Source: EURLEX
Language: es
Format: md

### **COMISION DE LAS COMUNIDADES EUROPEAS**

COM(90) 314 final                             - SYN 288

Bruselas, 24 de septiembre de 1990

COMUNICACIÓN PE LA COMISIÓN
sobre la protección de las personas en lo referente al tratamiento
de datos personales en la Comunidad _y_ a la seguridad de
los sistemas de Información

Propuesta de SYN 287
DIRECTIVA PEL CONSEJO
relativa a la protección de las personas en lo referente al
tratamiento de datos personales

Proyecto de
RESOLUCIÓN DE LOS REPRESENTANTES DE LOS GOBIERNOS DE LOS ESTADOS

MIEMBROS DE LAS COMUNIDADES EUROPEAS, REUNIDOS EN EL SENO DEL

CONSEJO

DECLARACIÓN DE LA COMISIÓN
relativa a la apl lcaclón a las Instituciones _y_ organismos de
las Comunidades Europeas de los principios de la Directiva del Consejo
relativa a la protección de las personas en lo referente al
tratamiento de datos personales

Propuesta de SYN 288
PIBECIIVA DEL CONSEJO
relativa a la protección de los datos personales _y_ de la Intimidad

en relación con las redes públ leas digitales de telecomunicación
y, en particular, la red digital de servicios Integrados (BDSI)

_y_ las redes m6vl les digitales públ leas

Recomendación de
PECISIÓN PEL CONSEJO
relativa a la apertura de negociaciones con vistas a la adhesión
de las Comunidades Europeas al Convenio del ConseJo de Europa
sobre la protección de las personas con respecto al tratamiento
automatizado de los datos personales

Propuesta de
PECISIÓN PEL CONSEJO

en el ámbito de la seguridad de la Información

                               - 2 

Comunicación de la Comisión
sobre la protección de las personas
en lo réferente al tratamiento de datos personales en la Comunidad
_Y_ a la seguridad de los sistemas de Información

l. INTRODUCCIÓN

1. La utilización cada vez más frecuente del tratamiento de datos
personales en todas las facetas de las actividades económicas y
sociales, unida a las nuevas necesidades de Intercambio de datos
derivados de la Intensificación de la construcción comunitaria, hacen

Indispensable la aplicación en la Comunidad de medidas enderezadas a
garantizar la protección de las personas en lo referente al tratamiento
de datos personales y a reforzar la seguridad de los tratamientos de
datos, especialmente, en el contexto del desarrollo de las redes
abiertas de telecomunicaciones.

2. Efectivamente, en un momento en que los progresos de las
tecnologfas de la Información facl 1 ltan considerablemente el
tratamiento _y_ el Intercambio de datos de todo tipo, en la Comunidad el
estado actual de la protección de las personas en lo referente a ese
tratamiento se caracteriza por la diversidad de enfoques nacionales. En

los años setenta, las preocupaciones por la protección de las personas
en lo referente al tratamiento de datos personales impulsaron a un
proceso legislativo en varios Estados miembros encaminado a limitar y
regular la utilización de este tipo de datos. Con todo, actualmente
sólo siete Estados miembros poseen legislación especifica en la
materia. Por añadidura, aunque tienen los mismos objetivos, sus
legislaciones adoptan a veces soluciones divergentes, por ejemplo, en
la cuestión del ámbito de aplicación (Inclusión o exclusión de los
ficheros manuales, protección de las personas juridlcas) o en la de las
condiciones previas al tratamiento (alcance de la obl lgaclón de
notificación, Información en el momento de la recogida, tratamiento de
datos sensibles).

3. Por ene lma de 1 n 1 ve 1 na e lona 1, aparte de 1 a Recomenda e Ión de 1
Consejo de la OCDE, de 23 de septiembre de 1980, sobre las directrices
que rigen la protección de la Intimidad y las transferencias
transfronterlzas de datos personales, el ónlco· Instrumento de Derecho

Internacional existente en este ámbito es el Convenio del Consejo de
Europa, de 28 de enero de 1981, sobre protección de las personas en lo
referente al tratamiento automatizado de datos personales. Pero este
Convento permite elegir entre un gran número de opciones para la
aplicación de los principios básicos que define y, además, sólo ha sido
ratificado por siete Estados miembros, de los cuales uno todavla no se
ha dotado de legislación Interna en la materia.

                             - 3 

4. Ante esta situación, han sido varias las manifestaciones de
InQuietud registradas en la Comunidad. El Parlamento Europeo ha
adoptado desde 1976 varias resoluclones<1> en las Que expresa su
InQuietud por dicha cuestión e Invita a la Comisión a preparar una
propuesta de directiva por la QUe se armonicen las legislaciones en
materia de protección de datos personales.

5. Por su parte, en una Recomendación de 29 de julio de 1981, la
Comisión subrayaba el carácter de derecho fundamental de dicha
protección y la conveniencia de 1 legar a una armonización en este campo
en todos los Estados miembros. Asimismo, recomendaba a los Estados
miembros Que ratificasen, antes de finales de 1982, el Convenio del
Consejo de Europa, de 28 de enero de 1981, sobre proteccIón de 1 as
personas en lo referente al tratamiento automatizado de datos
personales. No obstante, se precisaba Que 11 SI en un lapso de tiempo

razonable todos los Estados miembros no firman y ratifican dicho
Conven lo, 1 a Com 1 s Ión se reserva e 1 derecho a proponer a 1 Consejo 1 a
adopción de un acto fundado en el Tratado CEE ...

6. La diversidad de enfoQues nacionales y la ausencia de un sistema de
protección a escala comunitaria constituyen un obstáculo a la
re a 1 1 zac Ión de 1 mercado 1 nter 1 or. En efecto, s 1 1 os derechos
fundamentales de los Interesados, en particular el derecho a la
Intimidad, no se garantizan a nivel comunitario, puede verse
entorpecido el intercambio transfronterlzo de datos, Que se ha hecho
Indispensable para las actividades de las empresas y de los organismos
de Investigación y para la colaboración entre las administraciones de
los Estados miembros en el marco del espacio sin fronteras contemplado
en el articulo 8 A del Tratado. Por ello, recientemente el Consejo
Europeo de Estrasburgo de los dlas 8 y 9 de diciembre de 1989 destacó,
al dlscut Ir ciertas medidas en favor de la libre circulación de las
personas y de la Europa de los ciudadanos, la necesidad .. de velar por
Que la cooperación entre las administraciones garantice previamente la
protección de los ciudadanos por lo QUe se refiere a la utl 1 lzaclón de
los bancos de datos personales ...

7. La definición de un enfoQue comunitario en materia de protección de
las personas en lo referente al tratamiento de datos personales también
constituye un reQuisito esencial para el desarrollo de la Industria de
la Informática y de los servicios telemáticos de gran valor añadido. La
1 nt roducc Ión r áp 1 da de d 1 spos 1 e 1 ones armon 1 zadas sobre proteccIón de
datos y de la Intimidad en el contexto de las redes digitales de
telecomunicaciones resulta Indispensable para la real lzaclón del
mercado Interior de los eQuipos y servicios de telecomunicación.

8. Por otra parte, la penetración de la Informática en todas las
esferas de las actividades económicas y la aparición de sistemas de
comunicación globales QUe facilitan la Integración de diversas
act 1 v 1 dades const 1 tuyen un nuevo reto Que hace necesar 1 a una
.. protección .. adaptada a los riesgos derivados de posibles fallos
técnicos o humanos, accidentales o voluntarios. La eficacia de la
seguridad de los sistemas de Información se erige, pues, en elemento
esencial para garantizar una protección efectiva de la Intimidad y
preservar la Integridad del rico patrimonio Que constituyen hoy dla los
datos registrados y transmitidos electrónicamente. Las polltlcas y los

(1) DO nQ ~~e~~ 100 de 3.5.1976, pág. 27; DO nQ e 140 de 5.6.1979, P~ 34;
DO nQ e 87 de 5.4.1982, p. 39.

                            - 4 

programas comunitarios para el desarrollo de las Industrias de la
Información y de la telecomunicación y la realización del mercado
Interior podrlan verse gravemente dificultados si no se adopta una
polltlca activa de creación, desarrollo y fomento de normas de
seguridad para los sistemas de Información. VIsto Que actualmente las
telecomunicaciones permiten los Intercambios de datos a escala
planetaria, dicha polltlca debe tener en cuenta tal dimensión mundial.
Además, resu 1 ta esenc 1 a 1 Que 1 as po 11 t 1 cas nac lona 1 es en mater 1 a de
seguridad de la Información no se conviertan en un obstáculo a la
promoción del desarrollo armonioso de la Comunidad ni a las relaciones
con terceros paises.

11. ENFOQUE PROPUESTO

9. El enfoQue propuesto tiene por objetivo garantizar un alto nivel de
protección mediante un sistema comunitario de protección basado en una
serie de medidas mutuamente complementarlas.

A Un alto nivel de protección

10. Habida cuenta de QUe las legislaciones nacionales tienen por objeto
garantizar los derechos fundamentales de las pesonas, en particular el
derecho a la Intimidad, y QUe la propia Comunidad ha expresado su
compromiso con los derechos fundamentales, concretamente en el párrafo
tercero del preámbulo del Acta Única Europea, las medidas Que adopte la
Comunidad no deben tener por efecto la disminución del nivel de
protección sino, antes bien, garantizar un alto nivel en toda la
Comunidad. Es posible, de este modo, garantizar un alto nivel de
protección eQuivalente en todos los Estados miembros de la Comunidad y,
al mismo tiempo, suprimir los obstáculos al establecimiento del mercado
Interior con arreglo al articulo 100 A.

11. Como complemento del acercamiento a un elevado nivel de los
derechos reconocidos a las personas es Indispensable el lanzamiento de
una polltlca activa en materia de seguridad de los sistemas de
Información. Esta seguridad tiene una Importancia capital para las
personas, el comercio, la Industria y las administraciones públ leas. En
este sentido, resulta vital garantizar una seguridad eficaz y práctica
de la Información almacenada electrónicamente, sin Que el lo suponga la
creación de nuevos obstáculos técnicos entre los Estados miembros o con
respecto a terceros paises. Para ello, es necesario examinar a nivel
comunitario las necesidades y las posibles opciones en colaboración
estrecha con los agentes económicos y responsables del sector y de los
Estados miembros.

B Un enfoaue global

12. Para establecer en la Comunidad un sistema de protección de las
personas en lo referente al tratamiento de datos personales, resulta
necesario adoptar diversas medidas Que abarQuen los diferentes aspectos
de esta cuestión.

13. A nlyel Interior, aparte de una directiva-marco por la Que se
aproximan determinadas disposiciones legislativas, reglamentarias y
administrativas de los Estados miembros relativas a la protección de
las personas en lo referente al tratamiento de datos personales
(Directiva general), Que constituye el elemento central del sistema de
protección, también se propone un conjunto de medidas complementarias a
fin de garantizar una protección lo más completa posible. Aunque cada

                  - 5 

una de las medidas propuestas corresponde a una situación especifica,
todas emanan de los mismos principios de protección contenidos en la
Dlrect lva general. Asl, una Resolución de los representantes de los
Gobiernos de los Estados miembros reunidos en el seno del Consejo _y_ una
declaración de la Comisión tienen por objeto extender la apl lcaclón de
los principios de la Directiva a los ficheros que no entran dentro del
campo de apl lcaclón de ésta. De Igual modo, es necesaria una directiva
sectorial en el contexto de las redes públicas digitales de
telecomunicaciones. Por último, la seguridad de los sistemas de
Información requiere un plan de acción comunitaria.

14. A nlyel exterior, la Comunidad Europea debe promover, en los foros
en que participa, la apl lcaclón de disposiciones de protección
adecuadas _y_ ha de apoyar apoyar los esfuerzos emprendidos por el
Consejo de Europa en la materia. En este sentido, seria de desear que

la Comunidad entablase negociaciones con vistas a su adhesión al
Convenio 108 del Consejo de Europa.

Estas propuestas no pueden disociarse entre si sin poner en pel lgro la
homogeneidad _y_ la coherencia del sistema de protección propuesto.

###### e presentación de las proouestas

15. La oroouesta de Directiva general tiene por objetivo establecer una
protección equivalente de alto nivel en todos los Estados miembros de

la Comunidad a fIn de eliminar los obstáculos a los Intercambios de
datos necesarios para el funcionamiento del mercado Interior. Para
el lo, los Estados miembros deben garantizar los principios enunciados
en el proyecto de propuesta de Directiva. Estos principios se refieren,
en particular, a las condiciones que determinan la legitimidad del
tratamiento de datos personales, a los derechos del Interesado (derecho
de Información, acceso, rectificación, oposición, etc.), a la cal ldad
de los datos (deben ser exactos, han de recogerse 1 lcltamente,
registrarse con fines determinados _y_ legltlmos, etc.) _y_ a la creación
de un Grupo de Protección de Datos Personales que asesore a la Comisión
en cuestIones de proteccIón de datos. E 1 proyecto de propuesta de
Directiva Incluye los ficheros del sector privado _y_ públ leo cuyas
act 1 v 1 da des estén sujetas a 1 Derecho Comun 1 tar 1 o. Dado que todas 1 as
personas gozarán en cada uno de los Estados miembros de una protección
equivalente de alto nivel en lo referente al tratamiento de datos
personales, los Estados miembros no podrán Imponer restricciones a la
circulación de dichos datos dentro de la Comunidad Invocando la
protección del Interesado.

16. E 1 proyecto de Beso 1 uc Ión de 1 os representantes de 1 os Esta dos
miembros de las Comunidades Europeas, reunidos en el seno del Consejo,

tiene por objetivo hacer extensivos los principios de la Directiva
general a los ficheros del sector públ leo que no estén Incluidos en su
ámbito de aplicación, esto es, a los de las administraciones cuyas
actividades no estén sujetas al Derecho Comunitario. En efecto, para
mayor coherencia, seria conveniente someter a los mismos principios de
protección a todos los ficheros de las diferentes administraciones,

Incluso a aquel los que no entren dentro del ámbito de apl lcaclón de la
Directiva general. Con este fin, los Estados miembros deben
comprometerse a Iniciar los procedimientos legislativos nacionales
necesarios.

                                - 6 

17. La oeclaraclón de la Comisión relativa a la aollcaclón de las
dlsooslclones de la Directiva general a las Instituciones y organismos
de la Comunidad pone de manifiesto el deseo de la Comisión de que los
principios de la Directiva se apl lquen a las Instituciones y organismos
de la Comunidad. Esta Declaración establece que la Comisión adoptará y
propondrá las medidas necesarias al respecto e Indica que mientras
tanto la Comisión aplicará. las disposiciones de la Directiva a sus
propios ficheros.

18. La Propuesta de Directiva del ConseJo relativa a la orotecclón de
datos Personales y de la Intimidad en el contexto de las redes
digitales PUblicas de telecomunicaciones y. en particular. de la red
digital de servicios Integrados CRDSI> y de las redes digitales móyl les
pUb! leas, completa la Directiva general al apl lcar los principios
generales de la protección de datos a las necesidades especificas de

las nuevas redes de telecomunicación. Tiene por objetivo garantizar a
los usuarios de las redes de telecomunicaciones de todos los Estados
miembros un nivel básico de protección por medio de medidas que deben
Integrarse en los servicios ofrecidos por las nuevas redes. El Consejo
y el Parlamento Europeo han subrayado en numerosas ocasiones la
Importancia de adoptar medidas apropiadas para garantizar la protección
de los datos y del derecho a la Intimidad frente a los progresos de las
telecomunicaciones y, en particular, de la RDSI(1). Por su parte, los
coro 1 sar 1 os de 1 os Esta dos m 1 embros responsab 1 es de 1 a proteccIón de
datos expresaron v 1 vamente esa m 1 sma preocupacIón con mot 1 vo de su
reunión anual celebrada en Berilo en agosto de 1989.

19. La recomendación de Decisión del Conselo relativa a la adhesión de
la Comunidad Europea al Convenio del ConseJo de Europa para la
protección de las personas en lo referente al tratamiento automatizado
de datos personales constituye uno de los aspectos externos del enfoque
de la Comunidad en materia de protección de datos personales. En
efecto, la adhesión al Convenio garantizará, en las relaciones entre la
Comun 1 dad y los terceros pa 1 ses que sean par te de éste, 1 a protecc 1 ón
de los Interesados y la circulación transfronterlza de datos
personales.

20. La propyesta de Decisión del Conselo relativa a la adopción de un
plan de acción de dos años en materia de seguridad de los sistemas de
Información completará el dispositivo establecido para reforzar los
derechos de las personas en lo referente al tratamiento de datos
personales. La seguridad de la Información, es decir, la protección de
los datos conservados, tratados y transmitidos electrónicamente contra
todo tipo de amenazas (accidentales o voluntarias) es esencial para el
ejercicio efectivo de los derechos de las personas en lo referente al
tratamiento de datos personales. De modo más general, dicha seguridad
const 1 tu y e una ex 1 gene 1 a pr i mord 1 a 1 par a 1 a proteccIón de b 1 enes y
personas que, en el marco del establecimiento de redes abiertas de
telecomunicaciones, hace necesario el desarrollo de una estrategia
global, de medidas comunitarias concertadas en el campo de las
tecnologlas, de las normas y de los procedimientos de homologación y
prueba, asl como el perfeccionamiento de tecnologlas que lmpl lquen una
colaboración en la fase de Investigación y desarrollo precompetltlvo.

(1) DO OQ C 257 de 4.10.1988, p. 1; DO nQ C 196 de 1.8.1989, p. 4; DO

nQ C 7 de 12.1.1987, p. 334; DO nQ C 12 de 16.1.1989, p. 66; DO nQ
###### e 12 de 16.1.1989, p. 69.

                  - 7 

21. El plan de acción propuesto prevé la creación de un marco
estratégico para la seguridad de los sistemas de Información, el
anál lsls de las necesidades en materia de seguridad, la elaboración de
soluciones para determinadas necesidades prioritarias, la preparación
de especificaciones, normas y pruebas de val ldaclón, la Integración de

los progresos tecnológicos y operativos en materia de seguridad de los
sistemas de Información en un marco estratégico general y la
Integración de determinadas funciones de seguridad dentro de los
sistemas de Información.

     - 8 

Propuesta de

PIRECTIVA DEL CQNSEJO

SYN 287

RELATIVA A LA PROTECCIÓN
DE LAS PERSONAS EN LO REFERENTE AL TRATAMIENTO DE

DATOS PERSONALES

                  - 9 

INPICE

Resumen

Exposición de motivos

l. lntrodycclón

1 l. Necesidad de protección en la Comunidad

Disparidad de las legislaciones nacionales _y_ ausencia de protección
equivalente

Consecuencias de esta situación para la Comunidad

1 1 1 . Enfogye adoptado

Una protección equivalente en la Comunidad

Un alto nivel de protección

IV. Examen de las dlposlclones

propyesta de Directiva

                             - 10                             

Resumen

La presente propuesta de Directiva tiene por objetivo establecer una
protección equivalente de alto nivel en todos los Estados miembros de

la Comunidad a fin de eliminar los obstáculos a los Intercambios de
datos necesarios para el funcionamiento del mercado Interior. Para
ello, los Estados miembros deben garantizar los principios enunciados
en el proyecto de propuesta de Directiva. Estos principios se refieren,
en particular, a las condiciones que determinan la legitimidad del

tratamiento de datos personales, a los derechos del Interesado (derecho
de Información, acceso, rectificación, oposición, etc.), a la cal ldad
de los datos (deben ser exactos, han de recogerse llcltamente,
registrarse con fines determinados _y_ legltlmos, etc.) _y_ a la creación
de un Grupo de Protección de Datos Personales que asesore a la Comisión
en cuest 1 ones de proteccIón de da tos. E 1 proyecto de propuesta de
Directiva Incluye los ficheros del sector privado _y_ públ leo cuyas
actividades estén sujetas al Derecho Comunitario. Dado que todas las
personas gozarán en cada uno de los Estados miembros de una protección
equivalente de alto nivel en lo referente al tratamiento de datos
personales, los Estados miembros no podrán Imponer restricciones a la
circulación de dichos datos dentro de la Comunidad Invocando la
protección del Interesado.

                         - 11                         

Exposición de motivos

l. INTRODUCCIÓN

La preocupación que desde hace quince años viene suscitando el tema de
la protección de las personas en lo referente al tratamiento de datos
personales son fruto tanto de las poslbl 1 ldades que ofrece el progreso
técnico en el campo del tratamiento de la Información como de la
creciente utilización del tratamiento de datos personales en multitud
de ámbitos. Estas preocupaciones se han puesto de manifiesto en
d 1 f erentes foros y han 1 mpu 1 sado un proceso 1 eg 1 s 1 a t 1 vo en d 1 ver sos
Estados miembros. En el contexto Internacional, el Convenio del Consejo
de Europa, de 28 de enero de 1981, para la protección de las personas
en lo referente al tratamiento automatizado de datos personales
const 1 tuye, hasta 1 a fecha, e 1 ún 1 co 1 nst rumento de derecho
1 nternac lona 1 en 1 a mater 1 a. La OCDE, a su vez, ha e 1 aborado unas
directrices que rigen la protección de la Intimidad y las
transferencias transfronterlzas de datos personales en una
Recomendación de 23 de septiembre de 1980, mientras que las Naciones
Unidas están preparando las suyas actualmente.

También en la Comunidad se ha expresado tal preocupación. Desde 1976 el
Parlamento Europeo ha adoptado varias resoluclones<1) en las que
manifiesta su Inquietud al respecto e Invita a la Comisión a preparar
una propuesta de Directiva por la Que se armonicen las legislaciones en
materia de protección de datos personales.

En este sentido, en una Recomendación de 29 de julio de 1981, la
Comisión subrayaba el carácter de derecho fundamental de dicha
protección y la conveniencia de 1 legar a una armonización en este campo
en todos los Estados miembros. Asimismo, recomendaba a estos últimos
que ratificasen antes de finales de 1982 el Convenio del Consejo de
Europa, de 28 de enero de 1981, sobre protección de las personas en lo
referente al tratamiento automatizado de datos personales. No obstante,
se precisaba Que "si en un lapso de tiempo razonable todos los Estados
miembros no firman y ratifican dicho Convenio, la Comisión se reserva
el derecho a proponer al Consejo la adopción de un acto fundado en el
Tratado CEE".

Por su parte, el Consejo Europeo de Estrasburgo de los dias 8 y 9 de
diciembre de 1989 destacó, al discutirse ciertas medidas en favor de la

1 lbre circulación de las personas y de la Europa de los ciudadanos, la
necesidad "de velar por que la cooperación entre las administraciones
gar ant 1 ce prev 1 amente 1 a proteccIón de 1 os e 1 udadanos por 1 o que se
refiere a la utl 1 lzaclón de los bancos de datos personales".

Debe destacarse que esta preocupacIón de garant 1 zar una proteccIón
general no sólo se ha manifestado en las manifestaciones mencionadas
sino también en acciones especificas o sectoriales de la Comunidad,
especialmente en el ámbito de las nuevas tecnologias de la Información.

(1) DO nQ e 100 de 3.5.1976, p. 27; DO nQ 140 de 5.6.1979, p. 34; DO nQ
e 87 de 5.4.1982, p. 39.

                         - 12                          

A la vista de la situación actual en el campo del tratamiento de datos
personales y de las exigencias de la construcción comunitaria, resulta
Indispensable una Directiva que garantice la protección de las personas
frente a este tipo de tratamiento.

11. NECESIDAD DE PROTECCIÓN EN LA COMUNIDAD

Disparidad de las legislaciones nacionales y ausencia de protección
egylyalente en la Qomynldad

La protección de las personas por lo que se refiere a los datos
personales es objeto de diversos enfoques en los Estados miembros. Esta
diversidad es resultado, en parte, de la carencia de legislación
especifica en la materia de algunos Estados miembros y, también, del
diferente contenido de la legislación existente en otros.

Actualmente, siete Estados miembros disponen de legislación especifica
(Alemania, Dinamarca, Franela, Irlanda, Luxemburgo, los Paises Bajos y
el Reino Unido), mientras que otros están elaborándola.

Aunque el objeto de estas normas nacionales es el mismo, la protección
de las personas afectadas, adoptan soluciones diferentes por la
multiplicidad de opciones posibles para garantizar dicha protección. La
cobertura de los ficheros manuales, la protección de las personas
jurldlcas, los procedimientos previos a la creación de ficheros, el
alcance de la obl lgaclón de notificación, la Información en el momento
de la recogida de los datos, el tratamiento de datos sensibles y la
transferencia a terceros paises, por ejemplo, son cuestiones que pueden
ser enfocadas de modos diferentes. Además, los progresos tecnológicos
pueden llevar a los Estados miembros a actuar de distinta manera y a
acentuar, de este modo, la disparidad existente.

El Convenio del Consejo de Europa, de 28 de enero de 1981, para la
protección de las personas en lo referente al tratamiento automatizado
de datos personales no ha limitado esta disparidad, ya que, por una
parte, permite elegir entre un gran número de opciones para la
aplicación de los principios básicos que define y, por otra, sólo ha
sido ratificado por siete Estados miembros (Alemania, Dinamarca,
España, Franela, Irlanda, Luxemburgo y el Reino Unido), de los cuales
uno (España) todavla no se ha dotado de legislación Interna. Por su
parte, la Recomendación de la Comisión, de 29 de julio de 1981, por la
que se invita a los Estados miembros de la Comunidad a ratificar el
Convenio del Consejo de Europa no ha alterado esta situación.

A causa de la disparidad de los enfoques nacionales, la protección de
las personas en lo referente al tratamiento de datos personales no es
equivalente en todos los Estados miembros y, por lo tanto, el nivel de
protección puede variar de un Estado miembro a otro.

Consecuencias de esta situación cara la Comunidad

En la Comunidad esta situación plantea tres tipos de dificultades:

La falta de legislación nacional especifica o sus lagunas no están
en consonancia con la Importancia que la Comunidad concede al respeto
de los derechos fundamentales, resaltada en la Declaración Común del
Parlamento Europeo, del Consejo y de la Comisión sobre los derechos
fundamentales, de 5 de abril de 1977, y en el párrafo tercero del

                               - 13 

preámbulo del Acta Única Europea. Además, uno de los principios
generales del Derecho Comunitario es el respeto de los derechos
fundamentales, de cuya observancia es garante el Tribunal de Justicia
de las Comunidades Europeas.

La circulación de datos personales, siempre que se efectúe con
respeto de los derechos del Interesado, es necesaria para la creación y
el funcionamiento del mercado Interior. Efectivamente, habida cuenta de
los progresos técnicos registrados en el campo del tratamiento de la
Información, especialmente por lo que se refiere al establecimiento de
redes numéricas de telecomunicación dentro de la Comunidad, la
dimensión transfronterlza de las transferencias de datos presenta tres
niveles:

Dado que en numerosas fases de las diferentes actividades
económicas se ut illzan datos personales, para el ejercicio de la

libre circulación de mercanclas, personas, servicios y capitales,
es necesar lo que ese t lpo de datos pueda transml t 1 rse entre los
agentes económicos que mantengan actividades fronterizas .
. En el proceso de Integración comunitaria, en particular en el
contexto de la supresión de las fronteras, tiene que Intensificarse

la cooperación y la colaboración entre las administraciones
nacionales. ~stas deben real izar funciones que son de la
Incumbencia de la administración de otro Estado miembro. En este
contexto, la circulación de datos se erige en condición
Indispensable del proceso de cooperación. Asf, las obl lgaclones de
colaboración o de Información que serán Impuestas a las
administraciones por el Derecho Comunitario hacen esencial que,
paralelamente, se garantice plenamente la protección de los
Interesados.
Los Intercambios de datos también son necesarios para la
cooperación clentiflca.

Esta necesidad de permitir la circulación de datos entre Estados
miembros tropieza actualmente con la disparidad de los enfoques
nacionales en materia de protección de las personas en lo referente al

tratamiento de datos personales. Esta dispar ldad puede, en efecto,
conducir a un Estado miembro a poner obstáculos a la circulación de
datos amparándose, bien en la falta de protección en el Estado de
procedencia o de destino, bien en la Insuficiencia de dicha protección.

En algunos casos esta disparidad también podrla 1 levar a un
falseamiento de la competencia entre los agentes económicos privados
según las restricciones a las que estén sometidos en su pals.

1 1 1 • ENFOQUE ADOPTADO

Una protección eaylyalente en la Comunidad

Con e 1 f 1 n de garant 1 zar 1 a proteccIón de todas 1 as personas que
residen en la Comunidad en lo referente al tratamiento de datos
personales y de permitir la circulación de este tipo de datos entre los
Estados miembros, es necesario establecer un nivel de protección
equivalente en toda la Comunidad. Para el lo, es Indispensable aproximar

las legislaciones. En este sentido, el programa de trabajo de la
Comisión para 1990 menciona la protección de datos como un tema
prioritario en el contexto de la real lzaclón del mercado lnterlor<1>.

(1) Bol. CE Suplemento 1/90, páginas 18, 26 y 28.

