COMISION DE LAS COMUNIDADES EUROPEAS 
COM(90) 314 final -SYN 288 
Bruselas, 24 de septiembre de 1990 
COMUNICACIÓN PE LA COMISIÓN 
sobre la protección de las personas en lo referente al tratamiento 
de datos personales en la Comunidad y a la seguridad de 
los sistemas de Información 
Propuesta de SYN 287 
DIRECTIVA PEL CONSEJO 
relativa a la protección de las personas en lo referente al 
tratamiento de datos personales 
Proyecto de 
RESOLUCIÓN DE LOS REPRESENTANTES DE LOS GOBIERNOS DE LOS ESTADOS 
MIEMBROS DE LAS COMUNIDADES EUROPEAS, REUNIDOS EN EL SENO DEL 
CONSEJO 
DECLARACIÓN DE LA COMISIÓN 
relativa a la apl lcaclón a las Instituciones y organismos de 
las Comunidades Europeas de los principios de la Directiva del Consejo 
relativa a la protección de las personas en lo referente al 
tratamiento de datos personales 
Propuesta de SYN 288 
PIBECIIVA DEL CONSEJO 
relativa a la protección de los datos personales y de la Intimidad 
en relación con las redes públ leas digitales de telecomunicación 
y, en particular, la red digital de servicios Integrados (BDSI) 
y las redes m6vl les digitales públ leas 
Recomendación de 
PECISIÓN PEL CONSEJO 
relativa a la apertura de negociaciones con vistas a la adhesión 
de las Comunidades Europeas al Convenio del ConseJo de Europa 
sobre la protección de las personas con respecto al tratamiento 
automatizado de los datos personales 
Propuesta de 
PECISIÓN PEL CONSEJO 
en el ámbito de la seguridad de la Información 
- 2 -
Comunicación de la Comisión 
sobre la protección de las personas 
en lo réferente al tratamiento de datos personales en la Comunidad 
Y a la seguridad de los sistemas de Información 
l. INTRODUCCIÓN 
1. La utilización cada vez más frecuente del tratamiento de datos 
personales en todas las facetas de las actividades económicas y 
sociales, unida a las nuevas necesidades de Intercambio de datos 
derivados de la Intensificación de la construcción comunitaria, hacen 
Indispensable la aplicación en la Comunidad de medidas enderezadas a 
garantizar la protección de las personas en lo referente al tratamiento 
de datos personales y a reforzar la seguridad de los tratamientos de 
datos, especialmente, en el contexto del desarrollo de las redes 
abiertas de telecomunicaciones. 
2. Efectivamente, en un momento en que los progresos de las 
tecnologfas de la Información facl 1 ltan considerablemente el 
tratamiento y el Intercambio de datos de todo tipo, en la Comunidad el 
estado actual de la protección de las personas en lo referente a ese 
tratamiento se caracteriza por la diversidad de enfoques nacionales. En 
los años setenta, las preocupaciones por la protección de las personas 
en lo referente al tratamiento de datos personales impulsaron a un 
proceso legislativo en varios Estados miembros encaminado a limitar y 
regular la utilización de este tipo de datos. Con todo, actualmente 
sólo siete Estados miembros poseen legislación especifica en la 
materia. Por añadidura, aunque tienen los mismos objetivos, sus 
legislaciones adoptan a veces soluciones divergentes, por ejemplo, en 
la cuestión del ámbito de aplicación (Inclusión o exclusión de los 
ficheros manuales, protección de las personas juridlcas) o en la de las 
condiciones previas al tratamiento (alcance de la obl lgaclón de 
notificación, Información en el momento de la recogida, tratamiento de 
datos sensibles). 
3. Por ene lma de 1 n 1 ve 1 na e lona 1, aparte de 1 a Recomenda e Ión de 1 
Consejo de la OCDE, de 23 de septiembre de 1980, sobre las directrices 
que rigen la protección de la Intimidad y las transferencias 
transfronterlzas de datos personales, el ónlco· Instrumento de Derecho 
Internacional existente en este ámbito es el Convenio del Consejo de 
Europa, de 28 de enero de 1981, sobre protección de las personas en lo 
referente al tratamiento automatizado de datos personales. Pero este 
Convento permite elegir entre un gran número de opciones para la 
aplicación de los principios básicos que define y, además, sólo ha sido 
ratificado por siete Estados miembros, de los cuales uno todavla no se 
ha dotado de legislación Interna en la materia. 
- 3 -
4. Ante esta situación, han sido varias las manifestaciones de 
InQuietud registradas en la Comunidad. El Parlamento Europeo ha 
adoptado desde 1976 varias resoluclones<1> en las Que expresa su 
InQuietud por dicha cuestión e Invita a la Comisión a preparar una 
propuesta de directiva por la QUe se armonicen las legislaciones en 
materia de protección de datos personales. 
5. Por su parte, en una Recomendación de 29 de julio de 1981, la 
Comisión subrayaba el carácter de derecho fundamental de dicha 
protección y la conveniencia de 1 legar a una armonización en este campo 
en todos los Estados miembros. Asimismo, recomendaba a los Estados 
miembros Que ratificasen, antes de finales de 1982, el Convenio del 
Consejo de Europa, de 28 de enero de 1981 , sobre proteccIón de 1 as 
personas en lo referente al tratamiento automatizado de datos 
personales. No obstante, se precisaba Que 11SI en un lapso de tiempo 
razonable todos los Estados miembros no firman y ratifican dicho 
Conven lo, 1 a Com 1 s Ión se reserva e 1 derecho a proponer a 1 Consejo 1 a 
adopción de un acto fundado en el Tratado CEE ... 
6. La diversidad de enfoQues nacionales y la ausencia de un sistema de 
protección a escala comunitaria constituyen un obstáculo a la 
re a 1 1 zac Ión de 1 mercado 1 nter 1 or. En efecto, s 1 1 os derechos 
fundamentales de los Interesados, en particular el derecho a la 
Intimidad, no se garantizan a nivel comunitario, puede verse 
entorpecido el intercambio transfronterlzo de datos, Que se ha hecho 
Indispensable para las actividades de las empresas y de los organismos 
de Investigación y para la colaboración entre las administraciones de 
los Estados miembros en el marco del espacio sin fronteras contemplado 
en el articulo 8 A del Tratado. Por ello, recientemente el Consejo 
Europeo de Estrasburgo de los dlas 8 y 9 de diciembre de 1989 destacó, 
al dlscut Ir ciertas medidas en favor de la libre circulación de las 
personas y de la Europa de los ciudadanos, la necesidad .. de velar por 
Que la cooperación entre las administraciones garantice previamente la 
protección de los ciudadanos por lo QUe se refiere a la utl 1 lzaclón de 
los bancos de datos personales ... 
7. La definición de un enfoQue comunitario en materia de protección de 
las personas en lo referente al tratamiento de datos personales también 
constituye un reQuisito esencial para el desarrollo de la Industria de 
la Informática y de los servicios telemáticos de gran valor añadido. La 
1 nt roducc Ión r áp 1 da de d 1 spos 1 e 1 ones armon 1 zadas sobre proteccIón de 
datos y de la Intimidad en el contexto de las redes digitales de 
telecomunicaciones resulta Indispensable para la real lzaclón del 
mercado Interior de los eQuipos y servicios de telecomunicación. 
8. Por otra parte, la penetración de la Informática en todas las 
esferas de las actividades económicas y la aparición de sistemas de 
comunicación globales QUe facilitan la Integración de diversas 
act 1 v 1 dades const 1 tuyen un nuevo reto Que hace necesar 1 a una 
.. protección .. adaptada a los riesgos derivados de posibles fallos 
técnicos o humanos, accidentales o voluntarios. La eficacia de la 
seguridad de los sistemas de Información se erige, pues, en elemento 
esencial para garantizar una protección efectiva de la Intimidad y 
preservar la Integridad del rico patrimonio Que constituyen hoy dla los 
datos registrados y transmitidos electrónicamente. Las polltlcas y los 
(1) DO nQ e 100 de 3.5.1976, pág. 27; DO nQ e 140 de 5.6.1979, P~ 34; 
DO nQ e 87 de 5.4.1982, p. 39. 
- 4 -
programas comunitarios para el desarrollo de las Industrias de la 
Información y de la telecomunicación y la realización del mercado 
Interior podrlan verse gravemente dificultados si no se adopta una 
polltlca activa de creación, desarrollo y fomento de normas de 
seguridad para los sistemas de Información. VIsto Que actualmente las 
telecomunicaciones permiten los Intercambios de datos a escala 
planetaria, dicha polltlca debe tener en cuenta tal dimensión mundial. 
Además, resu 1 ta esenc 1 a 1 Que 1 as po 11 t 1 cas nac lona 1 es en mater 1 a de 
seguridad de la Información no se conviertan en un obstáculo a la 
promoción del desarrollo armonioso de la Comunidad ni a las relaciones 
con terceros paises. 
11. ENFOQUE PROPUESTO 
9. El enfoQue propuesto tiene por objetivo garantizar un alto nivel de 
protección mediante un sistema comunitario de protección basado en una 
serie de medidas mutuamente complementarlas. 
A Un alto nivel de protección 
10. Habida cuenta de QUe las legislaciones nacionales tienen por objeto 
garantizar los derechos fundamentales de las pesonas, en particular el 
derecho a la Intimidad, y QUe la propia Comunidad ha expresado su 
compromiso con los derechos fundamentales, concretamente en el párrafo 
tercero del preámbulo del Acta Única Europea, las medidas Que adopte la 
Comunidad no deben tener por efecto la disminución del nivel de 
protección sino, antes bien, garantizar un alto nivel en toda la 
Comunidad. Es posible, de este modo, garantizar un alto nivel de 
protección eQuivalente en todos los Estados miembros de la Comunidad y, 
al mismo tiempo, suprimir los obstáculos al establecimiento del mercado 
Interior con arreglo al articulo 100 A. 
11. Como complemento del acercamiento a un elevado nivel de los 
derechos reconocidos a las personas es Indispensable el lanzamiento de 
una polltlca activa en materia de seguridad de los sistemas de 
Información. Esta seguridad tiene una Importancia capital para las 
personas, el comercio, la Industria y las administraciones públ leas. En 
este sentido, resulta vital garantizar una seguridad eficaz y práctica 
de la Información almacenada electrónicamente, sin Que el lo suponga la 
creación de nuevos obstáculos técnicos entre los Estados miembros o con 
respecto a terceros paises. Para ello, es necesario examinar a nivel 
comunitario las necesidades y las posibles opciones en colaboración 
estrecha con los agentes económicos y responsables del sector y de los 
Estados miembros. 
B Un enfoaue global 
12. Para establecer en la Comunidad un sistema de protección de las 
personas en lo referente al tratamiento de datos personales, resulta 
necesario adoptar diversas medidas Que abarQuen los diferentes aspectos 
de esta cuestión. 
13. A nlyel Interior, aparte de una directiva-marco por la Que se 
aproximan determinadas disposiciones legislativas, reglamentarias y 
administrativas de los Estados miembros relativas a la protección de 
las personas en lo referente al tratamiento de datos personales 
(Directiva general), Que constituye el elemento central del sistema de 
protección, también se propone un conjunto de medidas complementarias a 
fin de garantizar una protección lo más completa posible. Aunque cada 
- 5 -
una de las medidas propuestas corresponde a una situación especifica, 
todas emanan de los mismos principios de protección contenidos en la 
Dlrect lva general. Asl, una Resolución de los representantes de los 
Gobiernos de los Estados miembros reunidos en el seno del Consejo y una 
declaración de la Comisión tienen por objeto extender la apl lcaclón de 
los principios de la Directiva a los ficheros que no entran dentro del 
campo de apl lcaclón de ésta. De Igual modo, es necesaria una directiva 
sectorial en el contexto de las redes públicas digitales de 
telecomunicaciones. Por último, la seguridad de los sistemas de 
Información requiere un plan de acción comunitaria. 
14. A nlyel exterior, la Comunidad Europea debe promover, en los foros 
en que participa, la apl lcaclón de disposiciones de protección 
adecuadas y ha de apoyar apoyar los esfuerzos emprendidos por el 
Consejo de Europa en la materia. En este sentido, seria de desear que 
la Comunidad entablase negociaciones con vistas a su adhesión al 
Convenio 108 del Consejo de Europa. 
Estas propuestas no pueden disociarse entre si sin poner en pel lgro la 
homogeneidad y la coherencia del sistema de protección propuesto. 
e presentación de las proouestas 
15. La oroouesta de Directiva general tiene por objetivo establecer una 
protección equivalente de alto nivel en todos los Estados miembros de 
la Comunidad a fIn de eliminar los obstáculos a los Intercambios de 
datos necesarios para el funcionamiento del mercado Interior. Para 
el lo, los Estados miembros deben garantizar los principios enunciados 
en el proyecto de propuesta de Directiva. Estos principios se refieren, 
en particular, a las condiciones que determinan la legitimidad del 
tratamiento de datos personales, a los derechos del Interesado (derecho 
de Información, acceso, rectificación, oposición, etc.), a la cal ldad 
de los datos (deben ser exactos, han de recogerse 1 lcltamente, 
registrarse con fines determinados y legltlmos, etc.) y a la creación 
de un Grupo de Protección de Datos Personales que asesore a la Comisión 
en cuestIones de proteccIón de datos. E 1 proyecto de propuesta de 
Directiva Incluye los ficheros del sector privado y públ leo cuyas 
act 1 v 1 da des estén sujetas a 1 Derecho Comun 1 tar 1 o. Dado que todas 1 as 
personas gozarán en cada uno de los Estados miembros de una protección 
equivalente de alto nivel en lo referente al tratamiento de datos 
personales, los Estados miembros no podrán Imponer restricciones a la 
circulación de dichos datos dentro de la Comunidad Invocando la 
protección del Interesado. 
16. E 1 proyecto de Beso 1 uc Ión de 1 os representantes de 1 os Esta dos 
miembros de las Comunidades Europeas, reunidos en el seno del Consejo, 
tiene por objetivo hacer extensivos los principios de la Directiva 
general a los ficheros del sector públ leo que no estén Incluidos en su 
ámbito de aplicación, esto es, a los de las administraciones cuyas 
actividades no estén sujetas al Derecho Comunitario. En efecto, para 
mayor coherencia, seria conveniente someter a los mismos principios de 
protección a todos los ficheros de las diferentes administraciones, 
Incluso a aquel los que no entren dentro del ámbito de apl lcaclón de la 
Directiva general. Con este fin, los Estados miembros deben 
comprometerse a Iniciar los procedimientos legislativos nacionales 
necesarios. 
- 6 -
17. La oeclaraclón de la Comisión relativa a la aollcaclón de las 
dlsooslclones de la Directiva general a las Instituciones y organismos 
de la Comunidad pone de manifiesto el deseo de la Comisión de que los 
principios de la Directiva se apl lquen a las Instituciones y organismos 
de la Comunidad. Esta Declaración establece que la Comisión adoptará y 
propondrá las medidas necesarias al respecto e Indica que mientras 
tanto la Comisión aplicará. las disposiciones de la Directiva a sus 
propios ficheros. 
18. La Propuesta de Directiva del ConseJo relativa a la orotecclón de 
datos Personales y de la Intimidad en el contexto de las redes 
digitales PUblicas de telecomunicaciones y. en particular. de la red 
digital de servicios Integrados CRDSI> y de las redes digitales móyl les 
pUb! leas, completa la Directiva general al apl lcar los principios 
generales de la protección de datos a las necesidades especificas de 
las nuevas redes de telecomunicación. Tiene por objetivo garantizar a 
los usuarios de las redes de telecomunicaciones de todos los Estados 
miembros un nivel básico de protección por medio de medidas que deben 
Integrarse en los servicios ofrecidos por las nuevas redes. El Consejo 
y el Parlamento Europeo han subrayado en numerosas ocasiones la 
Importancia de adoptar medidas apropiadas para garantizar la protección 
de los datos y del derecho a la Intimidad frente a los progresos de las 
telecomunicaciones y, en particular, de la RDSI(1). Por su parte, los 
coro 1 sar 1 os de 1 os Esta dos m 1 embros responsab 1 es de 1 a proteccIón de 
datos expresaron v 1 vamente esa m 1 sma preocupacIón con mot 1 vo de su 
reunión anual celebrada en Berilo en agosto de 1989. 
19. La recomendación de Decisión del Conselo relativa a la adhesión de 
la Comunidad Europea al Convenio del ConseJo de Europa para la 
protección de las personas en lo referente al tratamiento automatizado 
de datos personales constituye uno de los aspectos externos del enfoque 
de la Comunidad en materia de protección de datos personales. En 
efecto, la adhesión al Convenio garantizará, en las relaciones entre la 
Comun 1 dad y los terceros pa 1 ses que sean par te de éste, 1 a protecc 1 ón 
de los Interesados y la circulación transfronterlza de datos 
personales. 
20. La propyesta de Decisión del Conselo relativa a la adopción de un 
plan de acción de dos años en materia de seguridad de los sistemas de 
Información completará el dispositivo establecido para reforzar los 
derechos de las personas en lo referente al tratamiento de datos 
personales. La seguridad de la Información, es decir, la protección de 
los datos conservados, tratados y transmitidos electrónicamente contra 
todo tipo de amenazas (accidentales o voluntarias) es esencial para el 
ejercicio efectivo de los derechos de las personas en lo referente al 
tratamiento de datos personales. De modo más general, dicha seguridad 
const 1 tu y e una ex 1 gene 1 a pr i mord 1 a 1 par a 1 a proteccIón de b 1 enes y 
personas que, en el marco del establecimiento de redes abiertas de 
telecomunicaciones, hace necesario el desarrollo de una estrategia 
global, de medidas comunitarias concertadas en el campo de las 
tecnologlas, de las normas y de los procedimientos de homologación y 
prueba, asl como el perfeccionamiento de tecnologlas que lmpl lquen una 
colaboración en la fase de Investigación y desarrollo precompetltlvo. 
(1) DO OQ C 257 de 4.10.1988, p. 1; DO nQ C 196 de 1.8.1989, p. 4; DO 
nQ C 7 de 12.1.1987, p. 334; DO nQ C 12 de 16.1.1989, p. 66; DO nQ 
e 12 de 16.1.1989, p. 69. 
- 7 -
21. El plan de acción propuesto prevé la creación de un marco 
estratégico para la seguridad de los sistemas de Información, el 
anál lsls de las necesidades en materia de seguridad, la elaboración de 
soluciones para determinadas necesidades prioritarias, la preparación 
de especificaciones, normas y pruebas de val ldaclón, la Integración de 
los progresos tecnológicos y operativos en materia de seguridad de los 
sistemas de Información en un marco estratégico general y la 
Integración de determinadas funciones de seguridad dentro de los 
sistemas de Información. 
- 8 -
SYN 287 
Propuesta de 
PIRECTIVA DEL CQNSEJO 
RELATIVA A LA PROTECCIÓN 
DE LAS PERSONAS EN LO REFERENTE AL TRATAMIENTO DE 
DATOS PERSONALES 
- 9 -
INPICE 
Resumen 
Exposición de motivos 
l. lntrodycclón 
1 l. Necesidad de protección en la Comunidad 
Disparidad de las legislaciones nacionales y ausencia de protección 
equivalente 
Consecuencias de esta situación para la Comunidad 
1 1 1 . Enfogye adoptado 
Una protección equivalente en la Comunidad 
Un alto nivel de protección 
IV. Examen de las dlposlclones 
propyesta de Directiva 
-10 -
Resumen 
La presente propuesta de Directiva tiene por objetivo establecer una 
protección equivalente de alto nivel en todos los Estados miembros de 
la Comunidad a fin de eliminar los obstáculos a los Intercambios de 
datos necesarios para el funcionamiento del mercado Interior. Para 
ello, los Estados miembros deben garantizar los principios enunciados 
en el proyecto de propuesta de Directiva. Estos principios se refieren, 
en particular, a las condiciones que determinan la legitimidad del 
tratamiento de datos personales, a los derechos del Interesado (derecho 
de Información, acceso, rectificación, oposición, etc.), a la cal ldad 
de los datos (deben ser exactos, han de recogerse llcltamente, 
registrarse con fines determinados y legltlmos, etc.) y a la creación 
de un Grupo de Protección de Datos Personales que asesore a la Comisión 
en cuest 1 ones de proteccIón de da tos. E 1 proyecto de propuesta de 
Directiva Incluye los ficheros del sector privado y públ leo cuyas 
actividades estén sujetas al Derecho Comunitario. Dado que todas las 
personas gozarán en cada uno de los Estados miembros de una protección 
equivalente de alto nivel en lo referente al tratamiento de datos 
personales, los Estados miembros no podrán Imponer restricciones a la 
circulación de dichos datos dentro de la Comunidad Invocando la 
protección del Interesado. 
-11 -
Exposición de motivos 
l. INTRODUCCIÓN 
La preocupación que desde hace quince años viene suscitando el tema de 
la protección de las personas en lo referente al tratamiento de datos 
personales son fruto tanto de las poslbl 1 ldades que ofrece el progreso 
técnico en el campo del tratamiento de la Información como de la 
creciente utilización del tratamiento de datos personales en multitud 
de ámbitos. Estas preocupaciones se han puesto de manifiesto en 
d 1 f erentes foros y han 1 mpu 1 sado un proceso 1 eg 1 s 1 a t 1 vo en d 1 ver sos 
Estados miembros. En el contexto Internacional, el Convenio del Consejo 
de Europa, de 28 de enero de 1981, para la protección de las personas 
en lo referente al tratamiento automatizado de datos personales 
const 1 tuye, hasta 1 a fecha, e 1 ún 1 co 1 nst rumento de derecho 
1 nternac lona 1 en 1 a mater 1 a. La OCDE, a su vez, ha e 1 aborado unas 
directrices que rigen la protección de la Intimidad y las 
transferencias transfronterlzas de datos personales en una 
Recomendación de 23 de septiembre de 1980, mientras que las Naciones 
Unidas están preparando las suyas actualmente. 
También en la Comunidad se ha expresado tal preocupación. Desde 1976 el 
Parlamento Europeo ha adoptado varias resoluclones<1) en las que 
manifiesta su Inquietud al respecto e Invita a la Comisión a preparar 
una propuesta de Directiva por la Que se armonicen las legislaciones en 
materia de protección de datos personales. 
En este sentido, en una Recomendación de 29 de julio de 1981, la 
Comisión subrayaba el carácter de derecho fundamental de dicha 
protección y la conveniencia de 1 legar a una armonización en este campo 
en todos los Estados miembros. Asimismo, recomendaba a estos últimos 
que ratificasen antes de finales de 1982 el Convenio del Consejo de 
Europa, de 28 de enero de 1981, sobre protección de las personas en lo 
referente al tratamiento automatizado de datos personales. No obstante, 
se precisaba Que "si en un lapso de tiempo razonable todos los Estados 
miembros no firman y ratifican dicho Convenio, la Comisión se reserva 
el derecho a proponer al Consejo la adopción de un acto fundado en el 
Tratado CEE". 
Por su parte, el Consejo Europeo de Estrasburgo de los dias 8 y 9 de 
diciembre de 1989 destacó, al discutirse ciertas medidas en favor de la 
1 lbre circulación de las personas y de la Europa de los ciudadanos, la 
necesidad "de velar por que la cooperación entre las administraciones 
gar ant 1 ce prev 1 amente 1 a proteccIón de 1 os e 1 udadanos por 1 o que se 
refiere a la utl 1 lzaclón de los bancos de datos personales". 
Debe destacarse que esta preocupacIón de garant 1 zar una proteccIón 
general no sólo se ha manifestado en las manifestaciones mencionadas 
sino también en acciones especificas o sectoriales de la Comunidad, 
especialmente en el ámbito de las nuevas tecnologias de la Información. 
(1) DO nQ e 100 de 3.5.1976, p. 27; DO nQ 140 de 5.6.1979, p. 34; DO nQ 
e 87 de 5.4.1982, p. 39. 
-12 -
A la vista de la situación actual en el campo del tratamiento de datos 
personales y de las exigencias de la construcción comunitaria, resulta 
Indispensable una Directiva que garantice la protección de las personas 
frente a este tipo de tratamiento. 
11. NECESIDAD DE PROTECCIÓN EN LA COMUNIDAD 
Disparidad de las legislaciones nacionales y ausencia de protección 
egylyalente en la Qomynldad 
La protección de las personas por lo que se refiere a los datos 
personales es objeto de diversos enfoques en los Estados miembros. Esta 
diversidad es resultado, en parte, de la carencia de legislación 
especifica en la materia de algunos Estados miembros y, también, del 
diferente contenido de la legislación existente en otros. 
Actualmente, siete Estados miembros disponen de legislación especifica 
(Alemania, Dinamarca, Franela, Irlanda, Luxemburgo, los Paises Bajos y 
el Reino Unido), mientras que otros están elaborándola. 
Aunque el objeto de estas normas nacionales es el mismo, la protección 
de las personas afectadas, adoptan soluciones diferentes por la 
multiplicidad de opciones posibles para garantizar dicha protección. La 
cobertura de los ficheros manuales, la protección de las personas 
jurldlcas, los procedimientos previos a la creación de ficheros, el 
alcance de la obl lgaclón de notificación, la Información en el momento 
de la recogida de los datos, el tratamiento de datos sensibles y la 
transferencia a terceros paises, por ejemplo, son cuestiones que pueden 
ser enfocadas de modos diferentes. Además, los progresos tecnológicos 
pueden llevar a los Estados miembros a actuar de distinta manera y a 
acentuar, de este modo, la disparidad existente. 
El Convenio del Consejo de Europa, de 28 de enero de 1981, para la 
protección de las personas en lo referente al tratamiento automatizado 
de datos personales no ha limitado esta disparidad, ya que, por una 
parte, permite elegir entre un gran número de opciones para la 
aplicación de los principios básicos que define y, por otra, sólo ha 
sido ratificado por siete Estados miembros (Alemania, Dinamarca, 
España, Franela, Irlanda, Luxemburgo y el Reino Unido), de los cuales 
uno (España) todavla no se ha dotado de legislación Interna. Por su 
parte, la Recomendación de la Comisión, de 29 de julio de 1981, por la 
que se invita a los Estados miembros de la Comunidad a ratificar el 
Convenio del Consejo de Europa no ha alterado esta situación. 
A causa de la disparidad de los enfoques nacionales, la protección de 
las personas en lo referente al tratamiento de datos personales no es 
equivalente en todos los Estados miembros y, por lo tanto, el nivel de 
protección puede variar de un Estado miembro a otro. 
Consecuencias de esta situación cara la Comunidad 
En la Comunidad esta situación plantea tres tipos de dificultades: 
La falta de legislación nacional especifica o sus lagunas no están 
en consonancia con la Importancia que la Comunidad concede al respeto 
de los derechos fundamentales, resaltada en la Declaración Común del 
Parlamento Europeo, del Consejo y de la Comisión sobre los derechos 
fundamentales, de 5 de abril de 1977, y en el párrafo tercero del 
-13 -
preámbulo del Acta Única Europea. Además, uno de los principios 
generales del Derecho Comunitario es el respeto de los derechos 
fundamentales, de cuya observancia es garante el Tribunal de Justicia 
de las Comunidades Europeas. 
La circulación de datos personales, siempre que se efectúe con 
respeto de los derechos del Interesado, es necesaria para la creación y 
el funcionamiento del mercado Interior. Efectivamente, habida cuenta de 
los progresos técnicos registrados en el campo del tratamiento de la 
Información, especialmente por lo que se refiere al establecimiento de 
redes numéricas de telecomunicación dentro de la Comunidad, la 
dimensión transfronterlza de las transferencias de datos presenta tres 
niveles: 
Dado que en numerosas fases de las diferentes actividades 
económicas se ut illzan datos personales, para el ejercicio de la 
libre circulación de mercanclas, personas, servicios y capitales, 
es necesar lo que ese t lpo de datos pueda transml t 1 rse entre los 
agentes económicos que mantengan actividades fronterizas . 
. En el proceso de Integración comunitaria, en particular en el 
contexto de la supresión de las fronteras, tiene que Intensificarse 
la cooperación y la colaboración entre las administraciones 
nacionales. ~stas deben real izar funciones que son de la 
Incumbencia de la administración de otro Estado miembro. En este 
contexto, la circulación de datos se erige en condición 
Indispensable del proceso de cooperación. Asf, las obl lgaclones de 
colaboración o de Información que serán Impuestas a las 
administraciones por el Derecho Comunitario hacen esencial que, 
paralelamente, se garantice plenamente la protección de los 
Interesados. 
Los Intercambios de datos también son necesarios para la 
cooperación clentiflca. 
Esta necesidad de permitir la circulación de datos entre Estados 
miembros tropieza actualmente con la disparidad de los enfoques 
nacionales en materia de protección de las personas en lo referente al 
tratamiento de datos personales. Esta dispar ldad puede, en efecto, 
conducir a un Estado miembro a poner obstáculos a la circulación de 
datos amparándose, bien en la falta de protección en el Estado de 
procedencia o de destino, bien en la Insuficiencia de dicha protección. 
En algunos casos esta disparidad también podrla 1 levar a un 
falseamiento de la competencia entre los agentes económicos privados 
según las restricciones a las que estén sometidos en su pals. 
1 1 1 • ENFOQUE ADOPTADO 
Una protección eaylyalente en la Comunidad 
Con e 1 f 1 n de garant 1 zar 1 a proteccIón de todas 1 as personas que 
residen en la Comunidad en lo referente al tratamiento de datos 
personales y de permitir la circulación de este tipo de datos entre los 
Estados miembros, es necesario establecer un nivel de protección 
equivalente en toda la Comunidad. Para el lo, es Indispensable aproximar 
las legislaciones. En este sentido, el programa de trabajo de la 
Comisión para 1990 menciona la protección de datos como un tema 
prioritario en el contexto de la real lzaclón del mercado lnterlor<1>. 
