5. 11. 90 Diario Oficial de las Comunidades Europeas N° C 277/3 
Propuesta de Directiva del Consejo relativa a la protección de las personas en lo referente al 
tratamiento de datos personales 
COM(90) 314 final — SYN 288 
(Presentada por la Comisión el 27 de julio de 1990) 
(90/C 277/03) 
EL CONSEJO DE LAS COMUNIDADES EUROPEAS, (4) Considerando que el fortalecimiento de la coopera­
ción científica y técnica, junto con el establecimiento 
coordinado de nuevas redes de telecomunicaciones en 
la Comunidad, exigen y facilitan la circulación 
transfronteriza de datos personales; Visto el Tratado constitutivo de la Comunidad Económica 
Europea y, en particular, sus artículos 100 A y 113, 
Vista la propuesta de la Comisión, 
En cooperación con el Parlamento Europeo, 
Visto el dictamen del Comité Económico y Social, 
(1) Considerando que los objetivos de la Comunidad 
enunciados en el Tratado, en la versión dada al mismo 
por el Acta Única Europea, consisten en realizar una 
unión cada vez más estrecha entre los pueblos 
europeos, establecer relaciones más estrechas entre los 
Estados reunidos en la Comunidad, asegurar, median­
te una acción común, el progreso económico y social 
eliminando las barreras que dividen Europa, fomentar 
la continua mejora de las condiciones de vida de estos 
pueblos, consolidar la defensa de la paz y de la 
libertad, y promover la democracia basándose en los 
derechos fundamentales reconocidos en las constitu­
ciones y leyes de los Estados miembros y en el 
Convenio europeo para la protección de los derechos 
humanos y de las libertades fundamentales; 
(2) Considerando que el establecimiento y el funciona­
miento del mercado interior, dentro del cual estará 
garantizada, con arreglo al artículo 8 A del Tratado, la 
libre circulación de mercancías, personas, servicios y 
capitales, hacen necesaria no sólo la circulación de los 
datos personales, cualquiera que sea el Estado 
miembro en que se traten o soliciten, sino también la 
protección de los derechos fundamentales, habida 
cuenta de que en la Comunidad se viene registrando 
un número creciente de tratamientos de datos 
personales en los diferentes sectores de las actividades 
económicas y sociales; 
(3) Considerando que el mercado interior implicará un 
espacio sin fronteras; que, por esta razón, las 
administraciones nacionales de los diferentes Estados 
miembros, en aplicación del Derecho comunitario, se 
ven en la creciente necesidad de colaborar e intercam­
biar datos personales a fin de cumplir su misión y 
ejecutar diferentes cometidos por cuenta de las 
administraciones de otros Estados miembros; (5) Considerando que la diferencia entre los niveles de 
protección de la intimidad garantizados en los Estados 
miembros en lo referente al tratamiento de datos 
personales puede impedir la transmisión de dichos 
datos del territorio de un Estado miembro al de otro; 
que, por lo tanto, esta diferencia puede constituir un 
obstáculo al ejercicio de una serie de actividades 
económicas a escala comunitaria, falsear la competen­
cia y dificultar la misión de las administraciones que 
intervienen en el ámbito de aplicación del Derecho 
comunitario; que esta diferencia de grados de 
protección se debe a la disparidad existente entre las 
disposiciones legales, reglamentarias y administrati­
vas de los Estados miembros; 
(6) Considerando que, para eliminar los obstáculos a la 
circulación de datos personales, el nivel de protección 
de la intimidad debe ser, por lo que se refiere al 
tratamiento de esos datos, equivalente en todos los 
Estados miembros; que, para ello, es necesario 
aproximar las legislaciones aplicables en la materia; 
(7) Considerando que el objeto de las legislaciones 
nacionales relativas al tratamiento de datos personales 
consiste en asegurar el respeto de los derechos 
fundamentales, particularmente el derecho a la 
intimidad reconocido en el artículo 8 del Convenio 
para la protección de los derechos humanos y de las 
libertades fundamentales, así como en los principios 
generales del Derecho comunitario; que, por lo tanto, 
la aproximación de tales legislaciones no debe 
conducir a una disminución de la protección que éstas 
garantizan sino que, por el contrario, debe tener por 
objetivo asegurar un alto nivel de protección dentro de 
la Comunidad; 
(8) Considerando que los principios de la protección de la 
intimidad en lo referente al tratamiento de datos 
personales, que constituyen el objeto de la presente 
Directiva, podrán completarse o precisarse, especial­
mente en determinados sectores, mediante normas 
específicas conformes a dichos principios; 
(9) Considerando que los principios de la protección 
deben aplicarse a todos los ficheros siempre que las 
actividades del responsable del fichero entren dentro 
del ámbito de aplicación del Derecho comunitario; 
N° C 277/4 Diario Oficial de las Comunidades Europeas 5. 11. 90 
que los ficheros del sector público que no entren 
dentro del ámbito de aplicación del Derecho comuni­
tario deben estar sujetos a los mismos principios de 
protección recogidos en las legislaciones nacionales, 
como lo prevé la Resolución de los representantes de 
los Gobiernos de los Estados miembros de las 
Comunidades Europeas, reunidos en el seno del 
Consejo, de ...; que, no obstante, deben excluirse los 
ficheros relacionados exclusivamente con el ejercicio 
del derecho a la intimidad de un persona física, como, 
por ejemplo, los ficheros personales de direcciones; 
(10) Considerando que es necesario que todo tratamiento 
de datos personales efectuado en la Comunidad 
respete la legislación del Estado miembro en el que esté 
situado el fichero, a fin de que nadie quede privado de 