                             - 14                              

A este respecto, el articulo 100A del Tratado proporciona el fundamento
Jurldlco pertinente en la medida en QUe es Indispensable una protección
eQuivalente de alto nivel para la real lzaclón del mercado Interior. El
establecimiento _y_ el funcionamiento del mercado Interior, definidos en
el articulo 8A como .. espacio sin fronteras Interiores, en el Que la
libre circulación de mercanclas, personas, servicios _y_ capitales estará
garantizada de acuerdo con las disposiciones del presente Tratado ..,
hacen necesario, por las razones ya Indicadas, un acercamiento de las
legislaciones en este campo.

Al elaborar la presente propuesta, la Comisión ha tenido en cuenta las
###### exigencias del articulo 8 e del Tratado CEE y ha 1 legado a la

conc 1 us Ión de Que por e 1 momento no parece necesar 1 o n 1 j ust 1 f 1 cado
establecer disposiciones especiales ni excepción alguna. De Igual modo,
la Comisión ha estudiado el problema del elevado nivel de protección de
la sanidad, la seguridad, el medio ambiente y los consumidores exigido
por el apartado 3 del articulo 100 A del Tratado CEE.

Un alto nlyel de protección

Dado Que el objetivo de las legislaciones nacionales en este ámbito es
garantizar la protección de los derechos fundamentales, en particular
el derecho a la Intimidad, la aproximación de dichas legislaciones debe
tener por objetivo garantizar un alto nivel de protección. Pese a las
adaptaciones Inherentes a toda aproximación de legislaciones, ésta no
debe tener como consecuencia la disminución del nivel de protección ya
garantizado en los Estados miembros.

Los principios generales enunciados en el Convenio del Consejo de
Europa const 1 tuyen una referenc 1 a QUe debe tenerse en cuenta porQue
forman una base común para los paises Que lo han ratificado. De este
modo, al tiempo Que adopta soluciones compatibles con las del Convenio,
la Directiva completa dichos principios generales a fin de establecer
una protección eQuivalente de alto nivel.

El elevado nivel de protección de la Directiva ofrece una cobertura muy
ampl la, al QUedar recogidas todas las situaciones en las QUe el
tratamiento de datos personales suponga un riesgo para los Interesados.
Asl se explica Que la Directiva Incluya tanto los ficheros manuales
como los automatizados, sean del sector públ leo o del privado.

Los principios de la Directiva, especialmente los relativos a la
legitimidad de los tratamientos, a la comunicación de datos a terceros,
a los procedimientos de notificación, a los derechos del Interesado _y_ a
la calidad de los datos, están enderezados a garantizar un elevado
nivel de protección _y_ toman como referencia las diversas soluciones
adoptadas en las legislaciones nacionales. De Igual modo, se ha
prestado una atención especial a la apl lcaclón efectiva de las
disposiciones de la Directiva a través de mecanismos distintos de los
habitualmente ut lllzados para el control de la aplicación del Derecho
Comunitario. Asl, las disposiciones relativas a la responsabl 1 ldad _y_ al
establecimiento de un Grupo de protección de datos personales responden
a esta preocupación.

Los principios de la Directiva podrán ser completados si ello fuese
necesar lo. Con este f 1 n, 1 a O 1 rect 1 va estab 1 ece en d 1 versas
disposiciones Que los Estados miembros podrán desarrollar dichos
principios por lo Que se refiere a los ficheros sujetos a su
1 eg 1 s 1 acIón. As lm 1 smo, puede Que sean necesar 1 as med 1 das

                               - 15 

complementarlas para la apl lcaclón de determinados principios generales
en sectores que presentan Importantes caracterfstlcas especificas.

IV. EXAMEN DE LAS DISPOSICIONES

CAPITULO 1

Disposiciones generales

Articulo 1

Objeto de la Directiva

Este art fculo establece que los Estados miembros están obligados a
garantizar la protección de las personas en lo referente al tratamiento
de datos personales mediante la apl lcaclón de las disposiciones de la
Directiva. Habida cuenta de que, en virtud de la presente Directiva, la
protección está garantizada con arreglo a los mismos principios en
todos los Estados miembros y, por lo tanto, es equivalente, estos
últimos no pueden restringir, en los ámbitos Incluidos en la Directiva,
la circulación de datos por motivos relacionados con la protección del
Interesado. No obstante, la protección de las personas _y_ la circulación
de datos únicamente están garantizadas en virtud de la Directiva en los
ámbitos Incluidos en ésta. Asl pues, los ficheros creados con fines
privados _y_ los de las asociaciones sin ánimo de lucro no pueden
someterse a las disposiciones del presente articulo, puesto que el
apartado 2 del art fculo 3 los excluye del ámbito de aplicación de la
Directiva.

Articulo 2

Definiciones

Este articulo tiene por objeto definir los principales conceptos
utl 1 Izados en la Directiva. Las definiciones recogen las del Convenio
108 del Consejo de Europa con las adaptaciones _y_ aportaciones
necesarias para garantizar una protección equivalente de alto nivel en
la Comunidad.

a) "Datos personales". Como en el Convenio 108, se ha adoptado una
definición ampl la a fin de abarcar toda la Información que pueda estar
re 1 ac lonada con una persona. En efecto, según 1 a f 1 na 1 1 dad a 1 a que
esté destinado, todo dato sobre una persona, aun cuando parezca
Inofensivo, puede tener carácter sensible (por ejemplo, una simple
dirección postal). A fin de que esta definición no pueda eludlrse por
métodos de Identificación Indirecta, se precisa que se considera como

Identificable toda persona que pueda ser Identificada mediante un
número o una Información de ese tipo.

b) "Procedimiento de disociación (anónimo)". Esta noción tiene por
objeto excluir del ámbito de apl lcaclón de determinadas disposiciones
de la Directiva los datos que dejen de ser Identificables. Puede
considerarse que se ha disociado un dato Incluso en el supuesto de que
teóricamente sea posible volver a personal Izarlo Invirtiendo unos
recursos técnicos _y_ financieros desproporcionados.

                                - 16                                 

e) "Fichero de datos personales ... Esta definición está basada en el
criterio de la poslbl lldad de acceso a datos personales, bien mediante
un tratamiento manual consistente en una recogida de datos
estructurados, bien mediante un tratamiento automatizado Que permita
reagrupar datos diseminados o extraer datos de un texto Integral con
arreglo a un modo de consulta QUe corresponda a el de un fichero.

La definición Incluye, asimismo, los ficheros mecanográficos y manuales
estructurados. Los expedientes Individuales, en particular los
admlnlstrat lvos, que no contengan un conjunto estructurado de datos
personales no han sido incluidos en la definición por estar
contemplados en legislaciones especificas y diversas de los Estados
miembros.

d) .. Tratamiento ... Al enumerar las pr lnclpales formas de tratamiento,
esta definición adapta la del Convenio al campo de aplicación más
amplio de la noción de fichero. Se Incluyen las operaciones de
Interconexión de datos porQue permiten elaborar datos nuevos {por
ejemplo, el perfl 1 electrónico). Se hace referencia al bloqueo para los
casos de datos cuyo acceso está bloQueado con med 1 das de segur 1 dad
mayores Que las normales, sin Que ello eQuivalga a su supresión.

e) .. Responsable del fichero ... Esta noción del Convenio Queda adaptada
de dos maneras: por una parte, se hace referencia al Derecho
Comunitario a fin de Incluir los casos en Que en directivas especificas
se han establecido disposiciones materiales relativas a la protección
de los datos personales; por otra parte, se precisa QUe el responsable
del fichero es aQuel Que autoriza la consulta, especialmente en caso de
consulta directa.

f) .. Autoridad de control ... Esta definición subraya Que la autoridad
debe ser Independiente y remite al articulo 26, Que precisa las
funciones de la autoridad de control.

g) y h) .. Sector p6bl leo" y .. sector privado ... La Inclusión de las
definiciones de sector p6bllco y sector privado en la Directiva viene
justificada por el hecho de Que algunas de sus disposiciones se
refieren especlflcamente a uno u otro de estos sectores .. Capltulos 11 y

111 relativos a la legitimidad de los tratamientos de datos personales
en el sector p6bllco y en el sector privado). Estas definiciones se
fundan en la naturaleza del servicio proporcionado por el organismo en
cuestión, Independientemente del régimen jurldlco privado o p6bl leo de
este 61tlmo. Seg6n Que ejerza actividades comerciales o funciones de
servicio p6bllco, el organismo deberá aplicar las normas propias del
sector privado o del p6bllco.

Articulo 3

Ámbito de apl lcaclón

La Directiva es aplicable a todos los ficheros cuyos responsables
pertenezcan al sector privado o al p6bl leo. Por lo QUe a este 61tlmo se
refiere, la ejecución de numerosas actividades administrativas exige,
en virtud del Derecho Comunitario, la cooperación entre
administraciones de los diferentes Estados miembros. No obstante, no
están Incluidos los ficheros del sector p6bllco cuyas actividades no
entran dentro del campo de apl lcaclón de la normativa comunitaria (por
ejemplo, los servicios secretos).

                            - 17                             

El apartado 2 establece dos excepciones justificadas por el escaso
riesgo de que se atente contra el derecho a la Intimidad, bien porque
se trata de una utilización con fines totalmente privados, como es el
caso de las agendas electrónicas personales, bien porque se trata de
registros de miembros de una asociación de cuya mera adhesión a ésta
puede presumlrse su consentimiento a figurar en el registro _y_ porque la

Información contenida en dicho registro no se transmite a terceros.

Articulo 4

Derecho apl lcable

Este articulo fija los criterios de vinculación que determinan la
aplicación en cada Estado miembro de las disposiciones de la presente
Directiva. Con estos criterios, recogidos en el apartado 1, se pretende
evitar que los Interesados queden desasistidos de toda protección, en
particular en caso de soslayarse la legislación. Asl, se ha adoptado el
criterio objetivo de la ubicación del fichero. A este respecto, cada
par te de un f 1 che ro s 1 tuado o repar t 1 do en d 1 versos Estados m 1 embros
debe considerarse a todos los efectos como un fichero.

A esta misma preocupación por la protección de los Interesados en caso
de ausenc 1 a de ub 1 cae Ión responde una d 1 spos 1 e Ión que 1 mpone a 1 os
usuarios que consulten un fichero situado en un tercer pals a partir de
una terminal ubicada en un Estado miembro la obl lgaclón de respetar las
disposiciones de la. Directiva relativas a la legitimidad de los
t r a t am 1 en tos, a 1 a 1 nformac Ión de 1 1 nteresado en caso de comun 1 cae Ión
de datos, a los datos sensibles, a la seguridad de los datos _y_ a la
responsab 1 1 1 dad. Esta ob 1 1 gac Ión no es ap 1 1 cab 1 e cuando d 1 e ha
utll lzaclón es esporádica.

Hab 1 da cuenta de 1 a fa e 1 1 1 dad de desp 1 azam 1 ento de 1 os f 1 che ros, e 1
traslado temporal de un fichero no constituye un cambio de ubicación.
El desplazamiento de los soportes en los que están registrados los
da tos no debe ocas 1 onar más forma 1 1 da des que 1 as ya cump 1 1 das en e 1
Estado de ubicación permanente.

Este articulo también tiene por objetivo evitar los casos de
acumulación de leyes apl lcables.

CAPITULO 11

Legitimidad del tratamiento en el sector públ leo

Los datos personales únicamente pueden ser objeto de tratamiento si
éste es legitimo. Este capitulo, como el 111, precisa las condiciones
que determinan la legitimidad del tratamiento. ~sta viene determinada,
según los casos, por el consentimiento del Interesado, por una
disposición de la Directiva o del Derecho Comunitario o por un acto

legal nacional.

                               - 18                               

Articulo 5

Principios

Este articulo dispone que el establecimiento de un fichero del sector
público _Y_ cualquier otro tratamiento de datos únicamente son tegltlmos
si son necesarios para la ejecución de los cometidos de la autoridad
pública responsable del fichero.

Se establecen cuatro casos en los que el tratamiento de datos puede
efectuarse con una finalidad diferente de aquella para la que se haya
creado el fichero: si el Interesado da su consentimiento; si el
tratamiento tiene una base legal; si, tras haberse sopesado los
Intereses afectados, se pone de manifiesto que dicha finalidad no es
contraria a un Interés legitimo del interesado; y, por último, en caso
de amenaza Inminente al orden público o violación grave de los derechos
de terceros.

Estos principios no se refieren al caso especifico de la comunicación
de datos a terceros que es objeto de las disposiciones del articulo 6.

Articulo 6

Tratamiento en el sector públ leo encaminado a la comunicación de datos
personales

Es necesaria una disposición especifica para la comunicación de datos a
terceros porque este tipo de tratamiento es el que lleva aparejado un
mayor riesgo para el Interesado. El apartado prevé dos casos en los que
pueden comunicarse los datos a terceros, según que el destinatario
forme parte del sector público o del sector privado. El primer caso, la
comunicación debe ser necesaria para el ejercicio de las funciones de

la administración que solicita o comunica los datos, mientras que en el
segundo deben sopesarse los Intereses afectados a fin de determinar si
el solicitante esgrime un Interés legitimo y si prevalece el Interés
del Interesado.

Los Estados miembros tienen la posibilidad de precisar en su
legislación las condiciones de legitimidad de la comunicación dentro de
los limites de los dos principios antes enunciados. Podrán, por
ejemplo, decidir aquellos ámbitos en los que prevalece el Interés del

Interesado.

A fin de garantizar que la posibilidad de comunicación de datos al
sector privado no vaya en perjuicio del Interesado, se establece un
procedimiento de Información de dicha comunicación. No obstante, la
autoridad de control puede autorizar excepciones a dicha obl lgaclón. En
tal caso, puede Imponer condiciones con respecto de las excepciones o
asumir la tarea de Informar al Interesado.

Articulo 7

Obligación de notificación a la autoridad de control

La obligación, prevista en este articulo, de notificación en un
registro de la autoridad de control se limita a los ficheros del sector
público cuyos datos sean suscept lb les de comunicación. Esta solución
persigue garantizar el mlnlmo de transparencia necesaria para el
ejercicio de los derechos del Interesado y, al mismo tiempo, reducir

                                - 19                                 

las formal ldades previas Que podrlan constituir una carga excesiva para
1 a autor 1 dad de cont ro 1, espec 1 a 1 mente a causa de 1 a amp 1 1 tud de 1 a
noción de fichero. No obstante, los Estados miembros pueden hacer
ex tens 1 va 1 a ob 1 1 gac Ión de not 1 f 1 cae Ión a otros f 1 che ros de 1 sector
púb llco.

CAPITULO 111

Legitimidad del tratamiento en el sector privado

Articulo 8

Principios

La legitimidad del tratamiento de datos personales en el sector privado
puede basarse en el consentimiento del Interesado. Este consentimiento
debe expresarse con arreglo a las disposiciones de los artlculos 12 y
13, relativos, respectivamente, al consentimiento Informado y a la

Información en el momento de la recogida de datos.

A falta de consentimiento del Interesado, la legitimidad del
tratamiento puede fundarse en la existencia de una relación de tipo
cont r actua 1 entre e 1 responsab 1 e de 1 f 1 che ro y e 1 1 nteresado, s 1 empre
Que el tratamiento sea necesario para la ejecución del contrato (por
ejemplo, tratamiento de pedidos o facturación).

La legitimidad del tratamiento también puede fundarse en el hecho de
Que los datos provengan de fuentes generalmente accesibles al público
(anuarios accesibles al públ leo), siempre Que el tratamiento esté
destinado únicamente al envio de correspondencia.

Por último, la legitimidad del tratamiento también puede basarse en una
ponderación de 1 ntereses Que ponga de man 1 f 1 esto 1 a 1 eg 1 t lm 1 dad de 1

Interés del responsable del fichero y la subordinación de los Intereses
de 1 1 nteresado.

La comunicación de datos únicamente es legitima cuando es compatible
con la finalidad del fichero, QUe debe notificarse (apartado 2 del
articulo 11) y respetarse en el momento del registro de los datos
(letra b del apartado 1 del articulo 16). En caso de comunicación, el
responsable del fichero tiene, asimismo, la obl lgaclón de Informar al
Interesado con arreglo a los artlculos 9 y 10. Los Estados miembros
tienen la facultad de precisar en su legislación las condiciones de
legitimidad dentro de los limites de los principios enunciados
anteriormente. Podrán, por ejemplo, definir los ámbitos en los Que
prevalece el Interés del Interesado.

Articulo 9

Obl lgaclón de Información al Interesado

A fin de permitir al Interesado ejercer sus derechos, el apartado 1
obl lga al responsable del fichero a Informar al Interesado de la
comunicación de datos Que se refieran a él. De este modo, el Interesado
puede ejercer su derecho de acceso y oponerse a Que continúe el

                             - 20                             

tratamiento en cuestIón. La obligación de Informar al Interesado no
rige en los casos en que los datos provengan de fuentes generalmente
accesibles al público _y_ su tratamiento esté dest lnado únicamente al
envio de correspondencia.

Articulo 10

Excepciones especiales a la obligación de Información al Interesado.

Este articulo reconoce a los Estados miembros la facultad de disponer
en su legislación que cuando el cumplimiento de la obligación de
1 nformar a 1 1 nteresado trop 1 ece con grandes d 1 f 1 cu 1 tades práct 1 cas o
con los Intereses legltlmos prevalecientes del responsable del fichero
o de un tercero, la autoridad de control podrá autorizar, a petición

del responsable del fichero, una excepción a dicha obligación.
Asimismo, puede precisar las condiciones de la excepcl6n _y_ asumir el la
misma la tarea de Informar al Interesado, dentro de los limites fijados
por la leglslacl6n que la autoriza a ello.
Un caso de grandes dificultades prácticas seria, por ejemplo, el de los
datos relativos a personas de dirección personal desconocida.

Articulo 11

Obl lgacl6n de notlflcaclon a la autoridad de control

Por las mismas razones aducidas con respecto de la obllgacl6n de
notlflcacl6n en el sector públ leo (articulo 7), la obl lgaclón de
not i f 1 cae 16n en e 1 sector pr 1 vado no se ap 1 1 ca a 1 os f 1 che ros cuyos
datos no estén dest 1 nados a su comun 1 cae Ión o provengan de fuentes
generalmente accesibles al público. SI cambia la final ldad del fichero,
debe actualizarse la notlflcacl6n.

Las Informaciones que deben notificarse han de contener los elementos
necesarios para el control del respeto de la disposiciones de la
presente Directiva (al menos, el nombre _y_ la dirección del responsable
del fichero, la finalidad del fichero, una descrlpcl6n de los tipos de
datos que contiene, los terceros posibles receptores de los datos _y_ una
descrlpcl6n de las medidas de seguridad). Los Estados miembros pueden
ampliar el campo de apl lcacl6n de la obl lgaclón de notlflcacl6n.

CAPITULO IV: Derechos del Interesado

Articulo 12

Consentimiento Informado

Este articulo establece las condiciones de validez del consentimiento
dado por el Interesado para el tratamiento de sus datos, tanto en el
sector público como en el privado.

Este consentimiento constituye un elemento Importante que justifica el
tratamiento de datos personales por el responsable del fichero. La
noción de "consentimiento" utl 1 Izada en el articulo 12 equivale a

                        - 21                         

"consent lm 1 ento 1 nformado". A f 1 n de que e 1 1 nteresado pueda sopesar
los riesgos y ventajas del tratamiento de sus datos y ejercer los
derechos contemplados en el articulo 14 de la presente Directiva
(rectificación, supresión y bloqueo), el responsable del fichero debe
facl litar al Interesado toda la Información pertinente, por ejemplo, el
nombre y dirección del responsable, la final ldad del fichero, los datos
almacenados en éste, etc.

Por razones prácticas, la presente Directiva no exige que el Interesado
declare su consentimiento por escrito. No obstante, debe ser expreso y
especifico, es decir, ha de hacer referencia al tratamiento de los
datos referentes a su persona por el responsable del fichero y para una
determinada final ldad o final ldades. Además, debe precisar qué tipos de
datos, formas de tratamiento y, en caso de transferencia de datos a
terceros, posibles destinatarios autoriza.

Con arreglo a- la letra e) del articulo 12 el Interesado tiene la
facultad de retirar su consentimiento en todo momento. No obstante, la
revocación no puede tener efectos retroactivos ya que, de lo contrario,
resultar fa 1 legal un tratamiento de datos personales previamente
1 fe 1 to.

Articulo 13

Información del Interesado en el momento de la recogida de datos

Para una protección eficaz de los datos del Interesado es necesario que
éste reciba una Información completa del tratamiento de sus datos
personales no sólo después de su almacenamiento y tratamiento en un
fichero, sino también durante la fase anterior al tratamiento: la
recogida de la Información personal.

La letra a) del apartado 1 del articulo 16 prevé que la recogida de
datos personales debe efectuarse llcltamente. A su vez, el articulo 13
precisa qué Información debe facl 1 itarse al Interesado cuando los datos
se le sol lcltan directamente a él.
Para que una recog 1 da de datos persona 1 es sea 1 1 e 1 ta, e 1 1 nteresado
debe poder decidir si facl 1 Ita los datos basándose en una Información
fiable sobre la final ldad del tratamiento, la Identidad del responsable
del fichero y el carácter legalmente obligatorio o voluntario de la
cesión de los datos en cuestión. A fin de garantizar los derechos del
Interesado establecidos por el articulo 14 de la presente Directiva,
asl como un control efectivo de la utilización de sus datos, también
debe ser Informado de su derecho de acceso y rectificación y sobre la
Identidad de los destinatarios de sus datos. Por su parte, el apartado
1 del articulo 13 de la presente Directiva dispone que en su
legislación nacional sobre protección de datos los Estados miembros han
de garantizar al Interesado el acceso a dicha Información.
Dado que las personas que efectúan la recogida de datos frecuentemente
no son los responsab 1 es de 1 f 1 che ro en e 1 que han de almacenarse y
tratarse los datos, es Importante Informar al Interesado en el momento
de la recogida de los datos de su nombre y dirección, de manera que
pueda ejercer sus derechos con respecto a aquél.

El apartado 2 del articulo 13 reconoce a los Estados miembros la
facultad de Imponer restricciones a la obl lgaclón de Informar al
Interesado en el momento de la recogida de datos cuando existan

                        - 22                         

Intereses generales prevalecientes. Con arreglo a esta disposición, la
obligación de facilitar al Interesado la Información mencionada en el
apartado 1 del articulo 13 no rige si Impide a las autoridades públ leas
ejecutar correctamente sus funciones de control y verificación y de
mantenimiento del orden públ leo.

Articulo 14

Derechos complementarlos del Interesado

El articulo 14 de la presente Directiva recoge los derechos del
Interesado frente al responsable del fichero. Dado Que la protección de
datos tiene por objetivo garantizar el respeto del derecho del
Interesado a la Intimidad, los derechos de éste frente al responsable
del fichero constituyen una parte fundamental de la protección de
datos.

El apartado 1 del articulo 14 reconoce al Interesado el derecho a
oponerse, por razones legft imas, a Que los datos personales QUe le
conciernen sean objeto de tratamiento.
A efectos de esta disposición, se entiende por razones legitimas el Que
un determinado tratamiento de datos personales carezca de base
jurldlca, por ejemplo, por no cumplIrse los reQuisitos establecidos en
los Capftulos 11 y 111 de la presente Directiva sobre legitimidad del
tratamiento.

El apartado 2 del articulo 14 establece Que el Interesado no puede ser
objeto de decisiones de Instituciones del sector públ leo o privado que
lmpl IQuen una apreciación de su comportamiento basada únicamente en un
tratamiento automatizado de datos personales Que dé un perfil de los
datos o de la personalidad del Interesado. Con esta disposición se
pretende proteger e 1 1 nterés de 1 1 nteresado en par t 1 e 1 par en a que 1 1 as
decisiones Que sean Importantes para él. El uso de perfiles detallados
basados en datos persona 1 es por par te de lmpor tan tes 1 nst 1 tuc 1 ones
públ leas y privadas priva al Interesado de la poslbll ldad de Influir en

los procesos decisorios de dichas Instituciones cuando esas decisiones
se toman únicamente sobre la base de su perfl 1 personal.

Par a una proteccIón efect 1 va de 1 derecho de 1 1 nteresado a rect 1 f 1 car,
suprimir y bloquear los datos Que obran en poder del responsable del
f 1 che ro, re su 1 t a esenc 1 a 1 Que a Qué 1 tenga e 1 acceso a 1 os da tos de 1
fichero Que le garantizan los apartados 3 y 4 del articulo 14. El
apartado 3 del articulo 14 reconoce al Interesado el derecho a obtener

Información sobre el tratamiento de sus datos personales por el
responsable del fichero, de manera QUe pueda ejercer su potestad de
rectificar, suprimir y bloQuear esos datos, asl como de controlar de
modo efectivo tanto el tratamiento como los datos mismos. En el
apartado 4 del articulo 14 garantiza al Interesado el derecho a
obtener, con una frecuencia razonable y sin esperas ni gastos
excesivos, la confirmación de si existen en un fichero datos personales
Que le conciernen, asf como, en su caso, la comunicación de esos datos
en forma lntel lglble.
Las disposiciones de los apartados 3 y 4 del articulo 14 facultan a los
Estados miembros para decidir si tal Información debe enviarse al
Interesado. También corresponde a los Estados miembros definir en su
legislación nacional la expresión .. frecuencia razonable ... Atendiendo a

                              - 23                              

los Intereses del Interesado _y_ del responsable del fichero, la
legislación nacional de los Estados miembros puede establecer que el
responsable del fichero exiJa al Interesado el reintegro del coste que

1 leve aparejado el ejercicio del derecho de acceso, sin que en ningún
caso sea éste excesivo.

El apartado _4_ del articulo 14 autoriza a los Estados miembros a
establecer una norma especial para el ejercicio del derecho del
1 nteresado a acceder a datos méd 1 cos. A f 1 n de ev 1 tar a 1 1 nteresado
traumas psicológicos que puedan conducir, en casos extremos, al
suicidio, cabe disponer que el Interesado sólo pueda acceder a tal

Información por mediación de un médico.

El apartado 5 del articulo 14 de la presente Directiva reconoce al
Interesado el derecho a rectificar, suprimir _y_ bloquear datos cuando el
tratamiento de sea Incompatible con lo dispuesto en la presente
Directiva.

El Interesado puede exigir la rectificación de los datos que le
conciernan si son Incorrectos, Incompletos, Inexactos, engañosos o no
están actual Izados. El derecho del Interesado a obtener la supresión o
el bloqueo de datos supone que éstos han sido tratados Infringiendo lo
dispuesto en la presente Directiva. El apartado 5 del articulo 14 se
refiere a todas las disposiciones de la presente Directiva que regulan

la recogida, almacenamiento, tratamiento y utl 1 lzaclón de datos
personales.

El concepto de bloqueo tiene su origen en la Ley de Protección de Datos
de la Repúbl lea Federal de Alemania <§§ 14, 27, 35 BDSG: Sperrung). En
caso de bloqueo de datos recogidos, almacenados, tratados o utl 1 Izados
en contravención de las disposiciones de la presente Directiva, el
responsable del fichero puede seguir conservándolos almacenados en éste
bajo prohibición de tratarlos o utl 1 Izarlos, especialmente para
comunicarlos a terceros. Los datos bloqueados en un fichero deben
marcarse para Información de los usuarios.

Con la frase "seg~n el caso" la redacción del apartado 5 del articulo
14 de la presente Directiva deja a la legislación sobre protección de
datos de los Estados miembros la tarea de definir los derechos de
supresión, bloqueo y rectificación que posee el Interesado en las
diferentes situaciones en que se tratan o utl 1 Izan sus datos personales
lncumpl lendo lo dispuesto en la presente Directiva.

Con frecuencia, los datos no sólo son tratados por el responsable del
fichero sino que se comunican a terceros. SI el responsable del fichero
tiene que rectificar, suprimir o bloquear datos Incorrectos o tratados
o utilizados Ilegalmente, en beneficio del Interesado conviene
notificar a los terceros tal rectificación, supresión o bloqueo, de
modo que puedan rectificar, suprimir o bloquear los datos en cuestión.
El Interesado se encuentra protegido al respecto por el apartado 7 del
articulo 14.

E 1 apartado 6 de 1 ar t 1 cu 1 o 14 reconoce a 1 1 nteresado e 1 derecho a
obtener la supresión de los datos que le conciernan registrados en
ficheros cuya finalidad sea la prospección comercial _y_ la publicidad
directa por correspondencia. De este modo, el Interesado puede
protegerse contra la publicidad directa por correspondencia que no
desee.

                            - 24                             

Por último, el apartado 8 del articulo 14 obl lga a los Estados miembros
a conceder a 1 1 nteresado un recurso jud 1 e 1 a 1 efect 1 vo a 1 que pueda
recurrir en caso de que el responsable del fichero u otra persona viole
los derechos que le concede el articulo 14 de la presente Directiva.

