformidad del procedimiento de notificación adoptado en función de 
la naturaleza del tratamiento. 
- 33 -
TOC nrocødimientos comunitarios previstos en los 
6· Xitlr. d. .-«ao con .1 »»Irlt. d.1 
artículos JO y Φ rme se realizaran las Hΐ rtamen del Parlamento (enmienda 39), q ~ —rr s 
artículos 18 y 19. 
Artículo 19 
simplificación γ exención de la obligación de notificación 
T-t-ículo 19 recoge y desarrolla la enmienda 39 del Parlamento encaminada 
fia simplificación de los procedimientos para determinadas categorías de 
tratamientos. 
1 «- Hr. i del artículo 19 se establece que la adopción de dicha Ü lo. Estados miembros, que tendrán además la 
facultad de conceder exenciones a la obligación de notificación. 
psra elaborar una política común coherente en materia de protección de las Para elabor ρ ., · σ„„ sirva para determinar en que 
tratamientos que no perjudican a los derechos y libertades de los 
interesados. 
La experiencia demuestra que muchos de los tratamientos de datos personales 
llevan a cabo los organismos públicos o privados, grandes o pequeno , 
Ton di esïe tipo y no requieren por ello de una publicidad general o caso 
por caso Puede tratarse de tratamientos de contenido y alcance jurídicos 
muv definidos o de tratamientos sencillos, de los cuales los interesados 
pueden comprobar regularmente la licitud, o de tratamientos que por su 
Tropia naturaleza no pueden perjudicar a los interesado. ,° ™ ¿e 
tratamientos que, aunque de por sí más delicados, ofrecen las garantías 
necesarias gracias a sus condiciones de aplicación. 
En el apartado 1 del artículo 19 se establece, por referencia a la enmienda 
23 del Parlamento, que los tratamientos cuya finalidad sea la Produ^ ' 
mediante tratamientos de textos, de cartas o de documentos profesiona , 
el cumplimiento de obligaciones jurídicas, contables, fiscales o sociale , 
o la consulta de servicios documentales de acceso público puedan acogerse 
la simplificación o exención de la obligación de notificación. 
Los Estados miembros, en función de su experiencia y de las' 
nacionales de los tratamientos efectuados o en curso deberán autorizar 
progresivamente estas simplificaciones o, incluso, estas exenciones. A mo 
de ejemplo, se puede considerar que podrían beneficiarse de estas cedidas 
los tratamientos encaminados a determinar el salario del Pe«onal de ^ 
administración o de una empresa, ciertos tratamientosrealizadosdecara 
la investigación científica o los relativos a la gestion de los expedientes 
médicos de los pacientes de un profesional sanitario. 
- 34 -
El apartado 2 del artículo 19 recoge la enmienda 39 del Parlamento, según 
la cual la simplificación de la obligación de notificación de los Estados 
miembros debe ser objeto de un acto jurídico. Respetando el espíritu de 
dicha enmienda, se ha considerado conveniente que el procedimiento de 
elaboración de la medida de simplificación o de exención pase por la 
autoridad de control independiente. Además, para que los responsables del 
tratamiento puedan evaluar, con total seguridad, la conformidad de los 
tratamientos que tienen la intención de realizar con la medida de 
simplificación, se ha considerado conveniente que en dicha medida se 
describan todos los tratamientos previstos y, en particular, sus objetivos, 
los datos o categorías de datos tratados, las categorías de interesados, 
los terceros o las categorías de terceros a quienes se pueden comunicar los 
datos, la duración de la conservación de los datos y, en su caso, las 
condiciones en que se realiza el tratamiento. 
El apartado 3 del artículo 19 recoge la misma enmienda 39 del Parlamento, 
con arreglo a la cual conviene recordar, en aras de la claridad, que el 
beneficio de la simplificación o de la exención de la obligación de 
notificación no eximirá al responsable del tratamiento de ninguna de las 
demás obligaciones que emanan de la Directiva. 
Artículo 20 
Tratamientos no automatizados 
Se delega en los Estados miembros la facultad de aplicar a los ficheros 
manuales las disposiciones de la sección VIII, adaptándolas siempre que sea 
necesario. 
Artículo 21 
Registro de los tratamientos notificados 
El artículo 21 recoge el apartado 1 del artículo 7 de la propuesta inicial 
sobre la teneduría por parte de la autoridad de control del registro de los 
ficheros del sector público notificados y la posibilidad de que lo consulte 
cualquier persona. Con todo, el artículo 21 amplía esta disposición, 
respetando el espíritu del dictamen del Parlamento (enmiendas 37 y 39), a 
todos los tratamientos notificados, independientemente del sector al que 
pertenezca el responsable del tratamiento. 
La consulta del registro puede verse sin embargo sometida, tal y come lo ha 
solicitado el Parlamento, a las limitaciones fijadas por el artículo 14 en 
materia de derecho de acceso de las personas a los datos que les 
conciernen. 
Por otra parte, y de acuerdo con el espíritu del dictamen del Parlamento 
(enmienda 39), el artículo 21 precisa el contenido mínimo del registro 
donde deben figurar los datos establecidos en el apartado 2 del artículo 
18, salvo aquellos relativos a las medidas adoptadas para garantizar la 
seguridad de los tratamientos sin por ello reducir su eficacia. 
- 35 -
CAPÍTULO III 
RECURSO JURISDICCIONAL, RESPONSABILIDAD Y SANCIONES 
Articulo 22 
Recurso jurisdiccional 
El articulo 22 recoge el apartado 8 del articulo 14 de la propuesta 
inicial, ampliando su alcance, al proponerse que las legislaciones 
nacionales otorguen la facultad de recurso jurisdiccional a los interesados 
para permitirles, en su caso, que defiendan no sólo sus derechos 
complementarios, enumerados en el articulo 14 de la propuesta inicial, sino 
también, de una manera más general, todos los derechos que les reconoce la 
Directiva. 
Articulo 23 
Responsabilidad 
El apartado 1 de este articulo, al igual que el apartado 1 del artículo 21 
de la propuesta inicial, hace recaer en el responsable del tratamiento la 
obligación de reparar el daño causado a cualquier persona por un 
tratamiento o una actividad incompatib-... η con la presente Directiva. Tal y 
como lo ha solicitado el Parlamento en su dictamen (enmienda n® 73), se 
introduce el concepto de tratamiento "ilícito", causa de la 
responsabilidad. Además, el concepto de "tratamiento" sustituye al de 
"fichero". Esta nueva redacción permite recoger el contenido del apartado 2 
de este artículo, como sugirió el Parlamento. En efecto, al utilizar el 
concepto de tratamiento, la propuesta modificada cubre, como solicitó el 
Parlamento, el registro propiamente dicho de los datos personales como 
posible causa de responsabilidad. 
En cambio, la Comisión preserva la facultad de los Estados miembros de 
prever una exención de responsabilidad en caso de que se hubieran adoptado 
las medidas de seguridad apropiadas. No obstante, se ha clarificado la 
redacción del texto. Además, el dictamen del Parlamento ha llevado a la 
Comisión a precisar que la exención de responsabilidad puede ser total o 
sólo parcia]. 
Artículo 24 
Tratamiento efectuado por el agente tratante 
Este artículo recoge el artículo 22 de la propuesta inicial. Su objetivo es 
evitar que el hecho de que un tercero efectúe un tratamiento por cuenta del 
responsable redunde en una menor protección del interesado. 
El concepto de "agente tratante", incorporado a raíz del dictamen del 
Parlamento en la relación de definiciones, se utiliza en el texto del 
artículo. El apartado 2 destaca, tal y como lo solicita el Parlamento, que 
dicho agente sólo pueda actuar dentro de los límites del contrato concluido 
con el responsable. Se mantiene una referencia expresa a las obligaciones 
derivadas de las medidas nacionales adoptadas en aplicación de la 
Directiva, y que recaen asimismo sobre el agente tratante. 
- 36 -
Articulo 25 
Sanciones 
La finalidad de las modificaciones introducidas en la propuesta es tener 
presente el dictamen del Parlamento (enmienda ns 77). Hacen hincapié en las 
personas que pueden ser sancionadas. A grandes rasgos, se trata de 
cualquier persona que no respete las medidas nacionales adoptadas en 
aplicación de la Directiva y, en particular, como destaca el Parlamento en 
su dictamen, de las autoridades y organismos sujetos al Derecho público. 
CAPÍTULO IV 
TRANSFERENCIA DE DATOS PERSONALES A TERCEROS PAÍSES 
Articulo 26 
Principios 
Este artículo, que recoge el artículo 25 de la propuesta inicial, afirma el 
principio según el cual la transferencia de datos personales de un Estado 
miembro a un tercer país sólo puede realizarse si dicho país garantiza un 
grado de protección adecuado. En caso contrario, resulta evidente que los 
esfuerzos llevados a cabo en la Comunidad para garantizar un elevado grado 
de protección podrían verse anulados por transferencias a terceros países 
que no garatizaran la suficiente protección. Además, la libre circulación 
de datos entre los Estados miembros, que quiere instaurar la presente 
propuesta de directiva, exige la adopción de normas comunes en materia de 
transferencias a terceros países. 
Las consultas con los sectores implicados han demostrado la necesidad de 
establecer excepciones, en determinados casos, a los principios antes 
mencionados. Por ello y a la vista del dictamen del Parlamento, la Comisión 
se ha visto obligada a reconsiderar la propuesta inicial. Propone que la 
prohibición de las transferencias a terceros países que no garanticen un 
grado adecuado de protección venga acompañada por excepciones compatibles 
con la protección de las personas. De acuerdo con la propuesta modificada, 
la transferencia a un tercer país que no garantice un grado adecuado de 
protección puede efectuarse si el interesado ha dado su consentimiento a la 
transferencia prevista en virtud de relaciones precontractuales -> si la 
transferencia es necesaria para la ejecución de un contrato eni.re el 
interesado y el responsable del tratamiento. En tales casos, el interesado 
debe estar informado de la realización de la transferencia o de la 
posibilidad de que se haga a uno o varios terceros países que no garantizan 
un grado adecuado de protección, de modo que pueda decidir si quiere 
arriesgarse o no a que se lleve a cabo la transferencia en cuestión. Estas 
excepciones parecen ser de particular utilidad cuando las transferencias de 
datos están vinculadas a operaciones bancarias o de otras entidades de 
crédito. Además, puede estar justificada una transferencia a un tercer país 
que no garantice un grado adecuado de protección cuando resulte necesaria 
para la salvaguarda de un interés público importante o del interés vital 
del interesado. El objetivo de estas excepciones es facilitar la 
cooperación internacional (por ejemplo, en la lucha contra el blanqueo de 
- 37 -
capitales o para el control de las entidades financieras) o posibilitar la 
transferencia de datos médicos en circunstancias en que el interesado no 
pueda expresar su voluntad. 
El apartado 2 precisa los elementos que deben tenerse en cuenta para 
evaluar la idoneidad de la protección. Se trata de todas las circunstancias 
que rodean a una transferencia o a una categoría de transferencias, como la 
naturaleza de los datos, el objetivo de los tratamientos o la normativa 
vigente en el país en cuestión. A este respecto, resultará oportuno 
examinar la normativa general o sectorial, su aplicación real, así como las 
normas profesionales en vigor, recogidas en los códigos de conducta. Como 
lo solicitó el Parlamento en su dictamen (enmienda ns 79, en particular), 
el nuevo apartado 2 subraya que la idoneidad de la protección debe 
evaluarse en relación con una transferencia de datos o con una categoría de 
transferencias de datos. 
El apartado 3, que recoge el apartado 2 del artículo 24 de la propuesta 
inicial, se ha modificado de acuerdo con el dictamen del Parlamento 
(enmienda n? 79), que hace hincapié en que los Estados miembros evalúen la 
idoneidad de la protección y decidan, en su caso, prohibir la 
transferencia. Deberán notificar a la amisión estas prohibiciones. 
Tal y como lo solicita el Parlamento en su dictamen (enmienda ne 80), la 
propuesta modificada prevé, en el apartado 4 de este artículo, que 
corresponde al antiguo apartado 3, que el Grupo de Protección previsto en 
el artículo 32 deberá ser consultado por la Comisión para que éste emita su 
dictamen, antes de que la Comisión pueda entablar negociaciones con un 
tercer país. 
Artículo 27 
Medidas especiales 
El artículo 27 recoge la idea del artículo 25 de la propuesta inicial, 
añadiendo algunas modificaciones. Según el nuevo texto, el Estado miembro 
puede autorizar una transferencia o una categoría de transferencias de 
datos personales a un tercer país que no garantice un grado de protección 
adecuado cuando el responsable de la transferencia presente las suficientes 
garantías de respeto del ejercicio efectivo de los derechos del interesado 
y cuando los demás Estados miembros o la Comisión no se opongan a la medida 
prevista de acuerdo con un procedimiento establecido en este artículo. En 
caso de que notificaran su oposición, la Comisión podría tomar las medidas 
oportunas, en particular prohibir la transferencia, supeditarla a una 
condiciones complementarias o entablar negociaciones con el responsable del 
tratamiento para el que se efectúan las transferencias, con vistas a 
encontrar soluciones para el conjunto de la Comunidad. 
CAPÍTULO V 
CÓDIGOS DE CONDUCTA 
Los códigos de conducta, para los que se ha conservado en la propuesta 
modificada la denominación más común en otras esferas, constituían el 
- 38 -
objeto del articulo 20 de la propuesta inicial, cuya finalidad era tan sólo 
fomentar la elaboración de códigos comunitarios. La propuesta modificada 
contiene dos artículos, uno de ellos consagrado a los códigos nacionales y, 
el otro, a los comunitarios. 
Artículo 28 
Códigos nacionales 
Las experiencias de algunos Estados miembros al respecto llevó a la 
Comisión a incluir en su propuesta modificada una disposición encaminada a 
fomentar la elaboración de códigos de conducta a escala nacional. Los 
códigos pueden constituir un elemento positivo de cara a una buena 
aceptación de la normativa aplicable, dado que los sectores profesionales 
se ven obligados a participar de manera directa en su aplicación. Al propio 
tiempo, en la medida en que las soluciones que contienen resulten 
satisfactorias, pueden contribuir a que las disposiciones legislativas no 
sean excesivamente detalladas. 
Los códigos son de muy diversa Indole, en función de su contenido, el 
sector profesional que los elabora, "te. Sin embargo, responden a las 
siguientes características: 
la iniciativa de su elaboración y su redacción, como ya hemos 
indicado, son responsabilidad exclusiva de los sectores profesionales, 
independientemente de los estímulos que puedan recibir de las 
autoridades públicas; 
su alcance se limita a aplicar o desarrollar la normativa aplicable, 
pero no a establecer excepciones; 
su efecto no es vinculante para los terceros ni para los organismos 
jurisdiccionales, que siempre pueden hacer prevalecer la normativa que 
están encargados de aplicar. 
Como es natural y revela la legislación de varios Estados miembros, puede 
ocurrir que la autoridad pública y, en particular, los órganos 
legislativos, recojan por cuenta propia los códigos elaborados por los 
sectores profesionales para darles un carácter vinculante desde el punto de 
vista legislativo. 
Para dotar a los códigos de cierta autoridad sin modificar por ello su 
carácter, la Comisión propone, inspirándose en el dictamen emitido por el 
Parlamento sobre los códigos comunitarios (enmienda ns 72), que la 
elaboración de los códigos esté sometida al dictamen de la autoridad 
nacional competente. 
En este sentido, se encarga a la autoridad de control que compruebe la 
procedencia de los códigos, la representatividad de las organizaciones 
profesionales que los han elaborado, que los difunda y recoja las 
observaciones de los interesados o de sus representantes y que emita un 
dictamen publicado de forma oficial y conjuntamente con el código. 
- 39 -
Articulo 29 
Códigos comunitarios 
La propuesta modificada se inspira del dictamen del Parlamento (enmienda ns 
72) y de lo dispuesto por el artículo 29, precisando que la competencia 
otorgada a la autoridad de control para los códigos nacionales se 
transfiere al Grupo de Protección comunitario. Para informar al público en 
general, la Comisión podrá publicar en el DOCE los códigos, conjuntamente 
con el dictamen del Grupo. 
CAPÍTULO VI 
AUTORIDAD DE CONTROL Y GRUPO DE PROTECCIÓN DE LAS PERSONAS FRENTE AL 
TRATAMIENTO DE DATOS PERSONALES 
Artículo30 
Autoridad de control 
Este artículo, que recoge el ari.:ulo 26 de la propuesta inicial, prevé la 
creación de una autoridad de control cuya característica esencial es su 
independencia. 
La Comisión se hace eco en su propuesta modificada del dictamen del 
Parlamento (enmiendas 84, 85, 86 y 87). 
a) Nombramiento de la autoridad de control: en el apartado 1 se indica 
que los Estados miembros podrán nombrar a varias autoridades de 
control independientes, precisión indispensable para los Estados 
miembros con estructura federal, como Alemania. 
b) Poder de la autoridad de control: además de las competencias otorgadas 
a las autoridades de control por lo dispuesto en artículos anteriores, 
y en especial sobre el procedimiento de notificación, se dota a estas 
autoridades de medios de investigación y de intervención con respecto 
a los responsables de los tratamientos y bajo el control de las 
autoridades judiciales. 
La facultad de intervención tiene por objeto permitir a la autoridad de 
control que recabe de los responsables del tratamiento los datos necesarios 
para el cumplimiento de su cometido. Esta competencia se manifiesta en 
particular en el acceso a los datos que son objeto de tratamiento. Resulta 
evidente que, para respetar los derechos de las personas sometidas al 
control de la autoridad, estas prerrogativas deben utilizarse respetando 
estrictamente la confidencialidad que les conceda a los datos en cuestión 
el Derecho nacional. A este respecto se añade una disposición en el 
apartado 6. 