(1) Bol. CE Suplemento 1/90, páginas 18, 26 y 28. 
-14 -
A este respecto, el articulo 100A del Tratado proporciona el fundamento 
Jurldlco pertinente en la medida en QUe es Indispensable una protección 
eQuivalente de alto nivel para la real lzaclón del mercado Interior. El 
establecimiento y el funcionamiento del mercado Interior, definidos en 
el articulo 8A como .. espacio sin fronteras Interiores, en el Que la 
libre circulación de mercanclas, personas, servicios y capitales estará 
garantizada de acuerdo con las disposiciones del presente Tratado .. , 
hacen necesario, por las razones ya Indicadas, un acercamiento de las 
legislaciones en este campo. 
Al elaborar la presente propuesta, la Comisión ha tenido en cuenta las 
exigencias del articulo 8 e del Tratado CEE y ha 1 legado a la 
conc 1 us Ión de Que por e 1 momento no parece necesar 1 o n 1 j ust 1 f 1 cado 
establecer disposiciones especiales ni excepción alguna. De Igual modo, 
la Comisión ha estudiado el problema del elevado nivel de protección de 
la sanidad, la seguridad, el medio ambiente y los consumidores exigido 
por el apartado 3 del articulo 100 A del Tratado CEE. 
Un alto nlyel de protección 
Dado Que el objetivo de las legislaciones nacionales en este ámbito es 
garantizar la protección de los derechos fundamentales, en particular 
el derecho a la Intimidad, la aproximación de dichas legislaciones debe 
tener por objetivo garantizar un alto nivel de protección. Pese a las 
adaptaciones Inherentes a toda aproximación de legislaciones, ésta no 
debe tener como consecuencia la disminución del nivel de protección ya 
garantizado en los Estados miembros. 
Los principios generales enunciados en el Convenio del Consejo de 
Europa const 1 tuyen una referenc 1 a QUe debe tenerse en cuenta porQue 
forman una base común para los paises Que lo han ratificado. De este 
modo, al tiempo Que adopta soluciones compatibles con las del Convenio, 
la Directiva completa dichos principios generales a fin de establecer 
una protección eQuivalente de alto nivel. 
El elevado nivel de protección de la Directiva ofrece una cobertura muy 
ampl la, al QUedar recogidas todas las situaciones en las QUe el 
tratamiento de datos personales suponga un riesgo para los Interesados. 
Asl se explica Que la Directiva Incluya tanto los ficheros manuales 
como los automatizados, sean del sector públ leo o del privado. 
Los principios de la Directiva, especialmente los relativos a la 
legitimidad de los tratamientos, a la comunicación de datos a terceros, 
a los procedimientos de notificación, a los derechos del Interesado y a 
la calidad de los datos, están enderezados a garantizar un elevado 
nivel de protección y toman como referencia las diversas soluciones 
adoptadas en las legislaciones nacionales. De Igual modo, se ha 
prestado una atención especial a la apl lcaclón efectiva de las 
disposiciones de la Directiva a través de mecanismos distintos de los 
habitualmente ut lllzados para el control de la aplicación del Derecho 
Comunitario. Asl, las disposiciones relativas a la responsabl 1 ldad y al 
establecimiento de un Grupo de protección de datos personales responden 
a esta preocupación. 
Los principios de la Directiva podrán ser completados si ello fuese 
necesar lo. Con este f 1 n, 1 a O 1 rect 1 va estab 1 ece en d 1 versas 
disposiciones Que los Estados miembros podrán desarrollar dichos 
principios por lo Que se refiere a los ficheros sujetos a su 
1 eg 1 s 1 acIón. As lm 1 smo, puede Que sean necesar 1 as med 1 das 
-15 -
complementarlas para la apl lcaclón de determinados principios generales 
en sectores que presentan Importantes caracterfstlcas especificas. 
IV. EXAMEN DE LAS DISPOSICIONES 
CAPITULO 1 
Disposiciones generales 
Articulo 1 
Objeto de la Directiva 
Este art fculo establece que los Estados miembros están obligados a 
garantizar la protección de las personas en lo referente al tratamiento 
de datos personales mediante la apl lcaclón de las disposiciones de la 
Directiva. Habida cuenta de que, en virtud de la presente Directiva, la 
protección está garantizada con arreglo a los mismos principios en 
todos los Estados miembros y, por lo tanto, es equivalente, estos 
últimos no pueden restringir, en los ámbitos Incluidos en la Directiva, 
la circulación de datos por motivos relacionados con la protección del 
Interesado. No obstante, la protección de las personas y la circulación 
de datos únicamente están garantizadas en virtud de la Directiva en los 
ámbitos Incluidos en ésta. Asl pues, los ficheros creados con fines 
privados y los de las asociaciones sin ánimo de lucro no pueden 
someterse a las disposiciones del presente articulo, puesto que el 
apartado 2 del art fculo 3 los excluye del ámbito de aplicación de la 
Directiva. 
Articulo 2 
Definiciones 
Este articulo tiene por objeto definir los principales conceptos 
utl 1 Izados en la Directiva. Las definiciones recogen las del Convenio 
108 del Consejo de Europa con las adaptaciones y aportaciones 
necesarias para garantizar una protección equivalente de alto nivel en 
la Comunidad. 
a) "Datos personales". Como en el Convenio 108, se ha adoptado una 
definición ampl la a fin de abarcar toda la Información que pueda estar 
re 1 ac lonada con una persona. En efecto, según 1 a f 1 na 1 1 dad a 1 a que 
esté destinado, todo dato sobre una persona, aun cuando parezca 
Inofensivo, puede tener carácter sensible (por ejemplo, una simple 
dirección postal). A fin de que esta definición no pueda eludlrse por 
métodos de Identificación Indirecta, se precisa que se considera como 
Identificable toda persona que pueda ser Identificada mediante un 
número o una Información de ese tipo. 
b) "Procedimiento de disociación (anónimo)". Esta noción tiene por 
objeto excluir del ámbito de apl lcaclón de determinadas disposiciones 
de la Directiva los datos que dejen de ser Identificables. Puede 
considerarse que se ha disociado un dato Incluso en el supuesto de que 
teóricamente sea posible volver a personal Izarlo Invirtiendo unos 
recursos técnicos y financieros desproporcionados. 
-16 -
e) "Fichero de datos personales ... Esta definición está basada en el 
criterio de la poslbl lldad de acceso a datos personales, bien mediante 
un tratamiento manual consistente en una recogida de datos 
estructurados, bien mediante un tratamiento automatizado Que permita 
reagrupar datos diseminados o extraer datos de un texto Integral con 
arreglo a un modo de consulta QUe corresponda a el de un fichero. 
La definición Incluye, asimismo, los ficheros mecanográficos y manuales 
estructurados. Los expedientes Individuales, en particular los 
admlnlstrat lvos, que no contengan un conjunto estructurado de datos 
personales no han sido incluidos en la definición por estar 
contemplados en legislaciones especificas y diversas de los Estados 
miembros. 
d) .. Tratamiento ... Al enumerar las pr lnclpales formas de tratamiento, 
esta definición adapta la del Convenio al campo de aplicación más 
amplio de la noción de fichero. Se Incluyen las operaciones de 
Interconexión de datos porQue permiten elaborar datos nuevos {por 
ejemplo, el perfl 1 electrónico). Se hace referencia al bloqueo para los 
casos de datos cuyo acceso está bloQueado con med 1 das de segur 1 dad 
mayores Que las normales, sin Que ello eQuivalga a su supresión. 
e) .. Responsable del fichero ... Esta noción del Convenio Queda adaptada 
de dos maneras: por una parte, se hace referencia al Derecho 
Comunitario a fin de Incluir los casos en Que en directivas especificas 
se han establecido disposiciones materiales relativas a la protección 
de los datos personales; por otra parte, se precisa QUe el responsable 
del fichero es aQuel Que autoriza la consulta, especialmente en caso de 
consulta directa. 
f) .. Autoridad de control ... Esta definición subraya Que la autoridad 
debe ser Independiente y remite al articulo 26, Que precisa las 
funciones de la autoridad de control. 
g) y h) .. Sector p6bl leo" y .. sector privado ... La Inclusión de las 
definiciones de sector p6bllco y sector privado en la Directiva viene 
justificada por el hecho de Que algunas de sus disposiciones se 
refieren especlflcamente a uno u otro de estos sectores .. Capltulos 11 y 
111 relativos a la legitimidad de los tratamientos de datos personales 
en el sector p6bllco y en el sector privado). Estas definiciones se 
fundan en la naturaleza del servicio proporcionado por el organismo en 
cuestión, Independientemente del régimen jurldlco privado o p6bl leo de 
este 61tlmo. Seg6n Que ejerza actividades comerciales o funciones de 
servicio p6bllco, el organismo deberá aplicar las normas propias del 
sector privado o del p6bllco. 
Articulo 3 
Ámbito de apl lcaclón 
La Directiva es aplicable a todos los ficheros cuyos responsables 
pertenezcan al sector privado o al p6bl leo. Por lo QUe a este 61tlmo se 
refiere, la ejecución de numerosas actividades administrativas exige, 
en virtud del Derecho Comunitario, la cooperación entre 
administraciones de los diferentes Estados miembros. No obstante, no 
están Incluidos los ficheros del sector p6bllco cuyas actividades no 
entran dentro del campo de apl lcaclón de la normativa comunitaria (por 
ejemplo, los servicios secretos). 
-17 -
El apartado 2 establece dos excepciones justificadas por el escaso 
riesgo de que se atente contra el derecho a la Intimidad, bien porque 
se trata de una utilización con fines totalmente privados, como es el 
caso de las agendas electrónicas personales, bien porque se trata de 
registros de miembros de una asociación de cuya mera adhesión a ésta 
puede presumlrse su consentimiento a figurar en el registro y porque la 
Información contenida en dicho registro no se transmite a terceros. 
Articulo 4 
Derecho apl lcable 
Este articulo fija los criterios de vinculación que determinan la 
aplicación en cada Estado miembro de las disposiciones de la presente 
Directiva. Con estos criterios, recogidos en el apartado 1, se pretende 
evitar que los Interesados queden desasistidos de toda protección, en 
particular en caso de soslayarse la legislación. Asl, se ha adoptado el 
criterio objetivo de la ubicación del fichero. A este respecto, cada 
par te de un f 1 che ro s 1 tuado o repar t 1 do en d 1 versos Estados m 1 embros 
debe considerarse a todos los efectos como un fichero. 
A esta misma preocupación por la protección de los Interesados en caso 
de ausenc 1 a de ub 1 cae Ión responde una d 1 spos 1 e Ión que 1 mpone a 1 os 
usuarios que consulten un fichero situado en un tercer pals a partir de 
una terminal ubicada en un Estado miembro la obl lgaclón de respetar las 
disposiciones de la. Directiva relativas a la legitimidad de los 
t r a t am 1 en tos, a 1 a 1 nformac Ión de 1 1 nteresado en caso de comun 1 cae Ión 
de datos, a los datos sensibles, a la seguridad de los datos y a la 
responsab 1 1 1 dad. Esta ob 1 1 gac Ión no es ap 1 1 cab 1 e cuando d 1 e ha 
utll lzaclón es esporádica. 
Hab 1 da cuenta de 1 a fa e 1 1 1 dad de desp 1 azam 1 ento de 1 os f 1 che ros, e 1 
traslado temporal de un fichero no constituye un cambio de ubicación. 
El desplazamiento de los soportes en los que están registrados los 
da tos no debe ocas 1 onar más forma 1 1 da des que 1 as ya cump 1 1 das en e 1 
Estado de ubicación permanente. 
Este articulo también tiene por objetivo evitar los casos de 
acumulación de leyes apl lcables. 
CAPITULO 11 
Legitimidad del tratamiento en el sector públ leo 
Los datos personales únicamente pueden ser objeto de tratamiento si 
éste es legitimo. Este capitulo, como el 111, precisa las condiciones 
que determinan la legitimidad del tratamiento. ~sta viene determinada, 
según los casos, por el consentimiento del Interesado, por una 
disposición de la Directiva o del Derecho Comunitario o por un acto 
legal nacional. 
-18 -
Articulo 5 
Principios 
Este articulo dispone que el establecimiento de un fichero del sector 
público Y cualquier otro tratamiento de datos únicamente son tegltlmos 
si son necesarios para la ejecución de los cometidos de la autoridad 
pública responsable del fichero. 
Se establecen cuatro casos en los que el tratamiento de datos puede 
efectuarse con una finalidad diferente de aquella para la que se haya 
creado el fichero: si el Interesado da su consentimiento; si el 
tratamiento tiene una base legal; si, tras haberse sopesado los 
Intereses afectados, se pone de manifiesto que dicha finalidad no es 
contraria a un Interés legitimo del interesado; y, por último, en caso 
de amenaza Inminente al orden público o violación grave de los derechos 
de terceros. 
Estos principios no se refieren al caso especifico de la comunicación 
de datos a terceros que es objeto de las disposiciones del articulo 6. 
Articulo 6 
Tratamiento en el sector públ leo encaminado a la comunicación de datos 
personales 
Es necesaria una disposición especifica para la comunicación de datos a 
terceros porque este tipo de tratamiento es el que lleva aparejado un 
mayor riesgo para el Interesado. El apartado prevé dos casos en los que 
pueden comunicarse los datos a terceros, según que el destinatario 
forme parte del sector público o del sector privado. El primer caso, la 
comunicación debe ser necesaria para el ejercicio de las funciones de 
la administración que solicita o comunica los datos, mientras que en el 
segundo deben sopesarse los Intereses afectados a fin de determinar si 
el solicitante esgrime un Interés legitimo y si prevalece el Interés 
del Interesado. 
Los Estados miembros tienen la posibilidad de precisar en su 
legislación las condiciones de legitimidad de la comunicación dentro de 
los limites de los dos principios antes enunciados. Podrán, por 
ejemplo, decidir aquellos ámbitos en los que prevalece el Interés del 
Interesado. 
A fin de garantizar que la posibilidad de comunicación de datos al 
sector privado no vaya en perjuicio del Interesado, se establece un 
procedimiento de Información de dicha comunicación. No obstante, la 
autoridad de control puede autorizar excepciones a dicha obl lgaclón. En 
tal caso, puede Imponer condiciones con respecto de las excepciones o 
asumir la tarea de Informar al Interesado. 
Articulo 7 
Obligación de notificación a la autoridad de control 
La obligación, prevista en este articulo, de notificación en un 
registro de la autoridad de control se limita a los ficheros del sector 
público cuyos datos sean suscept lb les de comunicación. Esta solución 
persigue garantizar el mlnlmo de transparencia necesaria para el 
ejercicio de los derechos del Interesado y, al mismo tiempo, reducir 
-19 -
las formal ldades previas Que podrlan constituir una carga excesiva para 
1 a autor 1 dad de cont ro 1 , espec 1 a 1 mente a causa de 1 a amp 1 1 tud de 1 a 
noción de fichero. No obstante, los Estados miembros pueden hacer 
ex tens 1 va 1 a ob 1 1 gac Ión de not 1 f 1 cae Ión a otros f 1 che ros de 1 sector 
púb llco. 
CAPITULO 111 
Legitimidad del tratamiento en el sector privado 
Articulo 8 
Principios 
La legitimidad del tratamiento de datos personales en el sector privado 
puede basarse en el consentimiento del Interesado. Este consentimiento 
debe expresarse con arreglo a las disposiciones de los artlculos 12 y 
13, relativos, respectivamente, al consentimiento Informado y a la 
Información en el momento de la recogida de datos. 
A falta de consentimiento del Interesado, la legitimidad del 
tratamiento puede fundarse en la existencia de una relación de tipo 
cont r actua 1 entre e 1 responsab 1 e de 1 f 1 che ro y e 1 1 nteresado, s 1 empre 
Que el tratamiento sea necesario para la ejecución del contrato (por 
ejemplo, tratamiento de pedidos o facturación). 
La legitimidad del tratamiento también puede fundarse en el hecho de 
Que los datos provengan de fuentes generalmente accesibles al público 
(anuarios accesibles al públ leo), siempre Que el tratamiento esté 
destinado únicamente al envio de correspondencia. 
Por último, la legitimidad del tratamiento también puede basarse en una 
ponderación de 1 ntereses Que ponga de man 1 f 1 esto 1 a 1 eg 1 t lm 1 dad de 1 
Interés del responsable del fichero y la subordinación de los Intereses 
de 1 1 nteresado. 
La comunicación de datos únicamente es legitima cuando es compatible 
con la finalidad del fichero, QUe debe notificarse (apartado 2 del 
articulo 11) y respetarse en el momento del registro de los datos 
(letra b del apartado 1 del articulo 16). En caso de comunicación, el 
responsable del fichero tiene, asimismo, la obl lgaclón de Informar al 
Interesado con arreglo a los artlculos 9 y 10. Los Estados miembros 
tienen la facultad de precisar en su legislación las condiciones de 
legitimidad dentro de los limites de los principios enunciados 
anteriormente. Podrán, por ejemplo, definir los ámbitos en los Que 
prevalece el Interés del Interesado. 
Articulo 9 
Obl lgaclón de Información al Interesado 
A fin de permitir al Interesado ejercer sus derechos, el apartado 1 
obl lga al responsable del fichero a Informar al Interesado de la 
comunicación de datos Que se refieran a él. De este modo, el Interesado 
puede ejercer su derecho de acceso y oponerse a Que continúe el 
-20 -
tratamiento en cuestIón. La obligación de Informar al Interesado no 
rige en los casos en que los datos provengan de fuentes generalmente 
accesibles al público y su tratamiento esté dest lnado únicamente al 
envio de correspondencia. 
Articulo 10 
Excepciones especiales a la obligación de Información al Interesado. 
Este articulo reconoce a los Estados miembros la facultad de disponer 
en su legislación que cuando el cumplimiento de la obligación de 
1 nformar a 1 1 nteresado trop 1 ece con grandes d 1 f 1 cu 1 tades práct 1 cas o 
con los Intereses legltlmos prevalecientes del responsable del fichero 
o de un tercero, la autoridad de control podrá autorizar, a petición 
del responsable del fichero, una excepción a dicha obligación. 
Asimismo, puede precisar las condiciones de la excepcl6n y asumir el la 
misma la tarea de Informar al Interesado, dentro de los limites fijados 
por la leglslacl6n que la autoriza a ello. 
Un caso de grandes dificultades prácticas seria, por ejemplo, el de los 
datos relativos a personas de dirección personal desconocida. 
Articulo 11 
Obl lgacl6n de notlflcaclon a la autoridad de control 
Por las mismas razones aducidas con respecto de la obllgacl6n de 
notlflcacl6n en el sector públ leo (articulo 7), la obl lgaclón de 
not i f 1 cae 16n en e 1 sector pr 1 vado no se ap 1 1 ca a 1 os f 1 che ros cuyos 
datos no estén dest 1 nados a su comun 1 cae Ión o provengan de fuentes 
generalmente accesibles al público. SI cambia la final ldad del fichero, 
debe actualizarse la notlflcacl6n. 
Las Informaciones que deben notificarse han de contener los elementos 
necesarios para el control del respeto de la disposiciones de la 
presente Directiva (al menos, el nombre y la dirección del responsable 
del fichero, la finalidad del fichero, una descrlpcl6n de los tipos de 
datos que contiene, los terceros posibles receptores de los datos y una 
descrlpcl6n de las medidas de seguridad). Los Estados miembros pueden 
ampliar el campo de apl lcacl6n de la obl lgaclón de notlflcacl6n. 
CAPITULO IV: Derechos del Interesado 
Articulo 12 
Consentimiento Informado 
Este articulo establece las condiciones de validez del consentimiento 
dado por el Interesado para el tratamiento de sus datos, tanto en el 
sector público como en el privado. 
Este consentimiento constituye un elemento Importante que justifica el 
tratamiento de datos personales por el responsable del fichero. La 
noción de "consentimiento" utl 1 Izada en el articulo 12 equivale a 
-21 -
"consent lm 1 ento 1 nformado". A f 1 n de que e 1 1 nteresado pueda sopesar 
los riesgos y ventajas del tratamiento de sus datos y ejercer los 
derechos contemplados en el articulo 14 de la presente Directiva 
(rectificación, supresión y bloqueo), el responsable del fichero debe 
facl litar al Interesado toda la Información pertinente, por ejemplo, el 
nombre y dirección del responsable, la final ldad del fichero, los datos 
almacenados en éste, etc. 
Por razones prácticas, la presente Directiva no exige que el Interesado 
declare su consentimiento por escrito. No obstante, debe ser expreso y 
especifico, es decir, ha de hacer referencia al tratamiento de los 
datos referentes a su persona por el responsable del fichero y para una 
determinada final ldad o final ldades. Además, debe precisar qué tipos de 
datos, formas de tratamiento y, en caso de transferencia de datos a 
terceros, posibles destinatarios autoriza. 
Con arreglo a-la letra e) del articulo 12 el Interesado tiene la 
facultad de retirar su consentimiento en todo momento. No obstante, la 
revocación no puede tener efectos retroactivos ya que, de lo contrario, 
resultar fa 1 legal un tratamiento de datos personales previamente 
1 fe 1 to. 
Articulo 13 
Información del Interesado en el momento de la recogida de datos 
Para una protección eficaz de los datos del Interesado es necesario que 
éste reciba una Información completa del tratamiento de sus datos 
personales no sólo después de su almacenamiento y tratamiento en un 
fichero, sino también durante la fase anterior al tratamiento: la 
recogida de la Información personal. 
La letra a) del apartado 1 del articulo 16 prevé que la recogida de 
datos personales debe efectuarse llcltamente. A su vez, el articulo 13 
precisa qué Información debe facl 1 itarse al Interesado cuando los datos 
se le sol lcltan directamente a él. 
Para que una recog 1 da de datos persona 1 es sea 1 1 e 1 ta, e 1 1 nteresado 
debe poder decidir si facl 1 Ita los datos basándose en una Información 
fiable sobre la final ldad del tratamiento, la Identidad del responsable 
del fichero y el carácter legalmente obligatorio o voluntario de la 
cesión de los datos en cuestión. A fin de garantizar los derechos del 
Interesado establecidos por el articulo 14 de la presente Directiva, 
asl como un control efectivo de la utilización de sus datos, también 
debe ser Informado de su derecho de acceso y rectificación y sobre la 
Identidad de los destinatarios de sus datos. Por su parte, el apartado 
1 del articulo 13 de la presente Directiva dispone que en su 
legislación nacional sobre protección de datos los Estados miembros han 
de garantizar al Interesado el acceso a dicha Información. 
Dado que las personas que efectúan la recogida de datos frecuentemente 
no son los responsab 1 es de 1 f 1 che ro en e 1 que han de almacenarse y 
tratarse los datos, es Importante Informar al Interesado en el momento 
de la recogida de los datos de su nombre y dirección, de manera que 
pueda ejercer sus derechos con respecto a aquél. 
El apartado 2 del articulo 13 reconoce a los Estados miembros la 
facultad de Imponer restricciones a la obl lgaclón de Informar al 
Interesado en el momento de la recogida de datos cuando existan 
-22 -
Intereses generales prevalecientes. Con arreglo a esta disposición, la 
obligación de facilitar al Interesado la Información mencionada en el 
apartado 1 del articulo 13 no rige si Impide a las autoridades públ leas 
ejecutar correctamente sus funciones de control y verificación y de 
mantenimiento del orden públ leo. 
Articulo 14 
Derechos complementarlos del Interesado 
El articulo 14 de la presente Directiva recoge los derechos del 
Interesado frente al responsable del fichero. Dado Que la protección de 
datos tiene por objetivo garantizar el respeto del derecho del 
Interesado a la Intimidad, los derechos de éste frente al responsable 
del fichero constituyen una parte fundamental de la protección de 
datos. 
El apartado 1 del articulo 14 reconoce al Interesado el derecho a 
oponerse, por razones legft imas, a Que los datos personales QUe le 
conciernen sean objeto de tratamiento. 
A efectos de esta disposición, se entiende por razones legitimas el Que 
un determinado tratamiento de datos personales carezca de base 
jurldlca, por ejemplo, por no cumplIrse los reQuisitos establecidos en 
los Capftulos 11 y 111 de la presente Directiva sobre legitimidad del 
tratamiento. 
El apartado 2 del articulo 14 establece Que el Interesado no puede ser 
objeto de decisiones de Instituciones del sector públ leo o privado que 
lmpl IQuen una apreciación de su comportamiento basada únicamente en un 
tratamiento automatizado de datos personales Que dé un perfil de los 
datos o de la personalidad del Interesado. Con esta disposición se 
pretende proteger e 1 1 nterés de 1 1 nteresado en par t 1 e 1 par en a que 1 1 as 
decisiones Que sean Importantes para él. El uso de perfiles detallados 
basados en datos persona 1 es por par te de lmpor tan tes 1 nst 1 tuc 1 ones 
públ leas y privadas priva al Interesado de la poslbll ldad de Influir en 
los procesos decisorios de dichas Instituciones cuando esas decisiones 
se toman únicamente sobre la base de su perfl 1 personal. 
Par a una proteccIón efect 1 va de 1 derecho de 1 1 nteresado a rect 1 f 1 car, 
suprimir y bloquear los datos Que obran en poder del responsable del 
f 1 che ro, re su 1 t a esenc 1 a 1 Que a Qué 1 tenga e 1 acceso a 1 os da tos de 1 
fichero Que le garantizan los apartados 3 y 4 del articulo 14. El 
apartado 3 del articulo 14 reconoce al Interesado el derecho a obtener 
Información sobre el tratamiento de sus datos personales por el 
responsable del fichero, de manera QUe pueda ejercer su potestad de 
rectificar, suprimir y bloQuear esos datos, asl como de controlar de 
modo efectivo tanto el tratamiento como los datos mismos. En el 
apartado 4 del articulo 14 garantiza al Interesado el derecho a 
obtener, con una frecuencia razonable y sin esperas ni gastos 
excesivos, la confirmación de si existen en un fichero datos personales 
Que le conciernen, asf como, en su caso, la comunicación de esos datos 
en forma lntel lglble. 
Las disposiciones de los apartados 3 y 4 del articulo 14 facultan a los 
Estados miembros para decidir si tal Información debe enviarse al 
Interesado. También corresponde a los Estados miembros definir en su 
legislación nacional la expresión .. frecuencia razonable ... Atendiendo a 
-23 -
los Intereses del Interesado y del responsable del fichero, la 
legislación nacional de los Estados miembros puede establecer que el 
responsable del fichero exiJa al Interesado el reintegro del coste que 
1 leve aparejado el ejercicio del derecho de acceso, sin que en ningún 
caso sea éste excesivo. 
El apartado 4 del articulo 14 autoriza a los Estados miembros a 
establecer una norma especial para el ejercicio del derecho del 
1 nteresado a acceder a datos méd 1 cos. A f 1 n de ev 1 tar a 1 1 nteresado 
traumas psicológicos que puedan conducir, en casos extremos, al 
suicidio, cabe disponer que el Interesado sólo pueda acceder a tal 
Información por mediación de un médico. 
El apartado 5 del articulo 14 de la presente Directiva reconoce al 
Interesado el derecho a rectificar, suprimir y bloquear datos cuando el 
tratamiento de sea Incompatible con lo dispuesto en la presente 
Directiva. 
El Interesado puede exigir la rectificación de los datos que le 
conciernan si son Incorrectos, Incompletos, Inexactos, engañosos o no 
están actual Izados. El derecho del Interesado a obtener la supresión o 
el bloqueo de datos supone que éstos han sido tratados Infringiendo lo 
dispuesto en la presente Directiva. El apartado 5 del articulo 14 se 
refiere a todas las disposiciones de la presente Directiva que regulan 
la recogida, almacenamiento, tratamiento y utl 1 lzaclón de datos 
personales. 
El concepto de bloqueo tiene su origen en la Ley de Protección de Datos 
de la Repúbl lea Federal de Alemania <§§ 14, 27, 35 BDSG: Sperrung). En 
caso de bloqueo de datos recogidos, almacenados, tratados o utl 1 Izados 
en contravención de las disposiciones de la presente Directiva, el 
responsable del fichero puede seguir conservándolos almacenados en éste 
bajo prohibición de tratarlos o utl 1 Izarlos, especialmente para 
comunicarlos a terceros. Los datos bloqueados en un fichero deben 
marcarse para Información de los usuarios. 
Con la frase "seg~n el caso" la redacción del apartado 5 del articulo 
14 de la presente Directiva deja a la legislación sobre protección de 
datos de los Estados miembros la tarea de definir los derechos de 
supresión, bloqueo y rectificación que posee el Interesado en las 
diferentes situaciones en que se tratan o utl 1 Izan sus datos personales 
lncumpl lendo lo dispuesto en la presente Directiva. 
Con frecuencia, los datos no sólo son tratados por el responsable del 
fichero sino que se comunican a terceros. SI el responsable del fichero 
tiene que rectificar, suprimir o bloquear datos Incorrectos o tratados 
o utilizados Ilegalmente, en beneficio del Interesado conviene 
notificar a los terceros tal rectificación, supresión o bloqueo, de 
modo que puedan rectificar, suprimir o bloquear los datos en cuestión. 
El Interesado se encuentra protegido al respecto por el apartado 7 del 
articulo 14. 
E 1 apartado 6 de 1 ar t 1 cu 1 o 14 reconoce a 1 1 nteresado e 1 derecho a 
obtener la supresión de los datos que le conciernan registrados en 
ficheros cuya finalidad sea la prospección comercial y la publicidad 
directa por correspondencia. De este modo, el Interesado puede 
protegerse contra la publicidad directa por correspondencia que no 
desee. 