Articulo 15

Excepc 1 ones a 1 derecho de acceso de 1 1 nteresado a 1 os f 1 che ros de 1
sector púb 11 co

El articulo 15 autoriza a los Estados miembros a restringir, con
respecto de los ficheros del sector público, el derecho de acceso del
Interesado, para proteger Intereses públicos prevalecientes o Intereses
de particulares equivalentes al derecho a la Intimidad. Corresponde a
los Estados miembros decidir si Incluyen en su legislación nacional
sobre protección de datos excepciones basadas en el articulo 15. No
obstante, las excepciones establecidas en esta disposición han de venir
determinadas por la necesidad de salvaguardar los valores fundamentales
de una sociedad democrática y tienen que adoptarse por ley. A este
respecto, la enumeración de los motivos que justifican una restricción
del derecho de acceso con arreglo al articulo 15 de la presente
Directiva resulta concluyente.
El término "seguridad del Estado" debe Interpretarse como la protección
de la soberanla nacional contra amenazas Internas y externas.
La expresión "actuaciones penales" Incluye la persecución de del ltos ya
cometidos, mientras que la noción de "seguridad públ lea" abarca todas
las funciones poi letales de los organismos públ leos, Incluida la
prevención de la del lncuencla. Por otra parte, la expresión "un
Importante Interés económico y financiero de un Estado miembro o de la
Comunidad" se refiere a todo tipo de polltlca económica y de
financiación de las polltlcas de los Estados miembros o de la
Comunidad, por ejemplo, controles de divisas, controles del comercio
exterior, recaudación de Impuestos, etc. No obstante, sólo un
Importante motivo de este tipo puede justificar la restricción del
derecho de acceso.
Por ú 1 t lmo, se cons 1 deran como mot 1 vos vá 11 dos para restr 1 ng 1 r e 1
derecho de acceso la salvaguardia de un derecho de otra persona
equivalente al derecho de acceso del interesado y la protección de los
derechos y libertades de terceros. Éste es el caso de los secretos
comerciales de terceros o de la libertad de prensa.

En caso de denegarse al Interesado el acceso a los datos de un f(chero
que le conciernan por uno de los motivos expuestos en el apartado 1 del
articulo 15, la autoridad responsable de la protección de datos está
obligada a efectuar, previa demanda del Interesado, los controles e
Inspecciones necesarios con respecto al fichero en el que se encuentren
almacenados los datos en cuestión.
El apartado 3 del articulo 15 faculta a los Estados miembros para

1 Imitar el derecho de acceso a aquel los datos que se recopl len
temporalmente a fin de obtener Informaciones estadlstlcas, ya que
dichas operaciones suponen riesgos mlnlmos para el Interesado.

                           - 25 

CAPITULO V: Calidad de los datos

Los principios sobre protección de datos establecidos en este capitulo
van más allá de lo Indicado por el titulo: no sólo abarcan la cal ldad
de los datos (art. 16), sino también el tratamiento de categorlas
especiales de datos consideradas como especialmente sensibles para el

Interesado (art. 17), asl como las pertinentes medidas de seguridad de
los datos (art. 18).

Articulo 16

Principios

El articulo 16 de la presente Directiva obl lga a los Estados miembros a

Incluir en su legislación nacional sobre protección de datos los
principios básicos sobre calidad de los datos personales. Con estos
principios se pretende garantizar el derecho a la Intimidad del
Interesado estableciendo ciertas restricciones con relación a la
recogida y tratamiento de datos personales y respecto del contenido de

los ficheros de datos personales.

El apartado 1 del articulo 16 dispone que la recogida y el tratamiento
de datos personales debe efectuarse 1 lcltamente.

Esta disposición es apl lcable al tratamiento de datos personales tal y
como define en la letra d) del articulo 2, asl como a su recogida.
De este modo, la letra a) del apartado 1 del art lculo 16 excluye, por
ejemplo, la utilización encubierta de dispositivos técnicos que
permitan obtener datos en secreto y sin conocimiento del Interesado,
por ejemplo Interviniendo las conexiones telefónicas, con escuchas
clandestinas u otros métodos slml lares. Asimismo, esta disposición

Impide que los responsables de los ficheros establezcan y utilicen
clandestinamente ficheros de datos personales.

La letra b) del apartado 1 del articulo 16 expone el principio de la
especificación de la final ldad. Con arreglo a este principio, los datos
personales únicamente pueden almacenarse con fines determinados,
expllcltos y legltlmos.
Debe determinarse la final ldad para la cual se almacenan datos
personales, esto es, el objetivo que se pretende alcanzar con el
almacenamiento y la ut lllzaclón de los datos. Dicha f lnalldad debe
definirse y especificarse con la mayor precisión posible. Una
definición o descripción general o vaga de la final ldad del fichero
(por ejemplo, el fichero tiene .. fines comerciales .. ) no satisface el
principio de la especificación de la final ldad establecido en la letra
d) del apartado 1 del articulo 16.
Por otra parte, la finalidad debe especificarse con anterioridad al
almacenamiento. SI los datos se obtienen directamente del Interesado,
el articulo 13 exige que en el momento de la recogida de datos ya se
haya determinado la finalidad.
Solo es posible Introducir cambios ulteriores en la finalidad del
tratamiento si éstos son compatibles con la final ldad Inicialmente
declarada.

                               - 26                               

Por otra parte, la letra b) del apartado 1 del articulo 16 también
exige Que el responsable del fichero declare expllcltamente la
finalidad del almacenamiento y la utilización de los datos. Con este
requisito se persigue Impedir el almacenamiento y utl 1 lzaclón de datos
personales para fines encubiertos.
En cuanto al requisito de legitimidad de la finalidad del
almacenamiento y la utll lzaclón de los datos personales, restringe los
fines potenciales a los Que se puede destinar un fichero de datos.
Ún 1 camente puede crearse y ut 111 zar se para f 1 nes compat 1 b 1 es con 1 as
disposiciones de la presente Directiva y con la legislación nacional de
los Estados miembros. Además, únicamente se consideran legitimas las
finalidades que sean pertinentes para las funciones administrativas de

los responsables de los ficheros del sector públ leo y para el ámbito de
las actividades comerciales de los responsables de los ficheros del
sector privado. La letra b) del apartado 1 del articulo 16 establece de
manera explicita Que el principio de especificación de la finalidad no
sólo es aplicable al tratamiento de datos personales, sino también a su
utl llzaclón, Que ha de ser compatible con la final ldad del fichero.

La letra e) del apartado 1 del articulo 16 dispone que los datos del
fichero han de ser adecuados, pertinentes y no excesivos con relación a
los fines para los que son almacenados. Este principio está enderezado
a garantizar que el contenido de los ficheros esté en consonancia con
su f 1 na 1 1 dad.

En estrecha relación con los requisitos establecidos en las letras b) y
e) del apartado 1 del articulo 16 está la disposición de la letra d)
del apartado 1 de ese mismo articulo, que dispone que los datos han de
ser exactos y, cuando sea necesario, deben actual Izarse. SI son
Inexactos o Incompletos con respecto de la final ldad del fichero, deben
suprimirse o rectlflcarse.

La letra e) del apartado 1 del articulo 16 se refiere, a su vez, a los
plazos máximos establecidos para el almacenamiento de datos personales.
Con arreglo a esta disposición, no pueden conservarse datos en una
forma QUe perm 1 ta 1 a 1 dent 1 f 1 cae Ión de 1 1 nteresado durante un per 1 odo
superior al necesario para los fines para los Que hayan almacenado
estos datos.
No obstante, en algunos casos, por ejemplo, para fines estadistlcos,
puede ser necesario conservar los datos durante un plazo más
pro 1 ongado. En ta 1 caso, a f 1 n de proteger a 1 1 nteresado, es
fundamental suprimir el vinculo establecido entre el nombre del
Interesado y los otros datos.

El apartado 2 del articulo 16 establece la obl lgaclón del responsable
del fichero de garantizar el cumpl lmlento de las disposiciones
relativas a la calidad de los datos recogidas en el apartado 1 del
articulo 16.

Articulo 17

Categorlas especiales de datos

Parece evidente que no es la naturaleza de los datos personales la que
atenta contra el derecho a la Intimidad, sino el contexto en el que se
efectúa el tratamiento de dichos datos. No obstante, existe un amplio

---~~---  - -

                             - 27                              

consenso entre 1 os Estados m 1 embros sobre e 1 hecho de Que a 1 gunas
categorlas de datos, por su propia naturaleza, además de por el
contexto en el Que se tratan, pueden poner en pel lgro la Intimidad del

Interesado. Por esta razón, el articulo 17 de la Directiva establece
unas severas 1 Imitaciones al tratamiento _y_ la utl 1 lzaclón electrónicos
de Informaciones sensibles contenidas en ficheros de datos personales.

El articulo 17 enumera las siguientes categorfas de datos sensibles:
origen racial (Incluida la Información sobre el color de la piel);
opiniones polltlcas, creencias religiosas _y_ convicciones filosóficas
(también entra en esta categorfa la Información relativa a la carencia
de creencias rel lglosas); (estas categorfas Incluyen las Informaciones
sobre las actividades del Interesado relacionadas con sus convicciones
polltlcas, religiosas o filosóficas); afiliación a sindicatos; estado
de salud del Interesado (Incluida la Información sobre su estado de
salud flslca _y_ mental en el pasado, en el presente _y_ en el futuro _y_ la

Información sobre consumo de drogas _y_ alcohol); e Información sobre la
vida sexual del Interesado.

El apartado 1 del articulo 17 prohibe el tratamiento automatizado de
datos sensibles, salvo acuerdo 1 lbre, expreso _y_ escrito del Interesado.
El apartado 2 de ese mismo articulo establece otras excepciones. Asl,

los Estados miembros pueden permitir el tratamiento electrónico de
datos sensibles por Importantes motivos de Interés públ leo. No
obstante, tal excepción presupone la adopción, como base Jurldlca, de
una ley QUe especifiQue los tipos de datos sensibles Que pueden
tratarse electrónicamente _y_ las personas autorizadas a acceder a el los,
_y_ Que establezca las garantlas apropiadas contra los usos abusivos _y_
accesos no autorizados.

El apartado 3 del articulo 17 establece una norma especial referente al
almacenamiento de Información sobre condenas penales, QUe sólo puede
efectuarse en ficheros del sector públ leo.

El ámbito de apl lcaclón del articulo 17 es 1 Imitado, ya Que únicamente
se refiere a los datos sometidos a tratamiento automatizado.

El art lculo 17 tampoco es aplicable al almacenamiento _y_ tratamiento
electrónico de datos sobre opiniones poi ltlcas, convicciones rel lglosas
_y_ filosóficas _y_ afiliación sindical por parte de organizaciones sin
ánimo de lucro con arreglo a lo establecido en la letra b) del apartado
2 del articulo 3.

Articulo 18

Seguridad de los datos

Los atentados contra la Intimidad del Interesado no sólo provienen de

la recogida, almacenamiento, tratamiento _y_ transmisión con fines
particulares de datos personales por parte de responsables de ficheros;
también pueden deberse a un acceso no autorizado _y_ a un uso abusivo de

los datos por parte de terceros.

La primera frase del apartado 1 del articulo 18 exige a los Estados
miembros Que obl lguen al responsable del fichero a adoptar las medidas
técnicas _y_ de organización necesarias para proteger los datos del

                               - 28                                

fichero contra el acceso no autorizado de terceros _y_ contra la pérdida
accidental de datos, Incluidos la destrucción accidental o no
autorizada de datos, su pérdida accidental, su modificación no
autor 1 zada, e 1 acceso no autor 1 zado a da tos _y_ cua 1 QU 1 er otro t 1 po de
tratamiento no autorizado.
Las medidas técnicas de seguridad Incluyen medidas de seguridad
relacionadas con el acceso a Instalaciones de tratamiento _y_
almacenamiento de datos, códigos de Identificación para las personas
autorizadas a entrar en dichas Instalaciones, medidas de protección de

la Información, como por ejemplo, la utilización de contraseñas para el
acceso a ficheros electrónicos, la utilización de datos cifrados _y_ el
control de las actividades 11 lcltas o lnusuales observadas en los
ficheros. Con las medidas de organización, el responsable del fichero
ha de establecer procedimientos dentro de la jerarQula de su autoridad
pública o su empresa, por ejemplo, el establecimiento de niveles de
autoridad con relación al acceso a los datos.
La segunda frase del apartado 1 del articulo 18 especifica el nivel de
seguridad Que deben garantizar en los ficheros automatizados las
medidas de seguridad adoptadas, teniendo en cuenta, por una parte, los
progresos técnicos en materia de seguridad de datos _y_ el coste de la
aplicación de esas medidas y, por otra parte, la naturaleza de los
datos almacenados en el fichero _y_ la evaluación de los riesgos
potenciales. Por otra parte, a fin de determinar la conveniencia de las
medidas de seguridad, el responsable del fichero ha de tomar en
consideración asimismo las recomendaciones sobre seguridad de la
Información e lnteroperabllldad de las redes Que eventualmente adopte
la Comunidad con arreglo al articulo 29 de la presente Directiva.

La obl lgaclón de adoptar medidas de seguridad apropiadas no se refiere
únicamente al local en QUe se real Ice el tratamiento o estén situados
los soportes flslcos _y_ lógicos utll Izados en dicho tratamiento. En caso
de efectuarse transmisiones de ordenador a ordenador o de ordenador a
terminal a través de una red de telecomunicaciones, con arreglo al
apartado 2 del articulo 18 también deben adoptarse medidas de seguridad
con relación a dicha red a fin de garantizar la transferencia segura e
Ininterrumpida de los datos.

En el apartado 3 del articulo 18 se contempla el caso de las consultas
en linea. La facultad del usuario de obtener datos del fichero viene
determinada _y_ 1 Imitada por el contrato celebrado con el responsable del
fichero. La presente Directiva dispone Que el responsable del fichero
debe diseñar los soportes flslcos _y_ lógicos utl 1 Izados para las
consultas en 1 lnea de tal manera Que el acceso del usuario se ajuste a
lo establecido en la autorización concedida a éste por aQuél.

El apartado 4 del articulo 18 atribuye la responsabl 1 ldad del
cumplimiento de las obligaciones establecidas en los apartados 1 a 3
del articulo 18. Las personas QUe, de hecho o por contrato, controlen
las operaciones relacionadas con el fichero de datos son responsables,
asimismo, del cumpl lmlento de los reQuisitos de seguridad. Esta
disposición va dirigida, según proceda, al responsable del fichero, al
usuar lo Que tenga acceso por consu 1 ta en 11 nea _y_ a 1 as agenc 1 as de
tratamiento de datos Que efectúen operaciones de tratamiento en nombre
del responsable del fichero.

Por último, el apartado 5 del articulo 18 obl lga a mantener el secreto
profesional a los empleados del responsable del fichero _y_ otras

                              - 29 

personas Que por razón de su actividad profesional tengan acceso a la

Información personal del fichero. Estas personas no pueden comunicar a
terceros la Información a la QUe tienen acceso sin autorización previa
del responsable del fichero.

CAPITULO VI

Disposiciones especificas para determinados sectores

Articulo 19

Los Estados miembros pueden establecer excepciones a las disposiciones
de 1 a presente D 1 rect 1 va para los organ 1 smos de prensa y de 1 sector
aud lov 1 sua 1 en 1 a med 1 da en Que sean necesar 1 as para conc 111 ar los
derechos fundamentales de las personas, en particular el derecho a la

Intimidad, con la libertad de Información y de prensa. En efecto, estas
dos categorlas de derechos fundamentales pueden entrar en confl lcto. La
solución adoptada hace hincapié en la obl lgaclón de 1 legar a un
equilibrio entre los Intereses opuestos en caso de establecerse una
excepción. Este equlllbr lo puede tener en cuenta, especialmente, la
existencia de vlas de recurso o reclamación para el Interesado, la
existencia de un código deontológlco profesional, los limites fijados
por el Convenio Europeo de Derechos Humanos y los principios generales
del Derecho.

Articulo 20

Este articulo establece que los Estados miembros deben animar a los
medios profesionales a elaborar códigos deontológlcos de buena conducta
europeos, que podrlan facilitar la aplicación de los principios de la
Directiva en determinados sectores.
La Comisión apoyará dichas Iniciativas y las tendrá en cuenta, en su
caso, en el ejercicio de su potestad reglamentaria o al presentar
nuevas propuestas.

CAPITULO VIl

Responsabl 1 ldad y sanciones

Articulo 21

Responsabl 1 ldad

En caso de perjuicio ocasionado por el Incumplimiento de las
disposiciones de la presente Directiva, este articulo atribuye la
responsabl 1 ldad al responsable del fichero, que puede ser demandado por
el Interesado por daños y perjuicios. La noción de perjuicio abarca
tanto el material como el moral. En caso de pérdida, destrucción o
acceso no autorizado, se 1 Imita la responsabl lldad del responsable del

fichero, a condición de que pueda probar el cumpl lmlento de las medidas
de seguridad apropiadas.

                              - 30 

Articulo 22

Tratamiento por cuenta del responsable del fichero

Este articulo tiene por objeto evitar una disminución del grado de
protección del Interesado como consecuencia de un tratamiento efectuado
por un tercero por cuenta del responsable del fichero. A este fin, se

Imponen obligaciones tanto al responsable del fichero como al tercero
Que efectúe el tratamiento.

Articulo 23

Sanciones

A fIn de garantIzar el respeto de las disposiciones adoptadas en
aplicación de la presente Directiva, los Estados miembros tienen la·
obl lgaclón de fijar sanciones realmente disuasivas, por ejemplo,
penales, teniendo en cuenta el hecho de Que el Incumplimiento de los
pr 1 nc 1 p los de 1 a proteccIón de 1 1 nteresado const 1 tuye una atentado
contra un derecho fundamental.

CAPITULO VIII

Transferencia de datos Personales a terceros paises

Articulo 24

PrinciPios

Este art lculo establece el pr lnclplo por el Que la transferencia de
datos personales de un Estado miembro a un tercer pals únicamente puede
efectuarse cuando éste garantice un nivel de protección adecuado.
Corresponde a los Estados miembros _y,_ en su caso, a la Comisión
determinar si un pals garantiza un nivel de protección adecuado. Los
Estados miembros deben Informar a la Comisión que los casos en Que un
tercer pals Importador no asegure dicho nivel de protección. En tal
caso, puede Iniciarse un proceso de negociación entre la Comisión _y_ el
tercer pals en cuestión.

Con arreglo a los poderes de ejecución que le atribuye el articulo 29,

la Comisión puede decidir que un pals garantiza un nivel de protección
adecuado basándose en su legislación nacional o en los acuerdos
Internacionales de los que sea Parte. El Convenio del Consejo de
Europa, de 28 de enero de 1981, relativo a la protección de las
personas en lo referente al tratamiento de datos personales forma parte
de los compromisos que la Comisión puede tomar en cuenta. Asimismo,
puede consultar al Grupo de Protección de Datos Personales al respecto.

                               - 31                               

Articulo 25

Excepciones

S 1 un determ 1 nado pa 1 s no gar ant 1 za un n 1 ve 1 de proteccIón adecuado,
puede establecerse con respecto a una exportación especifica una
excepción que permita la transferencia de datos. El Estado miembro en
el que esté localizado el fichero puede autorizar tal transferencia si
el responsable del fichero está en condiciones de garantizar un nivel
de protección adecuado para dicha exportación y si los demás Estados
miembros y la Comisión no presentan objeciones. A este respecto, existe
un procedimiento de Información con un plazo de oposición de diez dlas.
En caso de oposición, la Comisión puede adoptar las medidas apropiadas,
en particular, decidir la prohibición de la transferencia.

CAPITULO IX

Autoridad de control y Grupo de Protección de Datos Personales

Articulo 26

Autoridad de control

Este articulo dispone el establecimiento de una autoridad de control
caracter 1 zada por su 1 ndependenc i a y por estar dotada de med los de
Investigación y de Intervención adaptados a su función de vigilancia.
Las legislaciones nacionales deben garantizar estas dos
car acter 1st 1 cas. La expresIón "autor 1 dad de cont ro 1 11 se ent 1 ende s 1 n
perjuicio de la adopción de una estructura Interna múltiple en función
del régimen constitucional de los Estados miembros.

Articulo 27

Grupo de Protección de Datos Personales

Habida cuenta de las particularidades del ámbito de la protección de

las personas en lo referente a los datos personales, este articulo crea
un Grupo consultivo, el Grupo de Protección de Datos Personales. Este
Grupo se caracteriza por su Independencia y está compuesto de
representantes de las autoridades de control nacionales. Preside dicho
Grupo un representante de la Comisión.

Articulo 28

Funciones del Grupo de Protección de Datos Personales

Este articulo establece los cometidos del Grupo de Protección de Datos
Personales. El Grupo asesora a la Comisión en materia de protección de
personas en lo referente al tratamiento de datos personales y
contribuye, de este modo, a la aplicación homogénea de las normas
nacionales adoptadas en apl lcaclón de la presente Directiva. Asimismo,
debe evaluar e 1 n 1 ve 1 de proteccIón ex 1 stente en 1 a Comun 1 dad y en
terceros paises e Informar al respecto a la Comisión. Por último,
también puede asesorar a la Comisión sobre proyectos de medidas
adicionales.

                             - 32                             

El Grupo puede emitir recomendaciones que, si asl lo desea, pueden ser
transmitidas al Comité consultivo que Interviene en el marco de los
poderes de ejecución atribuidos a la Comisión.
El Grupo de Protección de Datos Personales debe elaborar un Informe
anual sobre el estado de la protección de estos datos personales en la
Comunidad y en terceros paises. Este Informe se transmitirá al
Parlamento, al Consejo y a la Comisión.

CAPITULO X

Potestad reglamentaria de la Comisión

Artlculos 29 y 30

Ejercicio de la potestad reglamentaria
Comité consultivo

El articulo 29 asigna a la Comisión competencias de ejecución relativas
a las normas técnicas de apl lcaclón que hacen necesarias la ampl ltud y
el carácter técnico del ámbito del tratamiento de datos personales.

Dado que la Directiva tiene por objeto contribuir a la real lzaclón del
mercado Interior, el articulo 30 establece la Intervención de un Comité
consultivo para asistir a la Comisión en el ejercicio de sus
competencias de ejecución y aplica los procedimientos fijados en la
Decisión del Consejo, de 13 de Julio de 1987, por la que se establecen
las normas para el ejercicio de las competencias de ejecución
atribuidas a la Comisión.

                         - 33                         

Propuesta de SYN 287

DIRECTIVA DEL CONSEJO

relativa a la protección de las personas en lo

referente al tratamiento de datos personales

EL CONSEJO DE LAS COMUNIDADES EUROPEAS,

VIsto el Tratado constitutivo de la Comunidad Económica Europea y, en

particular, sus artlculos 100 A y 113,

VIsta la propuesta de la Comisión (1),

En cooperación con el Parlamento Europeo (2),

Visto el dictamen del Comité Económico y Social (3),

( 1 ) Cons 1 der ando Que 1 os ob Jet 1 vos de 1 a Comun 1 dad enunc 1 a dos en e 1
Tratado, en la versión dada al mismo por el Acta Única Europea,

consisten en real Izar una unión cada vez más estrecha entre los pueblos

europeos; establecer relaciones más estrechas entre los Estados

reunidos en la Comunidad; asegurar, mediante una acción común, el

progreso económico y social el lmlnando las barreras Que dividen Europa;

fomentar la continua mejora de las condiciones de vida de estos pueb

los; consolidar la defensa de la paz y de la libertad; y promover la

democracia basándose en los derechos fundamentales reconocidos en las

Constituciones y leyes de los Estados miembros y en el Convenio Europeo

para la Protección de los Derechos Humanos y de las Libertades

Fundamentales;

                            - 34                             

(2) Considerando que el establecimiento _y_ el funcionamiento del mercado

Interior, dentro del cual estará garantizada, con arreglo al articulo 8

A del Tratado, la libre circulación de mercanclas, personas, servicios

_y_ capitales, hacen necesaria no sólo la circulación de los datos

personales, cualquiera que sea el Estado miembro en que se traten o

soliciten, sino también la protección de los derechos fundamentales,

habida cuenta de que en la Comunidad se viene registrando un número

creciente de tratamientos de datos personales en los diferentes

sectores de las actividades económicas _y_ sociales;

(3) Considerando que el mercado Interior lmpl lcará un espacio sin

fronteras; que, por esta razón, las administraciones nacionales de los

diferentes Estados miembros, en aplicación del Derecho comunitario, se

ven en la creciente necesidad de colaborar e Intercambiar datos

personales a fin de cumplir su misión _y_ ejecutar diferentes cometidos

por cuenta de las administraciones de otros Estados miembros;

(4) Considerando que el fortalecimiento de la cooperación clentlflca _y_

técnica, Junto con el establecimiento coordinado de nuevas redes de

telecomunicaciones en la Comunidad, exigen _y_ facilitan la circulación

transfronterlza de datos personales;

(5) Considerando que la diferencia entre los niveles de protección de

la Intimidad garantizados en los Estados miembros en lo referente al

tratamiento de datos personales puede Impedir la transmisión de dichos

datos del territorio de un Estado miembro al de otro; que, por lo

tanto, esta diferencia puede constituir un obstáculo al eJercicio de

una serie de actividades económicas a escala comunitaria, falsear la

competencia _y_ dificultar la misión de las administraciones que

Intervienen en el ámbito de aplicación del Derecho Comunitario; que

esta diferencia de grados de protección se debe a la disparidad

existente entre las disposiciones legales, reglamentarias _y_

administrativas de los Estados miembros;

                             - 35                              

(6) Considerando Que, para el lmlnar los obstáculos a la circulación de

datos personales, el nivel de protección de la Intimidad debe ser, por

lo Que se refiere al tratamiento de esos datos, eQuivalente en todos

los Estados miembros; Que, para el lo, es necesario aproximar las

legislaciones apl lcables en la materia;

(7) Considerando Que el objeto de las legislaciones nacionales

relativas al tratamiento de datos personales consiste en asegurar el

respeto de los derechos fundamentales, particularmente el derecho a la

Intimidad reconocido en el articulo 8 del Convenio para la Protección

de los Derechos Humanos _y_ de las Libertades Fundamentales, asl como en

los principios generales del Derecho Comunitario; QUe, por lo tanto, la

aproximación de tales legislaciones no debe conducir a una disminución

de la protección QUe éstas garantizan sino Que, por el contrario, debe

tener por objetivo asegurar un alto nivel de protección dentro de la

Comunidad;

(8) Considerando Que los principios de la protección de la Intimidad en

lo referente al tratamiento de datos personales, Que constituyen el

objeto de la presente Directiva, podrán completarse o precisarse,

especialmente en determinados sectores, mediante normas especificas

conformes a dichos principios;

(9) Considerando Que los principios de la protección deben aplicarse a

todos los ficheros siempre Que las actividades del responsable del

fichero entren dentro del ámbito de apl lcaclón del Derecho Comunitario;

Que los ficheros del sector público Que no entren dentro del ámbito de

aplicación del Derecho Comunitario deben estar sujetos a los mismos

principios de protección recogidos en las legislaciones nacionales,

como lo prevé la Resolución de los representantes de los Gobiernos de

los Estados miembros de las Comunidades Europeas, reunidos en el seno

###### del Consejo, de ..... ; QUe, no obstante, deben excluirse los ficheros

relacionados exclusivamente con el ejercicio del derecho a la Intimidad

de un persona flslca, como, por ejemplo, los ficheros personales de

d 1 rece Iones;

                             - 36                              

(10) Considerando que es necesario que todo tratamiento de datos

personales efectuado en la Comunidad respete la legislación del Estado

miembro en el que esté situado el fichero, a fin de que nadie quede

privado de la protección que debe garantlzársele en virtud de la

presente D 1 rect 1 va; que, a este respecto, cada par te de un f 1 che ro

repartido en diversos Estados miembros debe considerarse a todos los

efectos como un fichero completo y su Instalación en un tercer pals no

debe Impedir la citada protección;

(11) Considerando que todo tratamiento de datos personales debe ser

legitimo; que su legitimidad debe estar fundada en el consentimiento

del Interesado, en el Derecho Comunitario o en las legislaciones

nacionales;

(12) Considerando que las legislaciones nacionales pueden precisar, en

las condiciones previstas en la presente Directiva, las normas

relativas a la legitimidad del tratamiento; que, no obstante, esta

posibilidad no puede servir de fundamento para el control por parte de

un Estado miembro que no sea aquel en el que esté situado el fichero,

habida cuenta de que la obligación de este último de garantizar, con

arreglo a la presente Directiva, la protección de la Intimidad en lo

referente al tratamiento de datos personales es suficiente, por lo que

se refiere al Derecho Comunitario, para permitir la libre circulación

de datos;

(13) Considerando que los procedimientos de notificación, para los

ficheros del sector público o privado, y de Información en el momento

de la primera comunicación, para los ficheros del sector privado,

tienen por objeto asegurar la transparencia Indispensable para el

ejercicio del derecho de acceso del Interesado a los datos que le

conciernen;

(14) Considerando que el Interesado debe recibir una Información

efectiva y completa cuando se solicite su consentimiento, dependiendo

de el lo su validez, y cuando se le soliciten datos sobre su persona;

                             - 37                             

(15) Considerando Que el Interesado debe disfrutar del derecho de

acceso a fin de comprobar la legitimidad del tratamiento de los datos

Que le conciernan, asl como la calidad de éstos;

(16) Considerando que, para ser objeto de tratamiento, los datos deben

cumplir determinados requisitos; que el tratamiento de datos que por su

misma naturaleza puedan atentar contra el derecho a la Intimidad debe

estar prohibido, salvo consentimiento explicito del Interesado; que, no

obstante, por Importantes razones de Interés público, en part lcular

para la profesión médica, pueden establecerse excepciones sobre la base

de una ley Que fiJe precisa _y_ estrictamente las condiciones _y_ limites

del tratamiento de este tipo de datos;

(17) Considerando Que, en lo referente a los datos personales, la

protección de la Intimidad exige la adopción de medidas de seguridad

apropiadas, tanto en la fase de concepción del tratamiento como con

relación a la tecnologla de éste, a fin de Impedir todo tratamiento no

autorizado;

(18) Considerando Que, en el ámbito de los medios de comunicación, los

Estados miembros pueden establecer excepciones a las disposiciones de

1 a presente D 1 rect 1 va s 1 empre Que estén encam 1 nadas a conc 1 1 1 ar e 1

derecho a la Intimidad con la libertad de Información _y_ el derecho a

recibir _y_ comunicar Información, garantizado en el articulo 10 del

Convenio para la Protección de los Derechos Humanos _y_ de las Libertades

Fundamentales;

(19) Considerando QUe los Estados miembros deben fomentar la

elaboración por los medios profesionales de códigos deontológlcos o de

buena conducta europeos, para determinados sectores especlflcos; Que la

Comisión apoyará estas Iniciativas _y_ las tendrá en cuenta a la hora de

examinar la conveniencia de adoptar nuevas medidas especificas para

determinados sectores;

                         - 38                         

(20) Considerando Que, en caso de lncumpl lmlento de las disposiciones

previstas en la presente Directiva, la responsabilidad debe recaer, en

caso de Interponerse una acción por daños _y_ perjuicios, en el

responsable del fichero; Que deben apl lcarse sanciones disuasivas a fin

de garantizar una protección efectiva;

(21) Considerando QUe es, asimismo, necesario permitir la transferencia

de datos personales a terceros paises Que tengan un nivel de protección

adecuado; QUe, a falta de tal protección, la presente Directiva prevé,

en particular, procedimientos de negociación con dichos paises;

(22) Considerando Que los principios contenidos en la presente

Directiva concretan _y_ ampllan los del Convenio, de 28 de enero de 1981,

del Consejo de Europa para la protección de las personas en lo

referente al tratamiento automatizado de datos personales;

(23) Considerando Que la existencia de una autoridad de control

Independiente en cada Estado miembro es un elemento esencial de la

protección de las personas en lo referente al tratamiento de datos

personales; QUe, a nivel comunitario, debe crearse un Grupo de

ProteccIón de Datos Persona les, Que ejerza sus funcIones con tota 1

Independencia; Que, habida cuenta de su carácter especifico, debe

asesorar a 1 a Com 1 s Ión _y_ cont r 1 bu 1 r a 1 a ap 1 1 cae Ión homogénea de 1 as

normas nacionales adoptadas en aplicación de la presente Directiva;

(24) Considerando Que la adopción de medidas complementarlas para la

aplicación de los principios de la presente Directiva exige la

atribución a la Comisión de facultades reglamentarias _y_ el

establecimiento de un Comité consultivo con arreglo a las normas

establecidas en la Decisión 87/373/CEE del Consejo(1);

HA ADOPTADO LA PRESENTE DIRECTIVA:

(1) DO nQ L 197 de 18.7.1987, p. 33.