Para que la autoridad de control pueda cumplir su cometido, resulta 
esencial que disponga de un poder efectivo de intervención, tal y como 
afirma el Parlamento en su dictamen y como recoge la propuesta modificada: 
poder de ordenar el bloqueo o la supresión de datos, de prohibir un 
tratamiento, etc. En cambio, no parece necesario pronunciarse en el texto 
de la Directiva sobre la naturaleza jurídica de estas medidas, que el 
Parlamento, en su dictamen, califica de sanciones. 
- 40 -
Por último, se dota a la autoridad de control del poder de recurrir a la 
autoridad judicial cuando constate la existencia de infracciones a las 
disposiciones nacionales de aplicación de la Directiva, poder que reconocen 
la mayoría de las actuales legislaciones nacionales. Esto se desprende 
lógicamente de la facultad de investigación, pues resultaría extraño que 
una autoridad encargada de proteger a las personas no pudiera recurrir a la 
autoridad judicial en caso de que constatara una infracción a la protección 
de las personas y, por otra parte, del derecho de cualquier persona a 
presentar una denuncia ante la autoridad de control, de modo que dicha 
denuncia pueda llegar ante la autoridad judicial. 
c) Presentación de informes anuales: es de extrema importancia que la 
autoridad de control pueda presentar de manera periódica un informe 
sobre sus actividades, donde se haga hincapié en los problemas 
planteados por la aplicación de las disposiciones legislativas y se 
indiquen los nuevos derroteros que deberán seguirse. 
Artículo 31 
Grupo de Protección de las Personas frente al Tratamiento de Datos 
Personales 
Este artículo, que recoge el artículo 27 de la propuesta inicial, crea un 
Comité de tipo consultivo. 
a) Denominación del Grupo 
Se quiere armonizar la denominación del Grupo de Protección con el que 
figura en el apartado 1 del artículo 1. 
b) Composición y presidencia del Grupo 
Las modificaciones solicitadas por el Parlamento (enmiendas 88 y 128) se 
refieren básicamente a la composición y la presidencia del Grupo. Para 
garantizar su independencia, cuya importancia se destacó en la exposición 
de motivos de la propuesta inicial, la Comisión acepta las soluciones 
contenidas en el dictamen del Parlamento acerca de la presidencia del 
Grupo, pero no las relativas a su composición: 
presidencia del Grupo: la Comisión propone que el Grupo elija un 
presidente por un mandato prorrogable de dos años de duración. Este 
periodo parece bastante largo como para dar suficiente estabilidad al 
Grupo; 
composición del Grupo: la Comisión mantiene su propuesta inicial, que 
consistía en limitar la composición del Grupo a los representantes de 
las autoridades de control nacionales previstas en las disposiciones 
anteriores. En caso de que algunos Estados miembros hicieran uso de la 
facultad de que disponen de nombrar a varias autoridades de control, 
se propone, con ánimo de velar por la equidad, que la representación 
- 41 -
de las autoridades de los Estados miembros en cuestión del Grupo 
comunitario sea común. En caso de que no fuera asi, el ejercicio de la 
facultad prevista por los artículos anteriores podría generar 
desequilibrios dentro del Grupo. 
La Comisión solicita estar representada en el Grupo y desea que sus 
servicios se encarguen de la secretaría. 
Articulo 32 
Funciones del Grupo de Protección 
Este artículo establece las funciones del Grupo. Como preveía la propuesta 
inicial, conserva su carácter consultivo. El Grupo debe asesorar a la 
Comisión, en particular con motivo del ejercicio del poder reglamentario o 
de la presentación de nuevas propuestas. Deberá contribuir a la 
interpretación homogénea de las normas nacionales adoptadas en aplicación 
de la Directiva, así como a la elaboración de una política común en materia 
de flujos transfronterizos con terceros países. La Comisión deberá oír al 
Grupo en cuanto concierna a cualquier medida que prevea adoptar en este 
ámbito. 
El Grupo ejercerá sus funciones mediante dictámenes y recomendaciones que 
someterá a la Comisión y, en su caso, al comité reglamentario. El Grupo 
elaborará un informe anual sobre el estado en que se encuentre la 
protección en la Comunidad y en los terceros países. Este informe, que se 
enviará a la Comisión y al Parlamento, será publicado. 
La Comisión comparte el deseo del Parlamento (expresado en la enmienda 89) 
de dar a la secretaría del Grupo los medios necesarios para que pueda lleva 
a cabo las tareas que le encomiende la Directiva. La Comisión velará, 
especialmente en lo que al procedimiento presupuestario se refiere, por que 
el Grupo disponga de dichos medios. No obstante, no parece conveniente 
añadir una disposición al respecto en la propuesta modificada. 
CAPÍTULO VII 
POTESTAD REGLAMENTARIA DE LA COMISIÓN 
Artículos 33 y 34 
Ejercicio de la potestad reglamentaria y Comité consultivo 
La Comisión mantiene su propuesta inicial. Deberán tomarse medidas técnicas 
de aplicación de la Directiva, debido a la amplitud y al tecnicismo del 
ámbito del tratamiento de los datos personales. 
- 42 -
DISPOSICIONES FINALES 
Artículos 35, 36 y 37 
La propuesta modificada prevé, en el apartado 2 de su artículo 35, una 
medida transitoria encaminada a permitir que, tal y como lo expresó el 
Parlamento en su dictamen acerca de la notificación (enmienda ns 37), las 
medidas adoptadas en aplicación de la Directiva y relativas a los 
tratamientos efectuados antes de la entrada en vigor de estas normas se 
declaren vigentes de manera progresiva. Parece conveniente fijar un plazo 
de tres años para que así sea. 
Tal y como desea el Parlamento (enmienda 95), el artículo 36 establece que 
el informe periódico sobre la aplicación de la Directiva, que se someterá a 
la Comisión, al Parlamento y al Consejo, se publique. 
- 43 -
PROPUESTA DE DIRECTIVA DEL CONSEJO 
RELATIVA A LA PROTECCIÓN DE LAS 
PERSONAS EN LO REFERENTE AL 
TRATAMIENTO DE DATOS PERSONALES 
EL CONSEJO DE LAS COMUNIDADES 
EUROPEAS, 
Visto el Tratado constitutivo de la 
Comunidad Económica Europea y, en 
particular, sus artículos 100A y 
113, 
Vista la propuesta de la Comisión, 
En cooperación con el Parlamento 
Europeo, 
Visto el dictamen del Comité 
Económico y Social, PROPUESTA MODIFICADA DE DIRECTIVA 
DEL CONSEJO RELATIVA A LA 
PROTECCIÓN DE LAS PERSONAS 
FÍSICAS EN LO QUE RESPECTA AL 
TRATAMIENTO DE DATOS PERSONALES Y 
A LA LIBRE CIRCULACIÓN DE ESTOS 
DATOS 
EL CONSEJO DE LAS COMUNIDADES 
EUROPEAS, 
Visto el Tratado constitutivo de 
la Comunidad Económica Europea y, 
en particular, sus artículos 100A 
y 113, 
Vista la propuesta de la Comisión 
(1)/ 
En cooperación con el Parlamento 
Europeo (2), 
Visto el dictamen del Comité 
Económico y Social(3), 
(1) Do no C 277 de 5.11.1990, 
pág. 3 y DO no C... 
(2) DO no C ... y DO no C... 
(3) DO no C 159 de 17.6.1991, 
pág. 38. 
- 44 -
(1) Considerando que los objetivos 
de la Comunidad enunciados en el 
Tratado, en la versión dada al 
mismo por el Acta Única Europea, 
consisten en realizar una unión 
cada vez más estrecha entre los 
pueblos europeos, establecer 
relaciones más estrechas entre los 
Estados reunidos en la Comunidad, 
asegurar, mediante una acción 
común, el progreso económico y 
social eliminando las barreras que 
dividen Europa, fomentar la 
continua mejora de las condiciones 
de vida de estos pueblos, 
consolidar la defensa de la paz y 
de la libertad, y promover la 
democracia basándose en los 
derechos fundamentales reconocidos 
en las constituciones y leyes de 
los Estados miembros y en el 
Convenio europeo para la protección 
de los derechos humanos y de las 
libertades fundamentales; (1) Considerando que los 
objetivos de la Comunidad 
definidos en el Tratado, tal y 
como quedó modificado por el Acta 
Única Europea, consisten en 
lograr una unión cada vez más 
estrecha entre los pueblos 
europeos, establecer relaciones 
más estrechas entre los Estados 
reunidos en la Comunidad; 
asegurar, mediante una acción 
común, el progreso económico y 
social, eliminando las barreras 
que dividen Europa, fomentar la 
continua mejora de las 
condiciones de vida de estos 
pueblos, consolidar la defensa de 
la paz y la libertad y promover 
la democracia, basándose en los 
derechos fundamentales 
reconocidos en las constituciones 
y leyes de los Estados miembros y 
en el Convenio Europeo para la 
Protección de los Derechos 
Humanos y de las Libertades 
Fundamentales ; 
- 45 -
(2) Considerando que el 
establecimiento y el funcionamiento 
del mercado interior, dentro del 
cual estará garantizada, con 
arreglo al artículo 8 A del 
Tratado, la libre circulación de 
mercancías, personas, servicios y 
capitales, hacen necesaria no sólo 
la circulación de los datos 
personales, cualquiera que sea el 
Estado miembro en que se traten o 
soliciten, sino también la 
protección de los derechos 
fundamentales, habida cuenta de que 
en la Comunidad se viene 
registrando un número creciente de 
tratamientos de datos personales en 
los diferentes sectores de las 
actividades económicas y sociales; (2) Considerando que los sistemas 
de tratamiento de datos están al 
servicio del hombre; que deben 
respetar las libertades y 
derechos fundamentales de las 
personas físicas y, en 
particular, la intimidad, y 
contribuir al progreso económico 
y social, al desarrollo de los 
intercambios, así como al 
bienestar de los individuos; 
(3) Considerando que el 
establecimiento y funcionamiento 
del mercado interior, dentro del 
cual está garantizada, con 
arreglo al artículo 8A del 
Tratado, la libre circulación de 
mercancías, personas, servicios y 
capitales, hacen necesaria no 
sólo la circulación de datos 
personales de un Estado miembro a 
otro, sino también la protección 
de los derechos fundamentales de 
las personas; 
- 46 -
(3) Considerando que el mercado 
interior implicará un espacio sin 
fronteras; que, por esta razón, las 
administraciones nacionales de los 
diferentes Estados miembros, en 
aplicación del Derecho comunitario, 
se ven en la creciente necesidad de 
colaborar e intercambiar datos 
personales a fin de cumplir su 
misión y ejecutar diferentes 
cometidos por cuenta de las 
administraciones de otros Estados 
miembros ; (4) Considerando que, en los 
diferentes sectores de actividad 
económica y social, se recurre 
cada vez más en la Comunidad al 
tratamiento de datos personales; 
que el avance de las tecnologías 
de la información facilita 
considerablemente el tratamiento 
y el intercambio de dichos datos; 
(5) Considerando que la 
integración económica y social 
resultante del establecimiento y 
funcionamiento del mercado 
interior, definido en el artículo 
8A del Tradado, va a implicar 
necesariamente un aumento notable 
de los flujos transíronterizos de 
datos personales entre todos los 
agentes de la vida económica y 
social de los Estados miembros, 
ya se trate de agentes públicos o 
privados; que el intercambio de 
datos personales entre empresas 
establecidas en los diferentes 
Estados miembros experimentará un 
desarrollo; que las 
administraciones nacionales de 
los diferentes Estados miembros, 
en aplicación del Derecho 
comunitario, están destinadas a 
colaborar y a intercambiar datos 
personales a fin de cumplir su 
- 47 -
(4) Considerando que el 
fortalecimiento de la cooperación 
científica y técnica, junto con el 
establecimiento coordinado de 
nuevas redes de telecomunicaciones 
en la Comunidad, exigen y facilitan 
la circulación transfronteriza de 
datos personales ; cometido o ejercer funciones en 
nombre de las administraciones de 
otros Estados miembros, en el 
contexto del espacio sin 
fronteras que supone el mercado 
interior; 
(6) Considerando, por lo demás, 
que el fortalecimiento de la 
cooperación científica y técnica, 
así como el establecimiento 
coordinado de nuevas redes de 
telecomunicaciones en la 
Comunidad exigen y facilitan la 
circulación transfronteriza de 
datos personales; 
- 48 -
(5) Considerando que la diferencia 
entre los niveles de protección de 
la intimidad garantizados en los 
Estados miembros en lo referente al 
tratamiento de datos personales 
puede impedir la transmisión de 
dichos datos del territorio de un 
Estado miembro al de otro; que, por 
lo tanto, esta diferencia puede 
constituir un obstáculo al 
ejercicio de una serie de 
actividades económicas a escala 
comunitaria, falsear la competencia 
y dificultar la misión de las 
administraciones que intervienen en 
el ámbito de aplicación del Derecho 
comunitario; que esta d;ferencia de 
grados de protección se debe a la 
disparidad existente entre las 
disposiciones legales, 
reglamentarias y administrativas de 
los Estados miembros; 
(6) Considerando que, para eliminar 
los obstáculos a la circulación de 
datos personales, el nivel de 
protección de la intimidad debe 
ser, por lo que se refiere al 
tratamiento de esos datos, 
equivalente en todos los Estados 
miembros, que, para ello, es 
necesario aproximar las 
legislaciones aplicables en la 
materia; (7) Considerando que la 
diferencia entre los niveles de 
protección de los derechos y 
libertades de las personas y, en 
particular, de la intimidad, 
garantizados en los Estados 
miembros por lo que respecta al 
tratamiento de datos personales, 
puede impedir la transmisión de 
dichos datos del territorio de un 
Estado miembro al de otro; que, 
por lo tanto, esta diferencia 
puede constituir un obstáculo 
para el ejercicio de una serie de 
actividades económicas a escala 
comunitaria, falsear la 
competencia y dificultar la 
misión de las administraciones 
que intervienen en el ámbito de 
aplicación del Derecho 
comunitario; que esta diferencia 
en los niveles de protección se 
debe a la disparidad existente 
entre las disposiciones legales, 
reglamentarias y administrativas 
de los Estado miembros; 
(8) Considerando que, para 
eliminar los obstáculos a la 
circulación de datos personales, 
el nivel de protección de los 
derechos y libertades de las 
personas, por lo que se refiere 
al tratamiento de dichos datos, 
debe ser equivalente en todos los 
Estado miembros; que de ese 
objetivo, esencial para el 
mercado interior, no puede 
lograrse mediante la mera 
actuación de los Estados 
miembros, teniendo en cuenta en 
- 49 -
(7) Considerando que el objeto de 
las legislaciones nacionales 
relativas al tratamiento de datos 
personales consiste en asegurar el 
respeto de los derechos 
fundamentales, particularmente el 
derecho a la intimidad reconocido 
en el artículo 8 del Convenio para 
la protección de los derechos 
humanos y de las libertades 
fundamentales, así como en los 
principios generales del Derecho 
comunitario; que, por lo tanto, la 
aproximación de tales legislaciones 
no debe conducir a una disminución 
de la protección que éstas 
garantizan sino que, por el 
contrario, debe tener por objetivo 
asegurar un alto nivel de 
protección dentro de la Comunidad; particular las grandes 
diferencias existentes en la 
actualidad entre las 
legislaciones nacionales 
aplicables en la materia y la 
necesidad de coordinar las 
legislaciones de los Estados 
miembros para que el flujo 
transfronterizo de datos 
personales sea regulado de forma 
coherente y de conformidad con el 
objetivo del mercado interior 
definido en el artículo 8A del 
Tratado; que, por tanto, es 
necesario que la Comunidad 
intervenga para aproximar las 
legislaciones; 
(9) Considerando que las 
legislaciones nacionales 
relativas al tratamiento de datos 
personales tienen por objeto 
asegurar el respeto de los 
derechos y libertades 
fundamentales, particularmente 
del derecho a la intimidad 
reconocido en el artículo 8 del 
Convenio Europeo para la 
Protección de los Derechos 
Humanos y de las Libertades 
Fundamentales, así como en los 
principios generales del Derecho 
comunitario; que, por lo tanto, 
la aproximación de dichas 
legislaciones no debe conducir a 
una disminución de la protección 
que garantizan sino que, por el 
contrario, debe tener por objeto 
asegurar un alto nivel de 
protección dentro de la 
Comunidad; 
- 50 -
(22) Considerando que los 
principios contenidos en la 
presente Directiva concretan y 
amplían los del Convenio, de 28 de 
enero de 1981, del Consejo de 
Europa para la protección de las 
personas en lo referente al 
tratamiento automatizado de datos 
personales ; (10) Considerando que los 
principios de la protección de 
los derechos y libertades de las 
personas y, en particular, del 
respeto de la intimidad, 
contenidos en la presente 
Directiva, concretan y amplían 
los del Convenio de 28 de enero 
de 1981 del Consejo de Europa 
para la protección de las 
personas en lo que respecta al 
tratamiento automatizado de los 
datos personales; 
- 51 -
(9) Considerando que los principios 
de la protección deben aplicarse a 
todos los ficheros siempre que las 
actividades del responsable del 
fichero entren dentro del ámbito de 
aplicación del Derecho comunitario; 
que los ficheros del sector público 
que no entren dentro del ámbito de 
aplicación del Derecho comunitario 
deben estas sujetos a los mismos 
principios de protección recogidos 
en las legislaciones nacionales, 
como lo prevé la Resolución de los 
representantes de los Gobiernos de 
los Estados miembros de las 
Comunidades Europeas, reunidos en 
el seno del Consejo, de ... ; que, 
no obstante, deben excluirse los 
ficheros relacionados 
exclusivamente con el ejercicio del 
derecho a la intimidad de un 
persona física, como, por ejemplo, 
los ficheros personales de 
direcciones ; (11) Considerando que los 
principios de la protección deben 
aplicarse a todos los 
tratamientos de datos personales, 
siempre que las actividades del 
responsable del tratamiento 
entren en el ámbito de aplicación 
del Derecho comunitario; que los 
tratamientos efectuados por las 
administraciones, organismos y 
entidades de un Estado miembro 