-24 -
Por último, el apartado 8 del articulo 14 obl lga a los Estados miembros 
a conceder a 1 1 nteresado un recurso jud 1 e 1 a 1 efect 1 vo a 1 que pueda 
recurrir en caso de que el responsable del fichero u otra persona viole 
los derechos que le concede el articulo 14 de la presente Directiva. 
Articulo 15 
Excepc 1 ones a 1 derecho de acceso de 1 1 nteresado a 1 os f 1 che ros de 1 
sector púb 11 co 
El articulo 15 autoriza a los Estados miembros a restringir, con 
respecto de los ficheros del sector público, el derecho de acceso del 
Interesado, para proteger Intereses públicos prevalecientes o Intereses 
de particulares equivalentes al derecho a la Intimidad. Corresponde a 
los Estados miembros decidir si Incluyen en su legislación nacional 
sobre protección de datos excepciones basadas en el articulo 15. No 
obstante, las excepciones establecidas en esta disposición han de venir 
determinadas por la necesidad de salvaguardar los valores fundamentales 
de una sociedad democrática y tienen que adoptarse por ley. A este 
respecto, la enumeración de los motivos que justifican una restricción 
del derecho de acceso con arreglo al articulo 15 de la presente 
Directiva resulta concluyente. 
El término "seguridad del Estado" debe Interpretarse como la protección 
de la soberanla nacional contra amenazas Internas y externas. 
La expresión "actuaciones penales" Incluye la persecución de del ltos ya 
cometidos, mientras que la noción de "seguridad públ lea" abarca todas 
las funciones poi letales de los organismos públ leos, Incluida la 
prevención de la del lncuencla. Por otra parte, la expresión "un 
Importante Interés económico y financiero de un Estado miembro o de la 
Comunidad" se refiere a todo tipo de polltlca económica y de 
financiación de las polltlcas de los Estados miembros o de la 
Comunidad, por ejemplo, controles de divisas, controles del comercio 
exterior, recaudación de Impuestos, etc. No obstante, sólo un 
Importante motivo de este tipo puede justificar la restricción del 
derecho de acceso. 
Por ú 1 t lmo, se cons 1 deran como mot 1 vos vá 11 dos para restr 1 ng 1 r e 1 
derecho de acceso la salvaguardia de un derecho de otra persona 
equivalente al derecho de acceso del interesado y la protección de los 
derechos y libertades de terceros. Éste es el caso de los secretos 
comerciales de terceros o de la libertad de prensa. 
En caso de denegarse al Interesado el acceso a los datos de un f(chero 
que le conciernan por uno de los motivos expuestos en el apartado 1 del 
articulo 15, la autoridad responsable de la protección de datos está 
obligada a efectuar, previa demanda del Interesado, los controles e 
Inspecciones necesarios con respecto al fichero en el que se encuentren 
almacenados los datos en cuestión. 
El apartado 3 del articulo 15 faculta a los Estados miembros para 
1 Imitar el derecho de acceso a aquel los datos que se recopl len 
temporalmente a fin de obtener Informaciones estadlstlcas, ya que 
dichas operaciones suponen riesgos mlnlmos para el Interesado. 
-25 -
CAPITULO V: Calidad de los datos 
Los principios sobre protección de datos establecidos en este capitulo 
van más allá de lo Indicado por el titulo: no sólo abarcan la cal ldad 
de los datos (art. 16), sino también el tratamiento de categorlas 
especiales de datos consideradas como especialmente sensibles para el 
Interesado (art. 17), asl como las pertinentes medidas de seguridad de 
los datos (art. 18). 
Articulo 16 
Principios 
El articulo 16 de la presente Directiva obl lga a los Estados miembros a 
Incluir en su legislación nacional sobre protección de datos los 
principios básicos sobre calidad de los datos personales. Con estos 
principios se pretende garantizar el derecho a la Intimidad del 
Interesado estableciendo ciertas restricciones con relación a la 
recogida y tratamiento de datos personales y respecto del contenido de 
los ficheros de datos personales. 
El apartado 1 del articulo 16 dispone que la recogida y el tratamiento 
de datos personales debe efectuarse 1 lcltamente. 
Esta disposición es apl lcable al tratamiento de datos personales tal y 
como define en la letra d) del articulo 2, asl como a su recogida. 
De este modo, la letra a) del apartado 1 del art lculo 16 excluye, por 
ejemplo, la utilización encubierta de dispositivos técnicos que 
permitan obtener datos en secreto y sin conocimiento del Interesado, 
por ejemplo Interviniendo las conexiones telefónicas, con escuchas 
clandestinas u otros métodos slml lares. Asimismo, esta disposición 
Impide que los responsables de los ficheros establezcan y utilicen 
clandestinamente ficheros de datos personales. 
La letra b) del apartado 1 del articulo 16 expone el principio de la 
especificación de la final ldad. Con arreglo a este principio, los datos 
personales únicamente pueden almacenarse con fines determinados, 
expllcltos y legltlmos. 
Debe determinarse la final ldad para la cual se almacenan datos 
personales, esto es, el objetivo que se pretende alcanzar con el 
almacenamiento y la ut lllzaclón de los datos. Dicha f lnalldad debe 
definirse y especificarse con la mayor precisión posible. Una 
definición o descripción general o vaga de la final ldad del fichero 
(por ejemplo, el fichero tiene .. fines comerciales .. ) no satisface el 
principio de la especificación de la final ldad establecido en la letra 
d) del apartado 1 del articulo 16. 
Por otra parte, la finalidad debe especificarse con anterioridad al 
almacenamiento. SI los datos se obtienen directamente del Interesado, 
el articulo 13 exige que en el momento de la recogida de datos ya se 
haya determinado la finalidad. 
Solo es posible Introducir cambios ulteriores en la finalidad del 
tratamiento si éstos son compatibles con la final ldad Inicialmente 
declarada. 
-26 -
Por otra parte, la letra b) del apartado 1 del articulo 16 también 
exige Que el responsable del fichero declare expllcltamente la 
finalidad del almacenamiento y la utilización de los datos. Con este 
requisito se persigue Impedir el almacenamiento y utl 1 lzaclón de datos 
personales para fines encubiertos. 
En cuanto al requisito de legitimidad de la finalidad del 
almacenamiento y la utll lzaclón de los datos personales, restringe los 
fines potenciales a los Que se puede destinar un fichero de datos. 
Ún 1 camente puede crearse y ut 111 zar se para f 1 nes compat 1 b 1 es con 1 as 
disposiciones de la presente Directiva y con la legislación nacional de 
los Estados miembros. Además, únicamente se consideran legitimas las 
finalidades que sean pertinentes para las funciones administrativas de 
los responsables de los ficheros del sector públ leo y para el ámbito de 
las actividades comerciales de los responsables de los ficheros del 
sector privado. La letra b) del apartado 1 del articulo 16 establece de 
manera explicita Que el principio de especificación de la finalidad no 
sólo es aplicable al tratamiento de datos personales, sino también a su 
utl llzaclón, Que ha de ser compatible con la final ldad del fichero. 
La letra e) del apartado 1 del articulo 16 dispone que los datos del 
fichero han de ser adecuados, pertinentes y no excesivos con relación a 
los fines para los que son almacenados. Este principio está enderezado 
a garantizar que el contenido de los ficheros esté en consonancia con 
su f 1 na 1 1 dad. 
En estrecha relación con los requisitos establecidos en las letras b) y 
e) del apartado 1 del articulo 16 está la disposición de la letra d) 
del apartado 1 de ese mismo articulo, que dispone que los datos han de 
ser exactos y, cuando sea necesario, deben actual Izarse. SI son 
Inexactos o Incompletos con respecto de la final ldad del fichero, deben 
suprimirse o rectlflcarse. 
La letra e) del apartado 1 del articulo 16 se refiere, a su vez, a los 
plazos máximos establecidos para el almacenamiento de datos personales. 
Con arreglo a esta disposición, no pueden conservarse datos en una 
forma QUe perm 1 ta 1 a 1 dent 1 f 1 cae Ión de 1 1 nteresado durante un per 1 odo 
superior al necesario para los fines para los Que hayan almacenado 
estos datos. 
No obstante, en algunos casos, por ejemplo, para fines estadistlcos, 
puede ser necesario conservar los datos durante un plazo más 
pro 1 ongado. En ta 1 caso, a f 1 n de proteger a 1 1 nteresado, es 
fundamental suprimir el vinculo establecido entre el nombre del 
Interesado y los otros datos. 
El apartado 2 del articulo 16 establece la obl lgaclón del responsable 
del fichero de garantizar el cumpl lmlento de las disposiciones 
relativas a la calidad de los datos recogidas en el apartado 1 del 
articulo 16. 
Articulo 17 
Categorlas especiales de datos 
Parece evidente que no es la naturaleza de los datos personales la que 
atenta contra el derecho a la Intimidad, sino el contexto en el que se 
efectúa el tratamiento de dichos datos. No obstante, existe un amplio 
---~~--- ·--
-27 -
consenso entre 1 os Estados m 1 embros sobre e 1 hecho de Que a 1 gunas 
categorlas de datos, por su propia naturaleza, además de por el 
contexto en el Que se tratan, pueden poner en pel lgro la Intimidad del 
Interesado. Por esta razón, el articulo 17 de la Directiva establece 
unas severas 1 Imitaciones al tratamiento y la utl 1 lzaclón electrónicos 
de Informaciones sensibles contenidas en ficheros de datos personales. 
El articulo 17 enumera las siguientes categorfas de datos sensibles: 
origen racial (Incluida la Información sobre el color de la piel); 
opiniones polltlcas, creencias religiosas y convicciones filosóficas 
(también entra en esta categorfa la Información relativa a la carencia 
de creencias rel lglosas); (estas categorfas Incluyen las Informaciones 
sobre las actividades del Interesado relacionadas con sus convicciones 
polltlcas, religiosas o filosóficas); afiliación a sindicatos; estado 
de salud del Interesado (Incluida la Información sobre su estado de 
salud flslca y mental en el pasado, en el presente y en el futuro y la 
Información sobre consumo de drogas y alcohol); e Información sobre la 
vida sexual del Interesado. 
El apartado 1 del articulo 17 prohibe el tratamiento automatizado de 
datos sensibles, salvo acuerdo 1 lbre, expreso y escrito del Interesado. 
El apartado 2 de ese mismo articulo establece otras excepciones. Asl, 
los Estados miembros pueden permitir el tratamiento electrónico de 
datos sensibles por Importantes motivos de Interés públ leo. No 
obstante, tal excepción presupone la adopción, como base Jurldlca, de 
una ley QUe especifiQue los tipos de datos sensibles Que pueden 
tratarse electrónicamente y las personas autorizadas a acceder a el los, 
y Que establezca las garantlas apropiadas contra los usos abusivos y 
accesos no autorizados. 
El apartado 3 del articulo 17 establece una norma especial referente al 
almacenamiento de Información sobre condenas penales, QUe sólo puede 
efectuarse en ficheros del sector públ leo. 
El ámbito de apl lcaclón del articulo 17 es 1 Imitado, ya Que únicamente 
se refiere a los datos sometidos a tratamiento automatizado. 
El art lculo 17 tampoco es aplicable al almacenamiento y tratamiento 
electrónico de datos sobre opiniones poi ltlcas, convicciones rel lglosas 
y filosóficas y afiliación sindical por parte de organizaciones sin 
ánimo de lucro con arreglo a lo establecido en la letra b) del apartado 
2 del articulo 3. 
Articulo 18 
Seguridad de los datos 
Los atentados contra la Intimidad del Interesado no sólo provienen de 
la recogida, almacenamiento, tratamiento y transmisión con fines 
particulares de datos personales por parte de responsables de ficheros; 
también pueden deberse a un acceso no autorizado y a un uso abusivo de 
los datos por parte de terceros. 
La primera frase del apartado 1 del articulo 18 exige a los Estados 
miembros Que obl lguen al responsable del fichero a adoptar las medidas 
técnicas y de organización necesarias para proteger los datos del 
-28 -
fichero contra el acceso no autorizado de terceros y contra la pérdida 
accidental de datos, Incluidos la destrucción accidental o no 
autorizada de datos, su pérdida accidental, su modificación no 
autor 1 zada, e 1 acceso no autor 1 zado a da tos y cua 1 QU 1 er otro t 1 po de 
tratamiento no autorizado. 
Las medidas técnicas de seguridad Incluyen medidas de seguridad 
relacionadas con el acceso a Instalaciones de tratamiento y 
almacenamiento de datos, códigos de Identificación para las personas 
autorizadas a entrar en dichas Instalaciones, medidas de protección de 
la Información, como por ejemplo, la utilización de contraseñas para el 
acceso a ficheros electrónicos, la utilización de datos cifrados y el 
control de las actividades 11 lcltas o lnusuales observadas en los 
ficheros. Con las medidas de organización, el responsable del fichero 
ha de establecer procedimientos dentro de la jerarQula de su autoridad 
pública o su empresa, por ejemplo, el establecimiento de niveles de 
autoridad con relación al acceso a los datos. 
La segunda frase del apartado 1 del articulo 18 especifica el nivel de 
seguridad Que deben garantizar en los ficheros automatizados las 
medidas de seguridad adoptadas, teniendo en cuenta, por una parte, los 
progresos técnicos en materia de seguridad de datos y el coste de la 
aplicación de esas medidas y, por otra parte, la naturaleza de los 
datos almacenados en el fichero y la evaluación de los riesgos 
potenciales. Por otra parte, a fin de determinar la conveniencia de las 
medidas de seguridad, el responsable del fichero ha de tomar en 
consideración asimismo las recomendaciones sobre seguridad de la 
Información e lnteroperabllldad de las redes Que eventualmente adopte 
la Comunidad con arreglo al articulo 29 de la presente Directiva. 
La obl lgaclón de adoptar medidas de seguridad apropiadas no se refiere 
únicamente al local en QUe se real Ice el tratamiento o estén situados 
los soportes flslcos y lógicos utll Izados en dicho tratamiento. En caso 
de efectuarse transmisiones de ordenador a ordenador o de ordenador a 
terminal a través de una red de telecomunicaciones, con arreglo al 
apartado 2 del articulo 18 también deben adoptarse medidas de seguridad 
con relación a dicha red a fin de garantizar la transferencia segura e 
Ininterrumpida de los datos. 
En el apartado 3 del articulo 18 se contempla el caso de las consultas 
en linea. La facultad del usuario de obtener datos del fichero viene 
determinada y 1 Imitada por el contrato celebrado con el responsable del 
fichero. La presente Directiva dispone Que el responsable del fichero 
debe diseñar los soportes flslcos y lógicos utl 1 Izados para las 
consultas en 1 lnea de tal manera Que el acceso del usuario se ajuste a 
lo establecido en la autorización concedida a éste por aQuél. 
El apartado 4 del articulo 18 atribuye la responsabl 1 ldad del 
cumplimiento de las obligaciones establecidas en los apartados 1 a 3 
del articulo 18. Las personas QUe, de hecho o por contrato, controlen 
las operaciones relacionadas con el fichero de datos son responsables, 
asimismo, del cumpl lmlento de los reQuisitos de seguridad. Esta 
disposición va dirigida, según proceda, al responsable del fichero, al 
usuar lo Que tenga acceso por consu 1 ta en 11 nea y a 1 as agenc 1 as de 
tratamiento de datos Que efectúen operaciones de tratamiento en nombre 
del responsable del fichero. 
Por último, el apartado 5 del articulo 18 obl lga a mantener el secreto 
profesional a los empleados del responsable del fichero y otras 
-29 -
personas Que por razón de su actividad profesional tengan acceso a la 
Información personal del fichero. Estas personas no pueden comunicar a 
terceros la Información a la QUe tienen acceso sin autorización previa 
del responsable del fichero. 
CAPITULO VI 
Disposiciones especificas para determinados sectores 
Articulo 19 
Los Estados miembros pueden establecer excepciones a las disposiciones 
de 1 a presente D 1 rect 1 va para los organ 1 smos de prensa y de 1 sector 
aud lov 1 sua 1 en 1 a med 1 da en Que sean necesar 1 as para conc 111 ar los 
derechos fundamentales de las personas, en particular el derecho a la 
Intimidad, con la libertad de Información y de prensa. En efecto, estas 
dos categorlas de derechos fundamentales pueden entrar en confl lcto. La 
solución adoptada hace hincapié en la obl lgaclón de 1 legar a un 
equilibrio entre los Intereses opuestos en caso de establecerse una 
excepción. Este equlllbr lo puede tener en cuenta, especialmente, la 
existencia de vlas de recurso o reclamación para el Interesado, la 
existencia de un código deontológlco profesional, los limites fijados 
por el Convenio Europeo de Derechos Humanos y los principios generales 
del Derecho. 
Articulo 20 
Este articulo establece que los Estados miembros deben animar a los 
medios profesionales a elaborar códigos deontológlcos de buena conducta 
europeos, que podrlan facilitar la aplicación de los principios de la 
Directiva en determinados sectores. 
La Comisión apoyará dichas Iniciativas y las tendrá en cuenta, en su 
caso, en el ejercicio de su potestad reglamentaria o al presentar 
nuevas propuestas. 
CAPITULO VIl 
Responsabl 1 ldad y sanciones 
Articulo 21 
Responsabl 1 ldad 
En caso de perjuicio ocasionado por el Incumplimiento de las 
disposiciones de la presente Directiva, este articulo atribuye la 
responsabl 1 ldad al responsable del fichero, que puede ser demandado por 
el Interesado por daños y perjuicios. La noción de perjuicio abarca 
tanto el material como el moral. En caso de pérdida, destrucción o 
acceso no autorizado, se 1 Imita la responsabl lldad del responsable del 
fichero, a condición de que pueda probar el cumpl lmlento de las medidas 
de seguridad apropiadas. 
-30 -
Articulo 22 
Tratamiento por cuenta del responsable del fichero 
Este articulo tiene por objeto evitar una disminución del grado de 
protección del Interesado como consecuencia de un tratamiento efectuado 
por un tercero por cuenta del responsable del fichero. A este fin, se 
Imponen obligaciones tanto al responsable del fichero como al tercero 
Que efectúe el tratamiento. 
Articulo 23 
Sanciones 
A fIn de garantIzar el respeto de las disposiciones adoptadas en 
aplicación de la presente Directiva, los Estados miembros tienen la· 
obl lgaclón de fijar sanciones realmente disuasivas, por ejemplo, 
penales, teniendo en cuenta el hecho de Que el Incumplimiento de los 
pr 1 nc 1 p los de 1 a proteccIón de 1 1 nteresado const 1 tuye una atentado 
contra un derecho fundamental. 
CAPITULO VIII 
Transferencia de datos Personales a terceros paises 
Articulo 24 
PrinciPios 
Este art lculo establece el pr lnclplo por el Que la transferencia de 
datos personales de un Estado miembro a un tercer pals únicamente puede 
efectuarse cuando éste garantice un nivel de protección adecuado. 
Corresponde a los Estados miembros y, en su caso, a la Comisión 
determinar si un pals garantiza un nivel de protección adecuado. Los 
Estados miembros deben Informar a la Comisión que los casos en Que un 
tercer pals Importador no asegure dicho nivel de protección. En tal 
caso, puede Iniciarse un proceso de negociación entre la Comisión y el 
tercer pals en cuestión. 
Con arreglo a los poderes de ejecución que le atribuye el articulo 29, 
la Comisión puede decidir que un pals garantiza un nivel de protección 
adecuado basándose en su legislación nacional o en los acuerdos 
Internacionales de los que sea Parte. El Convenio del Consejo de 
Europa, de 28 de enero de 1981, relativo a la protección de las 
personas en lo referente al tratamiento de datos personales forma parte 
de los compromisos que la Comisión puede tomar en cuenta. Asimismo, 
puede consultar al Grupo de Protección de Datos Personales al respecto. 
-31 -
Articulo 25 
Excepciones 
S 1 un determ 1 nado pa 1 s no gar ant 1 za un n 1 ve 1 de proteccIón adecuado, 
puede establecerse con respecto a una exportación especifica una 
excepción que permita la transferencia de datos. El Estado miembro en 
el que esté localizado el fichero puede autorizar tal transferencia si 
el responsable del fichero está en condiciones de garantizar un nivel 
de protección adecuado para dicha exportación y si los demás Estados 
miembros y la Comisión no presentan objeciones. A este respecto, existe 
un procedimiento de Información con un plazo de oposición de diez dlas. 
En caso de oposición, la Comisión puede adoptar las medidas apropiadas, 
en particular, decidir la prohibición de la transferencia. 
CAPITULO IX 
Autoridad de control y Grupo de Protección de Datos Personales 
Articulo 26 
Autoridad de control 
Este articulo dispone el establecimiento de una autoridad de control 
caracter 1 zada por su 1 ndependenc i a y por estar dotada de med los de 
Investigación y de Intervención adaptados a su función de vigilancia. 
Las legislaciones nacionales deben garantizar estas dos 
car acter 1st 1 cas. La expresIón "autor 1 dad de cont ro 111 se ent 1 ende s 1 n 
perjuicio de la adopción de una estructura Interna múltiple en función 
del régimen constitucional de los Estados miembros. 
Articulo 27 
Grupo de Protección de Datos Personales 
Habida cuenta de las particularidades del ámbito de la protección de 
las personas en lo referente a los datos personales, este articulo crea 
un Grupo consultivo, el Grupo de Protección de Datos Personales. Este 
Grupo se caracteriza por su Independencia y está compuesto de 
representantes de las autoridades de control nacionales. Preside dicho 
Grupo un representante de la Comisión. 
Articulo 28 
Funciones del Grupo de Protección de Datos Personales 
Este articulo establece los cometidos del Grupo de Protección de Datos 
Personales. El Grupo asesora a la Comisión en materia de protección de 
personas en lo referente al tratamiento de datos personales y 
contribuye, de este modo, a la aplicación homogénea de las normas 
nacionales adoptadas en apl lcaclón de la presente Directiva. Asimismo, 
debe evaluar e 1 n 1 ve 1 de proteccIón ex 1 stente en 1 a Comun 1 dad y en 
terceros paises e Informar al respecto a la Comisión. Por último, 
también puede asesorar a la Comisión sobre proyectos de medidas 
adicionales. 
-32 -
El Grupo puede emitir recomendaciones que, si asl lo desea, pueden ser 
transmitidas al Comité consultivo que Interviene en el marco de los 
poderes de ejecución atribuidos a la Comisión. 
El Grupo de Protección de Datos Personales debe elaborar un Informe 
anual sobre el estado de la protección de estos datos personales en la 
Comunidad y en terceros paises. Este Informe se transmitirá al 
Parlamento, al Consejo y a la Comisión. 
CAPITULO X 
Potestad reglamentaria de la Comisión 
Artlculos 29 y 30 
Ejercicio de la potestad reglamentaria 
Comité consultivo 
El articulo 29 asigna a la Comisión competencias de ejecución relativas 
a las normas técnicas de apl lcaclón que hacen necesarias la ampl ltud y 
el carácter técnico del ámbito del tratamiento de datos personales. 
Dado que la Directiva tiene por objeto contribuir a la real lzaclón del 
mercado Interior, el articulo 30 establece la Intervención de un Comité 
consultivo para asistir a la Comisión en el ejercicio de sus 
competencias de ejecución y aplica los procedimientos fijados en la 
Decisión del Consejo, de 13 de Julio de 1987, por la que se establecen 
las normas para el ejercicio de las competencias de ejecución 
atribuidas a la Comisión. 
-33 -
Propuesta de SYN 287 
DIRECTIVA DEL CONSEJO 
relativa a la protección de las personas en lo 
referente al tratamiento de datos personales 
EL CONSEJO DE LAS COMUNIDADES EUROPEAS, 
VIsto el Tratado constitutivo de la Comunidad Económica Europea y, en 
particular, sus artlculos 100 A y 113, 
VIsta la propuesta de la Comisión (1), 
En cooperación con el Parlamento Europeo (2), 
Visto el dictamen del Comité Económico y Social (3), 
( 1 ) Cons 1 der ando Que 1 os ob Jet 1 vos de 1 a Comun 1 dad enunc 1 a dos en e 1 
Tratado, en la versión dada al mismo por el Acta Única Europea, 
consisten en real Izar una unión cada vez más estrecha entre los pueblos 
europeos; establecer relaciones más estrechas entre los Estados 
reunidos en la Comunidad; asegurar, mediante una acción común, el 
progreso económico y social el lmlnando las barreras Que dividen Europa; 
fomentar la continua mejora de las condiciones de vida de estos pueb­
los; consolidar la defensa de la paz y de la libertad; y promover la 
democracia basándose en los derechos fundamentales reconocidos en las 
Constituciones y leyes de los Estados miembros y en el Convenio Europeo 
para la Protección de los Derechos Humanos y de las Libertades 
Fundamentales; 
-34 -
(2) Considerando que el establecimiento y el funcionamiento del mercado 
Interior, dentro del cual estará garantizada, con arreglo al articulo 8 
A del Tratado, la libre circulación de mercanclas, personas, servicios 
y capitales, hacen necesaria no sólo la circulación de los datos 
personales, cualquiera que sea el Estado miembro en que se traten o 
soliciten, sino también la protección de los derechos fundamentales, 
habida cuenta de que en la Comunidad se viene registrando un número 
creciente de tratamientos de datos personales en los diferentes 
sectores de las actividades económicas y sociales; 
(3) Considerando que el mercado Interior lmpl lcará un espacio sin 
fronteras; que, por esta razón, las administraciones nacionales de los 
diferentes Estados miembros, en aplicación del Derecho comunitario, se 
ven en la creciente necesidad de colaborar e Intercambiar datos 
personales a fin de cumplir su misión y ejecutar diferentes cometidos 
por cuenta de las administraciones de otros Estados miembros; 
(4) Considerando que el fortalecimiento de la cooperación clentlflca y 
técnica, Junto con el establecimiento coordinado de nuevas redes de 
telecomunicaciones en la Comunidad, exigen y facilitan la circulación 
transfronterlza de datos personales; 
(5) Considerando que la diferencia entre los niveles de protección de 
la Intimidad garantizados en los Estados miembros en lo referente al 
tratamiento de datos personales puede Impedir la transmisión de dichos 
datos del territorio de un Estado miembro al de otro; que, por lo 
tanto, esta diferencia puede constituir un obstáculo al eJercicio de 
una serie de actividades económicas a escala comunitaria, falsear la 
competencia y dificultar la misión de las administraciones que 
Intervienen en el ámbito de aplicación del Derecho Comunitario; que 
esta diferencia de grados de protección se debe a la disparidad 
existente entre las disposiciones legales, reglamentarias y 
administrativas de los Estados miembros; 
-35 -
(6) Considerando Que, para el lmlnar los obstáculos a la circulación de 
datos personales, el nivel de protección de la Intimidad debe ser, por 
lo Que se refiere al tratamiento de esos datos, eQuivalente en todos 
los Estados miembros; Que, para el lo, es necesario aproximar las 
legislaciones apl lcables en la materia; 
(7) Considerando Que el objeto de las legislaciones nacionales 
relativas al tratamiento de datos personales consiste en asegurar el 
respeto de los derechos fundamentales, particularmente el derecho a la 
Intimidad reconocido en el articulo 8 del Convenio para la Protección 
de los Derechos Humanos y de las Libertades Fundamentales, asl como en 
los principios generales del Derecho Comunitario; QUe, por lo tanto, la 
aproximación de tales legislaciones no debe conducir a una disminución 
de la protección QUe éstas garantizan sino Que, por el contrario, debe 
tener por objetivo asegurar un alto nivel de protección dentro de la 
Comunidad; 
(8) Considerando Que los principios de la protección de la Intimidad en 
lo referente al tratamiento de datos personales, Que constituyen el 
objeto de la presente Directiva, podrán completarse o precisarse, 
especialmente en determinados sectores, mediante normas especificas 
conformes a dichos principios; 
(9) Considerando Que los principios de la protección deben aplicarse a 
todos los ficheros siempre Que las actividades del responsable del 
fichero entren dentro del ámbito de apl lcaclón del Derecho Comunitario; 
Que los ficheros del sector público Que no entren dentro del ámbito de 
aplicación del Derecho Comunitario deben estar sujetos a los mismos 
principios de protección recogidos en las legislaciones nacionales, 
como lo prevé la Resolución de los representantes de los Gobiernos de 
los Estados miembros de las Comunidades Europeas, reunidos en el seno 
del Consejo, de ..... ; QUe, no obstante, deben excluirse los ficheros 
relacionados exclusivamente con el ejercicio del derecho a la Intimidad 
de un persona flslca, como, por ejemplo, los ficheros personales de 
d 1 rece Iones; 
-36 -
(10) Considerando que es necesario que todo tratamiento de datos 
personales efectuado en la Comunidad respete la legislación del Estado 
miembro en el que esté situado el fichero, a fin de que nadie quede 
privado de la protección que debe garantlzársele en virtud de la 
presente D 1 rect 1 va; que, a este respecto, cada par te de un f 1 che ro 
repartido en diversos Estados miembros debe considerarse a todos los 
efectos como un fichero completo y su Instalación en un tercer pals no 
debe Impedir la citada protección; 
(11) Considerando que todo tratamiento de datos personales debe ser 
legitimo; que su legitimidad debe estar fundada en el consentimiento 
del Interesado, en el Derecho Comunitario o en las legislaciones 
nacionales; 
(12) Considerando que las legislaciones nacionales pueden precisar, en 
las condiciones previstas en la presente Directiva, las normas 
relativas a la legitimidad del tratamiento; que, no obstante, esta 
posibilidad no puede servir de fundamento para el control por parte de 
un Estado miembro que no sea aquel en el que esté situado el fichero, 
habida cuenta de que la obligación de este último de garantizar, con 
arreglo a la presente Directiva, la protección de la Intimidad en lo 
referente al tratamiento de datos personales es suficiente, por lo que 
se refiere al Derecho Comunitario, para permitir la libre circulación 
de datos; 
(13) Considerando que los procedimientos de notificación, para los 
ficheros del sector público o privado, y de Información en el momento 
de la primera comunicación, para los ficheros del sector privado, 
tienen por objeto asegurar la transparencia Indispensable para el 
ejercicio del derecho de acceso del Interesado a los datos que le 
conciernen; 
(14) Considerando que el Interesado debe recibir una Información 
efectiva y completa cuando se solicite su consentimiento, dependiendo 
de el lo su validez, y cuando se le soliciten datos sobre su persona; 
-37 -
(15) Considerando Que el Interesado debe disfrutar del derecho de 
acceso a fin de comprobar la legitimidad del tratamiento de los datos 
Que le conciernan, asl como la calidad de éstos; 
(16) Considerando que, para ser objeto de tratamiento, los datos deben 
cumplir determinados requisitos; que el tratamiento de datos que por su 
misma naturaleza puedan atentar contra el derecho a la Intimidad debe 
estar prohibido, salvo consentimiento explicito del Interesado; que, no 
obstante, por Importantes razones de Interés público, en part lcular 
para la profesión médica, pueden establecerse excepciones sobre la base 
de una ley Que fiJe precisa y estrictamente las condiciones y limites 
del tratamiento de este tipo de datos; 
(17) Considerando Que, en lo referente a los datos personales, la 
protección de la Intimidad exige la adopción de medidas de seguridad 
apropiadas, tanto en la fase de concepción del tratamiento como con 
relación a la tecnologla de éste, a fin de Impedir todo tratamiento no 
autorizado; 
(18) Considerando Que, en el ámbito de los medios de comunicación, los 
Estados miembros pueden establecer excepciones a las disposiciones de 
1 a presente D 1 rect 1 va s 1 empre Que estén encam 1 nadas a conc 1 1 1 ar e 1 
derecho a la Intimidad con la libertad de Información y el derecho a 
recibir y comunicar Información, garantizado en el articulo 10 del 
Convenio para la Protección de los Derechos Humanos y de las Libertades 
Fundamentales; 
(19) Considerando QUe los Estados miembros deben fomentar la 
elaboración por los medios profesionales de códigos deontológlcos o de 
buena conducta europeos, para determinados sectores especlflcos; Que la 
Comisión apoyará estas Iniciativas y las tendrá en cuenta a la hora de 
examinar la conveniencia de adoptar nuevas medidas especificas para 
determinados sectores; 
-38 -
(20) Considerando Que, en caso de lncumpl lmlento de las disposiciones 
previstas en la presente Directiva, la responsabilidad debe recaer, en 
caso de Interponerse una acción por daños y perjuicios, en el 
responsable del fichero; Que deben apl lcarse sanciones disuasivas a fin 
de garantizar una protección efectiva; 
(21) Considerando QUe es, asimismo, necesario permitir la transferencia 
de datos personales a terceros paises Que tengan un nivel de protección 
adecuado; QUe, a falta de tal protección, la presente Directiva prevé, 
en particular, procedimientos de negociación con dichos paises; 
(22) Considerando Que los principios contenidos en la presente 
Directiva concretan y ampllan los del Convenio, de 28 de enero de 1981, 
del Consejo de Europa para la protección de las personas en lo 
referente al tratamiento automatizado de datos personales; 
(23) Considerando Que la existencia de una autoridad de control 
Independiente en cada Estado miembro es un elemento esencial de la 
protección de las personas en lo referente al tratamiento de datos 
personales; QUe, a nivel comunitario, debe crearse un Grupo de 
ProteccIón de Datos Persona les, Que ejerza sus funcIones con tota 1 
Independencia; Que, habida cuenta de su carácter especifico, debe 
asesorar a 1 a Com 1 s Ión y cont r 1 bu 1 r a 1 a ap 1 1 cae Ión homogénea de 1 as 
normas nacionales adoptadas en aplicación de la presente Directiva; 
(24) Considerando Que la adopción de medidas complementarlas para la 
aplicación de los principios de la presente Directiva exige la 
atribución a la Comisión de facultades reglamentarias y el 
establecimiento de un Comité consultivo con arreglo a las normas 
establecidas en la Decisión 87/373/CEE del Consejo(1); 
HA ADOPTADO LA PRESENTE DIRECTIVA: 
(1) DO nQ L 197 de 18.7.1987, p. 33. 