la protección que debe garantizársele en virtud de la 
presente Directiva; que, a este respecto, cada parte de 
un fichero repartido en diversos Estados miembros 
debe considerarse a todos los efectos como un fichero 
completo y su instalación en un tercer país no debe 
impedir la citada protección; 
(11) Considerando que todo tratamiento de datos persona­
les debe ser legítimo; que su legitimidad debe estar 
fundada en el consentimiento del interesado, en el 
Derecho comunitario o en las legislaciones nacio­
nales; 
(12) Considerando que las legislaciones nacionales pueden 
precisar, en las condiciones previstas en la presente 
Directiva, las normas relativas a la legitimidad del 
tratamiento; que, no obstante, esta posibilidad no 
puede servir de fundamento para el control por parte 
de un Estado miembro que no sea aquel en el que esté 
situado el fichero, habida cuenta de que la obligación 
de este último de garantizar, con arreglo a la presente 
Directiva, la protección de la intimidad en lo referente 
al tratamiento de datos personales es suficiente, por lo 
que se refiere al Derecho comunitario, para permitir la 
libre circulación de datos; 
(13) Considerando que los procedimientos de notificación, 
para los ficheros del sector público o privado, y de 
información en el momento de la primera comunica­
ción, para los ficheros del sector privado, tienen por 
objeto asegurar la transparencia indispensable para el 
ejercicio del derecho de acceso del interesado a los 
datos que le conciernen; 
(14) Considerando que el interesado debe recibir una 
información efectiva y completa cuando se solicite su 
consentimiento, dependiendo de ello su validez, y 
cuando se le soliciten datos sobre su persona; 
(15) Considerando que el interesado debe disfrutar del 
derecho de acceso a fin de comprobar la legitimidad 
del tratamiento de los datos que le conciernan, así 
como la calidad de éstos; (16) Considerando que, para ser objeto de tratamiento, los 
datos deben cumplir determinados requisitos; que el 
tratamiento de datos que por su misma naturaleza 
puedan atentar contra el derecho a la intimidad debe 
estar prohibido, salvo consentimiento explícito del 
interesado; que, no obstante, por importantes razones 
de interés público, en particular para la profesión 
médica, pueden establecerse excepciones sobre la base 
de una ley que fije precisa y estrictamente las 
condiciones y límites del tratamiento de este tipo de 
datos; 
(17) Considerando que, en lo referente a los datos 
personales, la protección de la intimidad exige la 
adopción de medidas de seguridad apropiadas, tanto 
en la fase de concepción del tratamiento como con 
relación a la tecnología de éste, a fin de impedir todo 
tratamiento no autorizado; 
(18) Considerando que, en el ámbito de los medios de 
comunicación, los Estados miembros pueden estable­
cer excepciones a las disposiciones de la presente 
Directiva siempre que estén encaminadas a conciliar el 
derecho a la intimidad con la libertad de información y 
el derecho a recibir y comunicar información, 
garantizado en el artículo 10 del Convenio para la 
protección de los derechos humanos y de las libertades 
fundamentales; 
(19) Considerando que los Estados miembros deben 
fomentar la elaboración por los medios profesionales 
de códigos deontológicos o de buena conducta 
europeos, para determinados sectores específicos; que 
la Comisión apoyará estas iniciativas y las tendrá en 
cuenta a la hora de examinar la conveniencia de 
adoptar nuevas medidas específicas para determina­
dos sectores; 
(20) Considerando que, en caso de incumplimiento de las 
disposiciones previstas en la presente Directiva, la 
responsabilidad debe recaer, en caso de interponerse 
una acción por daños y perjuicios, en el responsable 
del fichero; que deben aplicarse sanciones disuasivas a 
fin de garantizar una protección efectiva; 
(21) Considerando que es, asimismo, necesario permitir la 
transferencia de datos personales a terceros países que 
tengan un nivel de protección adecuado; que, a falta 
de tal protección, la presente Directiva prevé, en 
particular, procedimientos de negociación con dichos 
países; 
(22) Considerando que los principios contenidos en la 
presente Directiva concretan y amplían los del 
Convenio, de 28 de enero de 1981, del Consejo de 
Europa para la protección de las personas en lo 
referente al tratamiento automatizado de datos 
personales; 
(23) Considerando que la existencia de una autoridad de 
control independiente en cada Estado miembro es un 
elemento esencial de la protección de las personas en 
5. 11. 90 Diario Oficial de las Comunidades Europeas N° C 277/5 
lo referente al tratamiento de datos personales; que, a 
nivel comunitario, debe crearse un Grupo de protec­
ción de datos personales, que ejerza sus funciones con 
total independencia; que, habida cuenta de su carácter 
específico, debe asesorar a la Comisión y contribuir a 
la aplicación homogénea de las normas nacionales 
adoptadas en aplicación de la presente Directiva; 
(24) Considerando que la adopción de medidas comple­
mentarias para la aplicación de los principios de la 
presente Directiva exige la atribución a la Comisión de 
facultades reglamentarias y el establecimiento de un 
Comité consultivo con arreglo a las normas estableci­
das en la Decisión 87/373/CEE del Consejo (!). 
HA ADOPTADO LA PRESENTE DIRECTIVA: 
CAPÍTULO I 
DISPOSICIONES GENERALES 
Artículo 1 
Objeto de la Directiva 
1. Los Estados miembros garantizarán, con arreglo a las 
disposiciones de la presente Directiva, la protección de la 
intimidad de las personas en lo referente al tratamiento de 
los datos personales contenidos en ficheros. 