para la ejecución de actividades 
que no entren en el ámbito de 
aplicación del Derecho 
comunitario deberían estar 
sujetos a los mismos principios 
de protección recogidos en las 
legislaciones nacionales, tal y 
como se establece en la 
Resolución de los representantes 
de los Gobiernos de los Estados 
miembros de las Comunidades 
Europeas, reunidos en el seno del 
Consejo, de ... ; que deben 
excluirse los tratamientos 
efectuados por qna persona física 
con fines exclusivamente 
privados, como pueden ser los 
relativos a la correspondencia o 
a la confección de un repertorio 
de direcciones; 
- 52 -
(10) Considerando que es necesario 
que todo tratamiento de datos 
personales efectuado en la 
Comunidad respete la legislación 
del Estado miembro en el que esté 
situado el fichero, a fin de que 
nadie quede privado de la 
protección que debe garantizársele 
en virtud de la presente Directiva; 
que, a este respecto, cada parte de 
un fichero repartido en diversos 
Estados miembros debe considerarse 
a todos los efectos como un fichero 
completo y su instalación en un 
tercer país no debe impedir la 
citada protección; (12) Considerando que, para 
evitar que una persona sea 
excluida de la protección 
garantizada por la presente 
Directiva, es necesario que todo 
tratamiento de datos personales 
efectuado en la Comunidad respete 
la legislación de uno de sus 
Estados miembros; que, a este 
respecto, resulta conveniente 
someter los tratamientos 
efectuados por cualquier persona 
establecida en un Estado miembro 
a la aplicación de la legislación 
de tal Estado; que el 
establecimiento del responsable 
de los tratamientos en un tercer 
país no debe constituir un 
obstáculo para la protección de 
las personas contemplada en la 
presente Directiva; que, en tal 
caso, resulta conveniente someter 
los tratamientos efectuados a la 
ley del Estado miembro en el que 
se encuentren los medios 
utilizados para el tratamiento de 
que se trate y exigir garantías 
para que los derechos y las 
obligaciones previstas en la 
presente Directiva sean 
efectivamente respetados; 
- 53 -
(12) Considerando que las 
legislaciones nacionales pueden 
precisar, en las condiciones 
previstas en la presente Directiva, 
las normas relativas a la 
legitimidad del tratamiento; que, 
no obstante, esta posibilidad no 
puede servir de fundamento para el 
control por parte de un Estado 
miembro que no sea aquel en el que 
esté situado el fichero, habida 
cuenta de que la obligación de este 
último de garantizar, con arreglo a 
la presente Directiva, la 
protección de la intimidad en lo 
referente al tratamiento de datos 
personales es suficiente, por lo 
que se refiere al Derecho 
comunitario, para permitir la libre 
circulación de datos; (13) Considerando que los Estados 
miembros pueden precisar en su 
legislación o en la aplicación de 
las disposiciones adoptadas en 
virtud de la presente Directiva 
las condiciones generales de 
licitud de los tratamientos; que, 
sin embargo, estas precisiones no 
pueden servir de base para el 
control de un Estado miembro que 
no sea aquel en el que reside el 
responsable del tratamiento, ya 
que la obligación de este último 
Estado miembro de garantizar, con 
arreglo a la presente Directiva, 
la protección de los derechos y 
libertades en lo que respecta a 
los tratamientos de datos 
personales es suficiente, a la 
luz del Derecho comunitario, para 
permitir la libre circulación de 
los datos; 
- 54 -
(14) Considerando que los 
principios de la protección 
tienen su expresión, por una 
parte, en las distintas 
obligaciones que incumben a las 
personas, autoridades públicas, 
empresas u organismos que 
efectúen tratamientos 
-obligaciones relativas, en 
particular, a la calidad de los 
datos, la seguridad técnica, la 
notificación a las autoridades de 
control, los fundamentos de los 
tratamientos, entre los que puede 
figurar el consentimiento del 
interesado- y, por otra parte, en 
los derechos otorgados a las 
personas cuyos datos sean objeto 
de tratamiento de ser informadas 
acerca de tales datos, de poder 
acceder a ellos, de solicitar su 
rectificación o incluso de 
oponerse a su tratamiento; 
(15) Considerando que todo 
tratamiento de datos personales 
debe efectuarse de forma leal y 
lícita con respecto al 
interesado; que debe referirse en 
particular a datos pertinentes y 
no excesivos en relación con los 
objetivos perseguidos; que estos 
objetivos han de ser explícitos y 
legítimos ; 
- 55 -
(11) Considerando que todo 
tratamiento de datos personales 
debe ser legítimo; que su 
legitimidad debe estar fundada en 
el consentimiento del interesado, 
en el Derecho comunitario o en las 
legislaciones nacionales; (16) Considerando que, para ser 
lícito, el tratamiento de datos 
personales debe basarse en el 
consentimiento del interesado, en 
la celebración o ejecución de un 
contrato que vincule al 
interesado, en el Derecho 
comunitario o aun en la 
legislación nacional, el interés 
general o un interés particular, 
siempre y cuando el interesado no 
tenga razones legítimas para 
oponerse a ello; que, en 
particular, para asegurar el 
equilibrio de los distintos 
intereses, al tiempo que se 
garantiza una competencia 
efectiva, los Estados miembros 
pueden precisar las condiciones 
en que pueden efectuarse las 
comunicaciones de datos 
personales a terceros con fines 
de prospección comercial o de 
prospección realizada por una 
asociación benéfica u otras 
asociaciones o fundaciones, en 
particular de carácter político, 
dentro del respeto de las 
disposiciones que permiten a los 
interesados oponerse, sin alegar 
los motivos y sin gastos, a la 
comunicación de los datos que les 
conciernan ; 
- 56 -
(16) Considerando que, para ser 
objeto de tratamiento, los datos 
deben cumplir determinados 
requisitos; que el tratamiento de 
datos que por su misma naturaleza 
puedan atentar contra el derecho a 
la intimidad debe estar prohibido, 
salvo consentimiento explícito del 
interesado; que, no obstante, por 
importantes razones de interés 
público, en particular para la 
profesión médica, pueden 
establecerse excepciones sobre la 
base de una ley que fije precisa y 
estrictamente las condiciones y 
límites del tratamiento de este 
tipo de datos; (17) Considerando, por lo demás, 
que los datos que por su 
naturaleza puedan atentar contra 
las libertades fundamentales o la 
intimidad no deben ser objeto de 
tratamiento alguno, salvo en caso 
de que el interesado haya dado su 
consentimiento por escrito; que, 
sin embargo, el tratamiento de 
estos datos debe ser autorizado 
cuando sea efectuado por una 
asociación que tenga por objeto 
favorecer el ejercicio de tales 
libertades; que, además por 
motivos de interés público 
importante, en particular, en el 
caso de las profesiones médicas, 
pueden establecerse excepciones 
fundadas en una disposición legal 
o en una autorización de las 
autoridades de control que fije 
los límites y garantías adecuados 
para el tratamiento de este tipo 
de datos; 
- 57 -
(18) Considerando que, en el ámbito 
de los medios de comunicación, los 
Estados miembros pueden establecer 
excepciones a las disposiciones de 
la presente Directiva siempre que 
estén encaminadas a conciliar el 
derecho a la intimidad con la 
libertad de información y el 
derecho a recibir y comunicar 
información, garantizado en el 
artículo 10 del Convenio para la 
protección de los derechos humanos 
y de las libertades fundamentales; 
(14) Considerando que el interesado 
debe recibir una información 
efectiva y completa cuando se 
solicite su consentimiento, 
dependiendo de ello su validez, y 
cuando se le soliciten datos sobre 
su persona; (18) Considerando que para el 
tratamiento de datos personales 
con fines periodísticos deben 
preverse excepciones a las 
disposiciones de la presente 
Directiva, excepciones que 
resultan necesarias para 
conciliar los derechos 
fundamentales de la persona cón 
la libertad de expresión y, en 
particular, la libertad de 
recibir o comunicar información, 
tal y como se garantiza en el 
artículo 10 del Convenio Europeo 
para la Protección de los 
Derechos Humanos y de las 
Libertades Fundamentales; 
(19) Considerando que el 
tratamiento leal de datos supone 
que los interesados puedan 
conocer la existencia de los 
tratamientos y recibir 
información efectiva y completa 
cuando los datos se obtengan de 
ellos y, a más tardar, cuando los 
datos sobre su persona se 
comuniquen por primera vez a 
terceros si la información no se 
facilitó durante la recogida de 
dichos datos; 
- 58 -
(15) Considerando que el interesado 
debe disfrutar del derecho de 
acceso a fin de comprobar la 
legitimidad del tratamiento de los 
datos que le conciernan, así como 
la calidad de éstos; (20) Considerando que cualquier 
persona debe disfrutar del 
derecho de acceso a los datos que 
le conciernan y sean objeto de 
tratamiento, para cerciorarse de 
su exactitud y de la licitud de 
su tratamiento; que, por 
consiguiente, cualquier persona 
debe disfrutar del derecho de 
oponerse, por razones legítimas, 
al tratamiento de datos; 
(17) Considerando que, en lo 
referente a los datos personales, 
la protección de la intimidad exige 
la adopción de medidas de seguridad 
apropiadas, tanto en la fase de 
concepción del tratamiento como con 
relación a la tecnología de éste, a 
fin de impedir todo tratamiento no 
autorizado; (21) Considerando que la 
protección de los derechos y 
libertades de los interesados en 
lo que respecta a los 
tratamientos de datos personales 
exige la adopción de medidas 
técnicas apropiadas tanto en el 
momento de la concepción de las 
tecnologías como en el de la 
aplicación de los tratamientos, 
sobre todo con objeto de 
garantizar la seguridad e 
impedir, por tanto, todo 
tratamiento no autorizado; 
- 59 -
(13) Considerando que los 
procedimientos de notificación, 
para los ficheros del sector 
público o privado, y de información 
en el momento de la primera 
comunicación, para los ficheros del 
sector privado, tienen por objeto 
asegurar la transparencia 
indispensable para el ejercicio del 
derecho de acceso del interesado a 
los datos que le conciernen; (22) Considerando que los 
procedimientos de notificación 
tienen por objeto asegurar la 
publicidad de los fines de los 
tratamientos y de sus principales 
características a fin de 
controlarlos a la luz de las 
disposiciones nacionales 
adoptadas en aplicación de la 
presente Directiva; que para 
evitar trámites administrativos 
improcedentes, los Estados 
miembros deben establecer 
exenciones o simplificaciones de 
la notificación para los 
tratamientos que no atenten 
contra los derechos y las 
libertades de los interesados, 
siempre y cuando sean conformes a 
un acto adoptado por el Estado 
miembro en el que se precisen los 
límites; 
- 60 -
(23) Considerando que el control 
a posteriori por parte de las 
autoridades competentes debe 
considerarse, en general, una 
medida suficiente; que, no 
obstante, los Estados miembros 
deben prever un examen por la 
autoridad de control previo a la 
aplicación de los tratamientos 
que presenten riesgos 
particulares desde el punto de 
vista de los derechos y las 
libertades de los interesados, ya 
sea por su naturaleza, su alcance 
o su finalidad como los que 
tienen por objeto excluir a los 
interesados del beneficio de un 
derecho, de una prestación o de 
un contrato; que los Estados 
miembros tienen la facultad de 
sustituir este examen previo por 
una medida legislativa o una 
decisión de las autoridades de 
control por la que se autorice el 
tratamiento y se especifiquen 
las garantías adecuadas; 
- 61 -
(20) Considerando que, en caso de 
incumplimiento de las disposiciones 
previstas en la presente Directiva, 
la responsabilidad debe recaer, en 
caso de interponerse una acción por 
daños y perjuicios, en el 
responsable del fichero; que deben 
aplicarse sanciones disuasivas a 
fin de garantizar una protección 
efectiva; (24) Considerando que las 
legislaciones nacionales deben 
prever un recurso judicial para 
los casos en que el responsable 
del tratamiento no respete los 
derechos de los interesados; que 
los daños que pueden sufrir las 
personas a raíz de un tratamiento 
ilícito han de ser reparados por 
el responsable del tratamiento, 
el cual sólo podrá ser eximido de 
responsabilidad si demuestra que 
ha adoptado las medidas de 
seguridad adecuadas; que deben 
imponerse sanciones disuasorias a 
cualquier persona, ya sea de 
Derecho privado o de Derecho 
público, que no respete las 
disposicines nacionales adoptadas 
en aplicación de la presente 
Directiva; 
- 62 -
(21) Considerando que es, asimismo, 
necesario permitir la transferencia 
de datos personales a terceros 
países que tengan un nivel de 
protección adecuado; que, a falta 
de tal protección, la presente 
Directiva prevé, en particular, 
procedimientos de negociación con 
dichos países; (25) Considerando que los flujos 
transfronterizos de datos 
personales son necesarios para el 
desarollo de los intercambios 
internacionales; que la 
protección de las personas 
garantizada en la Comunidad por 
la presente Directiva no se opone 
a la transferencia de datos 
personales a terceros países que 
garanticen un nivel de protección 
adecuado; que el carácter 
adecuado del nivel de protección 
ofrecido por un tercer país debe 
apreciarse teniendo en cuenta 
todas las circunstancias 
relacionadas con la transferencia 
o la categoría de transferencias; 
(26) Considerando, por el 
contrario, que cuando un tercer 
país no ofrece un nivel de 
protección adecuado debe 
prohibirse la transferencia al 
mismo de datos personales; que 
han de establecerse excepciones a 
esta prohibición en determinadas 
circunstancias, cuando el 
interesado haya dado su 
consentimiento o haya sido 
informado o cuando lo exija la 
salvaguardia del interés público; 
que pueden adoptarse medidas 
particulares para paliar la 
insuficiencia del nivel de 
λ 
i 
- 63 -
(19) Considerando que los Estados 
miembros deben fomentar la 
elaboración por los medios 
profesionales de códigos 
deontológicos o de buena conducta 
europeos, para determinados 
sectores específicos; que la 
Comisión apoyará estas iniciativas 
y las tendrá en cuenta a la hora de 
examinar la conveniencia de adoptar 
adicionales nuevas medidas 
específicas para determinados 
sectores; protección en un tercer país, en 
caso de que el responsable del 
tratamiento ofrezca garantías 
adecuadas; que, por lo demás, 
deben preverse procedimientos de 
negociación entre la Comunidad y 
los terceros países de que se 
trate; 
(27) Considerando que los Estados 
miembros pueden prever, asimismo, 
el recurso a unos códigos de 
conducta nacionales elaborados 
por los sectores profesionales, y 
presentados a la autoridad de 
control para que emita su 
dictamen, con objeto de adaptar 
las disposiciones nacionales 
adoptadas en aplicación de la 
presente Directiva a las 
particularidades de los 
tratamientos efectuados en 
determinados sectores; 
(28) Considerando que los Estados 
miembros deben alentar a los 
sectores profesionales para que 
elaboren unos códigos de conducta 
comunitarios a fin de facilitar 
la aplicación de la presente 
Directiva; que la Comisión 
apoyará tales iniciativas y las 
tendrá en cuenta cuando examine 
la oportunidad de las medidas 
adicionales específicas para 
determinados sectores; 
- 64 -
(23) Considerando que la existencia 
de una autoridad de control 
independiente en cada Estado 
miembro es un elemento esencial de 
la protección de las personas en lo 
referente al tratamiento de datos 
personales; que, a nivel 
comunitario, debe crearse un Grupo 
de protección de datos personales, 
que ejerza sus funciones con total 
independencia; que, habida cuenta 
de su carácter específico, debe 
asesorar a la Comisión y contribuir 
a la aplicación homogénea de las 
normas nacionales adoptadas en 
aplicación de la presente 
Directiva; (29) Considerando que la creación 
de una autoridad de control 
independiente en cada uno de los 
Estados miembros es un elemento 
esencial de la protección de las 
personas en lo que respecta al 
tratamiento de datos personales; 
que dicha autoridad debe ser 
dotada de los medios necesarios 
para cumplir su función, ya se 
trate de poderes de investigación 
o de intervención o de poderes 
otorgados en el marco de los 
procedimientos de notificación; 
que tal autoridad ha de 
contribuir a la transparencia de 
los tratamientos efectuados en el 
Estado miembro del que depende; 
que las autoridades de los 
distintos Estados miembros habrán 
de prestarse ayuda mutua en el 
ejercicio de sus funciones; 
(30) Considerando que se debe 
crear, en el ámbito comunitario, 
un Grupo de protección de las 
personas en lo que respecta al 
tratamiento de datos personales, 
el cual habrá de ejerce.· sus 
funciones con plana 
independencia; que, teniendo en 
cuenta este carácter específico, 
el Grupo deberá asesorar a la 
Comisión y contribuir, en 
particular, a la aplicación 
uniforme de las normas nacionales 
adoptadas en aplicación de la 
presente Directiva; 
- 65 -
(24) Considerando que la adopción 
de medidas complementarias para la 
aplicación de los principios de la 
presente Directiva exige la 
atribución a la Comisión de 
facultades reglamentarias y el 
establecimiento de un Comité 
consultivo con arreglo a las normas 
establecidas en la Decisión 
87/373/CEE del Consejo*1). (31) Considerando que la adopción 
de medidas complementarias para 
la aplicación de los principios 
de la presente Directiva requiere 
que se atribuya a la Comisión un 
poder reglamentario y que se cree 
un comité consultivo con arreglo 
al procedimiento establecido en 
la Decisión 87/373/CEE del 
Consejo(1); 
(1) DO ns C 197 de 18.7.1987, 
pág. 33. (1) DO ns L 197 de 18.7.1987, 
pág. 33. 