-39 -
CAPITULO 1 
DISPOSICIONES GENERALES 
Articulo 1 
ObJeto de la Directiva 
l. Los Estados miembros garantizarán, con arreglo a las disposiciones 
de la presente Directiva, la protección de la Intimidad de las personas 
en lo referente al tratamiento de los datos personales contenidos en 
ficheros. 
2. Los Estados miembros no podrán restringir o prohibir la 1 lbre 
circulación de datos personales entre los Estados miembros por motivos 
relacionados con la protección asegurada en virtud del apartado l. 
Articulo 2 
Definiciones 
A efectos de la presente Directiva, se entenderá por: 
a) "datos personales", toda Información sobre una persona natural 
Identificada o Identificable ("el Interesado"); se considerará 
Identificable toda persona cuya Identidad pueda determinarse 
mediante un número de Identificación u otra Información slml lar; 
b) "procedimiento de disociación" (anónimo), toda modificación de 
datos personales cuyo objeto sea que la Información contenida en 
éstos no pueda segu 1 r asoc 1 ándose con una persona f 1 s 1 ca 
determinada o determinable, o únicamente pueda asociarse a tal per­
sona a expensas de una 1 nvers Ión ex ces 1 va de t 1 empo y recursos 
humanos y económicos; 
-40 -
e) "f lchero de datos personales" (f lchero), todo conjunto de datos 
personales, centralizados o repartidos en diversos emplazamientos, 
que sean objeto de un tratamiento automatIzado o que, sin ser lo, 
estén estructura dos y sean a e ces 1 b 1 es dentro de una recop 1 1 a e Ión 
organizada según criterios determinados con objeto de facilitar su 
utilización o Interconexión; 
d) "tratamiento", las siguientes operaciones, efectuadas o no mediante 
procedimientos automatizados: registro, conservación, 
Interconexión, modificación, utilización y comunicación de datos, 
en particular, su transmisión, difusión y extracción, asl como su 
bloqueo y supresión; 
e) "responsable del fichero", la persona natural o jurldlca, autoridad 
pública, servicio o cualquier otro organismo que, con arreglo al 
Derecho Comunitario o a la legislación de un Estado miembro, sea 
competente para decidir la finalidad del fichero, qué categorlas de 
datos personales deben registrarse, qué operaciones deben 
ap 1 1 cárse 1 es a éstos y a qué terceros está perm 1 t 1 do e 1 acceso a 
los mismos; 
f) "autoridad de control", aquel la autoridad pública Independiente, o 
cualquier otra Instancia Independiente, designada por cada uno de 
los Estados miembros de conformidad con el articulo 26 de la 
presente Directiva; 
g) "sector públ leo", el conjunto de las administraciones, organismos Y 
ent ldades de un Estado miembro sujetos al Derecho público (con 
excepción de aquellas que participen en una actividad Industrial o 
comercial) y los organismos y entidades de Derecho privado que 
participen en el ejercicio de la autoridad públ lea; 
h) "sector privado", toda persona natural o jurldlca, o asociación 
( adm 1 n 1st rae 1 ones, organ 1 zac 1 ones y ent 1 da des de 1 sector púb 1 1 co 
Inclusive), en la medida en que ejerza una actividad Industrial o 
comercial. 
-41 -
Articulo 3 
Ámbito de aol lcacl6n 
1. Los Estados miembros aplicarán las disposiciones de la presente 
Directiva a los ficheros del sector privado y del sector público, 
con excepción de los ficheros del sector públ leo cuyas actividades 
no estén comprendidas en el ámbito de apl lcaclón del Derecho 
Comunitario. 
2. Las disposiciones de la presente Directiva no se aplicarán a los 
siguientes ficheros: 
a) aquél los pertenecientes a una persona natural con fines 
exclusivamente privados y personales, ni a 
b) aquél los pertenecientes a asociaciones sin ánimo de lucro, 
especialmente, las de carácter pollt!co, fl losóflco, re! !gloso, 
cultural, sindical, deportivo o recreativo y que se utilicen en 
el marco de final ldades legitimas, a condición de que se 
refieran únicamente a los socios y miembros correspondientes de 
la asociación que hayan accedido a figurar en dichos ficheros y 
siempre que no sean comunicados a terceros. 
Artfcy!o 4 
oerecho aplicable 
1. Los Estados miembros aplicarán las disposiciones de la presente 
Directiva a: 
a)- todos los ficheros existentes en su territorio. 
b) -los responsables de los ficheros que residan en su 
territorio y desde éste utll Icen ficheros de un tercer pals 
cuya legislación no ofrezca un nivel de protección 
adecuado, salvo que utl 1 Icen dichos ficheros de manera 
esporádica. 
-42 -
2. Los Estados miembros aplicarán las disposiciones de los artlculos 
5, 6, 8, 9, 10, 17, 18 y 21 a los usuarios que consulten un fichero 
situado en un pals tercero por medio de un terminal sito en el 
territorio de un Estado miembro, salvo que dicha utilización tenga 
carácter esporádico. 
3. Los Estados miembros no podrán oponerse a la Introducción temporal 
en su territorio de un fichero procedente de otro Estado miembro ni 
exigir más formalidades que las aplicables en el Estado miembro en 
que el fichero en cuestión tenga su ubicación permanente. 
CAPITULO 2 
LEGITIMIDAD DEL TRATAMIENTO EN EL SECTOR PÚBLICO 
Articulo 5 
Prlnclolos 
1. Sin perjuicio de las disposiciones del art lculo 6, los Estados 
m 1 embros preverán en su 1 eg 1 s 1 acIón, respecto a 1 os f 1 che ros de 1 
sector púb 1 1 co: 
a) que se consideren legftlmos el establecimiento de un fichero y 
cualQuier otro tratamiento de datos personales cuando sean 
necesarios para la ejecución de los cometidos de la autoridad 
pública responsable del fichero; 
b) que se considere legftlmo el tratamiento de datos con una 
finalidad distinta de aquella para la que se haya establecido 
el fichero cuando: 
el Interesado dé su consentimiento, 
el tratamiento se efectúe sobre la base del Derecho 
Comunitario, de una ley o de un acto adoptado en apl lcaclón 
de una ley de 
un Estado m 1 embro conforme a 1 a presente D 1 rect 1 va y que 
autorice dicho tratamiento y fiJe sus limites, 
Articulo 6 -43 -
a ese cambio de finalidad no se oponga un Interés legitimo 
del Interesado, o 
sea necesar 1 o a f 1 n de preven 1 r una amenaza 1 nm 1 nente a 1 
orden público o una violación grave de los derechos de 
terceros. 
Tratamiento en el sector público para la comunicación de datos 
oersonales 
1. Los Estados miembros preverán en su legislación que la comunicación 
de datos personales contenidos en ficheros de una entidad del sec­
tor públ leo únicamente sea legitima: 
a) cuando sea necesaria para el ejercicio de las funciones de la 
ent 1 dad de 1 sector púb 11 co que comun 1 que o que so 11 e 1 te 1 a 
comunicación de esos datos, o 
b) a petición de una persona natural o jurldlca del sector privado 
que Invoque un Interés legitimo, a condición de que no 
prevalezca el Interés del Interesado. 
2. Sin perjuicio de las disposiciones contempladas en el apartado 1, 
los Estados miembros podrán precisar las condiciones que determinen 
la legitimidad de la comunicación de datos personales. 
3. En los casos contemplados en la letra b) del apartado 1 los Estados 
miembros dispondrán en su legislación que el responsable del 
fichero Informe a los Interesados de la comunicación de los datos 
personales. No obstante, los Estados miembros podrán prever la 
sustitución de dicha obligación de Informar a los Interesados por 
una autorización previa de la autoridad de control. 
-44 -
Articulo 7 
Obligación de notificación a la autoridad de control 
1. Los Estados miembros preverán en su legislación Que el 
establecimiento de un fichero del sector públ leo cuyos datos 
personales puedan ser comunicados sea notificado previamente a 
efectos de su Inscripción en un registro de la autoridad de 
control. Este registro podrá ser consultado por cualQuier persona. 
2. Los Estados miembros determinarán QUé Informaciones deban 
notificarse a la autoridad de control. Estas Informaciones 
Incluirán, al menos, el nombre y dirección del responsable del 
fichero, la finalidad del mismo, una descripción de los tipos de 
datos Que contenga, los terceros Que puedan recibir los datos y una 
descripción de las medidas adoptadas en apl lcaclón del articulo 18. 
3. Los Estados miembros podrán prever Que las normas de los apartados 
1 y 2 se apliQuen a otros ficheros del sector público y Que pueda 
limitarse la consulta del registro por las razones mencionadas en 
el apartado 1 del articulo 15. 
CAPITULO 111 
LEGITIMIDAD DEL TRATAMIENTO EN EL SECTOR PRIVADO 
Articulo 8 
Prlnclolos 
1. Los Estados miembros preverán en su legislación Que, sin el 
consentimiento del Interesado, el registro en un fichero Y 
cualQuier otro tratamiento de datos personales sólo sean legltlmos 
si se ajustan a las disposiciones de la presente Directiva Y si: 
-45 -
a. se efectúan con arreglo a un contrato celebrado con el 
Interesado o al amparo de una relación de confianza cuasi 
contractual con éste y, además, son necesarios para el 
cumplimiento del contrato; o 
b. los datos provienen de fuentes generalmente accesibles para el 
públ leo y su tratamiento tiene como única finalidad la 
correspondencia; o 
c. el responsable del fichero defiende un Interés legitimo sobre 
el que no prevalezca el Interés del Interesado. 
2. Los Estados miembros preverán en su legislación que Incumba al 
responsable del fichero asegurarse de la compatibilidad de las 
comunicaciones con la final ldad de dicho fichero, y de que éstas no 
afectan al orden público. En caso de consulta en linea, el usuario 
estará sujeto a las mismas obl lgaclones. 
3. Sin perjuicio de las disposiciones contempladas en el apartado 1, 
los Estados miembros podrán precisar las condiciones que determinen 
la legitimidad del tratamiento de datos personales. 
Articulo 9 
Obl lgacl6n de Informar al Interesado 
1 . Por 1 o que se ref 1 ere a 1 sector pr 1 vado, 1 os Estados m 1 embros 
dispondrán en su legislación que, en el momento de la primera 
comun 1 cae Ión o cuando se p 1 antee una pos 1 b 111 dad de consu 1 ta en 
linea, el responsable Informe de ello al Interesado y le IndiQue, 
asimismo, la final ldad del fichero, el tipo de datos que contiene y 
su nombre y dirección. 
2. En el caso previsto en la letra b) del apartado 1 del articulo 8 no 
será obl lgatorla la Información prevista en el apartado 1. Tampoco 
habrá obl lgaclón de Informar cuando la comunicación venga Impuesta 
por Imperativo legal. 
-46 -
3. SI el Interesado se opone a la comunicación o a cualQuier otro 
tratamiento, el responsable del fichero deberá Interrumpir el 
tratamiento Impugnado, salvo Que lo autorice una disposición legal. 
Articulo 10 
Excepciones especiales a la obligación de Informar al Interesado 
SI el cumpl lmlento de la obl lgaclón de Informar al Interesado, 
contemplada en el apartado 1 del articulo 9, resultase Imposible o 
exigiese esfuerzos desproporcionados, o tropezase con Intereses 
legltlmos y prioritarios del responsable del fichero o con un Interés 
similar de un tercero, los Estados miembros podrán disponer en su 
legislación QUe la autoridad de control esté facultada para autorizar 
una excepción. 
Articulo 11 
Obl lgaclón de notificación a la autoridad de control 
1. Los Estados miembros preverán en su legislación Que el responsable 
de un f 1 che ro de datos persona 1 es not 1 f 1 QUe 1 a creacIón de éste 
cuando los datos se destinen a ser comunicados y no provengan de 
fuentes genera 1 mente a e ces 1 b 1 es par a e 1 púb 1 1 co. La not 1 f 1 cae Ión 
deberá Ir dirigida a la autoridad de control del Estado miembro en 
e 1 Que esté s 1 tuado e 1 f 1 che ro o, cuando no esté ub 1 cado en un 
Estado miembro, a la autoridad de control del Estado miembro en QUe 
res 1 da e 1 responsab 1 e de 1 f 1 che ro. ~ste deber á not 1 f 1 car a 1 as 
autor 1 da des nac lona 1 es competentes todo camb lo de f 1 na 1 1 dad de 1 
fichero o de su dirección. 
2. Los Estados miembros determinarán QUé Información debe notificarse 
a la autoridad de control. Esta Información deberá Incluir, al 
menos, el nombre y dirección del responsable del fichero, su 
final ldad, una descripción de los tipos de datos QUe contenga, los 
terceros QUe puedan de recibir los datos y una descripción de las 
medidas adoptadas en apl lcaclón del articulo 18. 
-47 -
3. Los Estados miembros podrán establecer que las disposiciones del 
apartado 1 y 2 se apliquen a otros f lcheros del sector pr lvado y 
que e 1 púb 11 co tenga acceso a 1 a 1 nformac Ión contemp 1 ada en e 1 
apartado 2. 
CAPITULO IV 
DERECHOS DEL INTERESADO 
Articulo 12 
Consentimiento Informado 
E 1 consent 1m 1 ento de 1 1 nteresado par a e 1 t r a tam 1 ento de da tos 
personales que le conciernan, tal como se define en la presente 
Directiva, únicamente será válIdo cuando: 
a) el Interesado disponga de la siguiente Información: 
fines del fichero y tipos de datos registrados; 
tiPO. de utilización y, en su caso, destinatarios de los datos 
personales contenidos en el fichero; 
nombre y dirección del responsable del fichero. 
b) el consentimiento sea especifico y expreso y precise qué tipos de 
datos, formas de tratamiento y posibles destinatarios abarca; 
e) pueda ser revocado por e 1 1 nteresado en todo momento s 1 n efectos 
retroactivos. 
Articulo 13 
Información en el momento de la recogida de datos 
1. Los Estados miembros garantIzarán a las personas de las que se 
so 1 1 e 1 ten da tos persona 1 es e 1 derecho a ser 1 nformadas, a 1 menos 
sobre: 
-48-
a) los fines del fichero al Que vaya destinada la Información, 
b) el carácter obligatorio o facultativo de su respuesta a las 
preguntas QUe les sean planteadas, 
e) las consecuencias Que para ellas podrla acarrear una falta de 
respuesta, 
d) los destinatarios de la Información, 
e) la existencia del derecho de acceso y de rectificación de los 
datos Que les conciernan y 
f) el nombre y la dirección del responsable del fichero. 
2. Las disposiciones del apartado 1 no se aplicarán a la recogida de 
datos cuando la Información al lntereresado Impida el cumplimiento 
de 1 as funcIones de contro 1 y de ver 1 f 1 cae Ión de una autor 1 dad 
pública o el mantenimiento del orden público. 
Articulo 14 
Qerechos comolementarlos del Interesado 
Los Estados miembros reconocerán al Interesado los siguientes derechos: 
1. a oponerse, por razones legitimas, a Que los datos personales QUe 
le conciernan sean objeto de tratamiento; 
2. a no tener Que someterse a ninguna decisión administrativa o 
privada Que ImpliQue una apreciación de su comportamiento fundada 
únicamente en un tratamiento automatizado de datos personales Que 
dé una definición de su perfil o de su personalidad; 
3. a conocer la ex lstencla de un f lchero y sus f lnalldades 
principales, asl como la Identidad y residencia habitual, dorniel 1 lo 
social o establecimiento del responsable del fichero; 
4. a obtener, con una frecuencia razonable y sin esperas ni gastos 
ex ces 1 vos, 1 a conf 1 rmac Ión de 1 a ex 1 stenc 1 a o 1 nex 1 stenc 1 a en un 
fichero de datos personales QUe le conciernan, asl como, en su 
caso, la comunicación de esos datos en forma lntel lglble. 
-49 -
Los Estados miembros podrán prever que el derecho de acceso a los 
datos de carácter médico únicamente pueda ejercerse por mediación 
de un médico; 
5. a obtener, en su caso, la rectificación de los datos en cuestión o 
su supresión o bloqueo cuando su tratamiento no se ajuste a lo 
dispuesto en la presente Directiva; 
6. a obtener, previa petición, la supresión gratuita de los datos que 
le conciernan registrados en ficheros de prospección comercial o 
pub licitar la; 
7. en caso de apl lcaclón del apartado 5 del presente articulo y si los 
datos han sido comunicados a terceros, a obtener la notificación a 
éstos de la rectificación, supresión o bloqueo de dichos datos; 
8. a disponer de una vla de recurso judicial en caso de violación de 
los derechos garantizados en el presente articulo. 
Articulo 15 
ExcepcIones a 1 derecho de acceso de 1 1 nteresado a los f 1 che ros de 1 
sector púb 1 1 co 
1. Los Estados miembros podrán 1 Imitar por ley los derechos previstos 
en Jos puntos 3 y 4 del articulo 14 por motivos relacionados con: 
a) la seguridad del Estado, 
b) la defensa, 
e) actuaciones penales, 
d) la seguridad púb 11 ca, 
e) un Interés económico y financiero Imperativo, debidamente 
Justificado, de un Estado miembro o de la Comunidad, 
f) la necesidad de ejercer funciones de control o de Inspección de 
la autoridad púb 11 ca, o 
g) un derecho equivalente de otra persona y derechos y libertades 
de terceros. 
-50 -
2. En los supuestos contemplados en el apartado 1, la autor ldad de 
control deberá proceder, a petición del Interesado, a las 
verificaciones del fichero que sean necesarias. 
3. Los Estados miembros podrán limitar el derecho del Interesado a 
acceder a aquellos datos que hayan sido recopilados temporalmente a 
fin de obtener Informaciones estadlstlcas. 
CAPITULO V 
CALIDAD DE LOS DATOS 
Artfculo 16 
Principios 
1. Los Estados miembros preverán que: 
a> la recogida y el tratamiento de datos personales se efectúen de 
forma licita y leal; 
b) los datos sean registrados con fines determinados, expllcltos y 
legltlmos y utilizados de manera compatible con dichos fines; 
e) los datos sean adecuados, pertinentes y no excesivos con 
relación a los fines para los Que se registren; 
d) los datos sean exactos y, cuando sea necesario, se actual Icen; 
los datos Inexactos o Incompletos deberán ser supr lmldos o 
rectificados; 
e) los datos no sean conservados en una forma Que permita la 
1 dent 1 f 1 cae Ión de 1 1 nteresado durante un per lodo super lor a 1 
necesario para los fines para los Que se hayan registrado. 
2. Incumbirá a los responsables del fichero garantizar el respeto de 
las disposiciones previstas en el apartado 1. 
-51 -
Articulo 17 
Categorlas especiales de datos 
1. Salvo acuerdo 1 lbre, expreso y escrito del Interesado, los Estados 
miembros prohibirán el tratamiento automatizado de datos que 
revelen el origen racial y étnico, la opinión polltlca, las 
convicciones re! !glosas o fl losóflcas, las afl Ilaciones sindicales, 
as 1 como 1 as 1 nformac Iones re 1 ac lonadas con 1 a sa 1 ud y 1 a v 1 da 
sexua 1. 
2. Por mot lvos Importantes de Interés público, los Estados miembros 
podrán establecer excepciones a las disposiciones del apartado 1 
sobre la base de una ley en la que se precisen los tipos de datos 
que puedan ser reg 1st r a dos, 1 as personas que tengan acceso a 1 
fichero y las garantlas apropiadas contra los usos abusivos y el 
acceso no autorizado. 
3. Los datos relativos a condenas penales únicamente podrán 
conservarse en ficheros del sector públ leo. 
Articulo 18 
Seguridad de los datos 
1. Los Estados miembros preverán en su legislación que el responsable 
de 1 f 1 che ro esté ob 1 1 gado a adoptar 1 as med 1 das té en 1 cas y de 
organ 1 zac Ión necesar 1 as par a 1 a proteccIón de 1 f 1 che ro contra su 
destrucción, accidental o no autorizada, asl como contra la pérdida 
accidental, la alteración o el acceso y cualquier otro tratamiento 
no autorizado de datos personales. 
-52 -
Estas medidas deberán asegurar para los ficheros automatizados un 
nivel de seguridad apropiado, habida cuenta, por una parte, de los 
progresos técnicos en la materia y del coste de la aplicación de 
éstos y, por otra parte, de la naturaleza de los datos que deban 
protegerse y de la evaluación de los riesgos potenciales. A tal 
fin, el responsable del fichero deberá tomar en consideración las 
recomendaciones en materia de seguridad Informática y de 
lnteroperabl 1 ldad de las redes elaboradas por la Comisión con 
arreglo a las normas previstas en el articulo 29. 
2. Para la transmisión de datos personales dentro de una red deberán 
elegirse métodos que garanticen un grado adecuado de seguridad. 
3. Para las consultas en linea, las Instalaciones técnicas y los 
soportes lógicos deberán estar concebidos de manera que las 
consultas se realicen dentro de los 1 imites de la autor lzaclón 
concedida por el responsable del fichero. 
4. Las obligaciones contempladas en los apartados 1 a 3 Incumbirán 
Igualmente a las personas que, de hecho o por contrato, tengan el 
control de las operaciones relacionadas con un fichero. 
5. Las personas que, por sus act 1 v 1 da des profes lona 1 es, accedan a 
Informaciones contenidas en ficheros no podrán comunicarlas a 
terceros sin autorización del responsable del fichero. 
CAPITULO VI 
DISPOSICIONES ESPECIFICAS PARA DETERMINADOS SECTORES 
Articulo 19 
Los Estados miembros podrán establecer, para los organismos de prensa Y 
del sector audiovisual, excepciones a las disposiciones de la presente 
Directiva, en la medida en que 
derecho a la Intimidad con las 
Información y la de prensa. sean necesarias para 
normas que rigen la conc 111 ar e 1 
libertad de 
-53 -
Articulo 20 
Los Estados miembros Instarán a los medios profesionales a 
participar en la elaboración de códigos deontológlcos o de buena 
conducta europeos para determinados sectores, sobre la base de los 
principios contenidos en la presente Directiva. 
CAPITULO VIl 
RESPONSABILIDAD Y SANCIONES 
Articulo 21 
Responsabl 1 ldad 
1. Los Estados miembros preverán en su legislación que toda persona 
cuyos datos personales estén registrados en un fichero y que haya 
resultado perjudicada por el tratamiento de éstos o por una acción 
Incompatible con las disposiciones de la presente Directiva tenga 
derecho a demandar al responsable del fichero por daños y 
perjuicios. 
2. Los Estados miembros podrán establecer que no se Imputen al 
responsable del fichero los daños ocasionados por la pérdida o 
destruccIón de datos de éste o por un acceso no autor 1 zado a 1 
mismo, cuando demuestre haber adoptado las medidas apropiadas para 
cumplIr los requisitos mencionados en los artlculos 18 y 22. 
Articulo 22 
Tratamiento por cuenta del responsable del fichero 
1. Los Estados miembros dispondrán en su legislación que el 
responsable del fichero garantice, en caso de tratamiento por su 
cuenta, e 1 respeto de 1 as med 1 das de segur 1 dad y de organ 1 zac Ión 
necesarias, y el lja a una persona o una empresa que ofrezca 
garantlas suficientes al respecto. 
-54 -
2. Las personas que recojan o traten datos personales por cuenta del 
responsable del fichero deberán cumplir las obl lgaclones previstas 
en los artlculos 16 y 18 de la presente Directiva. 
3. El contrato deberá ser escrito y deberá estipular, en particular, 
que el destinatario de los datos personales o sus empleados 
únicamente pueden divulgar dichos datos previa autorización del 
responsable del fichero. 
Articulo 23 
Sanciones 
Los Estados miembros preverán en su legislación la apl lcaclón de 
sanciones disuasivas a fin de garantizar el cumpl lmlento de las normas 
adoptadas en apl lcaclón de la presente Directiva. 
CAP fTULO VIII 
TRANSFERENCIA PE PATOS PERSONALES A TERCEROS PAISES 
Articulo 24 
Principios 
1. Los Estados miembros preverán en su legislación que la 
transferencia a un tercer pals, temporal o definitiva, de datos 
personales que sean objeto de tratamiento o hayan sido reunidos con 
objeto de someterlos a tal tratamiento únicamente pueda efectuarse 
cuando el tercer pals garantice un nivel de protección adecuado. 
2. Los Estados miembros Informarán a la Comisión de los casos en que 
un tercer pals receptor no garantice un nivel de protección 
adecuado. 
-55 -
3. Cuando 1 a Corn 1 s Ión compruebe, b 1 en sobre 1 a base de 1 as 
Informaciones de los Estados miembros, bien a partir de otras 
Informaciones, Que un tercer Estado no dispone de un nivel de 
proteccIón adecuado y Que 1 a s 1 tuac Ión QUe de e 1 1 o se der 1 va es 
per jud 1 e 1 a 1 para los 1 ntereses de 1 a Comun 1 dad o de un Estado 
miembro, podrá entablar negociaciones con vistas a remediar esta 
s 1 tuac Ión. 
4. La Comisión estará facultada para decidir, con arreglo al 
procedimiento definido en el apartado 2 del articulo 30 de la 
presente Directiva, si un tercer pals garantiza un nivel de 
protección adecuado en consideración a los compromisos 
Internacionales suscritos por éste o a su legislación Interna. 
5. Las medidas adoptadas en virtud del presente articulo se ajustarán 
a las obligaciones QUe la Comunidad haya contraldo en virtud de 
acuerdos Internacionales, tanto bl laterales como multl laterales, 
sobre la protección de las personas en materia de tratamiento 
automatizado de datos personales. 