                             - 39                             

CAPITULO 1

DISPOSICIONES GENERALES

Articulo 1

ObJeto de la Directiva

l. Los Estados miembros garantizarán, con arreglo a las disposiciones

de la presente Directiva, la protección de la Intimidad de las personas

en lo referente al tratamiento de los datos personales contenidos en

ficheros.

2. Los Estados miembros no podrán restringir o prohibir la 1 lbre

circulación de datos personales entre los Estados miembros por motivos

relacionados con la protección asegurada en virtud del apartado l.

Articulo 2

Definiciones

A efectos de la presente Directiva, se entenderá por:

a) "datos personales", toda Información sobre una persona natural

Identificada o Identificable ("el Interesado"); se considerará

Identificable toda persona cuya Identidad pueda determinarse

mediante un número de Identificación u otra Información slml lar;

b) "procedimiento de disociación" (anónimo), toda modificación de

datos personales cuyo objeto sea que la Información contenida en

éstos no pueda segu 1 r asoc 1 ándose con una persona f 1 s 1 ca

determinada o determinable, o únicamente pueda asociarse a tal per
sona a expensas de una 1 nvers Ión ex ces 1 va de t 1 empo y recursos

humanos y económicos;

                            - 40                            

e) "f lchero de datos personales" (f lchero), todo conjunto de datos

personales, centralizados o repartidos en diversos emplazamientos,

que sean objeto de un tratamiento automatIzado o que, sin ser lo,

estén estructura dos _y_ sean a e ces 1 b 1 es dentro de una recop 1 1 a e Ión

organizada según criterios determinados con objeto de facilitar su

utilización o Interconexión;

d) "tratamiento", las siguientes operaciones, efectuadas o no mediante

procedimientos automatizados: registro, conservación,

Interconexión, modificación, utilización _y_ comunicación de datos,

en particular, su transmisión, difusión _y_ extracción, asl como su

bloqueo _y_ supresión;

e) "responsable del fichero", la persona natural o jurldlca, autoridad

pública, servicio o cualquier otro organismo que, con arreglo al

Derecho Comunitario o a la legislación de un Estado miembro, sea

competente para decidir la finalidad del fichero, qué categorlas de

datos personales deben registrarse, qué operaciones deben

ap 1 1 cárse 1 es a éstos _y_ a qué terceros está perm 1 t 1 do e 1 acceso a

los mismos;

f) "autoridad de control", aquel la autoridad pública Independiente, o

cualquier otra Instancia Independiente, designada por cada uno de

los Estados miembros de conformidad con el articulo 26 de la

presente Directiva;

g) "sector públ leo", el conjunto de las administraciones, organismos _Y_

ent ldades de un Estado miembro sujetos al Derecho público (con

excepción de aquellas que participen en una actividad Industrial o

comercial) _y_ los organismos y entidades de Derecho privado que

participen en el ejercicio de la autoridad públ lea;

h) "sector privado", toda persona natural o jurldlca, o asociación

( adm 1 n 1st rae 1 ones, organ 1 zac 1 ones _y_ ent 1 da des de 1 sector púb 1 1 co

Inclusive), en la medida en que ejerza una actividad Industrial o

comercial.

                              - 41 

Articulo 3

Ámbito de aol lcacl6n

1. Los Estados miembros aplicarán las disposiciones de la presente

Directiva a los ficheros del sector privado _y_ del sector público,

con excepción de los ficheros del sector públ leo cuyas actividades

no estén comprendidas en el ámbito de apl lcaclón del Derecho

Comunitario.

2. Las disposiciones de la presente Directiva no se aplicarán a los

siguientes ficheros:

a) aquél los pertenecientes a una persona natural con fines

exclusivamente privados _y_ personales, ni a

b) aquél los pertenecientes a asociaciones sin ánimo de lucro,

especialmente, las de carácter pollt!co, fl losóflco, re! !gloso,

cultural, sindical, deportivo o recreativo _y_ que se utilicen en

el marco de final ldades legitimas, a condición de que se

refieran únicamente a los socios _y_ miembros correspondientes de

la asociación que hayan accedido a figurar en dichos ficheros _y_

siempre que no sean comunicados a terceros.

Artfcy!o 4

oerecho aplicable

1. Los Estados miembros aplicarán las disposiciones de la presente

Directiva a:

###### a)- todos los ficheros existentes en su territorio.

b) - los responsables de los ficheros que residan en su

territorio _y_ desde éste utll Icen ficheros de un tercer pals

cuya legislación no ofrezca un nivel de protección

adecuado, salvo que utl 1 Icen dichos ficheros de manera

esporádica.

                            - 42                             

2. Los Estados miembros aplicarán las disposiciones de los artlculos

5, 6, 8, 9, 10, 17, 18 y 21 a los usuarios que consulten un fichero

situado en un pals tercero por medio de un terminal sito en el

territorio de un Estado miembro, salvo que dicha utilización tenga

carácter esporádico.

3. Los Estados miembros no podrán oponerse a la Introducción temporal

en su territorio de un fichero procedente de otro Estado miembro ni

exigir más formalidades que las aplicables en el Estado miembro en

que el fichero en cuestión tenga su ubicación permanente.

CAPITULO 2

LEGITIMIDAD DEL TRATAMIENTO EN EL SECTOR PÚBLICO

Articulo 5

Prlnclolos

1. Sin perjuicio de las disposiciones del art lculo 6, los Estados

m 1 embros preverán en su 1 eg 1 s 1 acIón, respecto a 1 os f 1 che ros de 1

sector púb 1 1 co:

a) que se consideren legftlmos el establecimiento de un fichero y

cualQuier otro tratamiento de datos personales cuando sean

necesarios para la ejecución de los cometidos de la autoridad

pública responsable del fichero;

b) que se considere legftlmo el tratamiento de datos con una

finalidad distinta de aquella para la que se haya establecido

el fichero cuando:

el Interesado dé su consentimiento,

el tratamiento se efectúe sobre la base del Derecho

Comunitario, de una ley o de un acto adoptado en apl lcaclón

de una ley de

un Estado m 1 embro conforme a 1 a presente D 1 rect 1 va y que

autorice dicho tratamiento y fiJe sus limites,

                            - 43                            

a ese cambio de finalidad no se oponga un Interés legitimo

del Interesado, o

sea necesar 1 o a f 1 n de preven 1 r una amenaza 1 nm 1 nente a 1

orden público o una violación grave de los derechos de

terceros.

Articulo 6

Tratamiento en el sector público para la comunicación de datos

oersonales

1. Los Estados miembros preverán en su legislación que la comunicación

de datos personales contenidos en ficheros de una entidad del sec
tor públ leo únicamente sea legitima:

a) cuando sea necesaria para el ejercicio de las funciones de la

ent 1 dad de 1 sector púb 11 co que comun 1 que o que so 11 e 1 te 1 a

comunicación de esos datos, o

b) a petición de una persona natural o jurldlca del sector privado

que Invoque un Interés legitimo, a condición de que no

prevalezca el Interés del Interesado.

2. Sin perjuicio de las disposiciones contempladas en el apartado 1,

los Estados miembros podrán precisar las condiciones que determinen

la legitimidad de la comunicación de datos personales.

3. En los casos contemplados en la letra b) del apartado 1 los Estados

miembros dispondrán en su legislación que el responsable del

fichero Informe a los Interesados de la comunicación de los datos

personales. No obstante, los Estados miembros podrán prever la

sustitución de dicha obligación de Informar a los Interesados por

una autorización previa de la autoridad de control.

                            - 44 

Articulo 7

Obligación de notificación a la autoridad de control

1. Los Estados miembros preverán en su legislación Que el

establecimiento de un fichero del sector públ leo cuyos datos

personales puedan ser comunicados sea notificado previamente a

efectos de su Inscripción en un registro de la autoridad de

control. Este registro podrá ser consultado por cualQuier persona.

2. Los Estados miembros determinarán QUé Informaciones deban

notificarse a la autoridad de control. Estas Informaciones

Incluirán, al menos, el nombre y dirección del responsable del

fichero, la finalidad del mismo, una descripción de los tipos de

datos Que contenga, los terceros Que puedan recibir los datos y una

descripción de las medidas adoptadas en apl lcaclón del articulo 18.

3. Los Estados miembros podrán prever Que las normas de los apartados

1 y 2 se apliQuen a otros ficheros del sector público y Que pueda

limitarse la consulta del registro por las razones mencionadas en

el apartado 1 del articulo 15.

CAPITULO 111

LEGITIMIDAD DEL TRATAMIENTO EN EL SECTOR PRIVADO

Articulo 8

Prlnclolos

1. Los Estados miembros preverán en su legislación Que, sin el

consentimiento del Interesado, el registro en un fichero Y

cualQuier otro tratamiento de datos personales sólo sean legltlmos

si se ajustan a las disposiciones de la presente Directiva Y si:

                              - 45 

a. se efectúan con arreglo a un contrato celebrado con el

Interesado o al amparo de una relación de confianza cuasi

contractual con éste _y,_ además, son necesarios para el

cumplimiento del contrato; o

b. los datos provienen de fuentes generalmente accesibles para el

públ leo _y_ su tratamiento tiene como única finalidad la

correspondencia; o

c. el responsable del fichero defiende un Interés legitimo sobre

el que no prevalezca el Interés del Interesado.

2. Los Estados miembros preverán en su legislación que Incumba al

responsable del fichero asegurarse de la compatibilidad de las

comunicaciones con la final ldad de dicho fichero, _y_ de que éstas no

afectan al orden público. En caso de consulta en linea, el usuario

estará sujeto a las mismas obl lgaclones.

3. Sin perjuicio de las disposiciones contempladas en el apartado 1,

los Estados miembros podrán precisar las condiciones que determinen

la legitimidad del tratamiento de datos personales.

Articulo 9

Obl lgacl6n de Informar al Interesado

1 . Por 1 o que se ref 1 ere a 1 sector pr 1 vado, 1 os Estados m 1 embros

dispondrán en su legislación que, en el momento de la primera

comun 1 cae Ión o cuando se p 1 antee una pos 1 b 111 dad de consu 1 ta en

linea, el responsable Informe de ello al Interesado _y_ le IndiQue,

asimismo, la final ldad del fichero, el tipo de datos que contiene _y_

su nombre _y_ dirección.

2. En el caso previsto en la letra b) del apartado 1 del articulo 8 no

será obl lgatorla la Información prevista en el apartado 1. Tampoco

habrá obl lgaclón de Informar cuando la comunicación venga Impuesta

por Imperativo legal.

                            - 46                             

3. SI el Interesado se opone a la comunicación o a cualQuier otro

tratamiento, el responsable del fichero deberá Interrumpir el

tratamiento Impugnado, salvo Que lo autorice una disposición legal.

Articulo 10

Excepciones especiales a la obligación de Informar al Interesado

SI el cumpl lmlento de la obl lgaclón de Informar al Interesado,

contemplada en el apartado 1 del articulo 9, resultase Imposible o

exigiese esfuerzos desproporcionados, o tropezase con Intereses

legltlmos y prioritarios del responsable del fichero o con un Interés

similar de un tercero, los Estados miembros podrán disponer en su

legislación QUe la autoridad de control esté facultada para autorizar

una excepción.

Articulo 11

Obl lgaclón de notificación a la autoridad de control

1. Los Estados miembros preverán en su legislación Que el responsable

de un f 1 che ro de datos persona 1 es not 1 f 1 QUe 1 a creacIón de éste

cuando los datos se destinen a ser comunicados y no provengan de

fuentes genera 1 mente a e ces 1 b 1 es par a e 1 púb 1 1 co. La not 1 f 1 cae Ión

deberá Ir dirigida a la autoridad de control del Estado miembro en

e 1 Que esté s 1 tuado e 1 f 1 che ro o, cuando no esté ub 1 cado en un

Estado miembro, a la autoridad de control del Estado miembro en QUe

res 1 da e 1 responsab 1 e de 1 f 1 che ro. ~ste deber á not 1 f 1 car a 1 as

autor 1 da des nac lona 1 es competentes todo camb lo de f 1 na 1 1 dad de 1

fichero o de su dirección.

2. Los Estados miembros determinarán QUé Información debe notificarse

a la autoridad de control. Esta Información deberá Incluir, al

menos, el nombre y dirección del responsable del fichero, su

final ldad, una descripción de los tipos de datos QUe contenga, los

terceros QUe puedan de recibir los datos y una descripción de las

medidas adoptadas en apl lcaclón del articulo 18.

                            - 47 

3. Los Estados miembros podrán establecer que las disposiciones del

apartado 1 y 2 se apliquen a otros f lcheros del sector pr lvado y

que e 1 púb 11 co tenga acceso a 1 a 1 nformac Ión contemp 1 ada en e 1

apartado 2.

CAPITULO IV

DERECHOS DEL INTERESADO

Articulo 12

Consentimiento Informado

E 1 consent 1m 1 ento de 1 1 nteresado par a e 1 t r a tam 1 ento de da tos

personales que le conciernan, tal como se define en la presente

Directiva, únicamente será válIdo cuando:

a) el Interesado disponga de la siguiente Información:

fines del fichero y tipos de datos registrados;

tiPO. de utilización y, en su caso, destinatarios de los datos

personales contenidos en el fichero;

nombre y dirección del responsable del fichero.

b) el consentimiento sea especifico y expreso y precise qué tipos de

datos, formas de tratamiento y posibles destinatarios abarca;

e) pueda ser revocado por e 1 1 nteresado en todo momento s 1 n efectos

retroactivos.

Articulo 13

Información en el momento de la recogida de datos

1. Los Estados miembros garantIzarán a las personas de las que se

so 1 1 e 1 ten da tos persona 1 es e 1 derecho a ser 1 nformadas, a 1 menos

sobre:

                             - 48

a) los fines del fichero al Que vaya destinada la Información,

b) el carácter obligatorio o facultativo de su respuesta a las

preguntas QUe les sean planteadas,

e) las consecuencias Que para ellas podrla acarrear una falta de

respuesta,

d) los destinatarios de la Información,

e) la existencia del derecho de acceso y de rectificación de los

datos Que les conciernan y

f) el nombre y la dirección del responsable del fichero.

2. Las disposiciones del apartado 1 no se aplicarán a la recogida de

datos cuando la Información al lntereresado Impida el cumplimiento

de 1 as funcIones de contro 1 y de ver 1 f 1 cae Ión de una autor 1 dad

pública o el mantenimiento del orden público.

Articulo 14

Qerechos comolementarlos del Interesado

Los Estados miembros reconocerán al Interesado los siguientes derechos:

1. a oponerse, por razones legitimas, a Que los datos personales QUe

le conciernan sean objeto de tratamiento;

2. a no tener Que someterse a ninguna decisión administrativa o

privada Que ImpliQue una apreciación de su comportamiento fundada

únicamente en un tratamiento automatizado de datos personales Que

dé una definición de su perfil o de su personalidad;

3. a conocer la ex lstencla de un f lchero y sus f lnalldades

principales, asl como la Identidad y residencia habitual, dorniel 1 lo

social o establecimiento del responsable del fichero;

4. a obtener, con una frecuencia razonable y sin esperas ni gastos

ex ces 1 vos, 1 a conf 1 rmac Ión de 1 a ex 1 stenc 1 a o 1 nex 1 stenc 1 a en un

fichero de datos personales QUe le conciernan, asl como, en su

caso, la comunicación de esos datos en forma lntel lglble.

                            - 49                             

Los Estados miembros podrán prever que el derecho de acceso a los

datos de carácter médico únicamente pueda ejercerse por mediación

de un médico;

5. a obtener, en su caso, la rectificación de los datos en cuestión o

su supresión o bloqueo cuando su tratamiento no se ajuste a lo

dispuesto en la presente Directiva;

6. a obtener, previa petición, la supresión gratuita de los datos que

le conciernan registrados en ficheros de prospección comercial o

pub licitar la;

7. en caso de apl lcaclón del apartado 5 del presente articulo _y_ si los

datos han sido comunicados a terceros, a obtener la notificación a

éstos de la rectificación, supresión o bloqueo de dichos datos;

8. a disponer de una vla de recurso judicial en caso de violación de

los derechos garantizados en el presente articulo.

Articulo 15

ExcepcIones a 1 derecho de acceso de 1 1 nteresado a los f 1 che ros de 1

sector púb 1 1 co

1. Los Estados miembros podrán 1 Imitar por ley los derechos previstos

en Jos puntos 3 _y_ 4 del articulo 14 por motivos relacionados con:

a) la seguridad del Estado,

b) la defensa,

e) actuaciones penales,

d) la seguridad púb 11 ca,

e) un Interés económico _y_ financiero Imperativo, debidamente

Justificado, de un Estado miembro o de la Comunidad,

f) la necesidad de ejercer funciones de control o de Inspección de

la autoridad púb 11 ca, o

g) un derecho equivalente de otra persona _y_ derechos _y_ libertades

de terceros.

                              - 50                              

2. En los supuestos contemplados en el apartado 1, la autor ldad de

control deberá proceder, a petición del Interesado, a las

verificaciones del fichero que sean necesarias.

3. Los Estados miembros podrán limitar el derecho del Interesado a

acceder a aquellos datos que hayan sido recopilados temporalmente a

fin de obtener Informaciones estadlstlcas.

CAPITULO V

CALIDAD DE LOS DATOS

Artfculo 16

Principios

1. Los Estados miembros preverán que:

a> la recogida _y_ el tratamiento de datos personales se efectúen de

forma licita _y_ leal;

b) los datos sean registrados con fines determinados, expllcltos _y_

legltlmos _y_ utilizados de manera compatible con dichos fines;

e) los datos sean adecuados, pertinentes _y_ no excesivos con

relación a los fines para los Que se registren;

d) los datos sean exactos _y,_ cuando sea necesario, se actual Icen;

los datos Inexactos o Incompletos deberán ser supr lmldos o

rectificados;

e) los datos no sean conservados en una forma Que permita la

1 dent 1 f 1 cae Ión de 1 1 nteresado durante un per lodo super lor a 1

necesario para los fines para los Que se hayan registrado.

2. Incumbirá a los responsables del fichero garantizar el respeto de

las disposiciones previstas en el apartado 1.

                            - 51                             

Articulo 17

Categorlas especiales de datos

1. Salvo acuerdo 1 lbre, expreso _y_ escrito del Interesado, los Estados

miembros prohibirán el tratamiento automatizado de datos que

revelen el origen racial _y_ étnico, la opinión polltlca, las

convicciones re! !glosas o fl losóflcas, las afl Ilaciones sindicales,

as 1 como 1 as 1 nformac Iones re 1 ac lonadas con 1 a sa 1 ud _y_ 1 a v 1 da

sexua 1.

2. Por mot lvos Importantes de Interés público, los Estados miembros

podrán establecer excepciones a las disposiciones del apartado 1

sobre la base de una ley en la que se precisen los tipos de datos

que puedan ser reg 1st r a dos, 1 as personas que tengan acceso a 1

fichero _y_ las garantlas apropiadas contra los usos abusivos _y_ el

acceso no autorizado.

3. Los datos relativos a condenas penales únicamente podrán

conservarse en ficheros del sector públ leo.

Articulo 18

Seguridad de los datos

1. Los Estados miembros preverán en su legislación que el responsable

de 1 f 1 che ro esté ob 1 1 gado a adoptar 1 as med 1 das té en 1 cas _y_ de

organ 1 zac Ión necesar 1 as par a 1 a proteccIón de 1 f 1 che ro contra su

destrucción, accidental o no autorizada, asl como contra la pérdida

accidental, la alteración o el acceso _y_ cualquier otro tratamiento

no autorizado de datos personales.

                            - 52                             

Estas medidas deberán asegurar para los ficheros automatizados un

nivel de seguridad apropiado, habida cuenta, por una parte, de los

progresos técnicos en la materia y del coste de la aplicación de

éstos y, por otra parte, de la naturaleza de los datos que deban

protegerse y de la evaluación de los riesgos potenciales. A tal

fin, el responsable del fichero deberá tomar en consideración las

recomendaciones en materia de seguridad Informática y de

lnteroperabl 1 ldad de las redes elaboradas por la Comisión con

arreglo a las normas previstas en el articulo 29.

2. Para la transmisión de datos personales dentro de una red deberán

elegirse métodos que garanticen un grado adecuado de seguridad.

3. Para las consultas en linea, las Instalaciones técnicas y los

soportes lógicos deberán estar concebidos de manera que las

consultas se realicen dentro de los 1 imites de la autor lzaclón

concedida por el responsable del fichero.

4. Las obligaciones contempladas en los apartados 1 a 3 Incumbirán

Igualmente a las personas que, de hecho o por contrato, tengan el

control de las operaciones relacionadas con un fichero.

5. Las personas que, por sus act 1 v 1 da des profes lona 1 es, accedan a

Informaciones contenidas en ficheros no podrán comunicarlas a

terceros sin autorización del responsable del fichero.

CAPITULO VI

DISPOSICIONES ESPECIFICAS PARA DETERMINADOS SECTORES

Articulo 19

Los Estados miembros podrán establecer, para los organismos de prensa Y

del sector audiovisual, excepciones a las disposiciones de la presente

Directiva, en la medida en que sean necesarias para conc 111 ar e 1
derecho a la Intimidad con las normas que rigen la libertad de

Información y la de prensa.

sean necesarias para

normas que rigen la

conc 111 ar e 1

libertad de

                              - 53 

Articulo 20

Los Estados miembros Instarán a los medios profesionales a

participar en la elaboración de códigos deontológlcos o de buena

conducta europeos para determinados sectores, sobre la base de los

principios contenidos en la presente Directiva.

CAPITULO VIl

RESPONSABILIDAD Y SANCIONES

Articulo 21

Responsabl 1 ldad

1. Los Estados miembros preverán en su legislación que toda persona

cuyos datos personales estén registrados en un fichero _y_ que haya

resultado perjudicada por el tratamiento de éstos o por una acción

Incompatible con las disposiciones de la presente Directiva tenga

derecho a demandar al responsable del fichero por daños _y_

perjuicios.

2. Los Estados miembros podrán establecer que no se Imputen al

responsable del fichero los daños ocasionados por la pérdida o

destruccIón de datos de éste o por un acceso no autor 1 zado a 1

mismo, cuando demuestre haber adoptado las medidas apropiadas para

cumplIr los requisitos mencionados en los artlculos 18 _y_ 22.

Articulo 22

Tratamiento por cuenta del responsable del fichero

1. Los Estados miembros dispondrán en su legislación que el

responsable del fichero garantice, en caso de tratamiento por su

cuenta, e 1 respeto de 1 as med 1 das de segur 1 dad _y_ de organ 1 zac Ión

necesarias, _y_ el lja a una persona o una empresa que ofrezca

garantlas suficientes al respecto.

                            - 54                            

2. Las personas que recojan o traten datos personales por cuenta del

responsable del fichero deberán cumplir las obl lgaclones previstas

en los artlculos 16 _y_ 18 de la presente Directiva.

3. El contrato deberá ser escrito _y_ deberá estipular, en particular,

que el destinatario de los datos personales o sus empleados

únicamente pueden divulgar dichos datos previa autorización del

responsable del fichero.

Articulo 23

Sanciones

Los Estados miembros preverán en su legislación la apl lcaclón de

sanciones disuasivas a fin de garantizar el cumpl lmlento de las normas

adoptadas en apl lcaclón de la presente Directiva.

CAP fTULO VIII

TRANSFERENCIA PE PATOS PERSONALES A TERCEROS PAISES

Articulo 24

Principios

1. Los Estados miembros preverán en su legislación que la

transferencia a un tercer pals, temporal o definitiva, de datos

personales que sean objeto de tratamiento o hayan sido reunidos con

objeto de someterlos a tal tratamiento únicamente pueda efectuarse

cuando el tercer pals garantice un nivel de protección adecuado.

2. Los Estados miembros Informarán a la Comisión de los casos en que

un tercer pals receptor no garantice un nivel de protección

adecuado.

                         - 55                         

3. Cuando 1 a Corn 1 s Ión compruebe, b 1 en sobre 1 a base de 1 as

Informaciones de los Estados miembros, bien a partir de otras

Informaciones, Que un tercer Estado no dispone de un nivel de

proteccIón adecuado y Que 1 a s 1 tuac Ión QUe de e 1 1 o se der 1 va es

per jud 1 e 1 a 1 para los 1 ntereses de 1 a Comun 1 dad o de un Estado

miembro, podrá entablar negociaciones con vistas a remediar esta

s 1 tuac Ión.

4. La Comisión estará facultada para decidir, con arreglo al

procedimiento definido en el apartado 2 del articulo 30 de la

presente Directiva, si un tercer pals garantiza un nivel de

protección adecuado en consideración a los compromisos

Internacionales suscritos por éste o a su legislación Interna.

5. Las medidas adoptadas en virtud del presente articulo se ajustarán

a las obligaciones QUe la Comunidad haya contraldo en virtud de

acuerdos Internacionales, tanto bl laterales como multl laterales,

sobre la protección de las personas en materia de tratamiento

automatizado de datos personales.