2. Los Estados miembros no podrán restringir o prohibir 
la libre circulación de datos personales entre los Estados 
miembros por motivos relacionados con la protección 
asegurada en virtud del apartado 1. 
Artículo 2 
Definiciones 
A efectos de la presente Directiva, se entenderá por: 
a) «datos personales», toda información sobre una 
persona natural identificada o identificable («el 
interesado »); se considerará identificable toda persona 
cuya identidad pueda determinarse mediante un 
número de identificación u otra información similar; 
b) «procedimiento de disociación» (anónimo), toda 
modificación de datos personales cuyo objeto sea que la 
información contenida en éstos no pueda seguir 
asociándose con una persona física determinada o 
determinable, o únicamente pueda asociarse a tal 
persona a expensas de una inversión excesiva de tiempo 
y recursos humanos y económicos; 
c) « fichero de datos personales » (fichero), todo conjunto 
de datos personales, centralizados o repartidos en 
(!) DO n° L 197 de 18. 7. 1987, p. 33. diversos emplazamientos, que sean objeto de un 
tratamiento automatizado o que, sin serlo, estén 
estructurados y sean accesibles dentro de una recopila­
ción organizada según criterios determinados con 
objeto de facilitar su utilización o interconexión; 
d) «tratamiento », las siguientes operaciones, efectuadas o 
no mediante procedimientos automatizados: registro, 
conservación, interconexión, modificación, utilización 
y comunicación de datos, en particular, su transmisión, 
difusión y extracción, así como su bloqueo y supresión; 
e) « responsable del fichero », la persona natural o jurídica, 
autoridad pública, servicio o cualquier otro organismo 
que, con arreglo al Derecho Comunitario o a la 
legislación de un Estado miembro, sea competente para 
decidir la finalidad del fichero, qué categorías de datos 
personales deben registrarse, qué operaciones deben 
aplicárseles a éstos y a qué terceros está permitido el 
acceso a los mismos; 
f) «autoridad de control», aquella autoridad pública 
independiente, o cualquier otra instancia independien­
te, designada por cada uno de los Estados miembros de 
conformidad con el artículo 26 de la presente Directiva; 
g) «sector público», el conjunto de las administraciones, 
organismos y entidades de un Estado miembro sujetos al 
Derecho público (con excepción de aquellas que 
participen en una actividad industrial o comercial) y los 
organismos y entidades de Derecho privado que 
participen en el ejercicio de la autoridad pública; 
h) «sector privado», toda persona natural o jurídica, o 
asociación (administraciones, organizaciones y entida­
des del sector público inclusive), en la medida en que 
ejerza una actividad industrial o comercial. 
Artículo 3 
Ámbito de aplicación 
1. Los Estados miembros aplicarán las disposiciones de la 
presente Directiva a los ficheros del sector privado y del 
sector público, con excepción de los ficheros del sector 
público cuyas actividades no estén comprendidas en el 
ámbito de aplicación del Derecho comunitario. 
2. Las disposiciones de la presente Directiva no se 
aplicarán a los siguientes ficheros: 
a) aquellos pertenecientes a una persona natural con fines 
exclusivamente privados y personales, ni a 
b) aquellos pertenecientes a asociaciones sin ánimo de 
lucro, especialmente, las de carácter político, filosófico, 
religioso, cultural, sindical, deportivo o recreativo y que 
se utilicen en el marco de finalidades legítimas, a 
condición de que se refieran únicamente a los socios y 
N° C 277/6 Diario Oficial de las Comunidades Europeas 5. 11. 90 
miembros correspondientes de la asociación que hayan 
accedido a figurar en dichos ficheros y siempre que no 
sean comunicados a terceros. 
Artículo 4 
Derecho aplicable 
1. Los Estados miembros aplicarán las disposiciones de la 
presente Directiva a: 
a) todos los ficheros existentes en su territorio; 
b) los responsables de los ficheros que residan en su 
territorio y desde éste utilicen ficheros de un tercer país 
cuya legislación no ofrezca un nivel de protección 
adecuado, salvo que utilicen dichos ficheros de manera 
esporádica. 
2. Los Estados miembros aplicarán las disposiciones de 
los artículos 5, 6, 8, 9, 10, 17, 18 y 21 a los usuarios que 
consulten un fichero situado en un país tercero por medio 
de un terminal sito en el territorio de un Estado miembro, 
salvo que dicha utilización tenga carácter esporádico. 
3. Los Estados miembros no podrán oponerse a la 
introducción temporal en su territorio de un fichero 
procedente de otro Estado miembro ni exigir más 
formalidades que las aplicables en el Estado miembro en 
que el fichero en cuestión tenga su ubicación permanente. 
CAPÍTULO II 
LEGITIMIDAD DEL TRATAMIENTO 
EN EL SECTOR PÚBLICO 
Artículo 5 
Principios 
1. Sin perjuicio de las disposiciones del artículo 6, los 
Estados miembros preverán en su legislación, respecto a los 
ficheros del sector público: 
a) que se consideren legítimos el establecimiento de un 
fichero y cualquier otro tratamiento de datos personales 
cuando sean necesarios para la ejecución de los 
cometidos de la autoridad pública responsable del 
fichero; 
b) que se considere legítimo el tratamiento de datos con 
una finalidad distinta de aquélla para la que se haya 
establecido el fichero cuando: 
— el interesado dé su consentimiento, 
— el tratamiento se efectúe sobre la base del Derecho 
comunitario, de una ley o de un acto adoptado en 
aplicación de una ley de un Estado miembro 
conforme a la presente Directiva y que autorice 
dicho tratamiento y fije sus límites, 
— a ese cambio de finalidad no se oponga un interés 
legítimo del interesado, o — sea necesario a fin de prevenir una amenaza 
inminente al orden público o una violación grave de 
los derechos de terceros. 