Articulo 25 
Excepciones 
1. Previa presentación por el responsable del fichero de una 
justificación suficiente para garantizar el respeto de un nivel de 
protección adecuado, un Estado miembro podrá establecer una 
excepción a las disposiciones del apartado 1 del articulo 24 con 
respecto a una exportación determinada. No obstante, el Estado 
miembro únicamente podrá hacer tal excepción tras haber Informado a 
la Comisión y a los Estados miembros y si ninguno de éstos ni 
aQuélla manifiestan su oposición en un plazo de 10 dlas. 
2. En caso de manifestarse tal oposición, la Comisión adoptará las 
medidas apropiadas con arreglo al procedimiento definido en el 
apartado 2 del articulo 30. 
-56 -
CAPITULO IX 
AUTORIDAD DE CONTROL Y GRUPO DE PROTECCIÓN DE DATOS PERSONALES 
Articulo 26 
Autoridad de control 
1. Los Estados miembros velarán por que una autoridad Independiente 
competente se encargue de 1 contro 1 de 1 a proteccIón de los datos 
personales. Esta autoridad controlará la aplicación de las 
disposiciones nacionales adoptadas en virtud de la presente 
Directiva y ejercerá todas las funciones que ésta le asigna. 
2. Esta autoridad dispondrá de los medios de Investigación y del poder 
efectivo de Intervenir contra la creación y explotación de ficheros 
que no se ajusten a las disposiciones de la presente Directiva. A 
tal fin, tendrá acceso a Jos ficheros a Jos que se aplique la 
presente o 1 rect 1 va y podrá recabar toda 1 a 1 nformac Ión necesar 1 a 
para el cumplimiento de su misión de control. 
3. Cualquier persona podrá 
reclamaciones relativas a someter a dicha 
la protección de 
referente a los datos personales. 
Articulo 27 
Grupo de protección de datos personales autoridad queJas 
1 as personas en o 
lo 
1. Se crea un Grupo de Protección de Datos Personales. Este Grupo, de 
carácter consultivo e Independiente, estará compuesto por 
representantes de la autoridad de control, prevista en el articulo 
26, de todos los Estados miembros, y estará presidido por un 
representante de la Comisión. 
2. Los servicios de la Comisión se harán cargo de la secretaria del 
Grupo de Protección de Datos Personales. 
-57 -
3. E 1 Grupo de ProteccIón de Da tos Persona 1 es estab 1 ecer á su prop 1 o 
reglamento de régimen Interior. 
4. El Grupo de Protección de Datos Personales examinará los asuntos 
Incluidos en el orden del dla por su presidente, bien por 
Iniciativa de éste, bien a petición motivada de un representante de 
las autoridades de control; dichos asuntos se referirán a la 
apl lcaclón de las disposiciones del Derecho Comunitario en materia 
de protección de datos personales. 
Articulo 28 
Funciones del Grupo de Protección de Datos Personales 
1 . E 1 Grupo de ProteccIón de Da tos Persona 1 es tendrá 1 as s 1 gu 1 entes 
funciones: 
a) contribuir a la Interpretación homogénea de las normas 
nacionales adoptadas en apl lcaclón de la presente Directiva; 
b) emitir un dictamen sobre el nivel de protección existente 
dentro de la Comunidad y en terceros paises; 
c) asesorar a la Comisión sobre proyectos de medidas 
comp 1 ementar 1 as o espec 1 f 1 cas que deban adoptarse para 
garantizar la protección de la Intimidad. 
2. El Grupo de Protección de Datos Personales Informará a la Comisión 
de toda divergencia grave que compruebe entre la legislación y las 
prácticas de los Estados miembros en materia de protección de datos 
personales, y que puedan poner en peligro la equivalencia de la 
protección dentro de la Comunidad. 
-58 -
3. El Grupo de Protección de Datos Personales podrá emitir 
recomendaciones sobre todos los asuntos relacionados con la 
protección de las personas en lo referente a los datos personales 
dentro de la Comunidad. Las recomendaciones constarán en acta y 
podrán transmitirse al Comité consultivo mencionado en el articulo 
30. La Comisión Informará al Grupo de Protección de Datos 
Personales del curso dado a sus recomendaciones. 
4. El Grupo de Protección de Datos Personales elaborará un Informe 
anual sobre el estado de la protección de las personas en lo 
referente al tratamiento de datos personales dentro de la Comunidad 
y en los terceros paises, y lo comunicará a la Comisión. 
CAPITULO X 
POTESTAD REGLAMENTARIA DE LA COMISIÓN 
Articulo 29 
Elerclclo de la potestad reglamentaria 
Con arreglo al procedimiento previsto en el apartado 2 del articulo 30, 
la Comisión adoptará las normas técnicas necesar las para aplicar la 
presente o 1 rect 1 va a 1 as car acter 1st 1 cas espec 1 f 1 cas de determ 1 na dos 
sectores, atendiendo a los progresos técnicos en la materia y a los 
códigos de buena conducta. 
Articulo 30 
Comité consultivo 
1. La Comisión estará aslstldda por un Comité consultivo compuesto por 
representantes de los Estados miembros y presidido por el 
representante de la Comisión. 
-59 -
2. El representante de la Comlsl6n someterá al Comité un proyecto de 
las medidas Que deban adoptarse. El Comité emitirá su dictamen 
sobre dicho proyecto en un plazo Que el presidente podrá fiJar en 
funcl6n de la urgencia del asunto, procediendo, en su caso, a una 
votacl6n. El dictamen se Incluirá en el acta; además, cada Estado 
miembro tendrá derecho a solicitar Que su poslcl6n conste en acta. 
La Com 1 s 16n tendrá en cuenta, en 1 a mayor med 1 da pos 1 b le, e 1 
dictamen emitido por el Comité. Informará al Comité de la manera en 
Que ha tenido en cuenta dicho dictamen. 
DISPOSICIONES FINALES 
Articulo 31 
1. Los Estados miembros adoptarán las disposiciones legales, 
reglamentarias y administrativas necesarias para cumplir la 
presente Directiva, a más tardar el 1 de enero de 1993. 
Las disposiciones adoptadas en virtud del párrafo primero se 
referirán expllcltamente a la presente Directiva. 
2. Los Estados miembros comunicarán a la Comlsl6n el texto de las 
disposiciones de Derecho Interno Que adopten en el ámbito regulado 
por la presente Directiva. 
-60 -
Articulo 32 
La Comisión presentará periódicamente al Consejo y al Parlamento 
Europeo un Informe sobre la apl lcaclón de la presente Directiva, 
acompañado, en su caso, de las oportunas propuestas de modificación. 
Articulo 33 
Los destinatarios de la presente Directiva serán los Estados miembros. 
Hecho en Bruselas, 
Por el Consejo 
-61 -
Proyecto de 
RESOLUCIÓN DE LOS REPRESENTANTES DE LOS GOBIERNOS DE LOS ESTADOS 
MIEMBROS DE LAS COMUNIDADES EUROPEAS, REUNIDOS EN EL SENO DEL 
CONSEJO 
Los representantes de los Gobiernos de los Estados miembros de las 
Comunidades Europeas, reunidos en el seno del Consejo, 
Considerando que la Directiva del Consejo relativa a la protección de 
las personas en lo referente al tratamiento de datos personales, 
garantiza la protección de la Intimidad de las personas en cuanto al 
tratamiento de los datos personales contenidos en los ficheros del 
sector privado y del sector públ leo, con la exclusión de los ficheros 
del sector públ leo cuyas actividades no estén comprendidas en el ámbito 
de apl lcaclón del Derecho Comunitario; 
Deseosos de facl 1 ltar la cooperación entre las administraciones de los 
Estados miembros en los sectores que no están sujetos al Derecho 
Comunitario, garantizando, al mismo tiempo, un alto nivel de protección 
de la Intimidad de los Interesados; 
Considerando que los principios contenidos en la Directiva concretan y 
amplfan los contenidos en el Convenio del Consejo de Europa, de 28 de 
enero de 1981, para la protección de las personas en lo referente al 
tratamiento automatizado de datos personales; 
ADOPTAN LA PRESENTE RESOLUCIÓN: 
Los gobiernos de los Estados miembros se comprometen a aplicar al 
sector público no sujeto al Derecho Comunitario los principios 
contenidos en la Directiva del Consejo relativa a la protección de las 
personas en lo referente al tratamiento de datos personales, y a 
Iniciar, con este fin, los procedimientos legislativos necesarios. 
-62 -
Declaración de la Comisión relativa a la aplicación a las Instituciones 
Y organ 1 SIROS de 1 as Comun 1 da des Europeas de 1 os pr 1 nc 1 p 1 os de 1 a 
Directiva del Consejo relativa a la protección de las personas en lo 
referente al trata•lento de datos personales. 
1. La Comisión considera que los principios de la Directiva relativa a 
la protección de las personas en lo referente a los datos personales 
(la .. Directiva .. ) deben ser aplicados a las Instituciones y organismos 
de las Comunidades Europeas. 
2. Con este fin, la Comisión adoptará y propondrá a la mayor brevedad 
las medidas necesarias. 
3. A la espera de la adopción de dichas medidas, la Comisión se 
compromete a apl lcar los principios de la Directiva a todo tratamiento 
de datos personales que sea de su competencia. 
4. La Comisión considera que las demás Instituciones de las 
Comunidades deben también comprometerse a apl lcar los principios de la 
Directiva a todo tratamiento de datos personales que sea de su 
competencia. 
-63 -
SYN 288 
PROPUESTA DE DIRECTIVA DEL CONSEJO 
RELATIVA A LA PROTECCIÓN DE LOS DATOS PERSONALES Y DE 
LA INTI"IDAD EN RELACIÓN CON LAS REDES PÚBLICAS DIGITALES 
DE TELECOMUNICACIÓN Y, EN PARTICULAR, LA RED DIGITAL 
DE SERVICIOS INTEGRADOS (RDSI) Y LAS REDES MÓVILES 
DIGITALES PÚBLICAS 
-64 -
ÍNDICE 
A. RESUr·1EN .......................................................... 
B. EXPOSICIÓN DE MOTIVOS •••••••••••••••••••••••••••••••••••••••••••• 
I. Introducción ••••••••••••••••••••••••••••••••••••••••••••••••••••• 
II. Nuevos requisitos especificas sobre protección 
de los datos personales y de la intimidad en 
el sector de las telecomunicaciones •••••••••••••••••••••••••••••• 
III. El planteamiento propuesto: disposiciones del 
proyecto de Directiva •••••••••••••••••••••••••••••• ~ ••••••••••••• 
IV. Conclusiones ••••••••••••••••••••••••••••••••••••••••••••••••••••• 
PROPUESTA DE DIRECTIVA DEL CONSEJO RELATIVA A LA PROTECCIÓN DE LOS DATOS PERSONALES 
Y LA INTIMIDAD EN RELACIÓN CON LAS REDES PÚBLICAS DE TELECOMUNICACIÓN DIGITALES Y, 
Et~ PARTICULAR, LA RED DIGITAL DE SERVICIOS INTEGRADOS (RDSI) Y LAS REDES I"IÓVILES 
DIGITALES PÚBLICAS 
-65 -
A. RESUMEN 
Las redes pGblicas digitales de telecomunicaciones se estin introduciendo ahora en 
todn ln Comunidad. Durante los primeros años de esta década mis del 7U% de la 
transmisión de larga distancia seri digital, así como más del 50% de la conmutación 
de larga distancia y más del 30% de La conmutación local. 
La generalización de Las redes p~blicas digitales de telecomunicaciones en La 
Comunidad y, especialmente, la utilización de la Red Digital de Servicios Integrados 
(RDSI) y los nuevos servicios móviles digitales, permitirán ofrecer una amplia gama 
de servicios avanzados a La población, pero exigirán también un enfoque com~n en 
toda la Comunidad para la protección de La intimidad, de los datos personales y de 
la confidencialidad de Los datos ncorde con los requisitos específicos de los 
nuevos sistemas de telecomunicación digital. 
En repetidas ocasiones el Consejo y el Parlamento Europeo han reconocido La 
importancia fundamental de adoptar medidas adecuadas en Lo relativo a La protección 
de rlatos y de La intimidnd para el desarrollo futuro de Las telecomunicaciones en La 
Comunidad Europea. Concretamente, 
cJel 14 de diciembre de 1988, el 
específicas destinadas a "asegurar en sus resoluciones sobre las telecomunicaciones 
Parlamento Europeo invitó a adoptar medidas 
La protección de Los datos y salvaguardar la 
discreción" y recordó a la Comisión "<1ue es políticamente responsable de asegurar 
que las propuestas legislativns sobre la apertura de los mercados de 
telecomunicaciones, con lns fórmulas jurídicas apropiadas, vayan acompañadas de 
medidas a nivel comunitario relativas a la protección de Los datos referentes a las 
personas". 
Las consecuencias de La introducción de redes digitales con respecto a La protección 
de Los datos personales y de La intimidnd está suscitando un interés creciente en La 
Comunidad. En una resolución adoptada en agosto de 1989 en Berlín, los delegados 
expertos en materia de protección de datos enviados por los Estados miembros 
hicieron tln llamamiento para que se pusiera especial interés en la protección de los 
datos personales y de la intimidad en relación con la RDSI. 
La propuesta adjunta se propone satisfncer estos requisitos específicos con respecto 
a ln protección de los datos personales y de la intimidad en el campo de Las nuevas 
redes públicas digitales de telecomunicaciones. La presentación de este texto viene 
a complementar las nropuestas formuladas por La Comisión sobre la creación de un 
marco ~eneral pnra La protección de datos en la Comunidad. 
-66 -
LH protección efectiva de los datos personales y de la intimidad se est~ 
convirtiendo en una condición previa esencial para lograr la aceptación pública de 
las nuevas redes y servicios digitales. Esta protección ha de ser un componente 
esP.ncial de la política comunitaria de telecomunicaciones, que tiene por objeto 
ofrecer a los europeos todos los beneficios de los servicios avanzados de 
telecomunicaciones en un momento en que la Comunidad se dispone a entrar en una fase 
en la que la información será mucho más importante que antes. 
Este objetivo global es el que ha guiado la elaboración de la propuesta de Directiva 
del Consejo adjunta. 
-67 -
B. EXPOSICIÓN DE MOTIVOS 
I. HHI~ODUCC IÓN 
La generalización actual de las telecomunicaciones públicas digitales en la 
Comunidad y, esp;cialmente, la utilización de la Red Digital qe Servicios 
Integrados (RDSI) y de los nuevos servicios móviles digitalesc permitiran 
ofrecer al público una amplia gama de servicios de telecomunicaciones pero, 
al mismo tiempo, exigirán un enfoque común europeo para la protección de La 
intimidad, de Los datos personales y de La serjuridad de Los datos en 
relación con Los requisitos específicos de Los nuevos servicios digitales de 
telecomunicaciones. 
En su ResoLución sobre la i nt roducc i ón coordi nñda de La Red Di gi t'3l de 
Servicios Integrados en La Comunidad Europea de 12 de diciembre de 1986 , el 
Parlamento Europeo afirmó que "para el desarrollo de las redes telefónicas 
como en La futura Red Digital de Servicios Integrados CRDSI) ofrecerá un 
gran número de servicios adicionales a Los abonados comerciales y 
privados ••• " pero instó a La Comisión a que "presente propuestas que 
indiquen cómo debería actuarse de manera más adecuada, a fin de garantizar 
en La red europea RDSI, información, un nivel de protección de datos 
uniforme y adecuada a las mayores posibiLidades técnicas de este nuevo 
sistema". En un contexto más general, el Parlamento Europeo volvió4a 
insistir en este problema en sus resoluciones de 14 de diciembre de 1988 , 
en Las c:ue pedía que se r~doptaran medirlas específicas en relación con La 
utilización de las redes de telecomunicaciones "para garantizar la 
protección de los datos y de la confidencialidad" y recordó a la Comisión 
c~ue era "políticamente responsable de asegurar que las propuestas 
Le~isl.ativas sobre La apertura de Los mercados de telecomunicaciones, con 
Las fórmulas jurídicas apropiadas, fueran acompañadas de medidas a nivel 
comunitario relativas a la protección de los datos referentes a las personas 
" . . . . 
Recomendación del Consejo de 22 de diciembre de 1986 relativa a la introducción 
de la Red Digital de Servicios Integrados (RDSI) en La Comunidad Europea 
(86/659/CEE). 
La r~DSI puede considerarse como una evolución normal de La red telefónica que 
permitirá mediante un acceso único CJUe utilizará las líneas actuales de Los 
abonados, la trasmisión de la voz (telefonía), de textos, datos e imágenes 
utilizando una multitud de servicios más eficaces o nuevos (para más detalles 
véase la Recomendación del Consejo 86/65()/CEE y el capítulo II). 
De conformidad con La Recomendación del Consejo, la Comisión ha presentado hasta 
La fecha dos informes periódicos sobre la aplicación de la RDSI CCOr·HW3) 589; 
cor:c9U) 123). 
2 Recorn2ndación del Consejo de 25 de junio de 1987 relativa a la introducción 
coordinada de comunicaciones móviLes terrestres digitales celulares públicas 
paneuroreas en La Comunidad (87/371/CEE, DO L 196 de 17.7.1<;87, p. 81) y 
Directiva del Consejo de 25 de junio de 1987 sobre Las bandas de frecuencia que 
han de reservarse para La introducción coordinada de comunicacones móviles 
terrestres digitales celulares públicas paneuropeas en La Comunidad (87/372/CEE, 
DO L 196 de 17.7.1987, p. 85), así como Las subsiguientes propuestas presentadas 
por La Comisión en el campo de las comunicaciones móviles digitales públicas. 
3 Resolución sobre la Recomendación del Consejo 86/659/CEE, DO C 7 de 12.1.1987, 
p. 334. 
4 Resolución sobre Correos y Telecomunicaciones, DO C 12 de 16.1.1989, 
Resolución sobre la necesidad de poner fin a La fragmentación 
telecomunicaciones, DO C 12 de 16.1.1939, p. 66. p. 
en 69; 
las 
-68 -
l::L Consejo, en su Resolución de .~U de junio de 1<Joo') en la que aprobó los 
principi?s. recogidos ~n el Libro Verde sobre el gesarrollo del mercado coman 
de serv1c1os y equ1pos de telecomunicaciones y apoyó globalmente los 
objefivos del programa recogidos en la Comunicación de 9 de febrero de 
1988, consideró corno uno de los grandes objetivos de la política de 
telecomunicaciones "proteger los datos personales y hacer posible el acceso 
del individuo, gracias a los nuevos medios de comunicación, a un entorno 
mucho más rico en información". 
E~ ~u Resolució~ ~obre una mayor coordinación en la introducción de la R~d 
D1g1tal de Serv1c1os Integrados CRDS!) en la Comunidad Europea para 1992 , 
el Consejo reiteró su preocupación con respecto a la RDSI insistiendo en La 
necesidad de "analizar más detalladamente a escala europea los requisitos 
para la protección de La intimidad del usuario y los requisitos relativos a 
la seguridad de las comunicaciones, teniendo en cuenta las características 
de los nuevos servicios, y de acuerdo con la Resolución del Parlamento 
Europeo de 12 de diciembre de 1986 sobre la Recomendación 86/659/CEE". 
En su undécima conferencia internacional celebrada en Berlín del 28 al 31 de 
agosto de 1989, los representantes de las autoridades responsables de la 
protección de datos en los Estados miembros adoptaron una resolución 
pidiendo 0,ue se considerara con especial cuidado La cuestión de la 
protección de los datos y la intimidad en el contexto de la RDSI. 
Mediante la propuesta adjunta, la Comisión responde a la necesidad de 
adoptar medidas específicas en toda La Comunidad sobre La protección de los 
datos personales y de la intimidad en relación con La utilización de Las 
nuevas redes públicas digitales de telecomunicaciones y, especialmente, de 
la Red Digital de Servicios Integrados y Las redes móviles digitales 
ptJLicas. La propuesta responde a La preocupación profunda y justificada 
sobre Las repercusiones inmediatas de las redes digitales en materia de 
protección de Los datos personales y de la intimidad. Asimismo, la Comisión 
reconoce que La protección de datos y La protección de la intimidad son 
esenciale~ ante La perspectiva del desarrollo de una red abierta en La 
Comunidad • 
La propuesta debe enmarcarse en los debates y principios generales 
establecidos en Europa con respecto a La protección de datos personales 
mediante el Convenio de 19U1 del Consejo de Europn para la Protección de Las 
Personas con respecto al Tratamiento Automático de Datos Personales, cuyo 
texto ha sido ratificado hasta la fecha por siete Estados miembros de La 
Comunidad. La propuesta presentada viene a complementar Las que ha ido 
presentando La Comisión para el establecimiento de un marco general para La 
protección de datos en la Co111unidad y, especialmente, el proyecto de 
directiva del Consejo relativa a La aproximación de determinadas 
disposiciones legales, reglamentarias y administrativas de Los Estados 
S Resolución del Consejo, de 30 de junio de 1988, sobre el desarrollo del mercado 
común de Los servicios y equipos de telecomunicaciones de aquí a 1992 (DO C257, 
p. 1). 
6 COI',I (87)290 
7 Hacia un mercado ele las telecomunicaciones competitivo y de alcance comunitario 
en 1992: aplicación del Libro Verde sobre el desarrollo del mercado com~n de 
Los servicios y equipos de telecomunicaciones, situación de Los debates y 
propuesta de La Comisión CCOi~l (88)48). 
8 DO C1~6 de 1 de Agosto de 1989, p. 4. 
~ Posición coman adoptada por el Consejo el S de febrero de 1990 con vistas a la 
adopción de una directiva sobre el establecimiento del mercado interior de Los 
servicios de telecomunicaciones mediante La realización de la Oferta de Red 
Abierta (DO ••• ). 
-69 -
miembros sobre La protección de Las personas con respecto al tratamiento de 
datos personales; el proyecto de decision del Consejo relativo a La apertura 
de negociaciones con vistas a La adhesión de La Comunidad Económica Europea, 
en aqueL Los ámbitos que entran dentro de su competencia, al Convenio deL 
Consejo de Europa sobre protección de las personas con respecto al 
Tratamiento Automático de Datos Personales y el proyecto de decisión del 
Consejo relativa a la seguridad de los sistemas de información. 
Además, la Comisión elaborará normas internas con el fin de garantizar a los 
interesados un nivel de protección equivalente al de los principios de la 
Directiva antes mencionada. 
Dentro de este contexto general, la Directiva adjunta aportará las 
disposiciones específicas necesarias para la aproximación de las 
disposiciones Legales, reglamentarias y administrativas dentro de la 
Comunidad en materia de protección de los datos personales y de la intimidad 
con respecto a las redes digitales públicas de telecomunicaciones fijas o 
móviles y a los nuevos servicios "inteligentes" que ofrecen. 
-70 -
II. NUEVOS REQUISITOS ESPECÍFICOS SOBkE PROTECCIÓN DE LOS DATOS PERSONALES Y DE 
LA INTIMIDAD EN EL SECTOR DE LAS TELECOMUNICACIONES 
La "digitalización" de las redes públicas de telecomunicaciones ya se está 
llevando a cabo en toda la Comunidad. Se espera que en los primeros años de 
esta década más del 70% de las transmisiones a larga distancia, más del 50% 
de las conmutaciones a larga distancia y del 30% de las conmutaciones 
locales sean digitales. 
La digitalización significa la introduccón de centrales totalmente 
informatizadas asi como el tratamiento y la transmisión de toda la 
información transmitida por las r&es de telecomunicaciones <voz, dctos e 
imagen) mediante dígitos binarios • La 11corrriente de bits" que se genera 
de esta forma puede ser manipulada directamente gracias a la inteligencia 
del ordenador, tanto desde la red como desde la terminal del abonado. Con 
ello se Logra una calidad de los servicios que no puede alcanzarse con Las 
técnicas analógicas tradicionales, así como un gran número de nuevas 
funciones "inteligentes" que permiten introducir una amplia gama de 
actividades a través de las redes de telecomunicaciones. La Red Digital de 
Servicios Integrados que se está desarrollando y Los nuevos sistemas 
públicos de comunicaciones móviles digitales permiten ef;~tuar 
comunicaciones digitales de "extremo a extremo" (de abonado a abonado) • 
Por lo que se refiere a la protección de datos, la introducción de redes 
p0blicas digitales tiene principalmente dos efectos. 
Por una parte, Las técnicas totalmente informatizadas de que se dispone en 
La actualidad oueden aumentar considerablemente el grado de protección de 
los datos para necesidades especificas, como Las técnicas sofisticadas de 
cifrado. 
Por otra parte, gracias al tratamiento digital de los datos operativos y de 
llamada, y al tratamiento en centrales informatizadas, seria posible, sin 
necesidad de medidas especificas de protección de datos, el almacenamiento y 
control sistemático de Los datos relacionados con l.as llamadas, como la 
Localización de su ori~Jen. Esta posibilidad requería un esfuerzo técnico 
considerable con las redes tradicionales analógicas "no inteligentes" y, por 
consiguiente, sólo se utilizaba excepcionalmente. 
A la vez, Las nuevas funciones inteligentes de
1~elecomunicaciones, tal como 
vienen definidas en los "servicios adicionales" de la RDSI, ofrecen a Los 
abonados un número considerable de posibilidades que mejoran la calidad de 
los servicios y garantizan una mayor protección del consumidor, como por 
ejemplo, La facturaci6n desglosada. No obstante, si se quiere garantizar la 
protección de la intimidad en este nuevo contexto, será necesario adoptar 
medidas y reglamentaciones especificas. 
Por consigtJiente, La introducción de redes digitales de telecomunicaciones 
en la Comunidad nlantea una serie de problemas específicos en lo 
concerniente a la protección de elatos personales que deberán examinarse, 
cor,ro La utilización ele: 
datos sobre abonados, que cada vez más se van almacenando en ficheros 
informáticos de abonados; 
1LJ Los ordenadores tratan toda La información mediante 11digitos binarios", es 
decir, convirtiendo toda la información en elementos informativos fundamentales 
Chits) con valores U o 1. 
11 Véanse Las Recomendaciones del Consejo 86/659/CEE y 87/371/CEE, notas 1 y 2 
supra. 
12 Para más detalles, véase la Recomendación del Consejo 86/659/CEE, nota 1 supra. 
-71 -
datos sobre tráfico y otros datos operativos; 
datos correspondientes a facturaciones desglosadas; 
identificación de l.a LínPa dP llamada (Localización del origen de La 
Llamada); 
desviación automAtica de Las Llamadas a terceros; 
mensajes no solicitados; 
características técnicas específicas para terminales y otros equipos que 
puedan ser necesarios para ofrecer una protección adecuada; 
Las disposiciones generales sobre protección de datos personales, tales como 
Las promovidas por el Convenio del Consejo de Europa y que se van a 
establecer en La Comunidad a través de Las iniciativas de La Comisión antes 
mencionadas, proporcionan un marco general, pero no puntualizan Los detalles 
necesarios para hacer frente a estos problemas. 
Las disposiciones generales sobre protección de datos personales no bastan 
para impedir Las discrepanci~s Legales, reglamentarias y administrativas que 
están apareciendo en Los Estados miembros con respecto a La explotación de 
Las futuras redes digitales y que, en breve, podrían poner en peligro tanto 
el mercado comun de Los servicios de telecomunicaciones como el de equipos 
terminales. 
Por ejemplo, por lo que respecta a La identificación de La Línea de Llamada, 
algunos Estados miembros tienen previsto establecer la posibiLidad de que 
Los abonados que originan La LLamada puedan suprimir esta posibiLidad en 
casos concretos. Si unas veces esta supresión puede realizarse pulsando una 
tecla del aparato y, en otros casos, se decide establecer un código que 
habrá que marcar previamente al nGmero de teléfono, quedaría dificultada La 
Libre circulación de Los equipos terminales en La Comunidad. 
Si se comparan Las disposiciones nacionales actuales, aparecen discrepancias 
considerables tanto en Lo flUe se refiere al contenido como a La naturaleza 
de los instrumentos jurídicos utilizados. Todo ello está ocasionando una 
incertidumbre jurídica en La Comunidad por cuanto se refiere a Las redes y 
servicios de telecomunicaciones que podría dificultar sustancialmente La 
prestación de servicios transfronteriza. 
Estas discrepancias que están apareciendo en La Comunidad no podrán evitarse 
si no se adopta una Directiva que contenga las disposiciones de aplicación 
necesarias de Los principios generales sobre protección de Los datos y de La 
intimidad por cuanto se refiere a Las redes digitales fijas y móviles. 
AL mismo tiempo, La necesidad de una normativa comunitaria para La 
protección efectiva de Los datos personales y de La intimidad se está 
convirtiendo en una condición previa esencial para La aceptación pública de 
Los nuevos servicios y redes digitales, tal como Lo confirmó el Consejo 
drJrante su reunión del 7 de noviembre de 1989 en La cual, refiriéndose a Los 
aspectos sociales de Las telecomunicaciones, declaró La necesidad de 
garantizar La protección de la intimidad y de Los datos personales dentro de 
una perspectiva europea. 
Este es el objeto concreto de La propuesta ele Directiva del Consejo adjunta. 
-72 -
III. EL PLANTEAMIENTO PROPUESTO: DISPOSICIONES DEL PROYECTO DE DIRECTIVA 
EL objetivo global de la Directiva propuesta consiste en garantizar en toda 
la Comunidad un nivel básico de protección de los datos personales y de La 
intimidad de los usuarios europeos, que debiera aplicarse de forma general 
en las nuevas telecomunicaciones digitales, especificando a la vez Los 
requisitos necesarios para lograr un mayor nivel de protección de los datos 
en casos concretos y aplicaciones de las medidas concretas que van a 
desarrollarse en el marco del programa de trabajo establecido en La 
proruesta de Decisión del Consejo presentada por la Comisión sobre La 
seguridad de los sistemas de información anteriormente mencionados. 