- 66 -
(8) Considerando que los principios 
de la protección de la intimidad en 
lo referente al tratamiento de 
datos personales, que constituyen 
el objeto de la presente Directiva, 
podrán completarse o precisarse, 
especialmente en determinados 
sectores, mediante normas 
específicas conformes a dichos 
principios; (32) Considerando que los 
principios de la protección de 
los derechos y libertades de las 
personas y, en particular, el 
respeto de la intimidad en lo que 
se refiere al tratamiento de los 
datos personales objeto de la 
presente Directiva podrán 
completarse o precisarse, sobre 
todo en determinados sectores, 
mediante normas específicas 
conformes a estos principios; 
(33) Considerando que resulta 
oportuno conceder a los Estados 
miembros un plazo que no podrá 
ser superior a tres años a partir 
de la entrada en vigor de las 
medidas nacionales de 
transposición de la presente 
Directiva, a fin de que puedan 
aplicar de manera progresiva las 
nuevas disposiciones nacionales 
mencionadas a todos los 
tratamientos ya existentes; 
(34) Considerando que la presente 
Directiva no se opone a que un 
Estado miembro regula las 
actividades de prospección 
comercial destinadas a los 
consumidores que residan en su 
territorio, en la medida en que 
dicha regulación no afecte a la 
protección de las personas en lo 
que respecta a los tratamientos 
de datos personales, 
HA ADOPTADO LA PRESENTE DIRECTIVA: HA ADOPTADO LA PRESENTE 
DIRECTIVA: 
- 67 -
CAPÍTULO I 
DISPOSICIONES GENERALES 
Articulo 1 
Objeto de la Directiva 
Los Estados miembros garantizarán, 
con arreglo a las disposiciones de 
la presente Directiva, la 
protección de la intimidad de las 
personas en lo referente al 
tratamiento de los datos 
personales contenidos en ficheros. 
Los Estados miembros no podrán 
restringir o prohibir la libre 
circulación de datos personales 
entre los Estados miembros por 
motivos relacionados con la 
protección asegurada en virtud del 
apartado 1. CAPÍTULO I 
DISPOSICIONES GENERALES 
Artículo 1 
Objeto de la Directiva 
1. Los Estados miembros garantizarán, 
con arreglo a las disposiciones de 
la presente Directiva, la 
protección de los derechos y 
libertades de las personas 
físicas, y en particular de su 
derecho a la intimidad, en lo que 
respecta al tratamiento de los 
datos personales. 
2. Los Estados miembros no podrán 
restringir o prohibir la libre 
circulación de datos personales 
entre los Estados miembros por 
motivos relacionados con la 
protección garantizada en virtud 
del apartado 1. 
- 68 -
Articulo 2 
Definiciones 
A efectos de la presente Directiva, 
se entenderá por: 
(a) "datos personales", toda 
información sobre una persona 
natural identificada o 
identificable ("el interesado"); 
se considerará identificable 
toda persona cuya identidad 
pueda determinarse mediante un 
número de identificación u otra 
información similar; Artículo 2 
Definiciones 
A efectos de la presente Directiva, 
se entenderá por: 
(a) "datos personales", toda 
información sobre una persona 
física identificada o 
identificable ("el interesado"); 
se considerará identificable 
toda persona cuya identidad 
pueda determinarse, directa o 
indirectamente, mediante un 
número de identificación o uno o 
varios elementos específicos, 
característicos de su identidad 
física, fisiológica, psíquica, 
económica, cultural o social; 
No se considerarán de carácter 
personal los datos reunidos en 
estadísticas de tal modo que los 
interesados dejan de ser 
razonablemente identificables; 
- 69 -
(b) "procedimiento de disociación" 
(anónimo), toda modificación de 
datos personales cuyo objeto sea 
que la información contenida en 
éstos no pueda seguir 
asociándose con una persona 
física determinada o 
determinable, o únicamente pueda 
asociarse a tal persona a 
expensas de una inversión 
excesiva de tiempo y recursos 
humanos y económicos; 
(d) "tratamiento", las siguientes 
operaciones, efectuadas o no 
mediante procedimientos 
automatizados: registro, 
conservación, interconexión, 
modificación, utilización y 
comunicación de datos, en 
particular su transmisión, 
difusión y extracción, así como 
su bloqueo y supresión; (b) "tratamiento de datos 
personales" (tratamiento), 
cualquier operación o conjunto 
de operaciones, efectuadas o no 
mediante procedimientos 
automatizados, y aplicadas a 
datos personales, como la 
recogida, registro, 
organización, conservación, 
elaboración o modificación, 
extracción, consulta, 
utilización, comunicación por 
transmisión, difusión o 
cualquier otra forma que 
facilite el acceso a los mismos, 
cotejo o interconexión, así como 
su bloqueo o supresión; 
- 70 -
(c) "fichero de datos personales" 
(fichero), todo conjunto de 
datos personales, centralizados 
o repartidos en diversos 
emplazamientos, que sean objeto 
de un tratamiento automatizado o 
que, sin serlo, estén 
estructurados y sean accesibles 
dentro de una recopilación 
organizada según criterios 
determinados con objeto de 
facilitar su utilización o 
interconexión; (c) "fichero de datos personales" 
(fichero), todo conjunto 
estructurado de datos 
personales, centralizados o 
repartidos en diversos 
emplazamientos y accesibles con 
arreglo a criterios 
determinados, que tengan por 
objeto o efecto facilitar la 
utilización o el cotejo de datos 
relativos a los interesados; 
(e) "responsable del fichero", la 
persona natural o jurídica, 
autoridad pública, servicio o 
cualquier otro organismo que, 
con arreglo al Derecho 
Comunitario o a la legislación 
de un Estado miembro, sea 
competente para decidir la 
finalidad del fichero, qué 
categorías de datos personales 
deben registrarse, qué 
operaciones deben aplicárseles a 
éstos y a qué terceros está 
permitido el acceso a los 
mismos ; (d) "responsable del tratamiento", 
la persona física o jurídica, 
autoridad pública, servicio o 
cualquier otro organismo que 
trate u ordene tratar datos 
personales y decida acerca de la 
finalidad y los objetivos del 
tratamiento, los datos 
personales que deben tratarse, 
las operaciones que deben 
aplicárseles y los terceros que 
pueden tener acceso a dichos 
datos; 
e) "encargado del tratamiento", la 
persona física o jurídica que 
trate datos personales por cuenta 
del responsable del tratamiento; 
- 71 -
(f) "terceros", las personas físicas 
o jurídicas, con excepción del 
interesado, del responsable del 
tratamiento y de las personas 
autorizadas para tratar los 
datos bajo su autoridad directa 
o por su cuenta; 
Artículo 12 
Consentimiento informado 
El consentimiento del interesado para 
el tratamiento de datos personales 
que le conciernan, tal como se define 
en la presente Directiva, únicamente 
será válido cuando: 
a) el interesado disponga de la 
siguiente información: 
- fines del fichero y tipos de 
datos registrados; 
- tipo de utilización y, en su 
caso, destinatarios de los 
datos personales contenidos en 
el fichero; (g) "consentimiento del interesado", 
toda manifestación explícita de 
voluntad mediante la que el 
interesado consiente el 
tratamiento de datos personales 
que le conciernen, siempre y 
cuando disponga de información 
acerca de los objetivos del 
tratamiento, los datos o 
categorías de datos que vayan a 
tratarse, los destinatarios de 
los datos personales, así como 
el nombre y dirección del 
responsable del tratamiento o, 
en su defecto, de su 
representante; 
El consentimiento será libre y 
específico y el interesado podrá 
retirarlo en cualquier momento, 
sin efectos retroactivos. 
- nombre y dirección del 
responsable del fichero; 
- 72 -
(b) el consentimiento sea especifico 
y expreso y precise qué tipos de 
datos, formas de tratamiento y 
posibles destinatarios abarca; 
(c) pueda ser revocado por el 
interesado en todo momento sin 
efectos retroactivos. 
(f) "autoridad de control", aquella 
autoridad pública independiente, 
o cualquier otra instancia 
independiente, designada por 
cada uno de los Estados miembros 
de conformidad con el artículo 
26 de la presente Directiva; 
(g) "sector público", el conjunto de 
las administraciones, organismos 
y entidades de un Estado miembro 
sujetos al Derecho público (con 
excepión de aquellas que 
participen en una actividad 
industrial o comercial) y los 
organismos y entidades de 
Derecho privado que participen 
en el ejercicio de la autoridad 
pública; 
- 73 -
(h) "sector privado", toda persona 
natural o jurídica, o asociación 
(administraciones, 
organizaciones y entidades del 
sector público inclusive) en la 
medida en que ejerza una 
actividad industrial o 
comercial. 
Artículo 3 Artículo 3 
Ámbito de aplicación Ámbito de aplicación 
1. Los Estados miembros aplicarán las 
disposiciones de la presente 
Directiva a los ficheros del 
sector privado y del sector 
público, con excepción de los 
ficheros del sector público cuyas 
actividades no estén comprendidas 
en el ámbito de aplicación del 
Derecho comunitario. 1. Las disposiciones de la presente 
Directiva se aplicarán a los 
tratamientos de datos personales, 
automatizados completamente o en 
parte, así como a los tratamientos 
no automatizados de datos 
personales contenidos o destinados 
a ser incluidos en los ficheros. 
2. Las disposiciones de la presente 
Directiva no se aplicarán a los 
siguientes ficheros: 
(a) aquellos pertenecientes a una 
persona natural con fines 
exclusivamente privados y 
personales, ni a 2. Las disposiciones de la presente 
Directiva no se aplicarán: 
a los tratamientos efectuados en 
el ejercicio de actividades que no 
entren en el ámbito de aplicación 
del Derecho comunitario; 
- 74 -
- a los tratamientos de datos 
personales efectuados por una 
persona física en el ejercicio de 
actividades exclusivamente 
privadas y personales. (b) aquellos pertenecientes a 
asociaciones sin ánimo de lucro, 
especialmente, las de carácter 
político, filosófico, religioso, 
cultural, sindical, deportivo o 
recreativo y que se utilicen en 
el marco de finalidades 
legítimas, a condición de que se 
refieran únicamente a los socios 
y miembros correspondientes de 
la asociación que hayan accedido 
a figurar en dichos ficheros y 
siempre que no sean comunicados 
a terceros. 
Artículo 4 
Derecho aplicable 
1. Los Estados miembros aplicarán 
las disposiciones de la presente 
Directiva a: Artículo 4 
Derecho nacional aplicable 
1. Los Estados miembros aplicarán las 
disposiciones nacionales adoptadas 
en aplicación de la presente 
Directiva a todos los tratamientos 
de datos personales: 
a) todos los ficheros existentes en 
su territorio; 
- 75 -
(b) los responsables de los ficheros 
que residan en su territorio y 
desde éste utilicen ficheros de 
un tercer país cuya legislación 
no ofrezca un nivel de 
protección adecuado, salvo que 
utilicen dichos ficheros de 
manera esporádica. (a) cuyo responsable esté 
establecido en su territorio o 
esté sometido a su jurisdicción; 
(b) cuyo responsable no esté 
establecido en el territorio de 
la Comunidad, cuando dicho 
responsable utilice medios, 
automatizados o no, localizados 
en el territorio de dicho Estado 
miembro para el tratamiento de 
datos personales. 
2. Los Estados miembros aplicarán las 
disposiciones de los artículos 5, 
6, 8, 9, 10, 17, 18 y 21 a los 
usuarios que consulten un fichero 
situado en un país tercero por 
medio de un terminal sito en el 
territorio de un Estado miembro, 
salvo que dicha utilización tenga 
carácter esporádico. 2. En el caso mencionado en la 
letra b) del apartado 1, el 
responsable del tratamiento deberá 
designar un representante 
establecido en el territorio de 
dicho Estado miembro, que se 
subrogará en los derechos y 
obligaciones del responsable. 
- 76 -
3. Los Estados miembros no podrán 
oponerse a la introducción 
temporal en su territorio de un 
fichero procedente de otro Estado 
miembro ni exigir más formalidades 
que las aplicables en el Estado 
miembro en que el fichero en 
cuestión tenga su ubicación 
permanente. 
CAPÍTULO II 
CONDICIONES GENERALES PARA LA 
LICITUD DEL TRATAMIENTO 
DE DATOS PERSONALES 
Artículo 5 
Los Estados miembros preverán que los 
tratamientos de datos personales sólo 
sean lícitos cuando se efectúen de 
conformidad con lo dispuesto en el 
presente Capítulo. 
Sin perjuicio de lo dispuesto en el 
presente Capítulo, los Estados 
miembros podrán precisar las 
condiciones en las que los 
tratamientos de datos personales 
serán lícitos. 
- 77 -
CAPÍTULO V 
CALIDAD DE LOS DATOS 
Articulo 16 
Principios 
1. Los Estados miembros preverán que: 
(a) la recogida y el tratamiento de 
datos personales se efectúen de 
forma lícita y leal; 
(b) los datos sean registrados con 
fines determinados, explícitos y 
legítimos y utilizados de manera 
compatible con dichos fines; 
(c) los datos sean adecuados, 
pertinentes y no excesivos con 
relación a los fines para los 
que se registren; 
(d) los datos sean exactos y, cuando 
sea necesario, se actualicen; 
los datos inexactos o 
incompletos deberán ser 
suprimidos o rectificados; SECCIÓN I 
PRINCIPIOS RELATIVOS A LA 
CALIDAD DE LOS DATOS 
Artículo 6 
1. Los Estados miembros preverán 
que : 
(a) el tratamiento de datos 
personales se efectúe de manera 
leal y lícita; 
(b) los datos sean recogidos con 
fines determinados, explícitos y 
legítimos y utilizados de manera 
compatible con dichos fines; 
(c) los datos sean adecuados, 
pertinentes y no excesivos con 
relación a los fines para los 
que se traten; 
(d) los datos sean exactos y, cuando 
sea necesario, se actualicen; 
deberán tomarse todas las 
medidas necesarias para que los 
datos inexactos o incompletos, 
con respecto a los fines para 
los que fueron recogidos, sean 
suprimidos o rectificados; 
- 78 -
(e) los datos no sean conservados en 
una forma que permita la 
identificación del interesado 
durante un período superior al 
necesario para los fines para 
los que se hayan registrado. (e) los datos no sean conservados en 
una forma que permita la 
identificación del interesado 
durante un período superior al 
necesario para los fines 
perseguidos. Los Estados 
miembros podrán prever garantías 
apropiadas para los datos 
personales archivados por 
motivos históricos, estadísticos 
o científicos. 
2. Incumbirá a los responsables del 
fichero garantizar el respeto de 
las disposiciones previstas en el 
apartado 1. 2. Corresponderá a los responsables 
del tratamiento garantizar el 
respeto de las disposiciones 
establecidas en el apartado 1. 
CAPÍTULO II 
LEGITIMIDAD DEL TRATAMIENTO 
EN EL SECTOR PÚBLICO 
Artículo 5 
Principios SECCIÓN II 
PRINCIPIOS RELATIVOS A LOS 
MOTIVOS PARA EL TRATAMIENTO 
DE DATOS 
Artículo 7 
1. Sin perjuicio de las disposiciones 
del artículo 6, los Estados 
miembros preverán en su 
legislación, respecto a los 
ficheros del sector público: Los Estados miembros preverán que el 
tratamiento de datos personales sólo 
pueda efectuarse si: 
- 79 -
(a) que se consideren legítimos el (a) 
establecimiento de un fichero y 
cualquier otro tratamiento de 
datos personales cuando sean (b) 
necesarios para la ejecución de 
los cometidos de la autoridad 
pública responsable del fichero; el interesado ha dado su 
consentimiento, o 
es necesario para la ejecución 
de un contrato celebrado con el 
interesado o para la aplicación 
de medidas previas a la 
celebración del contrato 
adoptadas en respuesta a una 
solicitud del interesado, o 
(b) que se considere legítimo el 
tratamiento de datos con una 
finalidad distinta de aquélla 
para la que se haya establecido 
el fichero cuando: 
- el interesado dé su 
consentimiento, 
- el tratamiento se efectúe 
sobre la base del Derecho 
comunitario, de una ley o de 
un acto adoptado en aplicación 
de una ley de un Estado 
mie.ubro conforme a la presente 
Directiva y que autorice dicho 
tratamiento y fije sus 
límites, (c) es necesario para respetar una 
obligación prevista en el 
Derecho nacional o en la 
normativa comunitaria, o 
(d) es necesario para proteger el 
interés vital del interesado, o 
(e) es necesario para el 
cumplimiento de una misión de 
interés público o inherente al 
ejercicio de la autoridad 
pública conferida al responsable 
del tratamiento o a un tercero a 
quien se comunican los datos, o 
- 80 -
a ese cambio de finalidad no se 
oponga un interés legítimo del 
interesado, o 
sea necesario a fin de prevenir 
una amenaza imminente al orden 
público o una violación grave de 
os derechos de terceros. f) es necesario para satisfacer el 
interés general, el interés 
legítimo del responsable del 
tratamiento o de los terceros a 
quienes se comunican los datos, 
siempre que no prevalezca el 
interés del interesado. 
Artículo 6 
Tratamiento en el sector público 
para la comunicación de 
datos personales 
1. Los Estados miembros preverán en 
su legislación que la comunicación 
de datos personales contenidos en 
ficheros de una entidad del sector 
público únicamente sea legítima: 
a) cuando sea necesaria para el 
ejercicio de las funciones de la 
entidad del sector público que 
comunique o que solicite la 
comunicación de esos datos, o 
.s' 
) a petición de una persona natural 
o jurídica del sector privado que 
invoque un interés legítimo, a 
condición de que no prevalezca el 
interés del interesado. 
. Sin perjuicio de las disposiciones 
contempladas en el apartado 1, los 
Estados miembros podrán precisar 
las condiciones que determinen la 
legitimidad de la comunicación de 
datos personales. 
. En los casos contemplados en la 
letra b) del apartado 1 los 
Estados miembros dispondrán en su 
legislación que el responsable del 
fichero informe a los interesados 
de la comunicación de los datos 
personales. No obstante, los 
Estados miembros podrán prever la 
sustitución de dicha obligación de 
informar a los interesados por una 
autorización previa de la 
autoridad c'e control. 