Artículo 6 
Tratamiento en el sector público para la comunicación 
de datos personales 
1. Los Estados miembros preverán en su legislación que la 
comunicación de datos personales contenidos en ficheros 
de una entidad del sector público únicamente sea legítima: 
a) cuando sea necesaria para el ejercicio de las funciones de 
la entidad del sector público que comunique o que 
solicite la comunicación de esos datos, o 
b) a petición de una persona natural o jurídica del sector 
privado que invoque un interés legítimo, a condición de 
que no prevalezca el interés del interesado. 
2. Sin perjuicio de las disposiciones contempladas en el 
apartado 1, los Estados miembros podrán precisar las 
condiciones que determinen la legitimidad de la comunica­
ción de datos personales. 
3. En los casos contemplados en la letra b) del apartado 1 
los Estados miembros dispondrán en su legislación que el 
responsable del fichero informe a los interesados de la 
comunicación de los datos personales. No obstante, los 
Estados miembros podrán prever la sustitución de dicha 
obligación de informar a los interesados por una autoriza­
ción previa de la autoridad de control. 
Artículo 7 
Obligación de notificación a la autoridad de control 
1. Los Estados miembros preverán en su legislación que el 
establecimiento de un fichero del sector público cuyos 
datos personales puedan ser comunicados sea notificado 
previamente a efectos de su inscripción en un registro de la 
autoridad de control. Este registro podrá ser consultado 
por cualquier persona. 
2. Los Estados miembros determinarán qué informacio­
nes deban notificarse a la autoridad de control. Estas 
informaciones incluirán, al menos, el nombre y dirección 
del responsable del fichero, la finalidad del mismo, una 
descripción de los tipos de datos que contenga, los terceros 
que puedan recibir los datos y una descripción de las 
medidas adoptadas en aplicación del artículo 18. 
3. Los Estados miembros podrán prever que las normas 
de los apartados 1 y 2 se apliquen a otros ficheros del sector 
público y que pueda limitarse la consulta del registro por 
las razones mencionadas en el apartado 1 del artículo 15. 
5. 11. 90 Diario Oficial de las Comunidades Europeas N° C 277/7 
CAPÍTULO III 
LEGITIMIDAD DEL TRATAMIENTO 
EN EL SECTOR PRIVADO 
Artículo 8 
Principios 
1. Los Estados miembros preverán en su legislación que, 
sin el consentimiento del interesado, el registro en un 
fichero y cualquier otro tratamiento de datos personales 
sólo sean legítimos si se ajustan a las disposiciones de la 
presente Directiva y si: 
a) se efectúan con arreglo a un contrato celebrado con el 
interesado o al amparo de una relación de confianza casi 
contractual con éste y, además, son necesarios para el 
cumplimiento del contrato; o 
b) los datos provienen de fuentes generalmente accesibles 
para el público y su tratamiento tiene como única 
finalidad la correspondencia; o 
c) el responsable del fichero defiende un interés legítimo 
sobre el que no prevalezca el interés del interesado. 
2. Los Estados miembros preverán en su legislación que 
incumba al responsable del fichero asegurarse de la 
compatibilidad de las comunicaciones con la finalidad de 
dicho fichero, y de que éstas no afectan al orden público. En 
caso de consulta en línea, el usuario estará sujeto a las 
mismas obligaciones. 
3. Sin perjuicio de las disposiciones contempladas en el 
apartado 1, los Estados miembros podrán precisar las 
condiciones que determinen la legitimidad del tratamiento 
de datos personales. 
Artículo 9 
Obligación de informar al interesado 
1. Por lo que se refiere al sector privado, los Estados 
miembros dispondrán en su legislación que, en el momento 
de la primera comunicación o cuando se plantee una 
posibilidad de consulta en línea, el responsable informe de 
ello al interesado y le indique, asimismo, la finalidad del 
fichero, el tipo de datos que contiene y su nombre y 
dirección. 
2. En el caso previsto en la letra b) del apartado 1 del 
artículo 8 no será obligatoria la información prevista en el 
apartado 1. Tampoco habrá obligación de informar 
cuando la comunicación venga impuesta por imperativo 
legal. 
3. Si el interesado se opone a la comunicación o a 
cualquier otro tratamiento, el responsable del fichero 
deberá interrumpir el tratamiento impugnado, salvo que lo 
autorice una disposición legal. Artículo 10 
Excepciones especiales a la obligación 
de informar al interesado 
Si el cumplimiento de la obligación de informar al 
interesado, contemplada en el apartado 1 del artículo 9, 
resultase imposible o exigiese esfuerzos desproporciona­
dos, o tropezase con intereses legítimos y prioritarios del 
responsable del fichero o con un interés similar de un 
tercero, los Estados miembros podrán disponer en su 
legislación que la autoridad de control esté facultada para 
autorizar una excepción. 