Articulo 25

Excepciones

1. Previa presentación por el responsable del fichero de una

justificación suficiente para garantizar el respeto de un nivel de

protección adecuado, un Estado miembro podrá establecer una

excepción a las disposiciones del apartado 1 del articulo 24 con

respecto a una exportación determinada. No obstante, el Estado

miembro únicamente podrá hacer tal excepción tras haber Informado a

la Comisión y a los Estados miembros y si ninguno de éstos ni

aQuélla manifiestan su oposición en un plazo de 10 dlas.

2. En caso de manifestarse tal oposición, la Comisión adoptará las

medidas apropiadas con arreglo al procedimiento definido en el

apartado 2 del articulo 30.

                            - 56                            

CAPITULO IX

AUTORIDAD DE CONTROL Y GRUPO DE PROTECCIÓN DE DATOS PERSONALES

Articulo 26

Autoridad de control

1. Los Estados miembros velarán por que una autoridad Independiente

competente se encargue de 1 contro 1 de 1 a proteccIón de los datos

personales. Esta autoridad controlará la aplicación de las

disposiciones nacionales adoptadas en virtud de la presente

Directiva _y_ ejercerá todas las funciones que ésta le asigna.

2. Esta autoridad dispondrá de los medios de Investigación _y_ del poder

efectivo de Intervenir contra la creación _y_ explotación de ficheros

que no se ajusten a las disposiciones de la presente Directiva. A

tal fin, tendrá acceso a Jos ficheros a Jos que se aplique la

presente o 1 rect 1 va _y_ podrá recabar toda 1 a 1 nformac Ión necesar 1 a

para el cumplimiento de su misión de control.

3. Cualquier persona podrá someter a dicha

reclamaciones relativas a la protección de

referente a los datos personales.

autoridad queJas

1 as personas en

o

lo

Articulo 27

Grupo de protección de datos personales

1. Se crea un Grupo de Protección de Datos Personales. Este Grupo, de

carácter consultivo e Independiente, estará compuesto por

representantes de la autoridad de control, prevista en el articulo

26, de todos los Estados miembros, _y_ estará presidido por un

representante de la Comisión.

2. Los servicios de la Comisión se harán cargo de la secretaria del

Grupo de Protección de Datos Personales.

                             - 57                              

3. E 1 Grupo de ProteccIón de Da tos Persona 1 es estab 1 ecer á su prop 1 o

reglamento de régimen Interior.

4. El Grupo de Protección de Datos Personales examinará los asuntos

Incluidos en el orden del dla por su presidente, bien por

Iniciativa de éste, bien a petición motivada de un representante de

las autoridades de control; dichos asuntos se referirán a la

apl lcaclón de las disposiciones del Derecho Comunitario en materia

de protección de datos personales.

Articulo 28

Funciones del Grupo de Protección de Datos Personales

1 . E 1 Grupo de ProteccIón de Da tos Persona 1 es tendrá 1 as s 1 gu 1 entes

funciones:

a) contribuir a la Interpretación homogénea de las normas

nacionales adoptadas en apl lcaclón de la presente Directiva;

b) emitir un dictamen sobre el nivel de protección existente

dentro de la Comunidad _y_ en terceros paises;

c) asesorar a la Comisión sobre proyectos de medidas

comp 1 ementar 1 as o espec 1 f 1 cas que deban adoptarse para

garantizar la protección de la Intimidad.

2. El Grupo de Protección de Datos Personales Informará a la Comisión

de toda divergencia grave que compruebe entre la legislación _y_ las

prácticas de los Estados miembros en materia de protección de datos

personales, _y_ que puedan poner en peligro la equivalencia de la

protección dentro de la Comunidad.

                             - 58                              

3. El Grupo de Protección de Datos Personales podrá emitir

recomendaciones sobre todos los asuntos relacionados con la

protección de las personas en lo referente a los datos personales

dentro de la Comunidad. Las recomendaciones constarán en acta y

podrán transmitirse al Comité consultivo mencionado en el articulo

30. La Comisión Informará al Grupo de Protección de Datos

Personales del curso dado a sus recomendaciones.

4. El Grupo de Protección de Datos Personales elaborará un Informe

anual sobre el estado de la protección de las personas en lo

referente al tratamiento de datos personales dentro de la Comunidad

y en los terceros paises, y lo comunicará a la Comisión.

CAPITULO X

POTESTAD REGLAMENTARIA DE LA COMISIÓN

Articulo 29

Elerclclo de la potestad reglamentaria

Con arreglo al procedimiento previsto en el apartado 2 del articulo 30,

la Comisión adoptará las normas técnicas necesar las para aplicar la

presente o 1 rect 1 va a 1 as car acter 1st 1 cas espec 1 f 1 cas de determ 1 na dos

sectores, atendiendo a los progresos técnicos en la materia y a los

códigos de buena conducta.

Articulo 30

Comité consultivo

1. La Comisión estará aslstldda por un Comité consultivo compuesto por

representantes de los Estados miembros y presidido por el

representante de la Comisión.

                              - 59                              

2. El representante de la Comlsl6n someterá al Comité un proyecto de

las medidas Que deban adoptarse. El Comité emitirá su dictamen

sobre dicho proyecto en un plazo Que el presidente podrá fiJar en

funcl6n de la urgencia del asunto, procediendo, en su caso, a una

votacl6n. El dictamen se Incluirá en el acta; además, cada Estado

miembro tendrá derecho a solicitar Que su poslcl6n conste en acta.

La Com 1 s 16n tendrá en cuenta, en 1 a mayor med 1 da pos 1 b le, e 1

dictamen emitido por el Comité. Informará al Comité de la manera en

Que ha tenido en cuenta dicho dictamen.

DISPOSICIONES FINALES

Articulo 31

1. Los Estados miembros adoptarán las disposiciones legales,

reglamentarias y administrativas necesarias para cumplir la

presente Directiva, a más tardar el 1 de enero de 1993.

Las disposiciones adoptadas en virtud del párrafo primero se

referirán expllcltamente a la presente Directiva.

2. Los Estados miembros comunicarán a la Comlsl6n el texto de las

disposiciones de Derecho Interno Que adopten en el ámbito regulado

por la presente Directiva.

                            - 60                            

Articulo 32

La Comisión presentará periódicamente al Consejo _y_ al Parlamento

Europeo un Informe sobre la apl lcaclón de la presente Directiva,

acompañado, en su caso, de las oportunas propuestas de modificación.

Articulo 33

Los destinatarios de la presente Directiva serán los Estados miembros.

Hecho en Bruselas,

Por el Consejo

                             - 61 

Proyecto de

RESOLUCIÓN DE LOS REPRESENTANTES DE LOS GOBIERNOS DE LOS ESTADOS

MIEMBROS DE LAS COMUNIDADES EUROPEAS, REUNIDOS EN EL SENO DEL

CONSEJO

Los representantes de los Gobiernos de los Estados miembros de las
Comunidades Europeas, reunidos en el seno del Consejo,

Considerando que la Directiva del Consejo relativa a la protección de
las personas en lo referente al tratamiento de datos personales,
garantiza la protección de la Intimidad de las personas en cuanto al
tratamiento de los datos personales contenidos en los ficheros del
sector privado _y_ del sector públ leo, con la exclusión de los ficheros
del sector públ leo cuyas actividades no estén comprendidas en el ámbito
de apl lcaclón del Derecho Comunitario;

Deseosos de facl 1 ltar la cooperación entre las administraciones de los
Estados miembros en los sectores que no están sujetos al Derecho
Comunitario, garantizando, al mismo tiempo, un alto nivel de protección
de la Intimidad de los Interesados;

Considerando que los principios contenidos en la Directiva concretan _y_
amplfan los contenidos en el Convenio del Consejo de Europa, de 28 de
enero de 1981, para la protección de las personas en lo referente al
tratamiento automatizado de datos personales;

ADOPTAN LA PRESENTE RESOLUCIÓN:

Los gobiernos de los Estados miembros se comprometen a aplicar al
sector público no sujeto al Derecho Comunitario los principios
contenidos en la Directiva del Consejo relativa a la protección de las
personas en lo referente al tratamiento de datos personales, _y_ a
Iniciar, con este fin, los procedimientos legislativos necesarios.

                                - 62                                

Declaración de la Comisión relativa a la aplicación a las Instituciones
Y organ 1 SIROS de 1 as Comun 1 da des Europeas de 1 os pr 1 nc 1 p 1 os de 1 a
Directiva del Consejo relativa a la protección de las personas en lo
referente al trata•lento de datos personales.

1. La Comisión considera que los principios de la Directiva relativa a
la protección de las personas en lo referente a los datos personales
(la .. Directiva .. ) deben ser aplicados a las Instituciones _y_ organismos
de las Comunidades Europeas.

2. Con este fin, la Comisión adoptará _y_ propondrá a la mayor brevedad
las medidas necesarias.

3. A la espera de la adopción de dichas medidas, la Comisión se
compromete a apl lcar los principios de la Directiva a todo tratamiento
de datos personales que sea de su competencia.

4. La Comisión considera que las demás Instituciones de las
Comunidades deben también comprometerse a apl lcar los principios de la
Directiva a todo tratamiento de datos personales que sea de su
competencia.

    - 63 

PROPUESTA DE DIRECTIVA DEL CONSEJO

SYN 288

RELATIVA A LA PROTECCIÓN DE LOS DATOS PERSONALES Y DE
LA INTI"IDAD EN RELACIÓN CON LAS REDES PÚBLICAS DIGITALES
DE TELECOMUNICACIÓN Y, EN PARTICULAR, LA RED DIGITAL
DE SERVICIOS INTEGRADOS (RDSI) Y LAS REDES MÓVILES

DIGITALES PÚBLICAS

                      - 64 

ÍNDICE

## A. RESUr·1EN ..........................................................

B. EXPOSICIÓN DE MOTIVOS - •••••••••••••••••••••••••••••••••••••••••••

I. Introducción - ••••••••••••••••••••••••••••••••••••••••••••••••••••

II. Nuevos requisitos especificas sobre protección

de los datos personales y de la intimidad en

el sector de las telecomunicaciones     - •••••••••••••••••••••••••••••

III. El planteamiento propuesto: disposiciones del

proyecto de Directiva    - ••••••••••••••••••••••••••••• ~    - ••••••••••••

IV. Conclusiones - ••••••••••••••••••••••••••••••••••••••••••••••••••••

PROPUESTA DE DIRECTIVA DEL CONSEJO RELATIVA A LA PROTECCIÓN DE LOS DATOS PERSONALES

Y LA INTIMIDAD EN RELACIÓN CON LAS REDES PÚBLICAS DE TELECOMUNICACIÓN DIGITALES Y,

Et~ PARTICULAR, LA RED DIGITAL DE SERVICIOS INTEGRADOS (RDSI) Y LAS REDES I"IÓVILES

DIGITALES PÚBLICAS

                                - **65**                                 
**A.** **RESUMEN**

Las redes pGblicas digitales de telecomunicaciones se estin introduciendo ahora en

_todn_ ln Comunidad. Durante los primeros años de esta década mis del 7U% de la

transmisión de larga distancia seri digital, así como más del 50% de la conmutación

de larga distancia y más del 30% de La conmutación local.

La generalización de Las redes p~blicas digitales de telecomunicaciones en La

Comunidad y, especialmente, la utilización de la Red Digital de Servicios Integrados

(RDSI) y los nuevos servicios móviles digitales, permitirán ofrecer una amplia gama

de servicios avanzados a La población, pero exigirán también un enfoque com~n en

toda la Comunidad para la protección de La intimidad, de los datos personales y de

la confidencialidad de Los datos ncorde con los requisitos específicos de los

nuevos sistemas de telecomunicación digital.

En repetidas ocasiones el Consejo y el Parlamento Europeo han reconocido La

importancia fundamental de adoptar medidas adecuadas en Lo relativo a La protección

de rlatos y de La intimidnd para el desarrollo futuro de Las telecomunicaciones en La

Comunidad Europea. Concretamente,

en sus resoluciones sobre las telecomunicaciones

cJel 14 de diciembre de 1988, el

específicas destinadas a "asegurar

Parlamento Europeo invitó a adoptar medidas

La protección de Los datos y salvaguardar la

discreción" y recordó a la Comisión "<1ue es políticamente responsable de asegurar

que las propuestas legislativns sobre la apertura de los mercados de

telecomunicaciones, con lns fórmulas jurídicas apropiadas, vayan acompañadas de

medidas a nivel comunitario relativas a la protección de Los datos referentes a las

personas".

Las consecuencias de La introducción de redes digitales con respecto a La protección

de Los datos personales y de La intimidnd está suscitando un interés creciente en La

Comunidad. En una resolución adoptada en agosto de 1989 en Berlín, los delegados

expertos en materia de protección de datos enviados por los Estados miembros

hicieron tln llamamiento para que se pusiera especial interés en la protección de los

datos personales y de la intimidad en relación con la RDSI.

La propuesta adjunta se propone satisfncer estos requisitos específicos con respecto

_a_ ln protección de los datos personales y de la intimidad en el campo de Las nuevas

redes públicas digitales de telecomunicaciones. La presentación de este texto viene

a complementar las nropuestas formuladas por La Comisión sobre la creación de un

marco ~eneral pnra La protección de datos en la Comunidad.

                                - 66                                

LH protección efectiva de los datos personales y de la intimidad se est~

convirtiendo en una condición previa esencial para lograr la aceptación pública de

las nuevas redes y servicios digitales. Esta protección ha de ser un componente

esP.ncial _de_ la política comunitaria _de_ telecomunicaciones, que tiene por objeto

ofrecer a los europeos todos los beneficios _de_ los servicios avanzados de

telecomunicaciones en un momento en que la Comunidad se dispone a entrar en una fase

en la que la información será mucho más importante que antes.

Este objetivo global es el que ha guiado la elaboración de la propuesta de Directiva

del Consejo adjunta.

                     - 67 

B. EXPOSICIÓN DE MOTIVOS

I. HHI~ODUCC IÓN

La generalización actual de las telecomunicaciones públicas digitales en la
Comunidad y, esp;cialmente, la utilización de la Red Digital _qe_ Servicios
Integrados (RDSI) y de los nuevos servicios móviles digitalesc permitiran
ofrecer al público una amplia gama de servicios de telecomunicaciones pero,
al mismo tiempo, exigirán un enfoque común europeo para la protección de La
intimidad, de Los datos personales y de La serjuridad de Los datos en
relación con Los requisitos específicos de Los nuevos servicios digitales de
telecomunicaciones.

En su ResoLución sobre la i nt roducc i ón coordi nñda de La Red Di gi t'3l de
Servicios Integrados en La Comunidad Europea de 12 de diciembre de 1986, el
Parlamento Europeo afirmó que "para el desarrollo de las redes telefónicas
como en La futura Red Digital de Servicios Integrados CRDSI) ofrecerá un
gran número de servicios adicionales a Los abonados comerciales y
privados     - •• " pero instó a La Comisión a que "presente propuestas que
indiquen cómo debería actuarse de manera más adecuada, a fin de garantizar
en La red europea RDSI, información, un nivel de protección de datos
uniforme y adecuada a las mayores posibiLidades técnicas de este nuevo
sistema". En un contexto más general, el Parlamento Europeo volvió 4a
insistir en este problema en sus resoluciones de 14 de diciembre de 1988,
en Las c:ue pedía que se r~doptaran medirlas específicas en relación con La
utilización de las redes de telecomunicaciones "para garantizar la
protección de los datos y de la confidencialidad" y recordó a la Comisión

c~ue era "políticamente responsable de asegurar que las propuestas

Le~isl.ativas sobre La apertura de Los mercados de telecomunicaciones, con
Las fórmulas jurídicas apropiadas, fueran acompañadas de medidas a nivel
comunitario relativas a la protección de los datos referentes a las personas

## . . . .

"

Recomendación del Consejo de 22 de diciembre de 1986 relativa a la introducción
de la Red Digital de Servicios Integrados (RDSI) en La Comunidad Europea
(86/659/CEE).

La r~DSI puede considerarse como una evolución normal de La red telefónica que
permitirá mediante un acceso único CJUe utilizará las líneas actuales de Los
abonados, la trasmisión de la voz (telefonía), de textos, datos e imágenes
utilizando una multitud de servicios más eficaces o nuevos (para más detalles
véase la Recomendación del Consejo 86/65()/CEE y el capítulo II).

De conformidad con La Recomendación del Consejo, la Comisión ha presentado hasta

La fecha dos informes periódicos sobre la aplicación de la RDSI CCOr·HW3) 589;
cor:c9U) 123).

2 Recorn2ndación del Consejo de 25 de junio de 1987 relativa a la introducción
coordinada de comunicaciones móviLes terrestres digitales celulares públicas
paneuroreas en La Comunidad (87/371/CEE, DO L 196 de 17.7.1<;87, p. 81) y
Directiva del Consejo de 25 de junio de 1987 sobre Las bandas de frecuencia que
han de reservarse para La introducción coordinada de comunicacones móviles
terrestres digitales celulares públicas paneuropeas en La Comunidad (87/372/CEE,
DO L 196 de 17.7.1987, p. 85), así como Las subsiguientes propuestas presentadas
por La Comisión en el campo de las comunicaciones móviles digitales públicas.

3 Resolución sobre la Recomendación del Consejo 86/659/CEE, DO C 7 de 12.1.1987,
p. 334.

4 Resolución sobre Correos y Telecomunicaciones, DO C 12 de 16.1.1989,
Resolución sobre la necesidad de poner fin a La fragmentación
telecomunicaciones, DO C 12 de 16.1.1939, p. 66.

p. 69;
en las

                              - 68                              

l::L Consejo, en su Resolución de .~U de junio de 1<Joo') en la que aprobó los
principi?s. recogidos ~n el Libro Verde sobre el gesarrollo del mercado coman
de serv1c1os y equ1pos de telecomunicaciones y apoyó globalmente los
objefivos del programa recogidos en la Comunicación de 9 de febrero de
1988, consideró corno uno de los grandes objetivos de la política de
telecomunicaciones "proteger los datos personales y hacer posible el acceso
del individuo, gracias a los nuevos medios de comunicación, a un entorno
mucho más rico en información".

E~ ~u Resolució~ ~obre una mayor coordinación en la introducción de la R~d
D1g1tal de Serv1c1os Integrados CRDS!) en la Comunidad Europea para 1992,
el Consejo reiteró su preocupación con respecto a la RDSI insistiendo en La
necesidad de "analizar más detalladamente a escala europea los requisitos
para la protección de La intimidad del usuario y los requisitos relativos a
la seguridad de las comunicaciones, teniendo en cuenta las características
de los nuevos servicios, y de acuerdo con la Resolución del Parlamento
Europeo de 12 de diciembre de 1986 sobre la Recomendación 86/659/CEE".

En su undécima conferencia internacional celebrada en Berlín del 28 al 31 de
agosto de 1989, los representantes de las autoridades responsables de la
protección de datos en los Estados miembros adoptaron una resolución
pidiendo 0,ue se considerara con especial cuidado La cuestión de la
protección de los datos y la intimidad en el contexto de la RDSI.

Mediante la propuesta adjunta, la Comisión responde a la necesidad de
adoptar medidas específicas en toda La Comunidad sobre La protección de los
datos personales y de la intimidad en relación con La utilización de Las
nuevas redes públicas digitales de telecomunicaciones y, especialmente, de
la Red Digital de Servicios Integrados y Las redes móviles digitales
ptJLicas. La propuesta responde a La preocupación profunda y justificada
sobre Las repercusiones inmediatas de las redes digitales en materia de
protección de Los datos personales y de la intimidad. Asimismo, la Comisión
reconoce que La protección de datos y La protección de la intimidad son

esenciale~ ante La perspectiva del desarrollo de una red abierta en La
Comunidad •

La propuesta debe enmarcarse en los debates y principios generales
establecidos en Europa con respecto a La protección de datos personales
mediante el Convenio de 19U1 del Consejo de Europn para la Protección de Las
Personas con respecto al Tratamiento Automático _de_ Datos Personales, cuyo
texto ha sido ratificado hasta la fecha por siete Estados miembros de La
Comunidad. La propuesta presentada viene a complementar Las que ha ido
presentando La Comisión para el establecimiento de un marco general para La
protección de datos en la Co111unidad y, especialmente, el proyecto de
directiva del Consejo relativa a La aproximación de determinadas
disposiciones legales, reglamentarias y administrativas de Los Estados

S Resolución del Consejo, de 30 de junio de 1988, sobre el desarrollo del mercado
común de Los servicios y equipos de telecomunicaciones de aquí a 1992 (DO C257,
p. 1).

6 COI',I (87)290

7 Hacia un mercado ele las telecomunicaciones competitivo y de alcance comunitario
en 1992: aplicación del Libro Verde sobre el desarrollo del mercado com~n de
Los servicios y equipos de telecomunicaciones, situación de Los debates y
propuesta de La Comisión CCOi~l (88)48).

8 DO C1~6 de 1 de Agosto de 1989, p. 4.

~ Posición coman adoptada por el Consejo el S de febrero de 1990 con vistas a la
adopción de una directiva sobre el establecimiento del mercado interior de Los
servicios de telecomunicaciones mediante La realización de la Oferta de Red
Abierta (DO   - •• ).

                         - 69                         

miembros sobre La protección de Las personas con respecto al tratamiento de
datos personales; el proyecto de decision del Consejo relativo a La apertura
de negociaciones con vistas a La adhesión de La Comunidad Económica Europea,
en aqueL Los ámbitos que entran dentro de su competencia, al Convenio deL
Consejo de Europa sobre protección de las personas con respecto al
Tratamiento Automático de Datos Personales y el proyecto de decisión del
Consejo relativa a la seguridad de los sistemas de información.

Además, la Comisión elaborará normas internas con el fin de garantizar a los
interesados un nivel de protección equivalente al de los principios de la
Directiva antes mencionada.

Dentro de este contexto general, la Directiva adjunta aportará las
disposiciones específicas necesarias para la aproximación de las
disposiciones Legales, reglamentarias y administrativas dentro de la
Comunidad en materia de protección de los datos personales y de la intimidad
con respecto a las redes digitales públicas de telecomunicaciones fijas o
móviles y a los nuevos servicios "inteligentes" que ofrecen.

                     - 70 

II. NUEVOS REQUISITOS ESPECÍFICOS SOBkE PROTECCIÓN DE LOS DATOS PERSONALES Y DE
LA INTIMIDAD EN EL SECTOR DE LAS TELECOMUNICACIONES

La "digitalización" de las redes públicas de telecomunicaciones ya se está
llevando a cabo en toda la Comunidad. Se espera que en los primeros años de
esta década más del 70% de las transmisiones a larga distancia, más del 50%
de las conmutaciones a larga distancia y del 30% de las conmutaciones
locales sean digitales.

La digitalización significa la introduccón _de_ centrales totalmente
informatizadas asi como el tratamiento y la transmisión de toda la
información transmitida por las r&es de telecomunicaciones <voz, dctos _e_
imagen) mediante dígitos binarios     - La 11 corrriente de bits" que se genera
de esta forma puede ser manipulada directamente gracias a la inteligencia
del ordenador, tanto desde la red como desde la terminal del abonado. Con
ello se Logra una calidad de los servicios que no puede alcanzarse con Las
técnicas analógicas tradicionales, así como un gran número de nuevas
funciones "inteligentes" que permiten introducir una amplia gama de
actividades a través de las redes de telecomunicaciones. La Red Digital de
Servicios Integrados que se está desarrollando y Los nuevos sistemas
públicos de comunicaciones móviles digitales permiten ef;~tuar
comunicaciones digitales de "extremo a extremo" (de abonado a abonado)    

Por lo que se refiere a la protección de datos, la introducción de redes
p0blicas digitales tiene principalmente dos efectos.

Por una parte, Las técnicas totalmente informatizadas de que se dispone en
La actualidad oueden aumentar considerablemente el grado de protección de
los datos para necesidades especificas, _como_ Las técnicas sofisticadas _de_
cifrado.

Por otra parte, gracias al tratamiento digital de los datos operativos y de

llamada, y al tratamiento en centrales informatizadas, seria posible, sin
necesidad de medidas especificas de protección de datos, el almacenamiento y
control sistemático de Los datos relacionados con l.as llamadas, como la
Localización de su ori~Jen. Esta posibilidad requería un esfuerzo técnico
considerable con las redes tradicionales analógicas "no inteligentes" y, por
consiguiente, sólo se utilizaba excepcionalmente.

A la vez, Las nuevas funciones inteligentes de 1 ~elecomunicaciones, tal como
vienen definidas en los "servicios adicionales" de la RDSI, ofrecen a Los
abonados un número considerable de posibilidades que mejoran la calidad de
los servicios y garantizan una mayor protección del consumidor, como por
ejemplo, La facturaci6n desglosada. No obstante, si se quiere garantizar la
protección de la intimidad en este nuevo contexto, será necesario adoptar
medidas y reglamentaciones especificas.

Por consigtJiente, La introducción de redes digitales de telecomunicaciones
en la Comunidad nlantea una serie de problemas específicos en lo
concerniente a la protección de elatos personales que deberán examinarse,
cor,ro La utilización ele:

datos sobre abonados, que cada vez más se van almacenando en ficheros
informáticos de abonados;

1LJ Los ordenadores tratan toda La información mediante 11 digitos binarios", es
decir, convirtiendo toda la información en elementos informativos fundamentales
Chits) con valores U o 1.

11 Véanse Las Recomendaciones del Consejo 86/659/CEE y 87/371/CEE, notas 1 y 2

supra.

12 Para más detalles, véase la Recomendación del Consejo 86/659/CEE, nota 1 supra.

                       - 71                       

datos sobre tráfico y otros datos operativos;

datos correspondientes a facturaciones desglosadas;

identificación de l.a LínPa dP llamada (Localización del origen de La
Llamada);

desviación automAtica de Las Llamadas a terceros;

mensajes no solicitados;

características técnicas específicas para terminales y otros equipos que
puedan ser necesarios para ofrecer una protección adecuada;

Las disposiciones generales sobre protección de datos personales, tales como
Las promovidas por el Convenio del Consejo de Europa y que se van a
establecer en La Comunidad a través de Las iniciativas de La Comisión antes
mencionadas, proporcionan un marco general, pero no puntualizan Los detalles
necesarios para hacer frente a estos problemas.

Las disposiciones generales sobre protección _de_ datos personales no bastan
para impedir Las discrepanci~s Legales, reglamentarias y administrativas que
están apareciendo en Los Estados miembros con respecto a La explotación de
Las futuras redes digitales y que, en breve, podrían poner en peligro tanto
el mercado comun de Los servicios de telecomunicaciones como el de equipos
terminales.

Por ejemplo, por lo que respecta a La identificación de La Línea de Llamada,
algunos Estados miembros tienen previsto establecer la posibiLidad de que
Los abonados que originan La LLamada puedan suprimir esta posibiLidad en
casos concretos. Si unas veces esta supresión puede realizarse pulsando una
tecla del aparato y, en otros casos, se decide establecer un código que
habrá que marcar previamente al nGmero de teléfono, quedaría dificultada La
Libre circulación de Los equipos terminales en La Comunidad.

Si se comparan Las disposiciones nacionales actuales, aparecen discrepancias
considerables tanto en Lo flUe se refiere al contenido como a La naturaleza
de los instrumentos jurídicos utilizados. Todo ello está ocasionando una
incertidumbre jurídica en La Comunidad por cuanto se refiere a Las redes y
servicios de telecomunicaciones que podría dificultar sustancialmente La
prestación de servicios transfronteriza.

Estas discrepancias que están apareciendo en La Comunidad no podrán evitarse
si no se adopta una Directiva que contenga las disposiciones de aplicación
necesarias de Los principios generales sobre protección de Los datos y de La
intimidad por cuanto se refiere a Las redes digitales fijas y móviles.

AL mismo tiempo, La necesidad de una normativa comunitaria para La
protección efectiva de Los datos personales y de La intimidad se está
convirtiendo en una condición previa esencial para La aceptación pública de
Los nuevos servicios y redes digitales, tal como Lo confirmó el Consejo
drJrante su reunión del 7 de noviembre de 1989 en La cual, refiriéndose a Los
aspectos sociales de Las telecomunicaciones, declaró La necesidad de
garantizar La protección de la intimidad y de Los datos personales dentro de
una perspectiva europea.

Este es el objeto concreto de La propuesta ele Directiva del Consejo adjunta.

                  - 72 

III. EL PLANTEAMIENTO PROPUESTO: DISPOSICIONES DEL PROYECTO DE DIRECTIVA

EL objetivo global de la Directiva propuesta consiste en garantizar en toda
la Comunidad un nivel básico de protección de los datos personales y de La
intimidad de los usuarios europeos, que debiera aplicarse de forma general
en las nuevas telecomunicaciones digitales, especificando a la vez Los
requisitos necesarios para lograr un mayor nivel de protección de los datos
en casos concretos y aplicaciones de las medidas concretas que van a
desarrollarse en el marco del programa de trabajo establecido en La
proruesta de Decisión del Consejo presentada por la Comisión sobre La
seguridad de los sistemas de información anteriormente mencionados.