- 82 -
CAPÍTULO III 
LEGITIMIDAD DEL TRATAMIENTO 
EN EL SECTOR PRIVADO 
Articulo 8 
Principios 
1. Los Estados miembros preverán en 
su legislación que, sin el 
consentimiento del interesado, el 
registro en un fichero y cualquier 
otro tratamiento de datos 
personales sólo sean legítimos si 
se ajustan a las disposiciones de 
la presente Directiva y si: 
a) se efectúan con arreglo a un 
contrato celebrado con el 
interesado o al amparo de una 
relación de confianza casi 
contractual con éste y, admás, son 
necesarios para el cumplimiento 
del contrato; o 
- 83 -
b) los datos provienen de fuentes 
generalmente accesibles para el 
público y su tratamiento tiene 
como única finalidad la 
corresondencia; o 
c) el responsable del fichero 
defiende un interés legítimo sobre 
el que no prevalezca el interés 
del interesado. 
2. Los Estados miembros preverán en 
su legislación que incumba al 
responsable del fichero aseguarse 
de la compatibilidad de las 
comunicaciones con la finalidad de 
dicho fichero, y de que éstas no 
afectan al orden público. En caso 
de consulta en línea, el usuario 
estará sujeto a las mismas 
obligaciones. 
3. Sin perjuicio de las disposiciones 
contempladas en el apartado 1, los 
Estados miembros podrán precisar 
las condiciones que determinen la 
legitimidad del tratamiento de 
datos personales. 
- 84 -
CAPÍTULO V 
CALIDAD DE LOS DATOS 
Articulo 17 
Categorías especiales de datos SECCION III 
CATEGORÍAS ESPECIALES DE 
TRATAMIENTOS DE DATOS 
Artículo 8 
Tratamientos de categorías 
especiales de datos 
1. Salvo acuerdo libre, expreso y 
escrito del interesado, los Estdos 
miembros prohibirán el tratamiento 
automatizado de datos que revelen 
el origen racial y étnico, la 
opinión política, las convicciones 
religiosas o filosóficas, las 
afiliaciones sindicales, así como 
las informaciones relacioadas con 
la salud y la vida sexual. 1. Los Estados miembros prohibirán el 
tratamiento de datos que revelen 
el origen racial y étnico, la 
opinión política, las convicciones 
religiosas, filosóficas o morales, 
la afiliación sindical, así como 
las informaciones relacionadas con 
la salud y la vida sexual. 
2. Los Estados miembros preverán que 
pueda efectuarse el tratamiento de 
datos contemplado en el apartado 1 
cuando : 
- 85 -
(a) el interesado haya dado su 
consentimiento por escrito a 
dicho tratamiento, salvo en los 
casos en que la legislación del 
Estado miembro prevea que la 
prohibición establecida en el 
apartado 1 no pueda levantarse 
con el consentimiento del 
interesado, 
(b) el tratamiento lo efectúe una 
fundación o asociación sin ánimo 
de lucro, de tipo politico, 
religioso o sindical, para sus 
fines legítimos, siempre que se 
refiera exclusivamente a los 
miembros de la fundación o de la 
asociación y personas 
relacionadas con ellas y con tal 
de que los datos no se 
comuniquen a terceros sin el 
consentimiento de los 
interesados, 
(c) el tratamiento se efectúe en 
circunstancias tales que resulte 
manifiesto que no atenta contra 
la intimidad ni las libertades. 
Los tratamientos contemplados en la 
letra b) quedarán exentos de la 
obligación de notificación prevista 
en la Sección VIII del presente 
Capitulo. 
- 86 -
Por motivos importantes de interés 
público, los Estados miembros 
podrán establecer excepciones a 
las disposiciones del apartado 1 
sobre la base de una ley en la que 
se precisen los tipos de datos que 
puedan ser registrados, las 
personas que tengan acceso al 
fichero y las garantías apropiadas 
contra los usos abusivos y el 
acceso no autorizado. 3. Por motivos de interés público 
importantes, los Estados miembros 
podrán establecer excepciones a 
las disposiciones del apartado 1, 
mediante una disposición legal 
nacional o una decisión de la 
autoridad de control, en las que 
se precisen los tipos de datos que 
pueden ser tratados, las personas 
destinatarias de los datos, la 
cualificación del responsable del 
tratamiento y las garantías 
apropiadas. 
Los datos relativos a condenas 
penales únicamente podrán 
conservarse en ficheros del sector 
público. 4. Los datos relativos a las condenas 
penales únicamente podrán ser 
conservados por las autoridades 
judiciales y las personas 
afectadas directamente por las 
decisiones de que se trate o sus 
representantes; no obstante, los 
Estados miembros podrán establecer 
excepciones mediante disposiciones 
legales nacionales en las que se 
especifiquen las garantías 
apropiadas. 
5. Los Estados miembros determinarán 
las condiciones en las que podrá 
utilizarse un número nacional de 
identificación o cualquier otro 
medio de identificación de 
carácter general. 
- 87 -
CAPITULO VI 
DISPOSICIONES ESPECÍFICAS 
PARA DETERMINADOS SECTORES 
Artículo 19 
Los Estados miembros podrán 
establecer, para los organismos de 
prensa y del sector audiovisual, 
excepciones a las disposiciones de la 
presente Directiva, en la medida en 
que sean necesarias para conciliar el 
derecho a la intimidad con las normas 
que rigen la libertad de información 
y de la prensa. Artículo 9 
Tratamientos de datos 
personales y libertad 
de expresión 
Con objeto de conciliar el derecho a 
la intimidad con las normas que rigen 
la libertad de expresión, los Estados 
miembros establecerán excepciones a 
las disposiciones de la presente 
Directiva en lo que respecta al 
tratamiento de datos personales para 
fines periodísticos efectuado por los 
organismos de prensa y del sector 
audiovisual, así como por los propios 
periodistas. 
- 88 -
CAPÍTULO IV 
DESECHOS DEL INTERESADO 
Artículo 14 
Derechos complementarlos 
del interesado SECCÍON IV 
INFORMACIÓN AL INTERESADO 
Artículo 10 
Información sobre la 
existencia de un tratamiento 
Los Estados miembros reconocerán al 
interesado los siguientes derechos: 
3) A conocer la existencia de un 
fichero y sus finalidades 
principales, así como la identidad 
y residencia habitual, domicilio 
social o establecimiento del 
responsable del fichero. 1. Los Estados miembros garantizarán 
a toda persona el derecho a 
conocer, previa solicitud, la 
existencia de un tratamiento, sus 
fines, las categorías de datos 
objeto del mismo, así como los 
terceros o categorías de terceros 
a quienes se comunican dichos 
datos, el nombre y la dirección 
del responsable del tratamiento y, 
en su caso, de su representante. 
2. Los Estados miembros podrán prever 
excepciones al apartado 1 en las 
condiciones previstas en el 
apartado 1 del artículo 14. 
- 89 -
Articulo 13 
Información en el momento de 
la recogida de datos 
1. Los Estados miembros garantizarán 
a las personas de las gue se 
soliciten datos personales el 
derecho a ser informadas, al menos 
sobre: 
(a) los fines del fichero al que 
vaya destinada la información, 
(b) el carácter obligatorio o 
facultativo de su respuesta a 
las preguntas que les sean 
planteadas, 
(c) las consecuencias que para ellas 
podría acarrear una falta de 
respuesta, 
(d) los destinatarios de la 
información, Artículo 11 
Información en caso de obtención 
de datos del interesado 
1. Los Estados miembros preverán que 
el responsable del tratamiento 
deba velar por que la persona de 
la que se obtengan datos sea 
informada al menos sobre : 
(a) los fines del tratamiento de que 
van a ser objeto los datos, y 
(b) el carácter obligatorio o no de 
la respuesta a las preguntas 
formuladas para recabar datos y 
(c) las consecuencias que para ellos 
supondría una negativa a 
responder, y 
(d) los destinatarios o categorías 
de destinatarios de los datos, y 
- 90 -
(e) la existencia del derecho de 
acceso y de rectificación de los 
datos que les conciernan y e) la existencia del derecho de 
acceso a los datos que le 
conciernen y del derecho de 
rectificación de dichos datos, y 
(f) el nombre y la dirección del 
responsable del fichero. (f) el nombre y la dirección del 
responsable del tratamiento y, 
en su caso, de su representante 
2. Las disposiciones del apartado 1 
no se aplicarán a la recogida de 
datos cuando la información al 
interesado impida el cumplimiento 
de las funciones de control y de 
verificación de una autoridad 
pública o el mantenimiento del 
orden público. 2. Las disposiciones del apartado 1 
no se aplicarán a la recogida de 
datos cuando la información al 
interesado impidiere el 
cumplimiento de la función de 
control o de inspección inherente 
al ejercicio de la autoridad 
pública, o de colaboración en 
dicha función o impidiere el 
mantenimiento del orden público. 
CAPÍTULO III - 91 -
LEGITIMIDAD DEL TRATAMIENTO 
EN EL SECTOR PRIVADO 
Artículo 9 
Obligación de informar 
al interesado Artículo 12 
Información en caso de 
comunicación a un tercero 
1. Por lo que se refiere al sector 
privado, los Estados miembros 
dispondrán en su legislación que, 
en el momento de la primera 
comunicación o cuando se plantee 
una posibilidad de consulta en 
línea, el responsable informe de 
ello al interesado y le indique, 
asimismo, la finalidad del 
fichero, el tipo de datos que 
contiene y su nombre y dirección. 1. Los Estados miembros preverán que, 
en los casos previstos en las 
letras b), c), e) y f) del 
artículo 7, en el momento oportuno 
y, a más tardar, en el momento de 
la primera comunicación a un 
tercero, el responsable del 
tratamiento vele por que se 
informe al interesado acerca de 
dicha comunicación y, al menos, 
sobre : 
(a) el nombre y la dirección del 
responsable del tratamiento y, 
en su caso, de su representante, 
y 
(b) los fines del tratamiento, y 
(c) las categorías de datos objeto 
del tratamiento, y 
(d) el destinatario o las categorías 
de destinatarios, y 
(e) la existencia del derecho de 
acceso, de rectificación y de 
oposición. 
- 92 -
2. En el caso previsto en la letra b) 
del apartado 1 del articulo 8 no 
será obligatoria la información 
prevista en el apartado 1. Tampoco 
habrá obligación de informar 
cuando la comunicación venga 
impuesta por imperativo legal. 
3) Si el interesado se opone a la 
comunicación o a cualquier otro 
tratamiento, el reponsable del 
fichero deberá interrumpir el 
tratamiento impugnado, salvo que 
lo autorice una disposición legal. 2. Las disposiciones del apartado 1 
no se aplicarán cuando: 
ya se haya informado al interesado 
acerca de la comunicación a un 
tercero o la posibilidad de dicha 
comunicación; o 
la comunicación a un tercero sea 
exigida por una ley que prevea una 
excepción a la obligación de 
información al interesado; o 
- la comunicación a un tercero se 
base en uno de los motivos 
enumerados en el apartado 1 del 
articulo 14. 
Articulo 10 
Excepciones especiales a 
la obligación de informar 
al interesado 
Si el cumplimiento de la obligación 
de informar al interesado, 
contemplada en el apartado 1 del 
artículo 9, resultase imposible o 
exigiese esfuerzos desproporcionados, 
o tropezase con intereses legítimos y 
prioritarios del responsable del 
fichero o con un interés similar de 
un tercero, los Estados miembros 
podrán disponer en su legislación que 
la autoridad de control esté 
facultada para autorizar una 
excepción. 3. Si la información al interesado 
resultare imposible o exigiere 
esfuerzos desproporcionados, o se 
opusiere a los intereses legítimos 
y primordiales del responsable del 
tratamiento o un interés similar 
de un tercero, los Estados 
miembros podrán prever que la 
autoridad de control esté 
facultada para autorizar una 
excepción, estableciendo en tal 
caso las garantías apropiadas. 
- 93 -
CAPÍTULO IV 
DERECHOS DEL INTERESADO 
Artículo 14 
Derechos complementarios 
del interesado 
Los Estados miembros reconocerán al 
interesado los siguientes derechos: 
4. A obtener, con una frecuencia 
razonable y sin esperas ni gastos 
excesivos, la confirmación de la 
existencia o inexistencia en un 
fichero de datos personales que le 
conciernan, así como, en su caso, 
la comunicación de esos datos en 
forma inteligible. 
Los Estados miembros podrán prever 
que el derecho de acceso a los 
datos de carácter médico 
únicamente pueda ejercerse por 
mediación de un médico. SECCIÓN V 
DERECHO DE ACCESO DEL 
INTERESADO A LOS DATOS 
Artículo 13 
Derecho de acceso 
os Estados miembros reconocerán al 
interesado los derechos siguientes: 
1. derecho a obtener, previa 
solicitud, con una frecuencia 
razonable y sin retrasos ni gastos 
excesivos, la confirmación de la 
existencia o inexistencia de datos 
personales que le conciernen, la 
comunicación de dichos datos en 
forma inteligible, así como 
información acerca de su origen y, 
en general, su utilización. 
Los Estados miembros podrán prever 
que el derecho de acceso a los 
datos de carácter médico 
únicamente pueda ejercerse por 
medio de un médico; 
- 94 -
2. derecho a no verse obligado por un 
tercero, salvo cuando la solicitud 
de éste se base en la legislación 
nacional o comunitaria, a ejercer 
su derecho de acceso para 
comunicarle los datos de que se 
trate o comunicarlos a otra 
persona; 
A obtener, en su caso, la 
rectificación de los datos en 
cuestión o su supresión o bloqueo 
cuando su tratamiento no se ajuste 
a lo dispuesto en la presente 
Directiva. 3. derecho a obtener, según el caso, 
la rectificación de los datos 
incorrectos o incompletos, su 
supresión o bloqueo, cuando su 
tratamiento no se ajuste a lo 
dispuesto en la presente 
Directiva; 
En caso de aplicación del 
apartado 5 del presente artículo y 
si los datos han sido comunicados 
a terceros, a obtener la 
notificación a éstos de la 
rectificación, supresión o bloqueo 
de dichos datos. 4. en caso de aplicación del punto 3 
y si los datos se hubieran 
comunicado a terceros, derecho a 
que se notifique a éstos la 
rectificación, supresión o bloqueo 
de dichos datos; 
5. derecho a conocer, previa 
solicitud, el razonamiento 
utilizado en los tratamientos 
automatizados cuyos resultados se 
le oponen. 
- 95 -
Articulo 15 
Excepciones al derecho de acceso 
del interesado a los ficheros 
del sector público 
1. Los Estados miembros podrán 
limitar por ley los derechos 
previstos en los puntos 3 y 4 del 
artículo 14 por motivos 
relacionados con: 
(a) la seguridad del Estado, 
(b) la defensa, 
(c) actuaciones penales 
(d) la seguridad pública 
(e) un interés económico y 
financiero imperativo, 
debidamente justificado, de un 
Estado miembro o de la 
Comunidad, 
(f) la necesidad de ejercer 
funciones de control o de 
inspección de la autoridad 
pública, o Artículo 14 
Excepciones al derecho 
de acceso 
1. A menos que una disposición de 
Derecho comunitario les obligue a 
ello, los Estados miembros podrán 
restringir el ejercicio de los 
derechos previstos en el punto 1 
del artículo 13 y en el apartado 1 
del artículo 10, cuando ello 
suponga una medida necesaria para 
la salvaguardia de : 
(a) la seguridad del Estado; 
(b) la defensa; 
(c) actuaciones penales; 
(d) la seguridad pública; 
(e) un interés económico y 
financiero imperativo 
debidamente justificado de un 
Estado miembro o de la 
Comunidad; 
(f) una función de control o de 
inspección inherente al 
ejercicio de la autoridad 
pública o la colaboración en 
dicha función; 
- 96 -
(g) un derecho equivalente de otra 
persona y derechos y libertades 
de terceros. (g) un derecho equivalente de otra 
persona y los derechos y 
libertades de terceros; 
2. En los supuestos contemplados en 
el apartado 1, la autoridad de 
control deberá proceder, a 
petición del interesado, a las 
verificaciones del fichero que 
sean necesarias. 2. En los supuestos contemplados en 
el apartado 1, la autoridad de 
control deberá proceder, a 
petición del interesado, a las 
comprobaciones necesarias con 
objeto de verificar la licitud de 
los tratamientos con arreglo a la 
presente Directiva, dentro del 
respeto de los intereses que deben 
salvaguardarse de conformidad con 
el apartado 1. 
3. Los Estados miembros podrán 
limitar el derecho del interesado 
a acceder a quellos datos que 
hayan sido recopilados 
temporalmente a fin de obtener 
informaciones estadísticas. 3. Los Estados miembros podrán 
limitar el derecho de acceso del 
interesado a aquellos datos que se 
conserven temporalmente con forma 
personal y se vayan a tratar con 
fines estadísticos, de manera que 
los interesados dejen de ser 
fácilmente identificables. 
97 -
SECCIÓN VI 
DERECHO DE OPOSICION 
DEL INTERESADO 
Articulo 14 
Derechos complementarios 
del interesado Artículo 15 
Oposición por motivos 
legítimos 
Los Estados miembros reconcoerán al 
interesado los siguientes derechos: 
1. A oponerse, por razones legítimas, 
a que los datos personales que le 
conciernan sean objeto de 
tratamiento. 1. Los Estados miembros reconocerán 
al interesado el derecho a 
oponerse, en cualquier momento y 
por razones legítimas, a que los 
datos que le conciernan sean 
objeto de tratamiento. 
6. A obtener, previa petición, la 
supresión gratuita de los datos 
que le conciernan registrados en 
ficheros de prospección comercial 
o publicitaria. 2. En caso de oposición justificada, 
el responsable del tratamiento 
deberá suspender dicha actividad. 
- 98 -
3. Antes de comunicar los datos 
personales a terceros o de 
usarlos, por cuenta de terceros, 
para la prospección por correo, el 
responsable del tratamiento deberá 
comprobar que se ha ofrecido de 
manera explicita a los interesados 
la posibilidad de suprimir 
gratuitamente los datos 
personales. 