La propuesta de Directiva tiene por objeto alcanzar un nivel básico de 
protección general de los abonados en los nuevos sistemas digitales haciendo 
hincapié en dos principios fundamentales. 
reducir al m1n1mo el riesao de utilización abusiva de los datos, 
limitando su t rat amiento y almacenamiento con motivo de la exp lot ación 
de una red pública de telecomunicaciones al mínimo indispensable para 
garantizar el funcionamiento adecuado, la calidad del servicio prestado 
y la comodidad del usuario; 
garantizar plenamente el respeto de la voluntad del abonado respecto de 
la información proporcionada, tanto en lo que se refiere a Las empresas 
de telecomunicaciones que ofrecen los servicios como a La otra parte 
implicoda en una Llamada y a todos los terceros que quieran tener acceso 
a Los datos transmitidos o facilitados con motivo de una transacción 
efectuada a través de una red p~hlica de telecomunicaciones. 
En vista de que Las repercusiones más importantes del nuevo sistema de 
telecomunicaciones para los abonados en general afectará a la telefonía de 
voz, la Directiva propuesta se ha centrado en este aspecto. No obstante, 
establece también un procedimiento para la aplicación de las disposiciones 
relacionadas con el servicio de telefonía de voz a otros servicios públicos 
digitales de telecomunicaciones, cuando proceda, como en el caso de Los 
servicios públicos de transmisión de datos en relación con la RDSI así como 
las redes públicas de transmisión de datos por conmutación de paquetes y de 
circuitos y otros servicios públicos de telecomunicación afines. 
Dada la situación de transición que atraviesan las redes públicas de 
telecomunicación en la Comunidad y, especialmente, en vista de que algunas 
centrales "de control por programa almacenado (SPC)", proporcionan algunas 
de Las funciones inteligentes en cuestión, aunque no sean aún totalmente 
digitales, la Directiva propuesta contempla aquellos casos en que Los 
Estados miembros no han aplicado aún la Red Digital de Servicios Integrados 
o Las redes móviles digitales públicas, de forma que las disposiciones de la 
Directiva deberán cumplirse en la medida en que se apliquen también a 
servicios que utilizan redes analógicas. 
Partiendo de estos rrincirios generales, la Directiva propuesta se refiere 
concretamente a: recogida, almacenamiento y tratamiento de datos personales 
en ficheros de abonados; almacenamiento y tratamiento de datos de 
facturación y tr~fico, centrándose sobre todo en Las facturas desglosadas; 
identificación de la línea de llamada, acceso por parte de terceros;Llamadas 
!'lo solicitadas; y procedimientos r¡ue deberán seleccionarse para establecer 
Las normas técnicas específicas que ptJedan resultar necesarias. 
-73 -
A continuación, se expone brevemente el contenido de los artículos de la 
Directiva: 
Los artículos 1 y 2 describen los objetivos globales de la Directiva y su 
aplicación a la protección de los datos y la intimidad en relacion con los 
servicios públicos de telecomunicación de las redes públicas digitales de 
telecomunicación dentro de la Comunidad. 
El artículo 3 recoge definiciones de términos importantes en consonancia con 
La propuesta de Directiva del Consejo sobf3 la realización de La Oferta de 
Red Abierta (ONP) anteriormente mencionada • 
EL principio general sentado en el artículo 4, según el cual la recogida, 
almacenamiento y tratamiento de datos personales por una entidad de 
telecomunicaciones sólo se justifica para proporcionar el servicio de que se 
trate y no puede utilizarse sin autorizacion Legal espec1fica o sin el 
consentimiento previo explícito del abonado con otra finalidad, se aplica a 
la elaboración de ficheros de abonados contemplada en el artículo S. Tal 
como se especifica en los considerandos de la Directiva, la recogida, el 
almacenamiento y el tratamiento de datos personales no podrán utilizarse 
para dar una ventaja ilícita a una entidad de telecomunicaciones con 
respecto a otras empresas de servicios en sectores competitivos. 
El artículo 6 especifica Los derechos del abonado con respecto a los datos 
personales suyos en posesión de una entidad de telecomunicaciones y el 
artículo 7 establece el principio d~ no revelación de dichos datos a 
terceros sin consentimiento del interesado o autorización legal. 
Gracias al artículo 8 debería poder garantizarse un nivel adecuado de 
protección de datos contra el acceso no autorizado de terceros. 
Los artículos 9 y 10 limitan La recogida, el almacenamiento y el tratamiento 
de datos personales a los datos de facturación y de tráfico en la medida en 
<lUe sea necesario para los servicios de telecomunicacion. El objeto del 
artículo 11 es proteger La intimidad de Los abonados en relación con Las 
facturas desglosadas mediante el r~quisito de anonimato del abonado Llamado. 
Los artículos 12 y 13 recogen disposiciones detalladas sobre la 
identificación de la línea de Llamada. Debe darse La posibilidad de suprimir 
el sistema de identificacion, entre otras cosas, porque las personas que 
efectúan llamadas a centros de rehabilitación de toxicómanos o alcohólicos, 
de asistencia familiar o de salud mental, o que efectuan Llamadas desde los 
mismos, temen evidentemente que este serv1c1o pueda comprometer su 
anonimato. Lo mismo se aplica a Los "teléfonos de La esperanza" (suicidio, 
SIDA). 
No obstante, el abonado Llamado puede tener un interés Legítimo en recibir 
únicamente Llamadas identificadas. Para garantizar el derecho a decidir La 
información proporcionada tanto a la parte que origina La Llamada como a La 
<1Ue La recibe, ésta debe tener, por lo tanto, La posibilidad de aceptar 
únicamente aquellas llamadas en las que se identifica el número del abonado 
que efect~a la llamada. 
Además, La entidad de telecomunicación debería disponer de una función de 
bloqueo para evitar que desparezca la identificación en Los casos de 
Llamadas maliciosñs; esta función también debe poder utilizarse para La 
represión de delitos penales y pñra Los servicios de urgencia, especialmente 
Los bomberos, con objeto de evitar una utilización abusiva de dichos 
servicios. 
13 Véase nota 9. 
-74 -
EL artículo 14 permite preservar la intimidad tanto del abonado que efectúa 
la llamada como del que la reciba en los casos en que se utiliza el sistema 
de desviación de llamada. 
El artículo 15 evitará, por medios técnicos, que el contenido de las 
llamadas telefónicas sea almacenado y/o comunicado a terceros sin informar 
previamente al abonado que efectua la llamada. 
Los artículos 16 y 17 tienen por objeto evitar que las empresas y serv1c1os 
de televenta y videotex hagan un uso indebido de los datos personales de los 
abonados para elaborar perfiles de consumidores, así como proteger la 
intimidad del abonado frente a los mensajes no solicitados como, por 
ejemplo, publicidad indeseada través de los medios de telecomunicación. 
El artículo 18 se propone evitar que la introducción de características 
técnicas basadas en los requisitos de protección de datos puedan 
obstaculizar indebidamente la libre circulación de equipos y servicios de 
telecomunicación en la Comunidad, estipulando, cuando proceda, la 
elaboracion de normas comunes europeas para la aplicación de características 
técnicas específicas. De acuerdo con la Directiva del Consejo relativa a la 
aproxinración de las legislaciones de Los Estados miembros sobre equipos 
terminales 14de telecomunicación y el reconocimiento mutuo de su 
conformidad , así como La Decisión del Consejo 87/95/CEE de 22 de diciembre 
de 1986, relativa a la normalización1Sn el campo de la tecnología de La 
información y Las telecomunicaciones , los trabajos técnicos han de 
encomendarse a las entidades europeas de normalización pertinentes y, 
especialmente, al Instituto Europeo de Normas de Telecomunicación (ETSI) y 
al CEN/CENELEC. 
Las disposiciones finales de los artículos 19 a 25 se refieren al ámbito de 
aplicación, a los procedimientos de modificación necesarios para adaptar la 
presente Directiva al progreso técnico, as1 como a los procedimientos de 
consulta. Se preve la creacion de un comite integrado por representantes de 
las autoridades responsables de la protección de datos en los Estados 
miembros y de otro comité compuesto por representantes de los Estados 
miembros que asistirán a la Comisión en la aplicación de la Directiva. Se 
propone que estos comités sean los que se establecen con la misma finalidad 
en el proyecto de Directiva del Consejo relativa a la aproximación de 
determinadas disposiciones legales, reglamentarias y administrativas de los 
Estados miembros sobre protección de las personas físicas en relación con el 
tratamiento automático de datos personales que se ha presentado 
simultáneamente, como ya se ha mencionado. No obstante, estos comités se 
crearían específicamente a los efectos de la presente Directiva. 
14 COM(89) 289-SYN 204, 27.7.1989. 
15 DO L 36 de 7.2.1987, p. 31. 
-75 -
IV. CONCLUSIÓN 
La consecución de una protección efectiva a escala comunitaria de Los datos 
personales y La intimidad se está conviritiendo en una condición previa esencial 
para Lograr La aceptación social de Las nuevas redes y servicios digitales. 
Si no se establecen en una directiva Las disposiciones específicas necesarias 
para Llevar a La práctica Los principios generales de protección de Los datos 
personales y de intimidad en relación con Los requisitos específicos de Las redes 
públicas digitales fijas y móviles, no se podrá evitar una aparición de normas 
discrepantes en La Comunidad que pronto constituirán una amenaza para el mercado 
común tanto de servicios como de equipos terminales de telecomunicación. 
EL proyecto de Directiva adjunto tiene por objeto establecer estas disposiciones 
específicas. 
Por ello se insta al Consejo a adoptar La propuesta de Directiva adjunta. 
-76 -
·Propuesta de 
DIRECTIVA DEL CONSEJO 
RB..ATIVA A LA PROTECCIÓN DE LOS DATOS 
PERSONALES Y DE LA INTIMIDAD EN RELACIÓN CON 
LAS REDES PÚBLICAS DIGITALES DE TELECOMUNICACIÓN Y, 
EN PARTICULAR,LA RED DIGITAL DE SERVICIOS INTEGRADOS (RDSI) 
Y LAS REDES MÓVILES DIGITALES PÚBLICAS 
-77 -
EL CONSEJO DE LAS CONUNIDADES EUROPEAS 
Visto el Tratado constitutivo de La Comunidad Económica Europea y, en 
particular, su articulo 100A, 
Vista La propuesta de La Comisión,1 
En cooperación del Parlamento Europeo, 2 
Visto el dictamen del Comit~ económico y social, 3 
1. Considerando que La Directiva del Consejo relativa a La protec-
ción de Las personas en lo referente al tratamiento de datos 
personales preconiza que Los Estados miembros garanticen La 
protección de la intimi'dad de las personas; 
2. Considerando r¡ue en La actualidad la aparición de nuevas redes 
telefónicas digitales públicas, de avanzada tecnologia,está crearx:b necesidades 
especificas en materia de protección de 
intimidad de los usuarios; datos personales y de La 
3. Considerando ~ue ello es especialmente aplicable a La introducción de La 
Hed Digital de Servicios Integrados (RDSI) y de las redes móviLes digita­
les públicas; 
4. Considerando que en su Resolución, de 3U de junio de 19tW, sobre 
1 
2 
3 el desarrollo del mercado común 
telecomunicación de aqui a 1992 4, de los servicios y 
;el Con-sejo abogó equipos de 
por la 
adopción de medidas para la protección de los datos personales, con objeto 
de crear un marco adecuado para el 
telecomunicaciones dentro de La Comunidad; futuro desarrollo de Las 
que el Consejo ha vu· tto 
insistir en La importancia que reviste laproteccióndelosdatospersonalesydela 
4 DO e 257 de 04.10.1988, p. 1. 
-78-
intimidad en su Resolución, de 18 de julio de 1989, sobre una mayor 
coordinación en La introducción de La Red Digital de Servicios 
5 Integrados CRDSI) en la Comunidad Europea 
5. Considerando que el Parlamento Europeo ha subrayado La importancia 
de proteger Los datos personales y la intimidad en Las redes de 
telecomunicación, especialmente en relación con La introducción de La Red 
D .. l d S . . 6 7 8 1g1ta e erv1c1os Integrados CRDSI) ; 
6. Considerando que La Recomendación 81/679/CEE de La Comisión 
hace un Llamamiento a los Estados miembros para que adopten y 
ratifiquen el Convenio del Consejo de Europa sobre protección de Las 
personas con respecto al tratamiento automatizado~- de .Los datos 
personales'· en. el que se si en tan Los pr i nc i pi os genera Les para la protección de 
datos personales; 
7. Considerando que varios Estados miembros han adoptado y ratificado dicho 
Convenio; 
8. Considerando que la Decisión del Consejo ••• 9 prevé la apertura de 
negociaciones, en aquellos ámbitos que entran dentro de su competencia, 
con vistas a La adhesión de La Comunidad Económica Europa al Convenio del 
Consejo de Europa sobre Protección de Las Personas con respecto al 
Tratamiento PLJtanatizado de Los Datos Persona Les. 
9. Considerando que la Directiva del Consejo ••• / ••• /CEE relativa a la. protec­
ción de las personas en lo referente al tratamiento de datos 
personales hace efectiva La adopción de estos principios 
generales en La Comunidad; 
------------------------S oo n0 e 196 de 1.8.1989, p. 4. 
6 D0rQC7 de12.1.1987, p. 334. 
7 DO rfJ C 12 de 16.1.1989, p. 69. 
8 DO nQ e 12 de 16.1.1989, p. '66. 
9 DO ... 
-79 -
17 
10. Considerando ~ue en el caso de Las redes digitales p~blicas deben 
elabororse disposiciones específicas legales, reglamentarias y técnicas 
con objeto üe proteger Los datos personales y la intimidad de los usuarios 
frente a Los riesgos crecientes vinculados al almacenamiento yal 
tratamiento informático de datos personales en dichas redes; 
11. Considerando que en La actualidad Los Estados miembros están 
elaborando disposiciones d1vergentes en este ámbito; 
12. Considerando que, habida cuenta de Los obstáculos derivados de La 
disparidad de Las disposiciones Legales, reglamentarias y técnicas sobre 
Lo protección de Los datos personales y de La intimidad en relación con La 
instalación de redes digitales p~blicas de telecomunicaciones en La 
Comunidad y, especialmente de La Red Digital de Servicios Integrados 
(RDSI) y de Las redes móvihes digitales p~blicas, es preciso introducir 
rápidamente disposiciones 
realización del 
telecomunicación; mercado armonizadas 
comunitario de con vistas a La plena 
servicios y equipos de 
13. Considerando que la presente Directiva debe detenninar las condiciones en 
que se podrán recoger, almacenar y tratar datos personales en el contexto 
de La prestación de servicios de telecomunicación; 
14. Considerando que Los organismos de telecomunicaciones solamente podrán 
recoger, almacenar y tratar elatos personales con objeto de prestar un 
servicio determinado y no podrán utilizar dichos elatos con otra finalidad 
si La Ley no lo autoriza específicamente o sin previa autorización 
explicita de Los abonados interesados; que, en particular, la 
recogida, el almacenamiento y el tratamiento de datos personales no podrán 
utilizarse para dar una ventaja competitiva ilegítima a estos organismos 
ele telecomunicaciones con respecto a otras empresas de servicios; 
15. Considerando que la presente Directiva debe aplicar al sector de Las 
telecomunicaciones Los principios generales de los derechos de Los 
abonados en Lo relativo a La inspección de sus datos personales 
almacenados, La corrección o eliminación de dichos datos y la prevención 
de la divulgación no autorizada de sus datos personales; 
-80 -
1(). Considerando que la presente Directiva debe prever la annonización de las ronnativas 
de los Estédosmiembros en lo relativo a la protección de la intimidad en las 
facturas desglosadas; 
17. Considerando que, por lo que respecta a la identificación de La línea de 
llamada, es preciso proteger tanto el derecho al anonimato de la parte que 
origina la comunicación como la intimidad de la parte que recibe la 
Llamada en relación con las llamadas no identificadas; 
18. Considerando que deben establecerse me di das de protección para 
1 (' 7 • Los usuarios de los servicios de televenta y videotex contra el uso no 
autorizado de sus datos personales, así como para Los abonados en general 
con objeto de evitar intrusiones en su intimidad por medio de Llamadas no 
solicitadas; 
Considerando que debe garantizar se La anoonización en La i nt roducc i ón de 
características técnicas de equipos de telecomunicación para la protección 
de datos , .a fin de que sea compat H) le con el funcionamiento del mercado 
interior de 1992; 
2U. Considerando que la aplicación de la presente Directiva con respecto a 
terceros países debe tener en cuenta el nivel de protección de Los datos 
personALes y de la intimidad en vigor en dichos países, con arreglo 
a La Directiva del Consejo ••• /CEE; 
¿1. Considerando que rara todas aquellas cuestiones relacionadas con la pro­
tección de los datos personales y de la intimidad, en el marco de las redes 
digitales públicas de telecomunicación, que no estén reguladas por La pre­
sente Directiva, se aplicará la Directiva del Consejo ••• /CEE; 
2;~. Considerando que la presente Directiva no se aplica a las cuestiones 
de protección de datos personales y de La intimidad relacionadas con la 
sequridad nacional; 
~~~:. Considerando que para la preparación de medidas de aplicación ode 
Modificación de La presente Directiva conviene recurrir a La experiencia 
del Grt..4X> integrado por representantes de la aJtoridad de central de Los Estados 
-81 -
miembros en materia de protección de datos, rreado por el artículo 27 de 
la Directiva del Consejo ••• /CEE; 
24. Considerando que dichas medidas deben ser preparadas con ayuda del Comité 
integrado por representantes de los Estados miembros, creado por el 
artículo 30 de la Directiva del Consejo ••• /CEE; 
-82 -
HA ADOPTADO LA PRESENTE DIRECTIVA: 
Artículo 1 
1· La presente Directiva se refiere a La armonización de Las Jisposiciones 
necesarias para garantizar l.l1 nivel eQ.Jivalente de protección de La intimidad 
e'l la Comunidad, así cano La Libre circulación ·¡de Los equipos y servicios de 
telecomunicaciones dentro de cada Estado miembro y entre Los mismos. 
2· Los Estados miembros d t , l . . a op aran as d1sposiciones específicas necesarias 
con Vl stas a garantí zar l t . , . . . . a pro ecc1on de los datos personales y de La 
1nt1m1oad en el sector de La~ tela· · · ... . ""comun1cac1ones. 
Articulo 2 
1. Sin perjuicio de Las disposiciones generales de La Directiva deL 
Consejo ••• 1 CE E , La presente Directiva se refiere especificanente a La recogida, 
almacenamiento y tratamiento de datos personales por parte de Los 
orcanismos de telecomunicaciones en eL m a reo del suministro de 
servicios públicos de telecomunicación en redes públicas digitales de 
telecomunicación en la Comunidad y, especialmente,a través de la Red 
Digital de Servir.ios Integrados CRDSI) y de Las redes móviles digitales 
públicas. 
~'. En caso de que un Estado miembro no disponga aún de la Red Digital de 
Servicios Integrados CRDSI) o de las redes móviles digitales públicas, Las 
disposiciones de la presente Directiva se aplicarán en la medida en que 
sean aplicables igualmente a los servicios basados en Las redes analógi­
cas. 
-83 -
Articulo 3 
A efectos de la presente Directiva, se entenderá por: 
1. "Datos personales", cua.tquier información 
una persona identificada o identificable. relacionada con 
2. "Organismo de telecomunicaciones", un ente público o 
privado al ~ue un E~tado miembro conceda derechos especiales o exclusivos 
nara elestablecimientoderedespúbticasde telecomunicaciones y, en su caso, 
para el suministro de servicios públicos de telecomunicaciones. 
3. "Red pública de telecomunicación", la infraestructura 
~ública de telecomunicaciones que permita la transmisión de señales entre 
puntos de terminación de red definidos por cable, microondas, medios 
ópticos u otros sistemas electromagn~ticos. 
4. "Servicio público de telecomunicación", un servicio de 
telecomunicación cuya prestaci6n hayan encomendado especificamente los 
Estados miembros~ entre otros, a uno o varios organismos de 
telecomunicaciones. 
Artículo 4 
1. La recogida, el almacenamiento y el tratamiento de datos personales por 
f1rirte de un organismo de telecomunicaciones sólo se justificarán cuando 
respondan a necesidades de las telecomunicaciones y, en especial, cuando 
tengan por objeto el establecimiento de conexiones para la transmisión de 
voz, de datos o de imágenes, la facturación, la confección de repertorios 
u otra finalidad operativa legítima, caro por ejerrplo, Slbsanar errores, evitar 
el uso incorrecto de los equipos de ll'l organismo de telecomunicaciones, o 
registrar llamadas entrantes de acuerdo con el apartado 1 del articulo 13. 
2. El organismo de telecomunicaciones no podrá utilizar estos datos para 
elaborar perfiles electrónicos de abonados o clasificaciones de abonados 
por categorías. 
-84 -
Artículo 5 
1. Se porlr~ recoger y almacenar datos personales de los abonados en la medida 
en qqe ello sea necesario para celebrar, ~jecutar, roodificar o resolver un 
contrato t-~n el organismo de telecomunicaciones. Después de expirar el 
contrato, Los datos deberán ser eliminadas, saLvo en caso de que sea 
necesario mantenerlos para atender reclamaciones, cobrar deudas o cumplir 
otras obligaciones establecidas por la legislación del Estado miembro de 
que se trate,. de conformidad con la legislación comunitaria y por el 
tiempo que ello requiera. 
2. EL contenido de la información transmitida no deberá ser almacenado por el 
or~anismo de telecomunicaciones después de finalizar La transmisión, salvo 
c•Jando así lo exija la legislación del Estado miembro de que se trate, de 
Mcuerdo con la legislación comunitaria. 
Artículo 6 
fl abonado tendrá derecho a que: 
1. se Le confirme con una periodicidad y a un precio razonables y sin 
excesiva demora, si se han almacenado datos personales sobre él, y a 
~ue éstos Le sean comunicados de forma inteligible, 
2. Llegado el caso, sean corre~:idos o eliminados dichos datos, cuando 
hayan sido tratados infringiendo Las disposiciones de las legisla­
cionesde Los Estados miembros, establecidas con arreglo al Derecho 
comunitario. 
Artículo 7 
1. En principio, todos los datos personales tratados en el marco de redes y 
servicios de telecomunicación deberán ser confidenciales. 
2. Los datos personales no podrán ser divulgados fuera de los servicios o de 
Ln red del organismo de telecomunicaciones si la normativa o La 
Legislación no Lo autoriza específicamente o sin previo consentimiento 
deL abonado. Se considerará que el abonado ha dado su 
consentimiento Gnicamente cuando Lo haya hecho respondiendo de forma 
-85 -
específica a una solicitud presentada por el organismo de 
telecomunicaciones. Cuando el abonado no haya dado su consentimiento 
previo, estos datos personales no podrán ser comunicados a 
otras rersonas del organismo de telecomunicaciones que no se ocupen 
directamente de los servicios de que se trate. 
3. El organismo de telecomunicaciones no deberá supeditar la prestación de su 
servicio a dicho consentimiento. 
Artículo 8 
1. EL organismo de telecomunicaciones deberá garantizar una protección 
adecuada, utilizando las técnicas más avanzadas. de los datos personales 
contra posibles accesos y usos no autorizados. 
2. En caso de que exista un riesgo especial de violación del sistema de 
seguridad de La red, cano por ejemplo, en el ált>ito de la ·radiote.Léfonia móviL, el 
organismo de telecomunicaciones deberá informar a los abonados de dicho 
riesgo y ofrecerles un servicio de cifrado de extremo a extremo. 
Artículo 9 
1. Podrán ser almacenados y tratados Los datos de facturación que incluyan el 
n1jmero de teléfono o La identificación de la estación del abonado, La 
dirección del abonado y el tipo de estación, el número total de unidades 
que hayan de cobrarse por el período correspondiente, el número del 
teléfono de destino, el tipo y la duración de Las Llamadas efectuadas, el 
volumen de datos transmitidos así como cualquier otra información 
necesaria para la facturación como, por ejemplo, pagos anticipados, a 
plazos, interrupciones del servicio y notificaciones. 
2. Se autorizará e::;te almacenamiento general de los datos de facturación 
hasta la expiración del plazo tegal durante el cual pueda impuunarse la 
factura. 
-86-
Artículo 10 
1. Cuando sea necesario para proporcionar el servicio de telecomunicación 
solicitado, podrán recogerse, almacenarse y tratarse datos sobre tráfico 
~ue incluyan Los datos personales necesarios para establecer Las Llamadas, 
o Los datos necesarios para La facturación o para otros fines operativos, 
como el número de teléfono del abonado que origina La Llamada y el del que 
La recibe, La hora de inicio y finalización de cada Llamada y el servicio 
de telecomunicación utilizado por el abonado. 
2. Los datos sobre tráfico almacenados en Los centros de conmutación del 
organismo de telecomunicaciones deberán eliminarse al finalizar La 
Llamada, salvo en caso de que sean anónimos o resulten necesarios para la 
facturación u otros fines legítimos de conformidad con el articulo 4. 
Artículo 11 
P\ instancia del r.1bonado, se podrá f!Xpedir una factura desglosada en La que, 
entre otras cosas, constarán los números de Los abonados de destino sin Los 
cuatro últimos dígitos. 
Artículo 12 
1. Por lo que respecta a las comunicaciones entre abonados conectados a 
centrales diqitales, el abonado que origina La Llamada deberá poder 
suprimir la identificación de su número de teléfono que aparezca en la 
pantalla del terminal del abonado de destino, o la memorización del número 
en un sistema de almacenamiento de este terminal mediante un dispositivo 
técnico simple y según un procedimiento caso por caso. 
A instancia del abonado que origina la Llamada, el organismo de 
telecornunicaciones deberá igualmente poder ifll)edir permanentemente La transmisión 
del número de teléfono. 
--------
-87-
25 
2. El abonado de destino podrá solicitar la supresión permanente de la 
identificacion de todas las llamadas entrantes; asimismo, rleberá poder 
desconectar la pantalla de su terminal, o borrar la memoria del sistema de 
almacenamiento del terminal, para evitar la identificación de las llamadas 
entrantes y según un procedimiento caso por caso. 
El abonado de destino deberá poder limitar la aceptación de las llamadas 
entrantes a aqu~llas en las que se identifique el número del abonado que 
origine la llamada. 
3. Por lo que respecta a las comunicaciones entre abonados conectados a una 
central analógica y abonados conectados a centrales digitales, el 
abonado de La central analógica deberá ser informado del sistema de 
identificación de su número de tel~fono y podrá solicitar la supresión 
permanente de esta información. Este abonado tambi~n deberá tener la 
posibilidad de suprimir la identificación según un procedimiento caso por 
caso. 
Artículo 13 
1. Durante un período de tiempo limitado, el organismo de telecomunicaciones 
podrá impedir la supresión de la identificación de la línea de llamada 
a) a instancia de un abonado que solicite la identificación de llamadas 
maliciosas, en cuyo caso los datos que incluyan la identificación del 
abonado que origina la llamada serán almacenados por el organismo de 
telecomunicaciones y, previa solicitud, serán puestos a disposición de 
la autoridad pública responsable de la prevención o persecución· 
de delitos en el Estado miembro de que se trate; 
b) por orden judicial, 
delitos. con vistas a prevenir o perseguí r 
2. Previa solicitud, deberá facilitarse un sistema de bloqueo permanente 
a: 
a) Las entidades reconocidas por un Estado miembro que atiendan las 
llamadas de urgencia y 
-88 -
b) los cuerpos de bomberos admi ni st rados o reconocidos por un Estado 
miembro. 
3. Los organismos de telecomunicaciones adoptarán las medidas necesarias para 
aarantizar el funcionamiento del sistema de bloqueo a escala nacional y 
comunitaria. 
Artículo 14 
1. Las Llamadas dirigidas a un abonado podrán ser desviadas a terceros, 
rrevio consentimiento de éstos; dichos terceros podrán Limitar esta 
desviación a Las llamadas en las que se identifique el número del abonado 
(Jue origina La llamada. Los terceros deberán ser informados de que se 
tratade una Llamada desviada, mediante una señal especial. 
2. Cuando se establezca la conexión, el abonado que origina la llamada deberá 
ser informado automáticamente de que su Llamada está siendo desviada a un 
tercero. 
Artículo 15 
1. Cuando el contenido de llamadas telefónicas se haga llegar a terceros por 
medio de dispositivos técnicos, como altavoces u otros equipos que puedan 
acoplarse al microteléfono, o cuando se grabe en cintas para uso personal 
o de terceros, deberán tomarse Las medidas necesarias para informar a las 
partes interesadas, por medio de un procedimiento adecuado, de dicha 
difusión o aLmacenamiento antes ele que éstos tengan lugar y durante toda 
su duración .. 
?. EL apartado 1 no se aplicará a los casos a que se refiere el apartado 1 
del articulo 13. 
-89 -
Artículo 16 
1. EL organismo de telecomunicaciones deberá asegurarse de que tanto el 
número de teléfono como otros datos personales del abonado, especialmente 
los referentes al número e índole de los pedidos efectuados cuando éste 
utilice un servicio de televenta, o los relativos a la información 
solicitada a través de un servicio de videotex, sean almacenados solo en 
la medida estrictamente necesaria para la prestación del servicio de que 
se trate y sean utiLizados exclusivamente por el proveedor del servicio 
a los fines autorizados por el abonado. 
2. Sin perjuicio de las disposiciones del artículo 20, el proveedor del 
servicio no podrá establecer perfiles electrónicos de los abonados ni 
clasificaciones por categorías de abonado sin previo consentimiento 
de Los interesados 
Artículo 17 
1. Los abonados que reciban llamadas no solicitadas con fines publicitarios, 
o de oferta de suministro de bienes o de servicios, podrán notificar al 
organismo de telecomunicaciones que transmita estos mensajes que no desean 
recibir dichas llamadas. 