Artículo 11 
Obligación de notificación a la autoridad de control 
1. Los Estados miembros preverán en su legislación que el 
responsable de un fichero de datos personales notifique la 
creación de éste cuando los datos se destinen a ser 
comunicados y no provengan de fuentes generalmente 
accesibles para el público. La notificación deberá ir dirigida 
a la autoridad de control del Estado miembro en el que esté 
situado el fichero o, cuando no esté ubicado en un Estado 
miembro, a la autoridad de control del Estado miembro en 
que resida el responsable del fichero. Éste deberá notificar a 
las autoridades nacionales competentes todo cambio de 
finalidad del fichero o de su dirección. 
2. Los Estados miembros determinarán qué información 
debe notificarse a la autoridad de control. Esta información 
deberá incluir, al menos, el nombre y dirección del 
responsable del fichero, su finalidad, una descripción de los 
tipos de datos que contenga, los terceros que puedan recibir 
los datos y una descripción de las medidas adoptadas en 
aplicación del artículo 18. 
3. Los Estados miembros podrán establecer que las 
disposiciones del aparatado 1 y 2 se apliquen a otros 
ficheros del sector privado y que el público tenga acceso a la 
información contemplada en el apartado 2. 
CAPÍTULO IV 
DERECHOS DEL INTERESADO 
Artículo 12 
Consentimiento informado 
El consentimiento del interesado para el tratamiento de 
datos personales que le conciernan, tal como se define en la 
presente Directiva, únicamente será válido cuando: 
a) el interesado disponga de la siguiente información: 
— fines del fichero y tipos de datos registrados; 
N° C 277/8 Diario Oficial de las Comunidades Europeas 5. 11. 90 
— tipo de utilización y, en su caso, destinatarios de los 
datos personales contenidos en el fichero; 
— nombre y dirección del responsable del fichero; 
b) el consentimiento sea específico y expreso y precise qué 
tipos de datos, formas de tratamiento y posibles 
destinatarios abarca; 
c) pueda ser revocado por el interesado en todo momento 
sin efectos retroactivos. 
Artículo 13 
Información en el momento de la recogida de datos 
1. Los Estados miembros garantizarán a las personas de 
las que se soliciten datos personales el derecho a ser 
informadas, al menos sobre: 
a) los fines del fichero al que vaya destinada la informa­
ción, 
b) el carácter obligatorio o facultativo de su respuesta a las 
preguntas que les sean planteadas, 
c) las consecuencias que para ellas podría acarrear una 
falta de respuesta, 
d) los destinatarios de la información, 
e) la existencia del derecho de acceso y de rectificación de 
los datos que les conciernan y 
f) el nombre y la dirección del responsable del fichero. 
2. Las disposiciones del apartado 1 no se aplicarán a la 
recogida de datos cuando la información al interesado 
impida el cumplimiento de las funciones de control y de 
verificación de una autoridad pública o el mantenimiento 
del orden público. 
Artículo 14 
Derechos complementarios del interesado 
Los Estados miembros reconocerán al interesado los 
siguientes derechos: 
1. A oponerse, por razones legítimas, a que los datos 
personales que le conciernan sean objeto de trata­
miento. 
2. A no tener que someterse a ninguna decisión adminis­
trativa o privada que implique una apreciación de su 
comportamiento fundada únicamente en un tratamien­
to automatizado de datos personales que dé una 
definición de su perfil o de su personalidad. 3. A conocer la existencia de un fichero y sus finalidades 
principales, así como la identidad y residencia habitual, 
domicilio social o establecimiento del responsable del 
fichero. 
4. A obtener, con una frecuencia razonable y sin esperas ni 
gastos excesivos, la confirmación de la existencia o 
inexistencia en un fichero de datos personales que le 
conciernan, así como, en su caso, la comunicación de 
esos datos en forma inteligible. 
Los Estados miembros podrán prever que el derecho de 
acceso a los datos de carácter médico únicamente pueda 
ejercerse por mediación de un médico. 
5. A obtener, en su caso, la rectificación de los datos en 
cuestión o su supresión o bloqueo cuando su tratamien­
to no se ajuste a lo dispuesto en la presente Directiva. 
6. A obtener, previa petición, la supresión gratuita de los 
datos que le conciernan registrados en ficheros de 
prospección comercial o publicitaria. 
7. En caso de aplicación del apartado 5 del presente 
artículo y si los datos han sido comunicados a terceros, a 
obtener la notificación a éstos de la rectificación, 
supresión o bloqueo de dichos datos. 
8. A disponer de una vía de recurso judicial en caso de 
violación de los derechos garantizados en el presente 
artículo. 
Artículo 15 
Excepciones al derecho de acceso del interesado a los 
ficheros del sector público 
1. Los Estados miembros podrán limitar por ley los 
derechos previstos en los puntos 3 y 4 del artículo 14 por 
motivos relacionados con: 
a) la seguridad del Estado, 
b) la defensa, 
c) actuaciones penales, 
d) la seguridad pública, 
e) un interés económico y financiero imperativo, debida­
mente justificado, de un Estado miembro o de la 
Comunidad, 
f) la necesidad de ejercer funciones de control o de 
inspección de la autoridad pública, o 
g) un derecho equivalente de otra persona y derechos y 
libertades de terceros. 
2. En los supuestos contemplados en el apartado 1, la 
autoridad de control deberá proceder, a petición del 
interesado, a las verificaciones del fichero que sean 
necesarias. 
5. 11. 90 Diario Oficial de las Comunidades Europeas N° C 277/9 
3. Los Estados miembros podrán limitar el derecho del 
interesado a acceder a aquellos datos que hayan sido 
recopilados temporalmente a fin de obtener informaciones 
estadísticas. 