Artículo 16 
Decisiones individuales 
automatizadas 
2. A no tener que someterse a ninguna 
decisión administrativa o privada 
que implique una apreciación de su 
comportamiento fundada únicamente 
en un tratamiento automatizado de 
datos personales que dé una 
definición de su perfil o de su 
personalidad. 1. Los Estados miembros reconocerán a 
las personas el derecho a no verse 
sometidas a una decisión 
administrativa o privada que les 
resulte perjudicial y que se base 
únicamente en un tratamiento 
automatizado que proporcione un 
perfil de su personalidad. 
2. Los Estados miembros preverán sin 
perjuicio de lo dispuestu en los 
demás artículos de la presente 
Directiva, que una persona pueda 
verse sometida a una de las 
decisiones contempladas en el 
apartado 1 cuando dicha decisión: 
- 99 -
(a) se haya adoptado en el marco de 
la celebración o ejecución de un 
contrato, siempre que se haya 
satisfecho la petición del 
interesado o que existan medidas 
apropiadas, entre las que figure 
la posibilidad de defender su 
punto de vista, que garanticen 
la salvaguarda de su interés 
legítimo; 
(b) esté autorizada por una ley que 
contenga medidas para la 
salvaguardia del interés 
legítimo del interesado. 
CAPÍTULO V 
CALIDAD DE LOS DATOS SECCION VII 
SEGURIDAD DEL TRATAMIENTO 
Artículo 18 
Seguridad de los datos 
1. Los Estados miembros preverán en 
su legislación que el responsable 
del fichero esté obligado a 
adoptar las medidas técnicas y de 
organización necesarias para la 
protección del fichero contra su 
destrucción, accidental, la 
alteración o el acceso y cualquier 
otro tratamiento no autorizado de 
datos personales. Artículo 17 
1. Los Estados miembros preverán que 
el responsable del tratamiento 
deba adoptar las medidas técnicas 
y de organización necesarias para 
la protección contra la 
destrucción, accidental o ilícita, 
la pérdida accidental, la 
alteración, la comunicacción y 
cualquier otro tratamiento de 
datos personales no autorizado. 
- 100 -
Estas medidas deberán asegurar 
para los ficheros automatizados un 
nivel de seguridad apropiado, 
habida cuenta, por una parte, de 
los progresos técnicos en la 
materia y del coste de la 
aplicación de éstos, y por otra 
parte, de la naturaleza de los 
datos que deban protegerse y de la 
evaluación de los riesgos 
potenciales. ft tal fin, el 
resonsable del fichero deberá 
tomar en consideración las 
recomendaciones en materia de 
seguridad informática y de 
interoperabilidad de las redes 
elaboradas por la Comisión con 
arreglo a las normas previstas en 
el artículo 29. Dichas medidas deberán garantizar 
un nivel de seguridad adecuado 
para el tratamiento automatizado, 
habida cuenta, por una parte, de 
la evolución tecnológica y, por 
otra, de la naturaleza de los 
datos que deban protegerse y de la 
evaluación de los riesgos 
potenciales. Con este fin, el 
responsable del tratamiento deberá 
tomar en consideración las 
recomendaciones en materia de 
seguridad informática y de 
interoperabilidad de las redes 
elaboradas por la Comisión con 
arreglo al procedimiento previsto 
en el artículo 33. 
Para la transmisión de datos 
personales dentro de una red 
deberán elegirse métodos que 
garanticen un grado adecuado de 
seguridad. 2. Para la transmisión de datos 
personales dentro de una red 
deberán elegirse métodos que 
garanticen un grado conveniente de 
seguridad. 
Para las consultas en línea, las 
instalaciones técnicas y los 
soportes lógicos deberán estar 
concebidos de manera que las 
consultas se realicen dentro de 
los límites de la autorización 
concedida por el responsable del 
fichero. 3. Cuando exista la posibilidad de 
acceso a distancia, el responsable 
del tratamiento deberá utilizar 
las instalaciones técnicas y los 
programas informáticos de manera 
que el acceso se efectúe en las 
condiciones de licitud del 
tratamiento. 
- 101 -
Las obligaciones contempladas en 
los apartados 1, 2 y 3 incumbirán 
igualmente a las personas que, de 
hecho o por contrato, tengan el 
control de las operaciones 
relacionadas con un fichero. 4. Las obligaciones contempladas en 
los apartados 1 a 3 incumbirán 
también a las personas que 
intervengan en el tratamiento y, 
en particular, al encargado del 
tratamiento. 
Las personas que, por sus 
actividades profesionales, accedan 
a informaciones contenidas en 
ficheros no podrán comunicarlas a 
terceros sin autorización del 
responsable del fichero. 5. Las personas que, en el marco de 
sus actividades profesionales, 
accedan a datos personales no 
podrán comunicarlos a terceros sin 
autorización del responsable del 
tratamiento, salvo en virtud de 
obligaciones previstas en la 
legislación nacional o 
comunitaria. 
- 102 -
CAPÍTULO II 
LEGITIMIDAD DEL TRATAMIENTO 
EN EL SECTOR PÚBLICO 
Articulo 7 
Obligación de notificación 
a la autoridad de control SECCIÓN VIII 
NOTIFICACIÓN 
Articulo 18 
Obligación de notificación 
a la autoridad de control 
1. Los Estados miembros preverán en 
su legislación que el 
establecimiento de un fichero del 
sector público cuyos datos 
personales puedan ser comunicados 
sea notificado previamente a 
efectos de su inscripción en un 
registro de la autoridad de 
control. Este registro podrá ser 
consultado por cualquier persona. 1. Los Estados miembros preverán que 
el responsable del tratamiento o, 
en su caso, su representante, deba 
efectuar una notificación a la 
autoridad de control contemplada 
en el artículo 30, con 
anterioridad a la realización de 
un tratamiento automatizado, en su 
totalidad o en parte, o de un 
conjunto de tratamientos de 
idéntica naturaleza, destinados a 
la consecución de un fin o de 
varios fines conexos. 
- 103 
2. Los Estados miembros determinarán 
qué informaciones deban 
notificarse a la autoridad de 
control. Estas informaciones 
incluirán, al menos, el nombre y 
dirección del responsable del 
fichero, la finalidad del mismo, 
una descripción de los tipos de 
datos que contenga, los terceros 
que puedan recibir los datos y una 
descripción de las medidas 
adoptadas en aplicación del 
articulo 18. 
3) Los Estados miembros podrán prever 
que las normas de los apartados 1 
y 2 se apliquen a otros ficheros 
del sector público y que pueda 
limitarse la consulta del registro 
por las razones mencionadas en el 
apartado 1 del artículo 15. 2. Los Estados miembros especificarán 
la información que debe contener 
dicha notificación. Esta 
información incluirá, al menos: 
(a) el nombre y dirección del 
responsable del tratamiento y, 
en su caso, de su representante; 
(b) el fin o los fines del 
tratamiento; 
(c) la categoría o categorías de 
interesados ; 
(d) una descripción de los tipos de 
datos objeto de tratamiento; 
(e) los terceros o las categorías de 
terceros a quienes pueden 
comunicarse los datos; 
(f) las transferencias de datos 
previstas con terceros países; 
(g) una descripción de las medidas 
adoptadas en aplicación del 
artículo 17 para garantizar la 
seguridad del tratamiento. 
3. Cualquier modificación de las 
informaciones contempladas en el 
apartado 2 deberá notificarse a la 
autoridad de control. 
- 104 -
4. La autoridad de control examinará 
los tratamientos que impliquen 
riesgos especiales para los 
derechos y libertades de las 
personas, antes de que se lleven a 
cabo y en un plazo de 15 días a 
partir de su fecha de 
notificación, tras cuya expiración 
la autoridad presentará sus 
conclusiones. 
5. Los Estados miembros podrán prever 
que determinados tratamientos 
contemplados en el apartado 4 
estén supeditados a una 
autorización previa de la 
autoridad de control. Los Estados 
miembros podrán prever que dichas 
autorizaciones se concedan por vía 
legal. 
- 105 -
CAPÍTULO III 
LEGITIMIDAD DEL TRATAMIENTO 
EN EL SECTOR PRIVADO 
Articulo 11 
Obligación de notificación 
a la autoridad de control 
1. Los Estados miembros preverán en 
su legislación el reponsable de un 
fichero de datos personales 
notifique la creación de éste 
cuando los datos se destinen a ser 
comunicados y no provengan de 
fuentes generalmente accesibles 
para el público. La notificación 
deberá ir dirigida a la autoridad 
de control del Estado miembro en 
el que esté situado el fichero o, 
cuando no esté ubicado en un 
Estado miembro, a la autoridad de 
control del Estado miembro en que 
resida el responsable del fichero. 
Este deberá notificar a las 
autoridf.des nacionales comptentes 
todo cambio de finalidad del 
fichero o de su dirección. 
- 106 -
2. Los Estados miembros deterinarãn 
qué información debe notificarse a 
la autoridad de control. Esta 
información deberá incluir, al 
menos, el nombre y dirección del 
responsable del fichero, su 
finalidad, una descripción de los 
tipos de datos que contenga, los 
terceros que puedan recibir los 
datos y una descripción de las 
medidas adoptadas en aplicación 
del artículo 18. 
3. Sin perjuicio de las disposiciones 
contempladas en el apartado 1, los 
Estados miembros podrán precisar 
las condiciones que determinen la 
legitimidad del tratamiento de 
datos personales. 
- 107 -
Articulo 19 
Simplificación y exención 
de la obligación de 
notificación 
1. Los Estados miembros preverán la 
simplificación o la exención de la 
obligación de notificación para 
determinadas categorías de 
tratamientos que no atenten contra 
los derechos y libertades de los 
interesados. Dichas categorías de 
tratamientos comprenderán, en 
particular, la redacción de cartas 
o de documentos, el cumplimiento 
de obligaciones legales, 
contables, fiscales o sociales, o 
la consulta de servicios 
documentales accesibles al 
público. 
2. Las medidas de simplificación o 
exención serán adoptadas por la 
autoridad de control o previa 
consulta a ésta. Las medidas 
mencionadas especificarán, para 
cada categoría de tratamiento, en 
particular : 
- 108 -
- los fines del tratamiento, 
- una descripción de los datos o 
categorías de datos objeto de 
tratamiento, 
- la categoría o categorías de 
interesados, 
- los terceros o categorías de 
terceros a quienes se deben 
comunicar los datos, 
- el período de la conservación de 
los datos, 
- en su caso, las condiciones de 
realización del tratamiento. 
3. El beneficio de la simplificación 
o de la exención de la obligación 
de notificación no eximirá al 
responsable del tratamiento de 
ninguna de las demás obligaciones 
que resultan de la presente 
Directiva. 
Artículo 20 
Tratamientos manuales 
Los Estados miembros podrán prever 
las condiciones de aplicación de las 
disposiciones previstas en los 
artículos 18 y 19 a determinadas 
categorías de tratamientos no 
automatizados de datos personales 
contenidos en ficheros. 
- 109 -
Artículo 21 
Registro de los tratamientos 
notificados 
Los Estados miembros preverán que la 
autoridad de control lleve el 
registro de los tratamientos 
notificados. En los supuestos 
previstos en los artículos 18 y 19, 
el registro deberá contener, como 
mínimo, los datos enumerados en las 
letras a) a f) del apartado 2 del 
artículo 18. El registro podrá ser 
consultado por cualquier persona, 
dentro de las restricciones que 
puedan imponer los Estados miembros, 
en las condiciones establecidas en el 
apartado 1 del artículo 14. 
CAPÍTULO VI 
DISPOSICIONES ESPECÍFICAS PARA 
DETEP'.iINADOS SECTORES 
Artículo 20 
-110-
Los Estados miembros instarán a los 
medios profesionales a participar en 
la elaboración de códigos 
deontológicos o de buena conducta 
europeos para determinados sectores, 
sobre la base de los principios 
contenidos en la presente Directiva. 
CAPÍTULO IV 
DERECHOS DEL INTERESADO 
Articulo 14 
Derechos complementarios 
del interesado CAPÍTULO III 
RECURSOS JUDICIALES, 
RESPONSABILIDAD Y SANCIONES 
Artículo 22 
Recursos judiciales 
Los Estados miembros reconocerán al 
interesado los siguientes derechos: 
8. A disponer de una vía de recurso 
judicial en caso de violación de 
los derechos garantizados en el 
presente artículo. Los Estados miembros preverán que 
toda persona disponga de un recurso 
judicial en caso de violación de los 
derechos garantizados por la presente 
Directiva. 
- Ill -
CAPÍTULO VII 
RESPONSABILIDAD Y SANCIONES 
Artículo 21 
Responsabilidad 
Los Estados miembros preverán en 
sur legislación que toda persona 
cuyos datos personales estén 
registrados en un fichero y que 
haya resultado perjudicada por el 
tratamiento de éstos o por una 
acción incompatible con las 
disposiciones de la presente 
Directiva tenga derecho demandar 
al responsable del fichero por 
daños y perjuicios. Artículo 23 
Responsabilidad 
1. Los Estados miembros preverán que 
toda persona cuyos datos 
personales sean objeto de 
tratamiento y que sufra un 
perjuicio como consecuencia de un 
tratamiento ilícito o de una 
acción incompatible con las 
disposiciones nacionales 
adoptadas en aplicación de la 
presente Directiva, tenga derecho 
a obtener del responsable del 
tratamiento la reparación del 
perjuicio causado. 
Los Estados miembros podrán 
establecer que no se imputen al 
responsable del fichero los daños 
ocasionados por la pérdida o 
destrucción de datos de éste o por 
un acceso no autorizado al mismo, 
cuando demuestre haber adoptado 
las medidas apropiadas para 
cumplir los requisitos mencionados 
en los artículos 18 y 22. 2. Los Estados miembros podrán prever 
que se exima, completamente o en 
parte, al responsable del 
tratamiento de la responsabilidad 
por los daños que resulten de la 
pérdida o destrucción de datos o 
de un acceso no autorizado, cuando 
demuestre haber adoptado las 
medidas apropiadas para ajustarse 
a las disposiciones de los 
artículos 17 y 24. 
- 112 -
Artículo 22 Artículo 24 
Tratamiento por cuenta del Tratamiento por cuenta del 
responsable del fichero responsable del tratamiento 
Los Estados miembros dispondrán en 
su legislación que el responsable 
del fichero garantice, en caso de 
tratamiento por su cuenta, el 
respeto de las medidas de 
seguridad y de organización 
necersarias, y elija a una persona 
o una empresa que ofrezca 
garantías suficientes al respecto. 1. Los Estados miembros preverán que 
el responsable del tratamiento 
vele, para los tratamientos 
efectuados por su cuenta, por el 
respeto de las medidas de 
seguridad y organización 
necesarias, y elija a un encargado 
del tratamiento que ofrezca 
garantías suficientes al respecto. 
Las personas que recojan o traten 
datos personales por cuenta del 
responsable del fichero deberán 
cumplir las obligaciones previstas 
en los artículos 16 y 18 de la 
presente Directiva. 2. El encargado del tratamiento 
efectuará únicamente el 
tratamiento de los datos 
personales previsto en el contrato 
celebrado con el responsable del 
tratamiento y recibirá 
instrucciones únicamente de éste. 
Deberá respetar las disposiciones 
nacionales adoptadas en aplicación 
de la presente Directiva. 
El contrato deberá ser escrito y 
deberá estipular, en particular, 
que el destinatario délos datos 
personales o sus empleados 
únicamente pueden divulgar dichos 
datos previa autorización del 
responsable del fichero. 3. El contrato deberá revestir la 
forma escrita y deberá 
especificar, en particular, que el 
encargado del tratamiento o sus 
empleados sólo podrán comunicar a 
terceros los datos personales 
tratados en aplicación de dicho 
contrato con el acuerdo del 
responsable del tratamiento. 
- 113 -
Articulo 23 Artículo 25 
Sanciones Sanciones 
Los Estados miembros preverán en su 
legislación la aplicación de 
sanciones disuasivas a fin de 
garantizar el cumplimiento de las 
normas adoptadas en aplicación de la 
presente Directiva. Cada Estado miembro preverá la 
aplicación de sanciones disuasorias a 
cualquier persona que no respete las 
disposiciones nacionales adoptadas en 
aplicación de la presente Directiva. 
CAPÍTULO VIII 
TRANSFERENCIA DE DATOS PERSONALES 
A TERCEROS PAÍSES 
Articulo 24 
Principios CAPÍTULO IV 
TRANSFERENCIA DE DATOS PERSONALES 
A TERCEROS PAÍSES 
Artículo 26 
Principios 
1. Los Estados miembros preverán en 
su legislación que la 
transferencia a un tercer país, 
temporal o definitiva, de datos 
personales que sean objeto de 
tratmiento o hayan sido reunidos 
con objeto de someterlos a tal 
tratamiento únicamente ueda 
efectuarse cuando el tercer país 
garantice un nivel de protección 
adecuado. 1. Los Estados miembros preverán que 
la transferencia, temporal o 
definitiva, a un tercer país de 
datos personales que sean objeto 
de tratamiento o que se hayan 
reunido con objeto de someterlos a 
tal tratamiento únicamente pueda 
efectuarse cuando el tercer país 
de que se trate garantice un nivel 
de protección adecuado. 
-114-
No obstante lo dispuesto en el 
párrafo primero, los Estados 
miembros preverán que pueda 
efectuarse una transferencia a un 
tercer pais que no garantice un 
nivel de protección adecuado 
siempre y cuando: 
- el interesado haya dado su 
consentimiento a la 
transferencia prevista en el 
marco de relaciones 
precontractuales, sin perjuicio, 
en su caso, de lo dispuesto por 
la letra a) del apartado 2 del 
artículo 8, o 
- la transferencia sea necesaria 
para la ejecución de un contrato 
entre el interesado y el 
responsable del tratamiento, 
siempre que se haya informado al 
interesado de que se prevé o 
podría preverse la transferencia 
a un tercer país que no 
garantiza un nivel de protección 
adecuado, o 
- la transferencia sea necesaria 
para la salvaguardia de un 
interés público importante, o 
- la transferencia sea necesaria 
para la salvaguardia del interés 
vital del interesado. 