La propuesta de Directiva tiene por objeto alcanzar un nivel básico de
protección general de los abonados en los nuevos sistemas digitales haciendo
hincapié en dos principios fundamentales.

reducir al m1n1mo el riesao de utilización abusiva de los datos,
limitando su t rat amiento y almacenamiento con motivo de la exp lot ación
de una red pública de telecomunicaciones al mínimo indispensable para
garantizar el funcionamiento adecuado, la calidad del servicio prestado
y la comodidad del usuario;

garantizar plenamente el respeto de la voluntad del abonado respecto de
la información proporcionada, tanto en lo que se refiere a Las empresas
de telecomunicaciones que ofrecen los servicios como a La otra parte
implicoda en una Llamada y a todos los terceros que quieran tener acceso
a Los datos transmitidos o facilitados con motivo de una transacción

efectuada a través de una red p~hlica de telecomunicaciones.

En vista de que Las repercusiones más importantes del nuevo sistema de
telecomunicaciones para los abonados en general afectará a la telefonía de
voz, la Directiva propuesta se ha centrado en este aspecto. No obstante,
establece también un procedimiento para la aplicación de las disposiciones
relacionadas con el servicio de telefonía de voz a otros servicios públicos
digitales de telecomunicaciones, cuando proceda, como en el caso de Los
servicios públicos de transmisión de datos en relación con la RDSI así como
las redes públicas de transmisión de datos por conmutación de paquetes y de
circuitos y otros servicios públicos de telecomunicación afines.

Dada la situación de transición que atraviesan las redes públicas de
telecomunicación en la Comunidad y, especialmente, en vista de que algunas
centrales "de control por programa almacenado (SPC)", proporcionan algunas
de Las funciones inteligentes en cuestión, aunque no sean aún totalmente
digitales, la Directiva propuesta contempla aquellos casos en que Los
Estados miembros no han aplicado aún la Red Digital de Servicios Integrados
o Las redes móviles digitales públicas, de forma que las disposiciones de la
Directiva deberán cumplirse en la medida en que se apliquen también a
servicios que utilizan redes analógicas.

Partiendo de estos rrincirios generales, la Directiva propuesta se refiere
concretamente a: recogida, almacenamiento y tratamiento de datos personales
en ficheros de abonados; almacenamiento y tratamiento de datos de
facturación y tr~fico, centrándose sobre todo en Las facturas desglosadas;
identificación de la línea de llamada, acceso por parte de terceros;Llamadas
!'lo solicitadas; y procedimientos r¡ue deberán seleccionarse para establecer
Las normas técnicas específicas que ptJedan resultar necesarias.

                   - 73 

A continuación, se expone brevemente el contenido de los artículos de la
Directiva:

Los artículos 1 y 2 describen los objetivos globales de la Directiva y su
aplicación a la protección de los datos y la intimidad en relacion con los
servicios públicos de telecomunicación de las redes públicas digitales de
telecomunicación dentro de la Comunidad.

El artículo 3 recoge definiciones de términos importantes en consonancia con
La propuesta de Directiva del Consejo sobf3 la realización de La Oferta de
Red Abierta (ONP) anteriormente mencionada     

EL principio general sentado en el artículo 4, según el cual la recogida,
almacenamiento y tratamiento de datos personales por una entidad de
telecomunicaciones sólo se justifica para proporcionar el servicio de que se
trate y no puede utilizarse sin autorizacion Legal espec1fica o sin el
consentimiento previo explícito del abonado con otra finalidad, se aplica a
la elaboración de ficheros de abonados contemplada en el artículo S. Tal
como se especifica en los considerandos de la Directiva, la recogida, el
almacenamiento y el tratamiento de datos personales no podrán utilizarse
para dar una ventaja ilícita a una entidad de telecomunicaciones con
respecto a otras empresas de servicios en sectores competitivos.

El artículo 6 especifica Los derechos del abonado con respecto a los datos
personales suyos en posesión de una entidad de telecomunicaciones y el
artículo 7 establece el principio d~ no revelación de dichos datos a
terceros sin consentimiento del interesado o autorización legal.

Gracias al artículo 8 debería poder garantizarse un nivel adecuado de
protección de datos contra el acceso no autorizado de terceros.

Los artículos 9 y 10 limitan La recogida, el almacenamiento y el tratamiento
de datos personales a los datos de facturación y de tráfico en la medida en
<lUe sea necesario para los servicios de telecomunicacion. El objeto del
artículo 11 es proteger La intimidad de Los abonados en relación con Las
facturas desglosadas mediante el r~quisito de anonimato del abonado Llamado.

Los artículos 12 y 13 recogen disposiciones detalladas sobre la
identificación de la línea de Llamada. Debe darse La posibilidad de suprimir
el sistema de identificacion, entre otras cosas, porque las personas que
efectúan llamadas a centros de rehabilitación de toxicómanos o alcohólicos,
de asistencia familiar o de salud mental, o que efectuan Llamadas desde los
mismos, temen evidentemente que este serv1c1o pueda comprometer su
anonimato. Lo mismo se aplica a Los "teléfonos de La esperanza" (suicidio,
SIDA).

No obstante, el abonado Llamado puede tener un interés Legítimo en recibir
únicamente Llamadas identificadas. Para garantizar el derecho a decidir La
información proporcionada tanto a la parte que origina La Llamada como a La
<1Ue La recibe, ésta debe tener, por lo tanto, La posibilidad de aceptar
únicamente aquellas llamadas en las que se identifica el número del abonado
que efect~a la llamada.

Además, La entidad de telecomunicación debería disponer de una función de
bloqueo para evitar que desparezca la identificación en Los casos de
Llamadas maliciosñs; esta función también debe poder utilizarse para La
represión de delitos penales y pñra Los servicios de urgencia, especialmente
Los bomberos, con objeto de evitar una utilización abusiva de dichos
servicios.

13 Véase nota 9.

                            - 74                            

EL artículo 14 permite preservar la intimidad tanto del abonado que efectúa
la llamada como del que la reciba en los casos en que se utiliza el sistema
de desviación de llamada.

El artículo 15 evitará, por medios técnicos, que el contenido de las
llamadas telefónicas sea almacenado y/o comunicado a terceros sin informar
previamente al abonado que efectua la llamada.

Los artículos 16 y 17 tienen por objeto evitar que las empresas y serv1c1os
de televenta y videotex hagan un uso indebido de los datos personales de los
abonados para elaborar perfiles de consumidores, así como proteger la
intimidad del abonado frente a los mensajes no solicitados como, por
ejemplo, publicidad indeseada través _de_ los medios _de_ telecomunicación.

El artículo 18 se propone evitar que la introducción de características
técnicas basadas en los requisitos de protección de datos puedan
obstaculizar indebidamente la libre circulación de equipos y servicios de
telecomunicación en la Comunidad, estipulando, cuando proceda, la
elaboracion de normas comunes europeas para la aplicación de características
técnicas específicas. De acuerdo con la Directiva del Consejo relativa a la
aproxinración de las legislaciones _de_ Los Estados miembros sobre equipos
terminales 14 de telecomunicación y el reconocimiento mutuo de su
conformidad, así como La Decisión del Consejo 87/95/CEE de 22 de diciembre
de 1986, relativa a la normalización Sn el campo de la tecnología de La
1
información y Las telecomunicaciones, los trabajos técnicos han de
encomendarse a las entidades europeas de normalización pertinentes y,
especialmente, al Instituto Europeo de Normas de Telecomunicación (ETSI) y
al CEN/CENELEC.

Las disposiciones finales de los artículos 19 a 25 se refieren al ámbito de
aplicación, a los procedimientos de modificación necesarios para adaptar la
presente Directiva al progreso técnico, as1 como a los procedimientos de
consulta. Se preve la creacion de un comite integrado por representantes de
las autoridades responsables de la protección de datos en los Estados
miembros y de otro comité compuesto por representantes de los Estados
miembros que asistirán a la Comisión en la aplicación de la Directiva. Se
propone que estos comités sean los que se establecen con la misma finalidad
en el proyecto de Directiva del Consejo relativa a la aproximación de
determinadas disposiciones legales, reglamentarias y administrativas de los
Estados miembros sobre protección de las personas físicas en relación con el
tratamiento automático de datos personales que se ha presentado
simultáneamente, como ya se ha mencionado. No obstante, estos comités se
crearían específicamente a los efectos de la presente Directiva.

14 COM(89) 289- SYN 204, 27.7.1989.

15 DO L 36 de 7.2.1987, p. 31.

                  - 75 

IV. CONCLUSIÓN

La consecución de una protección efectiva a escala comunitaria _de_ Los datos
personales y La intimidad se está conviritiendo en una condición previa esencial
para Lograr La aceptación social _de_ Las nuevas redes y servicios digitales.

Si no se establecen en una directiva Las disposiciones específicas necesarias
para Llevar a La práctica Los principios generales _de_ protección _de_ Los datos
personales y de intimidad en relación con Los requisitos específicos _de_ Las redes
públicas digitales fijas y móviles, no se podrá evitar una aparición de normas
discrepantes en La Comunidad que pronto constituirán una amenaza para el mercado
común tanto de servicios como _de_ equipos terminales de telecomunicación.

EL proyecto _de_ Directiva adjunto tiene por objeto establecer estas disposiciones
específicas.

Por ello se insta al Consejo a adoptar La propuesta _de_ Directiva adjunta.

           - 76 

              - Propuesta de

DIRECTIVA DEL CONSEJO

RB..ATIVA A LA PROTECCIÓN DE LOS DATOS

PERSONALES Y DE LA INTIMIDAD EN RELACIÓN CON

LAS REDES PÚBLICAS DIGITALES DE TELECOMUNICACIÓN Y,

EN PARTICULAR,LA RED DIGITAL DE SERVICIOS INTEGRADOS (RDSI)

Y LAS REDES MÓVILES DIGITALES PÚBLICAS

                 - 77 

EL CONSEJO DE LAS CONUNIDADES EUROPEAS

Visto el Tratado constitutivo de La Comunidad Económica Europea y, en

particular, su articulo 100A,

Vista La propuesta de La Comisión, [1 ]

En cooperación del Parlamento Europeo, [2 ]

Visto el dictamen del Comit~ económico y social, [3 ]

1. Considerando que La Directiva del Consejo relativa a La protec
ción de Las personas en lo referente al tratamiento de datos

personales preconiza que Los Estados miembros garanticen La

protección de la intimi'dad de las personas;

2. Considerando r¡ue en La actualidad la aparición de nuevas redes

telefónicas digitales públicas, de avanzada tecnologia,está crearx:b necesidades

especificas en materia de protección de datos personales y de La

intimidad de los usuarios;

3. Considerando ~ue ello es especialmente aplicable a La introducción de La

Hed Digital de Servicios Integrados (RDSI) y de las redes móviLes digita
les públicas;

4. Considerando que en su Resolución, de 3U de junio de 19tW, sobre

equipos de

por la

el desarrollo del mercado común

telecomunicación de aqui a 1992 [4 ],

de los servicios y

;el Con-sejo abogó

adopción de medidas para la protección de los datos personales, con objeto

de crear un marco adecuado para el

futuro desarrollo de Las

telecomunicaciones dentro de La Comunidad; que el Consejo ha vu· tto

insistir en La importancia que reviste laproteccióndelosdatospersonalesydela

1

2

3

4 DO e 257 de 04.10.1988, p. 1.

-78

intimidad en su Resolución, de 18 de julio de 1989, sobre una mayor

coordinación en La introducción de La Red Digital de Servicios
5
Integrados CRDSI) en la Comunidad Europea

5. Considerando que el Parlamento Europeo ha subrayado La importancia

de proteger Los datos personales y la intimidad en Las redes de

telecomunicación, especialmente en relación con La introducción de La Red

S . . 6 7 8
##### D 1g1ta [.. ] [l d ] e erv1c1os Integrados CRDSI) ;

6. Considerando que La Recomendación 81/679/CEE de La Comisión

hace un Llamamiento a los Estados miembros para que adopten y

ratifiquen el Convenio del Consejo de Europa sobre protección de Las

personas con respecto al tratamiento automatizado~- de .Los datos

personales'· en. el que se si en tan Los pr i nc i pi os genera Les para la protección de

datos personales;

7. Considerando que varios Estados miembros han adoptado y ratificado dicho

Convenio;

8. Considerando que la Decisión del Consejo - •• [9 ] prevé la apertura de

negociaciones, en aquellos ámbitos que entran dentro de su competencia,

con vistas a La adhesión de La Comunidad Económica Europa al Convenio del

Consejo de Europa sobre Protección de Las Personas con respecto al

Tratamiento PLJtanatizado de Los Datos Persona Les.

9. Considerando que la Directiva del Consejo - •• / - •• /CEE relativa a la. protec
ción de las personas en lo referente al tratamiento de datos

personales hace efectiva La adopción de estos principios

generales en La Comunidad;

## -----------------------
S oo n0 e 196 de 1.8.1989, p. 4.

6 D0rQC7 de12.1.1987, p. 334.

7 DO rfJ C 12 de 16.1.1989, p. 69.

8 DO nQ e 12 de 16.1.1989, p. '66.

## 9 DO ...

                 - 79 

17

10. Considerando ~ue en el caso de Las redes digitales p~blicas deben

elabororse disposiciones específicas legales, reglamentarias y técnicas

con objeto üe proteger Los datos personales y la intimidad de los usuarios

frente a Los riesgos crecientes vinculados al almacenamiento yal

tratamiento informático de datos personales en dichas redes;

11. Considerando que en La actualidad Los Estados miembros están

elaborando disposiciones d1vergentes en este ámbito;

12. Considerando que, habida cuenta de Los obstáculos derivados de La

disparidad de Las disposiciones Legales, reglamentarias y técnicas sobre

Lo protección de Los datos personales y de La intimidad en relación con La

instalación de redes digitales p~blicas de telecomunicaciones en La

Comunidad y, especialmente de La Red Digital de Servicios Integrados

(RDSI) y de Las redes móvihes digitales p~blicas, es preciso introducir

rápidamente disposiciones

realización del mercado

telecomunicación;

armonizadas

comunitario de

con vistas a La plena

servicios y equipos de

13. Considerando que la presente Directiva debe detenninar las condiciones en

que se podrán recoger, almacenar y tratar datos personales en el contexto

de La prestación de servicios de telecomunicación;

14. Considerando que Los organismos de telecomunicaciones solamente podrán

recoger, almacenar y tratar elatos personales con objeto de prestar un

servicio determinado y no podrán utilizar dichos elatos con otra finalidad

si La Ley no lo autoriza específicamente o sin previa autorización

explicita de Los abonados interesados; que, en particular, la

recogida, el almacenamiento y el tratamiento de datos personales no podrán

utilizarse para dar una ventaja competitiva ilegítima a estos organismos

ele telecomunicaciones con respecto a otras empresas de servicios;

15. Considerando que la presente Directiva debe aplicar al sector de Las

telecomunicaciones Los principios generales de los derechos de Los

abonados en Lo relativo a La inspección de sus datos personales

almacenados, La corrección o eliminación de dichos datos y la prevención

de la divulgación no autorizada de sus datos personales;

                        - 80                        

1(). Considerando que la presente Directiva debe prever la annonización de las ronnativas

de los Estédosmiembros en lo relativo a la protección de la intimidad en las

facturas desglosadas;

17. Considerando que, por lo que respecta a la identificación de La línea de

llamada, es preciso proteger tanto el derecho al anonimato de la parte que

origina la comunicación como la intimidad de la parte que recibe la

Llamada en relación con las llamadas no identificadas;

18. Considerando que deben establecerse me di das de protección para

Los usuarios de los servicios de televenta y videotex contra el uso no

autorizado de sus datos personales, así como para Los abonados en general

con objeto de evitar intrusiones en su intimidad por medio de Llamadas no

solicitadas;

1 [(' ] 7 •

Considerando que debe garantizar se La anoonización en La i nt roducc i ón de

características técnicas de equipos de telecomunicación para la protección

de datos, .a fin de que sea compat H) le con el funcionamiento del mercado

interior de 1992;

2U. Considerando que la aplicación de la presente Directiva con respecto a

terceros países debe tener en cuenta el nivel de protección de Los datos

personALes y de la intimidad en vigor en dichos países, con arreglo

a La Directiva del Consejo    - •• /CEE;

¿1. Considerando que rara todas aquellas cuestiones relacionadas con la pro
tección de los datos personales y de la intimidad, en el marco de las redes

digitales públicas de telecomunicación, que no estén reguladas por La pre
sente Directiva, se aplicará la Directiva del Consejo   - •• /CEE;