2. El organismo de telecomunicaciones deberá adoptar las medidas necesarias 
para que cese la transmisión de estos mensajes a los abonados en cuestión. 
Además, para evitar que estas llamadas vuelvan a producirse, el organismo 
de telecomunicaciones conservará una lista de las notificaciones en La 
forma especificada por la autoridad de control. y -que· ésta podrá 
controlar. 
Artículo 18 
1. Al aplicar las disposiciones de La presente Directiva, y sin perjuicio de 
lo dispuesto en Los apartados 2 y 3 del presente artícuLo, los Estados 
miembros garantizarán que no se impongan requisitos obligatorios 
para las terminales u otros equipos de telecomunicación en relación con 
-90 -
determinadas características técnicas específicas, que impidan La 
comercialización y La libre circulación de dichos equipos dentro de los 
Estados miembros y entre éstos. 
2. Cuando estas disposiciones sólo puedan aplicarse exigiendo características 
técnicas específicas, los Estados miembros informarán de ello a la 
Comisión conforme a los procedi mi en tos establecidos en la Directiva del 
Consejo 83/189/CEE10que prevé un procedimiento de 
información en materia de normas y reglamentaciones técnicas. 
3. Cuando sea necesario, la Comisión se hará cargo de la elaboración de 
normas comunes europeas para la ap l i cae i ón de ca racterí st i e as técni e as 
específicas, de acuerdo con La Directiva del Consejo (relativa a la 
aproximación de las lerdslaciones de los Estados miembros sobre equipos 
terminales de telecomunicación, incluyendo el reconocimiento mutuo de su 
conformida~ 1} y con arreglo a la Decisión del Consejo 87/95/CEE, de 27 de 
diciembre de 1986, relativa a la normalización en el campo de La 
tecnología de la información y de las telecomunicaciones 12• 
Artículo 19 
1. Las disposiciones de ~~presente Directiva sobre el servicio de teléfonos 
se aplicarán a otros servicios públicos digitales de telecomunicación 
siempre ~ue dic:hos servicios presenten riesgos similares para la intimidad 
de los usuarios. 
2. Previa consulta al Grupo citado en el artículo 22, y de conformidad con 
el procedimiento establecido en el artículo 23 , la Comisión adoptará las 
medidas necesarias para la aplicación del apartado 1. 
10 DO L 10~ de 26.4.1983, p. 8 
11 DO C 
12 DO L 36 de 7. 2.1987, p. 31. 
-91 -
Artículo 20 
En caso de que que la plena consecución de los objetivos de la presente 
Directiva exija la aplicación de sus disposiciones a empresas de servicios que 
no sean organismos de telecomunicaciones, la Comisión podrá adoptar las 
medidas necesarias para que la presente Directiva se aplique a dichas empresas 
de servicios, previa consulta al Grupo citado en el artículo 22 y de 
conformidad con el procedimiento establecido en el artículo 23. 
Artículo 21 
La Comisión fijará, con arreglo al procedimiento establecido en el articulo 23, 
las normas técnicas necesarias para la aplicación de la presente Directiva y su 
adaptación al progreso técnico. 
Artículo 22 
1. El Grupo de Protección de Datos Personales creado por el 
artículo 27 de la Directiva del Consejo ••• relativa a la protección de 
las personas en lo referente al tratamiento de datos persona les ejercerá las 
funciones previstas en el articulo 28 de dicha Directiva asimismo con 
respecto a las medidas de protección de los datos personales que 
son objeto de la presente Directiva. 
2. El Grupo estará constituido específicamente a los efectos de la presente 
Directiva. 
Artículo 23 
1. Serádeaplicaciónel procedimiento previsto en el artículo 30 de la Directiva 
del Consejo ••• relativa a la protección de las personas en lo referente 
al tratamiento de los datos de carácter personal. 
-92 -
2. El Comité creado en el marco del procedimiento cmterrplado en el apartado 1 estará cons­
tituido especificanente a los efectos de La presente Directiva. 
1 • Artículo 24 
Los Estados miembros adoptarán 
reglamentarias y administrativas necesarias 
Directiva a más tardar el 1 de enero de 1993. Las disposiciones 
para cumplir La Legales, 
presente 
Las disposiciones adoptadas en virtud del párrafo primero se referirán 
explícitamente a la presente Directiva. 
2. Los Estados miembros comunicarán a la Comisión el texto de las 
disposiciones de Derecho interno que adopten en el ámbito regulado por La 
presente Directiva. 
Artículo 25 
Los destinatarios de la presente Directiva 'serán los Estados miembros. 
Hecho en Bruselas, 
Por la Comisión 
-93 -·---··· 
Flcm FINA.NCIE:RE 
PRoJET DE PROPOSmON DE Dnu;ctiVE DU CONSEIL CONCERJI(IJIO" lA PROTEC110N DES 
DO~NEES .A CA.L\CD:llE PER:SONNI:L ET DE LA 'VIE PRME DAMI LE CON"''!XXE DES RES!AUX DE 
'IELECOMMID-'JCA1TONS ~"UMERJQt!ES PUBU~, ET EN P.uaJC17UER DV RESEAV NVMERIQtTE A 
1N'TEGRADON D.! SEJMCES ( RNlS ) rr DES RESEAUX NUNEIUQVES MOBa..ES PlJBUCS. 
1. Ligne budg~taire eoncem~ 
En 1990 : B 7700 
En 1991 et e.ser~ ultérieurs: BS-4010 
2. Base lfga.le 
Artide 100 A 
3. Proposition de da.ssificztion en dépense ohligatoire /non ohligatoire 
non -oblig:!toire 
4. Desgjption et justifica.tion de l'action : 
4.1. Ohiectifs:. assurer la protection d~s penonnes l r~d des doD.D6es l caract~re 
personne~ 
.. permettre la citallation tran.sfrontal.icre ckdonn&s a c::aractere personnel 
dans la Commnnaot~ 
• permettre le bon foncdonnement du m~ fDt&ieur. 
4.2. Réunions spidfiques du ¡roupe de protectioa des doon6es l caract~re 
penounel ( ArL 22 ) et du Comit~ CODSultatif (Art. 23 ), cri.é$ par la directive. 
repr6se:Dtant les Etats membres . 
-94 -
4.3. Un ~r&entant de la Co~ion pr!side le ¡rou.pe de protectioo des donn6es 1 
'cuactere persoMe! ~le Co"cii~ ~~tatif.l.e ~f~al1at du groupe et du Comité de 
protection des c~..n~ l ~ct~t'e f~ru'lel ·G:n ~m-t par les services de la 
Cc=unission. 
5. ¡; arure de !a dépense ..:t mgde de g]cgl : 
S.l. Nature : r6unions 
(frais de partidpatlon des membres des 2 Olmit& ) 
S.2. Ca1col: .. Or.Jupe d~ prote...~on des données: (d. fiche ñnanci~e d~ la dire::tive 
g~núale) 
:4 cmtbr-es ( gou-vecnementa.ux ) x 3 r~unions x 2 jours x 390 ECU jjour = 
56.160 ECTJ • 
6. L'1cidence ñnancier~ ci.: J'"~ctioo sur ls cré<Hts d'inte"ention : 
2 :Y93 : 56.1 &1 ECU 
1:194: 56.160 w 
1995 : 56.160 • 
1996 : 56.160 .. 
199i : 36.160- ,. 
6.2. Part du financement commn.nau:ta.ire dans le coO.t total: 100% 
-95 -
7. Observation~: 
l. Le groupe de protection des données l caract~e personnel (Art. 22 ): 
n est iDstitu! ce groupe l c:aract~e OJnSultatif et md6pendant et est compos6 de 
replilsentants de l'autoritt de contrOle de tous les Etats membres, pr&id~ par un 
représentant de la Commission. 
Ce groupe 6tablit son r~ement iD~~ur. Le secrétariat du groupe est UIW'6 par les 
aervices de la CollUIÜssion. 
~ons de ce ¡roupe : voir Art. 22 
2. Le Comit~ ccnsultatif ( Ait. 23) 
n est in.stitu~ UD Comft~ consu1tatif compos~ des repr~tants des Etats Membres, 
présid~ par le repr&entant de la Comm.ission. 
La Comm.ission est assist~ par ce Comit~ afin de prendre les ~entueDes mesures 
com~lémentaircs n"cessa ir es pour ac.apter les dispositions de la directive aux 
spécificité:s de certain:> sect.eun¡_ 
-96-
Recomendación de Decisión del ConseJo relativa a la apertura de 
negociaciones con vistas a la adhesión de la~; Caru1idades Europeas al 
Convenio del COnseJo de Europa sobre. protección de las personas 
c<ll respecto al trataniento aut011at 1 zado de los datos personales 
EXPOSICIÓN DE MOTIVOS: 
1. La protección de las personas frente al tratamiento de datos personales 
constituye tanto un derecho de la persona como una condición necesaria para 
el desarrollo del comercio Internacional. 
2. El tratamiento de datos de carácter personal es Indispensable para la 
realización de Intercambios Internacionales de bienes~ de servicios y para 
una colaboración más estrecha entre los paises. 
3. La Comisión ha presentado al Consejo una ·Propuesta de ·o1rectlva tendente a 
garantizar para el conjunto de la Comunidad un nivel de protección elevado de 
las personas frente al tratamiento de datos de carácter personal. Es deseable 
Que esta acción resulte complementada por otras Iniciativas destinadas a 
garantizar a las personas un nivel de protección eQuivalente para los casos 
de Intercambio de datos entre la Comunidad y terceros paises. 
4. En 1981, el Consejo de Europa adoptó un Convenio rel~tlvo a la protección 
de las personas frente al tratamiento automatizado de datos perso-
nales, cuyo objetivo es el de garantizar sobre el territorio de todas las 
partes signatarias y a toda persona flslca, Independientemente de su 
nacionalidad o residencia, el respeto de sus derechos y de sus libertades 
fundamentales, y en particular su derecho a la Intimidad frente al 
tratamiento automatizado de datos de carácter personal Que le pueda afectar. 
Este Convenio prevé también QUe una parte no puede, con el único fin de la 
protección de la Intimidad, prohibir o someter a autorización especial los 
flujos transfronterlzos de datos de carácter personal con destino al 
territorio de otra parte signataria. 
5. En su Recomendación de 29 de Julio de 1981, la Comisión Invitó a los 
Estados miembros de la Comunidad a ratificar el Convenio del Consejo de 
Europa sobre La protección de las personascon respecto al tratamiento 
automatizado de Los datos personales; en ella señalaba Que, si en un 
plazo de tiempo razonable, los Estados miembros no hablan procedido a firmar 
y a ratificar este Convenio, la Comisión se reservaba el derecho de proponer 
al Consejo la adopción de actos basados en el Tratado CEE. 
6. Hoy por hoy, no todos los Estados miembros de la Comunidad han ratificado 
dicho Convenlo(1). Resulta deseable y necesario Que la Comunidad se 
adhiera al Convenio para garantizar la protección y el tráfico 
t r ansf ron ter 1 zo de da tos de carácter persona 1 con ter ceros pa 1 ses y par a 
reforzar el atractivo del Convenio para aquel los de dichos paises deseosos de 
contar con un Intercambio de datos con la Comunidad en la mayor libertad 
posible. 
(1) Por lo Que respecta a los Estados miembros de la Comunidad, el Convenio 
(STE 108 de 28 de enero de 1981) ha sido firmado por Bélgica, Grecia, 
Irlanda, Italia, Paises Bajos y Portugal; y ha sido ratificado por Dinamarca, 
Franela, RFA, Luxemburgo, España y Reino Unido. 
Doc. nQ 6228/90/ES GM/rc 
-97-
7. En consecuencia, la Comisión recomienda al Consejo autorizar a la propia 
Comlsl6n a negociar, con el Consejo de Europa y las partes signatarias del 
Convenio sobre la protección de las personas con respecto al tratéJTiiento 
automatIzado de los rlatos persona les, un protocolo adicional Que 
permita a las Comunidades Europeas ser parte en este Convenio respecto a los 
ámbitos de su competencia. 
8. La Comisión dirigirá estas negociaciones consultando a los representantes 
de los Estados miembros y en el marco de las directrices Que figuran en el 
Anexo de la presente comunicación o de otras directrices dictadas 
eventualmente por el Consejo. 
9. Los Estados miembros de la Comunidad, miembros a su vez del Consejo de 
Europa, respaldarán plenamente la acción de la Comunidad durante el tiempo 
Que duren las negociaciones para la adhesión de la Comunidad Europea, cuando 
esta cuestión se plantee en los órganos del Consejo de Europa. 
Anexo: Directrices para las negociaciones 
Doc. n~ 6228/90/ES GM/rc 
-98-
ANEXO 
DIRECTRICES PARA LAS NEGOCIACIONES 
1. Mediante las negociaciones se procurará garantizar la conclusión de un 
protocolo adicional Que permita a la Comunidad ser parte en el Convenio en 
los ámbitos Que son de su competencia; para ello deberán respetarse los 
principios enumerados seguidamente: 
2. En el seno del Comité Consultivo creado en virtud del articulo 18 del 
Convenio, la Comunidad Europea estará representada en tanto Que miembro por 
la Comisión de las Comunidades Europeas. 
Previa coordinación comunitaria por Iniciativa de la Comisión, el 
representante de la Comunidad Europea dispondrá de un nUmero de votos 
eQuivalente a la suma de los votos de las delegaciones nacionales de los 
Estados miembros de la Comunidad Que sean partes signatarias del Convenio, 
para todas las cuestiones relacionadas con el tratamiento de datos de 
carácter personal en los ámbitos de competencia comunitaria. 
Par a todas 1 as demás cuest 1 ones, cada de 1 egac Ión nac 1 ona 1 d 1 spondr á de un· 
voto propio. 
3. Con el fin de permitir la entrada en vigor en un plazo razonable del 
protocolo adicional Que permita a la Comunidad ser parte en el Convenio, la 
Comtsl6n propondrá, con el respaldo de los Estados miembros, Que se Incluya 
en el texto del protocolo una disposición de "notificación negativa" 
(opttng out orocedyre) para la adopción del protocolo adicional. 
Doc. nQ 6228/90/ES GM/rc 
-w-
PROPUESTA DE DEOSIÓNDEL CONSEJO 
EN EL ÁMBITO DE lA SEGURIDAD DE lA INFORMAOÓN 
-100-
Lit información, l'n sus variadas formas, contribuye cada V<.'~. más a la riqueza de las personas, las empresas 
y las naciones. El crecimiento y la rentabilidad de aproximadamente dos tercios de la economía depende 
de una producción industrial o unos servicios basados en gran medida en la tecnología de la información, las 
telecomunicaciones y los medios audiovisuales, y, en consecuencia, depende críticamente de la exactitud, 
seguridad y 11 fiabilidad" de la información. Esto tiene una importancia y un interés tan grandes para las 
personas como para el comercio, la industria y las administraciones públicas. Por ello, la protección de la 
información en todos sus aspectos, denominada aqui • seguridad de la información* 1, se ha convertido en un 
tema político esencial que preocupa en todo el mundo. 
A lo largo de las últimas décadas se han producido importantes transformaciones, pero las que se avecinan 
pueden serlo aún más. Están desarrollándose los superordenadores de sobremesa, la radiodifusión directa 
vía satélite, la radiocomunicaciones móviles digitales, las comunicaciones integradas de banda ancha y 
otras aplicaciones de la tecnología que permitirán contar con unas comunicaciones móviles, económicas, de 
alto rendimiento y universales en una dimensión sin precedentes. El advenimiento de unas comunicaciones 
globales eficaces viene a subrayar la necesidad de contar con una "protección* adecuada en cuanto a 
disponibilidad del servicio, integridad de los mensajes y respeto de la intimidad, acorde con la previsible 
gravedad de la amenaza administrativa o técnica. 
El asunto es de gran importancia para el desarrollo socioeconómico de la Comunidad Europea y la 
realización del mercado interior en 1992. Un planteamiento coherente a nivel europeo debería 
simultáneamente crear una creciente sensación de confianza en el uso de la tecnología de la información y 
los servicios de telecomunicación y contribuir a evitar la formación de nuevos obstáculos entre Estados 
miembros o con terceros países. En consecuencia. urge examinar las necesidades y posibilidades de actuación 
a nivel comunitario en estrecha colaboración con los protagonistas del sector y los Estados miembros. 
Cualquier medida que se adopte debe tener presentes todos los aspectos técnicos, jurídicos y comerciales 
tanto nacionales como internacionales. Como la seguridad de la información incluye la protección no solo 
de las personas y los bienes, sino de la sociedad misma, los Estados miembros la consideran un tema que 
afecta a su soberarúa nacional. 
Al mismo tiempo, es imprescindible tanto para la Comunidad como para los Estados miembros que la 
seguridad de la información no se convierta en un traba para la promoción de un desarrollo armonioso en la 
Comunidad y para las relaciones con terceros países. La elaboración de un planteamiento armonizado de la 
seguridad de la información debe formar parte integrante de las medidas comunitarias relacionadas con el 
fortalecimiento de las realizaciones socioeconómicas de la Comunidad Europea, de su competitividad 
internacional y de la realización del mercado interior. 
Lo esencial es garantizar a los usuarios en general, las administraciones y los medios empresariales una 1 
seguridad efectiva y práctica de la información gestionada electrónicamente, sin por ello comprometer 
los intereses de la blación en eneral. 
La seguridad de la información (SI) se interesa por la protección de la información almacenada, 
tratada o transmitida electrónicamente frente a cualquier amenaza voluntaria o accidental. Los 
servicios de información electrónica exigen una infraestructura de telecomunicaciones segura. unas 
terminales seguras (incluidos procesadores y bases de datos) y una utilización segura. 
-~--·--~~ 
-101 -
Cualquier medida de alcance comunitario deberá suponer una concertación de esfuerzos tendente a 
establecer la tecnología, las normas, los procedimientos de verificación y certificación y los reglamentos 
(cuando proceda) necesarios en el marco comunitario de adopción de decisiones. 
La intención de la Comisisión es abrir un debate sobre la seguridad de la información con los protagonistas 
del sector en la Comunidad y llegar a un acuerdo sobre los pasos que deben darse. Este debate prodría 
iniciarse sobre la base de la declaración de principios y las líneas de actuación que figuran en el Anexo de 
la presente nota. En él, y dada las responsabilidades de los Estados miembros en este ámbito, es 
indispensable que la inciativa comunitaria se apoye en una estrecha colaboración con los altos funcionarios 
de los Estados miembros. 
En consecuencia, se propone que la Comisión sea asistida por un comité consultivo compuesto por 
representantes de los Estados miembros y presidido por el representante de la Comisión. El funcionamiento 
de este comité deberá reflejar las particularidades del sector. El comité recibirá el nombre de Grupo de 
Altos Funcionarios para la Seguridad de la Información (SOG-IS). 
El importantísimo tema de la protección de los datos personales se aborda en una propuesta de directiva 
que se presenta paralelamente a la presente comunicación. 
-102 -
A. La nueva sitl!ación y lA-importancia so.d-ªl~~nómica, estratégk~ :y_ política de la segu_ridª-d 
º~-~~_jtt_(Q_f!Th1._clón 
1. La gestión y utilización de la información por medio de la tecnología de la información y los 
servicios informáticos está invadiendo todas las esferas de la vida económica, social y política, y 
ha permitido la integración de actividades gracias a un sistema global de comunicaciones que 
conecta unidades de fabricación, centros de investigación, bases de datos, centros de cálculo, 
proveedores de servicios y centros de toma de decisiones políticas y económicas. 
2. Esta mayor integración de actividades independientes genera un valor añadido considerable 
expresado en ahorros o en aumento de la eficacia, constituyendo por tanto un factor clave en la 
competitividad internacional. Sin embargo, acentúa también la necesidad de proteger los intereses 
justificados de las personas, la población en general, el comercio, la industria, los operadores, los 
proveedores de servicios y las administraciones nacionales. 
3. Para que crezca el sector de los servicios, y con ello se produzcan inversiones en equipos electrónicos, 
telecomunicaciones, radiodifusión, equipos informáticos y terminales y una amplia gama de 
aplicaciones telemáticas, es necesario ofrecer un entorno europeo seguro para la información 
electrónica. Es necesaria la general aceptación y aprobación de todos los implicados para 
salvaguardar los intereses legítimos y evitar la utilización incorrecta o abusiva de la información, 
y debe conseguirse de una manera que sea al tiempo eficaz y adecuada para unos usuarios sometidos 
a sistemas jurídicos distintos. Además, los sistemas de seguridad de la información deben proteger 
la intimidad, la propiedad intelectual, la competencia leal, la seguridad nacional y otros 
intereses. 
4. Con la introducción de los microordenadores, la utilización de la tecnología de la información, las 
telecomunicaciones y la radiodifusión ha rebasado el ámbito profesional, convirtiéndose en una 
"'actividad de consumo" asociada a unos "'servicios de consumo". A este cambio cuantitativo ha 
acompañado otro cualitativo de gran importancia : las telecomunicaciones permiten actualmente el 
interfuncionamiento y la comunicación a escala global. 
5. En las últimas décadas se han producido importantes mutaciones, pero las que se avecinan pueden 
serlo aún más. Los superordenadores de sobremesa, la radiodifusión directa via satélite, la 
radiocomunicaciónes móviles digitales, las comunicaciones integradas de banda ancha y otras 
nuevas aplicaciones tecnológicas actualmente en desarrollo facilitarán unos medios de comunicación 
móviles, económicos, de alto rendimiento y universales a una dimensión sin precedentes. 
6. El advenimiento de unas comunicaciones eficaces y globales constituye un desafio cuantitativa y 
cualitativamente nuevo y exige suministrar una adecuada "'protección" en cuanto a disponibilidad 
de servicio, integridad de los mensajes e intimidad, acorde con la prevista gravedad de la amenaza 
administrativa o técnica. 
7. El creciente interés de la industria, la administración y la sociedad en conjunto por la utilización de 
los servicios de información los ha convertido en parte integrante del entramado fundamental de la 
vida cotidiana. La comunicación y el control en general, el control de procesos en la fabricación, el 
transporte, los servicios financieros, los sistemas ofimáticos, etc., exigen un grado de disponibilidad 
y robustez operativa no del todo previsto en el diseño original del servicio o componente. 
8. Se definirán y realizarán nuevas aplicaciones inviables con los marcos arquitéctonicos actuales. 
Puede resultar necesaria una redefinición radical de las normas de arquitectura y rendimiento 
(incluida la necesidad de garantizar la conformidad) relacionadas con los servicios y componentes 
subyacentes. 
-103 -
9. Habrá que crear nuevas disciplinas y organizaciones/ ocupaciones de apoyo para satisfacer estos 
niveles mas elevados de exigencias operativas. Sin embargo, las exigencias más importantes 
derivarán no de los cambios técnicos, sino de los culturales. La explotación global de los servicios de 
información apoyados en redes globales de telecomunicación modificará la forma en que la sociedad 
percibe las relaciones organizati vas 1 humanas. 
10. La comunicación se realizará cada vez en mayor medida a través de intermediarios, por ejemplo en 
varios niveles de servicios de valor añadido basados en la TI, o directamente previa aprobación 
del contacto por parte de los intermediarios. En tales situaciones deberán definirse explícitamente 
las obligaciones en el contexto de las relaciones organizativas, las autoridades o privilegios y 
numerosos (controles de calidad) sobre servicios o productos. En tal sociedad hay que procurar que 
los derechos de personas y organismos se vean debidamente reflejados en la legislación y los 
controles reglamentarios. Al mismo tiempo, las tecnologías deberán idearse y aplicarse de manera 
que satisfagan las exigencias de seguridad. 
B. Necesidad de tomar medidau nivel comunitario en colaboración con los Estados miembros 
11. Al estar en juego la protección de los bienes, las personas e incluso la sociedad, es evidente que la 
seguridad de la información es responsabilidad de los Estados miembros. Por motivos de defensa y 
de normal funcionamiento de sus instituciones, a todo Estado miembro le preocupa directamente la 
seguridad. Históricamente, estas preocupaciones nacionales de los gobiernos les han llevado a 
ejercer unas competencias sólidas y permanentes en materia de seguridad de la información y a 
controlar su tecnología y sus técnicas para evitar la difusión de informaciones delicadas. Aunque 
cada usuario debe ser responsable de elegir su propia seguridad, sus opciones dependen basicamente 
de garantías que, en última instancia, proceden de las autoridades públicas a través de, por 
ejemplo, las limitaciones legales que imponen. 
12. Las políticas y programas comunitarios orientados al desarrollo de las industrias de la información 
y la telecomunicación y a la consecución del mercado interior pueden verse gravemente 
obstaculizadas sino se adoptan medidas activas para la puesta en marcha, desarrollo y promoción 
de una normas de seguridad de los servicios de información. Para la Comunidad, resulta 
fundamental que la seguridad de la información no se convierta en una traba para el fomento del 
desarrollo armonioso dentro de la Comunidad y para las relaCiones con los demás países. La 
elaboración de un planteamiento armonizado de la seguridad de la información debe formar, como 
tal, parte integrante de las políticas comunitarias relacionadas con el robustecimiento del 
rendimiento socioeconómico y la competitividad internacional de la industria europea y con la 
realización del mercado interior. 
13. Más en concreto, debe implicar una concertación de esfuerzos para establecer las normas, los 
procedimientos de verificación y certificación, los desarrollos tecnológicos y los reglamentos 
(cuando proceda) necesarios en el marco del proceso comunitario de adopción de decisiones. Dado el 
carácter altamente técnico de los asuntos tratados, la concertación de esfuerzos exige la colaboración 
de las partes implicadas en la fase pre-competitiva de la I+D. 
14. La adopción de •normas abiertas" por los gobiernos (GOSIP en EE.UU. y el Reino Unido), la 
organización de defensa de Occidente (OTAN 1 NOSI), la industria de informática y 
telecomunicaciones y los operadores de red (normas OSI de la ISO) ha tenido como consecuencia el 
que se preste una mayor atención a los temas relacionados con la seguridad en los sistemas de 
información, arquitecturas, normas, protocolos de comunicaciones y técnicas de componentes. 
-104 -
15. Solamente un 2% aproximadamente de los servicios con que se contará en la Comunidad en el año 
2000 existen ya actualmente. En dicho año, los servicios podrán responder a las necesidades de los 
usuarios y ofrecer diversas características integradas en las que se combinarán la voz, los datos y la 
imagen de forma flexible. Al mismo tiempo, la satisfacción de las necesidades de seguridad de la 
información de los usuarios, tales como la protección de datos, la intimidad, la autenticación, la 
autorización, la facturación, etc., será mucho más difícil de garantizar. Por esta razón, es preciso 
desarrollar e investigar sistemáticamente la seguridad de la información y las características 
técnicas con ella relacionadas, tales como la integridad. Las autoridades estadounidenses están 
financiando programas sobre sistemas informáticos de confianza, arquitecturas de sistemas 
abiertos, protocolos y técnicas que acelerarán la aplicación de soluciones de seguridad patentadas 
en el colectivo de usuarios internacionales. Los Estados miembros deben preocuparse por participar 
en pie de igualdad en el proceso de normalización en este ámbito. Atenerse a una normalización de 
facto supondría el riesgo de crear nuevas dependencias tecnológicas que podrían obstaculizar 
gravemente la competitividad internacional de las economías comunitarias. De ahí la necesidad 
de efectuar los trabajos correspondientes en la Comunidad como requisito previo para una 
interacción constructiva con países extracomunitarios, en especial con Estados Unidos. 
16. En resumen, en función de sus responsabilidades respectivas, tanto la Comunidad como los Estados 
miembros tienen un gran interés en los siguientes temas clave : 
¿Cómo van a definirse y publicarse efectivamente las especificaciones y normas referentes a la 
seguridad de la información ? 
¿ Cómo se aplicarán la evaluación y certificación oficiales de la conformidad de productos y 
sistemas con las normas de seguridad (tanto a nivel de funcionalidad como de garantía) ? 
¿ Cómo se construirán, suministrán y utilizarán los productos y sistemas de seguridad? 
17. La seguridad de la información es un ejemplo típico de política a la que puede aplicarse el principio 
de subsidiariedad, dada la complejidad intrínseca del tema, la existencia de numerosos 
interesados y la necesidad de aplicar un abanico de instrumentos diferentes. Resulta esencial contar 
con un plan que diga qué hay que hacer, quién ha de hacerlo y cómo. Por una parte, los Estados 
miembros tienen que tratar estas cuestiones; por otra, la Comunidad tiene un gran interés en elaborar 
unas condiciones que garantizen la compatibilidad entre, por un lado, la realización del mercado 
interior, la consecución de la Europa de los ciudadanos, la aplicación de la política de 
telecomunicaciones y la competitivip.ad de las industrias comunitarias de electrónica y servicios de 
información electrónica y, por otro, la respuesta a las necesidades básicas de seguridad de la 
información que plantean los individuos y las empresas. En consecuencia, y para concentrar 
esfuerws, se proponen a continuación diversos tipos de medidas y estructuras de procedimiento como 
base para ulteriores estudios en profundidad que aclaren qué medidas deben tomarse a los distintos 
niveles. 
-105 -
Proouesta de Decisión del Con se jo 
en el ámbito 
de la seguridad de los sistemas 
de información 
EL CONSEJO DE LAS COMUNIDADES EUROPEAS, 
Visto el tratado constitutivo de la Comunidad Económica Europea y, en particular, su 
artículo 235, 
Vista la propuesta de la Comisión,! 