- 115 -
2. El carácter adecuado del nivel de 
protección que ofrece un tercer 
pais se evaluará en función de 
todas las circunstancias que 
concurran en una transferencia o 
en una categoria de transferencias 
de datos; en concreto, se tendrá 
en cuenta la naturaleza de los 
datos, el fin o los fines del 
tratamiento o de los tratamientos 
previstos, las disposiciones 
legales, generales o sectoriales, 
vigentes en el tercer pais de que 
se trate, así como las normas 
profesionales en vigor. 
Los Estados miembros informarán a 
la comisión de los casos en que un 
tercer país receptor no garantice 
un nivel de protección adecuado. 3. Los Estados miembros informarán a 
la Comisión de los casos en que 
consideren que un tercer país no 
garantiza un nivel de protección 
adecuado. 
Cuando la Comisión compruebe, bien 
sobre la base de las informaciones 
de los Estados miembros, bien a 
partir de otras informaciones, que 
un tercer Estado no dispone de un 
nivel de protección adecuado y que 
la situación que de ello se deriva 
es perjudicial para los intereses 
de la Comunidad o de un Estado 
miembro, podrá entablar 
negoiaciones con vistas a remediar 
esta situación. 4. Cuando la Comisión compruebe, 
basándose en las informaciones de 
los Estados miembros o en otros 
datos, que un tercer país no 
garantiza un nivel de protección 
adecuado y que la situación que de 
ello se deriva es perjudicial para 
los intereses de la Comunidad o de 
un Estado miembro, podrá entablar 
negociaciones con vistas a 
corregir esta situación. 
- 116 -
4. La Comisión estará facultada para 
decidir, con arreglo al 
procedimiento definido en el 
apartado 2 del artículo 30 de la 
presente Directiva, si un tercer 
país garantiza un nivel de 
protección adecuado en 
consideración a los compromisos 
internacionales suscritos por éste 
o a su legislación interna. 5. La Comisión podrá decidir, con 
arreglo al procedimiento 
establecido en el apartado 2 del 
artículo 34, que un tercer país 
garantiza un nivel de protección 
adecuado debido a los compromisos 
internacionales suscritos o a su 
legislación interna. 
5. Las medidas adoptadas en virtud 
del presente artículo se ajustarán 
a las obligaciones que la 
Comunidad haya contraído en virtud 
de acuerdos internacionales, tanto 
bilaterales como multilaterales, 
sobre la protección de las 
personas en materia de tratamiento 
automatizado de datos personales. 6. Las medidas adoptadas con arreglo 
al presente artículo se ajustarán 
a las obligaciones que incumben a 
la Comunidad en virtud de acuerdos 
internacionales, tanto bilaterales 
como multilaterales, sobre la 
protección de la personas en 
materia de tratamiento 
automatizado de datos personales. 
- 117 -
Artículo 25 
Excepciones 
Previa presentación por el 
responsable del fichero de una 
justificación suficiente para 
garantizar el respeto de un nivel 
de protección adecuado, un Estado 
miembro podrá establecer una 
excepción a las disposiciones del 
apartado 1 del artículo 24 con 
respecto a una exportación 
determinada. No obstante, el 
Estado miembro únicamente podr'a 
hacer tal excepción tras haber 
informado a la Comisión y a los 
Estados miembros y si ninguno de 
éstos ni aquélla manifiestan su 
oposición en un plazo de diez 
días. Artículo 27 
Medidas especiales 
1. Sin perjuicio de lo dispuesto en 
el párrafo segundo del apartado 1 
del artículo 26, los Estados 
miembros podrán autorizar una 
transferencia o una categoría de 
transferencias de datos personales 
a un tercer país que no garantice 
un nivel de protección adecuado 
cuando el responsable del 
tratamiento aduzca motivos 
suficientes que resulten, en 
particular, de disposiciones 
contractuales apropiadas que 
garanticen, en especial, el 
ejercicio efectivo de los derechos 
de los interesados. 
En caso de manifestarse tal 
oposición, la Comisión adoptará 
las medidas apropiadas con arreglo 
al procedimiento definido en el 
apartado 2 del artículo 30. 2. Los Estados miembros informarán, a 
su debido tiempo, a la Comisión y 
a los demás Estados miembros 
acerca del proyecto de 
autorización. 
- 118 -
3. En el supuesto de que un Estado 
miembro o la Comisión notificaren 
su oposición antes de que surtiere 
efecto la autorización, la 
Comisión adoptará las medidas 
apropiadas con arreglo al 
procedimiento establecido en el 
apartado 2 del artículo 34. 
CAPÍTULO V 
CÓDIGOS DE CONDUCTA 
Artículo 28 
Códigos nacionales 
1. Los Estados miembros podrán prever 
que, sin perjuicio de las 
disposiciones nacionales adoptadas 
en aplicación de la presente 
Directiva, los códigos de conducta 
que elaboren los sectores 
profesionales puedan establecer 
medidas complementarias para tener 
en cuenta las peculiaridades de 
determinados sectores. 
- 119 -
2. Los proyectos de código serán 
examinados por la autoridad 
nacional de control, que 
comprobará su procedencia, así 
como la representatividad de las 
organizaciones profesionales que 
los hayan elaborado. Dicha 
autoridad recogerá las 
observaciones de los interesados o 
de sus representantes. 
3. Los Estados miembros publicarán de 
forma oficial los códigos que 
hayan sido objeto de un dictamen 
favorable de parte de la autoridad 
de control. 
4. Cualquier prórroga o modificación 
de dichos códigos será objeto de 
idénticos procedimientos. 
Artículo 29 
Códigos comunitarios 
1. Los Estados miembros y la Comisión 
fomentarán la participación de los 
sectores profesionales en la 
elaboración de códigos de conducta 
comunitarios, encaminados a 
facilitar la correcta aplicación 
de la presente Directiva teniendo 
en cuenta las peculiaridades de 
cada sector. 
La Comisión podrá publicar a 
titulo informativo en el Diario 
Oficial de la Comunidades Europeas 
un código de conducta, junto con 
el dictamen emitido por el Grupo 
establecido en el artículo 31 
sobre el contenido de dicho código 
y la representatividad a escala 
comunitaria de las organizaciones 
que lo hayan elaborado. El Grupo 
recogerá las observaciones de los 
interesados o de sus 
representantes. 
- 121 -
CAPÍTULO IX 
AUTORIDAD DE CONTROL Y GRUPO 
DE PROTECCIÓN DE DATOS PERSONALES 
Artículo 26 
Autoridad de control 
1. Los Estados miembros velarán que 
una autoridad independiente 
competente se encargue del control 
de la protección de los datos 
personales. Esta autoridad 
controlará la aplicación de las 
disposiciones nacionales adoptadas 
en virtud de la presente Directiva 
y ejercerá toda las funciones que 
ésta le asigna. CAPÍTULO VI 
AUTORIDAD DE CONTROL Y GRUPO DE 
PROTECCIÓN DE LAS PERSONAS EN 
LO QUE RESPECTA AL TRATAMIENTO 
DE DATOS PERSONALES 
Artículo 30 
Autoridad de control 
1. Los Estados miembros designarán 
una autoridad pública 
independiente, facultada para 
ejercer el control de la 
protección de los datos 
personales. Dicha autoridad estará 
encargada de vigilar la aplicación 
de las disposiciones nacionales 
adoptadas en aplicación de la 
presente Directiva y ejercerá 
todas las funciones que ésta le 
asigna. Cada Estado miembro podrá 
designar varias autoridades de 
control. 
- 122 
Esta autoridad dispondrá de los 
medios de investigación y del 
poder efectivo de intervenir 
contra la creación y explotación 
de ficheros que no se ajusten a 
las disposiciones de la presente 
Directiva. A tal fin, tendrá 
acceso a los ficheros a los que se 
aplique la presente Directiva y 
podrá recabar toda la información 
necesaria para el cumplimiento de 
su misión de control. 2. La autoridad de control dispondrá 
de: 
- medios de investigación, como el 
derecho de acceder a los datos 
que sean objeto de los 
tratamientos previstos en la 
presente Directiva y el de 
recabar toda la información 
necesaria para el cumplimiento 
de su misión de control; 
- poderes efectivos de 
intervención, como el poder de 
ordenar el bloqueo o la 
supresión de datos, la 
prohibición provisional o 
definitiva de un tratamiento, la 
destrucción del soporte de los 
datos o el poder de dirigir un 
apercibimiento al responsable 
del tratamiento; 
- el poder de recurrir a la 
autoridad judicial cuando haya 
comprobado la existencia de 
infracciones a las disposiciones 
nacionales adoptadas en 
aplicación de la presente 
Directiva. 
Cualquier persona podrá someter a 
dicha autoridad quejas o 
reclamacions relativas a la 
protección de las personas en lo 
referente a los datos personales. 3. Cualquier persona de control podrá 
presentar a dicha autoridad 
denuncias o reclamaciones 
relativas a la protección de las 
personas en lo referente al 
tratamiento de datos personales. 
Se informará a dicha persona del 
curso que se haya dado al 
respecto. 
- 123 -
4. Cada autoridad de control 
presentará un informe anual sobre 
sus actividades. Dicho informe 
será publicado. 
5. Las autoridades de los Estados 
miembros cooperarán entre sí en la 
medida necesaria para el 
cumplimiento de su misión de 
control, especialmente mediante el 
intercambio de información útil o 
el recurso a los medios de 
investigación o el ejercicio de 
los poderes de intervención. 
6. Los Estados miembros preverán que 
cada autoridad de control, sus 
miembros y agentes estén obligados 
a respetar el secreto profesional. 
- 124 -
Articulo 27 
Grupo de protección de 
datos personales Artículo 31 
Grupo de protección de las 
personas en lo que respecta 
al tratamiento de datos personales 
Se crea un Grupo de protección de 
datos personales. Este Grupo, de 
carácter consultivo e 
independiente, estará compuesto 
por representantes de la autoridad 
de control, prevista en el 
artículo 26, de todos los Estados 
miembros, y estará presidido por 
un representante de la Comisión. 1. Se crea un Grupo de protección de 
las personas en lo que respecta al 
tratamiento de datos personales, 
en lo sucesivo denominado "Grupo". 
Dicho Grupo, de carácter 
consultivo e independiente, estará 
compuesto por representantes de 
las autoridades de control 
previstas en el artículo 30 y por 
un representante de la Comisión. 
Cuando un Estado miembro haya 
designado varias autoridades de 
control, éstas procederán al 
nombramiento de los representantes 
comunes, que tendrán en el seno 
del Grupo los mismos derechos y 
obligaciones que los demás 
representantes de las otras 
autoridades. 
2. El Grupo elegirá a su presidente. 
El mandato del presidente tendrá 
una duración de dos años. El 
mandato será renovable. 
Los servicios de la Comisión se 
harán cargo de la secretarla del 
Grupo de protección de datos 
personales. 3. La Comisión se hará cargo de la 
secretaría del Grupo. 
- 125 -
3. El Grupo de protección de datos 
personales establecerá su propio 
reglamento de régimen interior. 
4. El Grupo de protección de datos 
personales examinará los asuntos 
incluidos en el orden del día por 
su presidente, bien por iniciativa 
de éste, bien a petición motivada 
de un representante de las 
autoridades de control; dichos 
asuntos se referirán a la 
aplicación de las disposiciones 
del Derecho comunitario en materia 
de protección de datos personales. 4. El Grupo establecerá su reglamento 
interno. 
5. El Grupo examinará los asuntos 
incluidos en el orden del día por 
su presidente, bien por iniciativa 
de éste, bien previa solicitud 
motivada de un representante de 
las autoridades de control, bien 
previa solicitud de la Comisión. 
Artículo 28 
Funciones del Grupo de 
protección de datos personales Artículo 32 
Misión del Grupo 
1. El Grupo de protección de datos 1. El Grupo tendrá por misión: 
personales tendrá la siguientes 
funciones: 
(a) contribuir a la interpretación (a) contribuir a la aplicación 
homogénea de las normas homogénea de las disposiciones 
nacionales adoptadas en nacionales adoptadas en 
aplicación de la presente aplicación de la presente 
Directiva; Directiva; 
- 126 -
(b) emitir un dictamen sobre el 
nivel de prtección existente 
dentro de la Comunidad y en 
terceros países; 
c) asesorar a la Comisión sobre 
proyectos de medidas 
complementarias o específicas que 
deban adoptarse para garantizar la 
protección de la intimidad. (b) emitir un dictamen sobre el 
nivel de protección existente 
dentro de la Comunidad y en los 
terceros países; 
(c) asesorar a la Comisión sobre 
cualquier proyecto de 
modificación de la presente 
Directiva, cualquier proyecto de 
medidas adicionales o 
específicas que deban adoptarse 
para salvaguardar los derechos y 
libertades de las personas 
físicas, así como sobre 
cualquier otro proyecto de 
medidas que afecte a dichos 
derechos y libertades; 
(d) emitir un dictamen sobre los 
códigos de conducta elaborados a 
escala comunitaria. 
2. El Grupo de protección de datos 
personales informará a la Comisión 
de toda divergencia grave que 
compruebe entre la legislación y 
las prácticas de los Estados 
miembros en materia de protección 
de datos personales, y que peudan 
poner en peligro la equivalencia 
de la protección dentro de la 
Comunidad. 2. Si el Grupo comprobare la 
existencia de divergencias graves 
entre la legislación o la práctica 
de los Estados miembros en materia 
de protección de datos personales, 
divergencias que pudieren afectar 
a la equivalencia de la protección 
en la Comunidad, informará de ello 
a la Comisión. 
- 127 -
El Grupo de protección de datos 
personales podrá emitir 
recomendaciones sobre todos los 
asuntos relacionados con la 
protección de las personas en lo 
referente a los datos personales 
dentro de la Comunidad. Las 
recomendaciones constarán en acta 
y podrán transmitirse al Comité 
consultivo mencionado en el 
articulo 30. La Comisión informará 
al Grupo de protección de datos 
personales del curso dado a sus 
recomendaciones. 3. El Grupo podrá, por iniciativa 
propia, formular recomendaciones 
sobre cualquier asunto relacionado 
con la protección de las personas 
en lo que respecta a los datos 
personales en la Comunidad. 
El Grupo de protección de datos 
personales elaborará un informe 
anual sobre el estado de la 
protección de las personas en lo 
referente al tratamiento de datos 
personales dentro de la Comunidad 
y en los terceros países, y lo 
comunicará a la Comisión. 4. Los dictámenes y recomendaciones 
del Grupo se incluirán en el acta 
y se transmitirán a la Comisión; 
también podrán enviarse al Comité 
consultivo establecido en el 
artículo 34. 
5. La Comisión informará al Grupo del 
curso que haya dado a los 
dictámenes y recomendaciones. Ά 
tal efecto, elaborar á un informe, 
que será transmitido asimismo al 
Parlamento Europeo y al Consejo. 
Dicho informe se publicará. 
- 128 -
6. El Grupo elaborará un informe 
anual sobre la situación de la 
protección de las personas físicas 
en lo que respecta al tratamiento 
de datos personales en la 
Comunidad y en los terceros 
países, y lo comunicará a la 
Comisión, al Parlamento Europeo y 
al Consejo. Dicho informe se 
publicará. 
CAPÍTULO X 
POTESTAD REGLAMENTARIA 
DE LA COMISIÓN 
Artículo 29 
Ejercicio de la potestad 
reglamentaria CAPÍTULO VII 
POTESTAD REGLAMENTARIA 
DE LA COMISIÓN 
Artículo 33 
Ejercicio de la potestad 
reglamentaria 
Con arreglo al procedimiento previsto 
en el apartado 2 del artículo 30, la 
Comisíon adoptará las normas técnicas 
necesarias para aplicar la presente 
Directiva a las caracterísitcas 
específicas de determinados sectores, 
atendiendo a los progresos técnicos 
en la materia y a los códigos de 
buena conducta. Con arreglo al procedimiento 
establecido en el apartado 2 del 
artículo 34, la Comisión adoptará las 
normas técnicas necesarias para la 
aplicación de la presente Directiva 
teniendo en cuenta las peculiaridades 
de determinados sectores o de 
determinadas categorías de 
tratamientos, así como las medidas 
necesarias para garantizar la 
aplicación homogénea de las 
disposiciones de la presente 
Directiva. 
- 129 -
Articulo 30 
Comité consultivo 
La Comisión estará asistida por un 
Comité consultivo compuesto por 
representantes de los Estados 
miembros y presidio por el 
representante de la Comisión. 
El representante de la Comisión al 
Comité un proyecto de las medidas 
que deban adoptarse. El Comité 
emitirá su dictamen sobre dicho 
proyecto en un plazo que el 
presidente podrá fijar en función 
de la urgencia del asunto, 
procediendo, en su caso, a una 
votación. El dictamen se incluiré 
en el acta; además, cada Estado 
miembro tendrá derecho a solicitar 
que su posición conse en acta. La 
emisión tendrá en cuenta, en la 
mayor medida posible, el dictamen 
emitido por el Comité. Informará 
al Comité de la manera en que ha 
tenido en cuenta dicho dictamen. Articulo 34 
Comité consultivo 
1. La Comisión estará asistida por un 
Comité consultivo compuesto por 
representantes de los Estados 
miembros y presidido por el 
representante de la Comisión. 
2. El representante de la Comisión 
someterá al Comité un proyecto de 
las medidas que deban adoptarse. 
El Comité emitirá su dictamen 
sobre dicho proyecto en un plazo 
que el presidente podrá fijar en 
función de la urgencia del asunto, 
procediendo, en su caso, a una 
votación. 
El dictamen se incluirá en acta; 
además, cada Estado miembro tendrá 
detrecho a solicitar que su 
posición conste en acta. 
La Comisíon tendrá en cuenta, en 
la mayor medida posible, el 
dictamen emitido por el Comité. 