2;~. Considerando que la presente Directiva no se aplica a las cuestiones

de protección de datos personales y de La intimidad relacionadas con la

sequridad nacional;

~~~:. Considerando que para la preparación de medidas de aplicación ode

Modificación de La presente Directiva conviene recurrir a La experiencia

del Grt..4X> integrado por representantes de la aJtoridad de central de Los Estados

-81                  

miembros en materia de protección de datos, rreado por el artículo 27 de

la Directiva del Consejo    - •• /CEE;

24. Considerando que dichas medidas deben ser preparadas con ayuda del Comité

integrado por representantes de los Estados miembros, creado por el

artículo 30 de la Directiva del Consejo   - •• /CEE;

                              - 82 

HA ADOPTADO LA PRESENTE DIRECTIVA:

Artículo 1

1· La presente Directiva se refiere a La armonización de Las Jisposiciones

necesarias para garantizar l.l1 nivel eQ.Jivalente de protección de La intimidad

e'l la Comunidad, así cano La Libre circulación    - ¡de Los equipos y servicios de

telecomunicaciones dentro de cada Estado miembro y entre Los mismos.

2· Los Estados miembros d t, l .
. a op aran as d1sposiciones específicas necesarias
con Vl stas a garantí zar l t .,
. . . . a pro ecc1on de los datos personales y de La
1nt1m1oad en el sector de La~ tela·   -   ... . ""comun1cac1ones.

Articulo 2

1. Sin perjuicio de Las disposiciones generales de La Directiva deL

Consejo   - •• _1_ CE E, La presente Directiva se refiere especificanente a La recogida,

almacenamiento y tratamiento de datos personales por parte de Los

orcanismos de telecomunicaciones en eL m a reo del suministro de

servicios públicos de telecomunicación en redes públicas digitales de

telecomunicación en la Comunidad y, especialmente,a través de la Red

Digital de Servir.ios Integrados CRDSI) y de Las redes móviles digitales

públicas.

~'. En caso de que un Estado miembro no disponga aún de la Red Digital de

Servicios Integrados CRDSI) o de las redes móviles digitales públicas, Las

disposiciones de la presente Directiva se aplicarán en la medida en que

sean aplicables igualmente a los servicios basados en Las redes analógi
cas.

                   - 83 
Articulo 3

A efectos de la presente Directiva, se entenderá por:

1. "Datos personales", cua.tquier información

una persona identificada o identificable.

relacionada con

2. "Organismo de telecomunicaciones", un ente público o

privado al ~ue un E~tado miembro conceda derechos especiales o exclusivos

nara elestablecimientoderedespúbticasde telecomunicaciones y, en su caso,

para el suministro de servicios públicos de telecomunicaciones.

3. "Red pública de telecomunicación", la infraestructura

~ública de telecomunicaciones que permita la transmisión de señales entre

puntos de terminación de red definidos por cable, microondas, medios

ópticos u otros sistemas electromagn~ticos.

4. "Servicio público de telecomunicación", un servicio de

telecomunicación cuya prestaci6n hayan encomendado especificamente los

Estados miembros~ entre otros, a uno o varios organismos _de_

telecomunicaciones.

Artículo 4

1. La recogida, el almacenamiento y el tratamiento de datos personales por

f1rirte de un organismo de telecomunicaciones sólo se justificarán cuando

respondan a necesidades de las telecomunicaciones y, en especial, cuando

tengan por objeto el establecimiento de conexiones para la transmisión de

voz, de datos o de imágenes, la facturación, la confección de repertorios

u otra finalidad operativa legítima, caro por ejerrplo, Slbsanar errores, evitar

el uso incorrecto de los equipos de ll'l organismo de telecomunicaciones, o

registrar llamadas entrantes de acuerdo con el apartado 1 del articulo 13.

2. El organismo de telecomunicaciones no podrá utilizar estos datos para

elaborar perfiles electrónicos _de_ abonados o clasificaciones de abonados

por categorías.

                  - 84 

Artículo 5

1. Se porlr~ recoger y almacenar datos personales de los abonados en la medida

en qqe ello sea necesario para celebrar, ~jecutar, roodificar o resolver un

contrato t-~n el organismo de telecomunicaciones. Después de expirar el

contrato, Los datos deberán ser eliminadas, saLvo en caso de que sea

necesario mantenerlos para atender reclamaciones, cobrar deudas o cumplir

otras obligaciones establecidas por la legislación del Estado miembro de

que se trate,. de conformidad con la legislación comunitaria y por el

tiempo que ello requiera.

2. EL contenido de la información transmitida no deberá ser almacenado por el

or~anismo de telecomunicaciones después de finalizar La transmisión, salvo

c•Jando así lo exija la legislación del Estado miembro de que se trate, de

Mcuerdo con la legislación comunitaria.

Artículo 6

fl abonado tendrá derecho a que:

1. se Le confirme con una periodicidad y a un precio razonables y sin

excesiva demora, si se han almacenado datos personales sobre él, y a

~ue éstos Le sean comunicados de forma inteligible,

2. Llegado el caso, sean corre~:idos o eliminados dichos datos, cuando

hayan sido tratados infringiendo Las disposiciones de las legisla

cionesde Los Estados miembros, establecidas con arreglo al Derecho

comunitario.

Artículo 7

1. En principio, todos los datos personales tratados en el marco de redes y

servicios de telecomunicación deberán ser confidenciales.

2. Los datos personales no podrán ser divulgados fuera de los servicios o de

Ln red del organismo de telecomunicaciones si la normativa o La

Legislación no Lo autoriza específicamente o sin previo consentimiento

deL abonado. Se considerará que el abonado ha dado su

consentimiento Gnicamente cuando Lo haya hecho respondiendo de forma

                            - 85                            

específica a una solicitud presentada por el organismo de

telecomunicaciones. Cuando el abonado no haya dado su consentimiento

previo, estos datos personales no podrán ser comunicados a

otras rersonas del organismo de telecomunicaciones que no se ocupen

directamente de los servicios de que se trate.

3. El organismo de telecomunicaciones no deberá supeditar la prestación de su

servicio a dicho consentimiento.

Artículo 8

1. EL organismo de telecomunicaciones deberá garantizar una protección

adecuada, utilizando las técnicas más avanzadas. de los datos personales

contra posibles accesos y usos no autorizados.

2. En caso de que exista un riesgo especial de violación del sistema de

seguridad de La red, cano por ejemplo, en el ált>ito de la ·radiote.Léfonia móviL, el

organismo de telecomunicaciones deberá informar a los abonados de dicho

riesgo y ofrecerles un servicio de cifrado de extremo a extremo.

Artículo 9

1. Podrán ser almacenados y tratados Los datos _de_ facturación que incluyan el

n1jmero de teléfono o La identificación de la estación del abonado, La

dirección del abonado y el tipo de estación, el número total de unidades

que hayan de cobrarse por el período correspondiente, el número del

teléfono de destino, el tipo y la duración de Las Llamadas efectuadas, el

volumen de datos transmitidos así como cualquier otra información

necesaria para la facturación como, por ejemplo, pagos anticipados, a

plazos, interrupciones del servicio y notificaciones.

2. Se autorizará e::;te almacenamiento general de los datos de facturación

hasta la expiración del plazo tegal durante el cual pueda impuunarse la

factura.

-86

Artículo 10

1. Cuando sea necesario para proporcionar el servicio de telecomunicación

solicitado, podrán recogerse, almacenarse y tratarse datos sobre tráfico

~ue incluyan Los datos personales necesarios para establecer Las Llamadas,

o Los datos necesarios para La facturación o para otros fines operativos,

como el número de teléfono del abonado que origina La Llamada y el del que

La recibe, La hora de inicio y finalización de cada Llamada y el servicio

de telecomunicación utilizado por el abonado.

2. Los datos sobre tráfico almacenados en Los centros de conmutación del

organismo de telecomunicaciones deberán eliminarse al finalizar La

Llamada, salvo en caso de que sean anónimos o resulten necesarios para la

facturación u otros fines legítimos de conformidad con el articulo 4.

Artículo 11

_P\_ instancia del r.1bonado, se podrá f!Xpedir una factura desglosada en La que,

entre otras cosas, constarán los números de Los abonados de destino sin Los

cuatro últimos dígitos.

Artículo 12

1. Por lo que respecta a las comunicaciones entre abonados conectados a

centrales diqitales, el abonado que origina La Llamada deberá poder

suprimir la identificación de su número de teléfono que aparezca en la

pantalla del terminal del abonado de destino, o la memorización del número

en un sistema de almacenamiento de este terminal mediante un dispositivo

técnico simple y según un procedimiento caso por caso.

A instancia del abonado que origina la Llamada, el organismo de

telecornunicaciones deberá igualmente poder ifll)edir permanentemente La transmisión

del número de teléfono.

###### -------

-87

25

2. El abonado de destino podrá solicitar la supresión permanente de la

identificacion de todas las llamadas entrantes; asimismo, rleberá poder

desconectar la pantalla de su terminal, o borrar la memoria del sistema de

almacenamiento del terminal, para evitar la identificación de las llamadas

entrantes y según un procedimiento caso por caso.

El abonado de destino deberá poder limitar la aceptación de las llamadas

entrantes a aqu~llas en las que se identifique el número del abonado que

origine la llamada.

3. Por lo que respecta a las comunicaciones entre abonados conectados a una

central analógica y abonados conectados a centrales digitales, el

abonado de La central analógica deberá ser informado del sistema de

identificación de su número de tel~fono y podrá solicitar la supresión

permanente de esta información. Este abonado tambi~n deberá tener la

posibilidad de suprimir la identificación según un procedimiento caso por

caso.

Artículo 13

1. Durante un período de tiempo limitado, el organismo de telecomunicaciones

podrá impedir la supresión de la identificación de la línea de llamada

a) a instancia de un abonado que solicite la identificación de llamadas

maliciosas, en cuyo caso los datos que incluyan la identificación del

abonado que origina la llamada serán almacenados por el organismo de

telecomunicaciones y, previa solicitud, serán puestos a disposición de

la autoridad pública responsable de la prevención o persecución·

de delitos en el Estado miembro de que se trate;

b) por orden judicial,

delitos.

con vistas a prevenir o perseguí r

2. Previa solicitud, deberá facilitarse un sistema de bloqueo permanente

a:

a) Las entidades reconocidas por un Estado miembro que atiendan las

llamadas de urgencia y

                           - 88                           

b) los cuerpos de bomberos admi ni st rados o reconocidos por un Estado

miembro.

3. Los organismos de telecomunicaciones adoptarán las medidas necesarias para

aarantizar el funcionamiento del sistema de bloqueo a escala nacional y

comunitaria.

Artículo 14

1. Las Llamadas dirigidas a un abonado podrán ser desviadas a terceros,

rrevio consentimiento de éstos; dichos terceros podrán Limitar esta

desviación a Las llamadas en las que se identifique el número del abonado

(Jue origina La llamada. Los terceros deberán ser informados de que se

tratade una Llamada desviada, mediante una señal especial.

2. Cuando se establezca la conexión, el abonado que origina la llamada deberá

ser informado automáticamente de que su Llamada está siendo desviada a un

tercero.

Artículo 15

1. Cuando el contenido de llamadas telefónicas se haga llegar a terceros por

medio de dispositivos técnicos, como altavoces u otros equipos que puedan

acoplarse al microteléfono, o cuando se grabe en cintas para uso personal

o de terceros, deberán tomarse Las medidas necesarias para informar a las

partes interesadas, por medio de un procedimiento adecuado, de dicha

difusión o aLmacenamiento antes ele que éstos tengan lugar y durante toda

su duración ..

_?._ EL apartado 1 no se aplicará a los casos a que se refiere el apartado 1

del articulo 13.

                       - 89                        

Artículo 16

1. EL organismo de telecomunicaciones deberá asegurarse de que tanto el

número de teléfono como otros datos personales del abonado, especialmente

los referentes al número e índole de los pedidos efectuados cuando éste

utilice un servicio de televenta, o los relativos a la información

solicitada a través de un servicio de videotex, sean almacenados solo en

la medida estrictamente necesaria para la prestación del servicio de que

se trate y sean utiLizados exclusivamente por el proveedor del servicio

a los fines autorizados por el abonado.

2. Sin perjuicio de las disposiciones del artículo 20, el proveedor del

servicio no podrá establecer perfiles electrónicos de los abonados ni

clasificaciones por categorías de abonado sin previo consentimiento

de Los interesados

Artículo 17

1. Los abonados que reciban llamadas no solicitadas con fines publicitarios,

o de oferta de suministro de bienes o de servicios, podrán notificar al

organismo de telecomunicaciones que transmita estos mensajes que no desean

recibir dichas llamadas.

2. El organismo de telecomunicaciones deberá adoptar las medidas necesarias

para que cese la transmisión de estos mensajes a los abonados en cuestión.

Además, para evitar que estas llamadas vuelvan a producirse, el organismo

de telecomunicaciones conservará una lista de las notificaciones en La

forma especificada por la autoridad de control. y -que· ésta podrá

controlar.

Artículo 18

1. Al aplicar las disposiciones de La presente Directiva, y sin perjuicio de

lo dispuesto en Los apartados 2 y 3 del presente artícuLo, los Estados

miembros garantizarán que no se impongan requisitos obligatorios

para las terminales u otros equipos de telecomunicación en relación con

                        - 90                        

determinadas características técnicas específicas, que impidan La

comercialización y La libre circulación de dichos equipos dentro de los

Estados miembros y entre éstos.

2. Cuando estas disposiciones sólo puedan aplicarse exigiendo características

técnicas específicas, los Estados miembros informarán de ello a la

Comisión conforme a los procedi mi en tos establecidos en la Directiva del

Consejo 83/189/CEE [10] que prevé un procedimiento de

información en materia de normas y reglamentaciones técnicas.

3. Cuando sea necesario, la Comisión se hará cargo de la elaboración de

normas comunes europeas para la ap l i cae i ón de ca racterí st i e as técni e as

específicas, de acuerdo con La Directiva del Consejo (relativa a la

aproximación de las lerdslaciones de los Estados miembros sobre equipos

terminales de telecomunicación, incluyendo el reconocimiento mutuo de su

conformida~ [1] } y con arreglo a la Decisión del Consejo 87/95/CEE, de 27 de

diciembre de 1986, relativa a la normalización en el campo de La
tecnología de la información y de las telecomunicaciones [12]   

Artículo 19

1. Las disposiciones de ~~presente Directiva sobre el servicio de teléfonos

se aplicarán a otros servicios públicos digitales de telecomunicación

siempre ~ue dic:hos servicios presenten riesgos similares para la intimidad

de los usuarios.

2. Previa consulta al Grupo citado en el artículo 22, y de conformidad con

el procedimiento establecido en el artículo 23, la Comisión adoptará las

medidas necesarias para la aplicación del apartado 1.

10 DO L 10~ de 26.4.1983, p. 8

11 DO C

12 DO L 36 de 7. 2.1987, p. 31.

                         - 91                          

Artículo 20

En caso de que que la plena consecución _de_ los objetivos de la presente

Directiva exija la aplicación _de_ sus disposiciones a empresas de servicios que

no sean organismos de telecomunicaciones, la Comisión podrá adoptar las

medidas necesarias para que la presente Directiva se aplique a dichas empresas

de servicios, previa consulta al Grupo citado en el artículo 22 y de

conformidad con el procedimiento establecido en el artículo 23.

Artículo 21

La Comisión fijará, con arreglo al procedimiento establecido en el articulo 23,

las normas técnicas necesarias para la aplicación de la presente Directiva y su

adaptación al progreso técnico.

Artículo 22

1. El Grupo de Protección de Datos Personales creado por el

artículo 27 de la Directiva del Consejo   - •• relativa a la protección de

las personas en lo referente al tratamiento de datos persona les ejercerá las

funciones previstas en el articulo 28 de dicha Directiva asimismo con

respecto a las medidas de protección de los datos personales que

son objeto de la presente Directiva.

2. El Grupo estará constituido específicamente a los efectos de la presente

Directiva.

Artículo 23

1. Serádeaplicaciónel procedimiento previsto en el artículo 30 de la Directiva

del Consejo   - •• relativa a la protección de las personas en lo referente

al tratamiento de los datos de carácter personal.

                        - 92                         

2. El Comité creado en el marco del procedimiento cmterrplado en el apartado 1 estará cons
tituido especificanente a los efectos de La presente Directiva.

Artículo 24

1 •

Los Estados miembros adoptarán

reglamentarias y administrativas necesarias

Directiva a más tardar el 1 de enero de 1993.

Las disposiciones

para cumplir La

Legales,

presente

Las disposiciones adoptadas en virtud del párrafo primero se referirán

explícitamente a la presente Directiva.

2. Los Estados miembros comunicarán a la Comisión el texto de las

disposiciones de Derecho interno que adopten en el ámbito regulado por La

presente Directiva.

Artículo 25

Los destinatarios de la presente Directiva 'serán los Estados miembros.

Hecho en Bruselas,

Por la Comisión

                 - 93 -                  - ---···

Flcm FINA.NCIE:RE
PRoJET DE PROPOSmON DE Dnu;ctiVE DU CONSEIL CONCERJI(IJIO" lA PROTEC110N DES

DO~NEES .A CA.L\CD:llE PER:SONNI:L ET DE LA 'VIE PRME DAMI LE CON"''!XXE DES RES!AUX DE
'IELECOMMID-'JCA1TONS ~"UMERJQt!ES PUBU~, ET EN P.uaJC17UER DV _RESEAV_ NVMERIQtTE A

1N'TEGRADON D.! SEJMCES ( RNlS ) rr DES RESEAUX NUNEIUQVES MOBa..ES PlJBUCS.

1. Ligne budg~taire eoncem~

En _1990_ _:_ B 7700

En 1991 et e.ser~ ultérieurs: BS-4010

2. Base lfga.le

Artide 100 A

3. Proposition de da.ssificztion en dépense ohligatoire /non ohligatoire

non -oblig:!toire

_4._ Desgjption et justifica.tion de l'action :

4.1. Ohiectifs:. assurer la protection d~s penonnes l r~d des doD.D6es l caract~re

personne~

###### .. permettre la citallation tran.sfrontal.icre ckdonn&s a c::aractere personnel

dans la Commnnaot~

            - permettre le bon foncdonnement du m~ fDt&ieur.

4.2. Réunions spidfiques du ¡roupe de protectioa des doon6es l caract~re
penounel ( ArL 22 ) et du Comit~ CODSultatif (Art. 23 ), cri.é$ par la directive.

repr6se:Dtant les Etats membres .

                 - 94 

4.3. Un ~r&entant de la Co~ion pr!side le ¡rou.pe de protectioo des donn6es 1
'cuactere persoMe! ~le Co"cii~ ~~tatif.l.e ~f~al1at du groupe et du Comité de

protection des c~..n~ l ~ct~t'e f~ru'lel   - G:n ~m-t par les services de la
Cc=unission.

_5._ _¡;_ arure de !a dépense _..:t_ mgde de g]cgl :

S.l. Nature : r6unions

(frais de partidpatlon des membres des 2 Olmit& )

_S.2._ Ca1col: .. Or.Jupe d~ prote...~on des données: (d. fiche ñnanci~e d~ la dire::tive

g~núale)

##### :4 cmtbr-es ( gou-vecnementa.ux ) x 3 r~unions x 2 jours x 390 ECU jjour =

56.160 ECTJ        
###### 6. L'1cidence ñnancier~ ci.: J'"~ctioo sur ls cré<Hts d'inte"ention :

2 :Y93 : 56.1 _&1_ ECU

1:194: 56.160 w

1995 : 56.160 •

1996 : 56.160 ..

_199i_ : 36.160-,.

6.2. Part du financement commn.nau:ta.ire dans le coO.t total: 100%

                   - 95 

7. Observation~:

l. Le groupe de protection des données l caract~e personnel (Art. 22 ):

n est iDstitu! ce groupe l c:aract~e OJnSultatif et md6pendant et est compos6 de
replilsentants de l'autoritt de contrOle de tous les Etats membres, pr&id~ par un
représentant de la Commission.

Ce groupe 6tablit son r~ement iD~~ur. Le secrétariat du groupe est UIW'6 par les
aervices de la CollUIÜssion.

~ons de ce ¡roupe : voir Art. 22

2. Le Comit~ ccnsultatif ( Ait. 23)

#### n est in.stitu~ UD Comft~ consu1tatif compos~ des repr~tants des Etats Membres,

présid~ par le repr&entant de la Comm.ission.

La Comm.ission est assist~ par ce Comit~ afin de prendre les ~entueDes mesures

com~lémentaircs n"cessa ir es pour ac.apter les dispositions de la directive aux
spécificité:s de certain:> sect.eun¡_

-96

Recomendación de Decisión del ConseJo relativa a la apertura de
negociaciones con vistas a la adhesión de la~; Caru1idades Europeas al
Convenio del COnseJo de Europa sobre. protección de las personas
c<ll respecto al trataniento aut011at 1 zado de los datos personales

EXPOSICIÓN DE MOTIVOS:

1. La protección de las personas frente al tratamiento de datos personales
constituye tanto un derecho de la persona como una condición necesaria para
el desarrollo del comercio Internacional.

2. El tratamiento de datos de carácter personal es Indispensable para la
realización de Intercambios Internacionales de bienes~ de servicios y para
una colaboración más estrecha entre los paises.

3. La Comisión ha presentado al Consejo una ·Propuesta de ·o1rectlva tendente a
garantizar para el conjunto de la Comunidad un nivel de protección elevado de
las personas frente al tratamiento de datos de carácter personal. Es deseable
Que esta acción resulte complementada por otras Iniciativas destinadas a
garantizar a las personas un nivel de protección eQuivalente para los casos
de Intercambio de datos entre la Comunidad y terceros paises.

4. En 1981, el Consejo de Europa adoptó un Convenio rel~tlvo a la protección
de las personas frente al tratamiento automatizado de datos personales, cuyo objetivo es el de garantizar sobre el territorio de todas las
partes signatarias y a toda persona flslca, Independientemente de su
nacionalidad o residencia, el respeto de sus derechos y de sus libertades

fundamentales, y en particular su derecho a la Intimidad frente al
tratamiento automatizado de datos de carácter personal Que le pueda afectar.
Este Convenio prevé también QUe una parte no puede, con el único fin de la
protección de la Intimidad, prohibir o someter a autorización especial los
flujos transfronterlzos de datos de carácter personal con destino al
territorio de otra parte signataria.

5. En su Recomendación de 29 de Julio de 1981, la Comisión Invitó a los
Estados miembros de la Comunidad a ratificar el Convenio del Consejo de
Europa sobre La protección de las personascon respecto al tratamiento
automatizado de Los datos personales; en ella señalaba Que, si en un
plazo de tiempo razonable, los Estados miembros no hablan procedido a firmar
y a ratificar este Convenio, la Comisión se reservaba el derecho de proponer
al Consejo la adopción de actos basados en el Tratado CEE.

6. Hoy por hoy, no todos los Estados miembros de la Comunidad han ratificado
dicho Convenlo(1). Resulta deseable y necesario Que la Comunidad se
adhiera al Convenio para garantizar la protección y el tráfico
t r ansf ron ter 1 zo de da tos de carácter persona 1 con ter ceros pa 1 ses y par a
reforzar el atractivo del Convenio para aquel los de dichos paises deseosos de
contar con un Intercambio de datos con la Comunidad en la mayor libertad
posible.

(1) Por lo Que respecta a los Estados miembros de la Comunidad, el Convenio
(STE 108 de 28 de enero de 1981) ha sido firmado por Bélgica, Grecia,

Irlanda, Italia, Paises Bajos y Portugal; y ha sido ratificado por Dinamarca,
Franela, RFA, Luxemburgo, España y Reino Unido.

Doc. nQ 6228/90/ES GM/rc

-97

7. En consecuencia, la Comisión recomienda al Consejo autorizar a la propia
Comlsl6n a negociar, con el Consejo de Europa y las partes signatarias del
Convenio sobre la protección de las personas con respecto al tratéJTiiento
automatIzado de los rlatos persona les, un protocolo adicional Que
permita a las Comunidades Europeas ser parte en este Convenio respecto a los
ámbitos de su competencia.

8. La Comisión dirigirá estas negociaciones consultando a los representantes
de los Estados miembros y en el marco de las directrices Que figuran en el

Anexo de la presente comunicación o de otras directrices dictadas
eventualmente por el Consejo.

9. Los Estados miembros de la Comunidad, miembros a su vez del Consejo de
Europa, respaldarán plenamente la acción de la Comunidad durante el tiempo
Que duren las negociaciones para la adhesión de la Comunidad Europea, cuando
esta cuestión se plantee en los órganos del Consejo de Europa.

Anexo: Directrices para las negociaciones

Doc. n~ 6228/90/ES GM/rc

-98

DIRECTRICES PARA LAS NEGOCIACIONES

ANEXO

1. Mediante las negociaciones se procurará garantizar la conclusión de un
protocolo adicional Que permita a la Comunidad ser parte en el Convenio en
los ámbitos Que son de su competencia; para ello deberán respetarse los
principios enumerados seguidamente:

2. En el seno del Comité Consultivo creado en virtud del articulo 18 del
Convenio, la Comunidad Europea estará representada en tanto Que miembro por

la Comisión de las Comunidades Europeas.

Previa coordinación comunitaria por Iniciativa de la Comisión, el
representante de la Comunidad Europea dispondrá de un nUmero de votos
eQuivalente a la suma de los votos de las delegaciones nacionales de los
Estados miembros de la Comunidad Que sean partes signatarias del Convenio,
para todas las cuestiones relacionadas con el tratamiento de datos de
carácter personal en los ámbitos de competencia comunitaria.

Par a todas 1 as demás cuest 1 ones, cada de 1 egac Ión nac 1 ona 1 d 1 spondr á de un·
voto propio.

3. Con el fin de permitir la entrada en vigor en un plazo razonable del
protocolo adicional Que permita a la Comunidad ser parte en el Convenio, la
Comtsl6n propondrá, con el respaldo de los Estados miembros, Que se Incluya
en el texto del protocolo una disposición de "notificación negativa"
(opttng out orocedyre) para la adopción del protocolo adicional.

Doc. nQ 6228/90/ES GM/rc

#### -w
PROPUESTA DE DEOSIÓNDEL CONSEJO

EN EL ÁMBITO DE lA SEGURIDAD DE lA INFORMAOÓN

                               - 100

Lit información, l'n sus variadas formas, contribuye cada V<.'~. más a la riqueza de las personas, las empresas
y las naciones. El crecimiento y la rentabilidad de aproximadamente dos tercios de la economía depende
de una producción industrial o unos servicios basados en gran medida en la tecnología de la información, las
telecomunicaciones y los medios audiovisuales, y, en consecuencia, depende críticamente de la exactitud,
seguridad y _11_ fiabilidad" de la información. Esto tiene una importancia y un interés tan grandes para las

personas como para el comercio, la industria y las administraciones públicas. Por ello, la protección de la

información en todos sus aspectos, denominada aqui • seguridad de la información* 1, se ha convertido en un
tema político esencial que preocupa en todo el mundo.

A lo largo de las últimas décadas se han producido importantes transformaciones, pero las que se avecinan
pueden serlo aún más. Están desarrollándose los superordenadores de sobremesa, la radiodifusión directa
vía satélite, la radiocomunicaciones móviles digitales, las comunicaciones integradas de banda ancha y
otras aplicaciones de la tecnología que permitirán contar con unas comunicaciones móviles, económicas, de
alto rendimiento y universales en una dimensión sin precedentes. El advenimiento de unas comunicaciones
globales eficaces viene a subrayar la necesidad de contar con una "protección* adecuada en cuanto a
disponibilidad del servicio, integridad de los mensajes y respeto de la intimidad, acorde con la previsible
gravedad de la amenaza administrativa o técnica.

El asunto es de gran importancia para el desarrollo socioeconómico de la Comunidad Europea y la
realización del mercado interior en 1992. Un planteamiento coherente a nivel europeo debería
simultáneamente crear una creciente sensación de confianza en el uso de la tecnología de la información y
los servicios de telecomunicación y contribuir a evitar la formación de nuevos obstáculos entre Estados
miembros o con terceros países. En consecuencia. urge examinar las necesidades y posibilidades de actuación
a nivel comunitario en estrecha colaboración con los protagonistas del sector y los Estados miembros.
Cualquier medida que se adopte debe tener presentes todos los aspectos técnicos, jurídicos y comerciales
tanto nacionales como internacionales. Como la seguridad de la información incluye la protección no solo
de las personas y los bienes, sino de la sociedad misma, los Estados miembros la consideran un tema que
afecta a su soberarúa nacional.

Al mismo tiempo, es imprescindible tanto para la Comunidad como para los Estados miembros que la
seguridad de la información no se convierta en un traba para la promoción de un desarrollo armonioso en la
Comunidad y para las relaciones con terceros países. La elaboración de un planteamiento armonizado de la
seguridad de la información debe formar parte integrante de las medidas comunitarias relacionadas con el
fortalecimiento de las realizaciones socioeconómicas de la Comunidad Europea, de su competitividad
internacional y de la realización del mercado interior.

Lo esencial es garantizar a los usuarios en general, las administraciones y los medios empresariales una 1
seguridad efectiva y práctica de la información gestionada electrónicamente, sin por ello comprometer
los intereses de la blación en eneral.

La seguridad de la información (SI) se interesa por la protección de la información almacenada,
tratada o transmitida electrónicamente frente a cualquier amenaza voluntaria o accidental. Los
servicios de información electrónica exigen una infraestructura de telecomunicaciones segura. unas
terminales seguras (incluidos procesadores y bases de datos) y una utilización segura.

-~--·--~~

                     - 101 

Cualquier medida de alcance comunitario deberá suponer una concertación de esfuerzos tendente a
establecer la tecnología, las normas, los procedimientos de verificación y certificación y los reglamentos
(cuando proceda) necesarios en el marco comunitario de adopción de decisiones.

La intención de la Comisisión es abrir un debate sobre la seguridad de la información con los protagonistas
del sector en la Comunidad y llegar a un acuerdo sobre los pasos que deben darse. Este debate prodría
iniciarse sobre la base de la declaración de principios y las líneas de actuación que figuran en el Anexo de
la presente nota. En él, y dada las responsabilidades de los Estados miembros en este ámbito, es
indispensable que la inciativa comunitaria se apoye en una estrecha colaboración con los altos funcionarios
de los Estados miembros.

En consecuencia, se propone que la Comisión sea asistida por un comité consultivo compuesto por
representantes de los Estados miembros y presidido por el representante de la Comisión. El funcionamiento
de este comité deberá reflejar las particularidades del sector. El comité recibirá el nombre de Grupo de
Altos Funcionarios para la Seguridad de la Información (SOG-IS).

El importantísimo tema de la protección de los datos personales se aborda en una propuesta de directiva
que se presenta paralelamente a la presente comunicación.

                                 - 102 

A. La nueva sitl!ación y lA- importancia so.d-ªl~~nómica, estratégk~ _:y__ política de la segu_ridª-d

º~-~~_jtt_(Q_f!Th1._clón

1. La gestión y utilización de la información por medio de la tecnología de la información y los
servicios informáticos está invadiendo todas las esferas de la vida económica, social y política, y
ha permitido la integración de actividades gracias a un sistema global de comunicaciones que
conecta unidades de fabricación, centros de investigación, bases de datos, centros de cálculo,
proveedores de servicios y centros de toma de decisiones políticas y económicas.

2. Esta mayor integración de actividades independientes genera un valor añadido considerable
expresado en ahorros o en aumento de la eficacia, constituyendo por tanto un factor clave en la
competitividad internacional. Sin embargo, acentúa también la necesidad de proteger los intereses
justificados de las personas, la población en general, el comercio, la industria, los operadores, los
proveedores de servicios y las administraciones nacionales.

3. Para que crezca el sector de los servicios, y con ello se produzcan inversiones en equipos electrónicos,
telecomunicaciones, radiodifusión, equipos informáticos y terminales y una amplia gama de
aplicaciones telemáticas, es necesario ofrecer un entorno europeo seguro para la información
electrónica. Es necesaria la general aceptación y aprobación de todos los implicados para
salvaguardar los intereses legítimos y evitar la utilización incorrecta o abusiva de la información,
y debe conseguirse de una manera que sea al tiempo eficaz y adecuada para unos usuarios sometidos
a sistemas jurídicos distintos. Además, los sistemas de seguridad de la información deben proteger
la intimidad, la propiedad intelectual, la competencia leal, la seguridad nacional y otros
intereses.

4. Con la introducción de los microordenadores, la utilización de la tecnología de la información, las
telecomunicaciones y la radiodifusión ha rebasado el ámbito profesional, convirtiéndose en una

"'actividad de consumo" asociada a unos "'servicios de consumo". A este cambio cuantitativo ha
acompañado otro cualitativo de gran importancia : las telecomunicaciones permiten actualmente el
interfuncionamiento y la comunicación a escala global.

5. En las últimas décadas se han producido importantes mutaciones, pero las que _se_ avecinan pueden
serlo aún más. Los superordenadores de sobremesa, la radiodifusión directa via satélite, la
radiocomunicaciónes móviles digitales, las comunicaciones integradas de banda ancha y otras
nuevas aplicaciones tecnológicas actualmente en desarrollo facilitarán unos medios de comunicación
móviles, económicos, de alto rendimiento y universales a una dimensión sin precedentes.

6. El advenimiento de unas comunicaciones eficaces y globales constituye un desafio cuantitativa y
cualitativamente nuevo y exige suministrar una adecuada "'protección" en cuanto a disponibilidad
de servicio, integridad de los mensajes e intimidad, acorde con la prevista gravedad de la amenaza
administrativa o técnica.

7. El creciente interés de la industria, la administración y la sociedad en conjunto por la utilización de
los servicios de información los ha convertido en parte integrante del entramado fundamental de la
vida cotidiana. La comunicación y el control en general, el control de procesos en la fabricación, el
transporte, los servicios financieros, los sistemas ofimáticos, etc., exigen un grado de disponibilidad
y robustez operativa no del todo previsto en el diseño original del servicio o componente.

8. Se definirán y realizarán nuevas aplicaciones inviables con los marcos arquitéctonicos actuales.
Puede resultar necesaria una redefinición radical de las normas de arquitectura y rendimiento
(incluida la necesidad de garantizar la conformidad) relacionadas con los servicios y componentes
subyacentes.

                    - 103 

9. Habrá que crear nuevas disciplinas y organizaciones/ ocupaciones de apoyo para satisfacer estos
niveles mas elevados de exigencias operativas. Sin embargo, las exigencias más importantes
derivarán no de los cambios técnicos, sino de los culturales. La explotación global de los servicios de
información apoyados en redes globales de telecomunicación modificará la forma en que la sociedad
percibe las relaciones organizati vas _1_ humanas.

10. La comunicación se realizará cada vez en mayor medida a través de intermediarios, por ejemplo en
varios niveles de servicios de valor añadido basados en la TI, o directamente previa aprobación
del contacto por parte de los intermediarios. En tales situaciones deberán definirse explícitamente
las obligaciones en el contexto de las relaciones organizativas, las autoridades o privilegios y
numerosos (controles de calidad) sobre servicios o productos. En tal sociedad hay que procurar que
los derechos de personas y organismos se vean debidamente reflejados en la legislación y los
controles reglamentarios. Al mismo tiempo, las tecnologías deberán idearse y aplicarse de manera
que satisfagan las exigencias de seguridad.