CAPÍTULO V 
CALIDAD DE LOS DATOS 
Artículo 16 
Principios 
1. Los Estados miembros preverán que: 
a) la recogida y el tratamiento de datos personales se 
efectúen de forma lícita y leal; 
b) los datos sean registrados con fines determinados, 
explícitos y legítimos y utilizados de manera compatible 
con dichos fines; 
c) los datos sean adecuados, pertinentes y no excesivos con 
relación a los fines para los que se registren; 
d) los datos sean exactos y, cuando sea necesario, se 
actualicen; los datos inexactos o incompletos deberán 
ser suprimidos o rectificados; 
e) los datos no sean conservados en una forma que permita 
la identificación del interesado durante un período 
superior al necesario para los fines para los que se hayan 
registrado. 
2. Incumbirá a los responsables del fichero garantizar el 
respeto de las disposiciones previstas en el apartado 1. 
Artículo 17 
Categorías especiales de datos 
1. Salvo acuerdo libre, expreso y escrito del interesado, 
los Estados miembros prohibirán el tratamiento automati­
zado de datos que revelen el origen racial y étnico, la 
opinión política, las convicciones religiosas o filosóficas, 
las afiliaciones sindicales, así como las informaciones 
relacionadas con la salud y la vida sexual. 
2. Por motivos importantes de interés público, los 
Estados miembros podrán establecer excepciones a las 
disposiciones del apartado 1 sobre la base de una ley en la 
que se precisen los tipos de datos que puedan ser 
registrados, las personas que tengan acceso al fichero y las 
garantías apropiadas contra los usos abusivos y el acceso 
no autorizado. 
3. Los datos relativos a condenas penales únicamente 
podrán conservarse en ficheros del sector público. Artículo 18 
Seguridad de los datos 
1. Los Estados miembros preverán en su legislación que el 
responsable del fichero esté obligado a adoptar las medidas 
técnicas y de organización necesarias para la protección del 
fichero contra su destrucción, accidental o no autorizada, 
así como contra la pérdida accidental, la alteración o el 
acceso y cualquier otro tratamiento no autorizado de datos 
personales. 
Estas medidas deberán asegurar para los ficheros automati­
zados un nivel de seguridad apropiado, habida cuenta, por 
una parte, de los progresos técnicos en la materia y del coste 
de la aplicación de éstos y, por otra parte, de la naturaleza 
de los datos que deban protegerse y de la evaluación de los 
riesgos potenciales. A tal fin, el responsable del fichero 
deberá tomar en consideración las recomendaciones en 
materia de seguridad informática y de interoperabilidad de 
las redes elaboradas por la Comisión con arreglo a las 
normas previstas en el artículo 29. 
2. Para la transmisión de datos personales dentro de una 
red deberán elegirse métodos que garanticen un grado 
adecuado de seguridad. 
3. Para las consultas en línea, las instalaciones técnicas y 
los soportes lógicos deberán estar concebidos de manera 
que las consultas se realicen dentro de los límites de la 
autorización concedida por el responsable del fichero. 
4. Las obligaciones contempladas en los apartados 1 a 3 
incumbirán igualmente a las personas que, de hecho o por 
contrato, tengan el control de las operaciones relacionadas 
con un fichero. 
5. Las personas que, por sus actividades profesionales, 
accedan a informaciones contenidas en ficheros no podrán 
comunicarlas a terceros sin autorización del responsable 
del fichero. 
CAPÍTULO VI 
DISPOSICIONES ESPECÍFICAS 
PARA DETERMINADOS SECTORES 
Artículo 19 
Los Estados miembros podrán establecer, para los 
organismos de prensa y del sector audiovisual, excepciones 
a las disposiciones de la presente Directiva, en la medida en 
que sean necesarias para conciliar el derecho a la intimidad 
con las normas que rigen la libertad de información y la de 
prensa. 
Artículo 20 
Los Estados miembros instarán a los medios profesionales 
a participar en la elaboración de códigos deontológicos o de 
N°C 277/10 Diario Oficial de las Comunidades Europeas 5. 11. 90 
buena conducta europeos para determinados sectores, 
sobre la base de los principios contenidos en la presente 
Directiva. 
CAPÍTULO VII 
RESPONSABILIDAD Y SANCIONES 
Artículo 21 
Responsabilidad 
1. Los Estados miembros preverán en su legislación que 
toda persona cuyos datos personales estén registrados en 
un fichero y que haya resultado perjudicada por el 
tratamiento de éstos o por una acción incompatible con las 
disposiciones de la presente Directiva tenga derecho a 
demandar al responsable del fichero por daños y perjuicios. 
2. Los Estados miembros podrán establecer que no se 
imputen al responsable del fichero los daños ocasionados 
por la pérdida o destrucción de datos de éste o por un 
acceso no autorizado al mismo, cuando demuestre haber 
adoptado las medidas apropiadas para cumplir los 
requisitos mencionados en los artículos 18 y 22. 
Artículo 22 
Tratamiento por cuenta del responsable del fichero 
1. Los Estados miembros dispondrán en su legislación 
que el responsable del fichero garantice, en caso de 
tratamiento por su cuenta, el respeto de las medidas de 
seguridad y de organización necesarias, y elija a una 
persona o una empresa que ofrezca garantías suficientes al 
respecto. 
2. Las personas que recojan o traten datos personales por 
cuenta del responsable del fichero deberán cumplir las 
obligaciones previstas en los artículos 16 y 18 de la presente 
Directiva. 