Informará al Comité de la manera 
en que ha tenido en cuenta dicho 
dictamen. 
- 130 -
DISPOSICIONES FINALES 
Artículo 31 DISPOSICIONES FINALES 
1. Los Estados miembros adoptarán las 
disposiciones legales, 
reglamentarias y administrativas 
necesarias para cumplir la 
presente Directiva, a más tardar 
el 1 de enero de 1993. Artículo 35 
1. Los Estados miembros adoptarán las 
disposiciones legales, 
reglamentarias y administrativas 
necesarias para cumplir la 
presente Directiva, a más tardar, 
el 1 de enero de 1994. 
Las disposiciones adoptadas en 
virtud del párrafo primero se 
referirán explícitamente a la 
presente Directiva. Cuando los Estados miembros 
adopten dichas disposiciones, 
éstas harán referencia a la 
presente Directiva o irán 
acompañadas de dicha referencia en 
su publicación oficial. Los 
Estados miembros establecerán las 
modalidades de la mencionada 
referencia. 
2. Los Estados miembros fijarán la 
fecha, que no podrá ser posterior 
al 30 de junio de 1997, i. ras la 
cual los tratamientos cuya 
aplicación fuere anterior al 
1 de julio de 1994 deberán 
ajustarse a las disposiciones 
nacionales adoptadas en aplicación 
de la presente Directiva. 
- 131 -
2. Los Estados miembros comunicarán a 
la Comisión el texto de las 
disposiciones de Derecho interno 
que adopten en el âmbito regulado 
por la presente Directiva. 3. Los Estados miembros comunicarán a 
la Comisión el texto de las 
disposiciones de Derecho interno 
que adopten en el ámbito regulado 
por la presente Directiva. 
Artículo 32 
La Comisión presentará periódicamente 
al Consejo y al Parlamento Europeo un 
informe sobre la aplicación de la 
presente Directia, acompañado, en su 
caso, de las oportunas propuestas de 
modificación. Artículo 36 
La Comisión presentará periódicamente 
al Consejo y al Parlamento Europeo un 
informe sobre la aplicación de la 
presente Directiva, acompañado, en su 
oso, de las oportunas propuestas de 
modificación. Dicho informe se 
publicará. 
Artículo 33 Artículo 37 
Los destinatarios de la presente 
Directiva serán los Estados miembros. Los destinatarios de la presente 
Directiva serán los Estados miembros. 
Hecho en Bruselas, el 
Por el Consejo, Hecho en Bruselas, el 
Por el Consejo, 
- 132 -
FICHA DE FINANCIACIÓN 
Apartado 1 i Implicaciones financieras 
1. Denominación : Propuesta modificada de directiva del Consejo relativa 
a la protección de las personas físicas con respecto al 
tratamiento de datos personales y a la libre 
circulación de dichos datos. 
2. Lineas presupuestarias : 
A 2510: Gastos de reunión de un comité cuya consulta constituye un 
paso obligatorio en el proceso de elaboración de actos comunitarios. 
A 2511: Gastos de reunión de un comité cuya consulta no constituye un 
paso obligatorio en el proceso de elaboración de actos comunitarios. 
Capítulos Al y A2: Gastos de personal y de funcionamiento. 
3. Fundamento jurídico : 
Artículo 100A del Tratado CEE. 
4. Descripción : 
Objetivos : - permitir el buen funcionamiento del mercado interior 
garantizando la circulación transfronteriza de datos 
personales en la Comunidad; 
- garantizar la protección de las personas físicas con 
respecto a los datos personales. 
Creación de 2 comités competentes en materia de protección de las 
personas con respecto a los datos personales (artículos 31 y 34). 
Interesados : 1. Para el Grupo de Protección de las Personas frente 
al Tratamiento de Datos Personales (artículo 31): 
representantes de la autoridad de control de todos 
los Estados miembros (grupo 4). 
2. Para el Comité consultivo (artículo 34): 
representantes de los Estados miembros (grupo 3). 
- 133 -
Un representante de la Comisión preside el Comité consultivo. El presidente 
del Grupo de Protección es uno de sus miembros, elegido por dos años. La 
secretaria del Comité consultivo y del Grupo de Protección de las Personas 
frente al Tratamiento de Datos Personales corre a cargo de los servicios de 
la Comisión. 
5. Clasificación del gasto : 
5.1. : GNO 
5.2. : CND 
6. Naturaleza del gasto s 
- gastos de participación de los miembros en las reuniones del Grupo y 
del Comité; 
gastos de personal. 
7. Repercusión financiera sobre los créditos de intervención : 
Ninguna. 
8. ¿Qué disposiciones contra el fraude prevé la propuesta? 
Ninguna. 
Apartado 2 i Gastos administrativos (parte A del presupuesto) 
1. ¿Implica la acción propuesta un incremento de los efectivos de la 
Comisión? Si : 2 funcionarios de categoría C. 
Estos puestos se obtendrán bien a partir de la asignación de recursos 
decididos por la Comisión en los futuros presupuestos, bien por 
reafectación interna. 
2. Importe de los gastos generados : 
Secretaria : +/- 120.000 ECU anuales con cargo a las diferentes 
lineas presupuestarias de los capítulos Al y A2 (2 
funcionarios C). 
Reuniones de los grupos : 
* Grupo de Protección de las Personas Físicas frente al 
Tratamiento de Datos Personales s 
24 miembros (no gubernamentales) X 4 reuniones de 2 días : 
-Gastos de viaje s 526,61 ECU Χ 24 Χ 4 = 50.555 ECU 
-Dietas : 105,40 ECU Χ 24 Χ 4 = 10.118 ECU 
-Gastos secret. : 105,40 ECU X 24 X 4 X 2 = 20.236 ECU 
80.909 ECU 
( 
- 134 -
* Comité consultivo 
24 miembros (no gubernamentales) Χ 2 reuniones de 2 dias 
- Gastos de viaje : 526,61 ECU Χ 24 Χ 2 = 25.277 ECU 
Importe total, redondeado, de un año entero 
Secretarla 
Grupo 
Comité 120.000 ECU 
81.000 ECU 
25.000 ECU 
TOTAL 226.000 ECU 
Apartado 3 : Elementos de análisis coste/eficacia 
1. Objetivo y coherencia con la programación financiera 
Se trata de crear 2 grupos que estarán autorizados a reunirse a partir 
de 1994. Se incluirán en la relación de comités en la programación 
financiera de 1994. 
El calendario de los créditos de compromiso (CC) y de los créditos de 
pago (CP) (GNO, CND) es el siguiente: 
Los créditos deben obtenerse, en el marco general de cada 
procedimiento presupuestario, dentro de las diferentes partidas de la 
Parte A. 
2. Justificación : 
a) El Grupo de Protección de las Personas frente al Tratamiento de los 
Datos Personales (articulo 31). 
Se crea dicho Grupo, con carácter consultivo e independiente. Está 
compuesto por representantes de la autoridad de control de todos 
los Estados miembros. 
El Grupo elabora su reglamento de régimen interno. La secretaría 
del Grupo corre a cargo de los servicios de la Comisión. 
Funciones del Grupo: véase el artículo 32. Deberá asesorar a la 
Comisión sobre los proyectos de medidas complementarias, emitiendo 
un dictamen con total independencia, lo que resulta capital en la 
esfera de la protección de la intimidad. CC CP 
1994 
1995 
1996 
1997 
1998 226.000 ECU 
226.000 ECU 
226.000 ECU 
226.000 ECU 
226.000 ECU 
- 135 -
3. Seguimiento y evaluación : 
3.1. Indicadores s análisis del informe anual presentado por el Grupo 
en aplicación del apartado 6 del articulo 32. 
3.2. Modalidades y periodicidad : anual, partiendo del citado informe 
que deberá presentar el Grupo. 
3.3. Los principales factores de incertidumbre se deberán a las 
dificultades de armonizar puntos de vista y experiencias muy 
diversas en cada uno de los Estados miembros, diferencias 
debidas a varios factores, pero sobre todo de índole técnica y 
cultural. 
- 136 -
FICHA DE EVALUACIÓN DE LAS REPERCUSIONES 
REPERCUSIÓN DE LA PROPUESTA EN LAS EMPRESAS 
Y OTROS ORGANISMOS AFECTADOS Y, EN PARTICULAR, EN 
LAS PEQUEÑAS Y MEDIANAS EMPRESAS (ΡΥΜΕ) 
Denominaci ón de la propuesta : Propuesta modificada de directiva del 
Consejo relativa a la protección de las 
personas físicas con respecto al 
tratamiento de datos personales y a la 
libre circulación de dichos datos. 
Número de referencia del documento : 
LA PROPUESTA 
1. Teniendo en cuenta el principio de subsidiariedad, ¿por qué es 
necesaria una legislación comunitaria en este âmbito y cuáles son sus 
principales objetivos? 
Los flujos de datos personales que circulan entre los diferentes 
agentes económicos y sociales radicados en Estados miembros diferentes 
y el tratamiento de dichos datos por parte de esos mismos agentes 
están creciendo de manera notable, debido a la propia realización del 
mercado interior: 
flujos entre empresas privadas o públicas; 
flujos entre unidades que dependen jurídicamente de la misma 
empresa; 
flujos entre administraciones nacionales que deben cooperar 
mutuamente con arreglo a diferentes normas comunitarias; 
flujos hacia centros de investigación, en el ámbito sanitario, por 
ejemplo, etc. 
Las importantes divergencias entre las legislaciones nacionales 
-conviene reseñar, por otra parte, que 4 Estados miembros todavía no 
poseen una normativa específica en materia de protección de datos, 
como son Bélgica, Grecia, Italia y España- hacen surgir: 
- obstáculos a la libre circulación de los datos personales, 
especialmente a la de los dirigidos a un Estado miembro que no 
posee normativa al respecto, ya que éstas están encaminadas a 
proteger los derechos y libertades fundamentales de las personas 
físicas, y en particular su intimidad; 
falseamientos de la competencia entre los agentes económicos de la 
Comunidad, ya que unos tienen que soportar el peso de las 
legislaciones protectoras, y otros no, en función del Estado 
miembro en que estén radicados. 
) 
i 
i 
i 
I 
- 137 -
Por otra parte, la aplicación de normas en materia de protección de 
datos tiende a fomentar el desarrollo del mercado de la información, 
por la seguridad jurídica que dichas normas dan a los organismos 
interesados. 
La intervención de la Comunidad resulta, pues, fundamental. Debe 
consistir en un acercamiento entre las diferentes normativas 
nacionales. El Convenio del Consejo de Europa de 28 de enero de 1981 
para la protección de las personas con respecto al tratamiento 
automatizado de datos personales, único instrumento de Derecho 
internacional en este ámbito, deja un gran margen de maniobra para la 
aplicación de los principios que sienta y no permite por ello una 
armonización suficiente de cara al mercado interior. 
REPERCÜSIÓN SOBRE LAS EMPRESAS, LAS ADMINISTRACIONES PÚBLICAS Y LOS DEMÁS 
ORGANISMOS, EN PARTICULAR LAS FUNDACIONES Y ASOCIACIONES 
2. ¿Quién se verá afectado por la propuesta? 
La propuesta se refiere, al margen de su dimensión o su sector de 
actividad, a todas las empresas públicas y privadas, a las 
administraciones públicas cuyas actividades están reguladas por el 
Derecho comunitario, así como a las fundaciones y asociaciones sin 
ánimo de lucro, en la medida en que efectúen tratamientos de datos 
personales (gestión de proveedores y clientes, gestión del personal, 
de los miembros o corresponsales de las asociaciones y fundaciones, 
tratamiento de datos relativos a los administrados, oferta de 
servicios de información sobre personas físicas). 
Sin embargo, tal y como demostraron las consultas previstas en el 
punto 6, los sectores industriales más directamente interesados por la 
aplicación de esta Directiva son las empresas y organismos del sector 
terciario cuyas actividades se dirigen a personas físicas y cuyo 
crecimiento depende del tratamiento de la información: empresas de 
marketing directo, entidades financieras, compañías de seguros y 
agencias de clasificación de créditos. 
3. ¿Qué medidas deberán adoptar las empresas para ajustarse a la 
propuesta? 
Deberán crear procedimientos de decisión y organización en los que 
participen, en función de la estructura y las dimensiones del 
organismo, el responsable de informática y de organización, el 
servicio usuario de estas técnicas, el servicio jurídico y el 
responsable del organismo. En la fase de concepción de los nuevos 
tratamientos de datos personales, antes de las inversiones, el 
organismo deberá: 
/ 
- 138 -
- comprobar la licitud de los tratamientos previstos; 
prever la información que deberá darse a los interesados (lo que 
podrá hacerse aprovechando los contactos habituales entre el 
responsable del tratamiento y los interesados); 
- prever las medidas técnicas y de organización necesarias para 
garantizar la seguridad de los tratamientos y de los datos; 
estudiar qué procedimiento de notificación debe utilizarse. Tras 
reunir los elementos de información necesarios, el responsable 
constatará que no es necesario proceder a la notificación, 
recurrirá a un procedimiento simplificado o creará un expediente. 
El responsable del tratamiento debe además velar por la aplicación de 
un procedimiento para responder a las posibles demandas de acceso de 
los interesados a los datos que les conciernen, a las eventuales 
denuncias y a organizarse para controlar la correcta aplicación de las 
medidas de seguridad. 
Estas actividades deberán realizarse paralelamente a la aplicación de 
los nuevos tratamientos, de modo que podrán planificarse en función de 
la elaboración técnica de los tratamientos. 
Para los tratamientos realizados antes de la entrada en vigor de las 
disposiciones nacionales adoptadas en aplicación de la Directiva, 
estas actividades podrán escalonarse en un periodo de tres años, tal y 
como lo prevé la Directiva. 
En el caso de los organismos radicados en Estados miembros que ya 
dispongan de legislación en este ámbito, las medidas que exige la 
Directiva no difieren de las que ya habrán aplicado. 
En el caso de los organismos radicados en Estados miembros que no 
dispongan de dicha legislación, resulta necesario dotarse de 
instrumentos a tal fin. Las autoridades de control competentes pueden 
constituir una ayuda inestimable para facilitar esta aplicación en la 
fase inicial (asesoría, procedimiento de simplificación de la 
notificación de determinados tratamientos, etc.). 
4. ¿Qué consecuencias económicas podría tener la propuesta? 
La protección de la intimidad de las personas, tal y como la estipula 
la Directiva, incrementará la aceptación social de la utilización de 
los diferentes tratamientos de datos personales y, por ende, la 
aceptación de su expansión, lo que constituye un factor positivo de 
cara al crecimiento y a la creación de puestos de trabajo en los 
sectores público y privado. 
Por otra parte, estas normas de protección tienden a eliminar los 
falseamientos de la competencia producidos por la disparidad actual 
entre las normativas nacionales. En lo que respecta a su 
competitividad internacional, la Directiva prevé negociaciones con los 
terceros países que todavía no garantizan un grado de protección 
adecuado. 
- 139 -
5. ¿Contiene la propuesta medidas que tengan presente la situación 
especial de las pequeñas y medianas empresas? 
No. Sin embargo, es de esperar que la mayoría de los tratamientos 
efectuados por las PYME correspondan a categorías que, de acuerdo con 
el sistema propuesto, podrían acogerse a la exención de la obligación 
de notificación o beneficiarse de una simplificación (el cumplimiento 
de estas formalidades no debería suponer más que unas pocas horas de 
trabajo). Por otra parte, la Directiva no prevé ninguna tasa por el 
cumplimiento de las formalidades de notificación. 
CONSULTA 
6. Relación de los organismos consultados sobre la propuesta y exposición 
de los principales elementos de su postura 
a) La consulta de los sectores afectados se realizó, en primer lugar, 
por mediación del Comité Económico y Social, que emitió un dictamen 
favorable sobre la propuesta (DO na C 159 de 17/06/1991, pág. 38), 
así como del Comité de Comercio y de la Distribución (CCD) y del 
Consejo Consultivo de los Consumidores. 
b) Los contactos directos, por iniciativa de los servicios o de los 
sectores profesionales, se centraron, en el caso de la propuesta 
modificada, en las asociaciones profesionales con vocación europea, 
bien por el carácter horizontal de la propuesta, caso de la UNICE, 
bien por tratarse de los sectores más afectados, especialmente la 
Federación Bancaria, el CELD, la FEWITA, el GEDIS, la Federación 
Europea de Marketing Directo, EAT, CHANGE (asociaciones sin ánimo 
de lucro), la Asociación Europea sobre Encuestas de Opinión y de 
Marketing, ACT/EBU, EPC, ENPA, CAEJ, UER, FAEP (para los aspectos 
relacionados con la prensa y el sector audiovisual). 
Los elementos esenciales de estas posturas se refieren, en el caso de 
la propuesta inicial, a: 
el carácter demasiado detallado de la propuesta; 
la excesiva importancia concedida al consentimiento del interesado, 
como condición para el tratamiento de datos personales; 
la prohibición de cualquier decisión automatizada y de la 
elaboración de perfiles; 
la lentitud y la inadecuación de las obligaciones en materia de 
información del interesado y la notificación a las autoridades de 
control; 
- la imposibilidad de seguir comerciando con un tercer país que no 
garantice un grado de protección adecuado; 
- 140 -
el peligro de atentar contra la libertad de expresión, si ciertos 
Estados miembros no conceden las exenciones necesarias para 
conciliar las normas relativas al ejercicio de esta libertad con 
las de la protección de la intimidad. 
La propuesta modificada ha procurado aportar las aclaraciones o 
cambios necesarios, respetando el objetivo de mantener un alto grado 
de protección, sin el que no podría garantizarse la libre circulación. 
- 141 -
ISSN 0257-9545 
COM(92) 422 final 
ES DOCUMENTOS 
06 
N° de catálogo : CB-CO-92-437-ES-C 
ISBN 92-77-47938-8 
Oficina de Publicaciones Oficiales de Ias Comunidades Europeas 
L-2985 Luxemburgo