B. Necesidad de tomar medidau nivel comunitario en colaboración con los Estados miembros

11. Al estar en juego la protección de los bienes, las personas e incluso la sociedad, es evidente que la
seguridad de la información es responsabilidad de los Estados miembros. Por motivos de defensa y
de normal funcionamiento de sus instituciones, a todo Estado miembro le preocupa directamente la
seguridad. Históricamente, estas preocupaciones nacionales de los gobiernos les han llevado a
ejercer unas competencias sólidas y permanentes en materia de seguridad de la información y a
controlar su tecnología y sus técnicas para evitar la difusión de informaciones delicadas. Aunque
cada usuario debe ser responsable de elegir su propia seguridad, sus opciones dependen basicamente
de garantías que, en última instancia, proceden de las autoridades públicas a través de, por
ejemplo, las limitaciones legales que imponen.

12. Las políticas y programas comunitarios orientados al desarrollo de las industrias de la información
y la telecomunicación y a la consecución del mercado interior pueden verse gravemente
obstaculizadas sino se adoptan medidas activas para la puesta en marcha, desarrollo y promoción
de una normas de seguridad de los servicios de información. Para la Comunidad, resulta
fundamental que la seguridad de la información no se convierta en una traba para el fomento del
desarrollo armonioso dentro de la Comunidad y para las relaCiones con los demás países. La
elaboración de un planteamiento armonizado de la seguridad de la información debe formar, como
tal, parte integrante de las políticas comunitarias relacionadas con el robustecimiento del
rendimiento socioeconómico y la competitividad internacional de la industria europea y con la
realización del mercado interior.

13. Más en concreto, debe implicar una concertación de esfuerzos para establecer las normas, los
procedimientos de verificación y certificación, los desarrollos tecnológicos y los reglamentos
(cuando proceda) necesarios en el marco del proceso comunitario de adopción de decisiones. Dado el
carácter altamente técnico de los asuntos tratados, la concertación de esfuerzos exige la colaboración
de las partes implicadas en la fase pre-competitiva de la I+D.

14. La adopción de - normas abiertas" por los gobiernos (GOSIP en EE.UU. y el Reino Unido), la
organización de defensa de Occidente (OTAN _1_ NOSI), la industria de informática y
telecomunicaciones y los operadores de red (normas OSI de la ISO) ha tenido como consecuencia el
que se preste una mayor atención a los temas relacionados con la seguridad en los sistemas de
información, arquitecturas, normas, protocolos de comunicaciones y técnicas de componentes.

                                - 104 

15. Solamente un 2% aproximadamente de los servicios con que se contará en la Comunidad en el año

2000 existen ya actualmente. En dicho año, los servicios podrán responder a las necesidades de los
usuarios y ofrecer diversas características integradas en las que se combinarán la voz, los datos y la
imagen de forma flexible. Al mismo tiempo, la satisfacción de las necesidades de seguridad de la
información de los usuarios, tales como la protección de datos, la intimidad, la autenticación, la
autorización, la facturación, etc., será mucho más difícil de garantizar. Por esta razón, es preciso
desarrollar e investigar sistemáticamente la seguridad de la información y las características
técnicas con ella relacionadas, tales como la integridad. Las autoridades estadounidenses están
financiando programas sobre sistemas informáticos de confianza, arquitecturas de sistemas
abiertos, protocolos y técnicas que acelerarán la aplicación de soluciones de seguridad patentadas
en el colectivo de usuarios internacionales. Los Estados miembros deben preocuparse por participar
en pie de igualdad en el proceso de normalización en este ámbito. Atenerse a una normalización de
facto supondría el riesgo de crear nuevas dependencias tecnológicas que podrían obstaculizar
gravemente la competitividad internacional de las economías comunitarias. De ahí la necesidad
de efectuar los trabajos correspondientes en la Comunidad como requisito previo para una
interacción constructiva con países extracomunitarios, en especial con Estados Unidos.

16. En resumen, en función de sus responsabilidades respectivas, tanto la Comunidad como los Estados
miembros tienen un gran interés en los siguientes temas clave :

¿Cómo van a definirse y publicarse efectivamente las especificaciones y normas referentes a la
seguridad de la información ?
¿ Cómo se aplicarán la evaluación y certificación oficiales de la conformidad de productos y
sistemas con las normas de seguridad (tanto a nivel de funcionalidad como de garantía) ?
¿ Cómo se construirán, suministrán y utilizarán los productos y sistemas de seguridad?

17. La seguridad de la información es un ejemplo típico de política a la que puede aplicarse el principio
de _subsidiariedad,_ dada la complejidad intrínseca del tema, la existencia de numerosos
interesados y la necesidad de aplicar un abanico de instrumentos diferentes. Resulta esencial contar
con un plan que diga qué hay que hacer, quién ha de hacerlo y cómo. Por una parte, los Estados
miembros tienen que tratar estas cuestiones; por otra, la Comunidad tiene un gran interés en elaborar
unas condiciones que garantizen la compatibilidad entre, por un lado, la realización del mercado
interior, la consecución de la Europa de los ciudadanos, la aplicación de la política de
telecomunicaciones y la competitivip.ad de las industrias comunitarias de electrónica y servicios de
información electrónica y, por otro, la respuesta a las necesidades básicas de seguridad de la
información que plantean los individuos y las empresas. En consecuencia, y para concentrar
esfuerws, se proponen a continuación diversos tipos de medidas y estructuras de procedimiento como
base para ulteriores estudios en profundidad que aclaren qué medidas deben tomarse a los distintos
niveles.

                     - 105 

Proouesta de Decisión del Con se jo

en el ámbito

de la seguridad de los sistemas
de información

EL CONSEJO DE LAS COMUNIDADES EUROPEAS,

Visto el tratado constitutivo de la Comunidad Económica Europea y, en particular, su

artículo 235,

Vista la propuesta de la Comisión,!

Visto el dictamen del Parlamento Europeo,2

Visto el dictamen del Comité Económico y Social,3

Considerando que la Comunidad ti ene por misión promover, mediante et establecimiento de lll mercadc

común y la pr<YJresiva aproximación de las políticas económicas de los Estados miembros,

un desarrollo armonioso de las actividades económicas en el conjunto de la Co

munidad, una expansión continua y equilibrada, una estabi l i dad creciente, una elevación

acelerad a del nivel de v i da y relaciones más estrechas entre los Estados q u.e la

integran;

Considerando que la información almacenada, tratada y transmitida por medios electrónicos

desempeña un papel cada vez más importante en las actividades sociales y económicas;

Considerando que la introducción de unas comunicaciones globales eficaces y la

omnipresencia del tratamiento electrónico de la información acentúan la necesidad de contar

con una protección adecuada para los usuarios;

Considerando que el Parlamento Europeo ha subrayado repetidamente la importancia de la

seguridad de los sistemas de información en sus deliberaciones y resoluciones;

1
DO no. C .. .

2
DO no. C .. .

3
DO no. C .. .

                         - 1G6                         

Considerando que el Comité Económico y Social ha subrayado la necesidad de tomar medidas

comunitarias que afecten a los asuntos relacionados con la seguridad de Los sistemas de infonnaéi6n,

particularmente con vistas a las repercusiones de la realización del mercado interior;

Considerando que es necesario crear una estrategia global de seguridad de Los sistemas de información

para garantizar la seguridad del usuario a nivel comunitario y evitar la creación de nuevos

obtáculos técnicos a Los i nter cambios;

Considerando que la complejidad intrínseca de los temas relacionados con la seguridad de la

información exige la aplicación dti principio de SLbsidiariedad/ La participación de diferentes partes

interesadas en el sector y la aplicación concertada de diversas medidas;

Considerando que las acciones llevadas a cabo a nivel nacional, internacional y

comunitario representan una buena base;

Considerando CJ,Je existe Lila estrecha reLaciá1 entre las telecaTU'licaciones, la normalización, el

mercado de la información, las politicas de I+DT y los trabajos ya emprendidos en estos

ámbitos por la Comunidad Europea;

Considerando que conviene garantizar la concertación de esfuerzos apoyándose en los trabajos

nacionales e internacionales ya existentes y fomentando la cooperación de los principales

interesados; que, por tanto, conviene obrar en el marco de un plan de a e e i ón e o he rente;

Considerando que la responsabilidad de los Estados Miembros en este ámbito supone un

acercamiento concertado basado en la est re e ha e o Labora e i ón con al tos funcionarios

de Los Estados miembros.

                    - 107 

HA ADOPTADO LA PRESENTE DECISION:

Articulo 1

l. Se adopta un plan de acción en el ámbito de la seguridad de los sistemas de información (INFOSEC)

por un periodo de 24 meses a partir de ( ].

2. El objetivo de dicho plé11 de acción es desarrollar lJ'la estrategia global terxEn'te a ootar a los

usuarios de la información almacenada, tratada o transmitida por medios electrónicos, una

protección de los sistemas de información frente-a amenazas accidentales o de

liberadas.

3. Dicha accién terdrá en cuenta y respaldará las actividades de normalización que se llevan

a cabo en este ámbito en Europa y en el mundo.

Articulo 2

El plan de acción contemplado en el articulo 1 y cuyo detalle figura en el Anexo com

prenderá las siguientes lineas de actuación:

l. desarrollo de un marco estratégico para la seguridad de los sistemas de información;

11. análisis de las necesidades en cuanto a seguridad de los sistemas de información;

111. elaboración de soluciones para determinadas necesidades prioritarias;

IV. el&>oración    - de especificaciones, normas y pruebas de validez en el árt>ito-de La seguridad de los sis- .

temas de información;

V. integración de los desarrollos tecnológicos y q:>erativos en materia de seguridaj de los sistemas
de información en un marco estratégico general;
VI. integración de determinadas funci~i\c<l:los~ridad en los sistemas de información.

El plan de acción será aplicado por la Canisiá"\, en colaboraciá'l crnlos organismos y empresas

afectados y en estrecha asociación con los Estados miembros.

Articulo 4

El importe de los créditos afectados a esta acción será fijado en el marco del

procedimiento presupuestario anual.

                   - 108 

Articulo 5

La Comisión remitirá al Parlamento Europeo y al Consejo un informe sobre los resultados del

plan de acción en un plazo de tres meses a partir de su terminación.

Articulo 6

Para la aplicación del ·plan, la Comisión consultará, según proceda, a un Grupo de Altos

Funcionarios de Seguridad de los Sistanas de La Infonnaciál (SOO-IS>. Dicho 9rt..4X> estará carp.Jesto por

dos representantes de cada Estado miembro y de la Comisión, y será presidido por un

respresentante de la Comisión.

En función de la naturaleza de los asuntos considerados, los Miembros del Grupo podrán

estar asistidos por expertos o consejeros.

Las deliberaciones del Grupo serán secretas. El Grupo adoptará su propio

reglamento interno. La Comisión se hará cargo de La secretaria.

Hecho en Bruselas,

Por el Consejo

                   - 109 

ANEXO 1

Resumen de las lineas de actuación

l. Línea 1 : Desarrollo de un marco estratégico -Pªra la~d de la ffifu_rmació_n

1.1 Problema

1. La seguridad de la información constituye, sin duda, un elemento omnipresente y necesario en la
sociedad moderna. Los servicios de información electrónica exigen una infraestructura segura de
telecomunicaciones, unas términales seguras (incluidos procesadores y bases de datos) y una
utilización asimismo segura. Es preciso establecer una estrategia global que tenga en cuenta todos
los aspectos de la seguridad de la información y evite un planteamiento fragmentado. Toda
estrategia referida a la seguridad de la información tratada por medios electrónicos debe reflejar
el deseo de cualquier sociedad de actuar con agilidad al tiempo que se protege en un mundo en
rápida mutación.

1.2 Objetivos

2. Debe establecerse un marco orientado estrategicamente que reconcilie los objetivos sociales,
económicos y políticos con las opciones técnicas, operativas y jurídicas. Es preciso que los
protagonistas del sector, colaborando en el establecimiento de una percepción común y una
estrategia convenida, encuentren el delicado equilibrio entre las diferentes preocupaciones,
objetivos y restricciones. Este es un requisito previo para reconciliar intereses y necesidades tanto en
la adopción de medidas como en los desarrollos industriales.

1.3 Situación y tendencias

3. La situación se caracteriza por una creciente conciencia de la necesidad de actuar. No obstante, en
ausencia de una iniciativa de concertación de esfuerzos parece muy probable que los trabajos
dispersos en diversos sectores creen de facto una situación contradictoria, desencadenando
problemas jurídicos, sociales y económicos cada vez más graves.

1.4 Requisitos. opciones y prioridades

4. Este marco de cooperación tendrá que abordar y examinar el análisis y la gestión de los riesgos
asociados con la vulnerabilidad de los servicios de información y afines, la armonización de las
disposiciones legales y reglamentarias asociadas con el uso abusivo _e_ incorrecto de los ordenadores y
las telecomunicaciones, las infraestructuras administrativas, incluidas las medidas de seguridad y
su efectiva aplicación por diversas industrias y disciplinas, y las preocupaciones sociales y de
protección de la intimidad (p.ej., la aplicación de los sistemas de identificación, autenticación y
posiblemente autorización en un entorno democrático).

5. Es preciso aportar una orientación clara para el desarrollo de arquitecturas físicas y lógicas para
unos servicios distribuidos de información seguros, normas, orientaciones y definiciones para unos
productos y servicios de seguridad garantizados, modelos y prototipos que permitan comprobar la
viabilidad de diversas estructuras administrativas, arquitecturas y normas relacionadas con las
necesidades de sectores concretos.

                   - 110 

6. Debe producirse una sensibilización con respecto a los temas de la seguridad para que aumente la
preocupación de los usuarios por la seguridad en los sistemas de TI y telecomunicaciones.

2. Línea 11 Requisitos de seg1U'idad de la información

2.1 Problema

7. La seguridad de la información es un requisito previo intrínseco para la protección de la intimidad,
la propiedad intelectual, la confidencialidad de las relaciones comerciales y la seguridad
nacional. Este hecho dificulta inevitablemente el equilibrio, y en ocasiones hay que decantarse de
una u otra forma entre el compromiso con el libre comercio y el compromiso con la garantía de la
intimidad y la propiedad intelectual. Estas opciones y compromisos tienen que basarse en una
apreciación completa de las necesidades y de las repercusiones de las distintas opciones de
seguridad de la información que pueden servir de respuesta.

8. Las necesidades de los usuarios imponen unas funcionalidades de la seguridad de la información
interdependientes con los aspectos tecnológicos, operativos y reglamentarios. En consecuencia, una
invetigación sistemática de las necesidades en cuanto a seguridad de la información constituye un
requisito esencial para la elaboración de medidas apropiadas y eficaces.

2.2 Objetivos

9. Determinar la naturaleza y características de las necesidades de los usuarios y sus relación con las
medidas de seguridad de la información.

###### u_ Situación y tendencias

10. Hasta el presente, no se ha emprendido ningún trabajo concertado que permita averiguar cuáles son
las necesidades, en rápida evolución y cambio, de los principales interesados en el sector de la
seguridad de la información. Los Estados miembros de la Comunidad han señalado cuáles son las

necesid~des en cuanto a la armonización de las actividades nacionales (especialmente de los

    - criterios de seguridad de la TI*). Reviste la mayor importancia contar con criterios y normas de
evaluación uniformes para el reconocimiento mutuo de los resultados y certificados de evaluación.

2.4. _Requisitos. opciones~prioridades

11. Como base para un tratamiento coherente y transparente de las necesidades justificadas de los
protagonistas del sector, se considera necesario elaborar una clasificación de las necesidades de los
usuarios y de su relación con las medidas de seguridad de la información.

12. Se considera también importante determinar cuáles son las necesidades en cuanto a legislación,
reglamentos y códigos de prácticas a la luz de una valoración de las tendencias de las
características del servicio y la tecnología, con vistas a encontrar distintas estrategias que
permitan cumplir los objetivos mediante disposiciones administrativas, de servicio, operativas y
técnicas y a valorar la eficacia, facilidad de uso y costes de las opciones y estrategias alternativas
en materia de seguridad de la información para los usuarios, los suministradores de servicios y los
operadores.

##### ------------ ---

                    - 111 

3.1 Problema

13. En la actualidad es posible proteger adecuadamente los ordenadores del acceso no autorizado desde
el exterior mediante _11_ aislamiento", es decir, aplicando medidas convencionales de tipo

organizativo y físico. Lo mismo cabe decir de las comunicaciones electrónicas dentro de un grupo
cerrado de usuarios que trabaje con una red dedicada. La situación es muy distinta si la información
la comparten grupos de usuarios o se intercambia a través de una red pública o de acceso general. No
se cuenta normalmente con la tecnok·::::~-::, las terminales y los servicios ni con las normas y
procedimientos relacionados para ofrecer una seguridad de la información comparable en estos

casos.

3 2 Objetivos

14. El objetivo debe ser proporcionar, a corto plazo, soluciones que puedan responder a las necesidades
más urgentes de los usuarios, con una apertura hacia futuras necesidades y soluciones.

3.3 Situación y tendencias

15. Algunos grupos de usuarios han creado técnicas y procedimientos para su uso específico que
responden, en particular, a la necesidad de autenticación, integridad y no repudio. En general, _se_
utilizan tarjetas magnéticas o tarjetas inteligentes. Otros utilizan técnicas de cifrado más o menos
perfeccionadas, lo que a menudo implica la creación de _11_ autoridades" específicas del grupo de

usuarios. Sin embargo, resulta difícil generalizar estas técnicas y métodos para satisfacer las
necesidades de un entorno abierto.

16. La ISO está trabajando sobre la seguridad de la información en OSI (ISO DIS 7498-2) y el CCm en
el contexto de X400. También _es_ posible insertar segmentos de seguridad de la información en los
mensajes. La autenticación, la integridad y el no repudio están estudiándose en el contexto de los
mensajes (EDIFACT) y en el contexto de X400 MHS.

17. En este momento, el marco jurídico del EDI se haya aún en fase de concepción. La Cámara de
Comercio Internacional ha publicado unas orientaciones uniformes para el intercambio de datos
comerciales a través de las redes de telecomunicación.

18. Varios países (p.ej., RFA, Francia, Reino Unido y Estados Unidos) han elaborado o están
elaborando criterios de evaluación de la fiabilidad de los productos y sistemas de TI y
telecomunicaciones y los correspondientes procedimientos para realizar las evaluaciones. Estos
criterios se han coordinado con los fabricantes nacionales y darán lugar a un número creciente de
productos y sistemas fiables, partiendo de productos sencillos. El establecimiento de organizaciones
nacionales que efectuén las evaluaciones y extiendan certificados vendrá a reforzar esta tendencia.

19. La mayor parte de los usuarios consideran que la confidencialidad es de importancia menos
inmediata. En el futuro, sin embargo, es probable que esta situación se modifique a medida que se
generalicen los servicios avanzados de comunicación, y en particular los servicios móviles.

3.4 Requisitos. opciones y prioridades

20. Resulta esencial elaborar lo antes posible los procedimientos, normas, productos y herramientas
necesarios para garantizar la seguridad de la información en las redes públicas de comunicaciones.
Debe concederse una elevada prioridad a la autenticación, integridad y no repudio. Deben llevarse
a cabo proyectos piloto para comprobar la validez de las soluciones propuestas. Las soluciones a las
necesidades prioritarias planteadas por el EDI _se_ estudian en    - el programa TEDIS, dentro del
marco más general de este plan.

                   - 112 

4. Línea -=-I___,V,____.______Especificación.~ normalizacióny_y~lficación para la~guridad de la infor~ión

21. Las necesidades de seguridad de la información tienen carácter omnipresente y, en consecuencia,
adquieren importancia crucial las especificaciones comunes _y_ las normas. La ausencia de normas _y_
especificaciones generalmente aceptadas puede constituir un importante obstáculo para la difusión
de los procesos y servicios basados en información en toda la economía y la sociedad. Es preciso
tomar medidas que permitan acelerar la elaboración y aplicación de la tecnología y las normas en
diversas áreas relacionadas con las redes informáticas _y_ de comunicaciones que son de suma
importancia para los usuarios, la industria y las administraciones.

4.2 Objetivos

22. Hay que esforzarse por proporcionar medios de apoyar y ejecutar funciones específicas en las áreas
generales de OSI, ONP, RDSI/CIBA, gestión de la red y seguridad de la red para caso de datos
delicados, aunque no clasificados. Intrínsecamente relacionados con la normalización y la
especificación se encuentran los planteamientos y técnicas necesarios para la verificación.

4.3 Situación y tendencias

23. Estados Unidos, en particuar, ha adoptado importantes inciativas con respecto al tema de la
seguridad de la información en sectores no relacionados con la defensa. En Europa se trata en el
contexto de la normalización de la TI y de las telecomunicacines en el marco del ETSI y el
CEN _1_ CENELEC, en preparación de los trabajos del CCIT _y_ la ISO.

24. Al aumentar el interés por el tema, se intensifica rápidamente el ritmo de los trabajos efectuados en
este ámbito en los Estados Unidos, tanto por los vendedores como por los proveedores de servicios. En
Europa, Francia, la RFA y el Reino Unido han iniciado actividades semejantes separadamente,
pero un esfuerzo común comparable al de EE.UU. se apunta con gran lentitud.

4.4 Requisitos. opciones y prioridades

25. En el ámbito de la seguridad de la información la relación entre los aspectos reglamentarios,
operativos, administrativos y técnicos es necesariamente muy estrecha. Es preciso que los
reglamentos se vean reflejados en las normas y que las disposiciones sobre seguridad de la
información se atengan de manera verificable a las normas y reglamentos. En varios aspectos, los
reglamentos exigen unas especificaciones que se salen del ámbito convencional de la normalización,
es decir, que incluyen códigos de prácticas. La necesidad de contar con normas y códigos de prácticas
se extiende a todas las áreas de la seguridad de la información, y es preciso establecer una
distinción entre las necesidades de protección que corresponden a los objetivos de seguridad y
algunos de los requisitos técnicos que pueden confiarse a los organismos de normalización europeos
competentes (CEN _1_ CENELEC /ETSI).

26. Las especificaciones y las normas deben abordar los temas de : servicios de seguridad de la
información (autenticación personal y de empresa, protocolos de no repudio, pruebas electrónicas
jurídicamente aceptables, control de la autorización), servicios de comunicación (intimidad de la
comurucación de imágenes, intimidad en las comunicaciones móviles de voz y datos, protección de
las bases de imágenes y datos, servicios de seguridad integrados), gestión de la seguridad y la
comunicación (sistema de claves públicas/ privadas para funcionamiento de la red abierta,
protección de la gestión de la red, protección de los proveedores de servicios) y certificación
(criterios y niveles de garantía de la seguridad de la información, procedimientos de garantía de
la seguridad).

                   - 113 

5. Línea V : Desarrollos tecnológicos y operativos para la seguridad de la información

5.1. Problema

27. Una investigación y un desarrollo tecnológico sistemáticos que permitan llegar a soluciones
económicamente viables y operativamente satisfactorias para diversas necesidades de seguridad
de la información presentes y futuras constituyen un requisito previo para el desarrollo del mercado
de servicios y para la competitividad de la economía europea en conjunto.

28 Cualquier desarrollo tecnológico en el área de la seguridad de los sistemas de información tendrá
que incluir tanto los aspectos de seguridad informática como de seguridad de las comunicaciones, ya
que la mayor parte de los sistemas actuales son distribuidos y el acceso a tales sistemas se realiza a
través de servicios de comunicación.

5.2 Objetivos

29. Efectuar una investigación y desarrollo tecnológico sistemáticos que permitan dar una solución
económicamente viable y operat:vamente satisfactoria a una amplia gama de necesidades,
presentes y futuras, en cuanto a la seguridad de la información.

5.3 Requisito~pciones y prioridades

30. Los trabajos sobre seguridad de la información deberán abordar las estrategias de desarrollo y
aplicación, las correspondientes tecnologías y su integración y verificación.

31. El trabajo estratégico de I+D deberá incluir modelos conceptuales de sistemas seguros en la medida
de lo posible, modelos de requisitos funcionales, modelos de riesgo y arquitecturas de seguridad.

32. La I+D de orientación tecnológica deberá incluir la autenticación de usuarios y mensajes (p.ej.,
mediante análisis de voz y firmas electrónicas), interfaces y protocolos técnicos de cifrado,
mecanismos de control de acceso y métodos de implantación de sistemas, seguros y verificables.

33. La verificación y validación de la seguridad del sistema técnico y su aplicabilidad se investigarán
mediante proyectos de integración y verificación.

34. Además de la consolidación y el desarrollo de la tecnología de la seguridad, se precisan diversas
medidas complementarias relacionadas con la creación, mantenimiento y aplicación coherente de
las normas y la validación y certificación de los productos de TI y telecomunicaciones con respecto a
sus propiedades de seguridad, incluida la validación y certificación de los métodos de diseño e
implantación de sistemas.

35. Se utilizará el tercer programa marco comunitario de I+DT para fomentar la realización de
proyectos en cooperación a niveles precompetivivo y prenormativo.

                    - 114 

6. Línea V 1 ;__suministro de la ___.seguridad de la información

36. Dependiendo de la naturaleza exacta de las características de seguridad de la información, habrá
que incoporar las funciones necesarias en distintas partes de los sistemas de comunicación,
incluyendo terminales y ordenadores, servicios, gestión de la red para dispositivos de cifrado,
tarjetas inteligentes, claves públicas y privadas, etc. Algunas de ellQ..s podrán ir incoporadas a los
soportes lógicos y físicos suministrados por los vendedores, mientras que otras formarán parte de los
sitemas distribuidos (p.ej., la gestión de la red), estarán en posesión de los usuarios individuales
(p.ej., las tarjetas inteligentes) o serán suministrados por una organización especializada (p.ej., las
claves públicas y privadas).

37. Cabe esperar que la mayor parte de los productos y servicios de seguridad de la información los
suministren los vendedores, proveedores de servicios y operadores. Para determinadas funciones,
p.ej., el suministro de claves públicas y privadas, la auditoría o la autorización, puede resultar
necesario designar las organizaciones apropiadas y efectuar el correspondiente encargo.

38. Lo mismo cabe decir de la certificación, evaluación y verificación de la calidad del servicio, que son
funciones que tendrán que atender organizaciones independientes de los intereses de vendedores,
proveedores de servicios y operadores. Estas organizaciones podrían ser privadas o públicas, o
contar con la autorización de los gobiernos para actuar por delegación suya.

6.2 Objetivos

39. Para facilitar un desarrollo armonioso de la aplicación de la seguridad de la información en la
Comunidad, con vistas a proteger los intereses de la población y las empresas, será necesario
elaborar un planteamiento coherente de dicha aplicación. Cuando sea necesario formular encargos a
organizaciones independientes, sus funciones y condiciones tendrán que ser definidas, aprobadas y,
cuando proceda, incluidas en el marco reglamentario. El objetivo será llegar a un reparto de
responsabilidades claramente definido y acordado entre los diferentes interesados a nivel
comunitario, como requisito previo para el reconocimiento mutuo.

6.3 Situación y tendencias

40. En la actualidad, la seguridad de la información solo está bien organizada para determinadas
áreas y limitada a la satisfación de necesidades específicas. La organización a nivel europeo rara
vez es formal y el reconocimiento mutuo de la verificación y la certificación no existe aún fuera de
ciertos grupos cerrados. Al adquirir mayor importancia la seguridad de la información, se acentúa
la necesidad de definir un planteamiento coherente de la oferta de seguridad de la información en
Europa _e_ internacionalmente.

M_ _ _Rgqffisj~_QJ2ciones y prioridades

41. Dado el número de partes interesadas y la estrecha relación con las cuestiones de tipo
reglamentario y legislativo, reviste especial importancia ponerse de acuerdo de antemano sobre los
principios que deben regir la oferta de seguridad de la información.

En la elaboración de un planteamiento coherente de este tema será necesario abordar aspectos de
identificación y especificación de funciones que exigen, por su propia naturaleza, la participación
de algún organismo independiente (o la colaboración de más de uno). Entre estas funciones podrían
figurar la administración de un sistema de claves públicas/ privadas. Además, es necesario
determinar y especificar desde los primeros momentos qué funciones deben confiarse, en aras del
interés público, a un organismo independiente (o más de uno en colaboración). Entre ellas podrían
figurar, por ejemplo, la auditoría, la garantía de calidad, la verificación, la certificación y
funciones análogas.

                   - 115 

Fn\ANCI.A.L STA TEMII'I

Wona.atioa Se-curlty (INFOSEC)

Preparatory Action

BVDGET mADING

Subseetion B6, Item 1104

l. LEGAL BASE AND PROPOSED CLASSIFICATION

Artiele [l35]

Non compulsory ex.penditure.

~. DtSCRIPTION

Collabontion in the development or proposals and aetion.s rel.:u:in¡ to intormation
securicy as far as they requ.ire or signiric:antly benefit f'rom a eoncened approac:h
at Community level. The focus of the work 1s to relate to me needs or the
genenl public, c:ommerce, servlce providers and administrations a.od ac1c1re.sses the
requ.irements for a collaborating approach to technological research,
stlDdard.isation and related i.ssues as relevant for the development or a eonsistent
European approach to i.a.for.m.ation security with particular refereuce to the
completion _ot_ the interna.l market in 1992.

The goal of the INFOS:EC action is to m.a.ke a major contri~ution _to_ the objective
of the     

_•de-relop."ffDtl_ _of_ _czction.s_ _to_ _prtrriding t//tcrz'Yt_ _tznil_ _praalcoJ_ _StC'Ll1"1ty_ _for_
_informazion_ ~Id _in an_ _electronic_ _/orm_ _to_ _the :enerQ/_ _u.sers._ _administraliOI'f.S_ _DJZd_
_bwintsl_ _comntUllir.v_ _wltlwul_ _compromisin;_ _the_ _lnteral_ _D/_ _rhe_ _public_ _QJ_ leur~.    

The present proposal is the result or the prelimi.rw:y inve.stip.tions by expens,
consultaticms &Dd on-¡oing related work.     

The &cope of the prepan.tory actiOD is to f'oeus OD

L development _ot_ an in!ormaúou securlty stnte¡y framework
###### n. mformation secu.rity requir~meuts m. tolutions for immed.iate ud interim ueck rv. specifications, standard.isation and verification or ÜÜOJ"JD2tion security

V. leehJlolo¡ical and opentiol13l developmtAD for iD.fonnation sec:urity
VI. intormation socuriey provision.

                       - 116                        

4. JUSTIJ'ICAnON

Development oí a harmouised appr~Jacb to lnformation securiry must rorm an
integml pan _of_ t~c Communiry pollcies rela.ted to the completion of the mttmal
Muket. s~n¡then.in& or socio-~onouüc performance and intmra.tior.:U
compettttvtme:SS. It is viml that Ir.üormation Securlcy does not become a
con.stn.i.nt to the promotion of harmonious developmeot in the Community and to
rela.rlons wlth other countries. In addition, information securlcy systi!:IDS must
proteet privacy, intell~ propeny, falr competiuon, national sec:urlty !..";1
other intere;;~.

Tht pr~posed actioD res¡:,vn~ to an urgent ueed to facilitate and 1cce~ ~.:.~;;

emer¡ence oí aenerally aceeptcd, efiective and practicable measant :_
infOTmation socurlry. The action wDl beneCit f'rom. syner¡!es with aa-s(~~~
pro¡nm.me:s in the fieleS of .in!ormation technologles (ESPRII) t:Jó
teleeommunlc::atlon.s (R..ACE) as well as the on-goh~! work on telecommanicxrinn.s,
sta.Jldardisation a.nd in!ormatiou market pollcies.

..
:·.

_5.C.O_

INDICATIVI FINANCIAL PLANNING

_lmp/icaiions_ _for_ _expendlture._

Total cost o~-er the whole of the exptcted dumtion or _2_ yean (in MioECU~

From ~e Dudget _':lf_ the Commanit.ies: 12.0
From the other sectors at the nationallevet 0.0

TOTAL 12.0

-5 - ~•.l Multi-an.nual schedule CiD: MioECU):

Commitment

.A "'r~,.Utiocs

1 199!

1 _l_ ~;~
# l 1993

12

Payment ·

.. ~,~prcpritticns

~.

6

2

12

T'hls e:t"ud.\tw-e ~O\ us the CommUJl.ir:y•s í~cial ct)l'l~-ibo..;:lo:1 to ~yt.ia.l

~==~ :s :::;-..!::~ ::: ~~!=Ort Cl.~ .1evelop:netlt of s:;>ec!!ic ar:~~=.s ;::e~~ - z:
~o%l.!Ul~tion. c.d ~..s.bUJi.unent nt t:O'Pl.Sensus.

                   - 117 

b) Cptl-ati:u:w expenditu:re

Given the ract that the action is iU13llced in Sob$eCÓOD _6_ of tbe budget devoted
_lO_ Research and Investmeut expenditure, adminlstntive costs (Comm.ittee and
work.ing party meetings, c:oosalution of e.rperts, m.izions, document distnoution
or dlssemlnation or techniques, use of data P~&, teleeommun.ication and
broadcasticg ec¡wpment) en c:overed directly by the bndget item.

Th.e foUowing table fives the ictficative breakdown vwer thc various cate¡ories of
expenditare (in MioE.CU):

1991 1992

5.0.2 a) 4,123 41,100

5.0.2 b) lll total 1,177 1,900

###### or whicb bperts 0,400 0,600

Other opention.al expenditu.re · _0.$00_ _0.715_

Infrastructure _0,050_ _0,100_

In!orma.tiou and publication _o.o.so_ _0,100_

Statutory sta.ff _0.117_ _O.J1S_

6. FIN~'-:ClAL U.tPLICATIONS FOR STA.FF Al\1> CUilRENT AD~tTh"'STJlATIVE

APPROPRLI\ TIONS

The statutory researcb _staff_ invoh:ed, i.e. S A, 1·B, t·C, will be entered in tbe
researcb staff table and is p2.id out c•r the appropn.tions entered onto ltem B6-8104.

The administrative expenditure will 'be aovernec1 by the internal rules on minibudgets dccided by the Com..mls.sion on 2.2 May 1990.

FINANCING OF EXPENDinJRE

Tbe appropriation.s to co~er the Com.mu.rüty•s contn'Du.tion to this projeet Wl11 be
determined in the context of the annual budgetary procedure.

IMPLICAnONS FOR llEVENUE

Contributioll _o(_ the Statutory resea.rch Staff tO the retirement Kheme &nd the
aidaless iosurance.

                                - 118 

_9._ n'PE OF CONTROL

     - Acf.m.ini.s'tnljve control by the Director General for Fi.n.3.neial Control as
regards budaet i.mplementation;

Control _oC_ achi~vemeot

SOG-IS
control by officials of tbe Commlssion
audit by the Coun or Aud.itors in accordance with provisions of the
Treaty;

In accorda.nee with Artic:le 2 cf the F'11W1dal Reguladons, the ose _oC_
approprlations wi.U be subject to ana.lyse.s of cost-effectlveness and the
JUliw:ion or quantifjed objec:tivts wiÚ be morütored.