Visto el dictamen del Parlamento Europeo,2 
Visto el dictamen del Comité Económico y Social,3 
Considerando que la Comunidad ti ene por misión promover, mediante et establecimiento de lll mercadc 
común y la pr<YJresiva aproximación de las políticas económicas de los Estados miembros, 
un desarrollo armonioso de las actividades económicas en el conjunto de la Co­
munidad, una expansión continua y equilibrada, una estabi l i dad creciente, una elevación 
acelerad a del nivel de v i da y relaciones más estrechas entre los Estados q u.e la 
integran; 
Considerando que la información almacenada, tratada y transmitida por medios electrónicos 
desempeña un papel cada vez más importante en las actividades sociales y económicas; 
Considerando que la introducción de unas comunicaciones globales eficaces y la 
omnipresencia del tratamiento electrónico de la información acentúan la necesidad de contar 
con una protección adecuada para los usuarios; 
Considerando que el Parlamento Europeo ha subrayado repetidamente la importancia de la 
seguridad de los sistemas de información en sus deliberaciones y resoluciones; 
1 DO no. C .. . 
2 DO no. C .. . 
3 DO no. C .. . 
-1G6 -
Considerando que el Comité Económico y Social ha subrayado la necesidad de tomar medidas 
comunitarias que afecten a los asuntos relacionados con la seguridad de Los sistemas de infonnaéi6n, 
particularmente con vistas a las repercusiones de la realización del mercado interior; 
Considerando que es necesario crear una estrategia global de seguridad de Los sistemas de información 
para garantizar la seguridad del usuario a nivel comunitario y evitar la creación de nuevos 
obtáculos técnicos a Los i nter cambios; 
Considerando que la complejidad intrínseca de los temas relacionados con la seguridad de la 
información exige la aplicación dti principio de SLbsidiariedad/ La participación de diferentes partes 
interesadas en el sector y la aplicación concertada de diversas medidas; 
Considerando que las acciones llevadas a cabo a nivel nacional, internacional y 
comunitario representan una buena base; 
Considerando CJ,Je existe Lila estrecha reLaciá1 entre las telecaTU'licaciones, la normalización, el 
mercado de la información, las politicas de I+DT y los trabajos ya emprendidos en estos 
ámbitos por la Comunidad Europea; 
Considerando que conviene garantizar la concertación de esfuerzos apoyándose en los trabajos 
nacionales e internacionales ya existentes y fomentando la cooperación de los principales 
interesados; que, por tanto, conviene obrar en el marco de un plan de a e e i ón e o he rente; 
Considerando que la responsabilidad de los Estados Miembros en este ámbito supone un 
acercamiento concertado basado en la est re e ha e o Labora e i ón con al tos funcionarios 
de Los Estados miembros. 
-107 -
HA ADOPTADO LA PRESENTE DECISION: 
Articulo 1 
l. Se adopta un plan de acción en el ámbito de la seguridad de los sistemas de información (INFOSEC) 
por un periodo de 24 meses a partir de ( ]. 
2. El objetivo de dicho plé11 de acción es desarrollar lJ'la estrategia global terxEn'te a ootar a los 
usuarios de la información almacenada, tratada o transmitida por medios electrónicos, una 
protección de los sistemas de información frente-a amenazas accidentales o de­
liberadas. 
3. Dicha accién terdrá en cuenta y respaldará las actividades de normalización que se llevan 
a cabo en este ámbito en Europa y en el mundo. 
Articulo 2 
El plan de acción contemplado en el articulo 1 y cuyo detalle figura en el Anexo com­
prenderá las siguientes lineas de actuación: 
l. desarrollo de un marco estratégico para la seguridad de los sistemas de información; 
11. análisis de las necesidades en cuanto a seguridad de los sistemas de información; 
111. elaboración de soluciones para determinadas necesidades prioritarias; 
IV. el&>oración ·de especificaciones, normas y pruebas de validez en el árt>ito-de La seguridad de los sis-. 
temas de información; 
V. integración de los desarrollos tecnológicos y q:>erativos en materia de seguridaj de los sistemas 
de información en un marco estratégico general; 
VI. integración de determinadas funci~i\c<l:los~ridad en los sistemas de información. 
El plan de acción será aplicado por la Canisiá"\, en colaboraciá'l crnlos organismos y empresas 
afectados y en estrecha asociación con los Estados miembros. 
Articulo 4 
El importe de los créditos afectados a esta acción será fijado en el marco del 
procedimiento presupuestario anual. 
-108 -
Articulo 5 
La Comisión remitirá al Parlamento Europeo y al Consejo un informe sobre los resultados del 
plan de acción en un plazo de tres meses a partir de su terminación. 
Articulo 6 
Para la aplicación del ·plan, la Comisión consultará, según proceda, a un Grupo de Altos 
Funcionarios de Seguridad de los Sistanas de La Infonnaciál (SOO-IS>. Dicho 9rt..4X> estará carp.Jesto por 
dos representantes de cada Estado miembro y de la Comisión, y será presidido por un 
respresentante de la Comisión. 
En función de la naturaleza de los asuntos considerados, los Miembros del Grupo podrán 
estar asistidos por expertos o consejeros. 
Las deliberaciones del Grupo serán secretas. El Grupo adoptará su propio 
reglamento interno. La Comisión se hará cargo de La secretaria. 
Hecho en Bruselas, 
Por el Consejo 
-109 -
ANEXO 1 
Resumen de las lineas de actuación 
l. Línea 1 : Desarrollo de un marco estratégico -Pªra la~d de la ffifu_rmació_n 
1.1 Problema 
1. La seguridad de la información constituye, sin duda, un elemento omnipresente y necesario en la 
sociedad moderna. Los servicios de información electrónica exigen una infraestructura segura de 
telecomunicaciones, unas términales seguras (incluidos procesadores y bases de datos) y una 
utilización asimismo segura. Es preciso establecer una estrategia global que tenga en cuenta todos 
los aspectos de la seguridad de la información y evite un planteamiento fragmentado. Toda 
estrategia referida a la seguridad de la información tratada por medios electrónicos debe reflejar 
el deseo de cualquier sociedad de actuar con agilidad al tiempo que se protege en un mundo en 
rápida mutación. 
1.2 Objetivos 
2. Debe establecerse un marco orientado estrategicamente que reconcilie los objetivos sociales, 
económicos y políticos con las opciones técnicas, operativas y jurídicas. Es preciso que los 
protagonistas del sector, colaborando en el establecimiento de una percepción común y una 
estrategia convenida, encuentren el delicado equilibrio entre las diferentes preocupaciones, 
objetivos y restricciones. Este es un requisito previo para reconciliar intereses y necesidades tanto en 
la adopción de medidas como en los desarrollos industriales. 
1.3 Situación y tendencias 
3. La situación se caracteriza por una creciente conciencia de la necesidad de actuar. No obstante, en 
ausencia de una iniciativa de concertación de esfuerzos parece muy probable que los trabajos 
dispersos en diversos sectores creen de facto una situación contradictoria, desencadenando 
problemas jurídicos, sociales y económicos cada vez más graves. 
1.4 Requisitos. opciones y prioridades 
4. Este marco de cooperación tendrá que abordar y examinar el análisis y la gestión de los riesgos 
asociados con la vulnerabilidad de los servicios de información y afines, la armonización de las 
disposiciones legales y reglamentarias asociadas con el uso abusivo e incorrecto de los ordenadores y 
las telecomunicaciones, las infraestructuras administrativas, incluidas las medidas de seguridad y 
su efectiva aplicación por diversas industrias y disciplinas, y las preocupaciones sociales y de 
protección de la intimidad (p.ej., la aplicación de los sistemas de identificación, autenticación y 
posiblemente autorización en un entorno democrático). 
5. Es preciso aportar una orientación clara para el desarrollo de arquitecturas físicas y lógicas para 
unos servicios distribuidos de información seguros, normas, orientaciones y definiciones para unos 
productos y servicios de seguridad garantizados, modelos y prototipos que permitan comprobar la 
viabilidad de diversas estructuras administrativas, arquitecturas y normas relacionadas con las 
necesidades de sectores concretos. 
-110 -
6. Debe producirse una sensibilización con respecto a los temas de la seguridad para que aumente la 
preocupación de los usuarios por la seguridad en los sistemas de TI y telecomunicaciones. 
2. Línea 11 Requisitos de seg1U'idad de la información 
2.1 Problema 
7. La seguridad de la información es un requisito previo intrínseco para la protección de la intimidad, 
la propiedad intelectual, la confidencialidad de las relaciones comerciales y la seguridad 
nacional. Este hecho dificulta inevitablemente el equilibrio, y en ocasiones hay que decantarse de 
una u otra forma entre el compromiso con el libre comercio y el compromiso con la garantía de la 
intimidad y la propiedad intelectual. Estas opciones y compromisos tienen que basarse en una 
apreciación completa de las necesidades y de las repercusiones de las distintas opciones de 
seguridad de la información que pueden servir de respuesta. 
8. Las necesidades de los usuarios imponen unas funcionalidades de la seguridad de la información 
interdependientes con los aspectos tecnológicos, operativos y reglamentarios. En consecuencia, una 
invetigación sistemática de las necesidades en cuanto a seguridad de la información constituye un 
requisito esencial para la elaboración de medidas apropiadas y eficaces. 
2.2 Objetivos 
9. Determinar la naturaleza y características de las necesidades de los usuarios y sus relación con las 
medidas de seguridad de la información. 
u_ Situación y tendencias 
10. Hasta el presente, no se ha emprendido ningún trabajo concertado que permita averiguar cuáles son 
las necesidades, en rápida evolución y cambio, de los principales interesados en el sector de la 
seguridad de la información. Los Estados miembros de la Comunidad han señalado cuáles son las 
necesid~des en cuanto a la armonización de las actividades nacionales (especialmente de los 
•criterios de seguridad de la TI*). Reviste la mayor importancia contar con criterios y normas de 
evaluación uniformes para el reconocimiento mutuo de los resultados y certificados de evaluación. 
2.4. _Requisitos. opciones~prioridades 
11. Como base para un tratamiento coherente y transparente de las necesidades justificadas de los 
protagonistas del sector, se considera necesario elaborar una clasificación de las necesidades de los 
usuarios y de su relación con las medidas de seguridad de la información. 
12. Se considera también importante determinar cuáles son las necesidades en cuanto a legislación, 
reglamentos y códigos de prácticas a la luz de una valoración de las tendencias de las 
características del servicio y la tecnología, con vistas a encontrar distintas estrategias que 
permitan cumplir los objetivos mediante disposiciones administrativas, de servicio, operativas y 
técnicas y a valorar la eficacia, facilidad de uso y costes de las opciones y estrategias alternativas 
en materia de seguridad de la información para los usuarios, los suministradores de servicios y los 
operadores. 
------------ ----
-111 -
3.1 Problema 
13. En la actualidad es posible proteger adecuadamente los ordenadores del acceso no autorizado desde 
el exterior mediante 11 aislamiento", es decir, aplicando medidas convencionales de tipo 
organizativo y físico. Lo mismo cabe decir de las comunicaciones electrónicas dentro de un grupo 
cerrado de usuarios que trabaje con una red dedicada. La situación es muy distinta si la información 
la comparten grupos de usuarios o se intercambia a través de una red pública o de acceso general. No 
se cuenta normalmente con la tecnok·::::~-::, las terminales y los servicios ni con las normas y 
procedimientos relacionados para ofrecer una seguridad de la información comparable en estos 
casos. 
3 2 Objetivos 
14. El objetivo debe ser proporcionar, a corto plazo, soluciones que puedan responder a las necesidades 
más urgentes de los usuarios, con una apertura hacia futuras necesidades y soluciones. 
3.3 Situación y tendencias 
15. Algunos grupos de usuarios han creado técnicas y procedimientos para su uso específico que 
responden, en particular, a la necesidad de autenticación, integridad y no repudio. En general, se 
utilizan tarjetas magnéticas o tarjetas inteligentes. Otros utilizan técnicas de cifrado más o menos 
perfeccionadas, lo que a menudo implica la creación de 11 autoridades" específicas del grupo de 
usuarios. Sin embargo, resulta difícil generalizar estas técnicas y métodos para satisfacer las 
necesidades de un entorno abierto. 
16. La ISO está trabajando sobre la seguridad de la información en OSI (ISO DIS 7498-2) y el CCm en 
el contexto de X400. También es posible insertar segmentos de seguridad de la información en los 
mensajes. La autenticación, la integridad y el no repudio están estudiándose en el contexto de los 
mensajes (EDIFACT) y en el contexto de X400 MHS. 
17. En este momento, el marco jurídico del EDI se haya aún en fase de concepción. La Cámara de 
Comercio Internacional ha publicado unas orientaciones uniformes para el intercambio de datos 
comerciales a través de las redes de telecomunicación. 
18. Varios países (p.ej., RFA, Francia, Reino Unido y Estados Unidos) han elaborado o están 
elaborando criterios de evaluación de la fiabilidad de los productos y sistemas de TI y 
telecomunicaciones y los correspondientes procedimientos para realizar las evaluaciones. Estos 
criterios se han coordinado con los fabricantes nacionales y darán lugar a un número creciente de 
productos y sistemas fiables, partiendo de productos sencillos. El establecimiento de organizaciones 
nacionales que efectuén las evaluaciones y extiendan certificados vendrá a reforzar esta tendencia. 
19. La mayor parte de los usuarios consideran que la confidencialidad es de importancia menos 
inmediata. En el futuro, sin embargo, es probable que esta situación se modifique a medida que se 
generalicen los servicios avanzados de comunicación, y en particular los servicios móviles. 
3.4 Requisitos. opciones y prioridades 
20. Resulta esencial elaborar lo antes posible los procedimientos, normas, productos y herramientas 
necesarios para garantizar la seguridad de la información en las redes públicas de comunicaciones. 
Debe concederse una elevada prioridad a la autenticación, integridad y no repudio. Deben llevarse 
a cabo proyectos piloto para comprobar la validez de las soluciones propuestas. Las soluciones a las 
necesidades prioritarias planteadas por el EDI se estudian en ·el programa TEDIS, dentro del 
marco más general de este plan. 
-112 -
4. Línea -=-I___,V,____.______Especificación.~ normalizacióny_y~lficación para la~guridad de la infor~ión 
21. Las necesidades de seguridad de la información tienen carácter omnipresente y, en consecuencia, 
adquieren importancia crucial las especificaciones comunes y las normas. La ausencia de normas y 
especificaciones generalmente aceptadas puede constituir un importante obstáculo para la difusión 
de los procesos y servicios basados en información en toda la economía y la sociedad. Es preciso 
tomar medidas que permitan acelerar la elaboración y aplicación de la tecnología y las normas en 
diversas áreas relacionadas con las redes informáticas y de comunicaciones que son de suma 
importancia para los usuarios, la industria y las administraciones. 
4.2 Objetivos 
22. Hay que esforzarse por proporcionar medios de apoyar y ejecutar funciones específicas en las áreas 
generales de OSI, ONP, RDSI/CIBA, gestión de la red y seguridad de la red para caso de datos 
delicados, aunque no clasificados. Intrínsecamente relacionados con la normalización y la 
especificación se encuentran los planteamientos y técnicas necesarios para la verificación. 
4.3 Situación y tendencias 
23. Estados Unidos, en particuar, ha adoptado importantes inciativas con respecto al tema de la 
seguridad de la información en sectores no relacionados con la defensa. En Europa se trata en el 
contexto de la normalización de la TI y de las telecomunicacines en el marco del ETSI y el 
CEN 1 CENELEC, en preparación de los trabajos del CCIT y la ISO. 
24. Al aumentar el interés por el tema, se intensifica rápidamente el ritmo de los trabajos efectuados en 
este ámbito en los Estados Unidos, tanto por los vendedores como por los proveedores de servicios. En 
Europa, Francia, la RFA y el Reino Unido han iniciado actividades semejantes separadamente, 
pero un esfuerzo común comparable al de EE.UU. se apunta con gran lentitud. 
4.4 Requisitos. opciones y prioridades 
25. En el ámbito de la seguridad de la información la relación entre los aspectos reglamentarios, 
operativos, administrativos y técnicos es necesariamente muy estrecha. Es preciso que los 
reglamentos se vean reflejados en las normas y que las disposiciones sobre seguridad de la 
información se atengan de manera verificable a las normas y reglamentos. En varios aspectos, los 
reglamentos exigen unas especificaciones que se salen del ámbito convencional de la normalización, 
es decir, que incluyen códigos de prácticas. La necesidad de contar con normas y códigos de prácticas 
se extiende a todas las áreas de la seguridad de la información, y es preciso establecer una 
distinción entre las necesidades de protección que corresponden a los objetivos de seguridad y 
algunos de los requisitos técnicos que pueden confiarse a los organismos de normalización europeos 
competentes (CEN 1 CENELEC /ETSI). 
26. Las especificaciones y las normas deben abordar los temas de : servicios de seguridad de la 
información (autenticación personal y de empresa, protocolos de no repudio, pruebas electrónicas 
jurídicamente aceptables, control de la autorización), servicios de comunicación (intimidad de la 
comurucación de imágenes, intimidad en las comunicaciones móviles de voz y datos, protección de 
las bases de imágenes y datos, servicios de seguridad integrados), gestión de la seguridad y la 
comunicación (sistema de claves públicas/ privadas para funcionamiento de la red abierta, 
protección de la gestión de la red, protección de los proveedores de servicios) y certificación 
(criterios y niveles de garantía de la seguridad de la información, procedimientos de garantía de 
la seguridad). 
-113 -
5. Línea V : Desarrollos tecnológicos y operativos para la seguridad de la información 
5.1. Problema 
27. Una investigación y un desarrollo tecnológico sistemáticos que permitan llegar a soluciones 
económicamente viables y operativamente satisfactorias para diversas necesidades de seguridad 
de la información presentes y futuras constituyen un requisito previo para el desarrollo del mercado 
de servicios y para la competitividad de la economía europea en conjunto. 
28 Cualquier desarrollo tecnológico en el área de la seguridad de los sistemas de información tendrá 
que incluir tanto los aspectos de seguridad informática como de seguridad de las comunicaciones, ya 
que la mayor parte de los sistemas actuales son distribuidos y el acceso a tales sistemas se realiza a 
través de servicios de comunicación. 
5.2 Objetivos 
29. Efectuar una investigación y desarrollo tecnológico sistemáticos que permitan dar una solución 
económicamente viable y operat:vamente satisfactoria a una amplia gama de necesidades, 
presentes y futuras, en cuanto a la seguridad de la información. 
5.3 Requisito~pciones y prioridades 
30. Los trabajos sobre seguridad de la información deberán abordar las estrategias de desarrollo y 
aplicación, las correspondientes tecnologías y su integración y verificación. 
31. El trabajo estratégico de I+D deberá incluir modelos conceptuales de sistemas seguros en la medida 
de lo posible, modelos de requisitos funcionales, modelos de riesgo y arquitecturas de seguridad. 
32. La I+D de orientación tecnológica deberá incluir la autenticación de usuarios y mensajes (p.ej., 
mediante análisis de voz y firmas electrónicas), interfaces y protocolos técnicos de cifrado, 
mecanismos de control de acceso y métodos de implantación de sistemas, seguros y verificables. 
33. La verificación y validación de la seguridad del sistema técnico y su aplicabilidad se investigarán 
mediante proyectos de integración y verificación. 
34. Además de la consolidación y el desarrollo de la tecnología de la seguridad, se precisan diversas 
medidas complementarias relacionadas con la creación, mantenimiento y aplicación coherente de 
las normas y la validación y certificación de los productos de TI y telecomunicaciones con respecto a 
sus propiedades de seguridad, incluida la validación y certificación de los métodos de diseño e 
implantación de sistemas. 
35. Se utilizará el tercer programa marco comunitario de I+DT para fomentar la realización de 
proyectos en cooperación a niveles precompetivivo y prenormativo. 
-114 -
6. Línea V 1 ;__suministro de la ___.seguridad de la información 
36. Dependiendo de la naturaleza exacta de las características de seguridad de la información, habrá 
que incoporar las funciones necesarias en distintas partes de los sistemas de comunicación, 
incluyendo terminales y ordenadores, servicios, gestión de la red para dispositivos de cifrado, 
tarjetas inteligentes, claves públicas y privadas, etc. Algunas de ellQ..s podrán ir incoporadas a los 
soportes lógicos y físicos suministrados por los vendedores, mientras que otras formarán parte de los 
sitemas distribuidos (p.ej., la gestión de la red), estarán en posesión de los usuarios individuales 
(p.ej., las tarjetas inteligentes) o serán suministrados por una organización especializada (p.ej., las 
claves públicas y privadas). 
37. Cabe esperar que la mayor parte de los productos y servicios de seguridad de la información los 
suministren los vendedores, proveedores de servicios y operadores. Para determinadas funciones, 
p.ej., el suministro de claves públicas y privadas, la auditoría o la autorización, puede resultar 
necesario designar las organizaciones apropiadas y efectuar el correspondiente encargo. 
38. Lo mismo cabe decir de la certificación, evaluación y verificación de la calidad del servicio, que son 
funciones que tendrán que atender organizaciones independientes de los intereses de vendedores, 
proveedores de servicios y operadores. Estas organizaciones podrían ser privadas o públicas, o 
contar con la autorización de los gobiernos para actuar por delegación suya. 
6.2 Objetivos 
39. Para facilitar un desarrollo armonioso de la aplicación de la seguridad de la información en la 
Comunidad, con vistas a proteger los intereses de la población y las empresas, será necesario 
elaborar un planteamiento coherente de dicha aplicación. Cuando sea necesario formular encargos a 
organizaciones independientes, sus funciones y condiciones tendrán que ser definidas, aprobadas y, 
cuando proceda, incluidas en el marco reglamentario. El objetivo será llegar a un reparto de 
responsabilidades claramente definido y acordado entre los diferentes interesados a nivel 
comunitario, como requisito previo para el reconocimiento mutuo. 
6.3 Situación y tendencias 
40. En la actualidad, la seguridad de la información solo está bien organizada para determinadas 
áreas y limitada a la satisfación de necesidades específicas. La organización a nivel europeo rara 
vez es formal y el reconocimiento mutuo de la verificación y la certificación no existe aún fuera de 
ciertos grupos cerrados. Al adquirir mayor importancia la seguridad de la información, se acentúa 
la necesidad de definir un planteamiento coherente de la oferta de seguridad de la información en 
Europa e internacionalmente. 
M_ _ _Rgqffisj~_QJ2ciones y prioridades 
41. Dado el número de partes interesadas y la estrecha relación con las cuestiones de tipo 
reglamentario y legislativo, reviste especial importancia ponerse de acuerdo de antemano sobre los 
principios que deben regir la oferta de seguridad de la información. 
En la elaboración de un planteamiento coherente de este tema será necesario abordar aspectos de 
identificación y especificación de funciones que exigen, por su propia naturaleza, la participación 
de algún organismo independiente (o la colaboración de más de uno). Entre estas funciones podrían 
figurar la administración de un sistema de claves públicas/ privadas. Además, es necesario 
determinar y especificar desde los primeros momentos qué funciones deben confiarse, en aras del 
interés público, a un organismo independiente (o más de uno en colaboración). Entre ellas podrían 
figurar, por ejemplo, la auditoría, la garantía de calidad, la verificación, la certificación y 
funciones análogas. 
-115 -
Fn\ANCI.A.L STA TEMII'I 
Wona.atioa Se-curlty (INFOSEC) 
Preparatory Action 
BVDGET mADING 
Subseetion B6, Item 1104 
l. LEGAL BASE AND PROPOSED CLASSIFICATION 
Artiele [l35] 
Non compulsory ex.penditure. 
~. DtSCRIPTION 
Collabontion in the development or proposals and aetion.s rel.:u:in¡ to intormation 
securicy as far as they requ.ire or signiric:antly benefit f'rom a eoncened approac:h 
at Community level. The focus of the work 1s to relate to me needs or the 
genenl public, c:ommerce, servlce providers and administrations a.od ac1c1re.sses the 
requ.irements for a collaborating approach to technological research, 
stlDdard.isation and related i.ssues as relevant for the development or a eonsistent 
European approach to i.a.for.m.ation security with particular refereuce to the 
completion ot the interna.l market in 1992. 
The goal of the INFOS:EC action is to m.a.ke a major contri~ution to the objective 
of the · 
•de-relop."ffDtl of czction.s to prtrriding t//tcrz'Yt tznil praalcoJ StC'Ll1"1ty for 
informazion ~Id in an electronic /orm to the :enerQ/ u.sers. administraliOI'f.S DJZd 
bwintsl comntUllir.v wltlwul compromisin; the lnteral D/ rhe public QJ leur~. • 
The present proposal is the result or the prelimi.rw:y inve.stip.tions by expens, 
consultaticms &Dd on-¡oing related work. · 
The &cope of the prepan.tory actiOD is to f'oeus OD 
L development ot an in!ormaúou securlty stnte¡y framework 
n. mformation secu.rity requir~meuts m. tolutions for immed.iate ud interim ueck rv. specifications, standard.isation and verification or ÜÜOJ"JD2tion security 
V. leehJlolo¡ical and opentiol13l developmtAD for iD.fonnation sec:urity 
VI. intormation socuriey provision. 
-116 -
4. JUSTIJ'ICAnON 
.. :·. 
5.C.O Development oí a harmouised appr~Jacb to lnformation securiry must rorm an 
integml pan of t~c Communiry pollcies rela.ted to the completion of the mttmal 
Muket. s~n¡then.in& or socio-~onouüc performance and intmra.tior.:U 
compettttvtme:SS. It is viml that Ir.üormation Securlcy does not become a 
con.stn.i.nt to the promotion of harmonious developmeot in the Community and to 
rela.rlons wlth other countries. In addition, information securlcy systi!:IDS must 
proteet privacy, intell~ propeny, falr competiuon, national sec:urlty !..";1 
other intere;;~. 
Tht pr~posed actioD res¡:,vn~ to an urgent ueed to facilitate and 1cce~ ~.:.~;; 
emer¡ence oí aenerally aceeptcd, efiective and practicable measant :_ 
infOTmation socurlry. The action wDl beneCit f'rom. syner¡!es with aa-s(~~~ 
pro¡nm.me:s in the fieleS of .in!ormation technologles (ESPRII) t:Jó 
teleeommunlc::atlon.s (R..ACE) as well as the on-goh~! work on telecommanicxrinn.s, 
sta.Jldardisation a.nd in!ormatiou market pollcies. 
INDICATIVI FINANCIAL PLANNING 
lmp/icaiions for expendlture. 
Total cost o~-er the whole of the exptcted dumtion or 2 yean (in MioECU~ 
From ~e Dudget ':lf the Commanit.ies: 12.0 
From the other sectors at the nationallevet 0.0 
TOTAL 12.0 
-5 ·~•.l Multi-an.nual schedule CiD: MioECU): 
1 199! 
1 l ~;~ l 1993 Commitment 
.A "'r~,.Utiocs 
12 Payment · 
.. ~,~prcpritticns 
~. 
6 
2 
12 
T'hls e:t"ud.\tw-e ~O\ us the CommUJl.ir:y•s í~cial ct)l'l~-ibo..;:lo:1 to ~yt.ia.l 
~==~ :s :::;-..!::~ ::: ~~!=Ort Cl.~ .1evelop:netlt of s:;>ec!!ic ar:~~=.s ;::e~~ ·z:­
~o%l.!Ul~tion. c.d ~..s.bUJi.unent nt t:O'Pl.Sensus. 
-117 -
b) Cptl-ati:u:w expenditu:re 
Given the ract that the action is iU13llced in Sob$eCÓOD 6 of tbe budget devoted 
lO Research and Investmeut expenditure, adminlstntive costs (Comm.ittee and 
work.ing party meetings, c:oosalution of e.rperts, m.izions, document distnoution 
or dlssemlnation or techniques, use of data P~&, teleeommun.ication and 
broadcasticg ec¡wpment) en c:overed directly by the bndget item. 
Th.e foUowing table fives the ictficative breakdown vwer thc various cate¡ories of 
expenditare (in MioE.CU): 
1991 1992 
5.0.2 a) 4,123 41,100 
5.0.2 b) lll total 1,177 1,900 
or whicb bperts 0,400 0,600 
Other opention.al expenditu.re · 0.$00 0.715 
Infrastructure 0,050 0,100 
In!orma.tiou and publication o.o.so 0,100 
Statutory sta.ff 0.117 O.J1S 
6. FIN~'-:ClAL U.tPLICATIONS FOR STA.FF Al\1> CUilRENT AD~tTh"'STJlATIVE 
APPROPRLI\ TIONS 
The statutory researcb staff invoh:ed, i.e. S A, 1·B, t·C, will be entered in tbe 
researcb staff table and is p2.id out c•r the appropn.tions entered onto ltem B6--
8104. 
The administrative expenditure will 'be aovernec1 by the internal rules on mini­
budgets dccided by the Com..mls.sion on 2.2 May 1990. 
FINANCING OF EXPENDinJRE 
Tbe appropriation.s to co~er the Com.mu.rüty•s contn'Du.tion to this projeet Wl11 be 
determined in the context of the annual budgetary procedure. 
IMPLICAnONS FOR llEVENUE 
Contributioll o( the Statutory resea.rch Staff tO the retirement Kheme &nd the 
aidaless iosurance. 
-118 -
9. n'PE OF CONTROL 
-Acf.m.ini.s'tnljve control by the Director General for Fi.n.3.neial Control as 
regards budaet i.mplementation; 
Control oC achi~vemeot 
SOG-IS 
control by officials of tbe Commlssion 
audit by the Coun or Aud.itors in accordance with provisions of the 
Treaty; 
In accorda.nee with Artic:le 2 cf the F'11W1dal Reguladons, the ose oC 
approprlations wi.U be subject to ana.lyse.s of cost-effectlveness and the 
JUliw:ion or quantifjed objec:tivts wiÚ be morütored.