3. El contrato deberá ser escrito y deberá estipular, en 
particular, que el destinatario de los datos personales o sus 
empleados únicamente pueden divulgar dichos datos 
previa autorización del responsable del fichero. 
Artículo 23 
Sanciones 
Los Estados miembros preverán en su legislación la 
aplicación de sanciones disuasivas a fin de garantizar el 
cumplimiento de las normas adoptadas en aplicación de la 
presente Directiva. CAPÍTULO VIH 
TRANSFERENCIA DE DATOS PERSONALES 
A TERCEROS PAÍSES 
Artículo 24 
Principios 
1. Los Estados miembros preverán en su legislación que la 
transferencia a un tercer país, temporal o definitiva, de 
datos personales que sean objeto de tratamiento o hayan 
sido reunidos con objeto de someterlos a tal tratamiento 
únicamente pueda efectuarse cuando el tercer país 
garantice un nivel de protección adecuado. 
2. Los Estados miembros informarán a la Comisión de 
los casos en que un tercer país receptor no garantice un 
nivel de protección adecuado. 
3. Cuando la Comisión compruebe, bien sobre la base de 
las informaciones de los Estados miembros, bien a partir de 
otras informaciones, que un tercer Estado no dispone de un 
nivel de protección adecuado y que la situación que de ello 
se deriva es perjudicial para los intereses de la Comunidad o 
de un Estado miembro, podrá entablar negociaciones con 
vistas a remediar esta situación. 
4. La Comisión estará facultada para decidir, con arreglo 
al procedimiento definido en el apartado 2 del artículo 30 
de la presente Directiva, si un tercer país garantiza un nivel 
de protección adecuado en consideración a los compromi­
sos internacionales suscritos por éste o a su legislación 
interna. 
5. Las medidas adoptadas en virtud del presente artículo 
se ajustarán a las obligaciones que la Comunidad haya 
contraído en virtud de acuerdos internacionales, tanto 
bilaterales como multilaterales, sobre la protección de las 
personas en materia de tratamiento automatizado de datos 
personales. 
Artículo 25 
Excepciones 
1. Previa presentación por el responsable del fichero de 
una justificación suficiente para garantizar el respeto de un 
nivel de protección adecuado, un Estado miembro podrá 
establecer una excepción a las disposiciones del apartado 1 
del artículo 24 con respecto a una exportación determina­
da. No obstante, el Estado miembro únicamente podrá 
hacer tal excepción tras haber informado a la Comisión y a 
los Estados miembros y si ninguno de éstos ni aquélla 
manifiestan su oposición en un plazo de diez días. 
2. En caso de manifestarse tal oposición, la Comisión 
adoptará las medidas apropiadas con arreglo al procedi­
miento definido en el apartado 2 del artículo 30. 
5. 11. 90 Diario Oficial de las Comunidades Europeas N°C 277/11 
CAPÍTULO IX 
AUTORIDAD DE CONTROL Y GRUPO DE PROTECCIÓN 
DE DATOS PERSONALES 
Artículo 26 
Autoridad de control 
1. Los Estados miembros velarán por que una autoridad 
independiente competente se encargue del control de la 
protección de los datos personales. Esta autoridad 
controlará la aplicación de las disposiciones nacionales 
adoptadas en virtud de la presente Directiva y ejercerá 
todas las funciones que ésta le asigna. 
2. Esta autoridad dispondrá de los medios de investiga­
ción y del poder efectivo de intervenir contra la creación y 
explotación de ficheros que no se ajusten a las disposiciones 
de la presente Directiva. A tal fin, tendrá acceso a los 
ficheros a los que se aplique la presente Directiva y podrá 
recabar toda la información necesaria para el cumplimien­
to de su misión de control. 
3. Cualquier persona podrá someter a dicha autoridad 
quejas o reclamacions relativas a la protección de las 
personas en lo referente a los datos personales. 
Artículo 27 
Grupo de protección de datos personales 
1. Se crea un Grupo de protección de datos personales. 
Este Grupo, de carácter consultivo e independiente, estará 
compuesto por representantes de la autoridad de control, 
prevista en el artículo 26, de todos los Estados miembros, y 
estará presidido por un representante de la Comisión. 
2. Los servicios de la Comisión se harán cargo de la 
secretaría del Grupo de protección de datos personales. 
3. El Grupo de protección de datos personales establecerá 
su propio reglamento de régimen interior. 
4. El Grupo de protección de datos personales examinará 
los asuntos incluidos en el orden del día por su presidente, 
bien por iniciativa de éste, bien a petición motivada de un 
representante de las autoridades de control; dichos asuntos 
se referirán a la aplicación de las disposiciones del Derecho 
comunitario en materia de protección de datos personales. 
Artículo 28 
Funciones del Grupo de protección de datos personales 
1. El Grupo de protección de datos personales tendrá las 
siguientes funciones : a) contribuir a la interpretación homogénea de las normas 
nacionales adoptadas en aplicación de la presente 
Directiva; 
b) emitir un dictamen sobre el nivel de protección existente 
dentro de la Comunidad y en terceros países; 
c) asesorar a la Comisión sobre proyectos de medidas 
complementarias o específicas que deban adoptarse 
para garantizar la protección de la intimidad. 
2. El Grupo de protección de datos personales informará 
a la Comisión de toda divergencia grave que compruebe 
entre la legislación y las prácticas de los Estados miembros 
en materia de protección de datos personales, y que puedan 
poner en peligro la equivalencia de la protección dentro de 
la Comunidad. 
3. El Grupo de protección de datos personales podrá 
emitir recomendaciones sobre todos los asuntos relaciona­
dos con la protección de las personas en lo referente a los 
datos personales dentro de la Comunidad. Las recomenda­
ciones constarán en acta y podrán transmitirse al Comité 
consultivo mencionado en el artículo 30. La Comisión 
informará al Grupo de protección de datos personales del 
curso dado a sus recomendaciones. 
4. El Grupo de protección de datos personales elaborará 
un informe anual sobre el estado de la protección de las 
personas en lo referente al tratamiento de datos personales 
dentro de la Comunidad y en los terceros países, y lo 
comunicará a la Comisión. 
CAPÍTULO X 
POTESTAD REGLAMENTARIA DE LA COMISIÓN 
Artículo 29 
Ejercicio de la potestad reglamentaria 
Con arreglo al procedimiento previsto en el apartado 2 del 
artículo 30, la Comisión adoptará las normas técnicas 
necesarias para aplicar la presente Directiva a las 
características específicas de determinados sectores, 
atendiendo a los progresos técnicos en la materia y a los 
códigos de buena conducta. 
Artículo 30 
Comité consultivo 
1. La Comisión estará asistidda por un Comité consultivo 
compuesto por representantes de los Estados miembros y 
presidido por el representante de la Comisión. 
2. El representante de la Comisión someterá al Comité un 
proyecto de las medidas que deban adoptarse. El Comité 
emitirá su dictamen sobre dicho proyecto en un plazo que el 
N°C 277/12 Diario Oficial de las Comunidades Europeas 5. 11. 90 
presidente podrá fijar en función de la urgencia del asunto, 
procediendo, en su caso, a una votación. El dictamen se 
incluirá en el acta; además, cada Estado miembro tendrá 
derecho a solicitar que su posición conste en acta. La 
Comisión tendrá en cuenta, en la mayor medida posible, el 
dictamen emitido por el Comité. Informará al Comité de la 
manera en que ha tenido en cuenta dicho dictamen. 
DISPOSICIONES FINALES 
Artículo 31 
1. Los Estados miembros adoptarán las disposiciones 
legales, reglamentarias y administrativas necesarias para 
cumplir la presente Directiva, a más tardar el 1 de enero de 
1993. 
Las disposiciones adoptadas en virtud del párrafo primero 
se referirán explícitamente a la presente Directiva. 2. Los Estados miembros comunicarán a la Comisión el 
texto de las disposiciones de Derecho interno que adopten 
en el ámbito regulado por la presente Directiva. 
Artículo 32 
La Comisión presentará periódicamente al Consejo y al 
Parlamento Europeo un informe sobre la aplicación de la 
presente Directiva, acompañado, en su caso, de las 
oportunas propuestas de modificación. 
Artículo 33 
Los destinatarios de la presente Directiva serán los Estados 
miembros. 
Propuesta de Directiva del Consejo relativa a la protección de los datos personales y de la intimidad 
en relación con las redes públicas digitales de telecomunicación y, en particular, la red digital de 
servicios integrados (RDSI) y las redes móviles digitales públicas 
COM(90) 314 final — SYN 288 
(Presentada por la Comisión el 27 de julio de 1990) 
(90/C 277/04) 
EL CONSEJO DE LAS COMUNIDADES EUROPEAS, 
Visto el Tratado constitutivo de la Comunidad Económica 
Europea y, en particular, su artículo 100 A, 
Vista la propuesta de la Comisión, 
En cooperación del Parlamento Europeo, 
Visto el dictamen del Comité Económico y Social, servicios y equipos de telecomunicación de aquí a 
1992 i1), el Consejo abogó por la adopción de medidas 
para la protección de los datos personales, con objeto 
de crear un marco adecuado para el futuro desarrollo 
de las telecomunicaciones dentro de la Comunidad; 
que el Consejo ha vuelto insistir en la importancia que 
reviste la protección de los datos personales y de la 
intimidad en su Resolución, de 18 de julio de 1989, 
sobre una mayor coordinación en la introducción de la 
red digital de servicios integrados (RDSI) en la 
Comunidad (2); 
(!) Considerando que la Directiva del Consejo ... relativa 
a la protección de las personas en lo referente al 
tratamiento de datos personales preconiza que los 
Estados miembros garanticen la protección de la 
intimidad de las personas; 
(2) Considerando que en la actualidad la aparición de 
nuevas redes telefónicas digitales públicas, de avanza­
da tecnología, está creando necesidades específicas en 
materia de protección de datos personales y de la 
intimidad de los usuarios; (5) Considerando que el Parlamento Europeo ha subraya­
do la importancia de proteger los datos pesonales y la 
intimidad en las redes de telecomunicación, especial­
mente en relación con la introducción de la red digital 
de servicios integrados (RDSI) (3) (4) (5); 
(6) Considerando que la Recomendación 81/679/CEE de 
la Comisión hace un llamamiento a los Estados 
(3) Considerando que ello es especialmente aplicable a la 
introducción de la red digital de servicios integrados 
(RDSI) y de las redes móviles digitales públicas; 
(4) Considerando que, en su Resolución de 30 de junio de 
1988 sobre el desarrollo del mercado común de los (!) DO n° C 257 de 4. 10. 1988, p. 1. 
(2) DO n° C 196 de 1. 8. 1989, p. 4. 
(3) DO n° C 7 de 12. 1. 1987, p. 334. 
(4) DO n° C 12 de 16. 1. 1989, p. 69. 
(s) DO n° C 12 de 16. 1. 1989, p. 66.